统一认证与单点登录系统产品需求规格说明书 北京邮电大学
版本历史
目录 0文档介绍 (5) 0.1 文档目的 (5) 0.2 文档范围 (5) 0.3 读者对象 (5) 0.4 参考文档 (5) 0.5 术语与缩写解释 (5) 1产品介绍 (7) 2产品面向的用户群体 (7) 3产品应当遵循的标准或规范 (7) 4产品范围 (7) 5产品中的角色 (7) 6产品的功能性需求 (8) 6.0 功能性需求分类 (8) 6.0.1产品形态 (8) 6.1 外部系统管理 (9) 6.1.1外部系统注册 (9) 6.1.2外部系统集成配置 (11) 6.2 用户管理 (11) 6.2.1用户管理控制台 (11) 6.2.2用户自助服务 (13) 6.2.3统一用户管理 (13) 6.3 组织结构管理 (14) 6.4 权限管理 (15) 6.4.1统一角色管理 (18) 6.5 单点登录 (18) 6.5.1基于Httpheader单点登录 (19) 6.5.2基于表单代填的方式单点登录 (20) 6.5.3基于CAS单点登录 (20) 6.5.4总结 (23) 7产品的非功能性需求 (24) 7.1.1性能需求 (24) 7.1.2接口需求 (24) 8附录B：需求确认 (25)
0文档介绍 0.1文档目的 此文档用于描述统一认证与单点登录系统的产品需求，用于指导设计与开发人员进行系统设计与实现。 0.2文档范围 本文档将对系统的所有功能性需求进行消息的描述，同时约定非功能性以及如何与第三方系统进行交互。 0.3读者对象 本文档主要面向一下读者： 1.系统设计人员 2.系统开发与测试人员 3.系统监管人员 4.产品甲方管理人员 0.4参考文档 《凯文斯信息技术有限公司单点登录及统一用户技术方案V1.0》 0.5术语与缩写解释
基础支撑平台
第一章统一身份认证平台 一、概述 建设方案单点登录系统采用基于Liberty规范的单点登录ID-SSO系统平台实现，为数字化校园平台用户提供安全的一站式登录认证服务。为平台用户以下主要功能： 为平台用户提供“一点认证，全网通行”和“一点退出，整体退出”的安全一站式登录方便快捷的服务，同时不影响平台用户正常业务系统使用。用户一次性身份认证之后，就可以享受所有授权范围内的服务，包括无缝的身份联盟、自动跨域、跨系统访问、整体退出等。 提供多种以及多级别的认证方式，包括支持用户名/密码认证、数字证书认证、动态口令认证等等，并且通过系统标准的可扩展认证接口（如支持JAAS），可以方便灵活地扩展以支持第三方认证，包括有登录界面的第三方认证，和无登录界面的第三方认证。 系统遵循自由联盟规范的Liberty Alliance Web-Based Authentication 标准和OASIS SAML规则，系统优点在于让高校不用淘汰现有的系统，无须进行用户信息数据大集中，便能够与其无缝集成，实现单点登录从而建立一个联盟化的网络，并且具有与未来的系统的高兼容性和互操作性，为信息化平台用户带来更加方便、稳定、安全与灵活的网络环境。 单点登录场景如下图所示：
一次登录认证、自由访问授权范围内的服务 单点登录的应用，减轻了用户记住各种账号和密码的负担。通过单点登录，用户可以跨域访问各种授权的资源，为用户提供更有效的、更友好的服务；一次性认证减少了用户认证信息网络传输的频率，降低了被盗的可能性，提高了系统的整体安全性。 同时，基于联盟化单点登录系统具有标准化、开放性、良好的扩展性等优点，部署方便快捷。 二、系统技术规范 单点登录平台是基于国际联盟Liberty规范（简称“LA”）的联盟化单点登录统一认证平台。 Liberty规范是国际170多家政府结构、IT公司、大学组成的国际联盟组织针对Web 单点登录的问题提供了一套公开的、统一的身份联盟框架，为客户释放了使用专用系统、不兼容而且不向后兼容的协议的包袱。通过使用统一而又公开的 Liberty 规范，客户不再需要为部署多种专用系统和支持多种协议的集成复杂度和高成本而伤脑筋。 Liberty规范的联盟化单点登录SSO（Single Sign On）系统有以下特点： (1). 可以将现有的多种Web应用系统联盟起来，同时保障系统的独立性，提供单点 登录服务；
