统一接入平台产品白皮书.docx
《统一接入平台产品白皮书.docx》由会员分享，可在线阅读，更多相关《统一接入平台产品白皮书.docx（25页珍藏版）》请在冰豆网上搜索。
统一接入平台产品白皮书
统一接入平台产品白皮书
厦门新科技软件股分有限公司
1.
现状及需求分析
1.1.现状
随着市场竞争的日趋激烈和企业信息化的迅猛发展，业务系统日渐完善和丰硕，慢慢实现企业的生产、市场、营销、客服、管理等诸多业务的无纸化。
企业期望借助信息化的平台的不断建设，提升企业效率，提高市场响应速度，维持企业的市场竞争力。
但用户要想享受到这些业务系统带来的诸多益处，就需要登录到许多不同的业务系统中，而每一个系统都要求用户遵循其独立的身份认证安全策略，比如要求输入用户名和口令。
用户所利用的业务系统越多，登录所花费时间越多，登录时犯错的可能性就会越大，受到非法截获和破坏的可能性也会大大增加，系统的安全性就会相应降低；而若是用户忘记了口令，不能正确的登录系统，就需要请求管理员的帮忙，而且只能在从头取得口令之前等待，造成了系统和安全管理资源的没必要要的开销，降低了系统的利用效率。
有时，用户为避免这种为难情况的出现，也为记清楚登录信息，通常会采用简化用户名、密码，或在多个系统中利用相同的口令，而且极少进行按期修改，或干脆将密码记录在笔记本上的做法，给企业的信息安全带来严重的安全漏洞。
下面是一些著名的调查公司显示的统计数据：
∙用户天天平均16分钟花在身份验证任务上-资料来源：
IDS
∙频繁的IT用户平均有21个密码-资料来源：
NTAMonitorPasswordSurvey
∙49%的人写下了其密码，而67%的人很少改变它们
∙每79秒出现一路身份被窃事件-资料来源：
NationalSmallBusinessTravelAssoc
∙全世界欺骗损失每一年约12B-资料来源：
CommFraudControlAssoc
另一方面，业务系统的增加，带来不断增加的软硬件采购本钱。
依照通常的建设模式，为了避免应用间的彼此干扰和方便故障定位，一般是一台物理服务器运行单个应用，而且，为了确保一些重点业务系统的业务持续性，还采用双机热备的方式。
随着服务器数量的急剧增加，机房空间饱和、电力负荷几近满载日趋严重。
同时服务器的整体利用率较低，可用性低，缺乏可管理性，兼容性差。
大量服务器的存在使得中心机房的运行保护本钱高。
业务系统和服务器数量增多后，给系统管理人员带来日趋繁重的系统保护压力，管理难度也同时加大。
1.2.问题
A、建设本钱：
既增加财务支出，又带来施工进度的时间本钱。
●每次建设一套系统，都需要采购相应的软硬件，如数据库服务器、应用服务器、应用服务器软件、数据库软件。
●系统所需硬件、网络、基础软件（操作系统、数据库软件、应用服务器软件）每次均需要安排施工。
●每一个系统都需要的系统保护功能，如组织架构、人员管理和系统日记等功能在不断的被重复建设。
B、保护本钱：
●管理员需要管理不断增多的服务器和网络设施。
●基础架构的不一致（服务器类型、基础软件类型）带来的系统保护的学习本钱。
●没有统一的用户管理：
不同的系统在组织架构和用户视图上不统一，由于员工上岗、职位变更或离职等引发的用户信息管理任务，管理员需要在不同的业务系统中保护同步相关的用户身份和存取管理；不能够自动监控任何关于身份信息的访问权限的变更。
●对各个系统缺乏集中统一的访问审计，无法进行综合分析，因此不能及时发现入侵行为。
C、利用本钱：
●业务人员应用的困难：
要面对多个功能各异的IT系统，需要记忆多套登录账号和密码，同时，常常有效户忘记口令而要求重置，这也加大了管理员的工作负担。
不能形成作业需要的整体信息视图，每一个系统都有各自的登岸界面和操作界面，需要频繁登岸和在不同的系统间来回切换。
●缺乏统一集中的资源访问授权机制：
各个业务系统具有各自的权限管理机制，造成全网权限管理分散的局面；因不同系统的设计和实施策略不同，致使同一机构存在多种权限管理方式，管理本钱高。
●数据共享困难：
大量的类似数据（通知、交互、提示）别离寄存在不同的业务系统中，数据共享度低。
系统之间犹如孤岛，信息不能共享和贯通，查找信息犹如大海捞针，只能从每一个系统取得某一方面的情况，缺乏完整的业务视图，往往需要在多个系统之间反复查找才能取得需要的信息。
1.3.什么是单点登录（SSO）？
单点登录（SingleSign-On），简称为SSO，通常指一个用户在利用多个应历时只需要同一个认证信息（如用户名/密码），而且只需要登录一次就可利用所有的所有支持单点登录的业务。
用户在访问任何业务系统之前，自动定向到统一接入系统进行用户登录，取得安全认证后，系统自动从数据库中掏出该用户被授权登录的系统信息和进程记录进行记录，完成后自动跳转回业务系统，无需用户再次登录。
1.4.什么是4A?
