中小学智慧校园软件解决方案技术白皮书

智慧校园软件处理方案白皮书

目录1. 总体框架 32. 技术路线 42.1. 编程语言 52.2. 面向对象组件技术 52.3. 应用程序开发与运行结构 52.4. 动态网页生成技术 63. 信息标准和规范系统 64. 基础支撑平台 84.1. 统一身份认证系统 84.1.1. 设计关键点 84.1.2. 系统框架 94.1.3. 统一授权管理 164.1.4. 单点登录服务 254.1.5. 系统布署说明 384.1.6. 平台可靠性和扩展性 404.2. 统一信息门户平台 404.2.1. 设计关键点 404.2.2. 平台框架 414.2.3. 门户运行环境 414.2.4. 平台主要功效 424.2.5. 平台布署及性能说明 454.2.6. 平台可靠性和扩展性说明 474.2.7. 平台安全性考虑 474.3. 数据中心平台 484.3.1. 技术路线 504.3.2. 设计关键点 504.3.3. 平台框架 524.3.4. 应用集成与数据集成 534.3.5. 数据交换机制 554.3.6. 平台布署及性能说明 59

总体框架亿阳信通智慧校园总体框架如图所表示：该框架以“师生”为关键，围绕智慧校园资源、管理和服务三要素，依靠数据中心及应用支撑平台，重点建设校园资源中心、校园管理中心、校园服务中心应用系统，形成数字化教学环境、科研环境和生活环境。技术路线智慧校园应用系统应采取成熟先进技术规范，设计上尽可能降低各子系统间相互依赖性（包含软件对平台、软件对数据、软件对软件、平台对平台等），某个子系统降低、增加和变更，不影响其它子系统和整体，从而最大程度地保护现有投资，降低系统维护量和再投入。在应用系统整体化、模块化和规模化同时，确保应用系统在技术上、经济上可连续发展。亿阳信通智慧校园软件系统遵照以下技术路线：采取“跨平台”编程语言。采取独立于开发环境面向对象组件技术，如EJBs(EnterpriseJavaBeans)，整个系统主要“应用逻辑”由组件组成，系统架构提供了良好伸缩性，使系统能够轻易地组合与拆分各功效模块。应用软件平台开发及运行架构采取三层结构，即Web服务器、应用服务器和数据库服务器，在不影响系统其它部分情况下，确保了应用服务器与其它应用有效和无缝整合，同时支持大规模并发用户访问。采取模版（Template)技术生成动态网页，为用户提供基于角色和权限内容和数据服务。架构实现采取Java语言和EJBs技术，在数据交换上支持XML，使系统功效最优化，同时将系统内部相互依赖性减至最低。编程语言遵照J2EE(Java2EnterpriseEdition)规范，采取Java语言和服务器端Java技术（包含EJBs、Servlet、JNDI、JDBC和RMI等）开发系统。Java作为Web应用事实标准，其独立于操作系统和服务器“跨平台性”，使其“一次编写，四处运行”，是WEB软件系统最适合编程语言。相对于嵌入HTML、受限于用户端显示、编程能力有限脚本语言，Java能力完整，能够开发具备强大“业务逻辑”大型应用系统。面向对象组件技术软件编程由依赖于特定单机，到依赖于操作系统，已发展到今天面向对象组件技术。面向对象组件技术是一个完全独立于硬件和操作系统开发环境，着重于应用程序“业务对象”可重复使用组件，利用这些组件，能够像搭积木一样建立分布式应用系统。面向对象组件技术在异构、分布环境下为不一样机器上应用提供了互操作性，并无缝地集成了多个对象系统；另首先，组件大大加紧了软件开发速度，降低了软件开发和再开发成本。应用程序开发与运行结构开发及运行结构基于三层架构，即Web服务器、应用服务器和数据库服务器。利用这种架构能够：（1）将“业务逻辑”从Web服务器中分出，在应用服务器中用独立和完整编程语言而不是“脚本语言”开发应用程序，同时使系统支持任何HTML显示工具；（2）应用服务器能够作为数据库访问请求“缓冲区”，能够重新安排、管理数据库访问。经过JavaServlets引擎多线程处理，能够极大地提升系统响应性能和数据库访问效率；（3）应用服务器能够作为与其它应用程序集成结合点，在不影响系统其它部分情况下与其它应用有效、无缝集成。动态网页生成技术信息公布采取基于模版动态网页生成技术。用户界面版面和显示效果由预先制作模版实现，并支持任何标准化HTML工具，嵌入模版Java程序依照用户角色和权限提取对应内容和数据，配合模版自动合成针对用户个性化动态网页。信息标准和规范系统信息标准是智慧校园建设重心，是学校各信息系统进行数据采集、处理、交换、传输前提，也是构建新应用需要遵照标准。亿阳信通按以下标准建设智慧校园信息标准：唯一性：标准采取树形体系结构，唯一项、唯一路径、唯一编码。规范性：充分参考国家相关最新标准、教育部《教育管理信息化标准》、北京市教委相关标准和各区县教委相关标准。适用性：标准制订充分考虑学校实际情况，以应用为目标。兼容性：对标准实施版本化维护管理。高版本兼容低版本。同一个版本，维护其不一样内容一致性。学校校内标准兼容教育部及其它管理部门标准，方便数据上报。可管理性：系统提供数据标准集、数据代码集、自定义代码集、数据代码映射等提供B/S架构可视化管理工具，具备初始化、新增、删除、修改等维护功效，支持分类检索、输出、数据展示等浏览功效。可扩展性：支持标准增加和变更，具备维护统计和回溯功效，而且对应用该标准业务系统透明。全部历史版本可查询，可比较差异。管理信息标准体系结构包含以下几个方面：一组相关数据元集合，对数据元属性规范描述（又称之为元数据标准化），属性包含了数据项名称、汉字简称、类型、长度、可选性、取值范围等。为了确保数据录入规范、便于查找和统计，每个管理子集都对应着对应标准代码，代码分国家标准、行业标准和学校标准。系统遵照国家教育管理信息系统互操作规范，能够与北京市教委制订小学应用互操作框架（简称CIF）无缝对接，实现各业务系统间规范数据共享。CIF实现规范也定义了基于XML标准CIF数据模型，支持小学数据对象在应用系统间共享。“教师”和“学生”是智慧校园系统包括两大数据对象，业务数据实体主要由这两大对象映射产生。经过“教师”对象产生数据实体主要有教案、作业、教学成绩、教学计划等一系列和教师教育教学活动相关数据；经过“学生”对象产生数据实体主要有考试成绩、课堂表现、获奖、毕业去向等一系列和学生学习成长相关数据。这些数据存放在智慧校园数据中心，经过综合统计分析，又产生大量衍生数据，如教师分布情况、学生分布情况、考试成绩综合统计分析等，这些数据能够为学校管理层提供微观和宏观决议支持，使领导能够直观了解各个部门乃至整个学校运行情况。详细数据模型框架以下列图所表示：基础支撑平台统一身份认证系统应用系统假如采取各自独立身份认证机制，用户就要记忆不一样系统中账号/密码。为方便师生使用，处理多应用带来多账号问题，需要建立统一身份管理平台，用户在平台上登录一次就能够访问全部具备权限应用。统一身份认证以IDM/IM（身份认证管理）为基础提供安全用户身份管理功效，并配合AccessManager基于代理架构访问控制，提供Web应用单点登录和Web应用保护。IDM/IM都集成了DirectoryServer(LDAP)目录服务器来存放统一身份库信息。统一身份认证实现功效以下：1.建立统一集中身份库——统一身份数据中心，对各应用系统全部用户提供集中和统一管理，同时依照各个业务应用系统认证方式不一样提供灵活认证机制；2.在集中身份库基础上，在满足数字校园管理平台信息系统内部业务流程规则前提下，经过身份管理技术实现身份库与各个业务应用系统(门户、OA、教学、教务等系统)用户身份信息自动同时处理功效；3.