Crowd bietet über eine Vielzahl von Applikationen hinweg das Single Sign-on (SSO) an. Das heißt Ihre Benutzer können sich in nur einer Applikation einloggen und dann auf alle anderen Applikationen zugreifen, ohne sich bei jeder erneut einloggen zu müssen. Die SSO-Funktionalität ist für Applikationen innerhalb einer Domäne, wie Jira, Confluence und andere, verfügbar. Sie können das SSO sogar für die Applikationen hinter Ihrer Firewall erweitern, indem Sie CrowdID für OpenID und Crowds Google Apps Konnektor verwenden.

Diese Seite gibt Ihnen einen Überblick über Crowds SSO Möglichkeiten, inklusive einigen Links zu den detaillierten Informationen über die Konfiguration von Crowd und den betroffenen Applikationen.

SSO innerhalb einer Domäne

Die Kernfunktion von Crowd unterstützt SSO über mehrere Applikationen hinweg, innerhalb einer Domäne, wie z. B. *.mydomain.com. Crowd benutzt einen Browser-Cookie um das SSO zu verwalten. Da Ihr Browser den Zugriff auf die Cookies der Hosts in der gleichen Domäne einschränkt, müssen alle Ihre Applikationen, die am SSO teilnehmen, in derselben Domäne sein.

Beispiel Nr. 1: Wenn Sie das Single Sign-on (SSO) für *.mydomain.com haben möchten, dann müssen Sie die SSO-Domäne in Crowd als .mydomain.com konfigurieren - inklusive Punkt (".") am Anfang. All Ihre Crowd-verbundenen Applikationen müssen in der selben Domäne sein. Zum Beispiel:

Crowd	crowd.mydomain.com
Jira	jira.mydomain.com
Confluence	confluence.mydomain.com
FishEye	fisheye.mydomain.com
FishEye in einer anderen Domäne	fisheye.beispiel.com

Beispiel Nr. 2: Wenn Sie die Untersützung des Single Sign-ons (SSO) für mydomain.com/* haben wollen, dann müssen Sie die SSO-Domain in Crowd als mydomain.com konfigurieren. Alle Ihre Crowd-verbundenen Applikationen müssen sich in der gleichen Domäne befinden. Zum Beispiel:

Crowd	mydomain.com/crowd
Jira	mydomain.com/jira
Confluence	mydomain.com/confluence
FishEye	mydomain.com/fisheye
FishEye in einer anderen Domäne	beispiel.com/fisheye

Weitere Informationen über den Vergleich der Hostnamen-Strings finden Sie unter RFC 2965 (auf den Seiten 2 und 3).

Sie können die SSO-Domäne über Crowds Administrationskonsole konfigurieren, wie in dieser Dokumentation beschrieben ist.

Wie es funktioniert

Das Diagramm unten gibt Ihnen einen konzeptionellen Überblick darüber wie die HTTP-Anfragen durch einen SSO-Filter gehen und direkt durch die Business Logic der Applikation gehen, um eine Antwort zu erstellen. (Klicken Sie auf das Diagramm, um es zu vergrößern.)

Das Diagramm zeigt nur den "happy path" (optimalen Weg), und setzt voraus, dass:

• Der Benutzer sich bereits in der Applikation eingeloggt hat, die für die Teilnahme am SSO konfiguriert wurde. Wenn der Benutzer sich bereits in einer Applikation eingeloggt, dann muss er sich nicht mehr beim Zugriff auf eine weitere Applikation, in der selben Domäne, einloggen.
• Die Anfrage alle Authentifizierungs- und Autorisierungsprüfungen passieren.

Das Diagramm veranschaulicht die folgenden Schritte:

• Schritt 1: Die HTTP-Anfrage mit einem SSO-Cookie.
  • Der Benutzer hat sich bereits in eine Applikation eingeloggt, die Teil der SSO-Umgebung ist.
  • Der Benutzer greift auf eine neue Applikation, innerhalb der SSO-Umgebung, zu oder führt andere Aktionen auf der Webseite aus.
  • Der Browser erstellt eine HTTP-Anfrage, bündelt alle Cookies für die Domäne und sendet die Anfragen zu der Web-Applikation. Darin inkludiert ist das SSO-Cookie, denn der Benutzer hat sich bereits eingeloggt.
  • Die Anfrage wird vom SSO-Filter im Security-Framework der Applikation abgefangen. Dieser Filter kann von Atlassian Seraph, Spring Security, einem anderen Framework oder von einem benutzerdefinierten Code bereitgestellt werden.
  • (Wenn der Benutzer sich nicht eingeloggt hat, leitet der Filter den Benutzer an dieser Stelle zur Login-Seite weiter. Aber wir gehen davon aus, dass sich der Benutzer bereits eingeloggt hat.)
  • Der Crowd Authenticator findet den SSO-Cookie, extrahiert den SSO-Token und leitet den Token zu Crowd weiter. Der Crowd Authenticator ist für das Security Framework ein Plugin (Atlassian Seraph, Spring Security und andere).
• Schritt 2: Validierung des SSO-Tokens.
  
