统一身份认证设计方案(最终版).doc

统一身份认证设计方案(最终版).doc

《统一身份认证设计方案(最终版).doc》由会员分享，可在线阅读，更多相关《统一身份认证设计方案(最终版).doc（35页珍藏版）》请在冰豆网上搜索。

统一身份认证设计方案

日期：

2016年2月

目录

1.1系统总体设计 5

1.1.1总体设计思想 5

1.1.2平台总体介绍 6

1.1.3平台总体逻辑结构 7

1.1.4平台总体部署 8

1.2平台功能说明 8

1.3集中用户管理 9

1.3.1管理服务对象 10

1.3.2用户身份信息设计 11

1.3.2.1用户类型 11

1.3.2.2身份信息模型 11

1.3.2.3身份信息的存储 12

1.3.3用户生命周期管理 12

1.3.4用户身份信息的维护 13

1.4集中证书管理 14

1.4.1集中证书管理功能特点 14

1.5集中授权管理 16

1.5.1集中授权应用背景 16

1.5.2集中授权管理对象 17

1.5.3集中授权的工作原理 18

1.5.4集中授权模式 19

1.5.5细粒度授权 19

1.5.6角色的继承 20

1.6集中认证管理 21

1.6.1集中认证管理特点 22

1.6.2身份认证方式 22

1.6.2.1用户名/口令认证 23

1.6.2.2数字证书认证 23

1.6.2.3Windows域认证 24

1.6.2.4通行码认证 24

1.6.2.5认证方式与安全等级 24

1.6.3身份认证相关协议 25

1.6.3.1SSL协议 25

1.6.3.2Windows域 25

1.6.3.3SAML协议 26

1.6.4集中认证系统主要功能 28

1.6.5单点登录 29

1.6.5.1单点登录技术 29

1.6.5.2单点登录实现流程 31

1.7集中审计管理 35

35

1.1系统总体设计

为了加强对业务系统和办公系统的安全管控，提高信息化安全管理水平，我们设计了基于PKI/CA技术为基础架构的统一身份认证服务平台。

1.1.1总体设计思想

为实现构建针对人员帐户管理层面和应用层面的、全面完善的安全管控需要，我们将按照如下设计思想为设计并实施统一身份认证服务平台解决方案：

在内部建设基于PKI/CA技术为基础架构的统一身份认证服务平台，通过集中证书管理、集中账户管理、集中授权管理、集中认证管理和集中审计管理等应用模块实现所提出的员工帐户统一、系统资源整合、应用数据共享和全面集中管控的核心目标。

提供现有统一门户系统，通过集成单点登录模块和调用统一身份认证平台服务，实现针对不同的用户登录，可以展示不同的内容。

可以根据用户的关注点不同来为用户提供定制桌面的功能。

建立统一身份认证服务平台，通过使用唯一身份标识的数字证书即可登录所有应用系统，具有良好的扩展性和可集成性。

提供基于LDAP目录服务的统一账户管理平台，通过LDAP中主、从账户的映射关系，进行应用系统级的访问控制和用户生命周期维护管理功能。

用户证书保存在USBKEY中，保证证书和私钥的安全，并满足移动办公的安全需求。

1.1.2平台总体介绍

以PKI/CA技术为核心，结合国内外先进的产品架构设计，实现集中的用户管理、证书管理、认证管理、授权管理和审计等功能，为多业务系统提供用户身份、系统资源、权限策略、审计日志等统一、安全、有效的配置和服务。

