Tutorial CAS – FoxDevelop

Implementación de CAS

jack — Thu, 06 Aug 2026 08:10:13 +0000

Idea de implementación de la versión antigua de CAS

Principio fundamental (protocolo CAS 1.0)

El usuario accede a la página protegida /admin/admin.aspx
La configuración de permisos de web.config bloquea usuarios anónimos y redirige automáticamente a la página de inicio de sesión CasEnter.aspx
CasEnter.aspx comprueba si la URL contiene el parámetro ticket

Sin ticket: redirige a la dirección de inicio de sesión del servidor CAS y envía la dirección actual del sitio como valor service
Con ticket: llama a la interfaz serviceValidate para validar el billete contra el servidor CAS

CAS devuelve XML, se extrae el nombre de usuario autenticado
Tras una validación correcta, se invoca FormsAuthentication.SetAuthCookie() para generar el billete local de Forms y se redirige a la página destino
En accesos posteriores a directorios protegidos, ASP.NET Forms detecta el estado de la sesión

Configuración de web.config

<system.web>
  <authentication mode="Forms">
    
    <forms loginUrl="CasEnter.aspx" 
           defaultUrl="admin/admin.aspx" 
           name=".LoginFormsTicket" 
           path="/" 
           timeout="40" 
           protection="All">
    forms>
  authentication>
  <authorization>
    <allow users="*"/>
  authorization>
system.web>


<location path="admin">
  <system.web>
    <authorization>
      <deny users="?"/>
    authorization>
  system.web>
location>

Los servidores CAS modernos fuerzan HTTPS por defecto, casUrl debe completarse con https://127.0.0.1:8443/cas/

<appSettings>
  
  <add key="casUrl" value="https://127.0.0.1:8443/cas/"/>
appSettings>

Código de la página CasEnter.aspx

1. CasEnter.aspx parte frontal

<%@ Page Language="C#" AutoEventWireup="true" CodeBehind="CasEnter.aspx.cs" Inherits="CasStudy.Web.CasEnter" %>
html>
<html xmlns="http://www.w3.org/1999/xhtml">
<head runat="server">
    <title>Inicio de sesión intermediario CAStitle>
head>
<body>
    <form id="form1" runat="server">
        <div>
            <asp:Label ID="Label1" runat="server">asp:Label><br />
            <asp:HyperLink ID="HyperLink1" runat="server">Volver a autenticarasp:HyperLink>
        div>
    form>
body>
html>

2. CasEnter.aspx.cs lógica backend

Interfaz actualizada a CAS3.0 p3/serviceValidate
Se agrega HttpClient para reemplazar el obsoleto WebClient

Se añade compatibilidad con certificados autofirmados (imprescindible para pruebas locales con CAS moderno)
Gestión del espacio de nombres para el XML devuelto por CAS

using System;
using System.Configuration;
using System.Net;
using System.Net.Http;
using System.Xml;
using System.Web.Security;

public partial class CasEnter : System.Web.UI.Page
{
    protected void Page_Load(object sender, EventArgs e)
    {
        string casHost = ConfigurationManager.AppSettings["casUrl"];
        string ticket = Request.QueryString["ticket"];
        string service = Request.Url.GetLeftPart(UriPartial.Path);

        // Sin billete, redirige a la página de inicio de sesión de CAS
        if (string.IsNullOrEmpty(ticket))
        {
            string redirectUrl = $"{casHost}login?service={Uri.EscapeDataString(service)}";
            Response.Redirect(redirectUrl);
            return;
        }

        // Validar ticket
        string username = ValidateTicket(casHost, ticket, service);
        if (string.IsNullOrEmpty(username))
        {
            Label1.Text = "¡Lo sentimos! Falló la autenticación CAS, inténtelo de nuevo.";
            HyperLink1.NavigateUrl = Request.Url.AbsolutePath;
        }
        else
        {
            // Generar billete de autenticación Forms y completar inicio de sesión local
            FormsAuthentication.SetAuthCookie(username, false);
            // Redirigir a la página destino
            Response.Redirect(FormsAuthentication.DefaultUrl);
        }
    }

    /// <summary>
    /// Validación de billete mediante CAS3.0 p3/serviceValidate
    /// summary>
    private string ValidateTicket(string casHost, string ticket, string service)
    {
        // Las versiones nuevas de CAS recomiendan p3/serviceValidate (protocolo CAS3.0)
        string validateUrl = $"{casHost}p3/serviceValidate?ticket={Uri.EscapeDataString(ticket)}&service={Uri.EscapeDataString(service)}";

        // Solo para pruebas locales: permitir certificados SSL no confiables (eliminar en producción!)
        ServicePointManager.ServerCertificateValidationCallback += (s, cert, chain, err) => true;

        using var httpClient = new HttpClient();
        string xml = httpClient.GetStringAsync(validateUrl).Result;

        XmlDocument doc = new XmlDocument();
        doc.LoadXml(xml);
        XmlNamespaceManager nsMgr = new XmlNamespaceManager(doc.NameTable);
        // Espacio de nombres del XML devuelto por CAS3
        nsMgr.AddNamespace("cas", "http://www.yale.edu/tp/cas");

