联通内部门户技术规范

目 录TOC\o"1-4"\h\z\u目 录 1前 言 41总则 51.1背景 51.2编制目的 51.3适用范围 51.4文档结构 51.5规范起草单位 61.6规范解释权 61.7参考文献 61.8名词解释和缩略语 62概述 73系统总体架构 73.1省分（总部）门户系统逻辑架构 73.2两级门户体系架构 83.3省分（总部）门户系统参考物理架构 94门户系统总体功能概述 104.1门户系统应用 104.1.1用户管理 104.1.2认证管理 104.1.3访问策略管理 104.1.4安全管理 104.1.5个性化服务 104.2企业应用集成 104.3统一的用户目录管理 104.4用户认证及访问权限控制 114.4.1用户认证流程 114.4.2访问权限控制 115两级门户互联 125.1门户互联访问类型 125.2门户互连实现技术 125.2.1门户互联技术列举 125.2.2推荐方式及性能对比 135.3统一待办集成 135.3.1概述 135.3.2集成方式 145.3.3表结构设计 146单点登录实现 156.1省分门户内的单点登录 156.2集中应用系统接入各门户系统的单点登录 166.3跨门户访问的单点登录 186.4CDSSO功能实现的技术细节 197网络组织 207.1网络拓扑结构 207.2门户系统与应用系统的网络层互连 217.3IP地址及DNS规划 227.3.1IP地址规划原则 227.3.2DNS调整原则 227.3.3NTP配置要求 237.3.4邮件域名要求 238门户系统技术要求 248.1总体设计技术要求 248.1.1系统设计要求 248.1.2系统性能要求 248.1.3系统监控设计要求 298.1.4备份和恢复设计要求 308.1.5安全性设计要求 318.1.6接口要求 328.1.7编码原则 338.2门户对被集成系统的技术要求 358.2.1C/S接入系统技术要求 358.2.2B/S接入系统技术要求 358.2.3域内应用系统集成的实现方式 358.3主机设备 378.4操作系统 378.5存储备份硬件设备 378.5.1存储设备 378.5.2备份设备 388.6数据库 388.7门户平台软件 398.8目录服务平台软件 408.9机房环境要求 408.9.1机房温、湿度要求 418.9.2防尘要求 418.9.3防电磁干扰要求 418.9.4接地 418.9.5其它环境条件 419系统安全 429.1系统的可靠性 429.1.1系统可靠性、稳定性保障机制 429.1.2硬件可靠性 429.1.3软件可靠性 439.1.4平台稳定性要求 439.2网络接入安全 439.2.1身份验证 439.2.2拨号访问保护 439.3信息传输的安全 439.3.1完整性策略 439.3.2数据机密性 449.3.3网络可用性 449.3.4设备审计 449.3.5配置确认 449.3.6监视记录网络的活动 449.3.7入侵检测 449.4应用系统的安全 449.4.1主机系统安全 449.4.2操作系统安全 459.4.3病毒防范 459.5数据安全 459.5.1数据备份 459.5.2数据恢复 46前 言本规范主要规定了中国联通企业内部门户系统门户子系统的技术规范，主要包括系统总体架构、总体功能、两级门户互联、单点登录、网络组织、技术要求和系统安全等内容。中国联通企业内部门户系统的建设是企业信息化的重要组成部分，门户子系统是管理支持系统的重要组成部分。本规范是针对开发、建设中国联通总部、省分公司内部门户系统的门户子系统的技术规范，作为总部及各省（直辖市、自治区）分公司门户系统建设工作的指导依据。有关企业内部门户系统的规范主要包括：《中国联通IT系统MSS系统域企业内部门户系统业务规范》，包括门户子系统部分和用户目录子系统部分。《中国联通IT系统MSS系统域企业内部门户系统技术规范》，包括门户子系统部分和用户目录子系统部分。《中国联通IT系统MSS系统域企业内部门户系统测试规范》本标准由中国联通公司信息化部提出。本标准由中国联通公司技术部归口。本标准主要起草单位：中讯邮电咨询设计院、中国联通信息化部本标准主要起草人：xxxxxx本标准的修改和解释权属中国联通公司。1总则背景随着经济全球化趋势和中国加入WTO，中国电信市场的政府管制力度将越来越弱，市场更加开放，竞争更加激烈。国内外市场环境要求国内的公众电信运营企业在经营理念、管理模式上能上升到较高层次，以求在电信运营商的国际化竞争中立于不败之地。中国联通作为国内唯一一家对所有电信业务拥有经营权的电信运营商，拥有全国范围内相当规模的公用电信网，经营多种基础电信业务和增值电信业务，形成移动（GSM/CDMA）、长途（193）、数据（165）、IP电话、市话、增值业务等多种业务并存共同发展的格局。中国联通在全国31个省、市、自治区建有分公司，为了有效的发挥公司内部资源，提高内部管理效率，提高经营管理水平，中国联通逐步统一规划、建设全国范围内的MSS系统。2003年联通总部编制并通过了《中国联通管理支持系统（MSS）总体方案》，制定了MSS的总体建设思路。2004年，为指导同年进行的全国范围的MSS一期工程的建设，又组织编制并通过了《中国联通管理支持系统（MSS）技术规范》，其中明确了2004年的建设重点是实现公文流转、经营信息展现、电子邮件和基础网络设施等四个方面。经过一年的实施，已基本实现了一期的建设目标，同时也为联通MSS的后期建设打下了坚实的基础，创造了良好的信息化环境。2005年联通总部制定了新的建设任务，其中一个重点就是建设门户系统，为MSS、ERP提供统一的接入、认证和安全管理平台，为用户提供个性化的展现平台。企业信息门户的实施是MSS系统建设过程中一个重要目标任务。为规范门户系统的建设，中国联通总部组织制定了中国联通企业内部门户系统技术规范，本文件为中国联通IT系统MSS系统域企业内部门户系统技术规范门户子系统部分（以下简称“本规范”）。编制目的为了在前期的基础上更有效指导企业内部门户系统建设实施工作，中国联通有限公司特制定本规范。与本规范配套使用的还有《中国联通IT系统MSS系统域企业内部门户系统业务规范门户子系统部分》（主要提出了企业内部门户系统应具备的功能需求和相关要求），将共同指导、约束企业内部门户系统建设实施的相关工作。本规范可作为中国联通总部及各省分的内部门户系统建设实施项目的设计、开发、验收的相关依据。适用范围本规范指导并规范中国联通各省分公司进行门户子系统的建设。各省可依照本规范以及其它相关规范、标准，结合本地实际情况建设总部及省分的门户系统。文档结构第一部分：总则，描述本文的背景、编制目的、适用范围、文档结构、规范起草单位、解释权与修订权、名词解释和缩略语等内容；第二部分：概述，对规范的定位进行了概括性描述；第三部分：系统总体构架，从软件逻辑架构、两级门户架构及物理模型三方面进行了概括性描述；第四部分：门户系统总体功能，对门户的功能、门户集成的相关应用系统以及用户目录管理、认证流程进行了介绍；第五部分：两级门户互联，概要说明了门户互联的方式，并详细介绍了几种互联技术方法，并针对全国门户、省分（总部）门户待办集成的细节做出了规范要求；第六部分：单点登录实现，分别从门户内部、跨门户及全国门户三个方面的流程及CDSSO技术细节进行深入阐述和要求；第七部分：网络组织，对于网络拓扑结构、门户系统与应用系统的网络互联、IP地址及DNS规划等几个方面做出了说明和规范要求；第八部分：门户系统技术要求，对主机、存储、安全、门户软件等几个方面作出了要求，对于集成应用系统的用户管理、展现及单点登录提出具体的技术要求和可选方案；第九部分：对总体系统的可靠性，网络安全性，信息安全性，应用系统的安全性，数据安全性进行了相关说明并提出了相关要求。