  • Crowd validiert den Sitzungs-Token. Wenn eine andere Applikation in derselben Domäne den Benutzer bereits authentifiziert hat, wird Crowd die vorhandene Authentifizierung validieren.
  • Wenn Die Sitzung abgelaufen ist, leitet Crowd den Benutzer zur Login-Seite weiter.
  • Crowd überprüft, ob der Benutzer dazu autorisiert ist auf die Applikation zuzugreifen.
  • Wenn der Benutzer nicht die erforderlichen Rechte besitzt, dann leitet Crowd den Benutzer zur Login-Seite weiter.
  • Sobald die Validierung erfolgreich war, leitet Crowd den validierten Token zurück zum SSO-Filter der Applikation.
    Wenn die Sitzung immer noch gültig ist, muss der Benutzer sich nicht erneut einloggen, selbst wenn er auf eine andere Applikation zugreift. Die Authentifizierung und Autorisierung wird für den Benutzer transparent sein.
• Schritt 3: Verarbeitung der HTTP-Anfrage.
  • Der SSO-Filter der Applikation leitet die Anfrage zum Business Logic Handler weiter. (In einer Java-Applikation ist das das Servlet.)
  • Der Business Logic Handler verarbeitet die Anfragen und erstellt die Antwort.
• Schritt 4: Die HTTP-Antwort.
  
  • Die Applikation sendet die Antwort zurück an den Browser.

Hier ist ein Überblick über die Servlet-Filter von Oracle und ein nützliches Tutorial von O'Reilly.

Der SSO-Filter wird entweder durch ein Security-Framework oder einen benutzerdefinierten Code zur Verfügung gestellt:

Crowd für das SSO konfigurieren

Unten sind die Konfigurationseinstellungen, die sich auf das SSO auswirken:

Konfigurieren Sie die Applikationen für das SSO

Wenn Sie Crowd in eine Applikation integrieren, müssen Sie die Applikation für die Benutzung von Crowd als zentralisiertes Authentifizierungs-Repository konfigurieren. Bei den meisten, aber nicht allen, Applikationen können Sie außerdem noch das SSO konfigurieren. Dies ist für jede Applikation im Detail beschrieben:

• Crowd in Atlassian Bamboo integrieren
• Crowd in Atlassian Confluence integrieren
• Crowd in Atlassian CrowdID integrieren
• Crowd in Atlassian Crucible integrieren
• Crowd in Atlassian FishEye integrieren
• Crowd in Atlassian Jira integrieren
• Crowd in Atlassian Bitbucket Server integrieren
• Crowd in Atlassian Acegi Security integrieren (auf Englisch, da bereits veraltet)
• Crowd in Atlassian Apache integrieren
• Crowd in Atlassian Jive Forums integrieren
• Crowd in Atlassian Spring Security integrieren
• Crowd in Atlassian Subversion integrieren
• Crowd in eine benutzerdefinierte Applikation integrieren
• Crowd in Atlassian Hipchat integrieren

Problembehandlung beim SSO

Lesen Sie die Seite über die Problembehandlung beim SSO mit Crowd.

SSO hinter der Firewall

Crowd erlaubt Ihnen das SSO für Applikationen hinter der Firewall zu erweitern, indem Sie CrowdID und Crowds Google Apps Konnektor benutzen.

CrowdID als OpenID-Anbieter verwenden

Crowd erlaubt es Ihnen einen OpenID-Anbieter zu hosten, genannt CrowdID, sodass Ihre Benutzer einen einzelnen Authentifizierungspunkt für alle OpenID-freigeschaltete Webseiten haben. Lesen Sie dazu die CrowdID Administrationsanleitung und die CrowdID Benutzeranleitung.

OpenID ist ein offenes, kostenloses Protokoll, welches einem Benutzer erlaubt einen einzelnen Identifier zu haben, mit dem er sich an allen OpenID-freigeschalteten Webseiten einloggen kann. Die Webseite wird mit einem bestimmten OpenID-Anbieter kommunizieren (in diesem Fall mit Ihrem CrowdID Server), wenn die Zugangsdaten eines Benutzers verifiziert werden sollen. Wenn Ihr Team zum Beispiel das CRM-Tool Highrize von 37signals in Kombination mit Crowds OpenID-Anbieter verwendet, bedeutet das, dass Sie das SSO zwischen Highrize und den Applikationen hinter Ihrer Firewall für Ihr ganzes Team herstellen können.

SSO mit Google Apps verwenden

Crowd bietet das SSO für Google Apps mit dem Google Apps Konnektor an, der mit Ihrer Crowd-Installation kommt. Das bedeutet, dass sich Ihre Benutzer einmalig einloggen und dann zwischen den Google Apps und anderen Applikationen, wie Jira, Confluence, etc. bewegen können.