4A（认证Authentication、账号Account、授权Authorization、审计Audit）。
1.5.什么是虚拟化？
虚拟化是一种通过验证的软件技术，它正迅速改变着IT的面貌，并从根本上改变着人们的计算方式。
现在，具有壮大处置能力的x86计算机硬件仅仅运行了单个操作系统和单个应用程序。
这使得大多数计算机远未取得充分利用。
利用虚拟化，可以在一台物理机上运行多个虚拟机，因此得以在多个环境间共享这一台计算机的资源。
不同的虚拟机可以在同一台物理机上运行不同的操作系统和多个应用程序。
虚拟机具有以下四个让用户受益的关键特征：
兼容性
与物理计算机一样，虚拟机承载着自身的客户操作系统和应用程序，并具有物理计算机上的所有组件（主板、VGA卡、网卡控制器等）。
因此，虚拟机与所有标准的x86操作系统、应用程序和设备驱动程序完全兼容，这样，您就可利用虚拟机来运行您在x86物理计算机上运行的所有相同软件。
隔离
虽然虚拟机可以共享一台计算机的物理资源，但它们彼此之间仍然是完全隔离的，就像它们是不同的物理计算机一样。
例如，若是在一台物理服务器上有四个虚拟机，而且其中一个虚拟机崩溃，则其他三个虚拟机仍然可用。
在可用性和安全性方面，虚拟环境中运行的应用程序之所以远优于在传统的非虚拟化系统中运行的应用程序，隔离就是一个重要的原因。
封装
虚拟机实质上是一个软件容器，它将一整套虚拟硬件资源与操作系统及其所有应用程序捆绑或“封装”在一个软件包内。
封装使虚拟机具有超乎寻常的可移动性而且易于管理。
例如，您可以将虚拟机从一个位置移动和复制到另一名置，就像移动和复制任何其他软件文件一样；也可以将虚拟机保留在任何标准的数据存储介质上，从袖珍型的USB闪存卡到企业存储区域网络（SAN），皆可用于保留。
独立于硬件
虚拟机完全独立于其底层物理硬件。
例如，您可以为虚拟机配置与底层硬件上存在的物理组件完全不同的虚拟组件（例如，CPU、网卡、SCSI控制器）。
同一物理服务器上的各个虚拟机乃至可以运行不同类型的操作系统（Windows、Linux等）。
由于虚拟机独立于硬件，再加上它具有封装和兼容性这两个特性，因此您可以在不同类型的x86计算机之间自由地移动它，而无需对设备驱动程序、操作系统或应用程序进行任何更改。
独立于硬件还意味着，可以在一台物理计算机上混合运行不同类型的操作系统和应用程序。
采用虚拟化软件的5大理由
一、提高现有资源的利用程度：
通过将共用的基础架构资源聚合在池中，打破原有的“一台服务器一个应用程序”模式。
二、通过缩减物理基础架构和提高服务器/管理员比率，降低数据中心本钱：
由于服务器及相关IT硬件更少，因此减少了占地空间，也。
采用更超卓的管理工具可以提高服务器/管理员比率，因这人员需求也得以减少。
3、提高硬件和的可用性，进而提高：
可安全地备份和迁移整个虚拟环境而不会出现服务中断。
消除计划内停机，并可从计划外故障中当即恢复。
4、实现了运营灵活性：
由于采用动态资源管理、加速了服务器部署并改良了桌面和应用程序部署，因此可响应市场的转变。
五、提高桌面的可管理性和安全性：
几乎可在所有标准台式机、笔记本电脑或TabletPC上部署、管理和监视，无论是不是能连接到网络，用户都可以在本地或以远程方式对这种环境进行访问。
1.6.统一接入平台能为您带来什么？
统一接入平台是信息化建设中所有信息系统用户管理功能核心系统，通过它可以对所有信息系统中的部门、人员、角色进行管理，所有业务系统可利用提供的接口快速取得人员、部门、角色信息，以作为其他业务系统运行基础，这样一来，被纳入统一用户管理的业务系统就不需要自己管理部门、用户、角色信息，从而达到公司基础的部门、人员、权限数据的统一管理；所有客户端也通过它进行单点登录，以一个统一的身份进入到在权限范围内的所有信息系统中，所有业务系统可以直接利用。
