统一身份认证系统设计与实现
随着信息化的日益普及,以及中国信息化建设步伐的逐步加快,信息化正以几何倍数增长的方式支撑着能源、通信、金融、交通、工农业及服务业等各行业的生产建设活动,信息化已成为当前社会生产经营活动必不可少的辅助手段。在此情况下,国家电网公司在“十一五”期间大力发展信息化建设,但随着公司信息化建设的推进,公司各业务部门对本部门业务系统的需求单一性、不可复用性以及管理成本的浪费日见明显,如何利用信息系统为各业务部门创造价值、节约人力成本、提高管理效率的同时,加强各业务系统的统一管控力度、降低信息系统的运行维护成本,并且在不影响当前业务支撑多样性的前提下整合各业务系统数据来源、对面向不用的业务应用提供统一身份、单点登录、身份管理等基础服务变得越来越重要。本文的研究重点是在国网公司内构建一套统一身份认证系统,实现对不同平台、不同数据库之间的业务应用系统的统一支撑管理。本文通过对国家电网公司各部门(单位)以及各业务应用系统现状充分调研的基础上,遵循集成性、安全性、稳定性、先进性等原则,提出了一个基于轻量级目录访问协议的统一身份认证系统的设计框架,利用目录技术实现对各部门(单位)组织架构、各组织层级下的用户信息以及各业务应用基础用户数据的统一管理,任何应用系统均可取消自身用户系统,使用统一身份认证系统的日录数据源作为业务系统的用户数据库：利用反向代理和统一认证技术实现对同一用户登录不同业务应用系统的单点登录,以及同一用户在不同业务应用系统中的权限角色配置；利用身份管理服务技术在强化数据通道安全性的条件下,实现不同数据源之间的数据复制、同步,以及数据复制、同步过程中的属性变更等一系列的过程控制：利用J2EE 架构实现了统一身份管理工具的设计,实现了针对目录数据源的组织架构管理、用户信息管理、应用管理、授权管理等。
本系统在设计中,考虑到国家电网公司信息化建设速度快、系统更新升级频繁、业务需求多、变化快等特点,同地考虑统一身份认证系统自身特点可能带来的单点故障等原因,系统的各个子系统设计相对独立,保证了系统的稳定性的同时,强化了易更新、易集成的特性,为国家电网公司构建全球最大的集团企业级信息系统提供有力支撑,同时,随着统一身份认证系统的逐步完善,将在大规模、多平台信息系统建设中发挥重要的作用。
基础支撑平台
第一章统一身份认证平台 一、概述 建设方案单点登录系统采用基于Liberty规范的单点登录ID-SSO系统平台实现，为数字化校园平台用户提供安全的一站式登录认证服务。为平台用户以下主要功能： 为平台用户提供“一点认证，全网通行”和“一点退出，整体退出”的安全一站式登录方便快捷的服务，同时不影响平台用户正常业务系统使用。用户一次性身份认证之后，就可以享受所有授权范围内的服务，包括无缝的身份联盟、自动跨域、跨系统访问、整体退出等。 提供多种以及多级别的认证方式，包括支持用户名/密码认证、数字证书认证、动态口令认证等等，并且通过系统标准的可扩展认证接口（如支持JAAS），可以方便灵活地扩展以支持第三方认证，包括有登录界面的第三方认证，和无登录界面的第三方认证。 系统遵循自由联盟规范的Liberty Alliance Web-Based Authentication 标准和OASIS SAML规则，系统优点在于让高校不用淘汰现有的系统，无须进行用户信息数据大集中，便能够与其无缝集成，实现单点登录从而建立一个联盟化的网络，并且具有与未来的系统的高兼容性和互操作性，为信息化平台用户带来更加方便、稳定、安全与灵活的网络环境。 单点登录场景如下图所示：
一次登录认证、自由访问授权范围内的服务 单点登录的应用，减轻了用户记住各种账号和密码的负担。通过单点登录，用户可以跨域访问各种授权的资源，为用户提供更有效的、更友好的服务；一次性认证减少了用户认证信息网络传输的频率，降低了被盗的可能性，提高了系统的整体安全性。 同时，基于联盟化单点登录系统具有标准化、开放性、良好的扩展性等优点，部署方便快捷。 二、系统技术规范 单点登录平台是基于国际联盟Liberty规范（简称“LA”）的联盟化单点登录统一认证平台。 Liberty规范是国际170多家政府结构、IT公司、大学组成的国际联盟组织针对Web 单点登录的问题提供了一套公开的、统一的身份联盟框架，为客户释放了使用专用系统、不兼容而且不向后兼容的协议的包袱。通过使用统一而又公开的 Liberty 规范，客户不再需要为部署多种专用系统和支持多种协议的集成复杂度和高成本而伤脑筋。 Liberty规范的联盟化单点登录SSO（Single Sign On）系统有以下特点： (1). 可以将现有的多种Web应用系统联盟起来，同时保障系统的独立性，提供单点 登录服务；
智慧校园统一身份认证技术分析 由于科技和信息的高速发展，校园智慧也达到了一个新的高度，多种信息智慧的应用的确为我们带来了极大地便利。与此同时，在我们进行应用的过程中也伴随着一些问题的出现，每次频繁的进行登录，应用过程中出现的漏洞，信息维护和反应的不及时，这些与我们信息智慧校园建设的初衷背离。健全和完善身份认证可以为用户减少很多不便，一套行之有效的认证方案确有必要。 标签：身份认证；智慧校园；技术分析；统一认证 智慧校园是建立在网络平台上的应用，是数字化的一种进步与发展，高校智慧校园简单来讲就是建立在校园网上的一种数字化，用户们登录不同的平台进行学习和生活，每次频繁的登录和进行认证，密码账号需要多次记忆给用户带来了不便，统一的身份认证就是要建立一套相互连接的认证系统，学生们在不同的地点进行登录时只需要统一的密码账号，这可以大大减少记忆，对于统一身份的安全问题，可以提供从简单的密码和签字指纹认证等多种不同的保护措施，建立安全高效的校园化统一认证。 