菜单

单点登录

下载

1，基础概念

1.1 SSO 单点登录概述

SSO 单点登录，基于宁盾 AM（一体化统一认证系统）实现，用户仅需要完成一次身份认证，即可访问多个已信任的业务应用系统，无需重复输入账号密码，实现一套身份通行多个业务系统，兼容国产身份域管 ND 控，支持 SAML2.0、OIDC、OAuth2、CAS 等主流标准协议，支持 B/S、部分 C/S 应用的统一认证接入。

1.2 核心组件释义

名词 释义
SSO 单点登录 Single Sign‑On，一次认证，多应用免密访问的身份能力，由宁盾 AM 服务端提供核心能力
AM 宁盾一体化统一认证系统，SSO 的服务总控，提供 SSO 协议服务、应用注册、身份鉴权、会话管理，是 SSO 核心控制平台
UC 用户中心，SSO 门户载体；员工自助 SSO 门户，展示已授权应用，用户从此门户一键跳转 SSO 应用，同时提供密码、MFA 自助管理
ND 控 宁盾身份域管，SSO 的身份数据源，存储用户、组织、角色、自定义属性，为 SSO 提供账号与属性数据
LDAP 目录访问协议，ND 控对外输出身份数据，AM 从 LDAP 读取用户身份信息用于 SSO 认证鉴权
NDCA 宁盾证书服务，为 SAML 协议提供签名证书，实现 SAML 报文签名验签，保障 SSO 报文传输安全
SP 服务提供方，即业务应用系统；接收 AM 下发的身份票据，完成本系统登录
IdP 身份提供方，即宁盾 AM；负责用户身份校验，生成身份票据转发给业务应用 SP

1.3 支持协议说明

协议 适用场景
SAML2.0 主流云平台、商用成熟业务系统，适合跨域、异构系统对接，支持签名加密
OIDC/OAuth2.0 互联网应用、自研 Web、移动端应用，基于 Token，现代业务系统首选
CAS 传统老业务系统，校内旧业务平台，简单 Web 单点登录场景
Easy‑SSO 宁盾自研协议，用于无法改造、无标准协议的 B/S 应用

1.4 SSO 原理与业务流程

  1. 用户访问业务应用 SP；SP 检测用户未登录，跳转至 IdP（宁盾 AM）SSO 认证地址

  2. AM 向 ND 控 / LDAP 校验用户账号密码、MFA 多因素信息，完成身份认证

  3. 认证成功，AM 建立全局 SSO 会话，生成身份票据 SAML 断言 / OIDC ID‑Token

  4. 将票据回调传递给业务应用 SP

  5. SP 校验票据合法性，解析用户账号、属性，完成业务系统登录

  6. 用户后续访问其他已授权 SSO 应用，只要 SSO 会话未过期，直接免密跳转登录，无需再次输入账号密码

单点登出：触发登出时，AM 销毁全局 SSO 会话，同时通知各个 SP 销毁本地会话，实现一处登出，全部应用登出。

2，如何使用 SSO 单点登录

2.1 前置准备工作

  1. 已部署完成 宁盾SSO身份一体化平台，用户、组织架构数据完整；账号状态正常。

  2. AM 服务运行正常，网络连通：AM 与业务应用网络互通；业务应用可访问 AM SSO 端点地址

  3. 获取业务应用 SP 对接参数：回调地址、实体 ID、请求地址；如 SAML 需要 SP 元数据；OIDC 需要重定向地址

2.2 SAML2.0 应用对接配置

  1. 登录宁盾 AM 管理后台，进入【应用管理】→【新增应用】，选择 SAML2.0 类型应用

  2. 导入业务应用 SP 元数据 XML 文件；或者手动填写 SP EntityID、ACS 回调地址、登出地址

  3. 配置 IdP 信息：导出 AM（IdP）元数据，交付给业务系统运维人员配置到业务应用侧

  4. 签名配置：证书，开启断言签名、响应签名，按需开启加密

  5. 属性映射配置：配置需要传递给业务系统的字段（登录名、用户名、邮箱、组织、角色）

  6. 保存应用配置；进入授权设置，分配可访问该应用的用户 / 组织 / 角色

  7. 测试流程：UC 门户点击应用图标，跳转业务系统，验证是否自动登录成功。

2.3 OIDC/OAuth2.0 应用对接配置

  1. AM 后台【应用管理】→新增应用，选择 OIDC 类型

  2. 填写应用回调重定向 URI（业务应用接收 code 的地址）

  3. 系统生成 Client ID、Client Secret，交付业务应用开发人员

  4. 设置授权范围 scope：openid、profile、email 等

  5. 配置 claim 属性映射，指定需要随 ID‑Token 下发的用户字段

  6. 分配访问权限；业务应用侧配置 OIDC 端点（AM 提供的授权、token、用户信息地址）

  7. 测试 SSO 跳转登录。

2.4 CAS 协议应用对接配置

  1. AM 后台新增 CAS 类型应用，录入业务应用服务地址

  2. 将 CAS 服务端点地址告知业务系统，业务系统配置 CAS 客户端指向宁盾 AM

  3. 设置允许回调的服务域名白名单

  4. 设置属性返回字段，分配用户访问权限，测试登录跳转。

2.5 账号属性映射配置

SSO 需要把 ND 控中的用户属性传递给业务系统，业务系统依靠属性识别用户身份。

  1. 进入对应 SSO 应用编辑页面，找到【属性映射】模块

  2. SP 字段名称填写业务系统识别的字段 key；IdP 来源字段选择 ND 控 / LDAP 内属性（loginName、displayName、mail、department 等）

  3. 如果业务侧字段名和域管属性不一致，需要自定义映射关系；支持常量映射

  4. 修改完成保存，重新发起 SSO 登录，业务应用抓取报文确认属性是否携带。

2.6 用户门户访问使用

  1. 普通员工访问 UC 用户中心门户地址

  2. 使用 ND 账号密码登录门户，可配置 MFA 二次校验

  3. 门户页面展示当前用户有权限的所有 SSO 应用图标

  4. 点击应用图标，自动跳转，免密登录业务系统

  5. 点击门户登出，触发全局 SSO 单点登出。

最近修改: 2026-10-22Powered by