1.详细需求 1.1 业务需求 统一用户管理平台是一个高性能、易管控的用户和权限数据集成平台，能够统一管理企业中各个信息系统的组织信息和用户信息，能够实现单点登录，简化用户的登录过程，同时提供集中便捷的身份管理、资源管理、安全认证和审计管理，能够实现各个系统的独立的权限注册，配置不同的业务域，独立的业务组织体系模型，并且对于不同权限级别的用户和管理员都有不同的系统功能和数据访问范畴，以满足用户对信息系统使用的方便性和安全管理的要求，最终实现异构系统的有机整合。在系统集成的过程中，借助其强大的系统管控能力，在实施过程中进行权限人员数据的规范化、数据同步自动化、系统访问可控化、权限管理统一化和监控审计可视化。 1.2 系统功能需求 1.2.1 统一用户管理 建立一套集中的用户信息库，利用同步接口提供的功能，把所有的系统用户进行统一存放，系统管理员在一个平台上统一管理用户在各个系统中的账号和密码。形成一套全局用户库，统一管理，作为企业内所有IT应用的用户源。在人员离职、岗位变动时，只需在管理中心一处更改，即可限制其访问权限，消除对后台系统非法访问的威胁。方便了用户管理，也防止过期的用户身份信息未及时删除带来的安全风险。系统支持分级授权。 1.2.2 用户身份认证 遵循W3C的业界标准，在单点登录系统的基础上，实现基于域管理的身份认证服务构件，自主开发的系统能够使用该服务进行认证，同时提供多种认证方式，能实现双因素认证。采用LDAP（轻量目录访问协议，一个开放的目录服务标准）来建构统一用户信息数据库。LDAP已成为未来身份认证和身份管理的标准，具有很好的互操作性和兼容性，基于LDAP可以搭建一个统一身份认证和管理框架，并提供开发接口给各应用系统，为应用系统的后续开发提供了统一身份认证平台和标准。实现多种身份认证方式，支持LDAP、JDBC、WebService、Radius、Openid等多种身份认证方式。
国网统一身份管理系统单点登录和身份同步接入规范 项目名称<国网统一身份管理系统> 文档类别<接口规范> 文档编号<> 版本<> 密级<> 二〇二〇年八月十七日
目录 一、国网统一身份管理系统介绍 (3) 1.1 系统概述 (3) 1.2 单点登录流程 (4) 1.3 单点登录接入方式 (5) 二、国网应用系统单点登录集成 (6) 2.1国网应用系统集成分类 (6) 2.2应用系统权限管理模式 (7) 2.3单点登录集成要求 (9) 2.4 单点登录集成流程 (12) 三、身份同步规范 (15) 3.1用户身份数据流 (15) 3.2帐号管理流程 (16) 3.2.1帐号创建流程 (16) 3.2.2帐号更新流程 (16) 3.2.3帐号删除/禁用流程 (16) 3.3帐号的身份同步 (17) 3.4数据库改造 (17)
一、国网统一身份管理系统介绍 1.1 系统概述 单点登录 目录系统 管理模块 应用系统认 应用系统 由上图可见国家电网统一身份管理系统由单点登录和目录管理两部分构成。其中单点登录采用的是Novell的单点登录产品Access Manager，其单点登录通过Access Manager访问网关、单点登录认证管理模块、认证目录三部分协作实现。统一身份管理系统中的目录包含三类：认证目录、资源目录和身份目录。 认证目录是专用于Novell Access Manager做用户认证使用的目录，目录中包含所有登录总部门户的用户。用户核心属性是用户名、密码以及单点登录到应用系统的帐号和密码。 资源目录是国网总部部门数据以及应用权限数据的权威数据源。在该目录下管理用户所属的组织机构信息、各应用系统的信息、各应用系统的分组角色信息等。组织机构信息、应用系统信息、分组角色信息等可供各应用系统认证管理模块做权限管理。资源目录中的用户核心属性是用户名、OU。 身份目录是国网用户的权威数据源。所有国网总部的用户都从身份目录中开始创建、修改、删除。该目录下的用户具有最全面的用户信息，它实时向认证目录和资源目录中同步用户信息。