实现统一身份认证及单点登录，同时可以为企业各信息子系统提供统一、权威的部门、人员、角色信息，消除各系统中人员信息的数据冗余。
从用户管理和保护的角度来讲为企业提供人员、部门信息的统一管理和保护功能，并通过周密的日记管理确保系统的稳定运行，提高了数据的统一性、唯一性，提高了系统的响应速度保护速度，减少了保护工作量，提高了保护效率。
通过虚拟化技术进行应用整合，从而重构服务器架构，减少服务器物理数量，增加应用的部署弹性，简化IT管理，降低运维本钱。
提升服务器利用率的同时，降低管理的复杂度，减少管理人员的工作量，实现加倍灵活和简便的管理。
2.新科技统一接入平台简介
新科技统一接入平台是4A统一安全管理平台解决方案，即融合统一用户账号管理、统一认证管理、统一授权管理和统一安全审计等四要素后的解决方案，涵盖单点登录（SSO）等安全功能，既能够为客户提供功能完善的、高安全级别的4A管理。
成立统一的基础软硬件平台，企业级的单点登录系统和安全防护系统，为企业用户提供统一的信息资源认证访问入口，集中管理组织架构和用户信息，成立统一的、基于角色的和个性化的信息访问、集成平台；通过实施单点登录功能，利用户只需一次登录就可以够按照有关的规则去访问不同的业务系统，提高信息系统的易用性、安全性、稳定性；在此基础上进一步实现企业用户高速协同办公和企业知识管理功能。
3.产品特点
3.1.软硬件融合方案
☐基于虚拟机的应用服务器资源共享。
☐基于用户名分派的数据库集中管理。
☐单点登录和真正4A管理的统一接入平台。
3.2.完备的单点登录
☐对于未来新建系统，提供基于4A的代理式单点登录，融合程度高。
☐对于历史遗留系统，提供具有自动抓取分析的适配式的单点登录，快速整合。
☐只需部署一套系统，就可以同时支持多个隔离网段的单点登录。
☐协议的跨平台，预置java、、php等多个客户端单点登录组件，能够扩展支持各类技术线路。
☐同时支持web和wap的单点登录。
☐登录到统一接入平台后，当前用户只能看到有权限的业务系统，做到信息隔离，降低安全风险。
3.3.统一资源目录的集中授权
☐树状目录分级结构的统一资源目录，实现异构信息资源的统一接入。
☐同时支持基于角色、组织结构、人员的多种授权方式。
☐提供分级授权功能，可方便为各个业务系统配置管理员，分散业务系统授权工作压力；为各个部门配置部门管理员，避免日常的账号等数据配置工作集中在系统管理员上。
☐各个业务系统可别离配置特有的角色，彼此隔离。
☐功能权限和数据权限的统一模型，方便管理。
3.4.一站式的信息聚合处置
☐在门户将分散在各个业务系统的在办、待办、已办等信息集中显示。
☐委托式的代办支持。
4.软件功能模块
涵盖单点登录（SSO）等安全功能，能够为客户提供功能完善的、高安全级别的4A管理，4A包括统一用户账号（Account）管理、统一认证（Authentication）管理、统一授权（Authorization）管理和统一安全审计（Audit）四要素。
系统的核心功能包括：
账号管理：
包括树形的组织机构管理、角色管理和用户管理；
身份认证和单点登录：
在各业务系统间统一用户认证标志，用户登录后可以取得用户令牌，各业务系统认可统一的用户令牌，实现用户登录到所有系统的单点登录功能。
单点登录（SingleSignOn），简称为SSO，是目前比较流行的企业业务整合的解决方案之一。
SSO的概念是在多个业务系统中，用户只需要登录一次就可以够访问所有彼此信赖的业务系统。
授权管理：
包括各个业务系统功能模块的授权管理和对结构化数据的权限管理。