在集中身份库基础上，提供单点登录(SSO)功效，用户只需要经过一次身份认证就能够访问具备权限全部资源。集中身份库与门户系统统一能够为整个平台提供集中管理、安全机制，实现整体统一。设计关键点支持用户数据集成，适应中小学用户数据分散管理现实状况支持用户数据存放模式，适应中小学教职员多重身份现实状况支持多个认证方式，确保异构业务系统能够集成，让用户取得完整单点登录体验满足不一样用户或系统认证安全需求确保身份认证平台高可靠性和高性能前三个需求是身份认证平台发挥作用基础，而伴随应用集成力度和广度加大，后两个将是身份认证平台必须妥善处理问题。校园应用功效多样、结构复杂，各应用系统权限管理基本上采取分级授权方式。身份认证平台能够采取统一权限模型，供各应用系统使用，对应权限数据既可集中管理也可分布式管理。从实践结果看，集中权限控制效益并不显著，提议不强求集中控制，由各应用系统设计开发时按需选择。系统框架身份认证平台主要包含以下三方面功效：LDAP目录服务，支持海量用户数据存放和管理高性能SSO(单点登录)身份认证服务开放认证集成方式，支持不一样开发语言和不一样应用服务器平台业务系统统一身份管理架构学校各种应用系统通常都有自己独立用户管理、用户认证和授权机制，造成系统间互不兼容；学校组织机构也不停改变，用户起源日趋复杂，角色多样化和角色改变等问题不停出现。各方原因交织在一起形成了一个庞大矩阵，为统一身份管理带来了困难。如图：针对上述问题，建立一个统一，基于业界标准（如LDAP，XML，WebService，J2EE等），灵活、开放、可扩展性身份管理框架是最终处理方案。一个好身份管理处理方案将复杂身份管理问题变得简单、实用。身份认证平台关键结构以下列图所表示：身份认证平台管理用户在各个应用系统中用户信息对应关系，并依照这一关系管理用户在各个应用系统中生命周期，如添加、删除、修改等。身份认证平台身份同时工具能够自动发觉某个应用系统中用户信息改变并经过一定规则，保持和其它应用中用户信息同时。身份认证平台关键包含用户信息创建和中止审批流程，该流程由管理员预先定义，能够修改。当用户帐户申请被同意后，用户帐户将依照预先定义规则在中央主目录服务器中创建，并经过资源适配器在各个该用户能够使用应用系统中产生帐户信息。用户帐号中止也是一样原理。身份认证平台具备口令管理功效，支持口令策略管理和口令历史统计，支持用户身份审计和用户帐户风险分析，支持用户身份管理系统运行监测、评定。用户数据模型身份认证平台中数据模型包含：1. 用户帐号：学生、教职员工、合作搭档、供给商等帐户信息；2. 资源：身份认证平台所管理身份数据源和应用系统，如学生数据中心、教职员数据中心、电子邮件、一卡通、综合网络管理系统以及上网认证系统、VPN系统等，以及其它基于用户属性更改应用；3. 资源组：按一定次序组织资源，身份认证平台将依照这一次序在应用系统中创建和删除用户信息；4. 组织：管理一组用户、资源和其它对象逻辑容器；5. 角色：用户工作角色，代表其职能性质，据此在资源中设置用户属性；6. 管理帐户：具备管理员权限，能够进行分级管理；7. 能力：拥有哪些权限，如口令管理员只能管理用户口令。下列图为数据模型图：身份认证平台：管理用户访问一个或多个资源权限；管理用户在这些资源上帐户数据；赋予用户一个或多个角色，设置用户访问各种资源权限；管理组织，决定用户帐户由谁和怎样被管理。用户数据是动态，依赖于用户角色、资源和资源组。依照角色（能够是多角色）赋予资源数量和类型，需要不一样信息表示，也决定着创建用户时信息数量。身份认证平台有虚拟用户概念，主要作用是映射用户到多个资源，能够将一个用户在多个应用系统中全部帐户信息作为一个实体来管理。用户数据管理身份认证系统需要提供多样化用户数据管理方案。用户数据采集能够依照学校现实状况，采取以下方式：1、集成管理着权威用户数据业务系统，依赖该系统进行用户数据管理2、经过数据集成平台双向同时用户数据3、经过身份认证平台用户管理程序管理用户数据身份数据集成统一身份认证系统集成用户身份数据过程，是经过数据交换平台从学校各个业务系统中自动抽取用户身份数据，并加以归纳和整理，最终充实用户身份信息库。自动发觉和动态同时身份认证平台能够自动发觉所管理资源中用户信息更改，并依照规则将其同时到其它资源中去。帐号和口令管理身份认证平台提供了统一WEB管理界面，能够方便地管理帐号和口令。帐号管理功效包含：用户自注册功效：用户使用公共帐号/口令登录系统，然后自行注册一个账号/口令。帐号新建功效：外来人员如需暂时帐号，能够由管理员手工生成访问身份，这个访问身份通常是帐号/口令，也可经过多因子认证或数字证书实现。这些暂时帐号需要使用期限制，在“暂时”这段时间内有效，过期则失效；对于可转为正式帐号“暂时帐号”，可自动转换。帐号注销功效：在一定条件下，实现用户帐号注销。用户帐号注销后，全部用户权限失效。帐号冻结功效：暂时中止用户访问权限，在用户需要开通时能够重新恢复，这么用户能够继续使用原来帐号。口令管理包含：自助式口令重置和同时经过Web浏览器或者IVR（InteractiveVoiceResponse，交互语音应答系统）系统来实现自动口令策略执行口令历史信息存放口令过期通知等等。为满足用户个性化设置需求，减轻管理员密码维护压力，平台提供个人密码找回和别名登录功效，并开放给全部用户。个人密码遗忘后，用户能够在门户认证界面上使用密码找回功效，问题回答正确后，能够重新设置密码；用户登录后，能够依照自己习惯设置登录别名，系统自动检验别名是否重复，别名设置成功后，用户能够使用别名进行登录。分级管理平台提供扁平用户权限模型，提供分级管理功效。应用模式系统缺省建立四大类身份：领导、教职员、学生、校友；各应用系统按需建立自己权限组或属性信息，也可复用其它系统已经建立权限数据；权限模型支持分级授权，支持按组织架构、系统范围、用户属性等将权限管理工作分配给多名管理员；因为本功效在实际使用中轻易造成管理混乱，通常提议只按照系统范围（如人事系统、学生系统等）来分级授权。用户数据采集时，自动依照用户属性和起源为其设置对应身份。批量维护工具满足管理员日常数据维护需要，提供：批量导入用户数据、组织数据批量修改和删除人员属性信息高级查询功效系统服务注册和注销在不一样人员容器间移感人员数据应用模式：教职员用户数据经过人事系统数据访问接口或用户数据表导入；管理员定时使用该工具完成教职员用户数据导入；学生毕业转为校友后，管理员经过该工具将毕业生批量转入；系统运行准备阶段，管理员经过该工具完成批量用户密码初始化。与经典应用系统集成身份认证平台资源适配器采取服务器端J2EE适配器，布署在身份认证服务端，即J2EE应用服务器上，然后依照所管资源通讯协议和资源互通。对于大部分应用系统，无须在资源（即应用）一方安装任何代理。这么既对应用系统无影响，又防止了维护代理工作。与LDAP目录服务器集成身份认证平台和LDAP目录服务器集成，如SunJavaSystemDirectoryServer是经过JNDI资源适配器完成，在资源方无须代理。与采取LDAP目录服务应用系统集成同上。身份认证平台经过其LDAP目录服务资源适配器和这些应用系统集成。与关系型数据库应用系统集成假如应用系统用户数据存放在关系型数据库中，应用系统和统一身份认证系统集成后，统一身份认证平台代替了应用系统身份认证功效，该数据库中用户信息将主要用于应用系统本身授权和策略管理。身份认证平台主要集成关系型数据库中用户信息表、权限信息表以及用户/权限对应关系表等，在身份认证平台上建立针对应用数据库资源，并制订对应用户信息映射和同时关系，经过该资源将对应用户信息创建到数据库中。