智慧海事一期统一身份认证系统 技术方案
目录 目录...................................................................................................................................................... I 1.总体设计 (2) 1.1设计原则 (2) 1.2设计目标 (3) 1.3设计实现 (3) 1.4系统部署 (4) 2.方案产品介绍 (6) 2.1统一认证管理系统 (6) 2.1.1系统详细架构设计 (6) 2.1.2身份认证服务设计 (7) 2.1.3授权管理服务设计 (10) 2.1.4单点登录服务设计 (13) 2.1.5身份信息共享与同步设计 (15) 2.1.6后台管理设计 (19) 2.1.7安全审计设计 (21) 2.1.8业务系统接入设计 (23) 2.2数字证书认证系统 (23) 2.2.1产品介绍 (23) 2.2.2系统框架 (24) 2.2.3软件功能清单 (25) 2.2.4技术标准 (26) 3.数字证书运行服务方案 (28) 3.1运行服务体系 (28) 3.2证书服务方案 (29) 3.2.1证书服务方案概述 (29) 3.2.2服务交付方案 (30) 3.2.3服务支持方案 (36) 3.3CA基础设施运维方案 (38) 3.3.1运维方案概述 (38) 3.3.2CA系统运行管理 (38) 3.3.3CA系统访问管理 (39) 3.3.4业务可持续性管理 (39) 3.3.5CA审计 (39)
福建省公安公众服务平台 统一身份认证及单点登录系统建设方案 福建公安公众服务平台建设是我省公安机关“三大战役”社会管理创新的重点项目之一；目前平台目前已经涵盖了公安厅公安门户网 站及网站群、涵盖了5+N服务大厅、政民互动等子系统；按照规划，平台还必须进一步拓展便民服务大厅增加服务项目，电子监察、微博监管等系统功能，实现集信息公开、网上办事、互动交流、监督评议 功能为一体的全省公安机关新型公众服务平台。平台涵盖的子系统众多，如每个子系统都用自己的身份认证模块，将给用户带来极大的不便；为了使平台更加方便易用，解决各子系统彼此孤立的问题，平台 必须增加统一身份认证、统一权限管理及单点登录功能。 一、建设目标 通过系统的建设解决平台用户在访问各子系统时账户、密码不统一的问题，为用户提供平台的统一入口及功能菜单；使平台更加简便易用，实现“一处登录、全网漫游”。同时，加强平台的用户资料、授权控制、安全审计方面的管理，确保用户实名注册使用，避免给群 众带来安全风险；实现平台各子系统之间资源共享、业务协同、互联 互通、上下联动；达到全省公安机关在线服务集成化、专业化的目标。 二、规划建议 统一身份认证及单点登录系统是福建公安公众服务平台的核心 基础系统；它将统一平台的以下服务功能：统一用户管理、统一身份 认证、统一授权、统一注册、统一登录、统一安全审计等功能。系统 将通过标准接口（WebService接口或客户端jar包或dll动态链接库）向各子系统提供上述各类服务；各业务子系统只要参照说明文档，做适当集成改造，即可与系统对接，实现统一身份认证及单点登录， 实现用户资源的共享，简化用户的操作。
