CAS 的安装与配置

发送反馈

iServer 、iPortal 及 iEdge 支持基于 CAS 的单点登录。CAS（Central Authentication Service）是 Yale 大学发起的构建 Web SSO 的 Java 开源项目。用户配置单点登录时，需设置 CAS 认证服务器，CAS 认证服务器负责完成对用户信息的认定，可单独部署于网络环境中。配置使用 CAS 单点登录的过程具体请详见配置使用 CAS 单点登录。

要使用 CAS 单点登录，首先需要搭建 CAS 服务，这里主要介绍 CAS 3.X 和 CAS 5.X 的配置方法。

配置 CAS 3.X
配置 CAS 5.X

配置 CAS 3.X

这里以在 Windows 系统中通过 cas-server-webapp-3.4.war 搭建 CAS 服务，并以 MySQL 作为存储用户信息的数据库为例进行说明。

准备 cas-server-webapp-3.4 包

从 http://www.apereo.org 下载 CAS 3.4 的安装包，然后将 cas-server-webapp-3.4.war 解压缩，解压缩的文件夹重命名为 cas，在 cas\WEB-INF\lib 中添加以下 jar 包，用于连接用户账户的数据库：

mysql-connector-java-5.1.6-bin.jar
commons-dbcp-1.4.jar
commons-pool-1.6.jar

此外，还需要下载 cas-server-3.4-release.zip，然后将此 zip 包里 modules 文件夹中的 jar 包都添加到 cas\WEB-INF\lib 文件夹里(除了 cas-server-core-3.4.jar，因为 cas-server-webapp-3.4 里已经包含)。

配置 CAS 连接的数据源

修改 cas\WEB-INF\deployerConfigContext.xml，在其中添加以下配置：

</bean>

注释掉以下这行代码：

在<property name="authenticationHandlers">节点的<list>节点下，添加以下内容：

</bean>

上述代码中粗体字段的含义如下：

password：变量 {password}，应写入实际的账户密码字段
users：变量 {users}，应写入实际的用户应用系统账户在数据库中保存的表名
user：变量 {user}，应写入实际的账户的名称字段

配置 CAS 登录后返回的属性信息

修改 cas\WEB-INF\deployerConfigContext.xml，注释掉以下几行代码：

<!-- <bean id="attributeRepository" class="org.jasig.services.persondir.support.StubPersonAttributeDao">

<map>

</map>

</property>

</bean> -->

添加以下配置：

<constructor-arg index="0" ref="dataSource"/>

<constructor-arg index="1" value="select * from users where {0}"/>

<map>

</map>

</property>

<map>

<!—配置返回的字段信息：usertype是账户的类型，id是账户的id，roletype用于iPortal配置，即CAS用户属性字段 -->

</map>

</property>

</bean>

上述代码中粗体字段的含义如下：

users：变量 {users}，应写入实际的用户账号的表名
user：变量 {user}，应写入实际的账户表的名称字段
usertype：变量 {usertype}，应写入实际的账户表里账户类型字段
roletype：变量 {roletype}，应写入 iPortal 的 shiro.ini 文件（位于【SuperMap iPortal 产品目录】\webapps\iportal\WEB-INF 目录下）中的 casRealm.attributeRuleMapping 配置的 cas 用户属性字段

找到 class 为 org.jasig.cas.authentication.AuthenticationManagerImpl 的 bean，找到其<property name="credentialsToPrincipalResolvers">节点的<list>节点，修改<list>节点的

为：

</bean>

返回属性信息还需要修改 CAS 目录下的 WEB-INF\view\jsp\protocol\2.0\casServiceValidationSuccess.jsp 文件，具体方法是在<cas:user>${fn:escapeXml(assertion.chainedAuthentications[fn:length(assertion.chainedAuthentications)-1].principal.id)}</cas:user>后面添加：

<cas:attributes>

<cas:test>test_value</cas:test>

<c:forEach var="auth" items="${assertion.chainedAuthentications}">

<c:forEach var="attr" items="${auth.principal.attributes}">

<cas:${fn:escapeXml(attr.key)}>${fn:escapeXml(attr.value)}</cas:${fn:escapeXml(attr.key)}>

</c:forEach>

</cas:attributes>

允许以 http 的方式登录 CAS Server

修改 cas\WEB-INF\spring-configuration\ticketGrantingTicketCookieGenerator.xml 文件，使得可以使用 http 协议的方式登录 CAS：将 CookieRetrievingCookieGenerator 的 p:cookieSecure 设置为"false"。

以上配置设置完成后，将 CAS 文件夹放置到 tomcat 的 webapps 目录里，启动 tomcat，此时可以访问 http://casserver:port/cas，用上面配置的 iportalusers 数据库中 users 表的用户账户登录 CAS。

配置 CAS 5.X

iServer/iPortal/iEdge 从 9D 版本开始支持 CAS 5.x 单点登录，但由于 CAS 5.x 相较于 CAS 3.x 有较大的差异，部署方式也不同，且没有官方推出的 5.x 发行版，所以用户需要手动构建 war 包。CAS 的服务端搭建常用的方式有两种：

基于源码构建
使用 WAR Overlay 安装

官方推荐使用第二种，配置管理方便，后续升级也容易，因此此处也以 Windows 系统为例介绍使用 WAR Overlay 搭建服务的具体步骤。

下载 CAS Overlay

由于 CAS 5.X 无发行版本，因此需要使用 Git 下载 CAS Overlay，在切换到下载目录后，输入以下 git 命令进行下载：

git clone -b 5.3 https://github.com/apereo/cas-overlay-template.git

下载完成后，目录下新增了一个名为 cas-overlay-template 的文件夹。

数据库配置

在数据库中创建数据库、表和帐号数据，用于 CAS 进行对 iServer/iPortal/iEdge 账号信息的管理。此处以 MySQL 数据库为例：

CREATE DATABASE `localmysql`;

DROP TABLE IF EXISTS `app_user`;

CREATE TABLE `app_user` (

`id` INT(11) NOT NULL AUTO_INCREMENT,

`username` VARCHAR(45) DEFAULT NULL,

`password` VARCHAR(45) DEFAULT NULL,

`role` VARCHAR(45) DEFAULT NULL,

PRIMARY KEY (`id`)

);

INSERT INTO `app_user` VALUES (1,'cas','1234567','admin');

增加依赖

为实现 iServer (或 iPortal、iEdge) 单点登录的对接，需找到 cas-overlay-template 目录下的 pom.xml 文件，增加依赖。

添加数据库的 JDBC 插件，在 pom.xml 增加如下依赖：

<groupId>org.apereo.cas</groupId>

<artifactId>cas-server-support-jdbc</artifactId>