CAS 튜토리얼 – FoxDevelop

CAS 구현

jack — Thu, 06 Aug 2026 08:07:31 +0000

구버전 CAS 구현 아이디어

핵심 원리 (CAS 1.0 프로토콜)

사용자가 보호된 페이지 /admin/admin.aspx에 접속
web.config 권한 설정이 익명 사용자를 차단하고 로그인 페이지 CasEnter.aspx로 자동 리다이렉트
CasEnter.aspx에서 URL에 ticket 쿼리 파라미터 존재 여부 확인

ticket 없음: CAS 서버 로그인 주소로 리다이렉트, 현재 사이트 주소를 service로 전달
ticket 포함: serviceValidate API를 호출해 CAS 서버에서 티켓 검증 수행

CAS가 반환한 XML에서 로그인 사용자 아이디 파싱
검증 성공 시 FormsAuthentication.SetAuthCookie()를 호출해 로컬 Forms 인증 티켓을 생성하고 대상 페이지로 이동
이후 보호 디렉터리 접근은 ASP.NET Forms가 로그인 상태를 인식하여 처리

web.config 설정

<system.web>
  <authentication mode="Forms">
    
    <forms loginUrl="CasEnter.aspx" 
           defaultUrl="admin/admin.aspx" 
           name=".LoginFormsTicket" 
           path="/" 
           timeout="40" 
           protection="All">
    forms>
  authentication>
  <authorization>
    <allow users="*"/>
  authorization>
system.web>


<location path="admin">
  <system.web>
    <authorization>
      <deny users="?"/>
    authorization>
  system.web>
location>

최신 CAS 서버는 기본적으로 HTTPS를 강제합니다. casUrl 값은 반드시 https://127.0.0.1:8443/cas/로 입력해야 합니다

<appSettings>
  
  <add key="casUrl" value="https://127.0.0.1:8443/cas/"/>
appSettings>

CasEnter.aspx 페이지 소스

1. CasEnter.aspx 프론트엔드

<%@ Page Language="C#" AutoEventWireup="true" CodeBehind="CasEnter.aspx.cs" Inherits="CasStudy.Web.CasEnter" %>
html>
<html xmlns="http://www.w3.org/1999/xhtml">
<head runat="server">
    <title>CAS 중계 로그인title>
head>
<body>
    <form id="form1" runat="server">
        <div>
            <asp:Label ID="Label1" runat="server">asp:Label><br />
            <asp:HyperLink ID="HyperLink1" runat="server">재인증asp:HyperLink>
        div>
    form>
body>
html>

2. CasEnter.aspx.cs 코드비하인드

API를 CAS3.0 p3/serviceValidate로 업그레이드
사용이 중단된 WebClient 대신 HttpClient 적용

자체 서명 인증서 호환 기능 추가(최신 CAS 로컬 테스트 필수)
CAS 응답 XML의 네임스페이스 처리

using System;
using System.Configuration;
using System.Net;
using System.Net.Http;
using System.Xml;
using System.Web.Security;

public partial class CasEnter : System.Web.UI.Page
{
    protected void Page_Load(object sender, EventArgs e)
    {
        string casHost = ConfigurationManager.AppSettings["casUrl"];
        string ticket = Request.QueryString["ticket"];
        string service = Request.Url.GetLeftPart(UriPartial.Path);

        // 티켓이 없으면 CAS 로그인 페이지로 이동
        if (string.IsNullOrEmpty(ticket))
        {
            string redirectUrl = $"{casHost}login?service={Uri.EscapeDataString(service)}";
            Response.Redirect(redirectUrl);
            return;
        }

        // 티켓 검증
        string username = ValidateTicket(casHost, ticket, service);
        if (string.IsNullOrEmpty(username))
        {
            Label1.Text = "죄송합니다. CAS 인증에 실패했습니다. 다시 시도해 주세요.";
            HyperLink1.NavigateUrl = Request.Url.AbsolutePath;
        }
        else
        {
            // Forms 인증 티켓을 기록해 로컬 로그인 완료
            FormsAuthentication.SetAuthCookie(username, false);
            // 목표 페이지로 리다이렉트
            Response.Redirect(FormsAuthentication.DefaultUrl);
        }
    }

    /// <summary>
    /// CAS3.0 p3/serviceValidate 티켓 검증
    /// summary>
    private string ValidateTicket(string casHost, string ticket, string service)
    {
        // 최신 CAS는 p3/serviceValidate(CAS3.0 프로토콜) 사용 권장
        string validateUrl = $"{casHost}p3/serviceValidate?ticket={Uri.EscapeDataString(ticket)}&service={Uri.EscapeDataString(service)}";

        // 로컬 테스트 전용: 신뢰되지 않는 SSL 인증서 허용(운영 환경에서는 삭제!)
        ServicePointManager.ServerCertificateValidationCallback += (s, cert, chain, err) => true;

        using var httpClient = new HttpClient();
        string xml = httpClient.GetStringAsync(validateUrl).Result;

