安保平台培训(共54张)

1、安保平台培训二O一O年十二月三日民生银行银行系统再造项目培训大纲培训目标管理内容及分行岗位职责流程安保平台机制简介下分行具体工作操作培训及操作常见问题描述和解决方案本次信息收集汇总及技术验证培训目标培训目标培训目标了解安保平台的岗位职责了解安保平台的管理流程了解安保平台运行的基本机制明确下分行的相关工作掌握安保平台的基本操作具备基本的错误排查知识,尽快定位问题掌握下分行技术验证的方法管理内容与分行岗位职责流程管理内容与分行岗位职责流程分行岗位设置的管理目标 指定专人负责科技条线的工作职责，严格执行技术控制措施，避免科技风险； 负责所有安全（涉及密码）相关设备建档管理，统计设备的库存量、使用者、

2、使用状态、报修、报失、报废等情况，上报总行设备操作岗； 对所辖设备进行定期检查，纠正违规使用，上报分行领导和总行设备操作岗；尤其是可移动设备（如POS，EPOS等）； 负责分行及所辖支行的设备注册、维护和日常问题解决等,负责分行的证书管理。分行岗位设置岗位名称岗位名称职责职责分行安保系统管理岗负责履行总行的系统管理岗下达的分行安保系统管理维护工作；负责指派所辖支行的设备维护岗人员；负责对所辖支行的设备维护岗人员进行管理和信息维护。分行安保系统审核岗负责履行总行的系统管理岗下达的分行安保系统管理维护工作；负责审核分行系统管理员所做的录入和操作活动。分/支行安全设备维护岗负责各自分支行的加密模块、

3、PinPad、U-KEY、指纹仪以及POS/EPOS设备的注册和密钥证书下载；对各自分行所使用设备进行统计管理和信息维护；解决各分支行设备相关技术问题。分/支行用户管理岗负责履行总行用户管理岗下达的用户管理维护工作；分行用户管理岗负责指派支行用户管理岗和审核岗人员；负责按照申请设置（变更）用户及其可操作应用、机构、角色、身份鉴别方式（指纹录入、U-KEY发放、口令发放）等；对值班的时间、岗位进行设置和管理；对委托授权的岗位进行设置；对所设置和维护的用户信息进行维护管理。分/支行用户审核岗负责履行总行用户管理岗下达的用户管理维护工作；负责审核用户及其可操作应用、机构、角色、身份鉴别方式等；负责审

4、核值班设置；负责审核委托授权设置。分行岗位/角色设置示意图分行设备管理员管理流程分行科技统一向总行发出设备管理员申请（申请表）必须要有业务部门和科技部门的签字盖章把签字后的表格传真请包括新增,修改,删除同时,发送excel表格给总行相关人员分行Ukey申请管理流程分行科技统一向总行申请领用(申请表),申请时按柜员数的20%申请申请时按柜员数的20%申请必须要有业务部门和科技部门的签字盖章把签字后的表格传真行发放以传真为依据分行科技统一管理本分行所有UKey(管理流程,管理表格),做好领用登记工作柜员指纹不可用证书管理(分行制卡和保险公司)

5、分行证书管理流程分行科技统一进行证书注册发放，并做好登记工作业务部门提出证书申请（业务部门要有相关流程）必须要有业务部门的签字盖章科技部门主管批准科技部通过安保制作证书并发放登记发放情况安保平台机制简介安保平台机制简介安保平台机制简介渠道/通道系统安全保护机制POS/EPOS安全保护机制证书文件加密机制统一用户权限管理机制应用系统安全机制-边界防护渠道设备和密钥统一管理：注册、密钥管理;渠道密钥统一管理：生成、更新;通道密钥统一管理：生成、更新;行外密钥统一管理：导入或发放;四个统一：渠道系统安全机制渠道系统渠道系统安全设备安全设备功能功能安全机制安全机制柜面系统柜面系统HSM硬件模块柜面终端

