TWI249931B - Unique sign-on service system based on electronic directory service of directory server - Google Patents

Description

1249931 玖、發明說明： 【發明所屬之技術領域】 本發明係關於一種以目錄伺服器之電子目錄服務為基礎之單一簽入服 務系統，特別是指一種使用者只須輸入一次帳號密碼即可進入多個資訊系 統的以目錄伺服器之電子目錄服務為基礎之單一簽入服務系統。 【先前技術】 以目前使用者在登入企業内部資訊系統與一般網際網路上的入口網站 時，都需要經過身分認證機制認證成功後才能進入到資訊系統與入口網 站’而使用者面對這麼多的資訊系統與入口網站，除了要記住登入每個資 訊系統與入口網站的帳號與密碼外，還必須需要每到一個資訊系統就需要 重複輸入帳號與密碼，實在是不方便，而目前為了要解決這問題，目前既 有的解決方案大都是將使用者帳號與密碼暫存紀錄在關連式資料庫 (Relationd Database)或本機觀(L〇calFile)，供合法與信任的資訊系統或網 站來提供SQL 或疋其他方式查詢，甚至有些是暫存在應用祠服器 (APPHCationS㈣_ Sessi〇n變數裡。但由於這些方式具有以下缺點： L都會暫存姻者的帳號與密碼蚊，對純㈣安全性來說，會 造成一定的風險與低安全性。 .偶若Server被侵入了，那使用者的相關重要資訊就被看穿了 由此可知前述方法仍有諸衫適的地方，還有改善的地方。本案 人鑑於上_方式崎生的各_，乃Μ相改_，並經 苦心麟潛心深人研究後，終於成功研發完成本件以目錄娜器之電- 錄服務為基礎之單一簽入服務系統。 【發明内容】 本發明之目的即在於提供一種以目錄伺服器之電子目錄服務為基礎之 單一簽入服務系統’係改善目前各資訊系統須個別處理使用者的登入與驗 證密碼的情況。 本發明之目的二即在於提供一種以目錄伺服器之電子目錄服務為基礎 之單一簽入服務系統’係可根據使用者的密碼長度與各資訊系統的相互配 合’來判斷是否可進入高安全性等級的資訊系統。 本發明之目的三即在於提供一簡易架構、尤其適用於以LDAP協定的 目錄伺服器之電子目錄服務做為身分認證與授權的資訊系統單一簽入的架 構。 達成上述發明目的之以目錄伺服器之電子目錄服務為基礎之單一簽入 服^務系統’係利用LDAP協定的目錄伺服器之電子目錄服務為暫時儲存媒 體，其原因是因為它具有❶單一命名(Naming)❷快速簡易的搜尋功能❸分散 式架構(Distributed)❹參考重導(referrai)等特性，可當作使用者身分認證機制 由此單一簽入服務機制產生之唯一單一簽入值(此丨―sign〇nKey)的暫 時儲存媒體，來達到單一簽入的服務。且本發明之另一功能為可根據使用 者的岔碼長度與各資訊系統的相互配合，來判斷是否可進入高安全性等級 的資訊系統。 【實施方式】 本發明係為改善傳統使用者欲登入各資訊系統，都須重複輸入使用者 1249931 帳號舆密碼以及資訊系統都須重複開發判斷使用者帳號密碼的登入網頁架 構。在以目錄伺服器之電子目錄服務為基礎之單一簽入服務系統中，使用 者只須輸入一次帳號密碼。本發明則提供一簡易，尤其適用於利用LDAp協 疋之目錄伺服态之電子目錄服務來做使用者身分帳號密碼認證的資訊系 統。 本發明適用的整體環境如圖一所示，使用者可透過單一簽入服務伺服器 與目錄伺服器之電子目錄服務來達到使用者只須輸入一次帳號與密碼，即 可遊走各資訊糸統的情境。其步驟如下所述·· •使用者1點選欲登入資訊系統或入口網站3，則單一簽入服務伺服器2 會呈現一須使用者輸入帳號密碼網頁，係使用澍覽器η連接 上單一簽入服務伺服器2。 二·經單一簽入服務伺服器2判斷使用者帳號密碼無誤後，將會把唯一單一 簽入值存入目錄伺服器並將此值重導至後端資訊系統或入口網站3。 二·後端貧訊系統或入口網站3利用簽入服務伺服器2所帶過來的唯一單一 簽入值與目錄伺服器之電子目錄服務做一查詢，如果無誤，則可進入 此資訊系統或入口網站3。 四·若使用者欲前往另一資訊系統或入口網站4，則單一簽人服務祠服器2 將、、’I由判辦得知使用者已有唯一單一簽入值，並將此值重導至使用者 4人别在的負訊系統或入口網站4。 