统一身份认证设计方案(最终版)解说.doc

统一身份认证设计方案 日期：2016年2月 目 录 1.1 系统总体设计 5 1.1.1 总体设计思想 5 1.1.2 平台总体介绍 6 1.1.3 平台总体逻辑结构 7 1.1.4 平台总体部署 8 1.2 平台功能说明 8 1.3 集中用户管理 9 1.3.1 管理服务对象 10 1.3.2 用户身份信息设计 11 用户类型 11 身份信息模型 11 身份信息的存储 12 1.3.3 用户生命周期管理 12 1.3.4 用户身份信息的维护 13 1.4 集中证书管理 14 1.4.1 集中证书管理功能特点 14 1.5 集中授权管理 16 1.5.1 集中授权应用背景 16 1.5.2 集中授权管理对象 17 1.5.3 集中授权的工作原理 18 1.5.4 集中授权模式 19 1.5.5 细粒度授权 19 1.5.6 角色的继承 20 1.6 集中认证管理 21 1.6.1 集中认证管理特点 22 1.6.2 身份认证方式 22 用户名/口令认证 23 数字证书认证 23 Windows域认证 24 通行码认证 24 认证方式与安全等级 24 1.6.3 身份认证相关协议 25 SSL协议 25 Windows 域 25 SAML协议 26 1.6.4 集中认证系统主要功能 28 1.6.5 单点登录 29 单点登录技术 29 单点登录实现流程 31 1.7 集中审计管理 35 系统总体设计 为了加强对业务系统和办公系统的安全管控，提高信息化安全管理水平，我们设计了基于PKI/CA技术为基础架构的统一身份认证服务平台。 总体设计思想 为实现构建针对人员帐户管理层面和应用层面的、全面完善的安全管控需要，我们将按照如下设计思想为设计并实施统一身份认证服务平台解决方案： 在内部建设基于PKI/CA技术为基础架构的统一身份认证服务平台，通过集中证书管理、集中账户管理、集中授权管理、集中认证管理和集中审计管理等应用模块实现所提出的员工帐户统一、系统资源整合、应用数据共享和全面集中管控的核心目标。 提供现有统一门户系统，通过集成单点登录模块和调用统一身份认证平台服务，实现针对不同的用户登录，可以展示不同的内容。可以根据用户的关注点不同来为用户提供定制桌面的功能。 建立统一身份认证服务平台，通过使用唯一身份标识的数字证书即可登录所有应用系统，具有良好的扩展性和可集成性。 提供基于LDAP目录服务的统一账户管理平台，通过LDAP中主、从账户的映射关系，进行应用系统级的访问控制和用户生命周期维护管理功能。 用户证书保存在USB KEY中，保证证书和私钥的安全，并满足移动办公的安全需求。 平台总体介绍 以PKI/CA技术为核心，结合国内外先进的产品架构设计，实现集中的用户管理、证书管理、认证管理、授权管理和审计等功能，为多业务系统提供用户身份、系统资源、权限策略、审计日志等统一、安全、有效的配置和服务。 如图所示，统一信任管理平台各组件之间是松耦合关系，相互支撑又相互独立，具体功能如下： 集中用户管理系统：完成各系统的用户信息整合，实现用户生命周期的集中统一管理，并建立与各应用系统的同步机制，简化用户及其账号的管理复杂度，降低系统管理的安全风险。 集中证书管理系统：集成证书注册服务（RA）和电子密钥（USB-Key）管理功能，实现用户证书申请、审批、核发、更新、吊销等生命周期管理功能，支持第三方电子认证服务。 集中认证管理系统：实现多业务系统的统一认证，支持数字证书、动态口令、静态口令等多种认证方式；为企业提供单点登录服务，用户只需要登录一次就可以访问所有相互信任的应用系统。 集中授权管理系统：根据企业安全策略，采用基于角色的访问控制技术，实现支持多应用系统的集中、灵活的访问控制和授权管理功能，提高管理效率。 集中审计管理系统：提供全方位的用户管理、证书管理、认证管理和授权管理的审计信息，支持应用系统、用户登录、管理操作等审计管理。 平台总体逻辑结构 总体逻辑结构图如下所示： 如图所示，平台以PKI基础服务、加解密服务、SAML协议等国际成熟技术为基础，架构统一信任管理平台的管理系统，通过WEB过滤器、安全代理服务器等技术简单、快捷实现各应用系统集成，在保证系统安全性的前提下，更好的实现业务系统整合和内容整合。 平台总体部署 集中部署方式：所有模块部署在同一台服务器上，为企业提供统一信任管理服务。 部署方式主要是采用专有定制硬件服务设备，将集中帐户管理、集中授权管理、集中认证管理和集中审计管理等功能服务模块统一部署和安装在该硬件设备当中，通过连接外部服务区域当中的从LDAP目录服务（现有AD目录服务）来完成对用户帐户的操作和管理。 平台功能说明