(完整版)统一身份认证设计方案(最后版)

千里之行，始于足下。第2页/共2页精品文档推荐(完整版)统一身份认证设计方案(最后版)统一身份认证设计方案

日期：20XX年2月

名目

1.1系统总体设计(5)

1.1.1总体设计思想5

1.1.2平台总体介绍6

1.1.3平台总体逻辑结构7

1.1.4平台总体部署81.2平台功能讲明(8)

1.3集中用户治理(9)

1.3.1治理服务对象10

1.3.2用户身份信息设计11

1.3.

2.1用户类型11

1.3.

2.2身份信息模型11

1.3.

2.3身份信息的存储12

1.3.3用户生命周期治理12

1.3.4用户身份信息的维护131.4集中证书治理(14)

1.4.1集中证书治理功能特点141.5集中授权治理(16)

1.5.1集中授权应用背景16

1.5.2集中授权治理对象17

1.5.3集中授权的工作原理18

1.5.4集中授权模式19

1.5.5细粒度授权19

1.5.6角群的继承201.6集中认证治理(21)

1.6.1集中认证治理特点22

1.6.2身份认证方式22

1.6.

2.1用户名/口令认证23

1.6.

2.2数字证书认证23

1.6.

2.3Windows域认证24

1.6.

2.4通行码认证24

1.6.

2.5认证方式与安全等级24

1.6.3身份认证相关协议25

1.6.3.1SSL协议25

1.6.3.2Windows域25

1.6.3.3SAML协议26

1.6.4集中认证系统要紧功能28

1.6.5单点登录29

1.6.5.1单点登录技术29

1.6.5.2单点登录实现流程311.7集中审计治理(35)

为了加强对业务系统和办公系统的安全管控，提高信息化安全治理水平，我们设计了基于PKI/CA技术为基础架构的统一身份认证服务平台。

1.1.1总体设计思想

为实现构建针对人员帐户治理层面和应用层面的、全面完善的安全管控需要，我们将按照如下设计思想为设计并实施统一身份认证服务平台解决方案：

在内部建设基于PKI/CA技术为基础架构的统一身份认证服务平台，经过集中证书治理、集中账户治理、集中授权治理、集中认证治理和集中审计治理等应用模块实现所提出的职员帐户统一、系统资源整合、应用数据共享和全面集中管控的核心目标。

提供现有统一门户系统，经过集成单点登录模块和调用统一身份认证平台服务，实现针对别同的用户登录，能够展示别同的内容。能够依照用户的关注点别同来为用户提供定制桌面的功能。

建立统一身份认证服务平台，经过使用唯一身份标识的数字证书即可登录所有应用系统，具有良好的扩展性和可集成性。

提供基于LDAP名目服务的统一账户治理平台，经过LDAP中主、从账户的映射关系，举行应用系统级的拜访操纵和用户生命周期维护治理功能。

用户证书保存在USBKEY中，保证证书和私钥的安全，并满脚挪移办公的安全需求。

以PKI/CA技术为核心，结合国内外先进的产品架构设计，实现集中的用户治理、证书治理、认证治理、授权治理和审计等功能，为多业务系统提供用户身份、系统资源、权限策略、审计日志等统一、安全、有效的配置和服务。

身份治理

单点登录

拜访操纵

责任界定

如图所示，统一信任治理平台各组件之间是松耦合关系，相互支撑又相互独立，具体功能如下：

集中用户治理系统：完成各系统的用户信息整合，实现用户生命周期的集中统一治理，并建立与各应用系统的同步机制，简化用户及其账号的治理复杂度，落低系统治理的安全风险。

集中证书治理系统：集成证书注册服务（RA）和电子密钥（USB-Key）治理功能，实现用户证书申请、审批、核发、更新、吊销等生命周期治理功能，支持第三方电子认证服务。

集中认证治理系统：实现多业务系统的统一认证，支持数字证书、动态口令、静态口令等多种认证方式；为企业提供单点登录服务，用户只需要登录一次就能够拜访所有相互信任的应用系统。