        // Buscar nodo de usuario
        XmlNode userNode = doc.SelectSingleNode("//cas:authenticationSuccess/cas:user", nsMgr);
        return userNode?.InnerText;
    }
}

Implementación de CAS

Instalación

jack — Thu, 06 Aug 2026 07:57:48 +0000

Instalación de versiones antiguas – Notas para CAS anterior a 5.0

El servidor CAS está desarrollado en Java y requiere dos entornos fundamentales para ejecutarse:

JDK (Kit de Desarrollo Java): Incluye la Máquina Virtual Java (JVM), es el entorno base necesario para ejecutar programas Java.
Tomcat (Contenedor Web): Se usa para desplegar y ejecutar el archivo war web de CAS.

Orden recomendado de instalación: primero instalar JDK → luego instalar Tomcat (Tomcat detectará automáticamente el JDK instalado en el equipo durante su instalación).

Requisitos previos

1. JDK

Versión: (JDK) Java 17
Enlace directo: Java Downloads | Oracle

Aviso: JDK7 es una versión obsoleta, solo sirve para versiones antiguas de CAS; no se recomienda para proyectos nuevos.

2. Apache Tomcat

Versión: Tomcat (versión instalable para Windows)
Apache Tomcat® – Welcome!

Proceso de instalación

Instalar JDK
- Ejecuta el instalador exe, puedes definir una ruta de instalación personalizada.
- 【Punto importante】Después de finalizar la instalación, configura las variables de entorno: JAVA_HOME y Path, para que Tomcat reconozca correctamente el entorno Java.
Instalar Tomcat7
- Ejecuta el instalador, este detectará automáticamente el JDK ya instalado en tu equipo.
- Puedes modificar el puerto de Tomcat (predeterminado 8080) y configurar usuario y contraseña de administración.
- Opciones de la pantalla final de instalación:
- Run Apache Tomcat: Si lo marcas, el servicio Tomcat se iniciará automáticamente al pulsar Finalizar.
- Show Readme: Puedes desmarcarlo, no necesitas consultar la documentación de instalación.
- Pulsa Finish para completar la instalación.

Configurar SSL/HTTPS en Tomcat

Contexto fundamental: El protocolo CAS exige obligatoriamente el uso de HTTPS en el servidor, no admite HTTP, por lo tanto debes configurar un certificado SSL para Tomcat.

Usa la herramienta keytool incluida en JDK para generar un almacén de claves JKS (certificado autofirmado).
Edita el archivo conf/server.xml de Tomcat y activa el conector SSL.
Reinicia Tomcat y accede a https://localhost:8443 para comprobar el funcionamiento de HTTPS.

Generar certificado autofirmado (JKS)

Preparativos previos

Crea una carpeta para guardar certificados: ejemplo C:\Keys
Ejecuta cmd como administrador
> En Windows7/10/11, si usas un cmd normal para escribir archivos en la raíz de la unidad C, aparecerán errores por falta de permisos.
Navega hasta la carpeta bin de JDK/JRE.

cd "c:\Program Files\Java\jre\bin"

Comando plantilla válido también para versiones nuevas de JDK

keytool -genkey -alias tomcat -keyalg RSA -storepass changeit -keystore c:\Keys\.keystore -validity 36000

Explicación de parámetros

Parámetro	Significado
`-genkey`	Genera un par de claves criptográficas
`-alias tomcat`	Alias del certificado, se puede personalizar
`-keyalg RSA`	Algoritmo de cifrado, estándar RSA
`-storepass changeit`	Contraseña del almacén de claves (recuérdala, la necesitarás más adelante para configurar Tomcat)
`-keystore c:\Keys\.keystore`	Ruta de salida del archivo de certificado
`-validity 36000`	Vigencia del certificado en días

Datos que debes introducir interactivamente

Tras ejecutar el comando introduce los datos uno por uno:

Nombre y apellidos: introduce tu nombre de dominio (en entornos de aprendizaje puedes poner cualquier valor)
Unidad organizativa, organización, ciudad, provincia, código de país (cn)
Confirma los datos escribiendo y
Contraseña de clave: pulsa directamente Intro, usa la misma contraseña que el almacén de claves

Comando para consultar el certificado

keytool -list -keystore "C:\Keys\.keystore"

Introduce la contraseña, si se muestra la información correctamente el certificado se generó con éxito.

Configurar el conector SSL en Tomcat server.xml

Abre el archivo Tomcat/conf/server.xml
Busca el conector SSL comentado, elimina los comentarios y modifica la ruta del certificado y su contraseña.

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
    maxThreads="150" scheme="https" secure="true"
    clientAuth="false" sslProtocol="TLS"
    keystoreFile="C:\Keys\.keystore"
    keystorePass="changeit" />

Descripción de parámetros

port="8443": Puerto HTTPS predeterminado de Tomcat (el puerto estándar HTTPS es 443; si quieres usarlo ten cuidado con permisos y ocupación de puertos)
keystoreFile: Ruta absoluta al archivo de certificado que generaste
keystorePass: Contraseña del almacén de claves que definiste con keytool
clientAuth="false": No requiere certificado de cliente (dejar en false para entornos de aprendizaje)

Método de comprobación

Inicia Tomcat y accede desde tu navegador:
https://127.0.0.1:8443

El navegador mostrará una advertencia de sitio no seguro para certificados autofirmados, esto es normal; para entornos de producción debes adquirir un certificado CA oficial.