如图所示，统一信任管理平台各组件之间是松耦合关系，相互支撑又相互独立，具体功能如下：

集中用户管理系统：

完成各系统的用户信息整合，实现用户生命周期的集中统一管理，并建立与各应用系统的同步机制，简化用户及其账号的管理复杂度，降低系统管理的安全风险。

集中证书管理系统：

集成证书注册服务（RA）和电子密钥（USB-Key）管理功能，实现用户证书申请、审批、核发、更新、吊销等生命周期管理功能，支持第三方电子认证服务。

集中认证管理系统：

实现多业务系统的统一认证，支持数字证书、动态口令、静态口令等多种认证方式；为企业提供单点登录服务，用户只需要登录一次就可以访问所有相互信任的应用系统。

集中授权管理系统：

根据企业安全策略，采用基于角色的访问控制技术，实现支持多应用系统的集中、灵活的访问控制和授权管理功能，提高管理效率。

集中审计管理系统：

提供全方位的用户管理、证书管理、认证管理和授权管理的审计信息，支持应用系统、用户登录、管理操作等审计管理。

1.1.3平台总体逻辑结构

总体逻辑结构图如下所示：

如图所示，平台以PKI基础服务、加解密服务、SAML协议等国际成熟技术为基础，架构统一信任管理平台的管理系统，通过WEB过滤器、安全代理服务器等技术简单、快捷实现各应用系统集成，在保证系统安全性的前提下，更好的实现业务系统整合和内容整合。

1.1.4平台总体部署

集中部署方式：

所有模块部署在同一台服务器上，为企业提供统一信任管理服务。

部署方式主要是采用专有定制硬件服务设备，将集中帐户管理、集中授权管理、集中认证管理和集中审计管理等功能服务模块统一部署和安装在该硬件设备当中，通过连接外部服务区域当中的从LDAP目录服务（现有AD目录服务）来完成对用户帐户的操作和管理。

1.2平台功能说明

平台主要提供集中用户管理、集中证书管理、集中认证管理、集中授权管理和集中审计等功能，总体功能模块如下图所示：

总体功能模块图

1.3集中用户管理

随着企业整体信息化的发展，大致都经历了网络基础建设阶段、应用系统建设阶段，目前正面临着实现纳入到信息化环境中人员的统一管理和安全控制阶段。

随着企业的网络基础建设的不断完善和应用系统建设的不断扩展，在信息化促进业务加速发展的同时，企业信息化规模也在迅速扩大以满足业务的发展需要，更多的人员被融入信息化环境，由此突出反映的事件是无论是网络系统、业务系统、办公系统，其最终的主体将是企业内外的人员，每一为人员承担着使用、管理、授权、应用操作等角色。

因此对于人员的可信身份的管理显得尤为重要，必将成为信息化发展的重中之重，只有加强人员的可信身份管理，才能做到大门的安全防护，才能为企业的管理、业务发展构建可信的信息化环境，特别是采用数字证书认证和应用后，完全可以做到全过程可信身份的管理，确保每个操作都是可信得、可信赖的。

集中用户管理系统主要是完成各系统的用户信息整合，实现用户生命周期的集中统一管理，并建立与各应用系统的同步机制，简化用户及其账号的管理复杂度，降低系统用户管理的安全风险。

集中用户管理功能示意图

1.3.1管理服务对象

集中用户管理主要面向企业内外部的人、资源等进行管理和提供服务，具体对象可以分为以下几类：

最终用户

自然人，包括自然人身份和相关信息

主账号

与自然人唯一对应的身份标识，一个主账号只能与一个自然人对应，而一个自然人可能存在多个主账号

从账号

与具体角色对应，每一个应用系统内部设置的用户账号，在统一信任管理平台中每个主账号可以拥有多个从帐号，也就是多种身份角色（即一个日然人在企业内部具备多套应用系统账号）

资源

用户使用或管理的对象，主要是指应用系统及应用系统下具体功能

具体服务对象之间的映射对应关系如下图所示：

用户账号与资源映射图

1.3.2用户身份信息设计

1.3.2.1用户类型

用户是访问资源的主体，人是最主要的用户类型：

多数的业务由人发起，原始的数据由人输入，关键的流程由人控制。

人又可再分为：

员工、外部用户。

员工即企业的职员，是平台主要的关注的用户群体；外部用户是指以独立身分访问企业应用系统的一般个人客户与企业客户。

1.3.2.2身份信息模型

对各类用户身份建立统一的用户身份标识。

用户身份标识是统一用户管理系统内部使用的标识，用于识别所有用户的身份信息。

用户标识不同于员工号或身份证号，需要建立相应的编码规范。

为了保证用户身份的真实、有效性，可以通过数字证书认证的方式进行身份鉴别并与用户身份标识进行唯一对应。

用户基本信息保存用户最主要的信息属性，由于其它系统中，如HR中还保留有用户更完整的信息，因此需要建立与这些系统的中信息的对照关系，所以需要保存用户在这些系统中用户信息的索引，便于关联查询。

