统一用户管理及认证系统概要设计说明书.docx
《统一用户管理及认证系统概要设计说明书.docx》由会员分享，可在线阅读，更多相关《统一用户管理及认证系统概要设计说明书.docx（15页珍藏版）》请在冰豆网上搜索。
统一用户管理及认证系统概要设计说明书
统一用户管理及认证系统
概要设计说明书
文件状态：
[]草稿
[]正式发布
[√]正在修改
文件标识：
当前版本：
1.0
作者：
黄辉
完成日期：
2011-11-16
保密级别：
机密
修改记录
日期
版本
作者/修改者
描述
审核人
2011-11-16
1.0
黄辉
新建统一用户管理系统概要设计说明书
第一章引言
1.1编写目的
在推进和发展信息建设的进程中，需要通过统一的规划和设计，开发建设一套用户统一的身份管理及单点认证支撑平台。
利用此支撑平台可以实现用户一次登录、网内通用，避免多次登录到多个应用的情况，规范今后的应用系统的建设。
本文档旨在依据此构想为开发人员提出一个设计理念，解决在企业信息整合中遇到的一些问题。
1.2背景
招商局集团综合办公系统需要集成内部办公系统及其它一些外部应用，如ActivCard、CSMail、BBS、视频会议系统等，由于用户要求这些应用能够在企业信息门户中实现单点登录（SSO），这就要求我们具备一个集中统一的用户管理机制，统一用户管理（UUM）正是一套可以满足用户需求的，能够组件化的，通用的解决方案；特别是在网络资源查找、用户访问控制与认证信息的查询、新型网络服务、网络安全、商务网的通用数据库服务和安全服务等方面，都需要应用目录服务技术来实现一个通用、完善、应用简单和可以扩展的系统。
第二章总体设计
2.1需求规定
系统提供统一的用户管理、身份认证及角色定制；一个全面的用户管理基础结构应该能够帮助公司实时地维持统一的用户特征，即便这些用户是为不同的应用系统而创建和使用。
统一的用户系统进行统一帐号创建、修改和删除，这使快速推出新的业务成为可能。
一个公司应该能拥有一个提供用户全面集中管理的管理层，而不为每个新的应用程序或服务建立分布的用户管理层。
企业各应用的用户通过一个全局唯一的用户标示及存储于目录服务中的静态口令或由令牌获得动态口令，到认证服务器进行验证，如验证通过即可可登录到企业信息门户中访问集成的各种应用；可以在系统中维护用户信息并同步到各个应用中；能够根据其在企业的组织机构中的身份定制角色。
由于系统面向于企业的各种应用，提供基于目录的统一用户管理及认证；故必须具备标准通用，安全稳定，响应快捷等特点的高性能服务能力。
2.2运行环境
由于占用资源少，系统对运行环境的要求不高，理想的系统网络拓扑结构如图
[图2.2]
2.2.1服务器
服务器可根据应用的规模选定，可采用各种专用的服务器系统或PC服务器系统（如；SUN服务器，IBM服务器,HP服务器等），使用操作系统可以为SUNSolaris或Linux。
2.2.2数据库软件
流行的大中型数据库软件，如Oracle、MSSQLServer、DB2、PostgreSQL、SYSBASE等；
2.2.3Web应用服务器
WebLogic6或以上版本
Websphere4或以上版本
JRun4或以上版本
Resin
Tomcat4或以上版本
2.2.4客户机
采用B/S结构的子系统运行于Web浏览器之上，硬件要求为Pentium133/32M以上配置。
2.3基本设计概念和处理流程
2.3.1企业级应用的系统架构设计
[图
2.3.2基于目录服务的系统设计
1）目录服务简介
目录是一种特殊的数据库，目录服务就是按照树状信息组织模式，实现信息管理和服务接口的一种方法，目录服务是软件、硬件、策论以及管理的集合体；它服务于各种应用程序，包括LDAP（轻量级目录访问协议）目录和基于X.500的目录。
这些目录都是通用的标准的目录。
它们不适合于特定的操作系统、应用目的；目录服务系统一般由两部分组成：