规范起草单位本规范起草单位为中国联合通信有限公司信息化部、中讯邮电咨询设计院。本规范增补、修订权属中国联合通信有限公司信息化部。规范解释权本规范的解释权为中国联合通信有限公司信息化部。参考文献《中国联通IT系统总体技术体制v1.0》名词解释和缩略语BSS：BusinessSupportingSystem，业务支持系统。EAI：EnterpriseApplicationIntegration，企业应用集成。ERP：EnterpriseResourcePlanning，企业资源计划。LDAP：LightweightDirectoryAccessProtocol，轻量级目录访问协议。MSS：ManagementSupportingSystem，管理支持系统。Portal：门户，在本规范中指企业内部门户，是用户和管理支撑系统、业务系统之间的桥梁。门户系统将企业分散的应用和信息进行聚合，实现应用关联和信息共享，供决策支持服务。Portlet：是基于应用系统的展现端组件，通过与应用系统的接口获得应用数据和操作功能。Portlet可以是Portal系统的一部分，由Portal系统提供工具和运行环境实现Portlet的生成、运行、授权、维护等管理工作。SSO：SingleSign-on，单点登录，即用户登录后不需要再次提供认证信息就可以访问相关各应用系统。CDSSO：CrossDomainSSO，跨域的单点登录，即在两个独立的安全域之间实现的单点登录。TAM：TivoliAccessManager提供集中式的认证/授权/审计功能，并实现对门户及各种后台子系统的单点登陆。包括PolicyServer和WebSeal两个主要的组件。TIM：TivoliIdentityManager提供集中式的账户生命周期管理，通过TIM可以实现对各种后台子系统的账户管理，包括Domino/AD/ERP等系统的帐户信息。IDI：IBMDirectoryIntegrator通过各种标准的连接器与各种账户注册表进行连接，并通过流水线对数据进行处理，从而实现账户数据的同步。IDS:IBMTivoliDirectoryServer基于LDAP标准的LDAP目录服务器,用户信息存储在这个目录服务器中,并可以根据联通公司的需求来灵活的定义用户的属性信息.LTPA:LightWeightThirdPartyAuthentication，轻量级第三方认证（LTPA）的认证机制,LTPA定义了存储在客户端上的令牌格式，运行在不同机器上的WEB应用程序使用LTPA实现用户认证信息的传递。iFrame:主浏览器窗口的一个子窗口。从运行在它上面的软件的来看，iFrame是属于它自己的窗口，能够独立于包含自己的窗口之外而独立运行。NTP：网络时间协议（NetworkTimeProcotol）。它的目的是在互联网上传递统一、标准的时间。具体的实现方案是在网络上指定若干时钟源网站，为用户提供授时服务，并且这些网站间应该能够相互比对，提高准确度。概述企业信息门户系统包括门户子系统和用户目录子系统。对于“中国联通企业信息门户系统”的理解，可以从以下几个方面予以直观定义：是直接面向全部的联通员工（含各级领导，以下同）的内部信息服务界面，以支持日常管理工作为目的；是联通员工接触企业信息资源（获取必要的企业信息和数据、以及操作相关的应用系统）的统一入口、统一渠道，并根据登陆门户系统的员工角色来呈现相应的信息服务功能界面；从用户（即联通员工）体验的角度，对单点登录（SSO）的支持是门户系统的典型特征；对企业机构组织及员工信息，以及应用系统和信息数据资源的访问权限进行统一管理，以确保企业信息和IT系统的安全性；从技术实现上讲，门户系统要解决企业信息内容和应用系统的聚集，即把企业信息通过有机的集中手段来展现、提供给用户。门户子系统和用户目录子系统共同实现中国联通企业信息门户系统。系统总体架构本部分将从系统软件逻辑架构、两级门户架构及物理模型三个方面对内部门户系统进行概括性描述。省分（总部）门户系统逻辑架构图3-1联通企业信息门户系统层次划分示意图图中系统的描述了联通企业信息门户系统的层次划分：用户端：中国联通信息门户系统的客户端目前考虑主要对普通的PC浏览器提供访问支持。在条件成熟时，可以对部分用户经常需要访问的应用：如办公系统、邮件系统等提供PDA和手机等移动终端访问的支持。接入层：接入层是直接接受用户访问请求的应用层，它的功能主要包括：用户的认证、用户动态信息访问请求的转发、对于静态内容的缓存等。接入层的主要作用一方面是提高系统效率，另一方面是保障门户系统的访问安全，防止非授权的非法访问。应用层：用以提供用户管理服务和门户服务的应用。主要是门户服务引擎和用于整合一系列后端应用的Portlet，另外在这一层还包括储存用户信息的目录服务器以及存放门户所需数据的数据库。应用系统层：主要是中国联通目前已有和准备将来建设的后端应用系统。两级门户体系架构无论总部门户、省分门户还是全国门户，域内体系架构都按照省分或总部协同办公系统逻辑架构统一建设。为了实现互连互通的业务目标，各级门户要综合考虑实现门户互访的技术要求，下图是两级门户体系架构的示意图。图3-2MSS系统两级门户体系架构示意图由图3-2可以看出，为了实现两级门户体系，需要考虑以下的技术要点：总部门户、省分门户和全国门户使用一致的门户平台和统一认证平台产品；总部门户、省分门户和全国门户域内的结构按照总部门户、省分门户和全国门户体系结构设计实现；用户身份的确认也是通过两个单点登陆平台的CDSSO模块来实现，单点登陆系统的CDSSO模块会按照一对一的原则对应到存储在本地用户目录中的远程用户；用户通过门户中提供的特殊连接，实现跨门户的互访；省分、总部、全国门户系统中用户信息需要同步；针对Portal中iFramePortlet,采用WebSEAL的CDSSO方式来实现；针对WSRP，全国Portal和总部Portal，省Portal之间采用LTPA方式，所有的Portal服务器采取相同的LTPAKey，相同的域名，和时钟同步。采用LTPA来实现Portal和Portal之间的身份传递，WebSEAL和Portal集成也为LTPA的方式。省分（总部）门户系统参考物理架构门户系统物理构架需要考虑以下要求：物理架构设计的原则是高性能，高可扩展性和高可用性相结合。物理架构只作为实施阶段的参考，不强制严格按照本架构实现。具体物理架构图参见《中国联通IT系统MSS系统域企业内部门户系统技术规范_用户目录子系统部分》。门户系统总体功能概述本部分将就门户的功能、门户集成的相关应用系统以及用户目录管理、认证流程进行阐述。门户系统应用门户系统负责提供用户访问的安全控制手段、个性化内容展现、内容管理和门户相关服务功能等应用，具体包括：用户管理提供企业门户用户信息的管理手段，并与统一访问控制管理的人员目录管理机制相结合，为实现通过门户系统访问内部资源的单一登录机制提供人员信息基础。认证管理提供支持多种认证方式，包括静态密码、动态密码、数字证书等，对用户访问进行身份认证。同时，可以直接利用已有系统中的用户账户信息，进行身份认证。访问策略管理为用户访问门户系统提供信息访问权限控制、访问渠道管理等多种功能，并为个性化服务提供访问策略控制定义。安全管理提供防侵入、防病毒等手段，保证企业内部资源的安全。同时，提供负载均衡、容灾等机制，保证系统的高效性和安全可靠性。个性化服务在系统统一控制管理的基础上，为员工提供个性化的管理平台。访问者可以根据自身工作性质和对企业资源的访问需求，设置个性化的访问界面，并通过这种个性化的服务查阅、管理相关的信息。企业应用集成企业应用集成包括分布在中国联通总部和各省分公司现有的信息系统，主要包括OA、邮件、经营分析等系统。