在 Websphere Application Server 9.0 中为 SSO 生成 Ltpa 令牌

Question

因为这是我第一次使用 Websphere Application Server，并且使用 LTPA 令牌。我有多个问题。我已经安装了 WebSphere Application Server 9.0，并创建了一个 Active Directory Ldap 服务器 Windows。并尝试将其与 WAS 集成，但是我遇到了这个错误。

然后来解决这个问题。我在 Websphere Application Server 中部署了一个应用程序。它有一个基本的登录。

因为我已经从 WAS 9.0. 导入了 LTPA cookie，并在 Global security > Single sign-on (SSO) 中启用了 SSO

当我登录 WAS 中托管的应用程序时。我无法在 cookie 和 URL 中获取 LTPA2 令牌。

然而，唯一的目的是从 WebSphere Application Server 生成一个 LTPA2 令牌。

并使用link对其进行解密，但是会在WAS中生成LTPA2令牌，而其他应用程序将部署在TOMCAT中并在它们之间创建SSO。

请帮助我使用任何替代方法，因为使用 WAS 创建 SSO 和使用 LTPA 的 TOMCAT 就是这种情况。

Answer 1

除非您使用第 3 方令牌服务，否则无法在 Tomcat 中直接使用 LTPA。在 WebSphere 和 Tomcat 之间获得 SSO 体验的更好方法是使用 Windows ADFS 作为 SSO 服务器而不是 LDAP。您可以将 ADFS 设置为 SAML 身份提供者和 OpenID 连接提供者，并将 WebSphere 和 Tomcat 设置为 ADFS 的 SAML 或 OIDC 依赖方。 ADFS 服务器将成为您的 SSO 服务器，用户只需登录一次 ADFS，就会自动通过 WebSphere 和 Tomcat 的身份验证。

如果您不能使用 ADFS，您可以设置一个专用的 WebSphere Liberty 服务器作为 OpenID Connect 服务器（可以配置为使用 Windows LDAP 作为用户注册表），并将 OpenID Connect 服务器用作 WebSphere 和 Tomcat 的 SSO 服务器.与 ADFS 案例类似，用户只需登录 Liberty 一次，即可自动登录 WebSphere 和 Tomcat。请注意，Liberty OIDC 服务器负责将 LTPA 令牌转换为 Tomcat 可以使用的 OIDC 令牌。

Answer 2

另一种更简单的方法是使用 Use Open Liberty 而不是 Tomcat，这是我在其他线程中建议的。与 OpenLibery 相比，使用 Tomcat 通常没有任何好处，而 LTPA 令牌将仅通过 Liberty 中的配置工作，并且可以与您环境中的任何旧 WebSphere 集成。