1、主要是两个应用server和client
2、server一般单独部署。client跟应用一起，通过filter的方式监控，保护受保护的资源
3、流程：
客户端先发送请求受保护的资源（需要登陆才能获取到的东西）——发现没有登陆（HTTP请求中没有Service Ticket，一般登陆成功后会返回这个ST）—— 重定向到CAS服务器进行身份认证，登陆成功后返回用户身份信息凭证，用于以后获取ST——CAS服务器产生一个随机的ST，然后重定向到CAS客户端——客户端收到后，验证合法性，通过后才运行访问客户端资源——CAS服务器验证ST通过后，传输用户认证结果信息给客户端。