第一部分是数据库，一种分布式的数据库，且拥有一个描述数据的规划；第二部分则是访问和处理数据库有关的详细的访问协议。
虽然目录也被称为特殊的数据库，但它不同于真正的数据库。
目录的大部分操作为读操作。
假如应用程序要写大量的数据，就应该考虑选择使用数据库来实现。
目录支持相对简单的事务处理。
与文件系统比较：
目录被认为是很差的文件系统。
文件通常很大，有几兆甚至更大，虽然目录被优化成存取很小的信息。
应用程序以块的方式存取文件。
文件系统支持各种调用--像seek（），read（）和write（），这样可以写大文件的一部分的信息。
目录不能提供这种随机的存取访问。
目录条目被分成各种属性。
你可以分别获取各种属性。
你不能取得一个条目的部分值，如从第几个字节开始。
与web的比较：
不像web服务器一样，目录不适合推送JPEG图像或Java程序给客户端。
Web服务通常作为开发web应用的跳板。
这些平台从CGI（公用网关接口）到更复杂的像Netscape应用服务平台。
目录一般不提供这种形式的应用开发，甚至它不提供目录应用开发平台服务。
与FTP的主要区别在于：
数据量的大小和客户的类型。
另外一点就是FTP是一个非常简单的协议，它专于做一件事情并把它做好。
假如你想做的是把文件从一个地方传送到另一个地方，那么额外的目录下层结构也需要，如复制、查询、更新等。
与DNS比较：
因特网的域名系统和目录有相似之处，它们都提供对分层式数据库的访问。
但其它一些不同把它们区分开来。
DNS的主要目的是把主机名转换成IP地址。
比较而言，大多数目录有更普通的作用。
DNS有一套专门的、固定的计划，而目录允许被扩展。
DNS不允许更新它的信息，而目录可以。
DNS可通过UDP的无连接的方式访问，而目录通常是连接访问的。
目录服务与关系型数据库比较，目录不支持批量更新所需要的事务处理功能，目录一般只执行简单的更新操作，适合于进行大量数据的检索；目录具有广泛复制信息的能力，从而在缩短响应时间的同时，提高了可用性和可靠性。
目前，目录服务技术的国际标准有两个，即较早的X.500标准和近年迅速发展的LDAP标准。
X.500：
在八十年代中期，两个不同的团体--CCITT和ISO，各自开始在目录服务方面的研究工作。
最后，两个国际性的目录规范融合成一个规范，这就是X.500。
X.500的优势在于它的信息模型，它的多功能性和开放性。
LDAP：
1993年7月，第一个LDAP规范是由密歇根大学开发的，也就是RFC1487。
LDAP的开发者们简化了笨重的X.500目录访问协议，他们在功能性、数据表示、编码和传输方面做了改建。
目前，LDAP的版本是第3版本，相对以前版本来说，第3版本在国际化、提名、安全、扩展性和特性方面更加完善。
1997年，第3版本成为因特网标准。
由于LDAP所具有的查询效率高、树状的信息管理模式、分布式的部署框架以及灵活而细腻的访问控制，使LDAP广泛地应用于基础性、关键性信息的管理，如用户信息、网络资源信息等。
LDAP的应用主要涉及几种类型。
信息安全类：
数字证书管理、授权管理、单点登录；科学计算类：
DCE（DistributedComputingEnvirionment，分布式计算环境）、UDDI（UniversalDescription，DiscoveryandIntegration,统一描述、发现和集成协议）；网络资源管理类：
MAIL系统、DNS系统、网络用户管理、电话号码簿；电子政务资源管理类：
内网组织信息服务、电子政务目录体系、人口基础库、法人基础库。
选择目录技术与否可参考以下几个方面信息：
* 信息量大小。
目录适合于存放相对小的信息量，而不是几兆大小的文件;
* 信息的类型。
目录通常是基于属性的信息;
* 读写比。
目录适合于读操作更多的应用。
如需要用到大量的写操作，数据库是一个选择;
* 搜寻能力。
目录能搜寻他自身包含的信息;
* 标准访问。
假如你需要标准的访问信息,目录是一个好的选择;