统一的用户目录管理统一企业信息资源管理主要实现对企业内部所有的人员、组织、工作组、角色、应用系统等信息的统一保存和管理，为门户系统提供认证、访问授权和资源管理服务。统一信息资源管理一般通过LDAP技术以目录服务的形式实现。关于目录对象的具体定义、目录服务的管理和集成，参见《中国联通IT系统MSS系统域企业内部门户系统技术规范_用户目录子系统部分》。用户认证及访问权限控制用户认证流程用户认证即用户登录到系统中，系统确认登录信息有效后，为其提供一个合法的身份。TivoliAccessManager的WebSeal组件是所有应用系统的统一的认证入口。根据不同的安全需求，可以采用不同的认证方式进行用户身份的认证。通过目录服务存储的用户ID和口令来认证用户身份；采用X509v3电子证书，电子证书存放在客户端，通过调用客户端的证书进行身份认证。对于系统认证的方式可以根据现有系统的安全需求，采用某一种认证方式，或者使用多种认证方式以保证系统访问的安全性。鉴于现有应用系统的用户接入主要采用内网接入的方式，因此用户认证主要采用用户ID和口令的方式，部分安全级别较高的应用系统可以采用二次认证的方式。用户认证通过WebSeal组件进行统一认证，用户进入系统的认证流程如下：图4-1用户认证流程说明：用户通过用户ID+密码进行系统登录。WebSeal组件通过LDAP提供的接口从LDAP服务进行用户身份认证；LDAP认证服务将用户认证信息返回到TAM策略管理组件，该组件根据用户角色决定用户能够使用的应用功能及个性化定制；TAM策略管理模块把用户可以使用的相应的功能及个性化定制内容返回给门户系统；门户系统将用户可见的应用功能可内容展现到用户浏览器中。用户通过门户系统访问在门户上集成的应用系统时通过WebSeal组件完成单点登陆认证，具体单点登陆认证实现参见《中国联通IT系统MSS系统域企业内部门户系统技术规范_用户目录子系统部分》。访问权限控制用户的权限包括对应用的访问权限和操作权限。访问权限用于控制不同用户对系统数据和功能的访问范围，可以根据用户所在的用户组或角色来控制用户在系统中的访问权限。操作权限是控制用户组或角色的对系统中资源的访问操作权限，操作权限由系统管理员来定义系统中的用户组或角色，并分配其相应的系统操作功能和访问页面。为更好的集中管理各系统中用户的访问权限，需要将系统的访问权限由TivoliAccessManager系统统一进行管理，而系统的访问权限主要是通过管理用户的属性，也就是管理用户所在的用户组或角色，来控制用户在系统中的访问权限。而对于操作权限，即用户组或角色的权限分配由原系统各自分配和管理。为规范新建系统实现统一授权管理，需要在统一用户管理的基础上，将各系统用户所在的用户组或角色信息，以用户属性的方式加载到统一用户目录中，然后由门户系统提供统一的用户授权页面，根据各系统中用户所属的用户组或角色，以实现用户访问门户系统的统一用户访问授权管理。两级门户互联本部分将概要说明门户互联的方式，详细介绍几种门户互联技术实现方法及对比，并针对全国门户、省分（总部）门户待办集成的细节作出规范要求。门户互联访问类型门户系统间的互连，主要是指某个用户通过本地门户访问异地的门户，主要支持下面几种情况的门户互访：总部用户能够通过总部门户访问各省分门户，并通过省分门户访问省分的办公自动化、经营分析等系统的数据和信息。总部用户能够通过总部门户访问全国门户中的集中应用。省分用户能够通过省分门户访问全国门户中的集中应用。在进行门户互访时需要解决的主要问题就是跨域单点登录，即需要在两个门户之间建立互相信任机制，通过这种信任机制允许对方系统的用户访问归属地的应用。门户互连实现技术门户互联技术列举链接直接跳转链接直接跳转是指在需要访问到其他门户网站上的信息时直接跳转到另一个门户网站。用户在进行跨门户的跳转时，不同门户之间的用户信息的传递通过跨域的单点登录(CDSSO)来实现。链接跳转是门户互联互通时最基本的一种互连方式，各省的门户均应实现与全国门户的链接跳转方式的互联，即各省用户能够通过连接跳转的方式跳转到全国门户中，全国门户能够识别用户的身份，并授予相应的访问权限。总部门户需要实现与全国门户以及各省门户的链接跳转式的互联互通。iFrame各级门户之间通过Portal提供的iFramePortlet实现远程门户内容在本地门户的展现。WSRPWSRP是业界标准的门户之间互联的标准，WSRP可以实现在一个门户上调用另一个远程的门户上运行的portlet。它有两个步骤：1）服务提供者将本地的portlet以WSRP的方式发布出来。2)服务使用者在远程portlet目录中浏览相应的服务，并将选中的服务添加到本地门户中。总部或者省分用户在需要在本地显示全国门户上特定Portlet内容时，可以使用WSRP方式。与链接跳转不同的是WSRP在显示源于其他门户上的信息时，仍然是在本地门户系统上进行，而链接方式将客户导引到远程的门户系统上。通用Web服务通用Web服务与WSRP类似，也是在本地的门户上调用远程门户上的内容，他们的区别是WSRP是对远程门户上界面信息的远程调用，而通用Web服务是通过web服务方式，调用远程服务的数据以及流程。RSSRSS(RichSiteSummary)是当前流行的一种信息发布格式，众多的公共网站都对该协议提供了支持。RSS是通过xml的格式，发布内容的摘要和内容，供其它的RSS客户端进行远程的调用。各省分需要发布到总部或全国门户上的内容，以及总部希望发布到各省门户上的内容可以使用RSS进行发布。具体实现方式是内容的提供方以RSS格式提供内容，在使用方的门户上部署RSSportlet，将远程数据源上的RSS内容提供给门户的用户。统一开发Portlet分别部署由总部或者总部指定的部门统一开发连接特定应用的portlet，然后由各省的管理员部署到全国及各省的门户系统中，并根据本省系统的实际情况进行参数配置。统一开发portlet分别部署能够有效重用开发资源，并且运行时有较高的运行效率。WSRP、通用Web服务、RSS方式等方式都是在各个省分公司通过远程调用的方式获得已经在总部门户上部署好的内容，当总部门户内容发生变化是，WSRP等机制会把变化的内容直接反映到各个省分公司，不需要省分公司人员干预。而这种方式需要一个把在总部开发好的Portlet发送到各个省分公司，由省分公司管理员单独部署的过程。所以这个方式和WSRP等方式最大的区别的是，WSRP方式是通过省分门户Portlet调用总部门户Porlet实现的，而这个方式是通过把统一开发好的Portlet部署到各个省分门户，然后通过这个Portlet调用总部具体的某个应用实现的，不需要借助访问总部门户系统。推荐方式及性能对比为实现两级门户系统互联的业务目标，推荐链接直接跳转、iFrame和WSRP三种技术为可选的门户互联实现方式。通过试点阶段进行的性能对比测试可知：采用链接直接跳转和iFrame时，系统响应速度较快；采用WSRP时，系统响应速度较慢。因此建议优先采用链接直接跳转和iFrame两种技术。统一待办集成概述统一待办集成工作涉及三个独立部署的门户系统：全国门户、总部门户及省分门户，其中每个门户系统都包含自己的待办列表。总部或省分用户访问本地水平应用时产生的待办工作信息将统一展现在本地门户的待办列表中；而当总部或省分用户访问集中应用时，所产生的待办工作信息需统一集成到本地门户（总部或省分门户）的待办列表中。集成方式统一待办集成的实现方式如下图：图5-1统一待办实现示意图为避免在两个门户系统之间直接进行数据交换可能导致的性能和安全性问题，采用中间数据库的方式对数据交换操作进行缓冲，即在全国门户、总部门户和省分门户均部署中间数据库表，待办数据的交换将在这些库表间进行操作。