用户统一认证解决方案

统一用户认证和单点登录解决方案

本文以某新闻单位多媒体数据库系统为例，提出建立企业用户认证中心，实现基于安全策略的统一用户管理、认证和单点登录，解决用户在同时使用多个应用系统时所遇到的重复登录问题。

随着信息技术和网络技术的迅猛发展，企业内部的应用系统越来越多。比如在媒体行业，常见的应用系统就有采编系统、排版系统、印刷系统、广告管理系统、财务系统、办公自动化系统、决策支持系统、客户关系管理系统和网站发布系统等。由于这些系统互相独立，用户在使用每个应用系统之前都必须按照相应的系统身份进行登录，为此用户必须记住每一个系统的用户名和密码，这给用户带来了不少麻烦。特别是随着系统的增多，出错的可能性就会增加，受到非法截获和破坏的可能性也会增大，安全性就会相应降低。针对于这种情况，统一用户认证、单点登录等概念应运而生，同时不断地被应用到企业应用系统中。

统一用户管理的基本原理

一般来说，每个应用系统都拥有独立的用户信息管理功能，用户信息的格式、命名与存储方式也多种多样。当用户需要使用多个应用系统时就会带来用户信息同步问题。用户信息同步会增加系统的复杂性，增加管理的成本。多大

例如，用户X需要同时使用A系统与B系统，就必须在A系统与B系统中都创建用户X，这样在A、B任一系统中用户X的信息更改后就必须同步至另一系统。如果用户X需要同时使用10个应用系统，用户信息在任何一个系统中做出更改后就必须同步至其他9个系统。用户同步时如果系统出现意外，还要保证数据的完整性，因而同步用户的程序可能会非常复杂。

解决用户同步问题的根本办法是建立统一用户管理系统（UUMS）。UUMS统一存储所有应用系统的用户信息，应用系统对用户的相关操作全部通过UUMS完成，而授权等操作则由各应用系统完成，即统一存储、分布授权。UUMS应具备以下基本功能:

1．用户信息规范命名、统一存储，用户ID全局惟一。用户ID犹如身份证，区分和标识了不同的个体。

2．UUMS向各应用系统提供用户属性列表，如姓名、电话、地址、邮件等属性，各应用系统可以选择本系统所需要的部分或全部属性。

3．应用系统对用户基本信息的增加、修改、删除和查询等请求由UUMS处理。4．应用系统保留用户管理功能，如用户分组、用户授权等功能。

5．UUMS应具有完善的日志功能，详细记录各应用系统对UUMS的操作。

统一用户认证是以UUMS为基础，对所有应用系统提供统一的认证方式和认证策略，以识别用户身份的合法性。统一用户认证应支持以下几种认证方式:

1. 匿名认证方式: 用户不需要任何认证，可以匿名的方式登录系统。

2. 用户名/密码认证: 这是最基本的认证方式。

3. PKI/CA数字证书认证: 通过数字证书的方式认证用户的身份。

4. IP地址认证: 用户只能从指定的IP地址或者IP地址段访问系统。

5. 时间段认证: 用户只能在某个指定的时间段访问系统。

6. 访问次数认证: 累计用户的访问次数，使用户的访问次数在一定的数值范围之内。

以上认证方式应采用模块化设计，管理员可灵活地进行装载和卸载，同时还可按照用户的要求方便地扩展新的认证模块。

认证策略是指认证方式通过与、或、非等逻辑关系组合后的认证方式。管理员可以根据认证策略对认证方式进行增、删或组合，以满足各种认证的要求。比如，某集团用户多人共用一个账户，用户通过用户名密码访问系统，访问必须限制在某个IP地址段上。该认证策略可表示为: 用户名/密码“与”IP地址认证。PKI/CA数字证书认证虽不常用，但却很有用，通常应用在安全级别要求较高的环境中。PKI（Public Key Infrastructure）即公钥基础设施是利用公钥理论和数字证书来确保系统信息安全的一种体系。

在公钥体制中，密钥成对生成，每对密钥由一个公钥和一个私钥组成，公钥公布于众，私钥为所用者私有。发送者利用接收者的公钥发送信息，称为数字加密，

接收者利用自己的私钥解密; 发送者利用自己的私钥发送信息，称为数字签名，接收者利用发送者的公钥解密。PKI通过使用数字加密和数字签名技术，保证了数据在传输过程中的机密性（不被非法授权者偷看）、完整性（不能被非法篡改）和有效性（数据不能被签发者否认）。

数字证书有时被称为数字身份证，数字证书是一段包含用户身份信息、用户公钥信息以及身份验证机构数字签名的数据。身份验证机构的数字签名可以确保证书信息的真实性。

完整的PKI系统应具有权威认证机构CA（Certificate Authority）、证书注册系统RA（Registration Authority）、密钥管理中心KMC（Key Manage Center）、证书发布查询系统和备份恢复系统。CA是PKI的核心，负责所有数字证书的签发和注销; RA接受用户的证书申请或证书注销、恢复等申请，并对其进行审核; KMC负责加密密钥的产生、存贮、管理、备份以及恢复; 证书发布查询系统通常采用OCSP（Online Certificate Status Protocol，在线证书状态协议）协议提供查询用户证书的服务，用来验证用户签名的合法性; 备份恢复系统负责数字证书、密钥和系统数据的备份与恢复。

单点登录

单点登录（SSO，Single Sign-on）是一种方便用户访问多个系统的技术，用户只需在登录时进行一次注册，就可以在多个系统间自由穿梭，不必重复输入用户名和密码来确定身份。单点登录的实质就是安全上下文（Security Context）或凭证（Credential）在多个应用系统之间的传递或共享。当用户登录系统时，客户端软件根据用户的凭证（例如用户名和密码）为用户建立一个安全上下文，安全上下文包含用于验证用户的安全信息，系统用这个安全上下文和安全策略来判断用户是否具有访问系统资源的权限。遗憾的是J2EE规范并没有规定安全上下文的格式，因此不能在不同厂商的J2EE产品之间传递安全上下文。

目前业界已有很多产品支持SSO，如IBM的WebSphere和BEA的WebLogic，但各家SSO产品的实现方式也不尽相同。WebSphere通过Cookie记录认证信息，Web Logic则是通过Session共享认证信息。Cookie是一种客户端机制，它存储的内容主要包括: 名字、值、过期时间、路径和域，路径与域合在一起就构成了Coo kie的作用范围，因此用Cookie方式可实现SSO，但域名必须相同; Session是一种服务器端机制，当客户端访问服务器时，服务器为客户端创建一个惟一的S essionID，以使在整个交互过程中始终保持状态，而交互的信息则可由应用自行指定，因此用Session方式实现SSO，不能在多个浏览器之间实现单点登录，但却可以跨域。