本發明的重要核心單一簽入服務伺服器，整體細部流程示意圖如圖二 所示，其步驟如下所述： 1249931 年入）- .〇· - 一·使用者1第一次開啟www瀏覽器Η，欲前往登入資訊系統3。 一·育訊系統3的首頁31將使用者無條件重導至單一簽入服務程式5頁 面，並帶入資訊系統3的第二頁URL32,準備進行單一簽入服務。 二·由於使用者1第一次進入單一簽入服務程式5頁面，單一簽入服務程式 5呈現給使用者輸入帳號密碼網頁51。 四·待使用者1輸入正確的帳號與密碼後，單一簽入服務程式5將會至後端 目錄伺服器6之電子目錄服務判斷其使用者帳號與密碼正確性。 五.如果目錄祠服器6判斷帳號密碼正確無誤，則會回傳”，，訊息，代 表認證成功。 丨〜早-簽入服務程式5接收到目錄伺服器6回傳的”訊息，接著 會產生唯-單-簽入值，並齡在目錄祠服器6上使用者i的個人£卿 裡。 七. 早-簽入服務程式5並且將唯一單一簽入值寫入使用者w驟瀏覽器 11 的 cookie 〇 八. 早—簽人服務程式5將使用者1重導至資訊純3的第二頁32，並夾 帶唯一單一簽入值給資訊系統3的第二頁32。 九. 資訊系統3的第二頁32將收到的唯一單一簽入值，資訊系統3將利用 專屬程式至目錄飼服器6做搜尋，查看此值是否存在目錄伺服器^之 電子目錄服務上。 十.如准一單—簽入值存在目錄他器6之電子目錄服務，資訊系統3的第 二頁32將可制制者丨基本:雜，社此魏錢3就可允許使 1249931 用者且入此貝λ系統3 ’並且可加人各資訊祕所需要的流程與其他步 驟。 十-·接著，如果制者！欲前往f訊系統4。 十二.資訊祕4的首頁^也將使用者i祕件重導至單_簽人服務程式 5 〇 十二·早-簽入服務程式5可由使用者ww職器U的C感e/Sessi〇n 抓取到唯單簽入值，則代表使用者j剛剛有經由單一簽入服務程 式5成功登入過。 十四·由於使用者Cookie/Sesskm已有唯一單一簽入值，故單一簽入服務程 式5將不會出現使用者輸人帳號密碼網頁5卜而會重導至資訊系統4 的第一頁42，並夹帶由到的唯一單一簽入值給資訊 系統4的第二頁42。 十五·資訊系統4第二頁42將收到的唯一單一簽入值，去查詢是否存在目 錄飼服器6之電子目錄服務(同步驟九）。 十六·如唯一單一簽入值存在目錄伺服器6之電子目錄服務，資訊系統4的 第一頁42將得到使用者基本資料，而資訊系統4就可允許使用者登 入此資訊系統4 (同步驟十）。 本發明的另一重要重點如圖一所示，資訊系統可與單一簽入服務伺服 器與目錄飼服器6之電子目錄服務來配合，達到各資訊系統輕易的可判斷 使用者㊆、碼安全等級的魏，其概念如圖三所示，其步驟如下所述： 一、使用者1點選欲登入資訊系統3，則資訊系統3會利用^HTTP需 1249931 求多重重導單元將使用者丨重導至單人服務伺服器2，這時單‘ 一簽入服務程式會呈現讓使用者輸入帳號密碼網頁。 二、帳號密碼判斷無誤後，產生内含「具有使用者密瑪長度」屬性的唯 單一簽入值並存入目錄伺服器6，並將此唯一單一簽入值重導至 資訊系統3。 f 二、㈣系統利用簽入服務飼服器2所帶過來的「具有使用者密碼長度」 屬性唯一單一簽入值與目錄飼服器6之電子目錄服務查詢，並且與 貝訊系統本身預設的密碼等級作判斷，如果兩者都判斷無誤，則可鲁 進入此資訊系統。 本發明所提供之以目錄伺服器之電子目錄服務為基礎之單—簽入服務 系統，與其他習用技術互相比較時，更具備下列優點： 1.本發明可大幅減低各f訊系統_發維運時程，提供使用者更便利 與更友善的操作介面。 2·本發明可避免其他資訊系統重複的開發身分認證機制，更可確保使 用者且入日^女全性與便利性而提高行政效率，其競爭力與經濟雜· 更加顯著。 歹K羊、、、田說明乃針對本發明之一可行實施例進行具體說明，惟該實施 i非用以限制本發明之專利範圍，凡未脫離本發明技藝精神所為之等效 實施或變更，均應包含於本案之專職财。 、斤述本案不僅於技術思想上確屬創新，並具備習用之方法所不 述夕項功效’已充分符合新穎性及進步性之法定發明專利要件，爰 1249931 依法提出申請，懇請貴 【圖式簡單說明】 局核准本件發明專财請案以勵發明，至感德便 凊參閱以下有關本發明之詳細說明及其附圖，將可進一步瞭解本發明之 技術内容及其目的功效：有關附圖為·· 圖一為本發明以目錄飼服器之電子目錄服務為基礎之單一簽入服務架 構整體示意圖；