全国集中应用生成的待办信息将实时存储到全国门户的中间数据库中，全国门户读取其中的信息生成待办工作列表，展现给未建设门户的省分的用户使用。总部门户及省分门户定期从全国门户的中间数据库中同步总部或本省的待办数据至本地的中间数据库，并生成统一待办列表展现在总部或省分门户上。定期同步的频率为每小时一次。总部或省分用户在本地门户上点击待办工作链接，通过跨域认证（CDSSO）后可直接访问全国集中应用中的相应数据和功能。当用户完成业务处理后，全国集中应用将原来的待办工作自动转变为已办工作，并实时地写入全国门户的中间数据库中。此时全国门户的中间数据库将触发实时更新过程，将已办工作数据实时更新至总部或省分门户的中间数据库中。在完成上述每一步操作过程时，均须同步写入相应的日志数据。表结构设计待办数据库字段：表5-1待办数据库字段属性名属性描述属性类型长度是否为空是否自增PendingID待办IDLong否是PendingCode待办信息的编号Varcher50否PendingTitle待办标题Varcher200否PendingDate待办时间Timesample否PendingPersonID待办人UserIDVarcher50否PendingURL待办信息URLVarcher200否PandingStatus待办状态Varcher1否PandingCityCode省分代码Varcher10否PandingType待办信息来源Varcher50示例：PandingCityCode：山东（SD）日志数据库字段如下表：表5-2日志数据库字段属性名属性描述属性类型长度是否为空是否自增ID日志IDLong否时UserID操作人IDVarcher50否OperDesc操作描述Varcher200否OperDate操作时间Timestamp否其中，操作的记录格式为：对**表进行了（增加/修改/删除）操作，（增加/修改/删除了）编号**，标题**，指定待办人**的数据。单点登录实现中国联通门户系统中认证和访问授权控制使用独立的认证和授权系统实现。认证和授权系统基于TivoliAccessManager建设。本部分将从门户内部、跨门户及全国门户三个方面的流程及技术细节进行深入阐述和要求。省分门户内的单点登录图6-1省分门户内的单点登录示意图省分门户内的门户系统主要用来向用户展现来自各个系统的信息。省分门户内单点登陆功能的实现是通过“省分单点登陆系统”模块来实现的。它的功能包括有以下几个方面：提供用户认证的功能，包括用户名/密码和动态密码的认证方式。实现用户访问后台应用的单点登陆功能。根据用户的角色和预先定义的权限，来判定用户可以访问那个应用系统。记录下用户的登陆操作和访问后台应用的请求。用户访问门户的步骤可以用以下的步骤来描述：用户通过“省分单点登陆系统”访问省分门户系统；“省分单点登陆系统”要求用户提供用户名/密码；用户向“省分单点登陆系统”提供有效的用户名/密码；“省分单点登陆系统”通过和存放在LDAP中的用户信息作比对成功后，要求用户提供动态口令；用户提供动态口令；单点登陆系统确认用户身份成功后，完成用户的认证工作，并且记录到日志信息中。在用户成功认证后，用户通过“省分单点登陆系统”连接到省分门户系统。根据用户访问省分门户系统中的不同页面，“省分单点登陆系统”会建立和后台应用系统的连接，并且完成单点登陆和向后台应用传递用户信息的功能，后台应用系统根据用户信息来判定用户的权限。集中应用系统接入各门户系统的单点登录图6-2集中应用系统接入各门户系统的单点登录示意图用户在省分门户系统中访问集中应用系统的步骤如下：用户通过访问本省的“省分单点登陆系统”访问省分门户系统，实现省分门户系统内的单点登陆。通过省分门户系统中的特殊连接访问集中应用系统，当用户请求在省分门户和集中应用之间转发时，用户身份的确认也是通过两个单点登陆平台的CDSSO模块来实现的。当用户信息从“省分单点登陆系统”的CDSSO模块传递到“集中应用系统单点登陆系统”的CDSSO模块后，“集中应用系统单点登陆系统”的CDSSO模块会根据用户的相关信息来映射到本地的用户账号。在映射到本地用户账号后，也完成了到集中应用系统的单点登陆的功能。这种单点登陆功能的实现和门户系统内的单点登陆功能的实现是一样的。跨门户访问的单点登录图6-3跨门户访问的单点登录示意图跨门户访问的步骤如图6-3所示：用户登陆到总部单点登陆系统，可以访问总部门户系统中的所有资源。通过门户系统中的特殊连接访问省分单点登陆系统，当用户请求在总部门户和省分门户系统之间转发时，用户身份的确认也是通过两个单点登陆平台的CDSSO模块来实现的。当用户信息从总部单点登陆系统的CDSSO模块传递到省分单点登陆系统的CDSSO模块后，省分单点登陆系统的CDSSO模块会根据用户的相关信息来映射到本地的用户账号。在映射到本地用户账号后，也完成了到省分门户系统的单点登陆的功能。这种单点登陆功能的实现和门户系统内的单点登陆功能的实现是一样的。CDSSO功能实现的技术细节图6-4标准环境中用户认证的工作模式示意图标准环境中用户认证的工作模式下，当接收到第一个用户请求时，WebSEAL意识到它并没有关于这个用户的信息，因此发出认证挑战。用户响应挑战后并且验证了用户信息，WebSEAL为该用户建立了身份凭证。这个凭证和用户对话期间的某些保持不变的特性相联系，在这个例子里是SSL的对话ID。当接收到该用户的下一个请求时，WebSEAL从其长期特性中识别出该用户，并且采用代表该用户的身份凭证，这样该用户就无需再次进行身份认证了。图6-5跨域环境中用户认证过程的第一个阶段工作模式示意图跨域环境中必须找到WebSEAL服务器能够将一个用户的身份信息传递给另一个安全领域的方法。而且必须通过安全的方式这样保证这些信息无法被截取，无法被别有用心的人用来在新的安全领域中冒充该用户。在不同安全域中的这种身份信息转移时两个阶段的过程。首先，用户在本地领域的网站上点击一个特殊的链接来触发对本地WebSEAL服务器的跨域单点登录请求。这一触发请求的格式如下：/pkmscdsso?/作为对这一请求的回应，本地WebSEAL服务器创建并且加密一个包含本地用户信息的token。这个token和一个HTTP重定向请求一起发给用户浏览器。/?PD-ID=<token>用户浏览器接收到重定向请求后，它转向新的安全领域的WebSEAL服务器，将它的请求（包括加密的token）一起提交，这样就触发了CDSSO的第二阶段过程。图6-6跨域环境中用户认证过程的第二个阶段工作模式示意图跨域认证过程的第二个阶段，新的安全领域的WebSEAL服务器接收到一个触发其CDSSO功能的HTTP请求。它对该token进行解密（事先在两个安全域之间需要建立好共用的密钥），从而获得该用户的信息。接收方的WebSEAL可以从HTTP请求中的referrerheader里发现创建token的WebSEAL服务器的DNS域名，通过该域名它可以知道采用哪一个预先建立好的共用密钥来对token进行解密。同时这也意味着出发链接必须在一个静态页面中，它不可以在浏览器的地址栏里手工键入。该用户的信息可能会先经过一个用户映射程序映射到本地用户，然后再新的安全领域里面为该用户创建身份凭证。接着如果普通的登录过程，WebSEAL再将这个新的用户凭证和用户与当前的SSLID进行连接。这样用户就在新的安全领域里面创建了身份凭证，并且与他们之间的SSL对话过程建立了链接关系，接下来用户就如同通过正常登录后一样继续访问新的安全领域中的各种资源。网络组织本部分将就IP、DNS、时钟同步、邮件域名等几个方面进行详细说明及明确具体的规范要求。网络拓扑结构门户系统是基于TCP/IP协议的计算机网络应用系统，通过各种数据通信手段将各种设备和各级子系统连接起来，形成完整的网络系统。