        XmlDocument doc = new XmlDocument();
        doc.LoadXml(xml);
        XmlNamespaceManager nsMgr = new XmlNamespaceManager(doc.NameTable);
        // CAS3 응답 XML 네임스페이스
        nsMgr.AddNamespace("cas", "http://www.yale.edu/tp/cas");

        // 사용자 노드 조회
        XmlNode userNode = doc.SelectSingleNode("//cas:authenticationSuccess/cas:user", nsMgr);
        return userNode?.InnerText;
    }
}

CAS 구현

설치

jack — Thu, 06 Aug 2026 07:51:23 +0000

구버전 설치 안내 ‐ CAS 5.0 이전

CAS 서버는 Java 기반으로 개발되었으며 실행에 필수적인 핵심 환경 두 가지가 있습니다:

JDK(Java 개발 키트)：Java 가상머신(JVM)이 내장되어 Java 프로그램을 실행하는 기반 환경입니다.
Tomcat(웹 컨테이너)：CAS war 웹 애플리케이션을 배포하고 구동하기 위해 사용합니다.

설치 순서 규칙：JDK 먼저 설치 → 그 다음 Tomcat 설치（Tomcat 설치 시 로컬 JDK 환경을 자동으로 탐색합니다）

의존 요구사항

1. JDK

버전：(JDK) Java 17
직접 링크：Java Downloads | Oracle

참고：JDK7은 구버전으로 구 CAS 버전에만 호환되며 신규 프로젝트에서는 사용하지 않는 것을 권장합니다.

2. Apache Tomcat

버전：Tomcat(Windows 설치판)
Apache Tomcat® – Welcome!

설치 절차

JDK 설치
- exe 설치 파일을 실행하고 설치 경로를 사용자 지정할 수 있습니다
- 【중요】설치 완료 후 JAVA_HOME, Path 환경변수 설정을 권장합니다. Tomcat이 Java 환경을 정상 인식하기 위함입니다
Tomcat7 설치
- 설치 프로그램 실행 시 이미 설치된 JDK를 자동으로 스캔합니다
- Tomcat 포트(기본값 8080), 관리자 계정과 비밀번호를 설정할 수 있습니다
- 설치 마지막 화면 옵션:
- Run Apache Tomcat：체크하면 Finish 클릭 뒤 Tomcat 서비스가 자동 실행됩니다
- Show Readme：설명서를 확인할 필요가 없으면 체크 해제 가능
- Finish 클릭으로 설치 완료

Tomcat SSL/HTTPS 설정

핵심 배경：CAS 프로토콜은 서버 측 HTTPS 사용을 강제하며 HTTP는 사용할 수 없습니다. 따라서 Tomcat에 SSL 인증서를 반드시 구성해야 합니다.

JDK 내장 keytool 도구로 JKS 키스토어(자체 서명 인증서) 생성
Tomcat conf/server.xml 파일을 수정하여 SSL 커넥터 활성화
Tomcat 재시작 후 https://localhost:8443 에 접속해 HTTPS 동작 확인

자체 서명 인증서(JKS) 생성

사전 준비

인증서 저장 폴더 생성：예시 C:\Keys
관리자 권한으로 cmd 실행
> Windows7/10/11 일반 cmd로 C 드라이브 루트에 쓰면 권한 부족 오류가 발생합니다.
JDK/JRE의 bin 디렉터리로 이동

cd "c:\Program Files\Java\jre\bin"

범용 명령 템플릿(신규 JDK에서도 호환)

keytool -genkey -alias tomcat -keyalg RSA -storepass changeit -keystore c:\Keys\.keystore -validity 36000

매개변수 설명

매개변수	의미
`-genkey`	키 쌍 생성
`-alias tomcat`	인증서 별칭, 사용자 지정 가능
`-keyalg RSA`	암호화 알고리즘, 표준 RSA
`-storepass changeit`	키스토어 비밀번호（추후 Tomcat 설정에 사용하니 꼭 기억하세요）
`-keystore c:\Keys\.keystore`	인증서 파일 출력 경로
`-validity 36000`	인증서 유효기간(일)

대화식 정보 입력

명령 실행 후 순서대로 입력합니다:

이름과 성：도메인 입력(학습 환경에서는 임의 값 사용 가능)
조직 단위, 조직명, 도시, 주, 국가코드(cn)
정보 확인에 y 입력
키 암호：엔터만 입력, 키스토어 비밀번호와 동일하게 유지

인증서 확인 명령

keytool -list -keystore "C:\Keys\.keystore"

비밀번호 입력 후 정보가 정상 출력되면 인증서 생성 완료입니다.

Tomcat server.xml SSL 커넥터 설정

Tomcat/conf/server.xml 파일 열기
주석 처리된 SSL Connector를 찾아 주석을 제거하고 인증서 경로와 비밀번호 수정

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
    maxThreads="150" scheme="https" secure="true"
    clientAuth="false" sslProtocol="TLS"
    keystoreFile="C:\Keys\.keystore"
    keystorePass="changeit" />

설정 항목 설명

port="8443"：Tomcat 기본 HTTPS 포트（표준 HTTPS는 443, 443으로 변경 시 포트 점유 및 권한 문제 유의）
keystoreFile：생성한 인증서 파일의 절대 경로
keystorePass：위 keytool에서 설정한 키스토어 비밀번호
clientAuth="false"：클라이언트 인증서 불필요(학습 환경은 false 고정)

검증 방법

Tomcat을 실행하고 브라우저에서 접속：
https://127.0.0.1:8443

자체 서명 인증서는 브라우저에서 “안전하지 않음” 경고가 나타나는 것이 정상입니다. 운영 환경에서는 정식 CA 인증서를 구매해야 합니다.

CAS 5.0+ 설치

1. 리소스 확보

CAS 5.0 이상부터 기존 war + Tomcat 방식을 폐지하고 SpringBoot 기반으로 동작하며외부 Tomcat이 필요 없는 독립 실행 Jar를 사용합니다

CAS 서버(Server)

CAS Initializr로 배포 패키지 온라인 생성
https://casinitializr.apereo.org

2. CAS 서버 배포 절차

CAS Initializr에 접속

CAS 버전 선택：7.0.x（최신 안정판）
기본 모듈 체크：Core / Web / SSL
cas.war 또는 독립 실행용 cas.jar 생성 후 다운로드

두 가지 패키지 방식 중 하나 선택:

방식A(권장)：Standalone(독립 Jar), Tomcat이 내장되어 바로 사용 가능

방식B：기존 War 패키지, 외부 Tomcat에 배포(비권장)

【독립 Jar 모드】로 배포(주류 방안)
1）cas.jar 다운로드
2）설정 디렉터리 ./etc/cas/config 생성, cas.properties 설정 파일 생성
3）실행 명령(Java17 이상 필수)

java -jar cas.jar

포트 및 HTTPS 안내
내장 Tomcat 기본 포트：8443(HTTPS)
신버전도 구버전 규칙과 동일하게 HTTPS를 강제합니다.

3. 접속 주소

https://127.0.0.1:8443/cas

설치

소개

jack — Thu, 06 Aug 2026 07:36:17 +0000

개념

1. CAS

CAS（Central Authentication Service, 중앙 인증 서비스）
예일대학교에서 시작한 오픈소스 웹 SSO(싱글 사인온) 구현 프레임워크입니다.

2. SSO（싱글 사인온）

여러 웹 서비스의 신원 확인을 단일 주소에서 통합 처리하는 방식입니다.

특징: 애플리케이션끼리 HTTPS 웹 프로토콜로 통신하며 전역 유일 로그인 진입점을 사용합니다

쉬운 설명: 같은 브라우저에서 인증 센터에 한 번만 로그인하면 신뢰된 모든 사이트에 반복 로그인 없이 접속할 수 있습니다

3. SSO 체계의 세 가지 역할

User: 최종 사용자(브라우저)
웹 애플리케이션(여러 업무 시스템)
SSO 인증 센터(유일)

4. SSO 핵심 원칙 세 가지

모든 계정 로그인 동작은 SSO 인증 센터에서 일괄 실행합니다;
인증 센터는 각 웹 애플리케이션에 현재 사용자 인증 여부를 알리는 메커니즘을 제공합니다;
인증 센터는 모든 업무 웹 애플리케이션과 사전에 신뢰 관계를 맺어야 합니다.

두 가지 핵심 구성요소

CAS Server（인증 서버 측）

독립 배포되는 웹 프로그램이며 유일한 인증 허브
역할: 아이디와 비밀번호를 받아 사용자 신원 검증；티켓(Ticket) 발급, 전역 세션 Cookie(TGC) 관리

CAS Client（각 업무 시스템에 내장되는 클라이언트）

각 업무 웹 애플리케이션 안에 배포하며 보통 Filter 필터 형태로 구현
역할: 보호된 자원 요청을 가로챔；로그인하지 않은 경우 브라우저를 CAS Server 로그인 페이지로 자동 리다이렉트

처리 흐름

사용자가 업무 시스템 자원에 접근 → CAS Client가 요청을 가로채고 Service Ticket이 없음을 감지
Client가 브라우저를 리다이렉트시켜 CAS Server 로그인 주소로 보내고 현재 업무 시스템 주소(Service)를 함께 전달
사용자는 CAS 서버에서 아이디 비밀번호를 입력해 로그인 인증 완료
- 로그인 성공: CAS Server가 브라우저에 TGC（Ticket Granting Cookie）전역 세션 쿠키를 저장
- 일회용 티켓 Service Ticket（ST） 생성
CAS Server가 브라우저를 다시 업무 시스템 주소로 리다이렉트하고 URL 파라미터에 Ticket=xxx를 붙임
업무 시스템의 CAS Client가 백엔드에서 서버 간 요청을 수행，Service 주소와 Ticket을 보내 CAS Server에 티켓 유효성 검증 요청
CAS Server가 티켓이 유효함을 확인하고 사용자 이름 등 신원 정보를 반환
검증 통과, 업무 시스템이 로컬 세션을 생성하고 사용자가 페이지를 정상 이용

TGC의 역할：브라우저에 TGC 쿠키가 유지되는 한 CAS 연동된 다른 시스템에 접속할 때 로그인 페이지가 뜨지 않고 자동으로 싱글 사인온이 진행됩니다.

소개