集中授权治理系统：依照企业安全策略，采纳基于角XXX的拜访操纵技术，实现支持多应用系统的集中、灵便的拜访操纵和授权治理功能，提高治理效率。

集中审计治理系统：提供全方位的用户治理、证书治理、认证治理和授权治理的审计信息，支持应用系统、用户登录、治理操作等审计治理。

1.1.3平台总体逻辑结构

总体逻辑结构图如下所示：

外

部

相

关

服务LDAPSever,Windows域服

务等统一信任治理平台服务系统（身份治理、单点登录、拜访操纵、责任界定）PKI基础服务、加解密服务、SAML协议统一信任治理平台业务系统

用户治理认证治理授权治理审计管

理邮件财务CRM

证书治理

如图所示，平台以PKI基础服务、加解密服务、SAML协议等国际成熟技术为基础，架构统一信任治理平台的治理系统，经过WEB过滤器、安全代理服务器等技术简单、快捷实现各应用系统集成，在保证系统安全性的前提下，更好的实现业务系统整合和内容整合。

1.1.4平台总体部署

集中部署方式：所有模块部署在同一台服务器上，为企业提供统一信任治理服务。

部署方式要紧是采纳专有定制硬件服务设备，将集中帐户治理、集中授权治理、集中认证治理和集中审计治理等功能服务模块统一部署和安装在该硬件设备当中，经过连接外部服务区域当中的从LDAP名目服务（现有AD名目服务）来完成对用户帐户的操作和治理。

1.2平台功能讲明

平台要紧提供集中用户治理、集中证书治理、集中认证治理、集中授权治理和集中审计等功能，总体功能模块如下图所示：集中证书注册服务治理电子密钥治理

证书生命周期治理

单点登录系统SSO集中用户

用户生命周期治理

用户分组治理

角群治理

身份源治理集中认证用户身份认证拜访策略治理拜访资源治理集中授权集中审计日志查询审计报表生成

业务审计应用系统授权用户授权治理角XXX授权治理组策略授权治理总体功能模块图

1.3集中用户治理

随着企业整体信息化的进展，大致都记忆了网络基础建设时期、应用系统建设时期，目前正面临着实现纳入到信息化环境中人员的统一治理和安全操纵时期。随着企业的网络基础建设的别断完善和应用系统建设的别断扩展，在信息化促进业务加速进展的并且，企业信息化规模也在迅速扩大以满脚业务的进展需要，更多的人员被融入信息化环境，由此突出反映的事件是不管是网络系统、业务系统、办公系统，其最后的主体将是企业内外的人员，每一为人员承担着使用、治理、授权、应用操作等角群。所以关于人员的可信身份的治理显得尤为重要，必将成为信息化进展的重中之重，惟独加强人员的可信身份治理，才干做到大门的安全防护，才干为企业的治理、业务进展构建可信的信息化环境，特殊是采纳数字证书认证和应用后，彻底能够做到全过程可信身份的治理，确保每个操作基本上可信得、可信赖的。

集中用户治理系统要紧是完成各系统的用户信息整合，实现用户生命周期的集中统一治理，并建立与各应用系统的同步机制，简化用户及其账号的治理复杂度，落低系统用户治理的安全风险。

集中用户治理功能示意图

1.3.1治理服务对象

集中用户治理要紧面向企业内外部的人、资源等举行治理和提供服务，具体对象能够分为以下几类：

最后用户自然人，包括自然人身份和相关信息

主账号

与自然人唯一对应的身份标识，一具主账号只能与一具自然人

对应，而一具自然人也许存在多个主账号

从账号

与具体角群对应，每一具应用系统内部设置的用户账号，在统

一信任治理平台中每个主账号能够拥有多个从帐号，也算是多

种身份角XXX（即一具日然人在企业内部具备多套应用系统账号）资源

用户使用或治理的对象，要紧是指应用系统及应用系统下具体

功能

具体服务对象之间的映射对应关系如下图所示：

用户账号与资源映射图

1.3.2用户身份信息设计

1.3.

2.1用户类型

用户是拜访资源的主体，人是最要紧的用户类型：多数的业务由人发起，原始的数据由人输入，关键的流程由人操纵。人又可再分为：职员、外部用户。职员即企业的员工，是平台要紧的关注的用户