Instalación de CAS 5.0+

1. Obtención de recursos

CAS 5.0+ abandona el modelo tradicional war + Tomcat. Está construido sobre SpringBoot, se distribuye como archivo Jar ejecutable independiente, no necesita Tomcat externo.

Servidor CAS (Server)

Genera paquetes de despliegue con CAS Initializr en línea
https://casinitializr.apereo.org

2. Pasos para desplegar el servidor CAS

Abre CAS Initializr

Selecciona la versión de CAS: 7.0.x (última versión estable)
Marca los módulos básicos: Core / Web / SSL
Genera y descarga cas.war (o genera directamente el archivo independiente cas.jar)

Puedes elegir cualquiera de los dos formatos de empaquetado:

Modo A (recomendado): Standalone (Jar independiente), trae Tomcat integrado, listo para usar

Modo B: Paquete War tradicional, para desplegar sobre un Tomcat externo (no recomendado)

Despliegue en modo Jar independiente (solución más usada)
1) Descarga el archivo cas.jar
2) Crea la carpeta de configuración ./etc/cas/config y el archivo de configuración cas.properties
3) Comando de arranque (requiere Java 17 o superior)

java -jar cas.jar

Acerca del puerto y HTTPS
Puerto predeterminado del Tomcat integrado: 8443 (HTTPS)
Las versiones nuevas exigen HTTPS por defecto, siguiendo las mismas reglas que las versiones antiguas.

3. Dirección de acceso

https://127.0.0.1:8443/cas

Instalación

Presentación

jack — Thu, 06 Aug 2026 07:39:11 +0000

Conceptos

1. CAS

CAS (Central Authentication Service, Servicio Central de Autenticación)
Framework de código abierto para SSO Web (Inicio de Sesión Único), desarrollado por la Universidad de Yale.

2. SSO (Inicio de Sesión Único)

Consiste en centralizar la validación de credenciales de múltiples aplicaciones web en una única dirección.

Características: Las aplicaciones se comunican mediante protocolos web (HTTPS), con un punto de acceso de inicio de sesión global único

Explicación práctica: Si inicias sesión una sola vez en el centro de autenticación desde el mismo navegador, podrás ingresar a todos los sitios confiables sin volver a autenticarte

3. Tres actores del ecosistema SSO

User: Usuario final (navegador web)
Aplicaciones web (varios sistemas empresariales)
Centro de autenticación SSO (instancia única)

4. Tres principios fundamentales del SSO

Todos los inicios de sesión de cuentas se ejecutan exclusivamente en el centro de autenticación SSO;
El centro de autenticación cuenta con mecanismos para informar a cada aplicación web si el usuario ya validó su identidad;
Se establece una relación de confianza previa entre el centro de autenticación y cada una de las aplicaciones web empresariales.

Dos componentes esenciales

CAS Server (Servidor de autenticación)

Aplicación web desplegada de forma independiente, funciona como el único centro de autenticación
Responsabilidades: Recibir usuario y contraseña, validar la identidad del usuario; emitir tickets, administrar la cookie de sesión global TGC

CAS Client (Cliente integrado en cada sistema empresarial)

Se instala dentro de cada aplicación web empresarial, usualmente implementado como un filtro Filter
Responsabilidades: Interceptar solicitudes hacia recursos protegidos; si el usuario no inició sesión, redirige automáticamente el navegador a la página de acceso del CAS Server

Flujo de funcionamiento

El usuario accede a recursos del sistema empresarial → El CAS Client intercepta la petición y detecta que no existe el valor Service Ticket
El cliente redirige el navegador hacia la dirección de inicio de sesión del CAS Server, enviando la dirección del sistema empresarial (Service)
El usuario ingresa sus credenciales en el CAS Server para completar la autenticación
- Inicio de sesión exitoso: El CAS Server guarda en el navegador la TGC (Ticket Granting Cookie), cookie de sesión global
- Genera un ticket de un solo uso: Service Ticket (ST)
El CAS Server vuelve a redirigir el navegador al sistema empresarial, agregando el parámetro URL Ticket=xxx
El CAS Client del sistema empresarial realiza una petición de servidor a servidor en segundo plano, envía la dirección Service y el Ticket para validar su legitimidad ante el CAS Server
El CAS Server confirma que el ticket es válido y devuelve los datos de identidad del usuario (nombre de usuario, entre otros)
Tras la validación correcta, el sistema empresarial crea una sesión local y el usuario puede navegar normalmente por las páginas

Función de la TGC: Mientras el navegador conserve la cookie TGC, al acceder a otros sistemas integrados con CAS no aparecerá la pantalla de inicio de sesión y el inicio de sesión único se ejecutará de forma automática.

Presentación