信息集成：
信息集成绩是通过各类有效的手腕和工具将已有各个系统中相关的信息集合在一路，生成知足不同用户需求的新的信息集合体，在已有信息的基础上实现信息价值的增值。
安全审计：
对所有效户的操作都进行详细的日记审计，并支持日记完整性查验机制。
4.1.个人控制台
4.1.1.定制系统
集成到统一接入平台的业务系统依照系统管理员配置的应用类型在首页中分块显示。
用户可按照自己的需要在快捷导航区定制有访问权限的多个业务系统。
4.1.2.待办管理
系统提供人员代办功能，每一个人都可以设置代办人员，将工作交给代办人员处置，当抵达代办时限后，系统将自动取消代办人处置工作功能，将工作交予原处置人处置。
注意：
代办时间段不能重复，若是当前用户在一段时间内已经有设置代办人，再重复设置时会出现“该段时间内已经设置代办人员”的提示。
原处置人可以随时取消代办。
4.1.3.密码修改
系统会按期提示登录用户，强制要求修改密码，系统的提示周期可由管理员定制。
用户成功登录系统后，可随时变更自己的用户名和密码。
4.2.账号管理
4.2.1.组织机构
以树型的结构来展示，以维持与实际生产组织机构的对应关系，更直观更方便保护。
系统管理员可以分派部门管理员，部门管理员可以管理辖内部门信息，可以修改部门信息，增加、删除子部门。
4.2.2.应用角色
基于角色的系统安全控制模型是目前国际上流行的先进的安全管理控制方式。
统一接入系统支持通过度派和取消角色来完成用户权限的授予和取消，而且提供了角色分派规则和操作检查规则。
安全管理人员按照需要概念各类角色，并设置适合的访问权限，而用户按照其责任和资历再被指派为不同的角色。
这样，整个访问控制进程就分成两个部份，即访问权限与角色相关联，角色再与用户关联，从而实现了用户与访问权限的逻辑分离，角色可以看成是一个表达访问控制策略的语义结构，它可以表示承担特定工作的资格。
由于实现了用户与访问权限的逻辑分离，基于角色的策略极大的方便了权限管理。
例如，若是一个用户的职位发生转变，只要将用户当前的角色去掉，加入代表新职务或新任务的角色即可。
研究表明，角色/权限之间的转变比角色/用户关系之间的转变相对要慢得多，而且委派用户到角色不需要很多技术，可以由部门管理人员来执行，而配置权限到角色的工作比较复杂，可以由更高级的管理人员来承担，可是不给他们委派用户的权限，这与现实中情况正好一致。
除方便权限管理之外，基于角色的访问控制方式还可以很好的地描述角色层次关系，实现最少权限原则和职责分离的原则。
角色是按照业务系统来划分的，当点击具体业务系统时，右边列表就显示该业务系统对应的角色。
可自行新建、修改和删除角色。
可批量导入角色和用户的对应关系,当用户拥有业务系统对应的角色后，则该用户默许能单点登录该业务系统。
能够查看角色的信息、对应的所有效户和角色被分派的所有权限。
4.2.3.用户管理
用户管理包括用户的增，删，改，密码管理，用户状态管理即账户注销，账户停用，账户启用。
部门管理员管理辖内人员信息，可以增加、删除和修改人员信息，可以重置人员密码。
系统增加或删除一个人员则相应的增加或删除一个用户的账户，每新增一个人员账户，给予该账户一个初始化密码。
系统采用目录树的形式展现部门与人员的隶属关系。
用户信息如下图所示，每一个用户可以配置多个应用角色。
用户检索：
用户可以按部门查询人员信息，查询输入条件主要包括：
姓名、工号和账号状态等。
初始化密码：
系统管理员和部门管理员都能够批量初始化其辖内的用户密码。
注销账号：
对于再也不利用的用户，管理员可以选将其注销，注销操作是不可恢复的。
已注销的用户，在查询时选择状态为“注销”即可查询到。
账号停用：