整个门户系统网络拓扑结构示意图如下：图7-1中国联通门户系统网络拓扑结构图门户系统的网络组织由三级构成：总部和全国门户系统：总部门户部分负责总部门户系统的网络服务，包括各种网络接入服务，如LAN/WLAN、WAP、PDA、SMS等；全国门户部分提供全国垂直应用给各省分和地市用户使用。省分公司门户系统：负责省分公司门户系统的网络服务，包括各种网络接入服务，如LAN/WLAN、WAP、PDA、SMS等；地市分公司节点：负责提供地市分公司员工到省公司门户系统的网络访问，由省分公司集中建设。由于在MSS一期工程，联通总部和各省分公司已经建成了覆盖全国的MSS传输网和各级MSS内部局域网，因此门户系统可以利用现有的MSS网络构建门户系统网络。此外，门户系统可以根据系统需求，增加门户服务器、认证管理服务器、用户目录服务器等服务器设备，也可以综合利用现有服务器设备。门户系统与应用系统的网络层互连门户系统与应用系统的互连可以有两种方式：在网络条件满足时，在门户系统与应用系统之间建立网络通道，由门户系统的相关组件直接访问应用系统，提供用户访问服务，如门户系统嵌入MSS系统。对于与BSS、OSS的连接，必须配置防火墙设备，以保障系统的安全，此时防火墙需要开放80端口，以实现与门户系统的接口。在网络条件不成熟，或者因为安全的缘故，网络条件无法与门户系统直接连接时，通过专门的网关服务器，进行数据的中转。如门户系统与经营分析系统的连接，以获取报表数据；与短信中心的连接，以实现短信的收发。IP地址及DNS规划IP地址规划原则目前各省分均分配有独立的B类IP网段，范围如下：/16、/16-/16、/16。各省分有独立的IP地址规划原则，省分之间不统一。考虑到目前各省分之间IP地址规划不统一，因此此次系统建设省分IP地址统一规划只细化到C类网段，以便部署全国统一的应用策略。具体原则如下：省分在备用地址中划分一独立的C类IP地址，做为协同办公系统服务器网段；尽量选择10.*.255.0/24网段，如果该网段被占用，则依次前移；网段内的IP规划由省分集成商确定。DNS调整原则各省分在各自的DNS服务器上增加指向总部的DNS记录：hq.unicom.local；hq.unicom.local。各省分针对协同办公系统新增服务器划分新的域，并修改各自的DNS服务器配置，对照表如下：表7-1省分新增域对照表省分名称新增域北京bj.unicom.local天津tj.unicom.local上海sh.unicom.local重庆cq.unicom.local黑龙江hl.unicom.local吉林jl.unicom.local辽宁ln.unicom.local内蒙nm.unicom.local陕西sn.unicom.local甘肃gs.unicom.local宁夏nx.unicom.local青海qh.unicom.local新疆xj.unicom.local西藏xz.unicom.local河北he.unicom.local河南ha.unicom.local山西sx.unicom.local山东sd.unicom.local安徽ah.unicom.local浙江zj.unicom.local江苏js.unicom.local湖北hb.unicom.local湖南hu.unicom.local福建fj.unicom.local广东gd.unicom.local广西gx.unicom.local云南yn.unicom.local贵州gz.unicom.local四川sc.unicom.local海南hi.unicom.local华盛hs.unicom.local各省门户对外地址为www.**.unicom.local；总部DNS的IP地址为：（unicom.local/hq.unicom.local）。NTP配置要求省分服务器与总部服务器之间需实现时钟同步，因此需将省分服务器的NTP配置为：（1）NTPSERVER1：；（2）NTPSERVER2：；（3）NTPSERVER3：01。邮件域名要求表7-2为全国各分公司邮件域名的具体规范，要求各分公司严格执行。表7-2全国各分公司邮件域名对照表公司用户邮件地址总部xxx@C北京xxx@BJ.C天津xxx@TJ.C河北xxx@HE.C山西xxx@SX.C内蒙古xxx@NM.C辽宁xxx@LN.C吉林xxx@JL.C黑龙江xxx@HL.C上海xxx@SH.C江苏xxx@JS.C山东xxx@SD.C安徽xxx@AH.C浙江xxx@ZJ.C福建xxx@FJ.C江西xxx@JX.C湖北xxx@HB.C河南xxx@HA.C湖南xxx@HN.C广东xxx@GD.C广西xxx@GX.C海南xxx@HI.C四川xxx@SC.C重庆xxx@CQ.C贵州xxx@GZ.C云南xxx@YN.C陕西xxx@SN.C甘肃xxx@GS.C青海xxx@QH.C宁夏xxx@NX.C新疆xxx@XJ.C西藏xxx@XZ.C华盛xxx@门户系统技术要求本部分将针对本次项目建设的主机、存储、安全、门户软件等几个方面作出技术要求，对于集成应用系统的用户管理、展现及单点登录提出具体的技术要求和可选方案总体设计技术要求系统设计要求基于开放的技术标准和体系架构，所有的软硬件必须符合行业内标准的技术规范以便系统的未来的扩展和集成的要求；高度集成性，因为信息门户要集成到联通企业不同类型的应用系统，因此所有的软硬件系统必须满足无缝集成要求以适应复杂的体系结构；高可用性及其扩展性，系统能够支持不同级别的扩展（横向扩展、纵向扩展，混合扩展））和负载均衡机制，集成管理多个服务器和组件的调度和运行，对各种异常事件提供应急方案和恢复手段，保证业务稳定、不间断（24x7x365）的运行；高度的安全性，系统结构基于通用安全标准，全面考虑系统安全的多个方面，提供了一个综合的安全架构。系统应该具有几个基本的安全特征：有完善的认证和授权机制；采用防火墙技术，防范非法用户的侵入，防止合法用户对重要的不宜公开的数据的侵入；重要数据的通讯采用SSL（SecureSocketLayer）等技术进行加密；系统平台提供很好的易管理性、易用性，提供集成化、图形化的客户端管理工具，可以方便的进行管理，支持单机系统和复杂群集环境下的集中统一管理。系统性能要求1． 系统设计支撑用户数：员工数*1.32． 高峰时支持最大主要单功能点并发用户数：员工数*15%3． 支持同时在线用户数（按照50％估算）：员工数*50%4． 出现登陆页面时间：不超过2秒钟5． 输入用户以及口令登陆系统时间：平均时间不超过5秒钟6． 忙时CPU利用率：不超过70％7． 平均CPU利用率：不超过50％8． 忙时内存使用率：不超过90％9． 平均内存使用率：不超过60％10．Cdma1x登陆页面出现时间：不超过10秒钟（PING系统服务器包的响应时间低于1000ms）11． 系统整机平均无故障时间（MTBF）不低于8000小时高可用性设计要求目录服务在用户目录系统建立之后，将向多个应用系统和业务系统提供用户目录服务，同时成为整个企业的核心，因此用户目录系统必须考虑高可靠性和高可用性。一、全国目录的高可用性：全国的目录的高可用性通过负载均衡和复制的架构来保证目录的高可用性。负载均衡图8-1负载均衡方式实现示意图在这种利用负载均衡实现用户目录高可靠性和高可用性的实现方式中，负载均衡环境中的这两台（或者多台）用户目录服务器不需要共享同一个存储空间，用户数据一致性的保证是通过两台（或者多台）用户目录服务器之间的复制来实现的。这两台（或者多台）用户目录服务器会同时处于运行状态，而且会同时向外提供用户目录服务。当其中一台向外提供用户目录服务的用户目录服务器出现任何故障而无法运行时，负载均衡器会检测到这种问题，而且会把用户对用户目录服务的请求分配到其他的正在运行的用户目录服务器上，对外提供的用户目录服务不会因为其中一台的故障而中止。