6、合法性认证、交易完整性保护一机一密、CPK标识密钥PINPADPIN保护一机一密UKEY柜员身份认证一机一密、CPK标识密钥FP指纹柜员身份认证生物特征网上银行网上银行UKEY用户身份认证、交易签名、交易加密PKI/CA数字证书密码控件交易密码保护1）防木马技术；2）端到端加密；3）交易完整性保护；动态令牌动态口令动态口令自助查询机自助查询机EPPPIN保护一机一密动态令牌动态口令动态口令ATMEPPPIN保护一机一密动态令牌动态口令动态口令POS/EPOSPINPADPIN保护一机一密电话银行电话银行动态令牌动态口令动态口令手机银行手机银行.*备注：红色表示尚未完成柜面安全保护机制lHSM硬

7、件模块：对终端设备的合法性认证、XBANK交易数据完整性保护；lPINPAD：PIN密码保护；lUKEY:柜员身份认证；lFP指纹仪：柜员身份认证，对公客户指纹识别；POS/EPOS安全机制POS密钥管理机制说明：1：分行POS管理员通过安保管理平台注册设备2：移动POS到POSP签到时通过POSP更新工作密钥“本代他”交易安全保护机制：1、POSP商户刷卡；完成PIN加密，交易MAC校验保护；2、提交到POSP;3、MAC校验，交易完整性校验；4、转到行内金卡系统；5、PIN转密（从POSP渠道加密转成银联通道密钥加密）6、发送到银联；制卡文件加密机制制卡文件加密应用场景场景编号场景编号安全

8、应用场景安全应用场景安全应用场景描述安全应用场景描述备注备注1安全管理1.如图所示，制卡管理员登陆安保管理平台安全设备及密钥管理模块，为制卡模块生成文件加解密CPK私钥（标识为301001），并下载私钥文件，分发给制卡模块2. 制卡管理员登陆安保管理平台安全设备及密钥管理模块，为制卡商制作U-EKY证书，并把U-KEY分发给卡商。3. 如果在分行制卡，则制卡管理员登陆安保管理平台用户与权限管理模块，为分行制卡操作人员制作U-KEY证书（如果该制卡操作人员已有用于登录如果该制卡操作人员已有用于登录XBANK2.0XBANK2.0的的U-KEYU-KEY证证书，则不需要此步骤，因为书，则不需要此步

9、骤，因为U-KEYU-KEY既具有登陆既具有登陆XBANK2.0XBANK2.0功功能，又具有文件加解密功能能，又具有文件加解密功能）2制卡文件加解密如图所示，1.制卡模块从EUSP或CDM获取制卡参数文件。2.制卡模块调用批量CVV服务生成卡磁道数据3.制卡模块本地调用安保服务端文件加密包签名并加密制卡文件，得到制卡文件密文。（制卡模块具有卡商及分行制卡模块具有卡商及分行U-KEYU-KEY用户标识信息管理功能，加密文件时使用预先设置用户标识信息管理功能，加密文件时使用预先设置的卡商或分行的卡商或分行U-KEYU-KEY用户证书标识用户证书标识）4.制卡模块把制卡文件密文推送下发给卡商、分行

10、。5.制卡商或分行使用安保客户端文件加密工具和U-KEY解密制卡文件，得到制卡文件明文。6.制卡商或分行使用制卡数据制卡。保险公司文件加密机制保险公司文件加密应用场景场景场景编号编号安全应用安全应用场景场景安全应用场景描述安全应用场景描述备注备注1安全管理1.如图所示，管理员登陆安保管理平台安全设备及密钥管理模块，为BPM生成文件加解密CPK私钥（标识为805000），并下载私钥文件，分发给BPM。2. 管理员登陆安保管理平台安全设备及密钥管理模块，为保险公司制作U-EKY证书，并把U-KEY分发给保险公司。2文件加解密如图所示，1.保险公司使用安保客户端工具及U-KEY签名并加密文件。2.保

11、险公司把文件密文以EMAIL或FTP等方式传送给民生文件操作员。3.文件操作员上传文件密文到BPM。4.BPM调用安保文件加密包解密并验签文件，得到文件明文。5.BPM把文件明文上传FTP服务器，并通知银保通，银保通获取文件明文。6.银保通处理文件，并返回回执文件明文给BPM。7.文件操作员登录BPM，选择保险分公司标识，下载回执文件。8.BPM调用安保文件加密包签名并加密文件，得到文件密文，文件操作员下载得到文件密文。9.文件操作员把回执文件密文返回给保险公司。10.保险公司使用安保客户端文件加密工具及U-KEY解密并验签文件，得到文件明文。新核心应用系统用户权限管理机制SAP ECCSAP

