统一身份认证平台

《统一身份认证平台》由会员分享，可在线阅读，更多相关《统一身份认证平台（37页珍藏版）》请在金锄头文库上搜索。

1、统一身份认证平台设计方案1）系统总体设计为了加强对业务系统和办公室系统的安全控管，提高信息化安全 管理水平，我们设计了基于PKI/CA技术为基础架构的统一身份认证 服务平台。1.1. 设计思想为实现构建针对人员管理层面和应用层面的、全面完善的安全管 控需要，我们将按照如下设计思想为设计并实施统一身份认证服务平 台解决方案：部建设基于 PKI/CA 技术为基础架构的统一身份认证服务平台， 通过集中证书管理、集中账户管理、集中授权管理、集中认证管理和 集中审计管理等应用模块实现所提出的员工统一、系统资源整合、应 用数据共享和全面集中管控的核心目标。提供现有统一门户系统，通过集成单点登录模块和调用统

2、一身份 认证平台服务，实现针对不同的用户登录，可以展示不同的容。可以 根据用户的关注点不同来为用户提供定制桌面的功能。建立统一身份认证服务平台，通过使用唯一身份标识的数字证书 即可登录所有应用系统，具有良好的扩展性和可集成性。提供基于LDAP目录服务的统一账户管理平台，通过LDAP中主、从账户的映射关系，进行应用系统级的访问控制和用户生命周期维护 管理功能。用户证书保存在 USB KEY 中，保证证书和私钥的安全，并满足 移动办公的安全需求。1.2. 平台介绍以 PKI/CA 技术为核心，结合国外先进的产品架构设计，实现集 中的用户管理、证书管理、认证管理、授权管理和审计等功能，为多 业务系统

3、提供用户身份、系统资源、权限策略、审计日志等统一、安 全、有效的配置和服务。集中审讦集中用户集中证书集中认证集中授权如图所示，统一信任管理平台各组件之间是松耦合关系，相互支 撑又相互独立，具体功能如下：a) 集中用户管理系统：完成各系统的用户信息整合，实现用户生 命周期的集中统一管理，并建立与各应用系统的同步机制，简 化用户与其账号的管理复杂度，降低系统管理的安全风险。b) 集中证书管理系统：集成证书注册服务(RA)和电子密钥(USB-Ke y)管理功能，实现用户证书申请、审批、核发、更 新、吊销等生命周期管理功能，支持第三方电子认证服务。c) 集中认证管理系统：实现多业务系统的统一认证，支持

4、数字证书、动态口令、静态口令等多种认证方式；为企业提供单点登 录服务，用户只需要登录一次就可以访问所有相互信任的应用 系统。d) 集中授权管理系统：根据企业安全策略，采用基于角色的访问 控制技术，实现支持多应用系统的集中、灵活的访问控制和授 权管理功能，提高管理效率。e) 集中审计管理系统：提供全方位的用户管理、证书管理、认证 管理和授权管理的审计信息，支持应用系统、用户登录、管理 操作等审计管理。1.3. 功能总体架构总体架构图如下所示：说明：CA安全基础设施可以采用自建方式，也可以选择第三方CA安全认证中心基础设施身份认证服务访底建制服务单点登录服务身份管理服务角鱼管理服务J 匸应用奈统敎

5、据库1All DB奈统用户敎据幸DB数宇证书敎据幸LDAP数字证书网上 受理服务CA。具体包含以下主要功能模块：身份认证中心存储企业用户目录，完成对用户身份、角色等信息的统一管理； 授权和访问管理系统； 用户的授权、角色分配； 访问策略的定制和管理； 用户授权信息的自动同步； 用户访问的实时监控、安全审计； 身份认证服务 身份认证前置为应用系统提供安全认证服务接口，中转认证和访问请求；身份认证服务完成对用户身份的认证和角色的转换；访问控制服务 应用系统插件从应用系统获取单点登录所需的用户信息； 用户单点登录过程中，生成访问业务系统的请求，对敏感信息加密签名； CA 中心与数字证书网上受理系统