1 统一身份认证必要性 要分析统一认证是否必要，我们可以从一下三点内容来进行分析： 1.1 用户使用不便 学生和老师不同登录地点需要多次登录，多个密码多次记忆用户在进入时需要进行身份的认证，多次认证，记忆密码可能会遗忘，有时在登录时可能会忘记密码而无法验证，举个简单的例子来讲，一位同学在图书馆需要认证，在校门进入时需要认证，当他进入网络平台时同样需要进行认证，这就给用户学习生活带来了不便，多次登录浪费时间，一个密码多个平台可以大大节省物力、财力，更多资源可以进行其他建设和维护，借助于身份认证省去了密码记忆的繁琐，统一认证一次而无需其他认证。 1.2 用户的不同管理机制不同，不利于学校进行管理 正如我们了解的，学校进行更为系统的管理时需要综合分析每个不同管理机制的内容，而各个不同系统管理机制存在差异，在一定程度上学校进行管理时将更加困难一些。从形式上，用户服务虽然说都是借助于校园网进行的，但实际上，彼此之间是独立的，管理机制独立，每一个事项都需要一个管理机制，彼此之间工作各自的内容，例如图书管理系统负责维护图书借阅、图书统计，而不会负责其他内容，这就产生了许多个管理机制，学校进行集中管理，整体管理时，由于各个单元之间的独立因而无法高校管理、浪费时间和精力，我们智慧化校园要求智慧、高效、可靠，这显然是不符合的。
统一身份认证权限管理系统 使用说明
目录 第1章统一身份认证权限管理系统 (3) 1.1 软件开发现状分析 (3) 1.2 功能定位、建设目标 (3) 1.3 系统优点 (4) 1.4 系统架构大局观 (4) 1.5物理结构图 (5) 1.6逻辑结构图 (5) 1.7 系统运行环境配置 (6) 第2章登录后台管理系统 (10) 2.1 请用"登录"不要"登陆" (10) 2.2 系统登录 (10) 第3章用户（账户）管理 (11) 3.1 申请用户（账户） (12) 3.2 用户（账户）审核 (14) 3.3 用户（账户）管理 (16) 3.4 分布式管理 (18) 第4章组织机构（部门）管理 (25) 4.1 大型业务系统 (26) 4.2 中小型业务系统 (27) 4.3 微型的业务系统 (28) 4.4 内外部组织机构 (29) 第5章角色（用户组）管理 (30) 第6章职员（员工）管理 (34) 6.1 职员（员工）管理 (34) 6.2 职员（员工）的排序顺序 (34) 6.3 职员（员工）与用户（账户）的关系 (35) 6.4 职员（员工）导出数据 (36) 6.5 职员（员工）离职处理 (37) 第7章内部通讯录 (39) 7.1 我的联系方式 (39) 7.2 内部通讯录 (40) 第8章即时通讯 (41) 8.1 发送消息 (41) 8.2 即时通讯 (43) 第9章数据字典（选项）管理 (1) 9.1 数据字典（选项）管理 (1) 9.2 数据字典（选项）明细管理 (3) 第10章系统日志管理 (4) 10.1 用户（账户）访问情况 (5) 10.2 按用户（账户）查询 (5) 10.3 按模块（菜单）查询 (6) 10.4 按日期查询 (7) 第11章模块（菜单）管理 (1) 第12章操作权限项管理 (1) 第13章用户权限管理 (4) 第14章序号（流水号）管理 (5) 第15章系统异常情况记录 (7) 第16章修改密码 (1) 第17章重新登录 (1) 第18章退出系统 (3)
统一身份认证平台功能 描述 文稿归稿存档编号：[KKUY-KKIO69-OTM243-OLUI129-G00I-FDQS58-
数字校园系列软件产品统一身份认证平台 功能白皮书 目录
1产品概述 1.1产品简介 随着校园应用建设的逐步深入，已经建成的和将要建成的各种数字校园应用系统之间的身份认证管理和权限管理出现越来越多的问题：用户需要记录多个系统的密码，经常会出现忘记密码的情况；在登 录系统时需要多次输入用户名/密码，操作繁琐。 各个系统之间的账号不统一，形成信息孤岛现象，导致学校管理工 作重复，增加学校管理工作成本。 新开发的系统不可避免的需要用户和权限管理，每一个新开发的系 统都需要针对用户和权限进行新开发，既增加了学校开发投入成 本，又增加了日常维护工作量 针对学生、教职工应用的各种系统，不能有效的统一管理用户信 息，导致学生在毕业时、教职工在离退休时不能及时地在系统中 清除这部分账号，为学校日后的工作带来隐患。 缺乏统一的审计管理，出现问题，难以及时发现问题原因。 缺乏统一的授权管理，出现权限控制不严，造成信息泄露。 统一身份认证平台经过多年的实践和积累，通过提供统一的认证服务、授权服务、集中管理用户信息、集中审计，有效地解决了以上问题，赢得客户的好评。
1.2应用范围 2产品功能结构 统一身份认证平台功能结构图 3产品功能 3.1认证服务 3.1.1用户集中管理 统一身份认证平台集中管理学校的所有教职员工和学生信息，所有的用户信息和组织机构信息存储在基于LDAP协议的OpenLDAP目录服务中，保证数据的保密性和读取效率。通过用户同步功能，及时地把关键业务系统中的用户信息同步到统一认证平台中，然后通过平台再分发给需要的业务系统，保证账号的一致性。 为所有的用户设置权限生效起止日期，即使不对用户做任何操作，在权限生效期外的用户也无法通过认证，保证了系统的安全性。 用户管理
