CN104660409B - 集群环境下系统登录的方法和认证服务器集群 - Google Patents

Abstract

本发明公开了一种集群环境下系统登录的方法和认证服务器集群，涉及计算机网络信息安全技术领域。所述方法：认证服务器集群接收到客户端通过门户网站发送的应用系统登录请求；根据负载均衡方式将登录请求发送至集群中的第一认证服务器进行身份认证；认证通过后，门户网站发送跳转至应用系统的登录信息；通过调用server to server服务，从第一认证服务器中获取用户端的用户权限信息，完成应用系统的认证登录操作。可见，通过调用server to server服务可以在集群认证服务器中准确定位到用户实际进行身份认证的一台服务器，避免了由于负载均衡机制的缓存延迟导致定位到其他认证服务器而获取不到用户权限信息的问题。

Description

集群环境下系统登录的方法和认证服务器集群

技术领域

本发明涉及计算机网络信息安全技术领域，特别涉及一种集群环境下系统登录的方法和认证服务器集群。

背景技术

随着互联网的快速发展和普及，网络规模迅速扩大，各种应用系统和用户数量也不断的增加。

目前很多业务场景通常采用部署负载均衡设备来分派多台服务器以便应对大数据量用户的访问，尤其是在用户登录应用系统进行身份认证环节存在并发量较大的情况，多台认证服务器提供的集群环境可以有效缓解集中认证的压力。

当用户通过门户网站登录某个应用系统时，负载均衡设备会随机指派空闲的认证服务器对请求给予答应，将认证请求指向某一台认证服务器，服务器会对账号信息进行认证并生成根票据，同时将根票据转发给门户网站，门户网站解析根票据后生成跳转登录票据，从而将请求转向要跳转的应用系统，应用系统获取到跳转登录票据后再转发给认证服务器以获取用户权限信息。

由于获取用户权限信息过程采用的是socket通讯方式，负载均衡设备不支持该方式，因此负载均衡设备无法知道应该将跳转登录票据发送给哪一个认证服务器，而是随机发送。此时如果同步缓存有延迟，没有将起初认证服务器上的用户认证信息和权限信息同步到被随机选中的服务器上的话，应用系统就无法获取用户权限信息，鉴权失败，导致用户登录应用系统失败。

发明内容

鉴于上述问题，本发明实施例提供一种集群环境下系统登录的方法和认证服务器集群，能够在集群认证服务器中准确定位到用户实际进行身份认证的认证服务器，避免了由于负载均衡机制的缓存延迟导致定位到其他认证服务器而获取不到用户权限信息的问题。

本发明实施例采用了如下技术方案：

本发明一个实施例提供了一种集群环境下应用系统登录的方法，所述方法包括：

认证服务器集群接收到客户端通过门户网站发送的应用系统登录请求；

根据负载均衡方式将所述登录请求发送至所述集群中的第一认证服务器进行身份认证；

认证通过后，所述门户网站发送跳转至所述应用系统的登录信息；

所述认证服务器集群通过调用服务器到服务器server to server服务，从所述第一认证服务器中获取所述用户端的用户权限信息，根据所述用户权限信息完成所述应用系统的认证登录操作。

所述认证通过后，所述门户网站发送跳转至所述应用系统的登录信息具体为：

第一认证服务器认证通过后生成认证根票据并返回至所述门户网站；

所述门户网站从认证根票据中解析出跳转至所述应用系统的登录票据，并将所述登录票据发送至所述应用系统；

所述应用系统将所述登录票据发送回所述认证服务器集群进行校验。

所述认证服务器集群通过调用服务器到服务器server to server服务，从所述第一认证服务器中获取所述用户端的用户权限信息，根据所述用户权限信息完成所述应用系统的认证登录操作包括：

所述认证服务器集群根据负载均衡方式选择所述集群中的第二认证服务器对所述登录票据进行解析；

所述第二认证服务器解析所述登录票据获取对所述客户端进行身份认证的第一认证服务器，并调用服务器到服务器server to server服务，从第一认证服务器中获取所述用户端的用户权限信息，根据所述用户权限信息完成所述应用系统的认证登录操作。