统一用户认证和单点登录解决方案 本文以某新闻单位多媒体数据库系统为例，提出建立企业用户认证中心，实现基于安全策略的统一用户管理、认证和单点登录，解决用户在同时使用多个应用系统时所遇到的重复登录问题。 随着信息技术和网络技术的迅猛发展，企业内部的应用系统越来越多。比如在媒体行业，常见的应用系统就有采编系统、排版系统、印刷系统、广告管理系统、财务系统、办公自动化系统、决策支持系统、客户关系管理系统和网站发布系统等。由于这些系统互相独立，用户在使用每个应用系统之前都必须按照相应的系统身份进行登录，为此用户必须记住每一个系统的用户名和密码，这给用户带来了不少麻烦。特别是随着系统的增多，出错的可能性就会增加，受到非法截获和破坏的可能性也会增大，安全性就会相应降低。针对于这种情况，统一用户认证、单点登录等概念应运而生，同时不断地被应用到企业应用系统中。 1 统一用户管理的基本原理 一般来说，每个应用系统都拥有独立的用户信息管理功能，用户信息的格式、命名与存储方式也多种多样。当用户需要使用多个应用系统时就会带来用户信息同步问题。用户信息同步会增加系统的复杂性，增加管理的成本。 例如，用户X需要同时使用A系统与B系统，就必须在A系统与B系统中都创建用户X，这样在A、B任一系统中用户X的信息更改后就必须同步至另一系统。如果用户X需要同时使用10个应用系统，用户信息在任何一个系统中做出更改后就必须同步至其他9个系统。用户同步时如果系统出现意外，还要保证数据的完整性，因而同步用户的程序可能会非常复杂。 解决用户同步问题的根本办法是建立统一用户管理系统（UUMS）。UUMS 统一存储所有应用系统的用户信息，应用系统对用户的相关操作全部通过UUMS 完成，而授权等操作则由各应用系统完成，即统一存储、分布授权。UUMS应具备以下基本功能：
统一身份认证系统建设方案 发布日期：2008-04-01 1.1 研发背景 随着信息技术的不断发展，企业已逐渐建立起多应用、多服务的IT 架构，在信息化建设中起到十分重要的作用。但是各信息系统面向不同管理方向，各有其对应的用户群体、技术架构、权限体系，限制了系统之间的信息共享和信息交换，形成的信息孤岛。同时，每一个信息系统的用户拥有不同的角色（职能），需要操作不同的系统，难以对其需要和拥有的信息和操作进行综合处理，限制信息系统效率的发挥。在这种背景下企业准备实施内网信息门户系统。其中统一身份管理系统是内网信息门户系统的一个重要组成部分。 统一身份管理将分散的用户和权限资源进行统一、集中的管理，统一身份管理的建设将帮助实现内网信息门户用户身份的统一认证和单点登录，改变原有各业务系统中的分散式身份认证及授权管理，实现对用户的集中认证和授权管理，简化用户访问内部各系统的过程，使得用户只需要通过一次身份认证过程就可以访问具有相应权限的所有资源。 1.2 组成架构 汇信科技与SUN公司建立了紧密合作关系，汇信科技推出的统一身份认证解决方案基于SUN公司的Sun Java System Identity Manager和Sun Java System Access Manager以及Sun Java System Directory Server实现。主要包括受控层、统一访问控制系统（统一认证服务器）、统一身份管理系统（统一身份管理服务器）、目录服务器。 受控层位于各应用服务器前端，负责策略的判定和执行，提供AGENT和API两种部署方式。 统一认证服务器安装统一身份认证系统（AM），主要提供身份认证服务和访问控制服务。 统一认证服务器安装统一身份管理系统（IM），主要实现身份配给、流程自动化、委任管理、密码同步和密码重置的自助服务。 目录服务器部署Sun Java System Directory Server,是整个系统的身份信息数据中心。 1.1 功能描述 1.1.1 实现“一次鉴权”（SSO） “一次鉴权（认证和授权）”是指建立统一的资源访问控制体系。用户采用不同的访问手段（如Intranet、PSTN、GPRS等）通过门户系统
