SiteMinder单点登录，无需在web应用程序服务器上安装代理

Question

我们的IT人员拒绝在我们应用程序的IIS 6.0 Web服务器上安装SiteMinder代理，理由是安全问题，因为它是第三方软件，以及高资源利用率可能会影响应用程序性能。

他们建议我们建立一个独立的、隔离的web服务器，其中只包含一个基本的IIS、SiteMinder代理和一个“shim”来验证登录尝试。

此垫片将是标记为受代理保护的单个ASPX页面。它将使用SiteMinder代理验证用户ID，在应用程序的数据库中查找用户ID，并将用户ID和密码返回到用户的浏览器。然后，JavaScript函数会将用户ID和密码发布到应用程序的现有登录页面，就像他们自己键入一样。

他们的担心有道理吗？为什么？为什么？

您是否听说过有人实现类似的体系结构？

他们提出的解决方案是好的、坏的还是丑陋的？

Answer 1

apache反向代理解决方案肯定会起作用，但在SiteMinder r12.51中，包含了Secure Proxy Server，它基本上是SiteMinder的反向代理版本（还有很多）。

SPS允许您将单个服务器配置为所有无法或不会安装SiteMinder代理的应用程序的“网关”。web代理嵌入在SPS中，一个专有的Java应用程序完成了这项繁重的工作。SPS还有一个遵循r12 WAMUI外观的GUI，这使得配置非常简单。

安全代理服务器还具有联合网关功能，因此如果您正在进行SAML联合，则无需安装Web代理选项包。您的所有fcc页面也可以由SPS提供服务，因此您可以减少支持SSO环境所需的Web服务器数量。

Answer 2

它看起来不起作用，因为代理不仅管理初始登录，还管理对应用程序的后续调用，即经过身份验证的会话。代理检查cookie，验证它，等等。您的场景没有描述这将如何发生。

在我们的环境中，所有internet流量在命中IIS之前都要通过Apache反向代理。IIS位于防火墙后面。Apache反向代理具有SM代理，它所做的只是将流量重定向到IIS。我认为用IIS作为反向代理进行类似的设置是可行的。

顺便说一句，告诉你的IT人员，他提出的小本经营和泡泡糖登录解决方案比在IIS上安装SiteMinder要安全得多。