所述调用服务器到服务器server to server服务，从第一认证服务器中获取所述用户端的用户权限信息包括：

调用服务器到服务器server to server服务，以套接字socket方式从第一认证服务器中获取所述用户端的用户权限信息。

所述第二认证服务器解析所述登录票据获取对所述客户端进行身份认证的第一认证服务器包括：

所述第二认证服务器解析所述登录票据，获取对所述客户端进行身份认证的证服务器的IP地址信息；

所述第二认证服务器从所述认证服务器集群的负载均衡设备信息配置文件中匹配得到所述IP地址信息对应的服务器信息，即第一认证服务器。

另外，本发明实施例还提供了一种认证服务器集群，所述认证服务器集群包括：

登录接收模块，用于接收所述客户端通过门户网站发送的应用系统登录请求；

身份认证模块，用于根据负载均衡方式将所述登录请求发送至所述集群中的第一认证服务器进行身份认证；

跳转接收模块，用于当所述身份认证模块认证通过后，接收所述门户网站发送的跳转至所述应用系统的登录信息；

登录操作模块，用于通过调用服务器到服务器server to server服务，从所述第一认证服务器中获取所述用户端的用户权限信息，根据所述用户权限信息完成所述应用系统的认证登录操作。

所述身份认证模块还用于，当所述第一认证服务器认证通过后，生成认证根票据并返回至所述门户网站；以便所述门户网站从认证根票据中解析出跳转至所述应用系统的登录票据，并将所述登录票据发送至所述应用系统；

所述跳转接收模块具体用于：接收从所述应用系统发送回进行校验的所述登录票据。

所述登录操作模块具体包括：

解析单元，用于根据负载均衡方式选择所述集群中的第二认证服务器对所述登录票据进行解析；

获取单元，用于所述第二认证服务器解析所述登录票据获取对所述客户端进行身份认证的第一认证服务器；

调用单元，用于调用服务器到服务器server to server服务，从第一认证服务器中获取所述用户端的用户权限信息；

登录单元，用于根据所述用户权限信息完成所述应用系统的认证登录操作。

所述调用单元具体用于：

调用服务器到服务器server to server服务，以套接字socket方式从第一认证服务器中获取所述用户端的用户权限信息。

所述获取单元包括：

IP地址获取子单元，用于所述第二认证服务器解析所述登录票据，获取对所述客户端进行身份认证的证服务器的IP地址信息；

第一认证服务器获取子单元，用于所述第二认证服务器从所述认证服务器集群的负载均衡设备信息配置文件中匹配得到所述IP地址信息对应的服务器信息，即第一认证服务器。

可见，本发明实施例提供了一种集群环境下系统登录的方法和认证服务器集群，通过调用server to server服务可以在集群认证服务器中准确定位到用户实际进行身份认证的一台服务器，避免了由于负载均衡机制的缓存延迟导致定位到其他认证服务器而获取不到用户权限信息的问题。

进一步的，本发明实施例中，server to server服务以socket方式向集群认证服务器提供通讯服务，保证实际认证服务器可以通过该服务将权限信息发送给当前认证服务器，目标业务系统可以在当前认证服务器获取用户权限信息并完成认证。

附图说明

图1为本发明实施例提供的一种集群环境下系统登录的方法流程图；

图2为本发明实施例提供的一种集群环境下系统登录的方法具体实例登录处理示意图；

图3为本发明实施例提供的一种认证服务器集群系统结构框图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。

为解决上述问题，本发明实施例提供一种针对集群环境下的统一身份认证集中缓存功能的实现方法，即集群环境下系统登录的方法：在集群环境下的每台认证服务器中都安装部署自主研发的server to server服务，当负载均衡设备将获取权限信息的请求任意指派到某个认证服务器时，如果这个认证服务器并非最初进行身份认证的服务器，而且缓存延迟导致还未同步用户认证信息的情况，可以通过调用server to server服务，准确定位到最初身份认证的服务器并获取用户权限信息，从而实现用户登录。

整体思路：

在统一身份信息管理系统录入用户权限信息；用户在登录客户端与集群中的一台身份认证服务器建立联系，身份认证服务器认证通过后为用户客户端发放认证根票据，用户客户端从认证根票据中解析出通向目标应用系统的跳转票据并发送一个登录票据给目标应用系统，通过调用server to server服务，目标应用系统再将登录票据返回给集群中最初取得认证的认证服务器，认证服务器根据登录票据发送用户权限信息到目标应用系统，用户完成一次目标应用系统的认证登录。