圖二為本單一簽入服務整體細部流程示意圖； I 圖二為該單〆簽入服矛务與各資訊系統依據密石馬長度，判斷是否可進入 此資訊系統的實際運作流程示意圖。 【主要部分代表符號】 1使用者 2單·^簽入服務伺服器 3資訊系統 4資訊系統 5單，簽入服務程式 _ 6目錄祠服器 11㈣W瀏覽器 31資訊系統3的首頁 32資訊系統3的第二頁URL 42資訊糸統*的第一頁 41資訊系統4的首頁 1249931 51輸入帳號密碼網頁

12

Claims (1)

1. Ϊ24993! 拾、申請專利範圍： L —種則錄伺服器之電子目錄服務為基礎之單—簽入服務系統，其 包括： 一網路，作為資料傳輸媒介； 一使用端，係為該網路上之使用者； 一單一簽入服務伺服器’ R含一單一簽入服務程式，其可呈現使用 者輪入帳號密碼網頁； —電子目錄服務伺服器，係用以儲存唯一單一簽入值及使用者帳號 密碼資料，可供各系統來查詢； HTTP而求夕重重導單元’負責將各資訊系統帶入的侧經由 該目錄飼服之電子目錄服務，認證授權後，重導至下_個而^丨 以及， 一資訊系統，其為使用者欲登入之標的； s該網路上之-使用端要求登入該資訊系統時，該資訊系統首 頁利用一 HTTP需求多重重導單元將該使用端重導至該單一簽入 服務祠服器’其呈現使用者輸入帳號密碼網頁，待使用者輸入帳號 始、碼後，該單一簽入服務程式將會至後端電子目錄服務伺服器判斷 其使用者帳號與密碼正確性，該電子目錄服務伺服器回傳訊息至該 單一簽入服務伺服器，並經由其内部之單一簽入服務程式加上唯一 單一簽入值，供各資訊系統查詢判斷用。 2·如申請專利範圍第1項所述之以目錄伺服器之電子目錄服務為基礎 13 1249931 之單一簽入服·務系統，其中該網路可為網際網路。 - 3. 如申請專利範圍第1項所述之以目錄伺服器之電子目錄服務為基礎 之單一簽入服務系統，其中該網路可為公司内部網路。 4. 如申請專利範圍第1項所述之以目錄伺服器之電子目錄服務為基礎 之單-簽入服務系統，其中該電子目錄服務伺服器之主要身分認證 機制係以LDAP協定的電子目錄服務。 5. 如申請專利範圍g 1項所述之以目錄伺服器之電子目錄服務為基礎 之單-簽入服務系統，其中該電子目錄服務伺服器係為該唯一單—Φ 簽入值的暫時儲存媒體。 6. 如申請專利範圍帛i項所述之以目錄伺服器之電子目錄服務為基礎 之單一簽入服務系統，其中該唯一單一簽入值之產生方法係為一單 一簽入機制演算法。 7·如申請專利範圍f 1項所述之以目錄伺服器之電子目錄服務為基礎 之單一簽入服務系統，其中與該資訊系統配合之安全等級係以唯一 單一簽入值來判斷之，作為把關各資訊系統安全的重要關口。 &如申請專利範圍第7項所述之以目錄伺服器之電子目錄服務為基礎 之單一簽入服務系統，其中該單一簽入值之屬性為「具有使用者密 螞長度」。 14 ...... * ' '' ' 1249931 I 一 r .-' j " · ! ^ l _ _ r — -- ·' ' ·..-···· -.··' ··- ；'： ..-.---- - - -- * - ·· · ·- -'- ·'-·- 柒、指定代表圖： (一） 本案指定代表圖為：第（二）圖。 (二) 本代表圖之元件代表符號簡單說明： 1使用者 2單一簽入服務伺服器 3資訊系統 4資訊系統 ^ 5單一簽入服務程式 6目錄伺服器 11 WWW瀏覽器 31資訊系統3的首頁 32資訊系統3的第二頁URL 42資訊系統4的第二頁 41資訊系統4的首頁 51輸入帳號密碼網頁 捌、本案若有化學式時，請揭示最能顯示發明特徵的化學式：