实现SSO有无标准可寻？如何使业界产品之间、产品内部之间信息交互更标准、更安全呢？基于此目的，OASIS（结构化信息标准促进组织）提出了SAML解决方案（有关SAML的知识参看链接）。

用户认证中心实际上就是将以上所有功能、所有概念形成一个整体，为企业提供一套完整的用户认证和单点登录解决方案。一个完整的用户认证中心应具备以下功能:

1. 统一用户管理。实现用户信息的集中管理，并提供标准接口。

2. 统一认证。用户认证是集中统一的，支持PKI、用户名/密码、B/S和C/S等多种身份认证方式。

3. 单点登录。支持不同域内多个应用系统间的单点登录。

用户认证中心提供了统一认证的功能，那么用户认证中心如何提供统一授权的功能呢？这就是授权管理中，其中应用最多的就是PMI。

PMI（Privilege Management Infrastructure，授权管理基础设施）的目标是向用户和应用程序提供授权管理服务，提供用户身份到应用授权的映射功能，提供与实际应用处理模式相对应的、与具体应用系统开发和管理无关的授权和访问控制机制，简化具体应用系统的开发与维护。PMI是属性证书（Attribute Certif icate）、属性权威（Attribute Authority）、属性证书库等部件的集合体，用来实现权限和证书的产生、管理、存储、分发和撤销等功能。

PMI以资源管理为核心，对资源的访问控制权统一交由授权机构统一处理，即由资源的所有者来进行访问控制。同公钥基础设施PKI相比，两者主要区别在于:

PKI证明用户是谁，而PMI证明这个用户有什么权限，能干什么，而且PMI可以利用PKI为其提供身份认证。

单点登录通用设计模型

图2是统一用户认证和单点登录通用设计模型，它由以下产品组成:

1. PKI体系: 包括CA服务器、RA服务器、KMC和OCSP服务器。

2. AA管理服务器: 即认证（Authentication）和授权（Authorization）服务器，它为系统管理员提供用户信息、认证和授权的管理。

3. UUMS模块: 为各应用系统提供UUMS接口。

4. SSO: 包括SSO代理和SSO服务器。SSO代理部署在各应用系统的服务器端，负责截获客户端的SSO请求，并转发给SSO服务器，如果转发的是OCSP请求，则SSO服务器将其转发给OCSP服务器。在C/S方式中，SSO代理通常部署在客户端。

5. PMI: 包括PMI代理和PMI服务器。PMI代理部署在各应用系统的服务器端，负责截获客户端的PMI请求，并转发给PMI服务器。

6. LDAP服务器: 统一存储用户信息、证书和授权信息。

为判断用户是否已经登录系统，SSO服务器需要存储一张用户会话（Session）表，以记录用户登录和登出的时间，SSO服务器通过检索会话表就能够知道用户的登录情况，该表通常存储在数据库中。AA系统提供了对会话的记录、监控和撤消等管理功能。为保证稳定与高效，SSO、PMI和OCSP可部署两套或多套应用，同时提供服务。

链接

SAML

SAML（Security Assertion Markup Language，安全性断言标记语言）是一种基于XML的框架，主要用于在各安全系统之间交换认证、授权和属性信息，它的主要目标之一就是SSO。在SAML框架下，无论用户使用哪种信任机制，只要满足SAML的接口、信息交互定义和流程规范，相互之间都可以无缝集成。SAML规范

的完整框架及有关信息交互格式与协议使得现有的各种身份鉴别机制（PKI、Kerberos和口令）、各种授权机制（基于属性证书的PMI、ACL、Kerberos的访问控制）通过使用统一接口实现跨信任域的互操作，便于分布式应用系统的信任

和授权的统一管理。

SAML并不是一项新技术。确切地说，它是一种语言，是一种XML描述，目的是允许不同安全系统产生的信息进行交换。SAML规范由以下部分组成:

1. 断言与协议: 定义XML格式的断言的语法语义以及请求和响应协议。SMAL主要有三种断言: 身份认证断言、属性断言和访问授权断言。

2. 绑定与配置文件: 从SAML请求和响应消息到底层通信协议如SOAP或SMTP 的映射。

3. 一致性规范: 一致性规范设置了一种基本标准，必须满足这一SAML标准的实现才能够称为一致性实现。这样有助于提高互操作性和兼容性。

4. 安全和保密的问题: SAML体系结构中的安全风险，具体而言就是SAML如何应对这些风险以及无法解决的风险。

要注意的是，SAML并不是专为SSO设计，但它却为SSO的标准化提供了可行的框架。

统一认证系统_设计方案

基础支撑平台

第一章统一身份认证平台 一、概述 建设方案单点登录系统采用基于Liberty规范的单点登录ID-SSO系统平台实现，为数字化校园平台用户提供安全的一站式登录认证服务。为平台用户以下主要功能： 为平台用户提供“一点认证，全网通行”和“一点退出，整体退出”的安全一站式登录方便快捷的服务，同时不影响平台用户正常业务系统使用。用户一次性身份认证之后，就可以享受所有授权范围内的服务，包括无缝的身份联盟、自动跨域、跨系统访问、整体退出等。 提供多种以及多级别的认证方式，包括支持用户名/密码认证、数字证书认证、动态口令认证等等，并且通过系统标准的可扩展认证接口（如支持JAAS），可以方便灵活地扩展以支持第三方认证，包括有登录界面的第三方认证，和无登录界面的第三方认证。 系统遵循自由联盟规范的Liberty Alliance Web-Based Authentication 标准和OASIS SAML规则，系统优点在于让高校不用淘汰现有的系统，无须进行用户信息数据大集中，便能够与其无缝集成，实现单点登录从而建立一个联盟化的网络，并且具有与未来的系统的高兼容性和互操作性，为信息化平台用户带来更加方便、稳定、安全与灵活的网络环境。 单点登录场景如下图所示：

一次登录认证、自由访问授权范围内的服务 单点登录的应用，减轻了用户记住各种账号和密码的负担。通过单点登录，用户可以跨域访问各种授权的资源，为用户提供更有效的、更友好的服务；一次性认证减少了用户认证信息网络传输的频率，降低了被盗的可能性，提高了系统的整体安全性。 同时，基于联盟化单点登录系统具有标准化、开放性、良好的扩展性等优点，部署方便快捷。 二、系统技术规范 单点登录平台是基于国际联盟Liberty规范（简称“LA”）的联盟化单点登录统一认证平台。 Liberty规范是国际170多家政府结构、IT公司、大学组成的国际联盟组织针对Web 单点登录的问题提供了一套公开的、统一的身份联盟框架，为客户释放了使用专用系统、不兼容而且不向后兼容的协议的包袱。通过使用统一而又公开的 Liberty 规范，客户不再需要为部署多种专用系统和支持多种协议的集成复杂度和高成本而伤脑筋。 Liberty规范的联盟化单点登录SSO（Single Sign On）系统有以下特点： (1). 可以将现有的多种Web应用系统联盟起来，同时保障系统的独立性，提供单点 登录服务；