身份认证平台和关系型数据库集成是经过身份认证平台提供JDBC（JavaDataBaseConnectivity，Java数据库连接）资源适配器完成，并在资源方无须安装任何代理。资源适配器开发身份认证平台为创建定制化资源适配器提供了工具和文档支持。开发工具包包含：指南性文档资料：功效定义、README文件等Javadoc：提供身份认证平台API信息Jar文件：用于编译、连接样根源代码等。统一授权管理策略与权限管理模块是多用户应用系统不可或缺。通常，策略与权限管理模块以应用专有方式实现，系统策略模型、策略存贮结构与访问控制逻辑与应用业务逻辑之间耦合紧密。这种方式缺点是显而易见：因为策略模块与应用逻辑之间紧耦合使得策略模块极难进行扩展与维护；策略模块设计与编码需要很大工作量，而且极难在不一样应用系统之间共享与重用。为了克服专有方式缺点，统一用户管理与认证平台在基础设施层提供了增强策略服务，提供标准、通用、灵活和可扩展策略模型，支持策略定义、存贮、配置与判定，并与用户管理和服务管理紧密集成。统一授权平台架构统一授权平台架构以下列图所表示。图中以灰色表示组件是应用相关部分，需要进行定制设计与开发；其余组件均由统一授权平台提供。总体而言，策略与权限管理模块架构基于PDP/PEP模型。PDP代表策略判定点(PolicyDecisionPoint)，是策略提供者；PEP代表策略执行点(PolicyEnforcementPoint)，是策略使用者。该架构中，统一授权管理提供PDP服务，包含策略定义、存贮、配置与判定，这些服务经过策略判定API与策略管理API向外部应用提供；PEP是应用中依照策略判定结果执行应用逻辑部分。PDP与PEP之间能够经过Java/C++API或XML/HTTP通信。因为统一授权管理提供策略判定结果是原始结果，为了深入简化应用中策略执行逻辑，引入应用策略判定接口，对统一授权管理策略判定接口进行封装，对原始策略判定结果作深入加工与处理。统一授权管理支持经过策略主体SPI（服务提供者接口）、策略条件SPI、策略推荐SPI与资源名称SPI进行扩展。策略存贮结构经过LDAP中对象类与属性类型加以定义；策略存贮在目录服务器中。策略模型统一授权管理策略服务建立在通用、灵活和可扩展模型上。正是该策略模型使其能在基础设施层以一个应用无关方式提供强大策略服务。通常而言，作为访问控制规则策略描述了“谁在何种情况下针对指定服务对何种资源可执行怎样操作”。在这里，“谁”是策略主体；“情况”是策略适用条件；“服务”是策略上下文，“资源”与“操作”都是与该服务相关；“资源”是策略对象；“执行怎样操作”能够表示为一系列“动作”及与之对应“值”。基于单点登录系统策略模型提供了充分表示能力，允许准确描述如上通用策略。统一授权管理策略采取XML来描述。为简明起见，在此以半形式化方式描述策略模型以下：常规策略::=主体集+条件集+规则集主体集::={主体}条件集::={条件}规则集::={规则}主体::=AccessManager角色集|LDAP组集|LDAP角色集|LDAP用户集|LDAP组织集条件::=认证级别|认证方式|客户IP|时间规则::=服务+资源名称+动作类型-值对集资源名称::=字符串动作类型-值对集::={动作类型-值对}动作类型-值对::=动作类型+值备注：1、统一授权管理策略包含推荐策略与常规策略。因为推荐策略只是将策略推荐给对等组织或子组织进行判定，而不包括策略详细判定，所以此处不对推荐策略进行详细描述。2、统一授权管理提供主体插件SPI、条件插件SPI和资源名称插件SPI允许扩展主体、条件与资源名表示能力，上述描述中主体、条件与资源名称只是由系统提供标准实现。策略编程接口应用系统访问身份认证平台能够使用JavaAPI接口，也能够使用XML/HTTP接口。假如是远程访问，则JavaAPI接口本身也是对XML/HTTP接口一个封装。远程客户端调用策略验证接口时处理流程以下：(1) 应用系统调用JavaAPI请求策略验证；(2) JavaAPI依照策略验证请求生成一个XML策略验证请求；(3) JavaAPI将XML策略验证请求经过HTTP协议发送给系统Policy服务：%protocol://%host:%port/amserver/policyservice(4) 系统处理策略验证XML请求，并创建一个策略决议XML文档作为应答返回给客户端；(5) 客户端JavaAPI接收并解释策略决议XML文档；(6) 应用系统经过JavaAPI获取策略决议信息。从上述流程可知，策略验证结果是以策略决议形式表现。假如使用XML/HTTP接口，则策略决议是一个XML文档；假如使用JavaAPI接口，则策略决议是一个Java对象。策略决议中包含一组动作决议，动作决议是关于某个详细动作决议，其中包含：（1）动作值：与该动作相关决议值；（2）有效时间（TTL）：决议值在多久时间内有效；（3）提议：该动作决议描述信息。动作值能够是布尔类型，表示是是否、允许或禁止等两值类型动作决议；动作值也能够是复杂类型，如字符串、数值等，能够用来表示动作程度、范围等决议概念，诸如邮箱配额、折扣率等。可能有许多策略适适用于一次策略请求，不一样策略可能相互冲突。比如，用户拥有角色允许他访问某个URL，而用户所属组禁止他访问某个URL；再比如，用户拥有一个角色给予他20M邮箱配额，而用户拥有另一个角色给予他10M邮箱配额。这种不一样策略同时适用，而且决议值不一样情况称为冲突。冲突策略决议必须消解之后才能用于权限控制。系统是这么消解策略决议冲突：(1) 假如动作值类型是布尔类型，则全部策略决议值在执行AND操作之后返回，返回值是单值。也就是说，只要有一个策略动作决议是false，则动作决议值就为false；(2) 假如动作值类型是复杂类型，则全部策略决议值全部返回给应用系统，由应用系统对决议值进行深入冲突消解。策略管理包含创建、删除和修改策略。用户能够经过系统WEB控制台界面或命令行界面管理策略。假如在应用系统中需要对策略进行管理，能够使用系统策略管理API。应用策略设计一个应用系统是建立在多个平台服务之上，而且向用户提供多个用户服务；而一个平台服务也应该为多个应用系统使用。所以应用系统与服务之间是多对多关系。因为服务是应用组成元素，所以，授权应该是针对服务资源而不是应用资源来进行。不一样服务具备不一样资源和动作类型，所以，不一样服务有不一样策略模板，该模板称为策略方案（PolicySchema）。服务与策略方案之间对应关系应该是一对一关系。配置策略、验证策略是经过指定服务来指定策略方案。一条详细策略要求了一组主体在一组条件下一组访问控制规则。每条规则中均指明了一个服务、属于该服务资源以及一组动作与值对。每个策略方案也能够被多条策略使用。所以，策略与策略方案之间对应关系应该是多对多关系。因为服务与策略方案之间是一一对应，所以，定义策略方案是在定义服务同时进行。只有当服务定义之后，才能定义与该服务相关详细策略。从身份认证平台服务管理角度，服务是一组定义在一个公共名字下经过身份认证平台管理属性集合。身份认证平台将服务作为一组属性进行管理，而并不关心这些属性详细涵义。服务属性集合是经过一个XML文件加以定义。身份认证平台提供了大量平台服务，这些服务本身也是经过系统服务管理功效加以管理，所以，这些平台服务也有对应XML定义文件，而且服务选项也是经过服务属性加以管理。为了使服务能够针对不一样用户、角色或组织等身份实体进行定制和个性化，身份认证平台将服务属性分为以下五种类型。不一样类型属性具备不一样作用域、继承性、用途。