对于暂时不利用的用户，可以选将其停用，与注销操作不同的是，停用的用户是可以通过启用来恢复利用的。
若是用户管理中创建或修改账号时，指定了账号的有效期，超过有效期后，该账号也会自动被停用。
已停用的用户，在查询时选择状态为“停用”即可查询到。
账号启用：
要恢复停用的账号，只需在列表中将其检索出来后，选中，然后点击“启用”按钮，确认后即可。
对于因为超过有效期而停用的账号，除要将其状态改成启用外，还需要修改用户信息，为其从头指定有效的使历时间才能恢复利用。
4.3.单点登录
实现用户对系统访问的身份认证和单点登录功能。
●单点登录系统的实此刻各业务系统都采用B/S模式这一前提下进行。
●需要在各业务系统间统一用户认证标志，用户登录后可以取得用户令牌，各业务系统认可统一的用户令牌。
●用户令牌应当是安全加密的，而且要限按时效期。
●传递用户信息等敏感数据利用SSL（SecureSocketLayer）进行通信。
●各业务系统可能属于不同的域，因此要实现跨域的单点登录。
●已经上线运行的业务系统需要进行改造来支持单点登录，正在开发的业务系统则可以在开发阶段增加对单点登录的支持，但业务系统之间应该是松耦合。
4.3.1.认证策略
只需通过配置，就可以支持基于数据库或LDAP的用户认证。
4.3.2.登录设置
设定web登录的session超不时间。
设定wap登录：
启用电话号码登录，选中此项，选择电话号码所要绑定的账号，点击“肯定”按钮，即可保留办公辅助系统WAP登录时的设置；启用电话登录后，用户登录只需提供登录密码即可，密码验证通事后，即完成绑定账号的登录。
4.3.3.代理式的业务系统注册
支持多个网段的业务系统访问，咱们只需要将系统的多个网段地址录入到对应的位置，当咱们从不同网段登录到统一接入平台中时，系统会按照访问的地址，自适应到对应的网段进行业务系统访问。
待集成子系统需要先注册到统一接入平台中。
在系统菜单选择“单点登录→应用注册”进入应用注册管理页面，如下图所示：
在的应用注册列表界面，可以按照应用名称、访问类型（WEB和WAP），支撑厂商及应用类型来检索数据，系统支持模糊查找。
点击“应用类型”按钮能够自概念业务系统的类型。
概念应用类型用于对业务系统进行分类，在用户登录统一接入平台后，会自动依照类型显示当前用户能够访问的业务系统。
可对应用注册信息进行新建、修改和删除操作。
4.3.4.适配式的业务系统注册
“适配式”单点登录是指通过被单点登录的业务系统为已在用系统，存在独立的用户账户信息和权限管理，采用4A方式改造工作量大，在统一接入平台成立当前用户账户与被单点登录业务系统账号的对应关系。
由管理员操作。
能够按照被集成的业务系统的首页登录地址，自动抓取和分析登录参数，无需人工录入；在自动抓取无法成功的情况下，支持人工输入的方式。
4.3.5.适配式的业务系统账号配置
用户选择管理员已经注册的适配式的业务系统，并填入相应的用户名和密码，为保护用户的数据安全性，对在数据库中保留的用户名和密码进行加密处置。
4.4.权限管理
权限管理表现的是“什么人”可以对“什么资源”进行“哪些操作”。
在抽象层次上，各个业务系统的功能模块与被保护数据都是资源，对被保护的资源进行访问时，将要访问统一接入系统的权限管理接口判断是不是能够访问被保护资源。
统一接入平台能对依照规范整合进来的业务系统功能权限进行统一管理。
4.4.1.统一资源目录
统一资源目录是构建企业信息资源整合和管理平台的基础设施，是进行资源整合的主线，统一资源目录基于统一的封装机制，实现异构信息资源的统一接入。
为同于提供的信息源导航，给用户提供访问所有应用系统的统一入口。