12、 BPPSAP BI中央用户管理( CUA)LDAPLDAP 用户主数据组织架构SAP ECC 角色SAP BPP 角色SAP BI 角色发布组织架构发布ECC用户主数据发布组织架构发布用户和角色到组织架构的职位发布BI角色到用户安保平台发布用户和角色到组织架构的职位发布BI用户主数据发布BPP用户主数据授予用户的角色，和组织架构一致授予用户的角色，和组织架构一致赋予用户的角色授予角色和用户到组织架构的职位赋予角色到用户授予用户的角色授予用户的角色发布BPP到角色到用户发布ECC角色到用户应用分类与用户分类 应用分类与用户分类 SAP应用，用户通过portal登录，该类应用的用户定义为域用户

13、非SAP应用，用户不通过portal登录，该类应用的用户定义为非域用户 应用系统岗位角色数据应用系统岗位角色数据应用系统名称系统编码应用系统分类岗位角色数据应用系统功能描述安保平台85001非SAP应用柜员前台系统301非SAP应用 权限与角色v1.0.13.rar身份核查852非SAP应用 852_身份核查_auth_20091020.xls联网公安部核实客户身份信息信贷管理平台709非SAP应用 709_信贷管理系统角色20100915.xls需要进行表外业务，个人委托贷款、对公委托贷款相关业务，授权用户配置全国支票影像模块804非SAP应用804 集中提回角色(带角色编码)_201010

14、29.xls支票影像和集中提回MDS 主数据存储系统761非SAP应用 761_主存储系统_auth_20091020.xlsMDS 主数据存储后台运营处理系统805SAP CUA805_BPM_岗位类别_20101111.xls反洗钱系统854SAP CUA854_反洗钱_岗位类别_20101029.xls报送人民银行大额可疑交易案例SAP LM 系统702SAP CUA702_LM_岗位类别_20100913.xlsLOS创建合同到LM系统，在SAP LM系统进行个人贷款或对公贷款的合同查询变更、放款、还款、冲销、报表等的审批录入复核。押品管理CMS系统606SAP CUA606_CMS_

15、岗位类别_20101013.xlsLOS创建创建贷款合同的时候创建抵质押物，在系统进行个人贷款抵质押物查询，追加变更抵质押物，涉及个人贷款抵质押业务相关的用户配置在该系统进行，对公的用户配置在风控配置CE金融报表平台856SAP CUA856_FRP_岗位类别_20101111.xls报送所有监管部门的报表，包括银监会，人民银行，外管局，公积金中心CE贷款UI系统610SAP CUA610_CE_岗位类别_20100922.xlsCE贷款UI系统包括信贷管理平台、额度管理、资金监管的前台操作界面。PRP产品报表平台859SAP CUA859_PRP_岗位类别_20100913.xls新核心各模

16、块报表，包括11个模块柜面业务清单查询平台858SAP CUA858_BQP_岗位类别_20100913.xls目前只提供PE的业务交易查询，提供交易明细查询BW存款数据分析平台857SAP CUA857_BW存款_岗位类别_20101201.xlsx存款报表查询BWFDM报表平台860SAP CUA860_FDM报表平台（BO）_岗位类别_20101201.xls平衡表BW贷款数据分析平台861SAP CUA861_贷款数据_岗位类别_20101201.xls对公对私贷款BW总帐数据分析平台862SAP CUA862_总帐数据_岗位类别_20101201.xls押品报表查询SAP GL 总帐

17、760SAP CUA本节概览 安保环境介绍 生产环境(已投产环境) 下分行环境 已投产环境及已完成工作介绍 下分行环境介绍 下分行相关任务安保已投产功能安保已投产功能投产情况：分行管理员：设备管理员、用户管理员；POS/EPOS设备注册，应用支撑；柜面设备注册(HSM、PINPAD、指纹仪)安全设备注册情况分行设备注册情况分行设备注册情况机构名称机构名称加密加密模块模块密码密码键盘键盘指纹指纹仪仪UkeyUkeyPOSPOSEPOSEPOS机构名称机构名称加密加密模块模块密码密码键盘键盘指纹仪指纹仪 UkeyUkeyPOSPOS EPOSEPOS长春分行 191116200大连分行149751