XXXX学院网络统一身份认证计费管理系统 建设方案 2016年03月 目录 一．计费系统设计规划......................................... 二．方案建设目标............................................. 三．总体方案................................................. 1.方案设计 .............................................. A.方案（串连网关方式）................................. B.方案（旁路方式+BRAS，BRAS产品） 四．认证计费管理系统与统一用户管理系统的融合................. 4.1统一用户管理系统的融合 ................................ 4.2一卡通系统的融合 ...................................... 4.3用户门户系统的融合 .................................... 五．认证计费管理系统功能介绍................................. 六．用户案例................................................. 6.1清华大学案例介绍 ...................................... 6.2成功案例-部分高校...................................... 6.3系统稳定运行用户证明 ..................................
lessoner@https://www.doczj.com/doc/7b3649763.html, 统一身份认证系统 系统介绍 统一用户管理系统基于Web Service技术，提供超大型用户统一管理、统一认证、异构系统与平台单点登录、统一安全控制与审计以及统一计费与支付功能的系统平台。通过该系统，可以圆满解决政府信息孤岛问题、企业应用认证集成以及电信和互联网服务收费等问题，真正实现：一点认证、全网通行；一点管理，全网安全。 系统架构 系统功能
统一用户管理 系统提供超大型用户统一集中管理，可管理千万级用户，系统支持多种用户帐号配置、用户字段自定义配置、用户 分类分组、多种用户接口（AD， LDAP， Membership等）、用户权限安全等方面的管理。 统一认证服务 系统提供集中统一的，支持PKI、用户名/密码、B/S和C/S等多种身份认证方式，并结合系统强大的加密与安全技 术，实现高效、安全的认证服务。 统一授权管理 系统结合资源管理对用户的访问提供统一授权服务（PMI），用户身份到应用授权的映射功能，实现权限和证书的产 生、管理、存储、分发和撤销等功能，并可以大大提高管理者的效率，降低管理者的工作量。 统一资源管理 系统提供各种应用系统和各种需要保护的功能资源的统一管理功能，有效的控制和管理资源，提供资源的认证、资 源的维护、资源的产品和服务以及资源的积分、计费与结算的管理，通过该模块，可以建立分布式的全球认证服务体 系。 统一计费结算 系统特别提供统一的用户积分、网络虚拟货币、网上银行支付以及其他多种电信支付方式的管理，同时，系统还提 供灵活的计费结算方式，支持按次计费、包时段计费、组合套餐计费等多种方式，圆满
的解决了网上用户购买商品、服 务以及虚拟商品的功能，并结合系统提供的灵活的结算管理系统，提供准确、安全的费用结算、统计和分析功能。 统一安全审计 系统提供对于用户管理和认证的全面安全管理，包括：用户安全体系、用户信息加密、SSL加密安全、访问日志分 析、数据备份/恢复、网络安全防护、用户信息审计和自动用户清洗等一系列功能，全面解决系统的事前、事中和事后的 安全问题。 统一接口规范 系统提供标准的Web Service的认证服务和用户管理的SDK接口，符合SAML安全标记语言规范，方便其他各种异构操 作系统平台的应用进行SSO应用集成。 统一统计分析 通过统一的统计分析模块，我们可以分析和跟踪用户行为，了解和挖掘用户消费心理，提供详细的日、周、月和年 度报表，为管理者提供决策服务。 系统特点 1. 支持多个安全级 2. 支持多种身份验证方式 3. 完善的SSO会话管理 4. 跨域的SSO，支持SAML 5. 针对遗留应用的快捷、安全的SSO实现 6. 可插的可扩展的安全框架 7. 细粒度的访问权限控制 8. 高性能，保证整个系统的可用性 9. 个性化的SSO支持 10. 平台无关性
一、背景描述 随着信息化的迅猛发展，政府、企业、机构等不断增加基于Internet/Intranet 的业务系统，如各类网上申报系统，网上审批系统，OA 系统等。系统的业务性质，一般都要求实现用户管理、身份认证、授权等必不可少的安全措施，而新系统的涌现，在与已有系统的集成或融合上，特别是针对相同的用户群，会带来以下的问题： 1、每个系统都开发各自的身份认证系统，这将造成资源的浪费，消耗开 发成本，并延缓开发进度； 2、多个身份认证系统会增加系统的管理工作成本； 3、用户需要记忆多个帐户和口令，使用极为不便，同时由于用户口令遗 忘而导致的支持费用不断上涨； 4、无法实现统一认证和授权，多个身份认证系统使安全策略必须逐个在 不同的系统内进行设置，因而造成修改策略的进度可能跟不上策略的变化； 5、无法统一分析用户的应用行为 因此，对于拥有多个业务系统应用需求的政府、企业或机构等，需要配置一套统一的身份认证系统，以实现集中统一的身份认证，并减少信息化系统的成本。单点登录系统的目的就是为这样的应用系统提供集中统一的身份认证，实现“一点登录、多点漫游、即插即用、应用无关”的目标，方便用户使用。 二、CAS简介 CAS（Central Authentication Service），是耶鲁大学开发的单点登录系统（SSO，single sign-on），应用广泛，具有独立于平台的，易于理解，支持代理功能。CAS系统在各个大学如耶鲁大学、加州大学、剑桥大学、香港科技大学等得到应用。Spring Framework的Acegi安全系统支持CAS，并提供了易于使用的方案。Acegi安全系统，是一个用于Spring Framework的安全框架，能够和目前流行的Web容器无缝集成。它使用了Spring的方式提供了安全和认证安全服务，包括使用Bean Context，拦截器和面向接口的编程方式。因此，Acegi 安全系统能够轻松地适用于复杂的安全需求。Acegi安全系统在国内外得到了广