基于分权、分级的管理需要，用户身份信息需要将用户信息按照所属机构和岗位级别进行分类，便于划分安全管理域，将用户信息集中存储在总部，以及管理域的划分。

用户认证信息管理用户的认证方式及各种认证方式对应的认证信息，如用户名/口令，数字证书等。

由于用户在各应用系统中各自具有账号和相关口令，为了保证在平台实施后可以使原有系统仍可以按照原有账号方式操作，需要建立用户标识与应用系统中账号的对照关系。

授权信息是对用户使用各系统的访问策略，给用户赋予系统中的角色和其它属性。

1.3.2.3身份信息的存储

为了方便对人员身份的管理，集中用户系统采用树形架构来进行人员组织架构的维护，存储方式主要采用LDAP。

可以通过企业内部已有的人员信息管理系统当中根据策略进行读写操作，目前主要支持以下数据源类型：

WindowsActiveDirectory（AD）

OpenLdap

IBMDirectoryServer（IDS）

1.3.3用户生命周期管理

用户生命周期，主要关注的是用户的入职、用户账户创建、用户身份标识（数字证书的颁发）、用户属性变更、用户账户注销、用户帐户归档等流程的自动化管理，这一管理流程又可称为用户生命周期管理，如下图所示：

由于要赋予用户可信的身份标识，所以需要通过数字证书认证的方式来实现，在用户生命周期管理过程中围绕用户包含了基于帐户的生命周期和数字证书的生命周期管理的内容。

数字证书主要是与用户的主账户标识进行唯一绑定，在用户帐户的使用和属性变更过程中数字证书不需要发生任何改变，唯有在用户帐户进行注销和归档过程中，与其相匹配的数字证书也同样需要进行吊销和归档操作。

1.3.4用户身份信息的维护

目前集中用户管理系统中对用户身份信息的维护主要以企业已存在的AD域和LDAP作为基础数据源，集中用户管理系统作为用户信息维护的主要入口，可以由人力资源部门的相应人员执行用户账户的创建、修改、删除、编辑、查询、以及数字证书的发放。

AD域中的用户信息变动通过适配器被平台感知，并自动同步到平台用户身份信息存储（目录服务器）中；平台的用户管理员也可以直接修改平台中集中存储的用户身份信息，再由平台同步到各个应用系统中。

1.4集中证书管理

集中证书管理功能主要是针对用户的CA系统，包括：

1）证书申请

2）证书制作

3）证书生命周期管理（有效期、审核、颁发、吊销、更新、查询、归档）

4）证书有效性检查

集中证书管理功能集支持多种CA建设模式（自建和第三方服务）、多RA集中管理、扩展性强等特性，从技术上及管理上以灵活的实现模式满足用户对证书集中管理的迫切需求，解决管理员对多平台进行操作及维护困难的问题。

1.4.1集中证书管理功能特点

集中证书管理功能的实现就是通过集成证书注册服务（RA）和电子密钥（USB-Key）管理功能。

1）集中制证

集中制证主要结合本地数据源中的数据为用户进行集中制证，包括集中申请、自动审批。

通过CA的配置路径，访问指定的CA系统；

CA系统签发数字证书并返回给管理员；

管理员将证书装入UBSKey,制证成功.将数字证书发送给最终用户。

2）证书生命周期管理

通过集中证书管理功能可实现对所制证书进行证书的生命周期管理，主要包括：

证书的查询、吊销等，同时还可以实现对证书有效性的检查。

证书有效性检查，可支持与CA系统的CRL（证书掉销列表）服务联动及手动导入CRL列表。

用户通过证书认证方式登录“登录门户”；

将用户的证书信息（包括证书属性、有效期等）提交到“证书管理模块”；

服务检查证书信息，若有效