CARSI 教育网联邦认证和资源共享服务

59次阅读

共计 2032 个字符，预计需要花费 6 分钟才能阅读完成。

CARSI 教育网联邦认证和资源共享服务

之前在超星实习的时候，有帮助一些高校，接入CARSI认证，今天在查论文的时候，发现很多资源提供商也接入了CARSI，我们只需要登录自己学校的统一身份认证账户和密码，就可以方便的访问各个资源网站，不需要重新登录以及注册。当时也没有深究，现在我来看看这个是怎么实现的。

CARSI 简介

官网：https://www.carsi.edu.cn/

什么是CARSI？

官网解释：CARSI （CERNET Authentication and Resource Sharing Infrastructure）教育网联邦认证和资源共享服务，2008年12月由北京大学计算中心发起建设，在国内高校已经普遍建设完成的校园网统一用户管理和身份认证系统基础上，面向中国高校和科研机构提供跨域身份认证和资源共享服务。

如何访问CARSI资源？

任何人（已经加入CARSI的高校校园网用户）、任何时间（白天、晚上、平时、节假日）、任何地点（学校、家里、出差路上、野外）、任何联网形式（手机4G、咖啡店Wi-Fi）、访问线下已经获取权限的应用系统/服务。比如：学校购买某个学术数据库后，在校外无需连接校内VPN，直接通过Shibboleth方式就可以访问该学术数据库。

就拿超星数据库举例，当学校购买了超星的数据库后，超星和学校都已经接入CASRI，那么当学生访问超星网站时，超星需要提供对应的CARSI登录入口，如下图：

从这个入口进入，就可以找到该学校的入口，登录后即可访问超星数据库资源。

什么是Shibboleth？

Shibboleth 是一种基于开放标准的身份认证和授权系统，旨在为各种类型的应用程序提供安全的、单点登录（Single Sign-On，SSO）的访问控制。Shibboleth 的设计理念是“分离身份认证和授权”，它采用了基于属性的访问控制（Attribute-Based Access Control，ABAC）模型，可以将用户身份和属性信息传递给不同的应用程序，从而实现对应用程序的不同资源和服务的访问控制。

Shibboleth作为开源软件开发，在Apache 软件许可证下发布。关于个别部件的更多信息详见官方网站。

参考链接：https://www.shibboleth.net/index/

CARSI的角色

身份提供者（IdP，Identity Provider）：主要就是各个高校，从CARSI的官网可以看出，他负责提供Web单点登录功能，对用户进行身份认证并向服务提供商（SP，Service Provider）提供身份数据
服务提供商（SP，Service Provider）：主要是提供各种资源，在idp的用户（例如学生）经过身份认证后，支持用户访问某些限制访问的资源，比如图书馆资源，数据库访问权限等。

单点登录认证流程

在 CASRI 系统中，一个 IdP（Identity Provider，身份提供者）用户访问 SP（Service Provider，服务提供者）服务的流程如下：

1. 1. 1. 用户通过 IdP 登录，向 IdP 提供用户名和密码等凭证信息进行身份验证。
  1. IdP 通过 CAS（Central Authentication Service，中央认证服务）或 SAML（Security Assertion Markup Language，安全断言标记语言）等协议向 SP 发送身份认证请求。
  2. SP 接收到身份认证请求后，通过 SAML 协议向 IdP 发送身份认证响应，包含认证成功的信息和用户的属性信息。
  3. SP 在接收到身份认证响应后，根据用户属性信息进行资源访问控制，决定是否授权用户访问所请求的服务资源。
  4. 如果用户被授权访问服务资源，则 SP 提供所请求的服务资源给用户。
  总之，CASRI 系统采用了基于 SAML 协议的身份认证和授权机制，实现了单点登录和资源访问控制的功能，可以确保用户访问资源的安全性和可靠性。
  
  可以查看：1-CARSI服务及Shibboleth简介.pdf
  
  那为什么我们可以访问类似IEEE他们这些国外的网站呢？eduGAIN
  
  什么是eduGAIN？
  
  eduGAIN是由欧盟发起的全球身份认证联盟，整合各个国家教育科研网已经建设的国家级身份认证联盟，实现全球教育科研资源共享。它是欧洲教育网GEANT项目开发的网络服务之一，目标是在促进欧盟和欧洲各国NREN（National Research and Education Network）合作的同时，实现世界各地身份联盟的互联，简化全球教育科研资源的共享和访问。eduGAIN的成员机构用户只需要提供一个可信的身份，使用本机构的SSO（Single Sign On，单点登录）账号即可方便地访问所有联盟成员的资源。
  
  2019年5月，CARSI联盟加入eduGAIN，成为full member。CARSI成功加入全球身份联盟eduGAIN，为国外资源提供商在疫情防控期间快速面向中国高校师生提供服务奠定了技术基础，并有效支撑了国外资源的快速部署和国内资源的快速推进。