2）LDAP
LDAP（轻量级目录访问协议，Lightweight Directory Access Protocol）是实现提供被称为目录服务的信息服务。
目录服务是一种特殊的数据库系统，其专门针对读取，浏览和搜索操作进行了特定的优化。
目录一般用来包含描述性的，基于属性的信息并支持精细复杂的过滤能力。
目录一般不支持通用数据库针对大量更新操作操作需要的复杂的事务管理或回卷策略。
而目录服务的更新则一般都非常简单。
这种目录可以存储包括个人信息、web链结、jpeg图像等各种信息。
为了访问存储在目录中的信息，就需要使用运行在TCP/IP之上的访问协议—LDAP。
LDAP四种基本模型：
信息模型：
描述LDAP的信息表示方式。
在LDAP中信息以树状方式组织，在树状信息中的基本数据单元是条目，而每个条目由属性构成，属性中存储有属性值；LDAP中的信息模式，类似于面向对象的概念，在LDAP中每个条目必须属于某个或多个对象类（ObjectClass），每个ObjectClass由多个属性类型组成，每个属性类型有所对应的语法和匹配规则；对象类和属性类型的定义均可以使用继承的概念。
每个条目创建时，必须定义所属的对象类，必须提供对象类中的必选属性类型的属性值，在LDAP中一个属性类型可以对应多个值。
在LDAP中把对象类、属性类型、语法和匹配规则统称为Schema，在LDAP中有许多系统对象类、属性类型、语法和匹配规则，这些系统Schema在LDAP标准中进行了规定，同时不同的应用领域也定义了自己的Schema，同时用户在应用时，也可以根据需要自定义Schema。
这有些类似于XML，除了XML标准中的XML定义外，每个行业都有自己标准的DTD或DOM定义，用户也可以自扩展；也如同XML，在LDAP中也鼓励用户尽量使用标准的Schema，以增强信息的互联互通。
在Schema中最难理解的是匹配规则，这是LDAP中为了加快查询的速度，针对不同的数据类型，可以提供不同的匹配方法，如针对字符串类型的相等、模糊、大于小于均提供自己的匹配规则。
命名模型：
描述LDAP中的数据如何组织。
LDAP中的命名模型，也即LDAP中的条目定位方式。
在LDAP中每个条目均有自己的DN和RDN。
DN是该条目在整个树中的唯一名称标识，RDN是条目在父节点下的唯一名称标识，如同文件系统中，带路径的文件名就是DN，文件名就是RDN。
功能模型：
描述LDAP中的数据操作访问
在LDAP中共有四类10种操作：
查询类操作，如搜索、比较；更新类操作，如添加条目、删除条目、修改条目、修改条目名；认证类操作，如绑定、解绑定；其它操作，如放弃和扩展操作。
除了扩展操作，另外9种是LDAP的标准操作；扩展操作是LDAP中为了增加新的功能，提供的一种标准的扩展框架，当前已经成为LDAP标准的扩展操作，有修改密码和StartTLS扩展，在新的RFC标准和草案中正在增加一些新的扩展操作，不同的LDAP厂商也均定义了自己的扩展操作。
安全模型：
描述LDAP中的安全机制。
LDAP中的安全模型主要通过身份认证、安全通道和访问控制来实现。
身份认证在LDAP中提供三种认证机制，即匿名、基本认证和SASL（SimpleAuthenticationandSecureLayer）认证。
匿名认证即不对用户进行认证，该方法仅对完全公开的方式适用；基本认证均是通过用户名和密码进行身份识别，又分为简单密码和摘要密码认证；SASL认证即LDAP提供的在SSL和TLS安全通道基础上进行的身份认证，包括数字证书的认证。
通讯安全在LDAP中提供了基于SSL/TLS的通讯安全保障。
SSL/TLS是基于PKI信息安全技术，是目前Internet上广泛采用的安全服务。
LDAP通过StartTLS方式启动TLS服务，可以提供通讯中的数据保密性、完整性保护；通过强制客户端证书认证的TLS服务，同时可以实现对客户端身份和服务器端身份的双向验证
升级会员 