类型作用域继承性用途全局整个统一授权系统不可继承服务全局配置组织应用于组织不可继承服务组织级配置动态应用于角色、用户可继承服务动态配置，配置给角色属性自动为全部具备该角色用户拥有，配置给组织属性自动为全部该组织下用户拥有。策略N/AN/A与服务授权相关配置用户只应用于用户不可继承服务针对于每个用户个性化配置。用户类型属性只对个别用户有意义。角色与用户组管理角色是和用户组概念相同目录服务器对象管理机制。一个组有其组员；一个角色也有其组员。在身份认证平台中，用户角色权限是经过为其设定ACI（AccessControlInfromation）来控制。访问控制指令能够控制对整个目录、目录子树、目录中特写条目（包含定义配置任务条目）或特定条目属性信息访问权。能够设置特定用户、全部属于特定组或角色用户或全部目录用户权限。还能够定义对特定位置（比如IP地址或DNS名称）访问权。与条目属性一样，访问控制指令存放在目录中。ACI属性是一个操作性属性，可用于目录各个条目，而不论是否为该条目标对象类所定义。接收到客户端LDAP请求时，目录服务器使用该属性来允许或拒绝访问。假如有尤其请求，则在ldapsearch操作中返回ACI属性。在平台中能够定义特定角色，并利用ACI来控制其访问权限。这么做能够满足一些特殊需求。利用组织内创建用户时能够拥有默认角色机制，能够为不一样组织创建不一样默认角色，这么新建用户就自然拥有了这些角色所拥有属性和服务以及对应权限。组代表了具备相同功效、属性或者兴趣兴趣用户集合。通常来说，组没有自己特权。组能够定义在组织机构下，也能够定义在别受管组（ManagedGroup）内作为子组。身份认证平台提供了组分级管理能力。即使组组员缺省来自于整个用户树，不过对于权限有限组管理员来说，当他管理一个预订组时候，他只能把他自己能管理用户添加到新创建预订组中。在这里已经部分实现了用户组分级管理。在业务系统一级授权上，我们提供了全局权限组用于人员初始化授权。这些组按照用户基本身份建立（比如学生组、教职员组），作用域为整个组织树，在人员初始时能够按照身份加入这些全局组，从而实现人员权限初始化。权限语义集成当身份认证平台策略服务不能满足业务系统授权要求时，我们提供了一个针对业务系统开放完全自由权限语义集成机制。权限语义描述了用户详细应用权限，权限语义详细描述和解析由业务系统负责。业务系统能够经过API来获取这些语义，解析后授予用户对应权限。用户数据采集功效描述针对学校用户管理分散进行特点，提供从权威数据源采集用户数据，并实时更新目录服务器中用户数据，提供：数据源采集点和采集周期定义数据源改变跟踪和自动采集应用模式建立从公共数据库平台相关共享数据集采集，在学生和教职员用户数据变更(包含新增、删除、修改)后，采集模块自动同时更新统一认证用户数据库。用户数据通常分散在不一样应用系统中。常见情况是：人事系统管理人事信息；办公系统管理与日常工作关于信息；用户认证信息如用户ID和密码在各个系统中通常不一样，由各个系统分散管理；用户基本属性，如姓名等信息往往在各个系统中都存在。不一样应用系统不但管理不一样类型用户数据，而且也提供不一样类型数据存放与访问方式。传统业务系统通常使用关系数据库存放用户数据，如管理信息系统；互联网应用系统通常使用LDAP存放用户数据，如电子邮件系统。不一样类型数据存放方式具备不一样数据存放格式，也提供不一样数据访问接口。用户数据分散存放与管理使得共享用户数据成为复杂而低效任务。建立统一用户管理数据库目标是为用户信息管理与使用提供统一入口。统一用户管理数据库在物理上与其它应用数据源独立，在数据上与其它应用数据源保持同时。用户管理数据库变更后同时到LDAP目录数据库。用户数据公布功效描述为了保持各业务系统中用户数据完整性和统一性，向各集成业务系统提供用户身份数据。应用模式对现在已经有系统提供用户数据更新变更同时提供用户信息浏览、排序、查询等管理功效因为中小学用户数据分散管理，在权威数据源变更后，其余系统都可经过统一用户管理数据库同时数据变更，保持数据完整与一致批量维护工具功效描述满足管理员日常维护数据需要，提供：导入用户数据和组织数据批量修改和删除人员属性信息高级查询功效服务注册与注销在不一样人员容器间移感人员数据应用模式教职员用户数据由人事系统提供数据访问接口或用户数据表管理员定时使用该工具完成教职员用户数据导入在学生毕业转为校友后，管理员经过该工具将毕业生批量转入系统运行准备阶段，管理员经过该工具完成用户密码批量初始化个人自助服务功效描述为了满足用户个性化设置并减轻管理员维护工作量，平台提供个人密码找回、别名登录功效。应用模式该功效开放给所用用户；用户遗忘个性化设置密码后，能够在门户认证界面上进入密码找回功效，预设问题回答正确后，能够自主重置密码；用户登录后，能够依照自己习惯设置登录别名，系统自动检验别名是否重复，别名设置成功后，用户能够经过别名进行登录。权限模型功效描述为了适应中小学用户多重身份和组织结构易变特点，同时最大程度确保用户认证效率，平台提供扁平用户权限模型。应用模式系统将缺省建立四大类身份：教职员、学生、领导、校友；各应用系统按需建立自定义权限组或属性信息，也可复用其余系统已经建立相关权限数据；权限模型支持分级授权，方便按组织架构、系统范围、用户属性等特征将权限管理工作逐层分配给多名管理员；该功效在实际使用中轻易造成管理混乱，通常提议只按照系统范围（如人事系统、学生系统等等）来分级授权。用户数据采集时，自动依照用户属性和起源为用户设置对应身份。认证集成功效描述满足学校业务系统多元化特点，提供：支持基于认证接口、认证代理和LDAP认证多个认证集成模式支持密码认证支持与标准主流Radius服务器集成预留CA认证扩展接口预留SmartCard、JavaCard认证扩展接口预留与网络接入认证设备用户认证模块集成接口，实现与网络接入认证设备认证集成应用模式业务系统全部采取基于认证接口认证集成方式；用户统一采取基于密码认证登录方式。单点登录服务单点登录（SingleSignOn，SSO）通常定义为指用户只需经过一次认证就能够访问全部拥有访问权限应用系统。单点登录能够提升用户工作效率，降低身份认证过程中人为错误，也减轻了用户在密码管理上负担，从而使系统更安全、更易用。身份认证平台提供了单点登录处理方案，用户只需经过系统认证，而且具备足够权限，就能够访问全部由身份认证平台管理应用系统。统一认证服务是单点登录支持基础，没有统一认证，就没有真正单点登录。校园网通常运行多个应用系统，为学校领导、各部门及教生提供多个服务，这么就带来了一个突出问题，用户面对多个系统时要记忆、输入帐号/口令等信息，不但烦琐，而且轻易丢失口令，一旦口令泄漏会造成不可估量损失。单点登录系统建设目标是要处理各应用系统用户名和口令不统一问题，期望提供一套方便、安全口令认证方法，让用户只要一个用户名和口令就能够使用网络上他有权使用全部业务系统。设计关键点单点登录系统设计关键点以下：遵照LA（LibertyAlliance，联合互信）ID-FFV1.2规范。支持SAML（SecurityAssertionMarkupLanguage）安全性断言标识语言规范。支持多个多级登录认证机制，如用户/密码、动态口令等。支持系统认证过程支持加密认证方式。系统支持基于用户UID和密码身份认证。提供用户密码加密功效，支持SSHA、CRYPT、SHA等加密算法。经过TLS（TransportLayerSecurity，传输层安全协议）或SSL（SecureSocketsLayer，安全套接层协议）为信息传输提供保密性和完整性保护。