Salam,

Aku memerlukan input dari warga putera utk memberi sumbangan idea dlm pembangunan single sign-on.
Jadi biar aku mulakan dengan definisi SSO dlu.

SSO = aplikasi yg membenarkan pengguna memasuki mane2 laman web yg memerlukan log in dgn hanya skali log-in.
Dengan kata lain...instead of korang masuk 30 website dgn 30 kali login,dgn SSO korang just login skali je..

Antara yg pki SSO ialah google.
Ade byk jenis SS0,selain berjenis mcm google,Microsoft Passport antara produk microsoft yg menggunakan senibina SSO.


Jadi ada sesiapa yg ada idea utk melakarkan idea utk SSO?

Aku pernah diminta untuk buat SSO untuk previous company. Dua applikasi bergerak atas dua platform berbeza, Tomcat dan JBoss. guna dua database berbeza. Tapi masa tu aku fresh grad lagi (dan masa terhad dan aku tak dibenarkan nak ubah structure system), aku guna hidden field untuk simpan data. Seriously, memang tak secure langsung. Aku yang sengal pun boleh godam

Tapi sekarang aku rasa kalau nak buat SSO ni, elok ada satu applikasi untuk user management sahaja. Lepas tu applikasi lain semua point pada DB nieh untuk login and user management.

Macam kau katakan, antara laman popular yang gunakan SSO adalah Google dan Yahoo! Sekarang ada OpenId. Ini mantap juga, dengar citer Yahoo! dan nak implement openId gak. Google (untuk blogspot) dah gunakan Open Id ni.

Pada aku, macam aku katakan, cara paling senang nak implement SSO ni adalah dengan adanya satu applikasi untuk user management sahaja. Password, info, etc semua kait dengan user guna application ni. Nampak teratur. Bila rasa dah boleh nak synchronized, baru biarkan applikasi lain boleh ubah user info melalui applikasi-applikasi lain ni.

Oh bila nak buat SSO ni, aku rasa cookie dan session memang memainkan peranan penting nak simpan data. Kalau kau buat cross-platform. Kalau satu platform, lain applikasi, rasanya takda masalah kot.

Sekadar cadangan dan pendapat

Sekadar Pendapat:
Trend yang aku lihat skrg ni ialah satu pusat untuk provide authentication request. Portal atau App yg lain boleh mintak izin dari pusat tersebut untuk authenticate users, dan memaklumkan kepada Portal / App tsbt setelah berjaya. "Token kekal" akan diberikan, jadi Portal / App tsbt hanya menyimpan token sahaja untuk mengenalpasti user. Sudah tentulah, pusat tadi yang menyimpan segala user profil termasuk username dan password..

Ringkasan Pendapat..
1) Cipta satu Pusat Pengendali Profil pengguna, yang turut menyediakan authentication services.
2) Token exchange. Token akan diberikan pada Portal / App setelah user berjaya login.
3) Portal / App akan menyimpan token sahaja untuk mengenalpasti pengguna atau pelawat berulang.

Cadangan:
1) Untuk transfer token dari pusat ke Protal / App, boleh guna XML atau URL, tapi pastikan Token tadi di hash kan se-secure mungkin, beserta kaedah pemindahan yang selamat.

Kiriman ini telah diubahsuai oleh firefolk: Feb 25 2008, 12:01 AM

Dari segi programming mungkin jugak center macam OpenID hanya akan providekan APIs (Programming Interface) kepada laman-laman web yang nak guna aplikasi SSO. Contohnya OpenID bagi APIs kepada websiteA dan websiteA akan design sistem berdasarkan APIs yang dah disediakan. Begitu jugak dengan websiteB, websiteC etc.

Dari segi framework, mungkin ianya lebih kurang macam Windows yang login guna Domain. Semua user dan password akan disimpan dalam satu server.

Thanx guy...
aku appreciate apae yg korang sumbang kan..
aku keep on utk monitor thread nih..cume skng ni bz sgt..


Ape yg aku harapkan at the end..
aku dapat idea utk buat satu app SSO.


Gunakan Info server-centric ni bagi aku kurang seswai memandangkan aku nk buat minimal changes pada code.

Let say,aku pki 7-8 web app yg diinstall ke dalam internal server.App ni adalah opensos..contohnye DMS,phpProjekt,TimeManagement.
So klu aku pki SSO yg UserLogin dia di tempat lain,aku kene buat massive changes kat setiap app nih..

Kalau ade cara yg boleh buat SSo,tapi minimal changes pada web app..lagi cun..

Nanti aku sambung idea aku..cume skang ni bz banget sehhh

Rasanya kalau camni, kena kot nak guna OpenId. Tapi, kena SSL la tak silap

guna COOKIE jer la..