统一用户认证和单点登录解决方案随着信息技术和网络技术的迅猛发展，企业内部的应用系统越来越多。比如在媒体行业，常见的应用系统就有采编系统、排版系统、印刷系统、广告管理系统、财务系统、办公自动化系统、决策支持系统、客户关系管理系统和网站发布系统等。由于这些系统互相独立，用户在使用每个应用系统之前都必须按照相应的系统身份进行登录，为此用户必须记住每一个系统的用户名和密码， 大 和标识了不同的个体。 ．向各应用系统提供用户属性列表，如姓名、电话、地址、邮件等属性，各应用系统可以选择本系统所需要的部分或全部属性。 ．应用系统对用户基本信息的增加、修改、删除和查询等请求由处理。 ．应用系统保留用户管理功能，如用户分组、用户授权等功能。 ．应具有完善的日志功能，详细记录各应用系统对的操作。
统一用户认证是以为基础，对所有应用系统提供统一的认证方式和认证策略，以识别用户身份的合法性。统一用户认证应支持以下几种认证方式: .匿名认证方式: 用户不需要任何认证，可以匿名的方式登录系统。 .用户名密码认证:这是最基本的认证方式。 数字证书认证:通过数字证书的方式认证用户的身份。 地址认证:用户只能从指定的地址或者地址段访问系统。 （ 保证了数据在传输过程中的机密性（不被非法授权者偷看）、完整性（不能被非法篡改）和有效性（数据不能被签发者否认）。 数字证书有时被称为数字身份证，数字证书是一段包含用户身份信息、用户公钥信息以及身份验证机构数字签名的数据。身份验证机构的数字签名可以确保证书信息的真实性。 完整的系统应具有权威认证机构（）、证书注册系统（）、密钥管理中
心（）、证书发布查询系统和备份恢复系统。是的核心，负责所有数字证书的签发和注销；接受用户的证书申请或证书注销、恢复等申请，并对其进行审核；负责加密密钥的产生、存贮、管理、备份以及恢复；证书发布查询系统通常采用（，在线证书状态协议）协议提供查询用户证书的服务，用来验证用户签名的合法性; 备份恢复系统负责数字证书、密钥和系统数据的备份与恢复。 单点登录（，）是一种方便用户访问多个系统的技术，用户只需在登录 的知识参看链接）。 用户认证中心实际上就是将以上所有功能、所有概念形成一个整体，为企业提供一套完整的用户认证和单点登录解决方案。一个完整的用户认证中心应具备以下功能: . 统一用户管理。实现用户信息的集中管理，并提供标准接口。 . 统一认证。用户认证是集中统一的，支持、用户名密码、和等多种身份
1.1. 统一身份认证系统 通过统一身份认证平台，实现对应用系统的使用者进行统一管理。实现统一登陆，避免每个人需要记住不同应用系统的登陆信息，包含数字证书、电子印章和电子签名系统。 通过综合管理系统集成，实现公文交换的在线电子签章、签名。 统一身份认证系统和SSL VPN、WEB SSL VPN进行身份认证集成。 1.1.1. 技术要求 ?基于J2EE实现，支持JAAS规范的认证方式扩展 ?认证过程支持HTTPS，以保障认证过程本身的安全性 ?支持跨域的应用单点登陆 ?支持J2EE和.NET平台的应用单点登陆 ?提供统一的登陆页面确保用户体验一致 ?性能要求：50并发认证不超过3秒 ?支持联合发文：支持在Office中加盖多个电子印章，同时保证先前加盖 的印章保持有效，从而满足多个单位联合发文的要求。 ?支持联合审批：支持在Office或者网页（表单）中对选定的可识别区域 内容进行电子签名，这样可以分别对不同人员的审批意见进行单独的电 子签名。 ?Office中批量盖章：支持两种批量签章方式： ?用户端批量盖章； ?服务器端批量盖章。 ?网页表单批量签章：WEB签章提供批量表单签章功能，不需要打开单个 表单签章，一次性直接完成指定批量表单签章操作，打开某一表单时， 能正常显示签章，并验证表单完整性。 ?提供相应二次开发数据接口：与应用系统集成使用，可以控制用户只能 在应用系统中签章，不能单独在WORD/EXCEL中签章，确保只有具有 权限的人才可以签章,方便二次开发。
