《集中安全运维管理平台方案交流》由会员分享，可在线阅读，更多相关《集中安全运维管理平台方案交流（85页珍藏版）》请在金锄头文库上搜索。
1、Confidential | ISCA China Limited集中安全运维管理平台集中安全运维管理平台(4A) 专业信息安全服务和解决方案提供商专业信息安全服务和解决方案提供商Security 用户和密码管理 以及密码的自助式服务 集中授权和访问管理:基于各种业务种类（B/S和C/S）角色的访问授权 控制，实现单点访问登录 集中的维护和应用安全操作审计:实现了生产系统全部运维和开发人员 和业务人员统一的操作审计 基于WEB的文件上传和下载流程管理和控制 集中的安全审计平台:实现集中安全审计管理，收集、记录、管理用户 对生产业务支撑系统中所有资源的使用操作行为记录和日志审计,实现 统一的安全
2、审计并进行实时关联分析,并建立安全事件运维任务管理系 统 实现系统的高可靠性,建议采用本地所有组件采用全冗余架构和全局负 载均衡设备实现多个站点动态访问和切换Security & Privacy Services Copyright ISCA Corporation 2011统一门户管理统一门户管理?实现整个安全运维管理平台功能集中展现?集中对核心功能层各模块（账号管理模块、认证授权模块、审计管理模块等）或外部接口（外部认证接口、外部管理接口等）的统一整合?实现对资源的集中管理，为系统管理员提供系统运维管理的统一平台?为运维和业务应用人员提供集中访问资源的入口?支持多种灵活方式认证(证书/AD
3、/双因素动态/短信）?可靠性：通过本地负载均衡、HA和全局负载均衡安全运维安全运维管理管理发布平台发布平台任何应用任何应用服务服务器器SSO 服务器SSO 服务器主机主机网络网络统一用户统一用户IDB/S SSO C/S SSOB/S SSO C/S SSOB/S SSO C/S SSOITIT管理员管理员管理员管理员员工员工员工员工合作伙伴合作伙伴合作伙伴合作伙伴外包维护外包维护人员人员数据库数据库Security & Privacy Services Copyright ISCA Corporation 2011数据源管理数据源管理数据源管理数据源管理用户属性管理用户属性管理用户属性管理用
4、户属性管理账户映射管理账户映射管理账户映射管理账户映射管理用户生命周期管理用户生命周期管理用户生命周期管理用户生命周期管理组织结构管理组织结构管理组织结构管理组织结构管理统一帐户管理统一帐户管理统一账户管理功能统一账户管理功能统一账户管理功能统一账户管理功能统一账号管理统一账号管理Security & Privacy Services Copyright ISCA Corporation 2011集中用户身份和目录管理系统集中用户身份和目录管理系统?用户自助服务用户自助服务?用户帐号生命周期用户帐号生命周期审批流程管理审批流程管理?帐号创建、变更、帐号创建、变更、删除删除?发现非法创建的帐发现
5、非法创建的帐号，并处理号，并处理?自动、定期修改自动、定期修改系统账号口令系统账号口令?业务系统帐号集中业务系统帐号集中管理管理?基础数据源同步基础数据源同步统一账号管理具体功能统一账号管理具体功能Security & Privacy Services Copyright ISCA Corporation 2011集中用户管理对象集中用户管理对象Security & Privacy Services Copyright ISCA Corporation 2011IAM基于策略的用户管理基于策略的用户管理Security & Privacy Services Copyright ISCA Cor
6、poration 2011完善的用户身份生命周期管理完善的用户身份生命周期管理Security & Privacy Services Copyright ISCA Corporation 2011用户角色变动用户角色变动生成帐户 变动请求生成帐户 变动请求策略和角 色检查策略和角 色检查审批过程审批过程帐户属性 变更帐户属性 变更用户 访问 实现用户 访问 实现主动 服务 引擎主动 服务 引擎自动化的用户身份服务自动化的用户身份服务Security & Privacy Services Copyright ISCA Corporation 2011Acitve Directory（AD）数据源
7、管理层）数据源管理层Radius ServerDriver shimeDirectory（LDAP）?支持多应用从账号信息用户自助和批量处理支持多应用从账号信息用户自助和批量处理?可集中管理各种业务系统可集中管理各种业务系统目标系统目标系统?处理用户身份和账号的数据同步处理用户身份和账号的数据同步?可读写外部数据源数据可读写外部数据源数据?灵活的策略定制灵活的策略定制?可提供内部可提供内部eDirectory存储用户身份信息存储用户身份信息?可从外部可从外部LDAP、AD系统导入主身份数据，可集成行业现有的用户库系统导入主身份数据，可集成行业现有的用户库统一账户的数据源管理统一账户的数据源管理
8、Security & Privacy Services Copyright ISCA Corporation 2011? 通过多种方式来实现对多种操作系统、数据库系统、网络设备及安全设备的用户同步管理，基本上涵盖了兴业银行现有的IT设备。 Telnet/SSHTelnet/SSH方式方式(UNIX(UNIX、网络设备）、网络设备） ADAD域方式（域方式（Windows ADWindows AD） JDBC/ODBCJDBC/ODBC LDAPLDAP方式方式 模拟客户端模拟客户端 RadiusRadius协议协议 AgentAgent（WindowsWindows） Web ServiceW
