4A系统建模及实现方式研究.pdfVIP

4A系统建模及实现方式研究 李娟 崔海东 中国移动通信集团设计院有限公司 摘要：4A系统由于解决了运营商当前在帐号口令管理、访问控制及审计措施等方面所面临的 主要问题，被业界越来越广泛应用．本文归纳了4A系统的基本架构，针对4A系统中集中认 证及访问控制进行了建模，并提出了两种技术实现方案． 关键词：帐号管理、认证管理、授权管理、安全审计、单点登录 1 背景 目前电信运营商的很多网络、应用系统都是独立规划建设的，各个系统分别自行维护一 套用户数据，管理本系统内的帐号和口令；各个系统使用独立的用户认证体系。这种情况使 得对各种系统缺乏统一的用户管理和安全认证机制，存在较大问题，例如缺乏整体的用户管 理系统、数据不一致、维护工作量大、各系统之间互连互通难以实现等，最终导致管理成本 高、信息安全度低。 4A系统的出现，改变了上述状况。通过4A系统的建设与应用，整合了各种系统的帐号 数据，同时实现了集中认证、授权、单点登录及安全审计。 2 4A系统架构 4A系统由帐号管理、认证管理、授权管理及安全审计四部分组成，体系架构如下图所示： 管理和安全审计(A．udit)四要素。 帐号管理是将用户与其拥有的所有系统帐号关联，集中进行管理。管理员在一点上即可 对不同应用中的帐号进行管理，帐号创建、分配过程均留下电子记录，便于审计。 ·376· 身份认证用以实现应用系统对操作者身份的合法性检查。对各种系统来说，身份认证是 一个基本的安全措施。身份认证的方式可以有多种，包括静态口令方式、动态口令方式及基 于公钥证书的认证方式等。 授权是指对用户使用系统资源的具体情况进行合理分配，实现不同用户对系统不同部分 资源的访问控制，具体来说就是实现对各用户(主体)能够以什么样的方式(谓词)访问哪 些资源(客体)进行管理。授权具有不同的粒度特征，例如实体级、命令级、时间级等。 审计是指收集、记录、统计有关用户各种事件的情况。通过审计，可以及时发现非法登 录和非法操作，并对非法登录和非法操作快速分析、定位和响应，实现可追溯性。 基于4A系统可以确保用户安全、方便使用特定资源，既有效保障合法用户的权益，又能 有效保障系统安全可靠地运行。 3认证授权过程建模 目前运营商根据功能需求的不同，大多建设了很多应用系统，用户需要登录不同的应用 系统完成各种工作。如何实现集中的认证并实现单点登录是4A系统需要解决的一个核心问 题。本文对认证授权实现过程建模如下： 用户访问某应用系统(或者是某系统下的某个资源)时首先需触发认证，4A系统通过访 问控制实现系统的认证，并且配合实现授权。访问控制部分需要通过一定的凭证机制与应用 系统间建立认证、授权方面的信任关系。在这个过程中，认证、授权的基础是用户目录。 在该模型中，主要包括如下几个技术要点： ·用户使用表象 用户登录应用系统使用进行身份认证时可采用以下两种种方式： (1)方式1：PUSH方式 用户先经过静态的P玳码认证，然后输入动态密码再次申请认证(也可一步同时输入)。 、动态密码的获取可以采用手机短信方式、令牌方式等等。 (2)方式2：点播申请动态密码方式 用户在登录前点播申请动态密码(例如通过手机)，然后与静态P玳一起输入登录。 上述两种方式均能实现双因素认证，相比静态密码而言可增强安全性。 ·377· ·帐号管理实现方式 帐号管理是统一认证、单点登录的技术基础。需要建立起集中的用户目录，整合各应用， 系统的用户信息，实现用户信息的统一管理。需要支持对用户、用户组、组织机构等多种用 户属性的统一管理及生命周期管理。用户与多种应用系统、多种操作系统、多种网络设备和 多种主机的帐户之间无法统一的，可以通过关联关系实现统一管理。 (1)用户目录：目前业界此类产品较多，均可建立用户目录。如SuIlOne Directo巧Server、 IBMTivoli D№ctoryServ