从用户业务的角度动身，统一所有的信息资源，包括业务应用逻辑组件、结构化数据、非结构化数据（文档、图片等）、WEB链接等。
统一资源目录表现为树状目录分级结构（类似于Window资源管理器），一般依照各业务系统的业务范围进行栏目划分。
授权控制管理是成立在统一用户目录管理的基础上，在同一资源目录的管理下对信息资源进行统一的授权。
基于统一资源目录，对不同的资源授权，因统一资源目录映射到各业务系统的功能模块或子系统中，从而在授权时，不用关心该应用在什么位置，只需按照灵活的授权策略进行授权即可。
支持自概念用户组（如角色）来进行批量的授权管理。
业务系统注册完成以后，需将集成的业务系统的功能按树型结构组织数据，配置业务系统的每一个功能的操作属性。
如上图所示，统一接入平台在业务系统注册后，会依照业务系统的应用类型展示为树形结构，可对业务系统分类组织概念需要设置权限的功能点，并概念功能点的操作类型。
4.4.2.分级授权
与机构单位实际组织体系和处置模式相适应，用户授权管理通常情况下可能需要实现分级管理，支持多级授权管理体系。
系统管理员初始由数据库创建，系统管理员可以指定新的系统管理员和部门管理员。
实现授权的分级委托管理，系统管理员可以依照不同的部门将管理任务划分并分派给不同的业务部门来分散授权，而下级的业务部门的管理员也可以按如实际需要继续划分管理任务从而再次授权更下级的管理员进行身份和授权管理，这样大大减轻了管理员的负担。
各级管理员只能管理自己被分派的用户，而不能阅读或修改其他管理员所管理的用户信息和权限信息。
4.4.3.授权管理
系统的所有功能都有相应的权限控制，只有系统管理员才能利用系统的全数功能，普通用户或应用管理员要利用某功能，可以通过管理员或模块权限拥有者授予权限。
实际上，只有系统管理员或被系统管理员给予“授权管理”的人员才有“授权管理”的功能。
而授权管理就是设定用户进入系统后可以查看哪些界面，和可以操作哪些功能。
以奖品管理系统的“中奖导出”功能的权限管理为例，左侧以树形罗列出该系统的所有模块（菜单），即上文提到的统一目录。
右边别离有几个tab页面，别离为授权记录，详细信息及授权。
授权记录显示当前功能已经被授权的情况，如上图所示把该功能的“阅读”操作权限授给两个角色，别离是“项目领导”和“管理员”，把“导出”操作权限一样授给这两个角色。
可批量删除已授权记录。
点击“详细信息”的tab，可以看到具体哪些人员拥有“中奖导出”功能的各类操作权限，如下图所示。
授权画面能够对“中奖导出”功能的操作功能授权给用户或角色。
按人员，就是直接指定权限拥有者，可以同时选择多个人员；
按角色，则拥有该角色的所有人员都拥有分派的权限。
4.4.4.数据权限
数据信息条款纳入统一的信息资源目录体系，使得用户所看到的信息条款会按照用户身份的不同实现个性化的信息条款展示。
能够进行数据权限整合的只能是那些权限通过表数据来保留的模式，对于直接在程序中固化的数据权限不纳入整合范围。
需要进行数据权限配置的可采用批量导入的方式，减轻工作量。
4.5.安全审计
精准地记录用户的日记，可按日期、地址、用户、资源等信息对日记进行查询、统计和分析。
审计结果通过Web界面以报表的形式展现给管理员。
4.5.1.登录日记
检索条件分为日期范围、姓名、工号、IP地址等等，检索条件可以按照需要自行选择输入或都不输入，输入检索条件后点击“检索”按钮即可。
用于分析用户的登录情况。
4.5.2.操作日记
用户在操作各个业务系统中形成的操作日记的集中管理。
4.6.信息集成
信息集成绩是通过各类有效的手腕和工具将已有信息集合在一路，生成知足不同用户需求的新的信息集合体，在已有信息的基础上实现信息价值的增值。
现有业务系统
界面
业务逻辑
和功能
升级会员 