统一认证与单点登录系统-产品需求规格说明书

统一认证与单点登录系统产品需求规格说明书 北京邮电大学

版本历史

目录 0文档介绍 (5) 0.1 文档目的 (5) 0.2 文档范围 (5) 0.3 读者对象 (5) 0.4 参考文档 (5) 0.5 术语与缩写解释 (5) 1产品介绍 (7) 2产品面向的用户群体 (7) 3产品应当遵循的标准或规范 (7) 4产品范围 (7) 5产品中的角色 (7) 6产品的功能性需求 (8) 6.0 功能性需求分类 (8) 6.0.1产品形态 (8) 6.1 外部系统管理 (9) 6.1.1外部系统注册 (9) 6.1.2外部系统集成配置 (11) 6.2 用户管理 (11) 6.2.1用户管理控制台 (11) 6.2.2用户自助服务 (13) 6.2.3统一用户管理 (13) 6.3 组织结构管理 (14) 6.4 权限管理 (15) 6.4.1统一角色管理 (18) 6.5 单点登录 (18) 6.5.1基于Httpheader单点登录 (19) 6.5.2基于表单代填的方式单点登录 (20) 6.5.3基于CAS单点登录 (20) 6.5.4总结 (23) 7产品的非功能性需求 (24) 7.1.1性能需求 (24) 7.1.2接口需求 (24) 8附录B：需求确认 (25)

0文档介绍 0.1文档目的 此文档用于描述统一认证与单点登录系统的产品需求，用于指导设计与开发人员进行系统设计与实现。 0.2文档范围 本文档将对系统的所有功能性需求进行消息的描述，同时约定非功能性以及如何与第三方系统进行交互。 0.3读者对象 本文档主要面向一下读者： 1.系统设计人员 2.系统开发与测试人员 3.系统监管人员 4.产品甲方管理人员 0.4参考文档 《凯文斯信息技术有限公司单点登录及统一用户技术方案V1.0》 0.5术语与缩写解释

网络统一身份认证计费管理系统建设方案综合

XXXX学院网络统一身份认证计费管理系 统建设方案 2016年03月 目录 一．计费系统设计规划 (2) 二．方案建设目标 (2) 三．总体方案 (3) 1.方案设计 (3) A.方案（串连网关方式） (3) B.方案（旁路方式+BRAS，BRAS产品） (4) 四．认证计费管理系统与统一用户管理系统的融合 (8) 4.1统一用户管理系统的融合 (8) 4.2一卡通系统的融合 (9) 4.3用户门户系统的融合 (9) 五．认证计费管理系统功能介绍 (9) 六．用户案例 (14) 6.1清华大学案例介绍 (14) 6.2成功案例-部分高校 (16) 6.3系统稳定运行用户证明 (16) 七.实施方案 (16)

7.1实施前准备工作 (16) 7.2认证计费系统安装 (16) 7.3实施割接前测试工作 (16) 7.4实施中割接、割接后测试工作 (17) 一．计费系统设计规划 XXXX技术学院整体用户规模设计容量为10000用户，同时在线用户规模为5000人，具有多个出口线路；网络特点呈现高带宽，高用户，多种接入方式使用人群，并且在未来还会以多种网络架构存在（有线，无线）。因此安全认证管理计费系统的设计要充分考虑系统性能满足出口带宽容量，同时也必须能满足复杂的接入模式，多种灵活的控制计费策略。 在充分满足IPv4用户的认证计费需求的前提下，设计要考虑对实现IPv6+IPv4双栈认证计费及日志采集等功能需求，同时还需要满足无线和有线认证的融合统一认证管理模式；目前学校已经使用一卡通系统，安全认证计费管理系统必须和一卡通系统实现对接，能支持未来的数字化校园，能够融合到统一身份认证平台。 有线网和无线网是实现账户统一，避免一个用户需要多账户登录有线网和无线网的情况，并可通过上网账户认证实现与校园门户系统、校园一卡通系统的平滑对接，实现用户账号的同步关联。 二．方案建设目标 针对目前学校对于用户认证计费系统的需求，通过安全认证网络管理计费系统，搭建一套包括用户接入、认证、计费及用户管理的综合平台，为校园网提供功能完善、可靠和高性能适合的宽带接入管理计费解

sso_统一身份认证及访问控制解决方案

统一身份认证及访问控制 技术方案

1.方案概述 1.1. 项目背景 随着信息化的迅猛发展，政府、企业、机构等不断增加基于Internet/Intranet 的业务系统，如各类网上申报系统，网上审批系统，OA 系统等。系统的业务性质，一般都要求实现用户管理、身份认证、授权等必不可少的安全措施；而新系统的涌现，在与已有系统的集成或融合上，特别是针对相同的用户群，会带来以下的问题： 1)如果每个系统都开发各自的身份认证系统将造成资源的浪费，消耗开发成本，并延缓开发进度； 2)多个身份认证系统会增加整个系统的管理工作成本； 3)用户需要记忆多个帐户和口令，使用极为不便，同时由于用户口令遗忘而导致的支持费用不断上涨； 4)无法实现统一认证和授权，多个身份认证系统使安全策略必须逐个在不同的系统内进行设置，因而造成修改策略的进度可能跟不上策略的变化； 5)无法统一分析用户的应用行为；因此，对于有多个业务系统应用需求的政府、企业或机构等，需要配置一套统一的身份认证系统，以实现集中统一的身份认证，并减少整个系统的成本。 单点登录系统的目的就是为这样的应用系统提供集中统一的身份认证，实现“一点登录、多点漫游、即插即用、应用无关"的目标，方便用户使用。 1.2. 系统概述 针对上述状况，企业单位希望为用户提供统一的信息资源认证访问入口，建立统一的、基于角色的和个性化的信息访问、集成平台的单点登录平台系统。该系统具备如下特点： ?单点登录：用户只需登录一次，即可通过单点登录系统（SSO）访问后台的多个应用系统，无需重新登录后台的各个应用系统。后台应用系统的用户名和口令可以各不相同，并且实现单点登录时，后台应用系统无需任何修改。 ?即插即用：通过简单的配置，无须用户修改任何现有B/S、C/S应用系统，即可使用。解决了当前其他SSO解决方案实施困难的难题。 ?多样的身份认证机制：同时支持基于PKI/CA数字证书和用户名/口令身份认证方式，可单独使用也可组合使用。 ?基于角色访问控制：根据用户的角色和URL实现访问控制功能。 ?基于Web界面管理：系统所有管理功能都通过Web方式实现。网络管理人员和系统管理员可以通过浏览器在任何地方进行远程访问管理。此外，可以使用HTTPS安全地进行管理。