当出现故障的用户目录服务器恢复起来之后，用户目录服务器之间的复制机制会保证他们之间用户数据的一致性。目录复制两台Master服务，采用peertopeer的复制，Master和slave之间采用Master－Slave的复制。图8-2目录复制方式全国应用使用Slave服务器进行认证。二、总部/各省的目录的高可用性：考虑到硬件投资和成本，在总部和各省可采用HACMP的方式来保证目录服务的高可用性。基于共享存储空间的HA方式图8-3共享存储空间的HA方式示意图如上图所示，利用HA软件实现用户目录高可靠性和高可用性的实现方式中，HA环境中的这两台用户目录服务器需要共享同一个存储空间，这种共享的存储方式和存储介质可以根据具体的硬件环境而有所不同，既可以通过光纤共享SAN环境中的硬盘阵列，也可以通过SCSI共享一个硬盘阵列中的存储空间。在这个HA环境中，只有一台用户目录服务器处于运行状态，另外一台用户目录服务器处于停止状态。当处于运行状态的用户目录服务器出现任何故障而无法运行时，HA软件会负责做IP地址以及用户目录服务的切换工作，从而保证用户目录服务可以在另外一台处于停止状态的用户目录服务器上启动起来，并且对外提供用户目录服务。在这个HA环境中，由于两台用户目录服务器之间采用共享存储空间的方式，因此两台用户目录服务器之间不需要进行用户信息的同步。访问控制一、全国访问控制系统的高可用性：采用硬件的负载均衡设备为WebSEAL服务器提供高可用性WebSEAL采用SessionFailover的功能，通过WebSEAL的配置可用实现。在单台WebSEAL失效后，Loadbalance将请求发送到另一台WebSEAL，WebSEAL将使用FailoverCookie,使得用户无需再次登录。采用AIXHACMP功能，TAMpolicyserver采用Hot-Standby图8-4全国门户负载均衡及HACMP二、总部/各省的访问控制的高可用性：总部有硬件的loadbalance，访问控制的高可用性采用和全国相同的架构。各省采用软件的Loadbalance设备为WebSEAL服务器提供高可用性，使用WPS中的Edgeserver组件。WebSEAL采用sessionfailover的功能，通过WebSEAL的配置可用实现。采用AIXHACMP功能，TAMpolicyserver采用Hot-Standby图8-5省分/总部门户负载均衡及HACMP身份管理一、全国身份管理的高可用性：全国系统没有身份管理的需求。所有的身份管理都由总部和各省来完成。总部/各省的身份管理的高可用性身份管理的包含如下组件：DB2数据库，采用HA方式。该DB2数据库和应用公用。LDAP服务的高可用性参照目录服务高可用性。由于硬件条件的限制，TIM使用的WAS服务器，采用单机的WebSphere。在发生TIM服务器故障时，将不能执行用户身份管理。图8-6全国用户管理门户生产系统中的WebSpherePortal采用了集群（Cluster）架构的方式，为今后的应用扩容提供了扩展能力。今后门户系统的扩容可以采用2种方式：水平（Horizontal）集群：通过新增服务器，在新增加的服务器上安装新的WeSpherePortal并加入现有集群；纵向（Vertical）集群：通过在现有服务器上为集群再次加入已有的WebSpherePortal节点。此种扩展方式会充分利用已有机器的闲置硬件资源（CPU,内存等）。注：在全国门户系统中，建议使用水平群集加上垂直群集的方式（1水平＋1垂直），充分保证系统的性能和高可用性；在总部和省公司门户系统中，建议首先使用水平群集的方式，在保证系统高可用性的基础上，再根据系统压力状况考虑是否需要配置垂直群集。系统监控设计要求目录服务监控如下内容：目录服务进程ibmslapdDB2数据库状况DB2数据库的空间Log文件访问控制监控如下内容：TAMpolicyserver进程pdmgrdWebSEAL进程(websealwindowsservice或pdweb进程)Log文件Ffdc中是否有文件生成身份管理监控如下内容：WAS进程DB2数据库状况DB2数据库的空间LDAP（同目录服务）门户监控如下内容：HTTP服务WPS进程DB2数据库状况DB2数据库的空间LDAP的可用性注：对Portal进程和连接池使用情况可以使用TivoliPerformanceViewer监控，该工具可以在产品安装时选择。生产系统中的WebSpherePortal采用了集群（Cluster）架构的方式，为今后的应用扩容提供了扩展能力。今后门户系统的扩容可以采用2种方式：水平（Horizontal）集群：通过新增服务器，在新增加的服务器上安装新的WeSpherePortal并加入现有集群；纵向（Vertical）集群：通过在现有服务器上为集群再次加入已有的WebSpherePortal节点。此种扩展方式会充分利用已有机器的闲置硬件资源（CPU,内存等）。注：在全国门户系统中，建议使用水平群集加上垂直群集的方式（1水平＋1垂直），充分保证系统的性能和高可用性；在总部和省公司门户系统中，建议首先使用水平群集的方式，在保证系统高可用性的基础上，再根据系统压力状况考虑是否需要配置垂直群集。备份和恢复设计要求目录服务备份如下的内容：IDS的配置文件etc目录的ibmslap.conf，在配置变化时备份。IDS数据采用数据导出的备份方式，编写备份脚本。每天全备份。访问控制备份如下的内容：Webseal的配置文件安装目录下的文件备份。TAMpolicyDB数据：采用TAM备份命令，编写脚本。在策略变更，TAMuser增加，变化时备份。身份管理备份如下的内容：IDS的配置文件etc目录的ibmslap.conf，在配置变化时备份。IDS数据采用数据库方式备份，编写备份脚本。每天全备份。ITIM的配置文件ITIM的安装目录下conf目录，在配置变化时备份。门户WebSpherePortal的备份通常可采用：在系统安装调试完毕后对WebSpherePortal安装目录做全备份，当WebSpherePortal相关的资源发生改变时：主题和外表的增加和删除，新装Portlet和删除已有Portlet，再次对WebSpherePortal安装目录做全备份；日常维护期间可以使用增量备份，可以采用周备份的模式；WebSpherePortalDB2数据库采用周备份。安全性设计要求目录服务特权帐户的安全cn=root为目录服务的超级帐户。需要妥善保护和授权该帐户的使用。db2instanceowner为目录服务使用的数据库的超级帐户。需要妥善保护和授权该帐户的使用。通信安全开放端口，缺省为389（非加密），636（SSL加密）中国联通没有KPI系统，LDAP通信采用非加密方式。其他应用使用目录服务时，应使用一个帐户连接目录服务，不用cn=root超级用户使用ACL来授权用户使用目录服务访问控制特权帐户的安全sec_master为访问控制的超级帐户。需要妥善保护和授权该帐户的使用。通信安全Policy开放端口，缺省为7135WebSEAL开发端口，缺省为7234中国联通没有KPI系统，TAM与LDAP通信采用非加密方式。WebSEAL与LDAP通信也采用非加密方式其他保护TAMpolicyDB文件不被非法访问身份管理特权帐户的安全itimmanager为身份管理的超级帐户。需要妥善保护和授权该帐户的使用。cn=root为ITIM使用的目录的超级帐户。需要妥善保护和授权该帐户的使用。db2instanceownerdb2中保留历史，审计信息，需要妥善保护和授权该帐户的使用。通信安全基于WebSphere，安全性由WebSphere控制中国联通没有KPI系统，TIM与浏览器通信采用非加密方式。