电子校务建设和信息资源的管理是密不可分的。在福建华南女子学院电子校务 建设时应合理应用信息资源管理理论，加强信息资源的建设与开发，优化信息资源 的管理。 统一门户平台、统一身份认证平台和统一数据库平台的建设将为信息资源 共享提供技术上的支撑，为建好这一技术支撑平台，我们将建设的关键过程作为切 入点，以先进的、顺应发展潮流的技术手段，保证电子校务的先进性与可持续发展 性福建华南女子职业学院的电子校务建设中，从整体上可以采用以下关键技术。 一是基于 JZEE 的标准开发架构 。目前，Java/J2EE 技术因其结构清晰、开放 性好、性能及安全性好的特点，得到各厂商的广泛支持，并成为事实上的工业标准。其强大的组件技术，提高了可重用性，便于系统的移植。高效的中间件技术，使得 业务逻辑与数据层、界面层相互隔离，提高系统的运行效率和稳定性。在系统中的具体运用主要体现在以下几个方面：基于标准 JZEE 规范开发，基于 MVC 框架设计 模式，采用 Java Bean 的业务逻辑封装，采用 JSP/Servlet 的表现逻辑设计。 二是基于 CK/PKI 的信息安全技术 PKI 即公钥基础设计，是一种以公开密钥 理论为基础的在线身份认证加密技术。我们可以利用公开密钥理论的技术建立起在 线身份认证的安全体系。而 CA(Certification Authority 认证中心)则向用户提供完整的基于 PKI 技术的数字认证服务。在应用中它提供以下功能：通过基于数字证书的认证方法来确认用户身份，通过授权控制来实现对信息资源和应用的访问控 制，采用加密技术来保护信息的机密性，通过对信息摘要和数字签名的验证来提供 数据的完整性保护,采用数字签名来提供数据的不可否认性。 三是工作流技术 电子校务系统作为福建华南女子职业学院业务的电子化实 现，里面包含了大量的业务流程。工作流技术是一种理解、定义、自动化以及改善 业务过程的技术。它在以下几方面支持业务的实现即基于浏览器的图形化的工作流 定义：运行时工作流的监督和管理，工作流的设计和模拟，支持任务指派的负载均 衡算法，支持多个工作流实例的协同作业。 以上关键技术为信息资源的共享和交换打下坚实的基础，保证了信息资源的贡 献和数据的及时更新，给管理和应用提供了保障。但效益的发挥还得依赖于技术的 实现，如果只是简单地把信息技术应用于传统的高校管理模式，而忽视了组织机构 和业务管理流程的再造与调整，那么电子校务的建设就会流于形式，其优势将难以 发挥。 因此，我们在采用以上关键技术的同时，还需合理运用信息资源管理理论， 采取信息资源协同和流程协同，进行统一平台建设，对信息内容和信息技术进行全 面集成，逐步消除孤岛效应，确保多个信息系统能够安全、快捷的信息交流，提高 校园网信息活动的效率和效益。
智慧海事一期统一身份认证系统 技术方案
目录 目录...................................................................................................................................................... I 1.总体设计 (2) 1.1设计原则 (2) 1.2设计目标 (3) 1.3设计实现 (3) 1.4系统部署 (4) 2.方案产品介绍 (6) 2.1统一认证管理系统 (6) 2.1.1系统详细架构设计 (6) 2.1.2身份认证服务设计 (7) 2.1.3授权管理服务设计 (10) 2.1.4单点登录服务设计 (13) 2.1.5身份信息共享与同步设计 (15) 2.1.6后台管理设计 (19) 2.1.7安全审计设计 (21) 2.1.8业务系统接入设计 (23) 2.2数字证书认证系统 (23) 2.2.1产品介绍 (23) 2.2.2系统框架 (24) 2.2.3软件功能清单 (25) 2.2.4技术标准 (26) 3.数字证书运行服务方案 (28) 3.1运行服务体系 (28) 3.2证书服务方案 (29) 3.2.1证书服务方案概述 (29) 3.2.2服务交付方案 (30) 3.2.3服务支持方案 (36) 3.3CA基础设施运维方案 (38) 3.3.1运维方案概述 (38) 3.3.2CA系统运行管理 (38) 3.3.3CA系统访问管理 (39) 3.3.4业务可持续性管理 (39) 3.3.5CA审计 (39)
XXXX学院网络统一身份认证计费管理系 统建设方案 2016年03月 目录 一．计费系统设计规划 (2) 二．方案建设目标 (2) 三．总体方案 (3) 1.方案设计 (3) A.方案（串连网关方式） (3) B.方案（旁路方式+BRAS，BRAS产品） (4) 四．认证计费管理系统与统一用户管理系统的融合 (8) 4.1统一用户管理系统的融合 (8) 4.2一卡通系统的融合 (9) 4.3用户门户系统的融合 (9) 五．认证计费管理系统功能介绍 (9) 六．用户案例 (14) 6.1清华大学案例介绍 (14) 6.2成功案例-部分高校 (16) 6.3系统稳定运行用户证明 (16) 七.实施方案 (16)