6、用户身份认证和单点登录过程中所需证书的签发；用户身份认证凭证（USB智能密钥）的制作。1.4. 平台总体部署集中部署方式：所有模块部署在同一台服务器上，为企业提供统 一信任管理服务。部署方式主要是采用专有定制硬件服务设备，将集中管理、集中 授权管理、集中认证管理和集中审计管理等功能服务模块统一部署和 安装在该硬件设备当中，通过连接外部服务区域当中的从 LDAP 目录 服务（现有 AD 目录服务）来完成对用户的操作和管理。2）技术实现方案2.1. 技术原理基于数字证书的单点登录技术，使各信息资源和本防护系统站成 为一个有机的整体。通过在各信息资源端安装访问控制代理中间件， 和防护系统的认证服务器

7、通信，利用系统提供的安全保障和信息服务，共享安全优势。?rT克蛊址J HSSO窑户 %系统交互图其原理如下：a) 每个信息资源配置一个访问代理，并为不同的代理分配不同的 数字证书，用来保证和系统服务之间的安全通信。b) 用户登录中心后，根据用户提供的数字证书确认用户的身份。c) 访问一个具体的信息资源时，系统服务用访问代理对应的数字 证书,把用户的身份信息后以数字信封的形式传递给相应的信 息资源服务器。d) 信息资源服务器在接受到数字信封后，通过访问代理，进行解 密验证，得到用户身份。根据用户身份，进行部权限的认证。2.2. 统一身份认证2.2.1.用户认证统一身份管理与访问控制系统用户数据独

8、立于各应用系统，对于 数字证书的用户来说，用户证书的序列号平台中是唯一的，对于非证 书用户来说，平台用户ID (passport)是唯一的，由其作为平台用户 的统一标识。如下图所示：a. 在通过平台统一认证后，可以从登录认证结果中获取平台用户证书的序列号或平台用户ID;b. 再由其映射不同应用系统的用户账户；c. 最后用映射后的账户访问相应的应用系统；当增加一个应用系统时，只需要增加平台用户证书序列号或平台 用户 ID 与该应用系统账户的一个映射关系即可，不会对其它应用系 统产生任何影响，从而解决登录认证时不同应用系统之间用户交叉和 用户账户不同的问题。单点登录过程均通过安全通道来保证数据传输

9、 的安全。2.2.2.系统接入应用系统接入平台的架构如下图所示：Jl I系统提供两种应用系统接入方式，以快速实现单点登录：iAiiE慢MR务爲A安“逍111iia.反向代理(ReverseProxy)方式 应用系统无需开发、无需改动。对于不能作改动或没有原厂商配合的 应用系统，可以使用该方式接入统一用户管理平台。反向代理技术：实现方式为松耦合，采用反向代理模块和单点登录(SSO )认证服务进行交互验证用户信息，完成应用系统单点登录。b. Plug-in 方式Plug-in：实现方式为紧耦合，采用集成插件的方式与单点登录(SSO)认证服务进行交互验证用户信息，完成应用系统单点登录。紧耦合方式提供

10、多种API,通过简单调用即可实现单点登录（SSO）。2.2.3.统一权限管理统一身份管理与访问控制系统的典型授权管理模型如下图所示：= -ID二闰昔CA |軽一士令巨亩,色取匾皆理舅户甚号.日憲I应弔整恺日逋 焙倉 丑疑褚桂日玄#AD.InLemeU.L；OctkMk；r1用户蝕扉見辛亲吏累.+L乏尸3幷乜二言J*龟雄醪豪用户授权的基础是对用户的统一管理,对于在用户信息库中新注 册的用户,通过自动授权或手工授权方式,为用户分配角色、对应用 系统的访问权限、应用系统操作权限,完成对用户的授权。如果用户 在用户信息库中被删除,则其相应的授权信息也将被删除。 完整的用户授权流程如下： 1、用户信息统

