[发明专利]一种身份联合的方法、IdP、SP及系统

权利要求书

1.一种身份联合的方法，包括：

终端在访问业务提供服务器(SP)提供的业务过程中，位于运营商网络的身份提供服务器(IdP)在确认终端通过认证后，为该终端用户生成该终端用户在IdP的身份标识，关联该终端用户在IdP的身份标识和SP的身份标识，生成肯定断言发送给SP；

SP在接收到肯定断言并验证其合法性通过后，检查如果不存在关联的本地账号，则向用户发起要求登录的挑战，用户登录成功后，SP将终端用户在SP本地的身份标识、IdP的身份标识，以及终端用户在IdP的身份标识进行关联。

2.如权利要求1所述的方法，其特征在于：

所述IdP生成的终端用户在IdP的身份标识是永久身份标识或者是临时身份标识。

3.如权利要求2所述的方法，其特征在于：

所述IdP生成的用户在IdP的身份标识是临时身份标识时，所述IdP还为该临时身份标识生成生命期。

4.如权利要求1或2或3所述的方法，其特征在于：

所述IdP确认终端通过认证后，为该终端用户生成该终端用户在IdP的身份标识包括：

所述IdP确认终端通过认证后，主动为该终端用户生成该终端用户在IdP的身份标识；或者，

所述IdP在与SP建立安全关联，并确认终端通过认证后，在接收到SP发送的认证请求后再为该终端用户生成该终端用户在IdP的身份标识。

5.如权利要求1或2或3所述的方法，其特征在于：

所述SP向用户发起要求登录的挑战之前，所述方法还包括：

SP先询问用户是否愿意关联本地账号，在用户同意后，向用户发起要求登录的挑战。

6.如权利要求1或2或3所述的方法，其特征在于：

IdP确认终端通过认证前，所述方法还包括：终端与接入服务节点(ASR)以及认证中心进行接入认证后，与所述ASR生成主会话密钥；

所述IdP在对终端进行认证时，通过终端的接入标识和主会话密钥对终端进行认证。

7.如权利要求4所述的方法，其特征在于：

所述SP发送的认证请求中包括随机数，所述随机数用于临时标识用户在SP的身份信息和用于防范重放攻击。

8.如权利要求4所述的方法，其特征在于：

所述IdP主动为该终端用户生成该终端用户在IdP的身份标识，生成肯定断言发送给SP，所述肯定断言中包括随机数，所述随机数用于防范重放攻击。

9.如权利要求1或2或3所述的方法，其特征在于：

终端再次访问该SP提供的业务时，IdP不再与该终端交互进行认证，SP不再要求该终端用户登录。

10.一种实现身份联合的身份提供服务器(IdP)，所述IdP位于运营商网络，包括认证模块、身份标识生成模块、关联模块和断言生成模块，其中：

所述认证模块，用于终端在访问业务提供服务器(SP)提供的业务过程中，确认终端是否通过认证；

所述身份标识生成模块，用于在认证模块确认终端通过认证后，为该终端用户生成该终端用户在IdP的身份标识；

所述关联模块，用于关联该终端用户在IdP的身份标识和SP的身份标识；

所述断言生成模块，用于生成肯定断言并发送给SP。

11.如权利要求10所述的身份提供服务器，其特征在于：

所述身份标识生成模块为所述终端用户生成的该终端用户在IdP的身份标识是永久身份标识；或者

所述身份标识生成模块为所述终端用户生成的该终端用户在IdP的身份标识是临时身份标识，并生成该临时身份标识的生命期。

12.如权利要求10或11所述的身份提供服务器，其特征在于：

所述身份标识生成模块是用于采用以下方式在认证模块确认终端通过认证后，为该终端用户生成该终端用户在IdP的身份标识：

所述身份标识生成模块在认证模块确认终端通过认证后，主动为该终端用户生成该终端用户在IdP的身份标识；或者，

所述身份标识生成模块在所述IdP与SP建立安全关联，并确认终端通过认证后，在接收到SP发送的认证请求后再为该终端用户生成该终端用户在IdP的身份标识。