7.1实施前准备工作 (16) 7.2认证计费系统安装 (16) 7.3实施割接前测试工作 (16) 7.4实施中割接、割接后测试工作 (17) 一．计费系统设计规划 XXXX技术学院整体用户规模设计容量为10000用户，同时在线用户规模为5000人，具有多个出口线路；网络特点呈现高带宽，高用户，多种接入方式使用人群，并且在未来还会以多种网络架构存在（有线，无线）。因此安全认证管理计费系统的设计要充分考虑系统性能满足出口带宽容量，同时也必须能满足复杂的接入模式，多种灵活的控制计费策略。 在充分满足IPv4用户的认证计费需求的前提下，设计要考虑对实现IPv6+IPv4双栈认证计费及日志采集等功能需求，同时还需要满足无线和有线认证的融合统一认证管理模式；目前学校已经使用一卡通系统，安全认证计费管理系统必须和一卡通系统实现对接，能支持未来的数字化校园，能够融合到统一身份认证平台。 有线网和无线网是实现账户统一，避免一个用户需要多账户登录有线网和无线网的情况，并可通过上网账户认证实现与校园门户系统、校园一卡通系统的平滑对接，实现用户账号的同步关联。 二．方案建设目标 针对目前学校对于用户认证计费系统的需求，通过安全认证网络管理计费系统，搭建一套包括用户接入、认证、计费及用户管理的综合平台，为校园网提供功能完善、可靠和高性能适合的宽带接入管理计费解
摘要随着数字化校园建设的逐步深入，办公系统、人事系统、财务系统、科研系统等应用系统也随之增加。但这些应用系统各自保存一套不同的用户身份认证方式，这一方面影响了用户使用的效率，同时也给校园管理系统协调各应用系统带来了极大地困难，给整个系统带来了很多不安全隐患。本文介绍的数字化校园统一身份认证系统的目的就是要解决不同的网络应用系统用户名和口令不统一的问题。 关键词数字化校园；身份认证；数字网络 1 数字化校园 数字化校园是数字化、信息化、智能化的统一，它在网络和数字化信息的基础上，利用计算机技术、网络技术和通讯技术对校园办公系统、人事系统、财务系统、科研系统以及设备管理系统等信息资源进行统一规划、统一管理，在传统校园基础上构建了一个数字化空间，使这些信息资源能够有序地运转，更好地为教学、科研、管理和生活服务。 随着现代信息网络技术的发展，信息网在逐渐的庞大，同时作为教育中心的大学对数字化校园网的建设也加紧了步伐。从一定意义上讲，校园网的建设是衡量一个高校综合实力的重要标志。学校的教务系统、财务系统、餐饮系统、机房系统、图书管理系统以及宿舍系统等都与校园信息网紧密相连。各应用系统以校园网络中心系统为核心成星型分布，如图1所示。 图1 建设数字化校园目的就是充分利用现代信息技术，提高信息利用效率，提高学校教学、办公管理的水平，实现学校信息化管理，为此在数字化校园的建设中使用统一接口、统一信息服务平台、统一身份认证系统的结合的显得尤为重要。建立统一身份认证系统，对用户的身份集中统一管理，保证用户电子身份的惟一性、真实性与权威性，大大提高了数字化校园应用系统的安全性。 2 统一身份认证系统 2.1 存在问题 所谓身份认证，就是判断一个用户是否为合法用户的处理过程。而统一身份认证是针对统一网络不同应用系统而言，采用统一的用户电子身份判断用户的合法性。 数字化校园网络中各个应用系统完成的服务功能各不相同，有些应用系统具有较高的独立性，如财务系统，有些应用系统需要协同合作完成某个特定任务，如教学系统、教务系统等。由于这些应用系统彼此之间是松耦合的，各应用系统的建立没有遵循统一的数据标准，数据格式也各不相同，系统间无法实现有效的数据共享，于是便形成了网络环境下的信息孤岛。对于需要使用多个不同应用系统的用户来说，如果各系统各自存储管理一份不同的身份认证方式，用户就需要记忆多个不同的密码和身份，并且用户在进入不同的应用系统时需要进行多次登录。这不仅给用户也给系统管理带来了极大地不便。 随着现在信息技术的发展，校园网络提供的信息服务质量的提升，对信息安全性的要求也越来越高。同时对用户的身份认证、权限管理的要求相应地提高。原来各个应用系统各自为政的身份认证的方式难以达到这个要求。这就必须要有一个统一的、高安全性和高可靠性的身份认证及权限管理系统。该系统可以完成对整个校园网用户的身份和权限管理，保证各应用系统基于统一的模式、集中的环境开发与升级，一方面降低了系统整体运行的维护成本，另一方面保证了整个校园系统能够随着平台的升级而同步升级，方便使用和管理，也保证了整个系统的先进性与安全性。 2.2 统一身份认证结构图
身份认证管理系统（IDM）设计 身份认证管理系统(IdentityManager，简称 IDM)将分散、重复的用户数字身份进行整合,提供标准身份信息读取和查询方式, 统一化管理数字身份的生命周期,统一企业内部身份安全策略管理和权限管理, 为应用系统与此基础平台提供标准的接口, 实现统一、安全、灵活、稳定和可扩展的企业级用户身份认证管理系统。 1 系统运行平台 1.1 体系架构 系统平台的搭建采用分层的架构模式，将系统在横向维度上切分成几个部分，每个部分负责相对比较单一的职责，然后通过上层对下层的依赖和调用组成一个完整的系统。通过统一用户身份认证管理系统平台的定义，为其他子系统提供统一的用户管理、机构管理、身份认证、权限管理、用户工作平台等功能，其他子系统将没有私有的用户群、权限管理等。系统提供的功能包括：用户管理、组织机构管理、单点登录、权限管理(用户权限、数据权限)、对外接口、数据备份、用户工作平台等。 2 系统建设目标 通过本系统的建设，主要达到以下的目标：系统提供统一的用户管理、组织机构管理、身份认证、权限管理及用户工作台功能;统一的用户系统进行统一帐号创建、修改和删除，这使快速推出新的业务成为可能。公司将拥有一个提供用户全面集中管理的管理层，而不为每