支持X.509协议，能够对数字证书、公共密钥、数字署名进行存放和管理。支持跨域单点登录功效。系统原理与体系结构单点登录系统根本原理是保持用户会话（session）状态。用户经过一次认证就可建立单点登录会话，每个单点登录会话对应于一个令牌（token），用户访问应用系统时向应用系统传递单点登录令牌，应用系统能够依照令牌识别用户认证状态，从而使一次认证能够被多个应用系统认可，防止了重复认证。我们采取SunJavaSystemAccessManager（简称AM）作为单点登录底层技术平台。依照上述原理，AM对单点登录提供SDK级别支持，其中包含单点登录令牌创建与验证。以WEB应用单点登录为例：用户经过AM认证页面进行认证，认证经过之后，平台为该用户创建一个单点登录令牌，并将该令牌ID经过cookie返回至用户浏览器；当用户访问WEB应用系统时，单点登录令牌ID自动经过cookie传递至WEB应用系统，WEB应用系统能够经过单点登录令牌ID还原单点登录令牌，并向AccessManager验证单点登录令牌是否有效。假如有效，则应用系统能够从单点登录令牌获取用户身份信息，而不再需要用户进行再次认证。对于C/S结构应用，单点登录过程是类似，只是单点登录令牌ID传递方式不一样。上述单点登录SDK体系结构以下列图所表示：如前所述，单点登录是经过单点登录会话实现，经过单点登录会话保持用户在整个平台认证状态。在对用户进行身份验证之前，AM会话服务先产生令牌，令牌包含一个随机生成会话标志而且会作为这次会话最终标志。令牌一旦生成，AM会将它插入一个Cookie，而且颁发给用户浏览器。与此同时，AM会依照用户所使用验证方式，提醒不一样登录界面，验证方式可预先为组织、角色或单个用户进行配置。当用户接收到登录界面时，同时也取得一个会话令牌，用户会键入用户名和密码，登录资料被提交给适当验证服务器(如LDAP、RADIUS等)，一旦用户经过了身份验证，AM会从cookie中提取用户令牌，而且将其状态设置为有效，接着将用户重新定向到所要访问URL。单点登录会话具备以下列图所表示生命周期：如图所表示，单点登录会话初始状态是无效，表示单点登录会话即使已经创建并被分配给用户，但用户还未经过有效认证。无效单点登录会话也经过一个单点登录会话令牌身份，并存放在用户浏览器cookie中。当用户认证成功之后，单点登录会话变为有效状态。该单点登录会话仍以同一个单点登录会话令牌身份，用户浏览器中cookie不变，只是服务器维护会话状态变为有效。单点登录会话能够因为以下原因而销毁：客户端空闲时间达成最大空闲时间；会话时间达成最大会话有效时间；因为用户登出而显式销毁会话；会话销毁之后，客户端cookie中保留单点登录会话令牌身份依然存在，只是与该令牌相关会话信息已经在AM中删除。上述单点登录会话生命期由AM进行管理，会话生命期特征能够经过配置选项进行定制。在AM中，与单点登录会话相关属性是经过“会话”服务（sessionservice）进行管理，这些可配置属性均为动态类型属性，能够针对组织、角色和服务配置，并可被继承。会话可配置属性以下表所表示：单点登录会话属性说明最长会话时间（分钟）单点登录会话有效最长时间，超出该时间，用户必须重新登录创建新单点登录会话。最长空闲时间（分钟）当用户没有任何动作时，单点登录会话有效最长时间，超出该时间，则会话失效，用户必须重新登录创建新单点登录会话。最长高速缓存时间（分钟）单点登录会话信息在客户端高速缓存中保留最长时间，超出该时间，则客户端必须访问服务器以刷新缓存中会话信息。经过AMWeb控制台能够管理单点登录会话。在Web控制台“当前会话”页面显示了当前全部有效单点登录会话状态，管理员能够有选择性地终止单点登录会话。认证方式设计单点登录系统采取认证方式与登录方式分层设计，可平滑扩展多个登录方式，如用户名口令、证书、智能卡等，支持多级登录认证机制。为预防暴力破解，提供附加图像码方式增加安全性。用户认证方式认证方式单点登录系统提供了多个内置登录方式。1、LDAP认证方式单点登录系统提供缺省认证方式。使用LDAP认证方式，用户名与口令存放在指定LDAP目录中。当一个用户登录时，提供用户名与口令若与该LDAP目录中指定子树中某一个用户统计用户名与口令相同，则认证成功，登录者具备LDAP目录中该用户统计对应身份。2、自注册认证方式允许用户在认证时选择“新建用户”，并输入用户名与口令，建立自已用户帐号。随即就能够像LDAP认证方式一样使用用户名与口令登录系统。自注册用户资料也存放在LDAP中，但能够为自注册用户指定不一样于用户存放位置。3、数字证书认证方式使用X509v3数字证书，只要客户端能够提供X509v3数字证书，系统允许其登录。能够配置用户个人数字证书必须和目录服务器中存放证书相同，并与证书回收列表（CRL）比较以确保个人证书是有效。4、RADIUS认证方式系统利用外部拨号认证系统作为本身认证机制，假如用户经过了外部拨号认证系统认证，系统则认为此用户认证经过。5、UNIX认证系统利用所安装UNIX环境认证系统作为本身认证机制，假如用户经过了UNIX认证系统认证，系统则认为此用户认证经过。6、MicrosoftWindows域认证系统使用Windows域认证系统作为本身认证机制，假如用户经过了它认证，则认为此用户认证经过。7、SafeWord认证系统可使用SecureComputingSafeWord或SafeWordPremier认证服务器。单点登录系统作为SafeWord服务器客户端，SafeWord服务器能够安装在单点登录系统同一台机器上，也能够安装在另外系统中。8、RSASecureID认证9、多因子认证除了上述内置认证方式之外，平台也提供了服务提供者接口来开发定制认证方式。认证方式个性化不一样认证方式具备不一样安全性、易用性和布署成本，所以，针对不一样用户群与不一样应用范围需要对认证方式进行个性化。在单点登录系统中，能够依照角色、用户、服务指定不一样认证方式，也能够在认证时直接指定认证模块。对于不一样组织、角色和服务，能够配置个性化认证选项。认证选项按照不一样认证方式经过单点登录系统服务加以组织。单点登录系统为每种内置认证方式定义了一个服务，并定义了一个关键认证服务，用于组织全部认证方式公有属性。以下分述关键认证服务与支持配置选项以及惯用认证服务配置选项。关键认证服务支持配置选项分为全局选项与组织选项。全局选项在整个单点登录系统范围内适用，组织选项在组织级别进行配置，只对一个组织有效。用户认证界面用户认证界面是单点登录系统与最终用户接口，它负责向用户显示登录表单，搜集用户认证信息，并传回服务器端；服务器端经过调用平台认证API进行认证，并为经过认证用户创建单点登录系统单点登录会话。单点登录系统提供了基于WEB用户认证界面，该用户认证界面是由单点登录系统动态生成，提供了平台中全部认证模块用户界面。单点登录系统用户认证界面是基于JATO（J2EEAssistedTake-Off）WEB应用框架创建，它经过JSP和XML为用户提供图形化界面交互方式。对用户认证界面常见客户化工作包含对认证界面上文字信息和图片进行客户化，以及对用户认证界面进行当地化。认证界面是基于一组JSP模板和XML文件动态生成。JSP模板定义了认证页面布局，XML文件是认证模块配置资源文件。缺省JSP模板和XML文件均位于位于IS_Root/SUNWam/web-apps/services/config/auth/default目录下。这些文件均可修改，使得不一样组织、子组织、地域、服务/应用、客户端类型具备不一样认证界面。认证接口设计单点登录系统提供了公共认证服务架构，对外提供多个认证接口，以及认证服务扩展接口。