TIM和IDI的通信不采用SSLTIM和Agent通信不采用SSL其他启用WAS的安全性，但不启用Java2的安全性。门户门户资源的授权门户系统的安全性通过TIM进行访问控制，门户资源授权由Portal自带的个性化定制功能来实现通信安全基于WebSphere，安全性由WebSphere控制门户的管理客户端使用加密方式，端口需要安装时指定PortalServer与LDAP通信采用非加密方式，端口389接口要求该部分主要针对基于LDAP系统开发的接口说明，在使用LDAPAPI时，有哪些方法可以使用，那些方法如何使用等，以下只是简单的说明，详细的接口说明和如何使用，参见相关的API说明。所有的目录服务都必须提供一定的接口，以便于使用目录服务和管理目录服务，同时为了能够在全国范围内方便的进行目录集成，要求所有的目录服务必须提供基于LDAP的应用程序接口（在RFC1823中定义），各种目录服务可以在此基础上进行相应的扩展。使用的语言建议采用Java或者C完成。本节定义的接口是LDAP协议中的基本数据接口，允许对其进行扩展。访问接口访问接口是指目录服务客户和目录服务主机进行会话的主要接口函数。一般要求所有的目录服务至少提供以下接口：Open：目录服务客户通过TCP协议与服务主机建立TCP通道；Bind类接口：初始化客户和服务器之间的通信会话；Unbind类接口：中止会话；Abandon类接口：取消全部处理中的请求；Search类接口：查找目录数据并返回结果；Compare类接口：检查一个目录项是否含有一个特定属性。管理接口管理接口是指目录服务管理程序或者客户对目录数据进行维护的主要接口函数。一般要求所有的目录服务至少提供以下接口：Modify类接口：更新一个目录项Add类接口：添加新目录项Delete类接口：删除目录项ModifyDN类接口：重新命名一个目录项或将一个目录移动到新位置。接口的规范对于成熟的软件要有成熟的接口模式、文件与配置办法对于其它应用，要求有具体的接口函数、对象，编码方式。编码原则概述门户的主要业务功能由门户小应用程序(portlet)提供，门户应用的开发实际上可以归结为一系列portlet的开发。Portlet是JavaServlet的一个扩展，因此，portlet开发的很多方面与典型的Web应用开发是一样的。然而，Portal的一些独特特性，如在一个页面中展现多个portlet，portleturl,porltet页面流的控制，portlet之间的通讯等，使Portlet的应用模型变得更复杂。在进行portlet设计时，需要仔细的考虑，以充分利用portal的先进特性，并尽量简化应用。编码规范部分指出了一些基本的portlet设计和编码原则，符合这些原则能在很大程度上实现代码的重用，并减少代码维护工作量，提高系统运行效率。在门户系统的设计和编码中应符合这些原则，以避免不必要的损失。Portlet设计原则在进行portlet设计时，将portlet分成三个部分：模式、视图和控制(MVC)。这种设计遵循标准的面向对象设计模式，每一个部分都是自包含并模块化的。它能使维护、扩展更加简单。模式(model)是portlet所处理和展现的数据。通常的数据格式包括:xml文档、数据库表或者其他的Web应用。模式中访问数据的Java程序应该无需知道数据的具体形式就能实现数据访问。理想情况下，model应该能够进行修改，而不会影响portlet应用的其他部分。视图（view）是数据模式的展现部分。View通过模式来实现对于数据的访问，因此它应该无需知道数据的详细细节。视图无需关注数据模式之间的关系。视图中不应包括处理数据的业务逻辑。与模式类似，视图应该相对独立并可修改。可以变更视图，而无需影响业务逻辑或者模式。推荐使用（JavaServerPage）jsp来实现视图，对于需要在多种设备上展现的信息，可以考虑使用XML+XSL来实现。控制(Controller)将Model和View连接在一起，并定义portlet中交互的方式。控制处理从view中获得的用户请求，并将它传递给适当的模式对象来完成请求所对应的操作。操作的结果由控制器使用适当的视图对象完成展现后发回给用户。控制位于Portlet的Java类中。它通过模式访问数据，通过View展现数据。在设计portlet时,MVC是一个最为重要的设计原则。Portlet通常都会变化得很快，新的portlet都会在很大程度上以原有的portlet作为基础，如经常需要让一个portlet连接到一个新的数据源，展现该数据源中的数据；增加新的标记语言，支持移动设备的访问；扩展portlet，以支持个性化等。Portlet开发原则在本部分列出了在进行portlet开发应当遵循的一些原则，这些内容可能影响到系统的可实现、稳定性、可维护性和效率。Portlet开发原则包括：portlet编码原则、jsp编码原则、数据管理的原则以及会话对象适用原则四个部分。Portlet编码：避免使用类实例变量：Portlet要求对于所有的请求处理程序都是线程安全的，将变量存放在实例变量中并由多个用户进行访问可能引起冲突。向视图(jsp)传递数据时，采用javabean的方式传递。充分利用portlet日志机制，以便在出现问题时能够追踪并定位问题。在代码中包括文档注释。使用数据访问服务(ContentAccessService)访问外部的内容。缓存portletsetting对象和portletdata对象，避免在session中保存在以上两个对象中存在的全局数据。采用Struts，Struts是一个优秀的架构，可以实现在portlet和servlet之间简单的实现移植。JSP编码原则:JSP中只能包含HTML的片段：portlet所提供的内容是最终展现的页面的一部分，因此它不能包含<HTML>，<HEAD>和<BODY>等标记。在JSP中也应当包括<TD>等用于内容组织和格式化的标签，以保证内容的格式化的组织，避免混乱。设计视图时考虑在同一个页面上有其他的portlet。用java风格的注释取代html风格的注释。使用portlet风格的类声明，以保持界面风格与门户管理员的设计相统一。URI,HTML元素的名称，JavaScript资源必须采用命名空间命名。多个portlet位于同一个页面中，为了避免命名空间的冲突，必须使用portletapi进行名称的编码。降低对于JavaScript的依赖，在不同的浏览器中，javascript实现的差别较大，为了兼容多个浏览器，应该尽量减少对于javascirpt的使用，尤其要避免应用的执行完全依赖于javascript。避免使用弹出式窗口：Portal是基于状态的，只能够通过portal和portlet知道你的操作，一旦弹出新的窗口，portal就对该窗口中的行为失去了控制。尽量使用taglib。数据管理原则：使用portletsettings对象保存与用户无关的配置数据。使用portletdata保存与用户相关联的配置数据。使用ServletConfiguration保存静态的初始的配置信息，如保存安装目录或者路径信息。会话管理：限制使用portlet会话来保存portlet状态信息。PortletSession是一个很方便用来保存全局数据的地方。然而这样做可能会带来比较大的系统开销，无论是内存还是cpu资源。对于一些比较方便重建的数据，或者比较大的数据对象，建议在需要时重建或者将其保存在数据库中以供访问。如果一个portlet需要支持匿名访问，不要使用portletsession。请求一个已存在的portletsession，而不是创建一个portletsession。通过<%@pagesession=”false”%>避免在jsp中创建临时的会话。