身份认证、接入控制解决方案

身份认证、接入控制解决方案 金盾身份认证、接入控制解决方案以身份识别，杜绝非法入侵和接入保护为 主要设计理念，金盾准入控制保护系统是金盾软件公司独创的，国际领先的 产品功能，是产品的核心功能之一，具有实施简单，主动发现、自动防御、效果显著等特点，极大提升了内网的防御能力和用户的体验效果。 方案简介 □如何防止非授权终端的接入内部局域网窃取涉密资料？ □如何防止“黑户”电脑和“问题“笔记本擅自进入内部网络成为传播病毒的源头? □ 如何防止假冒身份的非法计算机带入内网肆意访问内部办公系统？

方案功能 安全状态评估 □终端补丁检测：评估客户端的补丁安装是否合格，包括：操作系统(Windows 98/me/2000/XP/2003/Vista/win7/2008 )。 □客户端版本检测：检测安全客户端的版本，防止使用不具备安全检测能力的客户端接入网络，同时支持客户端自动升级。 □终端运行状态实时检测：可以对上线用户终端的系统信息进行实时检测，发现异常客户端或被卸载时自动阻断网络，强制安装。 □终端防病毒联动：主要包含两个方面，终端用户接入网络时，检查其计算机上防病毒软件的安装运行情况以及病毒库和扫描引擎版本是否符合安全要求等，不符合安全要求可以根据策略阻止用户接入网络或将其访问限制在隔离区。 □端点用户接入网络后，定期检查防病毒软件的运行状态，如果发现不符合安全要求可以根据策略强制让用户下线或将其访问限制在隔离区。 安全接入审核 □强身份认证：非授权用户接入网络需要身份认证，在用户身份认证时，可绑定用户接入IP、MAC、接入设备IP、端口等信息，进行强身份认证，防止帐号盗用、限定帐号所使用的终端，确保接入用户的身份安全。 □网络隔离区：对于安全状态评估不合格的用户，可以限制其访问权限，被隔离到金盾网络隔离区，待危险终端到达安全级别后方可入网。 □软件安装和运行检测：检测终端软件的安装和运行状态。可以限制接入网络的用户必须安装、运行或禁止安装、运行其中某些软件。对于不符合安全策略的用户可以记录日志、提醒或隔离。 □终端授信认证：对于外来计算机由于业务需要接入内网或者访问Internet时，针对对方IP、MAC等端口做授信暂时放行。 □内网安全域：可以限制用户只能在允许的时间和网络IP段内（接入设备和端口）使用网络。

统一用户管理与认证平台需求说明书

南南山山区区教教育育信信息息网网应应用用系系统统 统一用户管理与认证平台 需求说明书 版本信息 * A 代表新增，M 代表修改，D 代表删除。

1引言 (3) 1.1 编写目的 (3) 1.2 背景 (3) 1.3 定义 (3) 1.4 参考资料 (4) 2任务概述 (4) 2.1 目标 (4) 2.2 用户的特点 (4) 2.3 假定和约束 (5) 3需求规定 (5) 3.1 对功能的规定 (5) 3.1.1统一用户管理 (5) 3.1.2统一认证与单点登录 (7) 3.1.3应用系统自身的用户及认证管理 (8) 3.2 对性能的规定 (8) 3.2.1精度 (8) 3.2.2时间特性要求 (8) 3.2.3灵活性 (9) 3.3 输人输出要求 (9) 3.3.1用户信息 (9) 3.3.2认证信息 (9) 3.4 数据管理能力要求 (9) 3.5 故障处理要求 (9) 3.6 其他专门要求 (9) 4运行环境规定 (9) 4.1 设备 (9) 4.2 支持软件 (10) 4.3 接口 (10) 4.4 控制 (10)

1 引言 1.1 编写目的 本文档的编写目的在于确定南山教育信息网统一用户管理与认证平台的需求内容，成为后续开发建设和验收的依据。 1.2 背景 在应用系统的建设中，用户身份和认证信息的管理是最关键的一部分。但是由于需求总是在不断变化和发展，应用系统也会不断的增加或淘汰。因此，应用系统通常都是在不同平台上、由不同开发商开发，使用的技术不一致，容易造成每套系统都有独立的用户身份管理，登录不同应用系统需要多次登录。 对于用户来说，每增加一个新的应用，需要记忆一套新的用户名/密码，负责的业务范围越大，需要记忆的用户名/密码组越多。设定一样的密码，不够安全；密码设定不一样，记忆困难，每次访问应用系统，需要重复输入用户名/密码，在一个系统中修改了密码，其他系统的密码不会随之改变。 对于系统管理员而言，没有一个统一的用户管理系统，就会在新进人员时，需要到众多系统中逐一建立帐号；人员离职时，需要到众多系统中逐一删除帐号，给系统管理员的工作造成了繁重负担，还容易造成各系统中人员身份信息的不一致。 对于南山区学校领导、教师和学生等用户，由于其可以享受大量教育资源服务，为防止他人冒名顶替、盗用资源，故须对这些“合法”用户要进行统一的实名认证。 1.3 定义 统一认证平台：南山教育信息网的应用支撑性平台，包括了统一用户、应用资源的管理以及各应用资源的统一认证管理。 统一用户管理：负责管理南山教育信息网全体实名用户的身份管理，并分配各分项应用子系统中具有使用权的用户，将统一用户信息同步到应用子系统中。 统一认证：负责南山教育信息网的统一用户认证以及单点登录支持，用户通过平台统一

统一用户管理系统

1.详细需求 1.1 业务需求 统一用户管理平台是一个高性能、易管控的用户和权限数据集成平台，能够统一管理企业中各个信息系统的组织信息和用户信息，能够实现单点登录，简化用户的登录过程，同时提供集中便捷的身份管理、资源管理、安全认证和审计管理，能够实现各个系统的独立的权限注册，配置不同的业务域，独立的业务组织体系模型，并且对于不同权限级别的用户和管理员都有不同的系统功能和数据访问范畴，以满足用户对信息系统使用的方便性和安全管理的要求，最终实现异构系统的有机整合。在系统集成的过程中，借助其强大的系统管控能力，在实施过程中进行权限人员数据的规范化、数据同步自动化、系统访问可控化、权限管理统一化和监控审计可视化。 1.2 系统功能需求 1.2.1 统一用户管理 建立一套集中的用户信息库，利用同步接口提供的功能，把所有的系统用户进行统一存放，系统管理员在一个平台上统一管理用户在各个系统中的账号和密码。形成一套全局用户库，统一管理，作为企业内所有IT应用的用户源。在人员离职、岗位变动时，只需在管理中心一处更改，即可限制其访问权限，消除对后台系统非法访问的威胁。方便了用户管理，也防止过期的用户身份信息未及时删除带来的安全风险。系统支持分级授权。 1.2.2 用户身份认证 遵循W3C的业界标准，在单点登录系统的基础上，实现基于域管理的身份认证服务构件，自主开发的系统能够使用该服务进行认证，同时提供多种认证方式，能实现双因素认证。采用LDAP（轻量目录访问协议，一个开放的目录服务标准）来建构统一用户信息数据库。LDAP已成为未来身份认证和身份管理的标准，具有很好的互操作性和兼容性，基于LDAP可以搭建一个统一身份认证和管理框架，并提供开发接口给各应用系统，为应用系统的后续开发提供了统一身份认证平台和标准。实现多种身份认证方式，支持LDAP、JDBC、WebService、Radius、Openid等多种身份认证方式。