11、一管理,包括了用户的注册、用户信息变更、用户注 销；2、权限管理系统自动获取新增（或注销）用户信息,并根据设 置自动分配（或删除）默认权限和用户角色；3、用户管理员可以基于角色调整用户授权（适用于用户权限批量处 理）或直接调整单个用户的授权；4、授权信息记录到用户属性证书或用户信息库（关系型数据库、LDAP 目录服务）中；5、用户登录到应用系统，由身份认证系统检验用户的权限信息并返 回给应用系统，满足应用系统的权限要求可以进行操作，否则拒绝操 作；6、用户的授权信息和操作信息均被记录到日志中，可以形成完整的 用户授权表、用户访问统计表。2.2.4.安全通道提供的安全通道是利用数字签名进行身份认

12、证，采用数字信封进 行信息加密的基于 SSL 协议的安全通道产品，实现了服务器端和客 户端嵌入式的数据安全隔离机制。安全通道的主要用途是在两个通信应用程序之间提供私密性和可靠性，这个过程通过3 个元素来完成：a. 握手协议：这个协议负责协商用于客户机和服务器之间会话的加 密参数。当一个SSL客户机和服务器第一次开始通信时，它们在 一个协议版本上达成一致，选择加密算法和认证方式，并使用公 钥技术来生成共享密钥。b. 记录协议：这个协议用于交换应用数据。应用程序消息被分割成可管理的数据块，还可以压缩，并产生一个MAC（消息认证代码）,然后结果被加密并传输。接受方接受数据并对它解密，校验 MAC 解

13、压并重新组合，把结果提供给应用程序协议。c. 警告协议：这个协议用于标示在什么时候发生了错误或两个主机 之间的会话在什么时候终止。3）平台功能说明平台主要提供集中用户管理、集中证书管理、集中认证管理、集中授权管理和集中审计等功能，总体功能模块如下图所示：集中证书葉中认证LDiSP身鲫累址議据总体功能蟆块團4）集中用户管理随着企业整体信息化的发展，大致都经历了网络基础建设阶段、应用系统建设阶段，目前正面临着实现纳入到信息化环境中人员的统一管理和安全控制阶段。随着企业的网络基础建设的不断完善和应用 系统建设的不断扩展，在信息化促进业务加速发展的同时，企业信息 化规模也在迅速扩大以满足业务的发展需要

14、，更多的人员被融入信息 化环境，由此突出反映的事件是无论是网络系统、业务系统、办公系 统，其最终的主体将是企业外的人员，每一为人员承担着使用、管理、 授权、应用操作等角色。因此对于人员的可信身份的管理显得尤为重 要，必将成为信息化发展的重中之重，只有加强人员的可信身份管理， 才能做到大门的安全防护，才能为企业的管理、业务发展构建可信的 信息化环境，特别是采用数字证书认证和应用后，完全可以做到全过 程可信身份的管理，确保每个操作都是可信得、可信赖的。集中用户管理系统主要是完成各系统的用户信息整合，实现用户 生命周期的集中统一管理，并建立与各应用系统的同步机制，简化用 户与其账号的管理复杂度，降低

15、系统用户管理的安全风险。集申用尸管理功能示意團4.1.管理服务对象集中用户管理主要面向企业外部的人、资源等进行管理和提供服 务，具体对象可以分为以下几类：a) 最终用户 ：自然人，包括自然人身份和相关信息。b) 主账号 ：与自然人唯一对应的身份标识，一个主账号只能与一个自然人对应，而一个自然人可能存在多个主账号。c) 从账号 ：与具体角色对应，每一个应用系统部设置的用户账号， 在统一信任管理平台中每个主账号可以拥有多个从，也就是多种 身份角色(即一个日然人在企业部具备多套应用系统账号) 。d) 资源 ：用户使用或管理的对象，主要是指应用系统与应用系统下 具体功能。具体服务对象之间的映射对应关系如下图所示：用户用户用P邮件财务0A:从账产，从烁户fH从账户片 #从嫌户/打廡户-、从账户了T主帐户1 LIC