参见图1，本发明实施例提供一种集群环境下系统登录的方法，具体包括：

S101：认证服务器集群接收到客户端通过门户网站发送的应用系统登录请求。

S102：根据负载均衡方式将所述登录请求发送至所述集群中的第一认证服务器进行身份认证。

S103：认证通过后，所述门户网站发送跳转至所述应用系统的登录信息。

在实际操作中，本步骤所述认证通过后，所述门户网站发送跳转至所述应用系统的登录信息可以具体包括：

第一认证服务器认证通过后生成认证根票据并返回至所述门户网站；

所述门户网站从认证根票据中解析出跳转至所述应用系统的登录票据，并将所述登录票据发送至所述应用系统；

所述应用系统将所述登录票据发送回所述认证服务器集群进行校验。

S104：所述认证服务器集群通过调用服务器到服务器server to server服务，从所述第一认证服务器中获取所述用户端的用户权限信息，根据所述用户权限信息完成所述应用系统的认证登录操作。

优选的，所述认证服务器集群通过调用服务器到服务器server to server服务，从所述第一认证服务器中获取所述用户端的用户权限信息，根据所述用户权限信息完成所述应用系统的认证登录操作具体包括：

所述认证服务器集群根据负载均衡方式选择所述集群中的第二认证服务器对所述登录票据进行解析；

所述第二认证服务器解析所述登录票据获取对所述客户端进行身份认证的第一认证服务器，并调用服务器到服务器server to server服务，从第一认证服务器中获取所述用户端的用户权限信息，根据所述用户权限信息完成所述应用系统的认证登录操作。

其中，所述调用服务器到服务器server to server服务，从第一认证服务器中获取所述用户端的用户权限信息包括：

调用服务器到服务器server to server服务，以套接字socket方式从第一认证服务器中获取所述用户端的用户权限信息。

具体的，所述第二认证服务器解析所述登录票据获取对所述客户端进行身份认证的第一认证服务器包括：

所述第二认证服务器解析所述登录票据，获取对所述客户端进行身份认证的证服务器的IP地址信息；

所述第二认证服务器从所述认证服务器集群的负载均衡设备信息配置文件中匹配得到所述IP地址信息对应的服务器信息，即第一认证服务器。

需要说明的是，优选的，认证服务器集群还包括统一身份信息管理系统，相应的，在登录操作之前，还包括向统一身份信息管理系统录入用户权限信息的步骤。以便在后续对客户端进行身份认证时使用。

进一步的，作为优选方案，统一身份信息管理系统还负责对录入的用户权限信息进行统一管理的步骤。

可见，本发明实施例提供了一种集群环境下系统登录的方法，通过调用server toserver服务可以在集群认证服务器中准确定位到用户实际进行身份认证的一台服务器，避免了由于负载均衡机制的缓存延迟导致定位到其他认证服务器而获取不到用户权限信息的问题。

进一步的，本发明实施例中，server to server服务以socket方式向集群认证服务器提供通讯服务，保证实际认证服务器可以通过该服务将权限信息发送给当前认证服务器，目标业务系统可以在当前认证服务器获取用户权限信息并完成认证。

参见图2，提供一种集群环境下系统登录的方法具体实例，具体登录处理步骤包括：

步骤1：用户登录门户网站，选择某个应用系统进行登录；

步骤2：用户触发登录时门户网站自动发送认证请求至负载均衡设备；

步骤3：负载均衡设备随机指派一个认证服务器（例如认证服务器1）对请求进行应答，认证成功后生成根票据Ticket，包含了用户的账号ID、密码等加密信息；

步骤4：发送根票据至门户网站；

步骤5：门户网站解析根票据，并生成跳转登陆票据，包含了用户想要访问的应用系统信息；

步骤6：门户将跳转登录票据发送至应用系统；

步骤7：应用系统将获取的跳转登录票据发回给认证服务器进行校验，中途需要先经过负载均衡设备；

步骤8：负载均衡设备随机选择空闲的认证服务器（例如认证服务器2）进行票据解析；

步骤9：认证服务器2解析票据获取到为用户进行身份认证的实际认证服务器IP信息

步骤10：认证服务器2从自身负载均衡设备信息配置文件中匹配到实际认证服务器IP相对应的服务器信息，也即认证服务器1；

步骤11：认证服务器2调用server to server服务将跳转登录票据转发给实际认证服务器1，并发送请求获取用户权限信息；

步骤12：认证服务器1的server to server服务接收到请求后，将用户权限信息发送至认证服务器2；

步骤13：认证服务器2获取到用户权限信息后完成用户权限页面展现，从而完成登录操作。

可见，通过调用server to server服务可以在集群认证服务器中准确定位到用户实际进行身份认证的一台服务器，避免了由于负载均衡机制的缓存延迟导致定位到其他认证服务器而获取不到用户权限信息的问题。