?满足多种应用需求：电子签章客户端软件支持MS Office、WPS、永中 Office、Adobe PDF、AutoCAD等常用应用软件环境下签章，网页签章 控件或电子签章中间件则为几乎所有基于数据库的管理信息系统提供了 电子签名中间件。因此可以满足机构内几乎所有的对电子印章应用的现 实和潜在需求。 ?跨平台部署：后台服务器软件采用JAVA技术开发，具有良好的跨平台 性，可以部署到各种操作系统平台下。 ?集中部署、分级管理：集团性机构可以部署统一的电子印章管理和认证 平台，电子印章可以由总部机构或者各个子、分公司管理。下述独立子 公司可以单独管理其本单位的电子印章。 ?安全可靠的打印控制：基于服务器端的打印控制技术,真正实现打印份数 的有效控制,超出授权打印份数之后,用户可以根据其内部的规定选择不 可打印或者打印黑章,以确保正章文件不会随意流转。 ?可扩展性强：通过提供相关的接口程序，可以实现身份认证、单点登录， 从而架构一个统一的安全支撑平台。 1.1. 2. 系统管理要求 ?组织管理：组织管理支持树形管理，每个组织节点可设置节点管理员， 支持系统管理员、节点管理员、普通用户对系统的访问。 ?用户管理：完成用户基本信息维护。用户增、删、改、停用/启用、所属 组织选择； ?用户认证信息管理：用户多种认证方式的信息维护，包括但不限于支持 用户名/口令，短信，USB Key，证书 ?日志管理：包括身份认证日志 ?系统监控：提供系统运行状态 ?打印控制：可以严格控制打印份数 1.1.3. 身份认证管理 ?支持多种认证方式：包括但不限于用户名/口令，短信验证，USB Key 验证，CA验证
随着教育信息化的普及，学校建立了或者即将建立多套系统，用来实现对行政管理、教学管理、人员管理等学校内部各方事务的信息化服务。但是，由于各个系统分管的部门不同，应用对象不同，对学校影响的紧迫程度不同，各个系统是分步建立的。各个系统的建立时间不同，系统的厂商也不同，从而导致各个系统之间大都相对独立存在，使用者需记忆不同的登录账号，登录不同系统进行操作。这无疑加大了用户日常使用过程中的不便性，降低了工作效率。而学校的系统管理员在对多套系统的用户管理时，无法进行统一的账号及权限管理，这也增加了系统管理人员的管理负担，造成用户管理的不规范，对于信息安全存在一定的安全隐患。 统一身份认证系统就是解决上述问题行之有效的工具。 统一身份认证系统作为平台的安全认证及授权中心，主要为各应用系统提供集中的身份认证与授权服务。用户通过统一信息门户实现单点登录，提高信息化管理应用系统的安全性。通过指定相应的集中认证技术规范，提供统一的应用系统用户管理接口，最终实现学校（教育局）所有系统用户认证的集中统一管理，大幅简化用户登录过程，显著提高工作效率。同时也减轻系统管理员的用户管理工作，统一用户管理。 系统提供一系列全面的认证、授权控制和管理工具，对数据的访问和使用进行全方位多层次的许可、控制和管理，并保护数据拥有者和使用者的数据安全。对于数据库中的同一数据不同用户根据其拥有的权限集的不同定义对该数据对象的操作能力，包括创建、增加、修改元数据的索引属性，创建、增加、修改数据对象以及对数据注释信息进行操作等功能，从而实现对数据的安全保护，提升学校（教育局）的信息安全水平。
单点登录 统一认证、授权和单点登录系统是和门户系统紧密集成的一套基于策略的访问控制平台，采用开放的架构，支持可插接的用户认证模块，能够支持当前主流安全架构，可供Java、.net、ASP、PHP等开发平台调用实现统一认证。其基于LDAP目录服务器，实现用户的身份认证、应用资源的访问控制、策略管理与服务。提供包括传统的用户密码认证、数字证书认证、CA证书认证、动态短信认证等多种认证手段，实现“一次鉴权（认证和授权）”——单点登录，提供基于Web的多种应用程序，即通过浏览器实现对多个B/S 架构应用的统一账户认证。实现了用户只需认证一次，就可以无须再次登录地访问其做授权可以访问的业务系统。 身份管理 建立基于目录服务的统一身份管理机制，建设全校（局）统一的用户身份库，实现用户信息的集中存储和管理，用户信息规范命名、统一存储，用户ID全校（局）唯一，并提供标准接口，实现不同应用系统的用户身份的同步，支持海量的基于LDAP目录服务器的用户数据存储和管理功能。 认证管理