个新的应用程序或服务建立分布的用户管理层。 公司各应用的用户通过一个全局唯一的用户标识及存储于服务器中的静态口令或其他方式，到认证服务器进行验证，如验证通过即可登录到公司信息门户中访问集成的各种应用;可以在系统中维护用户信息;能够根据其在公司的组织机构中的身份定制角色，根据角色分配不同的权限。 3 系统主要模块 本系统主要包含以下 5 大功能模块。① 系统设置模块：提供用户管理和组织架构管理功能。② 安全域模块：提供安全域管理和安全策略管理功能。③系统管理模块：提供资源类型定义、模块定义、角色管理、角色约束定义、用户权限管理、单次授权等功能。④ 系统工具：提供异常用户查询、导入导出工具、用户工作台、用户个人信息修改、用户注册审批、职能委托等功能。⑤ 系统日志模块：提供历史日志删除、当前登录用户、历史登录情况、用户操作日志等功能。 3.1 系统设置模块 ① 用户管理：主要用来记录用户相关信息，如：用户名、密码等，权限等是被分离出去的。提供用户的基本信息的生命周期管理，包括创建、修改、删除、冻结、激活等功能。系统增加或者删除一个用户则相应地增加或者删除一个用户的账户，每新增一个人员账户，赋予该账户一个初始化密码。要求存储用户数据时不仅支持 Oracle 数据库存储，同时支持 LDAP存储。以应对不同子系统的不同用户认证方式。
1.详细需求 1.1 业务需求 统一用户管理平台是一个高性能、易管控的用户和权限数据集成平台，能够统一管理企业中各个信息系统的组织信息和用户信息，能够实现单点登录，简化用户的登录过程，同时提供集中便捷的身份管理、资源管理、安全认证和审计管理，能够实现各个系统的独立的权限注册，配置不同的业务域，独立的业务组织体系模型，并且对于不同权限级别的用户和管理员都有不同的系统功能和数据访问范畴，以满足用户对信息系统使用的方便性和安全管理的要求，最终实现异构系统的有机整合。在系统集成的过程中，借助其强大的系统管控能力，在实施过程中进行权限人员数据的规范化、数据同步自动化、系统访问可控化、权限管理统一化和监控审计可视化。 1.2 系统功能需求 1.2.1 统一用户管理 建立一套集中的用户信息库，利用同步接口提供的功能，把所有的系统用户进行统一存放，系统管理员在一个平台上统一管理用户在各个系统中的账号和密码。形成一套全局用户库，统一管理，作为企业内所有IT应用的用户源。在人员离职、岗位变动时，只需在管理中心一处更改，即可限制其访问权限，消除对后台系统非法访问的威胁。方便了用户管理，也防止过期的用户身份信息未及时删除带来的安全风险。系统支持分级授权。 1.2.2 用户身份认证 遵循W3C的业界标准，在单点登录系统的基础上，实现基于域管理的身份认证服务构件，自主开发的系统能够使用该服务进行认证，同时提供多种认证方式，能实现双因素认证。采用LDAP（轻量目录访问协议，一个开放的目录服务标准）来建构统一用户信息数据库。LDAP已成为未来身份认证和身份管理的标准，具有很好的互操作性和兼容性，基于LDAP可以搭建一个统一身份认证和管理框架，并提供开发接口给各应用系统，为应用系统的后续开发提供了统一身份认证平台和标准。实现多种身份认证方式，支持LDAP、JDBC、WebService、Radius、Openid等多种身份认证方式。
统一身份认证系统技术研究 一、背景 目前公司产品中的各个子系统正在从原来高耦合的整合系统模式向现在的高内聚低耦合的系统模式发展，例如：现在的LIS、PACS、移动医疗、电子病历已经能够从原来的HIS系统中分离出来独立运行。另外，与第三方系统的互联互通的需求也愈来愈多。各个系统之间的低耦合使得系统的访问控制和信息安全问题愈见突出，原来整合系统的统一的认证、授权、账号管理模式被各个系统的分立的状况打破，特别是对于外部系统的互联互通，原来的模式更是走不通。另外,目前所采用的数据库内部认证和授权方式以及通过调用接口或者WebService接口，虽然是一种有效地补充，但是仍然存在效率和规范的问题。 因此，构建一个完整统一、高效稳定、安全可靠的统一身份认证和管理平台已经成为目前产品体系下的一种需要。 二、统一身份认证系统的功能、规范与技术要求 统一身份认证系统的最基本功能要求就是对于各个系统间的用户进行统一管理，让用户使用系统时更加方便，无需反复登录系统。统一身份认证系统应从功能方面满足以下要求： 1、用户只需在统一身份认证系统中登陆一次后，就可以使用基于统一身 份认证系统认证的所有系统，无需再记忆多套用户名和密码。 2、管理员可以对所有系统的用户进行统一管理，可以对用户的权限进行 统一分配。实现系统的分布式应用，集中式的管理。 3、统一身份认证系统下的各个业务系统之间，用户数据必须保持一致性。 用户数据必须同步更新。 统一身份认证平台应满足4A安全管理框架规范，4A框架的内容为 身份认证（Authentication） 身份认证是信息安全的第一道防线，用以实现支撑系统对操作者身份的合法性检查。对信息统中的各种服务和应用来说，身份认证是一个基本的安全考虑。身份认证的方式可以有多种，包括静态口令方式、动态口令方式、基于公钥证书的认证方式以及基于各种生物特征的认证方式。
数字校园系列软件产品 统一身份认证平台 功能白皮书
