Єдина реєстрація в кількох доменах [закрито]

У нашої компанії є кілька доменів, створених з одним веб-сайтом, розміщеним на кожному з доменів. Наразі кожен домен має власну автентифікацію, яка здійснюється за допомогою файлів cookie.

Коли хтось увійшов до одного домену, потрібно отримати доступ до будь-якого іншого, користувачеві потрібно знову ввійти, використовуючи різні облікові дані на іншому веб-сайті, розташованому на другому домені.

Я думав рухатися до єдиного знаку (SSO), щоб цю проблему можна було усунути. Буду вдячний за будь-які ідеї, як цього можна досягти, оскільки я не маю жодного досвіду в цьому плані.

Дякую.

Редагувати: Веб-сайти поєднують веб-сайти Інтернет (зовнішній) та інтранет (внутрішній, що використовується у компанії).

Розроблене тут рішення SSO працює так:

1. Існує головний домен login.mydomain.com зі скриптом master_login.php, який управляє входами.
2. Кожен домен клієнта має сценарій client_login.php
3. Усі домени мають спільну базу даних користувачів.
4. Коли домен клієнта вимагає від користувача входу, він перенаправляє на головний домен (login.mydomain.com/master_login.php). Якщо користувач не ввійшов у майстер, він вимагає аутентифікації від користувача (тобто відобразити сторінку входу). Після автентифікації користувача він створює сеанс у базі даних. Якщо користувач вже має автентифікацію, він шукає ідентифікатор сесії в базі даних.
5. Головний домен повертається до домену клієнта (client.mydomain.com/client_login.php), передаючи ідентифікатор сеансу.
6. Клієнтський домен створює печиво, яке зберігає ідентифікатор сеансу від головного. Клієнт може дізнатися зареєстрованого користувача, запитуючи спільну базу даних за допомогою ідентифікатора сеансу.

Примітки:

• Ідентифікатор сеансу - це унікальний глобальний ідентифікатор, згенерований за допомогою алгоритму RFC 4122
• Master_login.php буде переспрямовувати лише до доменів у своєму списку
• Майстер та клієнти можуть знаходитись у різних доменах верхнього рівня. Напр. client1.abc.com, client2.xyz.com, login.mydomain.com

Не заново вигадуйте колесо. Існує низка міждоменних пакетів SSO з відкритим кодом, таких як JOSSO, OpenSSO, CAS, Shibboleth та інші. Якщо ви використовуєте технологію Microsoft протягом усього часу (IIS, AD), замість цього можна використовувати федерацію мікрософт (ADFS).

Наскільки різні імена хостів?

Ці хости можуть ділитися файлами cookie:

• mail.xyz.com
• www.xyz.com
• logon.xyz.com

Але вони не можуть:

• abc.com
• xyz.com
• www.tre.com

У першому випадку можна видалити рішення на основі файлів cookie. Подумайте GUID та таблицю сеансів бази даних.

Якщо ви використовуєте Active Directory, ви можете використовувати для додатків AD для автентифікації, вхід у систему може бути безперебійним.

В іншому випадку, якщо програми можуть спілкуватися один з одним за кадром, ви можете використовувати sessionids та мати один додаток, який обробляє ідентифікатор, що обслуговує всі ваші інші програми.