基于统一认证服务应用系统间能够实现单点登录。认证服务架构单点登录系统提供认证服务是基于JAAS（Java认证与授权服务）框架。JAAS是Java2平台标准版(J2SETM)1.4规范组成部分，它提供认证与授权服务应用编程接口与服务提供者接口，但单点登录系统只使用了JAAS认证接口。应用开发人员不直接使用JAAS，而是使用单点登录系统认证应用编程接口。单点登录系统提供Java和XML/HTTP两种应用认证接口。Java认证接口能够在当地或远程调用。在当地调用Java编程接口直接与JAAS认证API交互，在远程调用Java编程接口则实际经过XML/HTTP与认证平台认证服务交互。XML/HTTP认证接口提供了与语言和平台无关方式对认证服务进行远程访问。单点登录系统认证模块是以插件方式实现，多个认证模块经过JAAS服务提供者接口与单点登录系统相连。这种基于插件认证模块实现方式使得单点登录系统能够支持已经广泛应用各种标准认证方式，也支持客户自行定制认证方式。下列图显示了单点登录系统认证服务架构。应用认证接口单点登录系统仅为应用程序提供两种类型认证编程接口。对基于Java应用系统（包含基于JSPWEB应用系统和基于Java应用程序）能够使用Java编程接口；对于非Java应用系统，能够使用XML/HTTP编程接口或C/C++编程接口。假如仅使用SUNAccessManagerAPI接口，存在很多限制：1、操作系统限制：C/C++接口现在只能稳定运行在Solaris系统中，其余主流UNIX/Linux系统不支持2、XML解析复杂：对于非Java和C/C++开发系统集成来说，集成应用需要编写了解复杂XML结构，编写XML解析程序3、集成系统开发工作量大：集成系统采取API模式集成时不但要完成SUNAPI复杂过程配置，还需要进行通讯多线程处理，在双机环境下还需要大量编程支持动态切换4、平台升级困难：直接采取SUNAPI集成，每个集成应用都与底层平台紧密耦合，当平台升级时，需要每个应用重新进行修改，无法确保整个系统平滑升级。为了处理这些问题，我们采取ICE（InternetCommunicationsEngine）中间件平台自主开发各类认证接口。ICE是一个面向对象中间件平台，采取了一个用于使对象接口与其实现相分离基础性抽象机制，为构建面向对象客户－服务器应用提供了工具、API和库支持。在客户机与服务器之间建立合约，描述应用所使用各种类型及对象接口。这种描述与实现语言无关，所以编写客户所用语言无需与编写服务器所用语言相同，很适合中小学多语言集成环境。其架构图以下：ICE认证接口是架设在集成应用和身份认证平台之间中间件，支持大多数主流Unix/Linux平台与MSWindows平台，集成应用系统开发人员无需面对复杂XML解析，只需要一个对象（类）就能够完成全部认证相关操作，ICE认证接口API是线程安全，开发人员无需额外付出就能够取得高效多线程功效。在架构上ICE接口存在使得各个集成应用和统一身份平台是非紧密耦合，在代码层统一身份平台对外接口升级改变将不会影响到各个集成应用，增加了整个系统稳定和扩展性。同时ICE也支持统一身份认证平台双机热备模式，能够动态进行切换，集成应用无需付出额外工作考虑平台状态问题。ICE认证接口增加了系统监控功效，经过配置，能够在系统出现问题时发邮件通知系统管理员。我们架构为应用开发者提供很多主要优势：面向对象语义ICE“在线路上”完全保留了面向对象范型。全部操作调用都使用迟后绑定，所以操作实现选定，是依照对象在运行时（而不是静态）实际类型决定。支持同时和异步消息传递ICE提供了同时和异步操作调用和分配，经过ICEStorm提供了公布－订阅消息传递机制。这么，能够依照应用需要来选择通信模型，而无须把应用硬塞进某种模型里。支持多个接口经过facets，对象能够提供多个不相关接口，同时又跨越这些接口、保持单一对象标识。这提供了极大灵活性，尤其是在应用发生演化，但又需要与更老、已经布署客户端保持兼容时。机器无关性客户机及服务器与底层机器架构屏蔽开来。对于应用代码而言，像字节序和填充这么问题都隐藏了起来。语言无关性客户和服务器能够分别布署，所用语言也能够不一样。客户和服务器所用Slice定义建立二者之间接口合约，这么定义也是它们唯一需要达成一致标准。实现无关性客户不知道服务器是怎样实现其对象。这意味着，在客户布署之后，服务器实现能够改变，比如，它能够使用不一样持久机制，甚至不一样程序设计语言。操作系统无关性ICEAPI完全是可移植，所以一样源码能够在Windows和UNIX上编译和运行。线程支持ICE运行时环境完全是线程化，其API是线程安全。作为应用开发者，除了在访问共享数据时进行同时，无需为开发线程化高性能客户和服务器付出额外努力。传输机制无关性ICE现在采取了TCP/IP和UDP作为传输协议。客户和服务器代码都不需要了解底层传输机制，能够经过一个配置参数选择所需传输机制。位置和服务器透明性ICE运行时环境会负责定位对象，并管理底层传输机制，比如打开和关闭连接。客户与服务器之间交互显得像是无连接。假如在客户调用操作时，服务器没有运行，你能够经过ICEPack让它们随需开启。服务器能够迁移到不一样物理地址，而不会使客户持有代理失效，而客户完全不知道对象实现是怎样分布在多个服务器进程上。安全性经过SSL强加密，能够使客户和服务器完全安全地进行通信，这么，应用能够使用不安全网络安全地进行通信。你能够使用Glacier穿过防火墙，实现安全请求转发，而且完全支持回调。内建持久机制使用Freeze，创建持久对象实现变成了一件微不足道事情。ICE提供了对高性能数据库BerkeleyDB内建支持。认证头现在我们已经实现了对JSP、ASP、PHP、Java、C、C#、VB等多个语言接口，并可方便扩展对Python、Ruby、C++等语言支持。集成应用系统环境包含IBMWebSphere、Domino、Tomcat、Apache等主流服务器。提供适用主流开发语言认证接口，包含Java接口、PHP接口、COM接口，该集成模式只要求各系统简单修改认证部分，就能够具备以下功效：校验当前用户是否是统一身份认证平台正当用户。假如用户身份不正当则跳转到登录页面。假如用户身份正当则无需登录，直接访问集成应用。将用户属性信息传递给集成应用。代理认证对于中小学中不易改造应用系统，能够引入代理集成机制，被集成应用系统无需更改即可实现单点登陆功效。代理认证是嵌入到目标系统中程序，能够在不改动原有应用代码前提下实现以下功效：校验当前用户是否是统一身份认证平台正当用户，并判断是否有权访问请求应用；假如用户身份不正当则跳转到登录页面；假如无权进入此应用则出现拒绝进入页面；假如用户身份正当则无需登录，直接访问集成应用；将用户属性信息传递给集成应用。LDAP认证对于中小学中高并发认证型应用集成需求，比如选课系统，我们针对这种类型系统特点开发了LDAP接口，支持标准LDAPV3协议，能够满足短时间内上万人次认证，并具备高稳定性。现在LDAP接口支持JAVA/C/PHP/.Net等开发环境。实现以下功效：校验用户名/密码；获取用户属性信息。跨域单点登录和联合互信采取联合互信(LibertyAlliance)FederationSSO标准实现跨域SSO。我们前面所描述单次登录处理方案，都是建立在同一个厂商提供处理方案基础上，比如AM实现跨系统单次登录。不过，在现有学校中，有可能会有来自于不一样厂商网络身份管理方案；另外，学校也不可防止地需要和学校外应用系统交互，此时，跨不一样厂商应用系统间单次登录就会成为一个问题。