18、18200长沙分行 563453301518成都分行16586145200杭州分行 178 125145200济南分肥分行 15714200武汉分行301142224200南昌分行 34243010150青岛分行946783500宁波分行 826579200福州分行12480112340汕头分行 553043200天津分行169116104400石家庄分行168 136167320西安分行166125126131733苏州分行 10774101200泉州分行794873100太原分行 172 111133400温州分行623453200厦门分行 824871400深圳

19、分行308183235800郑州分行 272262021昆明分行995391343471重庆分行 187 12215220294运营华北处理中心72059000北京管理部585 3204642170运营华东处理中心3388000南京分行 215 130200200运营华南处理中心801850000上海分行 827 2693736190运营帐务中心700000广州分行 283 152216500洛阳分行14811030设备注册统计表设备注册统计表设备类型设备类型总计总计加密模块5182密码键盘2748指纹仪3896Ukey81POS407EPOS2511安保下分行工作对私下分行验证对公下分行验证

20、老业务系统及相关资源（EUSP/人力）安保基础数据（角色/权限）生产系统（安保）1234567导入导入迁入数据补录/验证设备注册用户注册、权限分配对私/对公环境合并-数据迁移 数据迁移（全面投产日）迁移数据（下分行验证）：机构数据用户与权限数据敏感数据： PVV、印鉴、支付密码等 设备注册用户注册、权限分配0任务列表任务分类任务分类任务名称任务名称具体内容具体内容相关表格流程相关表格流程特别说明项特别说明项基础数据基础数据8位柜员号与十位员工号的关系补录8位柜员号与十位员工号映射通过9392进行补录人员数据补录新增人员补录临时人员补录行内员工用十位员工号从8位柜员号映射的临时人员用9+0+8位

21、柜员其他临时人员，9+(机构号)+顺序号机构数据补录确认各个分行相关的属性需要补录确认机构数据表规则V1.3_20100924.xls机构信息机构信息新增机构申请或者机构属性修改新开机构的申请及机构属性修改中国民生银行新核心系统机构信息管理办法（试行）用户数据用户数据安保用户申请 分行安保管理员/审核员分支行设备管理员分行用户管理员/审核员用户申请表.xls管理员和审核员不能由同一个人担任指纹采集柜员指纹采集用户管理操作手册如指纹不可用,可以用Ukey作为替代进行身份识别，分行科技对Ukey进行统一发放用户权限分配柜员前台系统用户角色分配后台运营用户角色分配SAP LM用户角色分配其他应用系统

22、用户管理操作手册任务列表任务分类任务分类任务名称任务名称具体内容具体内容相关表格流程相关表格流程特别说明项特别说明项设备注册设备注册设备注册加密模块,密码键盘指纹仪,UkeyPOS,EPOS设备注册操作手册下分行后设备重新注册设备重新注册需要下分行结束后再重新注册（生产密钥）分行Ukey领用根据本行柜员数量的20%申请Ukey分行Ukey申请表分行Ukey管理流程证书发放证书发放分行证书发放保险公司分行制卡总行制卡分行证书申请表操作培训及操作常见问题描述和解决方案操作培训及操作常见问题描述和解决方案设备注册注意点说明目前各个分行已在安保的生产环境进行了设备注册，如果在下分行的过程中，需要用到已

23、在生产上注册的设备，那么需要在下分行环境注册，等到下分行结束后要重新回生产注册。 环境切换注意事项:SetIP工具，确保密钥更新下载连接到正确的环境。设备注册前提: 1. 需要驱动的设备,其驱动程序已安装2. 相关设备控件已安装3. 通过了设备检测工具的检测设备注册 加密模块 指纹仪 密码键盘 Ukey POS EPOS密钥下发 加密模块 密码键盘 POS EPOS设备注册问题排查的基本思路 首先检查硬件设备是否正确连接 检测控件是否已安装 密钥更新失败时,要检查是否正确连接到安保环境 设备注册常见问题及解决方案使用场景使用场景错误提示错误提示原因及解决办法原因及解决办法问题排查人员问题排查人

