SSO(Single Sign On)

Single Sign On (& Single Sign Out)

CAS를 이용한 SSO 기능구형에 대한 기록을 블로그에 남기기로 했다.

한글로 되어 있는 블로그를 찾기 힘들어서 다른 분들에게 조금이나마 도움이 되었으면 하는 마음에 남긴다.

 

SSO를 왜 써야 할까?

 

우선 시나리오를 만들어보자.

---

시나리오 : 

웹 솔루션 서비스를 제공하는 회사를 하나 만들었다고 생각해보자.

 

처음에는 하나의 제품만을 서비스 했다.

서비스가 성공적이었고 또 다른 제품을 만들어 서비스 하게 되었다.

서비스가 또 성공적이었고 또 다른 제품을 만들어 서비스 하게 되었다.

서비스가 또또 성공적....

 

이렇게 여러 제품을 만들어 서비스도 잘 되고 있는데 사용자들이 불만을 갖기 시작한다.

"어째서 케넨소프트의 서비스는 한 회사의 제품이고 아이디와 비밀번호가 같은데 매번 로그인 해야하죠?? 너무 불편해요!! (좋아요 23412)"

 

그렇다.

한 회사의 제품이고 아이디와 비밀번호가 같은데 매번 로그인을 수행하는 것은 사용자 입장에서는 참으로 비효율 적이고 불편한 일이다.

로그인 뿐만 아니라 그렇게 각각 로그인 했을 경우 로그아웃도 각각 해줘야 하기 때문에 보안적으로도 취약하다.

그리고 

비밀번호 암호화 알고리즘을 변경해야 하는 일이 생겼다고 생각해보자.

모든 서비스 담당자들은 본인이 담당하고 있는 제품들의 로그인 부분을 수정해야 한다.

로그인 암호화 방식을 변경하는 일이기 때문에 출시 일정을 정해야 하는데 쉽지가 않다.

각자 일정이 잡혀 있기 때문이다.

 

그리고는 생각했다. 

로그인을 한곳에서 하면 어떨까??

---

위에 적은 시나리오 처럼 여러가지 애플리케이션을 서비스 하게 되면 반드시 필요한 것이 바로

통합인증 이다.

 

SSO 란?

SSO 란 여러가지 애플리케이션 서비스를 하나의 인증서버를 통해서 인증 할 수 있는 기술(또는 프로토콜)을 뜻한다.

 

SSO 장점

• 한 번의 로그인으로 여러 서비스를 추가적인 로그인 작업을 하지 않고 사용 가능하기 때문에 사용자의 편의성이 향상된다.

• 로그인 로직이 변경되거나 암호화 방식을 변경해야 할 경우 제품마다 적용할 필요 없이 인증 서버만 수정하면 되기 때문에 효율적이다.

• 하나의 서비스에서 로그아웃을 할 경우에 다른 서비스들 역시 로그아웃(세션만료) 시킬 수 있기 때문에 보안적인 이점이 있다.

SSO 구현

SSO는 기술 또는 프로토콜을 뜻하고 구현 방법에는 몇가지가 있는데,

나는 SpringSecurity와 CAS(https://www.apereo.org/projects/cas) 를 이용했고 이를 설명할 것이다. 

 

Spring Security와 CAS를 이용한 SSO 에 대한 튜토리얼은 아래 링크를 통해 따라할 수 있다.

 https://www.baeldung.com/spring-security-cas-sso

CAS SSO With Spring Security | Baeldung

튜토리얼대로 잘 따라하면 문제 없이 튜토리얼을 실행시킬 수 있을 것이다.

인증 서버 프로젝트, 클라이언트 프로젝트를 각각 생성해서 테스트 해보는 내용이다.

하지만 언제나 그렇듯... 튜토리얼은 튜토리얼이다.

여러가지 요구사항에 대응하고, 여러가지 변수에 대처하기 위해서는 Spring과 Spring Security에 대한 어느정도 지식이 필요하다.

그렇다고 해서 Spring Security에 대한 모든 것을 알아야 하는 것은 아니므로, 어느정도 기반지식이 있다면 SSO 를 구현하면서 함께 습득할 수 있다.

 

Spring & CAS 동작 순서

여기에서는 요약만 하고 다음 글에서 소스와 함께 설명하겠다.

또한 Proxy에 대한 내용은 포함시키지 않았다.

1. 사용자가 인증이 필요하지 않는 Public 페이지에 접근한다. (이 때는 CAS가 어떤 동작을 취하지 않는다.)

2. 로그인 하지 않은 사용자가 인증이 필요한 페이지에 접근을 하게 되면,
   Spring Security의 ExceptionTranslationFilter가 AccessDeniedException 또는 AuthenticationException을 탐지한다.