智慧眼社保行业生物识别身份认证解决方案

智慧眼社保行业生物识别身份认证 解决方案 姓名： 学号： 班级：

一、基于社保卡的生物识别身份认证平台 1、平台概述 基于社保卡的生物识别身份认证平台是在遵循社保核三平台标准的基础上开发的集生物识别、认证管理、模板管理、统计决策分析、身份认证子系统等功能于一体的身份认证平台。 平台前端可支撑多种人社业务对身份认证的需求，如：养老金待遇领取资格认证、失业保险金发放签到、工伤保险待遇领取、医疗保险待遇资格认证、网上业务申报身份认证等等，可通过认证子系统针对不同的险种、不同的认证对象进行身份认证。平台后端兼容多种生物识别技术，如：人脸识别、指静脉识别、指纹识别、虹膜识别、掌静脉识别、声纹识别等等。该平台具有较好的兼容性与扩展性，只需要增加相应的生物识别引擎和业务子系统，就能支撑相应的人社业务。

2、功能简述 身份认证平台功能示意图 3、技术优势 自主研发的人脸识别和指静脉识别算法识别率高，识别速度快。 采用生物识别技术，将社保卡与参保用户联系起来，真正实现人卡合一，有效地提供身份识别服务。 兼容多种生物识别技术，支持人脸识别、指静脉识别、指纹识别、虹膜识别、声纹识别等，可根据实际情况和业务需求进行多种选择。 依据“同人同城同模板”的原则，只需要进行一次建模，就可以在人社领域的所有业务系统中共用，大大降低建模投资成本。 身份认证平台具有多个身份认证子系统，满足人社领域内的所有相关业务的身份认证需求，并且各个业务系统可以共享认证结果。 多险种共享终端采集认证设备，大大减少设备部署数量，节约投资成本。 可远程验证，远程管理，不受时间与空间限制，随时随地实现身份认证。

统一身份认证系统技术方案

智慧海事一期统一身份认证系统 技术方案

目录 目录...................................................................................................................................................... I 1.总体设计 (2) 1.1设计原则 (2) 1.2设计目标 (3) 1.3设计实现 (3) 1.4系统部署 (4) 2.方案产品介绍 (6) 2.1统一认证管理系统 (6) 2.1.1系统详细架构设计 (6) 2.1.2身份认证服务设计 (7) 2.1.3授权管理服务设计 (10) 2.1.4单点登录服务设计 (13) 2.1.5身份信息共享与同步设计 (15) 2.1.6后台管理设计 (19) 2.1.7安全审计设计 (21) 2.1.8业务系统接入设计 (23) 2.2数字证书认证系统 (23) 2.2.1产品介绍 (23) 2.2.2系统框架 (24) 2.2.3软件功能清单 (25) 2.2.4技术标准 (26) 3.数字证书运行服务方案 (28) 3.1运行服务体系 (28) 3.2证书服务方案 (29) 3.2.1证书服务方案概述 (29) 3.2.2服务交付方案 (30) 3.2.3服务支持方案 (36) 3.3CA基础设施运维方案 (38) 3.3.1运维方案概述 (38) 3.3.2CA系统运行管理 (38) 3.3.3CA系统访问管理 (39) 3.3.4业务可持续性管理 (39) 3.3.5CA审计 (39)

身份管理平台解决方案

身份管理平台解决方案 1. 应用背景 计算机网络和信息技术的迅速发展使得企业信息化的程度不断提高，在企业信息化过程中，诸如OA、CRM、ERP、OSS等越来越多的业务系统应运而生，提高了企业的管理水平和运行效率。与此同时，各个应用系统都有自己的认证体系，随着应用系统的不断增加，一方面企业员工在业务系统的访问过程中，不得不记忆大量的帐户口令，而口令又极易遗忘或泄露，为企业带来损失；另一方面，企业信息的获取途径不断增多，但是缺乏对这些信息进行综合展示的平台。 在上述背景下，企业信息资源的整合逐步提上日程，并在此基础上形成了各业务系统统一认证、单点登录（SSO）和信息综合展示的企业门户（Portal）。现有的门户产品多集中于口令方式的身份认证，如何更安全的进行统一认证，并保证业务系统访问的安全性，成为关注的焦点。 2. 基于CA认证的统一身份管理平台 时代亿信推出的基于CA认证的统一身份管理平台解决方案，以资源整合（业务系统整合和内容整合）为目标，以CA认证和PKI技术为基础，通过对用户身份的统一认证和访问控制，更安全地实现各业务系统的单点登录和信息资源的整合。 平台兼容口令认证、PFX证书文件认证、USB智能卡认证等多种认证方式，并采用SSL 加密通道、关键信息加密签名、访问控制策略等安全技术充分保证身份认证和业务系统访问过程的安全性。 2.1 系统功能及架构 平台的系统架构如图1所示，主要包括以下部分： 门户系统（Portal）：各业务系统信息资源的综合展现； 平台管理系统：平台用户的注册、授权、审计；各业务系统的配置；门户管理； CA系统：平台用户的数字证书申请、签发和管理； 用户统一认证：用户身份的CA数字证书认证、认证过程的SSL加密通道； 单点登录（SSO）：业务系统关联（mapping）、访问控制、访问业务系统时信息的加密签名和SSL加密通道； 图1 基于CA认证的统一身份管理平台架构 2.2 系统的实现和安全机制 2.2.1 用户注册和授权 （1）企业每一个用户在平台完成用户注册，得到自己的统一帐户（passport）； （2）如果采用证书文件或USB智能卡认证方式，则CA系统自动为平台用户签发数字证书，并与用户的统一帐户对应。 （3）注册的用户可以由管理员进行分组，并根据分组设定相应的业务系统访问权限。 2.2.2 业务系统的配置 接受统一认证的业务系统必须完成以下工作： （1）安装业务系统访问前置并配置证书和私钥，用以建立客户端与业务系统之间的SSL 加密通道，并接收处理平台提供的加密签名的用户认证信息； （2）提供关联（mapping）接口和访问验证接口，并在平台进行配置。关联信息主要是平台统一帐户与业务系统用户信息（可能包括业务系统的用户名和密码）的对应关系。