参见图3，本发明实施例提供一种认证服务器集群，所述认证服务器集群包括：

登录接收模块301，用于接收所述客户端通过门户网站发送的应用系统登录请求；

身份认证模块302，用于根据负载均衡方式将所述登录请求发送至所述集群中的第一认证服务器进行身份认证；

跳转接收模块303，用于当所述身份认证模块认证通过后，接收所述门户网站发送的跳转至所述应用系统的登录信息；

登录操作模块304，用于通过调用服务器到服务器server to server服务，从所述第一认证服务器中获取所述用户端的用户权限信息，根据所述用户权限信息完成所述应用系统的认证登录操作。

需要说明的是，优选的，认证服务器集群还包括统一身份信息管理系统，相应的，还包括录入模块，用于在登录操作之前，向统一身份信息管理系统录入用户权限信息。以便在后续对客户端进行身份认证时使用。

进一步的，作为优选方案，统一身份信息管理系统还负责对录入的用户权限信息进行统一管理。

其中，所述身份认证模块302还用于，当所述第一认证服务器认证通过后，生成认证根票据并返回至所述门户网站；以便所述门户网站从认证根票据中解析出跳转至所述应用系统的登录票据，并将所述登录票据发送至所述应用系统。

相应的，所述跳转接收模块303具体用于：接收从所述应用系统发送回进行校验的所述登录票据。

实际操作中，所述登录操作模块可以具体包括：

解析单元，用于根据负载均衡方式选择所述集群中的第二认证服务器对所述登录票据进行解析；

获取单元，用于所述第二认证服务器解析所述登录票据获取对所述客户端进行身份认证的第一认证服务器；

调用单元，用于调用服务器到服务器server to server服务，从第一认证服务器中获取所述用户端的用户权限信息；

登录单元，用于根据所述用户权限信息完成所述应用系统的认证登录操作。

优选的，所述调用单元具体用于：

调用服务器到服务器server to server服务，以套接字socket方式从第一认证服务器中获取所述用户端的用户权限信息。

进一步的，所述获取单元包括：

IP地址获取子单元，用于所述第二认证服务器解析所述登录票据，获取对所述客户端进行身份认证的证服务器的IP地址信息；

第一认证服务器获取子单元，用于所述第二认证服务器从所述认证服务器集群的负载均衡设备信息配置文件中匹配得到所述IP地址信息对应的服务器信息，即第一认证服务器。

需要说明的是，本发明系统实施例中的各个模块或者单元的工作原理和处理过程可以参见上述图1-图2所示方法实施例中的相关描述，此处不再赘述。

可见，本发明实施例提供了一种认证服务器集群，通过调用server toserver服务可以在集群认证服务器中准确定位到用户实际进行身份认证的一台服务器，避免了由于负载均衡机制的缓存延迟导致定位到其他认证服务器而获取不到用户权限信息的问题。

进一步的，本发明实施例中，server to server服务以socket方式向集群认证服务器提供通讯服务，保证实际认证服务器可以通过该服务将权限信息发送给当前认证服务器，目标业务系统可以在当前认证服务器获取用户权限信息并完成认证。

为了便于清楚描述本发明实施例的技术方案，在发明的实施例中，采用了“第一”、“第二”等字样对功能和作用基本相同的相同项或相似项进行区分，本领域技术人员可以理解“第一”、“第二”等字样并不对数量和执行次序进行限定。

本领域普通技术人员可以理解，实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，所述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，包括如下步骤：（方法的步骤），所述的存储介质，如：ROM/RAM、磁碟、光盘等。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (4)