目录 1 产品概述............................................................................................................................... - 1 - 1.1 产品简介................................................................................................................... - 1 - 1.2 应用范围................................................................................................................... - 1 - 2 产品功能结构....................................................................................................................... - 2 - 3 产品功能............................................................................................................................... - 2 - 3.1 认证服务................................................................................................................... - 2 - 3.1.1 用户集中管理............................................................................................... - 2 - 3.1.2 认证服务....................................................................................................... - 3 - 3.2 授权服务................................................................................................................... - 3 - 3.2.1 基于角色的权限控制................................................................................... - 3 - 3.2.2 授权服务....................................................................................................... - 4 - 3.3 授权、认证接口....................................................................................................... - 4 - 3.4 审计服务................................................................................................................... - 4 - 3.5 信息发布服务........................................................................................................... - 5 - 3.6 集成服务................................................................................................................... - 5 - 3.6.1 应用系统管理............................................................................................... - 5 - 3.6.2 应用系统功能管理....................................................................................... - 6 - 3.6.3 应用系统操作管理....................................................................................... - 6 -
******身份认证系统 技术方案
目录 1. 概述 (3) 1.1 前言 (3) 1.2 身份认证系统用户认证需求描述 (3) 1.3 身份认证系统认证解决之道 (5) 1.3.1 身份认证系统的模式 (5) 1.3.2 建立身份认证系统 (6) 1.3.3 证书在身份认证系统上的安全应用 (6) 2. 详细设计方案 (8) 2.1身份认证系统 (8) 2.2 产品设计原则 (8) 2.2.1认证系统的设计原则 (8) 2.2.2 网络环境设计原则 (9) 2.3 功能模块架构 (10) 2.4 身份认证系统功能简介 (12) 2.5 身份认证系统安全性分析 (13) 2.5.1本系统安全性保护的必要性 (14) 2.5.2安全性要求 (14) 2.5.3安全性设计原则 (15) 2.5.4安全性设计方案 (15) 2.6 身份认证系统应用开发接口 (17) 2.6.1身份认证系统接口函数 (17) 2.6.2 API与身份认证系统结合开发应用系统 (17) 2.7 身份认证系统使用案例 (18) 3. 系统配置 (21) 3.1 设备配置 (21)