9、eb Service 专用专用APIAPI方式（方式（OracleOracle、SQL ServerSQL Server）灵活多样账号同步灵活多样账号同步Security & Privacy Services Copyright ISCA Corporation 2011广泛支持的第三方系统的账户资源广泛支持的第三方系统的账户资源 Netegrity* Oblix* Securant Cleartrust Entrust getAccess Tivoli Policy Dir. VeriSign* Cisco ACS* Baltimore PKI Entrust PKI MVS RACF MV
10、S ACF2 MVS Top Secret TPX Session Mgr RSA BoKs RSA SecureID Tandem Safeguard & GuardianAuthentication & Security DB2/UDB Oracle RDBMS* Sybase* SQL Server* SQL Server 2000* InformixData, Content & Identity Repositories AIX (NIS) SCO UNIX AS/400 HP-UX (NIS) Linux Novell* Solaris (NIS) VMS Win2000* Win
11、 NT (PDC)*Platform (Hardware/OS) PeopleSoft* SAP* JD Edwards* Oracle ERP* Siebel* ClarifyCustom & Packaged Applications Notes* Exchange* Exchange2000* Groupwise*Application, Web & Messaging Servers UPA* LDAP-X* AD iPlanet OID Tivoli NDS RDBMS-X*Universal FamilyUPARDBMS-XCLI-XLDAP-X各种应用账号同步的Adapter均已
12、开发好，这个是其它国内厂 商无法实现的。Security & Privacy Services Copyright ISCA Corporation 2011集中访问和认证授权系统集中访问和认证授权系统?基于角色实现实基于角色实现实体级的授权和访问体级的授权和访问控制控制?B/S，C/S应用单应用单点登录点登录?统一认证平台支持统一认证平台支持多种认证方式多种认证方式?单点登录和帐号单点登录和帐号管理的紧密结合管理的紧密结合?建立集中认证中建立集中认证中心，防止非法访问心，防止非法访问?B/S，C/S业务系统业务系统认证授权认证授权?资源内部应用级访资源内部应用级访问授权问授权统一访问授权和管
13、理统一访问授权和管理Security & Privacy Services Copyright ISCA Corporation 2011统一权限管理模块结构统一权限管理模块结构组模块和角色模块（资源使用者） 通过授权管理模块的定义，对相应权限进行调用资源管理模块（网络、主机、应用和数据库）访问控制模块执行管理权限 授权模块定义管理权限资源管理 模块授权模块角色模块组模块访问控制模块系统中所有应用资源的集合Security & Privacy Services Copyright ISCA Corporation 2011统一授权管理集中授权流程图统一授权管理集中授权流程图组/角色应用Admi
14、n?选中组分派资源 ?选中资源将其分配给组组授权?选中角色分派资源 ?选中资源将其分配给角色角色授权Security & Privacy Services Copyright ISCA Corporation 2011基于多种认证方式统一认证基于多种认证方式统一认证通行码数字证书通行码数字证书 AD域域用户用户认证方式认证方式用户名用户名/口令口令多种认证方式：多种认证方式： ?- -用户名用户名/ /口令口令 ?- -数字证书数字证书 ?- -通行码通行码 ?- -WindowsWindows域认证域认证 ?- -动态双因素认证动态双因素认证Security & Privacy Servic
15、es Copyright ISCA Corporation 2011采用多种单点登录技术采用多种单点登录技术标准SAML协议Form-Based SSO标准SAML协议Form-Based SSO支持的应用 类型产品遵循SAML多认证协议规范标准， 支持标准SAML协议的应用系统都可以 接入支持各种使用表单登录的Web应用系统优点与支持SAML协议的应用的天然融合， 与应用的集成度极高采用口令代填方式，不需要对后台的应用 系统进行修改缺点应用必须支持SAML协议支持标准的Form形式应用集成，对应用页 面有严格的要求适用的应用Oracle、IBM、微软、Sun等公司的产 品均支持SAML协议对
16、无法修改登录页面，或者用户命名规范 的B/S应用系统使用这种方式Security & Privacy Services Copyright ISCA Corporation 2011OABPM用户名用户名/口令口令邮件生产系统 业务应用网关业务应用网关单点登录模块单点登录模块用户端用户端通行码数字证书通行码数字证书AD域域门户系统门户系统用户管理系统用户管理系统1用户访问门户， 并提交认证信息2门户将认证信息提交单点登 录验证，通过后产生票据保 存，并从用户管理系统获得 用户权限信息，将用户访问 应用列表交给门户3门户显示用户可 访问的应用列表4用户点击门户中 的应用访问链接5门户连接用户管理系统产 生鉴证SAML断言，将用 户重定向至应用网关6应用网关验证断言