1.一种集群环境下应用系统登录的方法，其特征在于，所述方法包括：

在集群环境下的每台认证服务器中都安装自主定制的服务器到服务器server toserver服务；

认证服务器集群接收到客户端通过门户网站发送的应用系统登录请求；

根据负载均衡方式将所述登录请求发送至所述集群中的第一认证服务器进行身份认证；

认证通过后，所述门户网站发送跳转至所述应用系统的登录信息；

所述认证服务器集群通过调用服务器到服务器server to server服务，从所述第一认证服务器中获取所述客户端的用户权限信息，根据所述用户权限信息完成所述应用系统的认证登录操作；

所述认证通过后，所述门户网站发送跳转至所述应用系统的登录信息具体为：

第一认证服务器认证通过后生成认证根票据并返回至所述门户网站；

所述门户网站从认证根票据中解析出跳转至所述应用系统的登录票据，并将所述登录票据发送至所述应用系统；

所述应用系统将所述登录票据发送回所述认证服务器集群进行校验；

所述认证服务器集群通过调用服务器到服务器server to server服务，从所述第一认证服务器中获取所述客户端的用户权限信息，根据所述用户权限信息完成所述应用系统的认证登录操作包括：

所述认证服务器集群根据负载均衡方式选择所述集群中的第二认证服务器对所述登录票据进行解析；

所述第二认证服务器解析所述登录票据获取对所述客户端进行身份认证的第一认证服务器，并调用服务器到服务器server to server服务，从第一认证服务器中获取所述客户端的用户权限信息，根据所述用户权限信息完成所述应用系统的认证登录操作；

所述第二认证服务器解析所述登录票据获取对所述客户端进行身份认证的第一认证服务器包括：

所述第二认证服务器解析所述登录票据，获取对所述客户端进行身份认证的认证服务器的IP地址信息；

所述第二认证服务器从所述认证服务器集群的负载均衡设备信息配置文件中匹配得到所述IP地址信息对应的服务器信息，即第一认证服务器。

2.根据权利要求1所述的方法，其特征在于，所述调用服务器到服务器server toserver服务，从第一认证服务器中获取所述客户端的用户权限信息包括：

调用服务器到服务器server to server服务，以套接字socket方式从第一认证服务器中获取所述客户端的用户权限信息。

3.一种认证服务器集群，其特征在于，所述认证服务器集群包括：

在集群环境下的每台认证服务器中都安装自主定制的服务器到服务器server toserver服务；

登录接收模块，用于接收客户端通过门户网站发送的应用系统登录请求；

身份认证模块，用于根据负载均衡方式将所述登录请求发送至所述集群中的第一认证服务器进行身份认证；

跳转接收模块，用于当所述身份认证模块认证通过后，接收所述门户网站发送的跳转至所述应用系统的登录信息；

登录操作模块，用于通过调用服务器到服务器server to server服务，从所述第一认证服务器中获取所述客户端的用户权限信息，根据所述用户权限信息完成所述应用系统的认证登录操作；

所述身份认证模块还用于，当所述第一认证服务器认证通过后，生成认证根票据并返回至所述门户网站；以便所述门户网站从认证根票据中解析出跳转至所述应用系统的登录票据，并将所述登录票据发送至所述应用系统；

所述跳转接收模块还具体用于：接收从所述应用系统发送回进行校验的所述登录票据；

所述登录操作模块具体包括：

解析单元，用于根据负载均衡方式选择所述集群中的第二认证服务器对所述登录票据进行解析；

获取单元，用于所述第二认证服务器解析所述登录票据获取对所述客户端进行身份认证的第一认证服务器；

调用单元，用于调用服务器到服务器server to server服务，从第一认证服务器中获取所述客户端的用户权限信息；

登录单元，用于根据所述用户权限信息完成所述应用系统的认证登录操作；

所述获取单元包括：

IP地址获取子单元，用于所述第二认证服务器解析所述登录票据，获取对所述客户端进行身份认证的证服务器的IP地址信息；

第一认证服务器获取子单元，用于所述第二认证服务器从所述认证服务器集群的负载均衡设备信息配置文件中匹配得到所述IP地址信息对应的服务器信息，即第一认证服务器。

4.根据权利要求3所述的认证服务器集群，其特征在于，所述调用单元具体用于：

调用服务器到服务器server to server服务，以套接字socket方式从第一认证服务器中获取所述客户端的用户权限信息。