基于微软身份管理和访控制平台的解决方案开发.pptVIP

基于微软身份管理和访问控制平台的解决方案开发 李英歌 技术专家 微软中国技术中心 场景: 业务需求 企业使用活动目录作为主要的目录服务 企业希望能够记录资产使用情况 利用现有基础架构 开发人员被要求开发： 一个web应用提供资产管理的基本功能，供普通用户使用 一个全功能应用提供提供资产管理的全部功能，供部门管理员使用 应用需求 访问控制 验证 鉴权 身份存储 用户凭证(credentials)及配置信息(profile data) 对数据生命周期的管理 应用需求: 验证 验证: 用户是谁? 需求： 为减少身份管理问题，不能为该应用增添新的一套用户ID及密码。 必须足够灵活以便于新用户访问应用 验证：可选方案 与工作站登录集成的单点登录 Basic/Digest HTTP协议相关的验证方式 Basic发送明文密码 基于Form的 用户在form中输入用户名和密码 Cookie被写回浏览器 验证：集成验证 认证强度高 单点登录 Windows内置功能允许域或森林内的单点登录 可扩展至跨域或森林的验证 通过ADFS可实现跨组织机构的身份认证 Rich client及web应用都可以使用 与IIS集成 无需编码 验证：实现 实现 Web client: 无需代码 Rich client: Winsock: SSPI RPC: 已集成 DCOM: 已集成 Web Service: WSE 满足需求 利用现有活动目录验证用户 单点登录 易于添加新用户 验证: 解决方案 应用需求 访问控制 验证 ? 鉴权 存储 用户凭证(credentials)及配置信息(profile data) 对身份数据生命周期的管理 应用需求: 鉴权 鉴权: 基于用户身份赋予或拒绝完成某一任务的权限 需求： 授权不能硬编码在应用中 Admin must be able to grant/deny access 两种应用共享配置 鉴权：可选方案 Authorization Manager (AzMan) ADFS claims Windows ACL model 细粒度控制 应用程序专用方式 鉴权信息与数据共同存储 应用使用私有方法使用鉴权信息 COM+角色 ASP.NET角色 鉴权：Authorization Manager 基于角色的鉴权 基于查询的组保证业务灵活性 应用程序设计时定义角色策略 鉴权：AzMan AzMan: Windows Server 2003, Windows 2000 (需下载) 高可伸缩性的角色和策略存储： AD / ADAM 鉴权：实现 Authorization Manager 鉴权：解决方案 应用需求 访问控制 ? 验证 ? 鉴权 ? 身份存储 用户凭证(credentials)及配置信息(profile data) 对身份数据生命周期的管理 需求：身份存储 身份存储 用户凭证(credentials) 用户配置信息(profile data) 需求 利用现有基础架构及数据 可伸缩性、可用性 Seamless setup configuration 易于管理 身份存储：可选方案 数据库 目录 身份存储: 活动目录 活动目录是为身份存储而设计的 基本用户profile数据已经存在于活动目录中(phone number, cost center…) 标准认证协议支持： Kerberos, SSL, Digest 身份存储: 活动目录 AD 用于企业范围内的身份及配置数据 ADAM 用于应用范围内的身份及配置数据 身份存储: 实现 Managed code: System.DirectoryServices : 较高层次的接口，易用 System.DirectoryServices.Protocols : 提供较低层的LDAP访问，适用于高性能的应用 ADO.NET : 部分功能 Native code: Active Directory Service Interfaces (ADSI) LDAP Win32 API set for C and C+ 身份存储: 解决方案 AD ADAM 满足需求： 利用现有基础架构 可伸缩性、可靠性、可管理性 身份存储: 解决方案 应用需求 访问控制 ? 验证 ? 鉴权 ? 身份存储 ? 用户凭证(credentials)及配置信息(profile data) ? 对身份数据生命周期的管理 需求: 生命周期管理 生命周期管理 在身份数据被使用的整个周期中进行管理 应用需求 自动化 数据同步 易于维护 生命周期管理：可选方案 ADAM Sync 单向、增量从AD同步数据到ADAM MIIS 2003 全面的解决方案 支持30+种身份存储 生命周期管理：解决方案 ADAMSync