24、员加密模块管加密模块管理理连接加密模块失败,错误原因：没有USB设备加密模块未连接，检查加密模块状态是否正常设备管理员点初始化时提示：该设备已注册，状态为使用，是否要重新初始化该模块已注册过，如果需要重新注册点确定，不用重新注册则点取消设备管理员终端已安装安全模块，但硬件设备管理器未找到安全模块设备安全模块电源接头被电源插头顶偏，电源插头无法正常接入，或安全模块已损坏,解决方法:更换安全模块点注册时提示“未找到该设备信息（该设备未在该系统中注册），请重新初始化后再进行注册”该模块还未进行初始化，要先初始化后才能注册设备管理员为模块指定GUID注册时提示“产生CPK公私钥失败，原因：CPK证书，

25、不能申请！申请ID:*,KMC返回错误代码：10” 指定的GUID已存在设备管理员点注册时提示“设备号*,该设备已注册，状态为使用”该模块已注册，如果要重新注册需先初始化设备管理员PinPadPinPad管理管理注册时提示“设备类型选择有误，或PinPad不在线或打开失败”PinPad未连或者连接的设备类型与所选择的不一致,先通过Xbank终端的调试工具设置成与连接的PinPad类型一致设备管理员读取设备号失败，原因：设备相关配置参数有误，请检查PinPad类型设置有误，请通过Xbank终端的调试设置工具修改设备类型设备管理员该设备已注册，状态为使用，是否要重新初始化该PinPad已注册过，如

26、果需要重新注册点确定，不用重新注册则点取消设备管理员个别PC在安保注册密码键盘时，系统提示“OopenPinpad失败，错误原因：建立与XFS管理器的连接失败”IE与WOSA/XFS服务通讯失败，有两个原因会导致这个错误，一是xbank的注册表参数错误；二是连接密码键盘的串口正在被占用或者通讯错误(比较常见的是第二个原因导致的错误，关闭IE，重新登陆安保注册即可；第一个原因导致的错误现象是每次必然失败，获得权限修改注册表的xbank参数即可)设备管理员注册时如果提示“原始保护密钥不存在，请先导入该设备类型的原始保护密钥”该类型设备还未导入保护密钥，需由总行设备管理员导入设备管理员打开PinPa

27、d失败，错误原因：PinPad初始化失败PinPad初始化失败，可能有其他程序占用PinPad设备管理员指纹仪管理指纹仪管理注册指纹仪时提示“未找到设备”选择的接口类型与设备的不一致，或者连接的是串口指纹仪时，选择的串口与实际连接的不一致设备管理员指纹仪设备序列号为：*，该设备已注册输入的序列号已存在设备管理员提示与指纹服务相关的信息后台指纹服务异常设备管理员调用服务写数据库失败，相同序列号*指纹仪已存在 该序列号在数据库中已存在设备管理员U-KEYU-KEY管理管理 设备号*，该设备已注册，状态为启用输入的序列号已存在设备管理员批量注册时，例如提示“注册成功,此次共注册6个. 失败1个.失败

28、原因:数据库中已存在”批量注册的序列号中有一个重复设备管理员批量注册时提示“保存数据异常”程序异常设备管理员非域用户配置 设置用户可操作应用并审核 设置用户所属机构/操作机构并审核 分配用户角色/并审核 预留用户鉴别信息 设置用户应用鉴别方式/并审核非域用户登录 登录前配置检查 Xbank2.0,检查加密模块是否注册,密码键盘是否 非域用户登陆域用户配置 设置用户为域用户并审核（同步） 设置用户可操作应用并审核 设置用户所属机构/操作机构并审核（同步） 分配用户角色/并审核（同步） 预留用户鉴别信息 设置用户应用鉴别方式/并审核域用户配置注意点 以下三个操作会进行异步同步，同步是在审核后发生，

29、等待时间每次约4分钟设置用户为域用户并审核（同步）设置用户所属机构/操作机构并审核（同步）分配用户角色/并审核（同步） 为减少同步等待时间，可以先设置后集中审核，但设置用户为域用户并审核必须要 先完成，之后是设置用户可操作应用并审核，其余四步可以先设置后集中审核域用户登录 登录前配置检查 AD域登录 Citrix登录用户配置问题排查的基本思路 首先逐项检查配置是否设置,或者根据常见问题针对性的进行配置项做检查 如果是SAP域用户,要确保同步成功后才能够登录 如果发现配置没有问题,及时把问题升级上报总行 预留用户鉴别信息常见问题使用场景使用场景错误提示错误提示原因及解决办法原因及解决办法问题排查