统一身份认证平台

统一身份认证平台设计方案 1）系统总体设计 为了加强对业务系统和办公室系统的安全控管，提高信息化安全管理水平，我们设计了基于PKI/CA技术为基础架构的统一身份认证服务平台。 1.1.设计思想 为实现构建针对人员帐户管理层面和应用层面的、全面完善的安全管控需要，我们将按照如下设计思想为设计并实施统一身份认证服务平台解决方案： 内部建设基于PKI/CA技术为基础架构的统一身份认证服务平台，通过集中证书管理、集中账户管理、集中授权管理、集中认证管理和集中审计管理等应用模块实现所提出的员工帐户统一、系统资源整合、应用数据共享和全面集中管控的核心目标。 提供现有统一门户系统，通过集成单点登录模块和调用统一身份认证平台服务，实现针对不同的用户登录，可以展示不同的内容。可以根据用户的关注点不同来为用户提供定制桌面的功能。 建立统一身份认证服务平台，通过使用唯一身份标识的数字证书即可登录所有应用系统，具有良好的扩展性和可集成性。 提供基于LDAP目录服务的统一账户管理平台，通过LDAP中主、从账户的映射关系，进行应用系统级的访问控制和用户生命周期维护

管理功能。 用户证书保存在USB KEY中，保证证书和私钥的安全，并满足移动办公的安全需求。 1.2.平台介绍 以PKI/CA技术为核心，结合国内外先进的产品架构设计，实现集中的用户管理、证书管理、认证管理、授权管理和审计等功能，为多业务系统提供用户身份、系统资源、权限策略、审计日志等统一、安全、有效的配置和服务。 如图所示，统一信任管理平台各组件之间是松耦合关系，相互支撑又相互独立，具体功能如下： a)集中用户管理系统：完成各系统的用户信息整合，实现用户生 命周期的集中统一管理，并建立与各应用系统的同步机制，简 化用户及其账号的管理复杂度，降低系统管理的安全风险。

统一用户管理系统

1.详细需求 1.1业务需求 统一用户管理平台是一个高性能、易管控的用户和权限数据集成平台，能够统一管理企业中各个信息系统的组织信息和用户信息，能够实现单点登录，简化用户的登录过程，同时提供集中便捷的身份管理、资源管理、安全认证和审计管理，能够实现各个系统的独立的权限注册，配置不同的业务域，独立的业务组织体系模型，并且对于不同权限级别的用户和管理员都有不同的系统功能和数据访问范畴，以满足用户对信息系统使用的方便性和安全管理的要求，最终实现异构系统的有机整合。在系统集成的过程中，借助其强大的系统管控能力，在实施过程中进行权限人员数据的规范化、数据同步自动化、系统访问可控化、权限管理统一化和监控审计可视化。 1.2系统功能需求 1.2.1统一用户管理 建立一套集中的用户信息库，利用同步接口提供的功能，把所有的系统用户进行统一存放，系统管理员在一个平台上统一管理用户在各个系统中的账号和密码。形成一套全局用户库，统一管理，作为企业内所有IT应用的用户源。在人员离职、岗位变动时，只需在管理中心一处更改，即可限制其访问权限，消除对后台系统非法访问的威胁。方便了用户管理，也防止过期的用户身份信息未及时删除带来的安全风险。系统支持分级授权。 1.2.2用户身份认证 遵循W3C的业界标准，在单点登录系统的基础上，实现基于域管理的身份认证服务构件，自主开发的系统能够使用该服务进行认证，同时提供多种认证方式，能实现双因素认证。采用LDAP（轻量目录访问协议，一个开放的目录服务标准）来建构统一用户信息数据库。LDAP已成为未来身份认证和身份管理的标准，具有很好的互操作性和兼容性，基于LDAP可以搭建一个统一身份认证和管理框架，并提供开发接口给各应用系统，为应用系统的后续开发提供了统一身份认证平台和标准。实现多种身份认证方式，支持LDAP、JDBC、WebService、Radius、Openid等多种身份认证方式。

用友U8身份认证解决方案(9)

身份认证解决方案 目前在U8中用户的身份认证支持四种模式：用户+口令(静态密码),动态密码、CA认证和域身份认证，同一时间，一个用户只能使用一种认证方式，但是不同用户可以根据权限，重要程度交叉使用不同的认证方式。 1.设置认证方式 在系统管理模块中增加操作员的时候设置认证方式，默认支持用户+口令，用户可以更改以便于支持其余三种模式。

图一 2.合作伙伴支持的身份认证在U8系统中的使用 2.1易安全动态密码 1.在U8的应用服务器上，安装“易安全动态密码系统”，根据《U8_动态密码安装配置手 册（深圳海月）》进行相关配置。 2.在系统管理里设置认证方式为“动态密码”，如图一所示，默认支持的是静态口令。 3.配置完成后，在客户端登录产品，密码输入框必须输入由设备动态产生的密码才可，如 图二所示： 图二 备注： 两个系统要求用户编码共用，即不论采用哪种认证方式，用户名必须是通过U8的系统管理产生的，易安全动态密码系统支持批量导入U8用户，权限控制必须在系统管理中完成，如果使用动态密码认证，在系统管理增加用户时，可以不考虑密码信息，同时关于密码的安全策略将不起作用。 详细介绍见《U8动态密码解决方案（深圳海月）》 2.2BJCA的证书使用 BJCA支持两种PKI/CA建设模式：企业自建CA和托管CA。 企业自建CA就是企业自己创建和维护根证书，自行颁发证书。用户身份只需要企业内部审查即可，用户唯一标识为自定义名称，比如test、demo等。

托管CA是企业到BJCA申请证书，BJCA使用Public Trust CA体系为其颁发证书，用户的身份要经过BJCA严格审查，默认唯一标识为身份证号码或企业组织机构代码。 具体使用步骤： 1.通过企业自建CA中心或者托管CA中心申请合法的数字证书。 2.在U8的客户端安装BJCA的客户端证书管理工具，请参阅《U8_CA安装配置手册（BJCA）》进行相关配置。 3.在U8的服务器端安装BJCA的服务器端证书管理工具。在安装BJCA服务器端组件时务必填写正确企业系统名称，名称必须是字母或数字，不能含中文。如图三所示： 图三 4.配置完成后，在客户端登录产品，密码输入框输入的是在U8系统设置的用户密码， 点击确定后，验证U8密码正确后，再次弹出证书PIN码的输入框，如图四所示： 图四 输入PIN码，确定后，系统自动验证证书的合法性。 备注： 目前U8系统中的CA认证采用的是传统的用户名（密码）+证书的双重认证，使用CA密码认证同时也要保证系统管理里设置的U8密码也必须正确，安全策略中的密码策略只对U8密码起作用，修改密码也仅修改U8自身的密码。 用户在托管CA申请证书时，必须正确提交企业系统名称。 详细介绍见《U8安全解决方案（BJCA）》 2.3天威诚信的证书使用 天威诚信也支持两种PKI/CA建设模式：第三方托管CA服务和自建型CA系统。 第三方托管CA服务，是指客户通过天威诚信认证中心的现有的CA认证系统直接获取数字证书，用户在本地只要建设少量的CA模块，就可以实现CA认证的功能。 自建型CA系统是指客户购买天威诚信开发的PKI/CA软件，建设一个独立的PKI/CA 系统，除了购买系统软件之外，还包括系统、通信、数据库以及物理安全、网络安全配置、

