将CAS与OAuth结合起来

Question

我们已经在使用CAS进行单点登录以用于我们托管的多个Web应用程序。现在，我们将在我们的网络中部署多个HTTP/REST服务，这些服务需要身份验证和授权。

将CAS与OAuth结合起来会不会是个好主意？

用户仍然会将CAS用于SSO，但是另外登录过程会发出将用于访问REST服务的OAuth票证。

Answer 1

这当然是有效的。 OAuth 2.0没有指定/规定用户（资源所有者）如何进行身份验证，CAS/SSO是否适用。实际上，您将利用CASized授权服务器，以便资源所有者使用CAS向授权服务器进行身份验证，授权服务器“仅仅”是CAS SSO系统的应用程序。然后，授权服务器将向客户端发出访问令牌，以便客​​户端可以使用该访问令牌来访问受保护的资源，即REST服务。

Answer 2

REST服务可以通过CAS代理authn进行保护。另外，它们可以与OAuth集成。 CAS还提供了OAuth和OIDC协议功能。