Inicio de sesión único en varios dominios [cerrado]

Nuestra empresa tiene varios dominios configurados con un sitio web alojado en cada uno de los dominios. En este momento, cada dominio tiene su propia autenticación que se realiza mediante cookies.

Cuando alguien que inicia sesión en un dominio necesita acceder a cualquier cosa del otro, el usuario debe iniciar sesión nuevamente con diferentes credenciales en el otro sitio web, ubicado en el otro dominio.

Estaba pensando en avanzar hacia el inicio de sesión único (SSO), para que se pueda eliminar esta molestia. Agradecería cualquier idea sobre cómo se podría lograr esto, ya que no tengo ninguna experiencia al respecto.

Gracias.

Editar: Los sitios web son una combinación de sitios de Internet (externos) e intranet (de uso interno dentro de la empresa).

La solución SSO que he implementado aquí funciona de la siguiente manera:

1. Hay un dominio maestro, login.mydomain.com con el script master_login.php que administra los inicios de sesión.
2. Cada dominio de cliente tiene el script client_login.php
3. Todos los dominios tienen una base de datos de sesión de usuario compartida.
4. Cuando el dominio del cliente requiere que el usuario inicie sesión, se redirige al dominio maestro (login.mydomain.com/master_login.php). Si el usuario no ha iniciado sesión en el maestro, solicita autenticación del usuario (es decir, mostrar la página de inicio de sesión). Una vez que el usuario está autenticado, crea una sesión en una base de datos. Si el usuario ya está autenticado, busca su identificación de sesión en la base de datos.
5. El dominio maestro vuelve al dominio del cliente (client.mydomain.com/client_login.php) pasando la identificación de la sesión.
6. El dominio del cliente crea una cookie que almacena la identificación de sesión del maestro. El cliente puede encontrar al usuario que ha iniciado sesión consultando la base de datos compartida utilizando el ID de sesión.

Notas:

• El ID de sesión es un identificador global único generado con el algoritmo de RFC 4122
• El master_login.php solo redirigirá a los dominios en su lista blanca
• El maestro y los clientes pueden estar en diferentes dominios de nivel superior. P.ej. client1.abc.com, client2.xyz.com, login.mydomain.com

No reinventes la rueda. Hay una serie de paquetes SSO de código abierto entre dominios, como JOSSO, OpenSSO, CAS, Shibboleth y otros. Si está utilizando la tecnología de Microsoft en todo (IIS, AD), puede usar Microsoft federation (ADFS) en su lugar.

¿Qué tan diferentes son los nombres de host?

Estos hosts pueden compartir cookies:

• mail.xyz.com
• www.xyz.com
• logon.xyz.com

Pero estos no pueden:

• abc.com
• xyz.com
• www.tre.com

En el primer caso, puede utilizar una solución basada en cookies. Piense en GUID y una tabla de sesión de base de datos.

Si usa Active Directory, podría hacer que cada aplicación use AD para la autenticación, el inicio de sesión podría ser perfecto.

De lo contrario, si las aplicaciones pueden comunicarse entre sí entre bastidores, puede usar los identificadores de sesión y tener una aplicación que maneje la generación de identificadores para todas sus demás aplicaciones.