统一用户管理系统 一、概述 近十年以来，信息产业在中国得到了蓬蓬勃勃地发展，而且随着中国进入WTO，各个机关事业单位、银行、企业为了提高自身的工作效率，迎接新的挑战，更是加快了信息化建设的进程。比如：办公自动化系统以及各个机构相关的业务系统。 但是，目前比较普遍的现象是：各个业务系统相互独立、数据不一致；信息共享程度不高、管理分散……使得机构内的应用纷繁复杂，头绪很多，形成了一个个“应用孤岛”。由于各个系统相对孤立，不仅给用户使用各个系统和访问各个信息库带来麻烦，影响工作效率，而且由于各个孤立的系统有各自人员信息库，人员信息没有一个权威统一的来源，由不同的管理员分别手工管理，容易带来管理上的麻烦，造成信息不一致。 项目组经过长期地调查研究，考察了大量的用户需求，针对国内事业机构存在的共同问题，结合最新的J2EE技术，建立了一个通用的LDAP统一用户管理系统。“LDAP统一用户管理系统”是一个跨平台、与操作系统和LDAP服务器无关的统一用户管理平台。LDAP统一用户管理系统作为一个独立的模块，能够统一管理企业中各个系统的用户的公共信息；能够采用各种查询条件方便地查询用户信息；能够实现部门分级维护、人员按各种分类方式方便地管理。企业用户可以通过本系统查询其他用户的通讯录，如邮件、电话等信息。通过对用户信息的集中管理，企业内部的系统可以共享这些人员信息，解除各个系统中人员信息的冗余，实现企业内部各个系统的单点登录。它不仅具有丰富、灵活的系统功能，而且有完善的安全管理措施，对于不同权限级别的用户和管理员都有不同的系统功能和数据访问范围；并采用LDAP系统与PKI体系结合，增强体系的安全性。该用户管理系统最大范围地考虑到了用户的普遍要求。同时，作为单点登录的统一入口，它可以很方便的与其他信息子系统进行挂接。 二、特点或达到的效果 采用统一用户管理系统的好处： 1.节省信息化的投资； 2.保证了同一个实体的信息在各个应用系统中信息完全相同，避免了因为数据不一致而导致的信息泄露问题； 3.方便用户使用，可以实现单点登陆； 4.为PKI体系的建立提供基础； 5.降低了应用系统维护工作量。 三、方案图解
统一用户认证和单点登录解决方案 统一用户认证和单点登录解决方案 本文以某新闻单位多媒体数据库系统为例，提出建立企业用户认证中心，实现基于安全策略的统一用户管理、认证和单点登录，解决用户在同时使用多个应用系统时所遇到的重复登录问题。 随着信息技术和网络技术的迅猛发展，企业内部的应用系统越来越多。比如在媒体行业，常见的应用系统 就有采编系统、排版系统、印刷系统、广告管理系统、财务系统、办公自动化系统、决策支持系统、客户 关系管理系统和网站发布系统等。由于这些系统互相独立，用户在使用每个应用系统之前都必须按照相应 的系统身份进行登录，为此用户必须记住每一个系统的用户名和密码，这给用户带来了不少麻烦。特别是随着系统的增多，出错的可能性就会增加，受到非法截获和破坏的可能性也会增大，安全性就会相应降低。针对于这种情况，统一用户认证、单点登录等概念应运而生，同时不断地被应用到企业应用系统中。 统一用户管理的基本原理 一般来说，每个应用系统都拥有独立的用户信息管理功能，用户信息的格式、命名与存储方式也多种多样。当用户需要使用多个应用系统时就会带来用户信息同步问题。用户信息同步会增加系统的复杂性，增加管理的成本。 例如，用户 X 需要同时使用 A 系统与 B 系统，就必须在 A 系统与 B 系统中都创建用户 X ，这样在 A 、B 任一系统中用户X 的信息更改后就必须同步至另一系统。如果用户 X 需要同时使用 10 个应用系统，用户信息在任何一个系统中做出更改后就必须同步至其他 9 个系统。用户同步时如果系统出现意外，还要保证数据的完整性，因而同步用户的程序可能会非常复杂。 解决用户同步问题的根本办法是建立统一用户管理系统（ UUMS ）。 UUMS 统一存储所有应用系统的用户信息，应用系统对用户的相关操作全部通过UUMS 完成，而授权等操作则由各应用系统完成，即统一存储、分布授权。UUMS 应具备以下基本功能: