IIS 7.5 整合 Oracle Access Manager (OAM) 實現單點登入 (SSO) 完整部署指南

架構原理

1. 瀏覽器請求受保護資源
2. WebGate Agent 攔截，檢查 SSO Cookie → 未登入 → 重導向至 OAM 登入頁
3. 用戶輸入憑證 → OAM 驗證通過 → 產生 SSO Cookie → 重導向回目標資源
4. WebGate 再次攔截，驗證 Cookie 與 OAM Server 通訊 → 通過 → IIS 返回資源

前置條件

• 身份來源：Oracle Internet Directory (OID) 或其他 LDAP
• OAM Server 已安裝配置完成
• Windows Server 2008 R2 + IIS 7.5 (Web 伺服器)

WebGate 安裝配置步驟

1. OAM Server 端建立 Agent

• Agent Name、Base URL、Agent Password、Preferred Host 等
• 啟用「Auto Create Policies」簡化策略同步

2. Windows 安裝 WebGate

1. 下載對應版本 Oracle_Access_Manager10_1_4_3_0_Win32_WebGate.exe
2. 以 Administrator 執行安裝，指定 IIS 網站、OAM Server 連線資訊
3. 安裝完成會在 IIS 中註冊 **WebGate ISAPI Filter** 與 **Managed Handler**

3. IIS 配置要點

• 啟用 **ISAPI Filters** → 新增 WebGate Filter (指向 WebGate.dll)
• 處理程式對應 → *.aspx、* 映射至 WebGate Handler
• 應用程式池：**整合模式**、.NET CLR v4.0、Identity 設為具備權限的服務帳號
• SSL 憑證綁定 (OAM 要求 HTTPS)

4. OAM Policy 配置

• 建立 Authentication Scheme (LDAP over SSL)
• 建立 Resource (URL Pattern 如 /app/*)
• 建立 Authentication/Authorization Policy 綁定 Resource

5. 測試驗證

1. 瀏覽器存取受保護 URL → 自動跳轉 OAM 登入頁
2. 登入成功 → 返回原頁面，Cookie 寫入
3. 二次存取 → 無感通過
4. 檢查 IIS Log 確認 X-OAM-USER 標頭傳遞

常見問題排查

安全加固建議

• WebGate 與 OAM Server 通訊啟用 **Simple/Cert 模式** 加密
• 定期輪換 Agent Password
• 限制 OAM 管理介面存取 IP
• 啟用 OAM 稽核日誌