统一身份认证与单点登录系统建设方案

福建省公安公众服务平台 统一身份认证及单点登录系统建设方案 福建公安公众服务平台建设是我省公安机关“三大战役”社会管理创新的重点项目之一；目前平台目前已经涵盖了公安厅公安门户网 站及网站群、涵盖了5+N服务大厅、政民互动等子系统；按照规划，平台还必须进一步拓展便民服务大厅增加服务项目，电子监察、微博监管等系统功能，实现集信息公开、网上办事、互动交流、监督评议 功能为一体的全省公安机关新型公众服务平台。平台涵盖的子系统众多，如每个子系统都用自己的身份认证模块，将给用户带来极大的不便；为了使平台更加方便易用，解决各子系统彼此孤立的问题，平台 必须增加统一身份认证、统一权限管理及单点登录功能。 一、建设目标 通过系统的建设解决平台用户在访问各子系统时账户、密码不统一的问题，为用户提供平台的统一入口及功能菜单；使平台更加简便易用，实现“一处登录、全网漫游”。同时，加强平台的用户资料、授权控制、安全审计方面的管理，确保用户实名注册使用，避免给群 众带来安全风险；实现平台各子系统之间资源共享、业务协同、互联 互通、上下联动；达到全省公安机关在线服务集成化、专业化的目标。 二、规划建议 统一身份认证及单点登录系统是福建公安公众服务平台的核心 基础系统；它将统一平台的以下服务功能：统一用户管理、统一身份 认证、统一授权、统一注册、统一登录、统一安全审计等功能。系统 将通过标准接口（WebService接口或客户端jar包或dll动态链接库）向各子系统提供上述各类服务；各业务子系统只要参照说明文档，做适当集成改造，即可与系统对接，实现统一身份认证及单点登录， 实现用户资源的共享，简化用户的操作。

统一用户及权限管理

文件编号： 统一用户及权限管理平台 解决方案及设计报告 版本号0.9

拟制人王应喜日期2006年6月审核人__________ 日期___________ 批准人__________ 日期___________

目录 第一章引言 (1) 1.1编写目的 (1) 1.2背景 (1) 1.3定义 (1) 1.4参考资料 (1) 第二章统一权限管理解决方案 (2) 2.1需求分析 (2) 2.2系统架构 (3) 2.3系统技术路线 (7) 第三章统一用户及授权管理系统设计 (7) 3.1组织机构管理 (8) 3.2用户管理.......................................................................................................... 错误！未定义书签。 3.3应用系统管理、应用系统权限配置管理 (9) 3.4角色管理 (8) 3.5角色权限分配 (9) 3.6用户权限(角色)分配 (9) 3.7用户登录日志管理功 (9) 第四章对外接口设计 (10) 4.1概述 (10) 4.2接口详细描述 (10) 4.2.1获取用户完整信息 (14) 4.2.2获取用户拥有的功能模块的完整信息 (15) 4.2.3获取用户拥有的一级功能模块 (16) 4.2.4获取用户拥有的某一一级功能模块下的所有子功能模块 (17) 4.2.5获取用户拥有的某一末级功能模块的操作列表 (19) 4.2.6判断用户是否拥有的某一末级功能模块的某一操作权限 (20) 4.2.7获取某一功能模块的ACL—尚需进一步研究 (21)

统一身份认证系统建设方案

统一身份认证系统建设方案 发布日期：2008-04-01 1.1 研发背景 随着信息技术的不断发展，企业已逐渐建立起多应用、多服务的IT 架构，在信息化建设中起到十分重要的作用。但是各信息系统面向不同管理方向，各有其对应的用户群体、技术架构、权限体系，限制了系统之间的信息共享和信息交换，形成的信息孤岛。同时，每一个信息系统的用户拥有不同的角色（职能），需要操作不同的系统，难以对其需要和拥有的信息和操作进行综合处理，限制信息系统效率的发挥。在这种背景下企业准备实施内网信息门户系统。其中统一身份管理系统是内网信息门户系统的一个重要组成部分。 统一身份管理将分散的用户和权限资源进行统一、集中的管理，统一身份管理的建设将帮助实现内网信息门户用户身份的统一认证和单点登录，改变原有各业务系统中的分散式身份认证及授权管理，实现对用户的集中认证和授权管理，简化用户访问内部各系统的过程，使得用户只需要通过一次身份认证过程就可以访问具有相应权限的所有资源。 1.2 组成架构 汇信科技与SUN公司建立了紧密合作关系，汇信科技推出的统一身份认证解决方案基于SUN公司的Sun Java System Identity Manager和Sun Java System Access Manager以及Sun Java System Directory Server实现。主要包括受控层、统一访问控制系统（统一认证服务器）、统一身份管理系统（统一身份管理服务器）、目录服务器。 受控层位于各应用服务器前端，负责策略的判定和执行，提供AGENT和API两种部署方式。 统一认证服务器安装统一身份认证系统（AM），主要提供身份认证服务和访问控制服务。 统一认证服务器安装统一身份管理系统（IM），主要实现身份配给、流程自动化、委任管理、密码同步和密码重置的自助服务。 目录服务器部署Sun Java System Directory Server,是整个系统的身份信息数据中心。 1.1 功能描述 1.1.1 实现“一次鉴权”（SSO） “一次鉴权（认证和授权）”是指建立统一的资源访问控制体系。用户采用不同的访问手段（如Intranet、PSTN、GPRS等）通过门户系统

银行门禁人脸识别身份认证方案

银行门禁系统解决方案

目录 1. 银行安全系统需求分析 ----------------------------------- 3 2．系统设计原则 -------------------------------------------- 4 3．方案设计------------------------------------------------- 6 4.身份认证流程图-------------------------------------------- 6 5.系统架构图 ------------------------------------------------ 7 6.产品介绍 -------------------------------------------------- 8 7.配置清单 ------------------------------------------------- 15 8.公司简介 -------------------------------- 错误!未定义书签。 9.售后服务条款--------------------------------------------- 16