1. 概述 1.1 前言 随着网络技术的高速发展，个人和企业将越来越多地把业务活动放到网络上，因此网络的安全问题就更加关键和重要。据统计，在全球范围内，由于信息系统的脆弱性而导致的经济损失，每年达数十亿美元，并且呈逐年上升的趋势。 利用数字证书、PKI、对称加密算法、数字签名、数字信封等加密技术，可以建立起安全程度极高的身份认证系统，确保网上信息有效、安全地进行，从而使信息除发送方和接收方外，不被其他方知悉（保密性）；保证传输过程中不被篡改（完整性和一致性）；发送方确信接收方不是假冒的（身份的真实性和不可伪装性）；发送方不能否认自己的发送行为（不可抵赖性）。 本方案根据*****的业务流程、管理模式的实施方案，充分运用现代网络信息技术及CA认证体系，建立*****身份认证系统，并可作为公务网CA的配套系统。 1.2 身份认证系统用户认证需求描述 在***********业务发展过程中，为了更好的实现数据资源共享，充分发挥信息化对*********系统发展的促进作用，************将综合开发一套身份认证系统对目前的用户身份进行管理，为社会、相关职能部门以及各级机构提供服务。 在此系统的开发应用过程中，一个重要的任务是解决如何对应用系统用户进行身份认证从而确保数据的安全。下面将针对在此系统的开发应用中对用户身份认证所做的需求加以说明。 整个系统的逻辑结构如图1所示：
统一身份认证平台讲解-共38页
统一身份认证平台设计方案 1）系统总体设计 为了加强对业务系统和办公室系统的安全控管，提高信息化安全管理水平，我们设计了基于PKI/CA技术为基础架构的统一身份认证服务平台。 1.1.设计思想 为实现构建针对人员帐户管理层面和应用层面的、全面完善的安全管控需要，我们将按照如下设计思想为设计并实施统一身份认证服务平台解决方案： 内部建设基于PKI/CA技术为基础架构的统一身份认证服务平台，通过集中证书管理、集中账户管理、集中授权管理、集中认证管理和集中审计管理等应用模块实现所提出的员工帐户统一、系统资源整合、应用数据共享和全面集中管控的核心目标。 提供现有统一门户系统，通过集成单点登录模块和调用统一身份认证平台服务，实现针对不同的用户登录，可以展示不同的内容。可以根据用户的关注点不同来为用户提供定制桌面的功能。 建立统一身份认证服务平台，通过使用唯一身份标识的数字证书即可登录所有应用系统，具有良好的扩展性和可集成性。
提供基于LDAP目录服务的统一账户管理平台，通过LDAP中主、从账户的映射关系，进行应用系统级的访问控制和用户生命周期维护管理功能。 用户证书保存在USB KEY中，保证证书和私钥的安全，并满足移动办公的安全需求。 1.2.平台介绍 以PKI/CA技术为核心，结合国内外先进的产品架构设计，实现集中的用户管理、证书管理、认证管理、授权管理和审计等功能，为多业务系统提供用户身份、系统资源、权限策略、审计日志等统一、安全、有效的配置和服务。 如图所示，统一信任管理平台各组件之间是松耦合关系，相互支撑又相互独立，具体功能如下：
统一身份认证系统设计与实现 随着信息化的日益普及,以及中国信息化建设步伐的逐步加快,信息化正以几何倍数增长的方式支撑着能源、通信、金融、交通、工农业及服务业等各行业的生产建设活动,信息化已成为当前社会生产经营活动必不可少的辅助手段。在此情况下,国家电网公司在“十一五”期间大力发展信息化建设,但随着公司信息化建设的推进,公司各业务部门对本部门业务系统的需求单一性、不可复用性以及管理成本的浪费日见明显,如何利用信息系统为各业务部门创造价值、节约人力成本、提高管理效率的同时,加强各业务系统的统一管控力度、降低信息系统的运行维护成本,并且在不影响当前业务支撑多样性的前提下整合各业务系统数据来源、对面向不用的业务应用提供统一身份、单点登录、身份管理等基础服务变得越来越重要。本文的研究重点是在国网公司内构建一套统一身份认证系统,实现对不同平台、不同数据库之间的业务应用系统的统一支撑管理。本文通过对国家电网公司各部门(单位)以及各业务应用系统现状充分调研的基础上,遵循集成性、安全性、稳定性、先进性等原则,提出了一个基于轻量级目录访问协议的统一身份认证系统的设计框架,利用目录技术实现对各部门(单位)组织架构、各组织层级下的用户信息以及各业务应用基础用户数据的统一管理,任何应用系统均可取消自身用户系统,使用统一身份认证系统的日录数据源作为业务系统的用户数据库：利用反向代理和统一认证技术实现对同一用户登录不同业务应用系统的单点登录,以及同一用户在不同业务应用系统中的权限角色配置；利用身份管理服务技术在强化数据通道安全性的条件下,实现不同数据源之间的数据复制、同步,以及数据复制、同步过程中的属性变更等一系列的过程控制：利用J2EE 架构实现了统一身份管理工具的设计,实现了针对目录数据源的组织架构管理、用户信息管理、应用管理、授权管理等。 本系统在设计中,考虑到国家电网公司信息化建设速度快、系统更新升级频繁、业务需求多、变化快等特点,同地考虑统一身份认证系统自身特点可能带来的单点故障等原因,系统的各个子系统设计相对独立,保证了系统的稳定性的同时,强化了易更新、易集成的特性,为国家电网公司构建全球最大的集团企业级信息系统提供有力支撑,同时,随着统一身份认证系统的逐步完善,将在大规模、多平台信息系统建设中发挥重要的作用。