许多身份与策略服务，包含身份认证、单点登录和用户自定义，都是联合互信项目正在举行标准化行动主题。其目标是产生联合身份系统。联合身份系统确保适宜方面而不是一个中心机构来对主要个人信息使用进行管理和分配。联合互信项目是一个商业联盟，其组建目标是提供和支持一个因特网身份处理方案，以一个开放、联合方式，实现单点登录。联合互信有三大目标：允许个人用户和机构确保个人信息安全。使用多家提供者分散认证和开放授权，提供通用、开放单点登录标准。为横跨全部网络设备网络身份提供一个开放标准。联合身份实现了联合商务开发，这还能够让企业为学校或最终用户带来更多方便、选择，并让他们愈加好地控制自己身份。另外，联合身份模型允许学校或用户管理自己数据。比如，某用户在学校UID为109886，而在网络招聘系统中UID为。学校网络身份管理系统采取我们单点登录系统，网络招聘系统采取是另外厂商方案，当在这两个系统中实现SSO时，假如对方同AM一样，符合联合互信SAML规范，跨系统SSO就能够实现。单点登录系统遵照LibertyAlliancePhase2和SAML1.1规范。它对这些标准支持帮助创建了一个既简便易用又与现有系统兼容联合框架及验证共享机制。系统布署说明身份认证平台支持双机或多机运行模式，首先能够确保系统可靠性，另首先也能够保持良好扩展能力，支持以下列图布署架构：依照实际测试情况，身份认证平台处理能力主要取决于处理器数量和内存数量，系统完全能够满足20万用户数据存放要求(20万*0.5M/用户=100G存放容量)，并能够保持较高处理性能，平均延时小于1秒，完全能够确保同时有超出5000(5000*1M/用户=5G内存容量)用户同时在线使用。提议采取以下系统安全方法提升系统安全性：安全分类安全方法主机安全支持身份认证平台管理员账号和操作系统分离支持Unix、Linux等安全性高操作系统传输安全支持HTTPS加密传输机制访问安全身份认证平台为各接入系统开设不一样访问用户能够设置数据同时服务对权威数据源访问账号读写权限建立对用户登录和注销行为系统日志，能够跟踪非法用户入侵和正当用户非法攻击系统只使用以下端口：系统管理端口58080，LDAP访问端口389，认证服务器端口0存放安全全部用户口令采取高安全不可逆加密存放全部包括到对其余数据库访问账号配置采取加密存放安全管理支持用户数据在线备份，和系统快速恢复支持用户口令强制订期变更平台可靠性和扩展性为确保系统7*二十四小时运行，可采取双机运行模式，一台服务器停顿运行后，另外一台服务器能够不间断自动切换，不影响业务系统正常运行。同时在硬件层经过RAID1确保所存放用户身份数据可靠性，并在系统管理上支持用户身份数据在线备份和备份数据定时远程上传，确保在硬件层故障时，管理员能够快速进行系统整体恢复。平台数据存放能够依照实际数据量经过扩充主机磁盘容量方式进行扩展。统一信息门户平台统一信息门户平台（Portal），就是将各种应用系统、数据资源和互联网资源集成到一个信息管理平台之上，它把分立系统不一样功效有效地组织起来，为各类用户提供一个统一信息服务入口，并提供高可配置功效，提供WEB网站页面格调、布局、内容等方面定制工具。设计关键点智慧校园包括教务、人事等多个业务系统，每个业务系统都会提供用户不一样信息服务，而且在各系统中也存在多个应用子系统，每个子系统也都会提供不一样服务界面。为提升易用性和一致性，需要在校内建立统一信息服务门户平台，经过该平台重点处理以下几方面问题：统一信息门户平台重点处理以下几方面问题：（1）提供符合师生使用习惯高效、可靠平台；（2）提供符合通用标准、可连续升级框架；（3）提供各种WEB应用系统与门户系统集成伎俩，完成不一样应用系统界面集成；（4）提供安全凭证登录伎俩，用于实现对外部系统和内部无法改造系统访问时单点登录；（5）提供满足用户个性化使用需求界面自定义功效；（6）提供门户应用开发框架、工具支持，处理学校一些非系统级应用快速实现要求。平台框架信息门户平台架构以下：从功效上来看信息门户平台有六大部分组成：门户基础框架，提供标准运行和开发框架应用集成插件，用于满足校内外各类WEB应用界面集成需求内容管理模块，提供统一内容采编、审核和公布管理个人服务模块，用于满足师生用户个人资料管理服务需求公共服务模块，用于满足面向公众信息互动和共享需求协作服务模块，用于满足人员之间、业务之间协同工作需求门户运行环境提供符合Portlet1.0规范门户运行支撑框架；提供标准Portlet开发接口，支持门户应用快速开发；提供频道、栏目、页面、内容管理功效，用于管理员创建不一样主题缺省网站；需提供个性化定制界面功效，支持管理员对界面配置，在界面中修改布局、样式、栏目和栏目标位置，同时支持个人用户自主管理自己缺省界面；提供对Portlet应用在线布署，在不影响已经有应用运行情况下加载新应用，或对已经有应用进行更新和卸载；提供分类Cache监控管理功效，管理员能够有针对性监控Cache使用情况；提供单点登录服务，集成统一身份认证及权限管理平台；提供信息门户备份和恢复功效，保障系统可靠运行；提供日志、审计、监控、统计分析功效。平台主要功效应用管理模块信息门户平台提供了完善应用管理工作，包含应用注册、应用信息管理和应用负载管理。应用注册：在门户内注册新应用。应用只有在门户注册后，用户才能够经过门户访问；门户支持portlet应用系统在信息门户注册和管理，供用户使用。应用信息管理：管理应用系统相关信息，如管理员、使用期等。应用负载管理：信息门户基于应用服务器集群环境实现负载均衡管理，可布署多个平台实例，支持大规模用户访问。系统监控：监控系统访问信息，提供系统日志，方便管理员有效量化管理。应用集成套件URL资源管理插件，提供对URL资源类和资源明细维护和授权，基于所维护URL资源管理，能够灵活定义不一样URL资源显示栏目，用于支持不一样应用系统菜单级集成；IFrame集成插件，支持嵌入其它系统页面，用于实现和其余网站界面无缝集成，并能够控制集成后栏目标表现形式；WebClipping集成插件，能够对应用服务器访问到页面进行区域裁剪，裁剪后内容作为门户栏目进行统一管理；URL集成插件，支持服务器级高效集成，包含对网站或其余门户栏目标集成；RSS集成插件，支持自动从其它符合RSS（ReallySimpleSyndication，简易信息聚合）规范网站或门户采集到需要数据，并定义对应展现方式；凭证登录插件，支持用户实现对外部网站或内网不能实现身份集成网站单点登录功效；JSP编辑器插件，对数据库查询进行安全封装，支持在线JSP编辑，供开发人员和管理员快速开发一些数据库查询公布应用。个性化Web桌面提供栏目管理功效，支持管理员增加新栏目，修改或删除已经有栏目，同时提供栏目分组管理功效用于方便管理员对栏目标管理；提供栏目授权功效，支持管理员实现按栏目授权给用户组或用户功效；提供内容页管理功效，用于管理员创建不一样主题内容页，同时支持二级内容页定义；提供页面格调扩展功效，支持管理员灵活扩展用户可选择页面格调；提供最终用户个性化定制功效，最终用户能够自主选择页面格调，并自主定义自己内容页；提供站内搜索服务，支持最终用户能够经过关键字和内容进行搜索。内容管理子系统内容分类设置，提供内容类内容属性、显示格调设置，并支持分级管理，由分级管理员完成子类管理；审批流程定义，提供管理员依照不一样内容分类定义审批流程，以满足不一样类型内容不一样审批权限和审批级别；内容编辑功效，提供所见即所得编辑方式，支持在线编辑、当地编辑和引用链接三种，满足不一样场景下内容快速录入需要；内容审批功效，提供审批人员待审批内容列表，对于每项审批内容能够直接修改，也能够使用批注，以提升审批效率；内容公布功效，对于经过审批内容，公布责任人能够设置公布使用期，支持预公布和实时公布；内容归档功效，依照所公布内容特征，由系统自动进行归档存放，并对所归档内容提供查询和统计；可与学校主页有机整合，共享新闻、通知、公告等网站信息；支持整合学校各部门二级门户网站，构建独立门户。