3. 인증이 완료되지 않은 사용자가 secured page에 접근하는 경우에는 AuthenticationException 을 throw 하게 되는데, ExceptionTranslationFilter 는 이 경우에 AuthenticationEntryPoint 에 설정되어 있는 메소드를 호출하게 된다.
   CAS를 사용할 경우에는 CasAuthenticationEntryPoint 클래스가 사용된다.
4. CasAuthenticationEntryPoint는 사용자 브라우져를 Cas 인증 서버로 redirect 시킨다.
   redirect 시에 'service' parameter 를 함께 전달하는데, 이것은 현재(당신의) Application의 Spring Security Service로의 callback URL이다.
   예)https://cas.server.com/cas/login?service=https://my.application.com/login/cas
5. CAS 인증서버로 redirection 되면 사용자 이름과 비밀번호를 묻는 화면이 나온다.
   인증서버는 사용자 이름과 비밀번호의 유효성 여부를 결정하기 위해 PasswordHandler 또는 AuthenticationHandler(CAS 3.0을 사용할 경우)를 사용한다. 
   (사용자가 이전에 같은 세션 쿠키로 로그인 되어 있다면 다시 로그인 하라는 화면은 표시되지 않는다.)
6. 로그인에 성공하면 CAS는 사용자의 브라우저를 원래 서비스로 redirection 한다.
   redirect 시에 서비스 티켓을 의미 하는 'ticket' Parameter 를 함께 전달한다.
   예)https://my.application.com/login/cas?ticket=ST-0-ER94xMjmn6qha35CQRoz
7. Application(client) 서버에서는 CasAuthenticationFilter 가 '/login/cas' 로의 요청을 처리하게 되어있다.
   처리 필터는 서비스 티켓임을 나타내는 UsernamePasswordAuthenticationToken을 생성한다. 이때 Authentication 의 Principal은 CasAuthenticationFilter.CAS_STATEFUL_IDENTIFIER("_cas_stateful_")가 되고  credentials은 CAS 인증 서버에서 받은 'ticket'(서비스티켓)이 값이 된다.
   이 인증 요청은 AuthenticationManager에 전달된다.
8. AuthenticationManager의 구현체는 ProviderManager이며 AuthenticationProvider(CasAuthenticationProvider)로 차례로 구성된다.
   CasAuthenticationProvider는 CAS 고유의 주체인 CasAuthenticationFilter.CAS_STATEFUL_IDENTIFIER 및 CasAuthenticationToken(나중에 설명)을 포함하는 UsernamePasswordAuthenticationToken에만 응답한다.
9. CasAuthenticationProvider는 TicketValidator의 구현체를 통해 서비스 티켓의 유효성을 검사한다. 일반적으로 CAS 클라이언트의 라이브러리에 포함 된 클래스 중 하나인 Cas20ServicetTicketValdator를 사용하는데, Application이 프록시 티켓의 유효성을 검사해야 하는 경우에는 Cas20ProxyTicketValidator가 사용된다.
   TicketValidator는 서비스 티켓의 유효성을 검사하기 위해 CAS 인증 서버에 HTTPS 요청을 보낸다.
   예)https://cas.server.com/p3/serviceValidate?ticket=ST-1-exZxTmzeBMMcLHd9sJm2-kkt0929&service=https://my.application.com/login/cas
10. CAS 인증서버에는 유효성 검사 요청을 받게 되고, 요청에 포함된 서비스 티켓이 CAS 서버에서 발급한 서비스 URL과 일치하면 CAS는 사용자 이름을 포함하는 XML형식의 success 응답을 한다.
11. Application의 Cas20TicketValidator는 CAS 서버에서 받은 XML을 분석한 뒤,
    사용자 이름(필수)을 포함한 TicketResponse(Assertion) 를 CasAuthenticationProvider로 리턴한다.
12. CasAuthenticationProvider는 Assertion에 포함 된 사용자에게 적용되는 GrantedAuthority 를 가져오기 위해 AuthenticationUserDetilasService에 요청한다.
13. 문제가 없는 경우 CasAuthenticationProvider는 TicketResponse 및 GrantedAuthority에 포함 된 세부 정보를 포함하는 CasAuthenticationToken을 생성한다.
14. 그리고 CasAuthenticationFilter로 돌아가서 생성된 CasAuthenticationToken을 Security Context에 저장한다.
15. 사용자의 브라우저는 AuthenticationException을 발생시켰던 원래 페이지로 redirection 된다.

 

위에 설명한 15가지 순서가 Spring Security와 Cas가 동작하는 순서이다.

각각의 설명은 Application 프로젝트에 대해 글을 작성 할 때 자세하게 다룰 것이다.

 

Spring Security와 CAS 를 사용한 SSO 에 대한 설명은 여기까지만 하고 

실제로 구현해보도록 하자.