30、人员问题排查人员预留用户鉴别信息预留用户鉴别信息写KEY时提示“初始化失败：没有UKEY设备、多于一个或设备已损坏，请更换UKEY后再操作”没有连接UKEY或连接的UKEY多于一个，如果都不是则可能UKEY损坏用户管理员/设备管理员写KEY时提示“Ukey未注册”所使用的Ukey还未进行注册，需先由设备管理员进行注册设备管理员写KEY时提示“UKEY打开失败！原因：没有UKEY设备、多于一个或者没有初始化！是否需要初始化UKEY后再次操作”UKEY第一次使用还未进行初始化，点确定 后即可初始化并写证书用户管理员给用户写KEY时提示“UKEY已使用”该UKEY已写了证书且有效，要在设备管理中查看

31、该UKEY所绑定的用户，作废后再使用用户管理员/设备管理员给用户写KEY时提示“证书已存在，请注销后再使用”该UKEY已写了证书且有效，根据“UKEY内原有的内容”读出的ID号作废该用户证书后再使用用户管理员/设备管理员采集指纹时如果用的是USB设备提示“未找到设备”未连接设备或者注册时被注册为外部设备，检查是否连接指纹设备，如果已连接则类型是否正确用户管理员采集指纹时如果用的是串口设备提示“未找到设备”未连接设备或者选择的串口与实际连接的不一致，检查是否连接指纹设备且类型和端口是否正确用户管理员采集完指纹后提示“采集指纹失败，指纹来自未注册的设备”该指纹仪还未注册，需由设备管理员在安保平台中

32、进行注册用户管理员/设备管理员采集完指纹后提示“组合模板失败”采集过程中超时或者指纹未正确采集，需重新采集指纹用户管理员用户配置不当引起的登录问题使用场景使用场景错误提示错误提示原因及解决办法原因及解决办法问题排查人员问题排查人员登录取得用户信息失败该用户在系统中不存在，要先在安保平台中配置该柜员(需要新增人员)用户管理员登录时提示“没有找到用户登录安保系统的鉴别方式”没有为用户设置口令或已设置了口令但还没有设置应用鉴别方式用户管理员取得用户权限信息失败：没有为用户在该应用系统中定义权限没有为该用户分配角色用户管理员登录时提示“口令验证失败”输入的用户口令不正确用户管理员登录时提示“选择的登录

33、方式错误”用户登录的方式与系统中设置的不一致，如系统中只为用户设置了指纹的登录方式，但用户用户登录时用的是口令用户管理员用UKEY登录时提示“当前没有UKEY设备或者多于一个，请确保只插入一个UKEY设备”没有插入UKEY或者插入的UKEY多于一个，使用UKEY登录时机器上只能插一个UKEY设备，或者UKEY还未进行初始化操作，用户管理员/设备管理员用UKEY登录时提示“UKEY已锁定，请与管理员联系”已连续三次输入密码错误，UKEY被锁定，需由管理员解锁用户管理员用UKEY登录时提示“您的身份鉴别不成功”UKEY被冻结或作废用户管理员用UKEY登录时提示“用户登录失败，请检查密码是否正确”用

34、UKEY登录时输入的密码错误用户管理员用指纹登录时提示“未找到指纹设备”没有连接指纹仪或者如果是USB设备注册时被设为了外部设备，如果串口设备可能端口连接的不正确用户管理员/设备管理员用指纹登录时提示“使用指纹方式登录，指纹未采集、不正确或已冻结”用户还未采集指纹，或者输入的指纹不正确用户管理员其他原因导致的登录问题问题现象问题现象问题原因问题原因解决办法解决办法关键词关键词指纹登录XBANK2.0，系统提示“登录中，请稍等(1374)”,等待时间多于1374秒浏览器没有加载控件登录页面右上方有安装控件提示，鼠标右键点击并安装控件，再次登陆即可XBANK2.0登录登录XBANK2.0，系统提示“本地没有该