1. 银行安全系统需求分析 随着改革开放的深入，给国民经济带来了空前的繁荣和发展，使得包含银行等金融单位的综合性建筑越来越多地出现。如何搞好银行的保安系统设计，也随之成为设计领域一个非常重要的内容。这一系统的好与坏，是直接关系到国家的金融和人民财产的安全及金融工作人员生命安全的大事。因此也越来越受到各方面人士的重视。 银行的保安工作是一个系统工程，有人员的因素，也有科技的作用。近几年来，伴随着现代科学技术的发展，一些先进的现代技术和手段在防盗保安领域中得到广泛应用，更在银行保安工作中发挥了巨大的作用。 银行的门禁系统在银行整个安防系统中占了最主要的地位。先进的计算机网络技术、通讯技术、微电脑控制技术、智能IC卡识别技术生物特征识别技术等的应用，使到门禁系统技术迅速的发展并完善起来，加上智能IC卡、生物特征的唯一性、高防伪性，智能门禁系统的安全保密性已经达到了很高的水平，其功能极其丰富齐全，被广泛应用于类似银行等金融机构的安全防范系统中。 门禁技术在银行安全防范系统的应用中主要表现为：银行营业厅的通道门互锁门禁系统、银行营业厅大门、金库门门禁系统等。 其系统功能特点为可中心监控、本地N+1确认（指纹、人脸随意组合）开门”、本地确认远程开门、语音提示、遭遇胁迫时开门同时报警等等功能。

统一身份认证权限管理系统方案

统一身份认证权限管理系统 使用说明

目录 第1章统一身份认证权限管理系统 (3) 1.1 软件开发现状分析 (3) 1.2 功能定位、建设目标 (3) 1.3 系统优点 (4) 1.4 系统架构大局观 (4) 1.5物理结构图 (5) 1.6逻辑结构图 (5) 1.7 系统运行环境配置 (6) 第2章登录后台管理系统 (10) 2.1 请用"登录"不要"登陆" (10) 2.2 系统登录 (10) 第3章用户（账户）管理 (11) 3.1 申请用户（账户） (12) 3.2 用户（账户）审核 (14) 3.3 用户（账户）管理 (16) 3.4 分布式管理 (18) 第4章组织机构（部门）管理 (25) 4.1 大型业务系统 (26) 4.2 中小型业务系统 (27) 4.3 微型的业务系统 (28) 4.4 外部组织机构 (29) 第5章角色（用户组）管理 (30) 第6章职员（员工）管理 (34) 6.1 职员（员工）管理 (34) 6.2 职员（员工）的排序顺序 (34) 6.3 职员（员工）与用户（账户）的关系 (35) 6.4 职员（员工）导出数据 (36) 6.5 职员（员工）离职处理 (37) 第7章部通讯录 (39) 7.1 我的联系方式 (39) 7.2 部通讯录 (40) 第8章即时通讯 (41) 8.1 发送消息 (41) 8.2 即时通讯 (43) 第9章数据字典（选项）管理 (1) 9.1 数据字典（选项）管理 (1) 9.2 数据字典（选项）明细管理 (3) 第10章系统日志管理 (4) 10.1 用户（账户）访问情况 (5) 10.2 按用户（账户）查询 (5) 10.3 按模块（菜单）查询 (6) 10.4 按日期查询 (7) 第11章模块（菜单）管理 (1) 第12章操作权限项管理 (1) 第13章用户权限管理 (4) 第14章序号（流水号）管理 (5) 第15章系统异常情况记录 (7) 第16章修改密码 (1) 第17章重新登录 (1) 第18章退出系统 (3)

统一身份认证设计方案(最终版)

统一身份认证设计方案 日期：2016年2月

目录 1.1 系统总体设计 (5) 1.1.1 总体设计思想5 1.1.2 平台总体介绍6 1.1.3 平台总体逻辑结构7 1.1.4 平台总体部署8 1.2 平台功能说明 (8) 1.3 集中用户管理 (9) 1.3.1 管理服务对象10 1.3.2 用户身份信息设计11 1.3. 2.1 用户类型11 1.3. 2.2 身份信息模型11 1.3. 2.3 身份信息的存储12 1.3.3 用户生命周期管理12 1.3.4 用户身份信息的维护13 1.4 集中证书管理 (14) 1.4.1 集中证书管理功能特点14 1.5 集中授权管理 (16) 1.5.1 集中授权应用背景16 1.5.2 集中授权管理对象17 1.5.3 集中授权的工作原理18 1.5.4 集中授权模式19 1.5.5 细粒度授权19 1.5.6 角色的继承20 1.6 集中认证管理 (21) 1.6.1 集中认证管理特点22 1.6.2 身份认证方式22 1.6. 2.1 用户名/口令认证23 1.6. 2.2 数字证书认证23 1.6. 2.3 Windows域认证24 1.6. 2.4 通行码认证24 1.6. 2.5 认证方式与安全等级24 1.6.3 身份认证相关协议25 1.6.3.1 SSL协议25 1.6.3.2 Windows 域25 1.6.3.3 SAML协议26 1.6.4 集中认证系统主要功能28 1.6.5 单点登录29

1.6.5.1 单点登录技术29 1.6.5.2 单点登录实现流程31 1.7 集中审计管理 (35)

智慧校园建设方案!高校统一身份认证解决方案

智慧校园建设方案！高校统一身份认证解决方案

1.项目背景 所谓身份认证，就是判断一个用户是否为合法用户的处理过程。而统一身份认证是针对同一网络不同应用系统而言，采用统一的用户电子身份判断用户的合法性。 数字化校园网络中各个应用系统完成的服务功能各不相同，有些应用系统具有较高的独立性，如财务系统，有些应用系统需要协同合作完成某个特定任务，如教学系统、教务系统等。由于这些应用系统彼此之间是松耦合的，各应用系统的建立没有遵循统一的数据标准，数据格式也各不相同，系统间无法实现有效的数据共享，于是便形成了网络环境下的信息孤岛。对于需要使用多个不同应用系统的用户来说，如果各系统各自存储管理一份不同的身份认证方式，用户就需要记忆多个不同的密码和身份，并且用户在进入不同的应用系统时需要进行多次登录。这不仅给用户也给系统管理带来了极大地不便。 随着现在信息技术的发展，校园网络提供的信息服务质量的提升，对信息安全性的要求也越来越高。同时对用户的身份认证、权限管理的要求相应地提高。原来各个应用系统各自为政的身份认证的方式难以达到这个要求。这就必须要有一个统一的、高安全性和高可靠性的身份认证及权限管理系统。该系统可以完成对整个校园网用户的身份和权限管理，保证各应用系统基于统一的模式、集中的环境开发与升级，一方面降低了系统整体运行的维护成本，另一方面保证了整个校园系统能够随着平台的升级而同步升级，方便使用和管理，也保证了整个系统的先进性与安全性。 有了统一身份认证系统，管理员就可以在整个网络内实现单点管理、用户可以实现一次登录、全网通行，各种管理应用系统可以通过统一的接口接入信息平台。对用户的统一管理，一方面用在访问各个成员站点时无需多次注册登录，既给用户的使用带来方便，也为成员站点节约资源，避免各个成员站点分散管理统一用户带来的数据冗余。另一方面也给新的成员站点(新的应用系统)的开发提供方便。 2.参数要点说明 浏览器单次会话当中，通过一次登录就可以访问互相信任的系统。