个人服务子系统个人记事本，为用户提供网络记事服务。并提供查询、搜索功效；个人文件夹，依照个人权限分配网络空间，用于上传、下载、检索个人电子资料，并能够按文件或目录授权给挚友或指定用户共享；提议学生每人分配200M空间，教师能够分配1G空间；个人相册管理，提供相片数据上传、维护，提供图片按百分比在线浏览，同时用户能够按相片文件或目录授权给挚友或指定用户共享；新闻浏览器，提供RSS新闻浏览服务，自动收取各新闻网站RSS新闻内容；个人收藏夹，提供给普通用户使用，用户能够在网上管理可用网络书签资源；个人主页（博客），提供给每个用户一个个人主页空间，用户能够发表文章、评论、标签等Web内容。公共服务子系统公共信息服务，提供校内公告通知、网上调查，天气预报、出行查询等；网上投票，提供网上投票定义、按用户组授权功效，调查表格可按需扩展，并提供图形化统计和分析功效，用于搜集特定群体对特定问题看法，可按权限公布详细投票信息；图文广告，提供多个表现形式广告管理，用于基于门户公布各类广告信息；公告管理，提供管理员和授权人员依据通用模式维护公告列表和公告内容，同时提供按列表批量公告公布和单条目标公告公布。协作服务子系统日程管理，提供用户行程日历，在日历上实时标识每日工作安排，同时提供对外服务接口，实现和其余业务系统行程安排整合；待办事宜，为登录用户提供待办任务提醒和管理，提升网上工作协作能力；网络留言，经过该服务实现网络留言和回复功效，处理个人不在线时工作协作。平台布署及性能说明信息门户平台布署在标准J2EE应用服务器之上，支持在单台服务器上垂直扩展、在多台服务器上水平扩展，垂直扩展能够提升系统运行可靠性，水平扩展能够线性提升性能，以下列图所表示布署架构：基于上述结构，系统在以下测试环境中性能情况以下：测试环境环境说明网络环境在试验室局域网内，网络带宽100M硬件环境服务器：2CPU主频3.2GXeon、2GRAM客户端1：2CPU主频为1.6GXeon、4GRAM客户端2：1CPU主频为2GP4、512MRAM操作系统服务器操作系统为：RedHatAS3.4客户端操作系统为：Win系统软件数据库：Oracle10g应用服务器：WebSphere6.0ND测试方法在2分钟内仿真200用户连续访问门户指定页面，页面内容为194K测试结果依照上述测试结果，在单台2颗Xeon3.2GCPU、2GRAMPC服务器平台上，门户服务器平均处理能力能够达成132.11RPS；100个并发访问时，每秒可处理50个访问请求，平均响应时间1.9秒，在2分钟内能够处理15000次以上用户访问请求，页面访问速度小于3秒，并发用户支持人，在线用户支持2万人。平台可靠性和扩展性说明信息门户平台采取以下技术确保系统可靠性和可扩展性运行：支持在一台应用服务器内部垂直扩展，能够依照应用服务器内存情况，同时创建多个服务实例，在一个服务实例故障时，其余服务实例能够自动接管对应用户访问请求支持在多台应用服务器之间实现水平扩展，并能够依照各服务器处理能力设置对应负载权重，在一台服务器故障时，其余服务器能够自动接管对应用户访问请求支持门户单个应用在线加载和更新，某个应用出现问题时，能够在服务不停情况，实现对该应用更新平台安全性考虑安全分类安全方法网络安全支持应用服务器布署在内部网络，经过HTTPServer提供对外访问主机安全门户系统管理员能够配置为统一身份认证及权限管理平台中指定用户，不存在对操作系统用户依赖支持对门户系统管理员账号强制订期变更支持Solaris,Linux等安全性高UNIX操作系统传输安全支持HTTPS加密传输机制访问安全对统一身份认证及权限管理平台访问账号是受限账号对相关数据库访问账号是受限账号系统只使用J2EE服务器标准端口存放安全全部包括到对其余数据库(系统库、业务库、共享库)访问账号采取加密存放对统一身份认证及权限管理平台访问账号采取加密存放对于采取凭证登录和凭证登录Portlet应用,其登录凭证采取加密存放数据中心平台数据中心建设能够分为三个阶段，第一个阶段主要是公共数据库建设，其目标是集成学校现有和即将建设应用，标准化学校相关数据，提供部分针对详细业务查询和报表。第二阶段主要是数据库应用建设，其目标是对学校数据资产进行盘活，提供面向全局数据展示服务。第三阶段主要是数据仓库建设，其目标是依照学校详细需求和数据情况提供高层次数据服务，加强学校关键竞争力。公共数据库平台建设须依据数据中心整体架构，考虑未来数据应用需求，建设一个面向未来、先进数据平台。数据中心实现数据存放、数据交换、数据服务、数据处理功效，主要为学校数据集成与应用提供一个综合性支撑平台，数据中心应基于学校详细需求建设，面向学校综合信息服务，为未来构建新业务应用提供强大数据平台和服务平台。智慧校园系统数据交换系统将经过CIF（客户信息系统）传输层（JMS接口，JAVA消息服务接口）数据交换方式在区域内、代理之间经过两种方式共享数据：公布/订阅和请求/应答。代理将订阅者感兴趣数据改变（CIF_Event消息）发送给区域综合服务，从而实现公布过程。代理也能够向区域综合服务发送CIF_Request消息，请求应答结果，最终将收到一个或多个CIF_Response应答消息，实现与教育资源网、CMIS系统、教委体系原有应用系统或机构信息系统、新构建应用系统之间进行快速、安全数据交换。以下列图所表示：数据中心建设重点分为以下三个方面：建设全局数据集成与应用集成中心数据中心以数据集成与应用集成为目标构建综合性学校应用中心，使业务系统完成从以技术为中心向以数据为中心方向转变。提供多角度、多层次数据服务数据中心基于开放标准与规范，经过OLTP（联机事务处理）、OLAP（联机分析处理）数据处理相结合伎俩实现各种数据服务，使学校业务和管理系统在战略层面、战术层面、操作层面、运行层面都能为相关各类用户提供愈加好支持和服务。保护投资，增强现有应用数据中心对现有信息技术资产具备兼容性，能够保护已经有投资、防止重复构建，提供对专有系统集成能力，提升已经有系统和新系统可靠性、模块化、可扩展性、可伸缩性和稳定性。技术路线数据交换平台是智慧校园关键技术支撑平台主要组成部分，是整个系统信息传输、信息交换总线。经过数据交换平台将各业务系统数据库中需集成数据自动上传到共享数据库中，并按各业务系统订阅需求将共享数据分发到各业务系统，从而实现数据统一集成和标准化，为提供数据综合查询、统计分析奠定数据基础。同时，保留各业务系统原有数据库，确保各业务系统完整性。现在，数据交换平台底层技术选择有两种技术路线：一个是单纯满足数据交换需求，强调数据集成能力，简化适配器开发，比如Oracle数据集成器（ODI）；另一个是采取EAI（EnterpriseApplicationIntegration，企业应用集成）方案，在SOA（Service-OrientedArchitecture，面向服务体系结构）架构模式下，实施服务总线ESB（EnterpriseServiceBus，即企业服务总线），强调设计架构，需要大量开发适配器，不过能为学校奠定一个有效SOA架构基础，而且从数据集成开始做起，积累经验，比如SUNCAPS就是这么处理方案。首选方案是以CAPS为基础服务总线模式设计，同时不局限于CAPS能力，还参考了EAI领域Tibco、Vitria等著