门户对被集成系统的技术要求对于需要在门户中进行接入，实现集成的各水平应用系统，需满足下列技术要求：C/S接入系统技术要求对于中国联通公司现有的C/S架构需接入门户的系统，需完成系统架构由C/S变更为B/S架构，然后遵循B/S架构接入系统技术要求进行系统接入。B/S接入系统技术要求对于B/S架构接入系统，在接入时需遵循以下技术要求：修改系统界面，使接入系统或接入系统模块满足中国联通企业信息门户系统VI规范。基于IBMDominoServer平台基础开发的应用系统需按照中国联通公司统一目录要求进行用户管理。其他接入系统预留统一登录、统一认证接口。接入系统需支持Form-based、HttpHeader、LTPA此三种方式的一种。使用iFrame进行整体接入或单个模块接入的系统需提供接入URL。对于需要实现和门户系统在数据级别的通讯的系统，原则上系统需要进行自身修改，使之支持iFrame接入方式。如无法完成修改，系统需提供业务数据传输接口，或提供数据的文件传输。如使用XML文件传输、文本文件传输、WebServices传输等传输方式。域内应用系统集成的实现方式与邮件系统集成与Exchange邮件的集成用户管理接口实现方式邮件系统的用户注册库使用的是微软的活动目录（AD），在集成时采用与目录系统用户数据完全一致的数据结构，AD用户数据和目录用户数据通过用户帐号实现关联；用户数据由目录系统统一管理，不建议管理员在AD上进行用户组织增、删、改的功能；当目录数据发生变化时通过IDI装配线把数据的变化写入AD。展现集成方式邮件系统的展现采用调整邮件系统的页面展现风格，通过iFrame在门户内展现。SSO的实现方式邮件系统的SSO采用Form-based的方式实现，由于在Exchange登录时必须要用户密码，在TAM为邮件系统创建GSO帐号，GSO的帐号名为目录系统的用户名，密码为目录系统的用户密码。与domino邮件的集成用户管理接口实现方式如果邮件系统采用IBMDominoServer作为应用服务器，邮件用户使用DominoLDAP进行管理,在集成时通过IDI将协同办公系统主用户目录（IDS）中用户信息同步到DominoLDAP中，保证DominoLDAP存储的邮件用户信息与协同办公系统主用户目录信息相同。展现集成方式通过webPagePortlet(iFrame)封装各模块URL实现页面展现。SSO的实现方式LTPA令牌信任机制或者Form-based方式。与公文系统集成基于.net架构公文系统集成用户管理接口实现方式办公系统的用户注册库使用RDBMS，在集成时采用与目录系统用户数据完全一致的数据结构，办公用户数据和目录用户数据通过用户帐号实现关联；用户数据由目录系统统一管理，办公系统屏蔽掉用户组织增、删、改的功能；当目录数据发生变化时通过IDI装配线把数据的变化写入办公系统。展现集成方式在办公系统通过门户统一展现，展现集成的方式有两种：1、开发新的portlet重新实现某些应用的展现逻辑；2、调整办公系统的页面展现风格，通过iFrame在门户内展现。SSO的实现方式访问控制系统（TAM）通过httpheader的方式与办公系统实现SSO。与Domino的集成用户管理接口实现方式如果公文系统采用IBMDominoServer作为应用服务器，公文系统用户使用DominoLDAP进行管理,在集成时通过TDI将协同办公系统主用户目录（IDS）中用户信息同步到DominoLDAP中，保证DominoLDAP存储的公文系统用户信息与协同办公系统主用户目录信息相同。展现集成方式1）通过webPagePortlet(iFrame)封装各模块URL实现页面展现。2）开发新的portlet重新实现某些应用的展现逻辑。SSO的实现方式LTPA令牌信任机制或者Form-based方式。与经营分析系统用户管理接口实现方式采用中间表的方式实现对经营分析系统用户的管理（参照目录技术方案的目录接口部分），经营分析系统通过读取中间表的数据保证与目录系统的用户一致；总部人员访问经营分析系统，经营分析系统为有权访问该系统的总部用户建立相关帐号，为了实现经营分析系统的帐号与目录系统人员的映射，经营分析系统增加员工工号属性来实现与目录系统用户的关联。展现集成方式在经营分析系统通过门户统一展现，展现集成的方式有两种：1、开发新的portlet重新实现某些应用的展现逻辑；2、调整经营分析系统的页面展现风格，通过iFrame在门户内展现。SSO的实现方式经营分析的SSO采用httpheader或Form-based的方式实现。主机设备主机设备主要用于数据采集，集中认证，核心平台，数据分析，流程控制等的数据管理和应用处理。联通总部和各省公司应根据业务量、应用软件的特点等因素考虑主机设备的能力和数量，例如可根据实际情况进行某些服务器设备的合设或分设。主机设备的基本技术要求如下：主机系统应采用UNIX或windows等操作系统。主机系统需7×24小时连续运行，因而要求其具有很高的安全可靠性。企业门户系统应采用双机负荷分担或热备份技术等安全可靠性技术。主机系统设备应具有适当的扩充能力，包括CPU的扩充、内存容量的扩充及I/O能力的扩充等；并可支持CPU的板级升级和群集内节点数的平滑扩充。可靠性：系统整机平均无故障时间（MTBF）不低于80000小时。服务器应支持当前较为流行的数据库系统。处理业务量较大的主机可采用并行处理技术，包括并行数据库和多节点间工作量均衡软件等。接入局域网方式：根据实际需要采用相应方式接入企业门户的局域网。操作系统操作系统要求如下：操作系统支持虚拟内存管理，支持多用户、多任务、多进程和多线程；支持完全对称多处理器（SMP）；支持群集（cluster）；操作系统应至少达到C2级的安全标准；提供完整的软件开发环境；操作系统应提供图形化的系统管理工具；支持在线诊断和软硬件的自动错误记录，在电源故障或其他紧急情况可提供自保护和自恢复；支持中文大字符集等相关国家标准。存储备份硬件设备存储设备存储设备主要指磁盘阵列，主要实现企业门户系统数据的联机存储。磁盘阵列设备是企业门户系统中数据联机存储的关键资源，要求有很高的安全可靠性。根据实际需要，磁盘阵列设备应可与多种厂家的主机系统相连。磁盘阵列设备应能够提供多种与主机系统的连接方式，如SCSI-2、FC-AL等。磁盘阵列设备应支持多种RAID存储方式，包括RAID0+1、RAID5等。磁盘阵列设备应具有较强的平滑扩充能力，包括系统存储容量的扩充及I/O能力的扩充等。磁盘阵列应支持先进的存储备份方式，例如支持存储区域网（SAN）技术等。备份设备企业门户系统中的备份设备一般指大容量的磁带库或光盘库等，主要用于系统数据的脱机备份。根据实际需要，可采用数据库实时备份或增量备份、差异备份等备份策略。备份设备要求有良好的安全可靠性。根据实际需要，备份设备可与多种厂家的主机系统相连。备份设备应能够提供多种与服务器主机的连接方式，如SCSI-2、FC-AL等。备份设备应具有较强的平滑扩充能力，包括系统设备容量的扩充及I/O能力的扩充等。应支持先进的存储备份方式，例如SAN技术等。数据库数据库系统的基本技术要求如下：支持ANSI/ISOSQL-89、ANSI/ISOSQL-92标准；支持中文汉字内码，符合双字节编码；支持主流厂商的硬件平台及操作系统平台；数据库系统应具有良好的伸缩性；支持主流的网络协议（如：TCP/IP、IPX/SPX等）；具有良好的开放性，支持异种数据库的互访：实现对文件数据和桌面数据库数据的访问；实现对大型异种数据库的访问；能够将原有异种数据库向本数据库无损失移植；实现和高级语言互连的能力；支持ODBC、X/OpenCLI、JDBC等标准；支持分布式事务及两阶段提交功能；具有支持并行操作所需的技术（如：多服务器协同技术、事务处理的完整性控制技术等）；支持网络上同构或异构数据库之间数据的有效传输和冗余性复制