基于WindowsAD的PI系统安全解决方案.docxVIP

中电飞华 中电飞华 FIBRL1NK NETWORKS 基于Windows AD的PI系 统安全解决方案 北京中电飞华通信股份有限公司 2011年3月 前言 Windows ActiveDirectories （Windows 活动目录，简称 Windows AD）是企业基础架构的根本，所有的高级服务都会向活动目录整合， 以利用其统一的身份验证、安全管理以及资源公用。简单来说， Windows AD的首要任务或者说主要目标是客户端的安全管理，然后 是客户端的标准化管理。 在PI系统整体架构设计中，已完整考虑并提供了 一体化的安全 保障机制，以确保用户数据信息使用中的万无一失。PI系统的安全机 希9,已具备精细到对每个数据点的安全管理，其包括对数据库点的读 取、写入或修改等。因此，任何想要访问pi数据库系统中任何数据 的用户，都必须首先获得其相应的访问权限确认。而该访问权限的配 置与管理，只有系统核心管理员具备该权限，且其也受身份认证的管 理。 因此，若将Windows AD与PI进行安全整合，通过Windows活 动目录来控制PI系统的接入，对于系统的安全保障工作将会带来最 大程度的支持。 PI系统安全保障 PI系统的安全性保障通常分有三层：基础计算机安全层，网络安 全层，PI安全层。 A基础计算机安全层：物理安全和操作系统安全。 ?物理安全 ?服务器房安全准入 ? UPS ?操作系统安全 ?用户名/密码 ?智能卡/生物识别Biometrics ? Security Profiles ?病毒防护 ?升级 》网络安全层：基于路市器防火墙的路市器安全，通常，接口计 算机、服务器和DHCP都使用固定IP地址，而用户客户端使用“动 态分配” IP地址。 PI安全层： ?认证 （IR） PI用户名、密码 ?（新）PI Trust ?（最新）与Window安全整合 ?授权 PI数据库安全 ? PI点安全 如果要使用Windows安全，PI系统必须是域用户o PI 安全-Windows AD PI ServerActiveDirectoryIdentity MappingSecurityPrincipalsPI IdentitiesAuthoriza 廿onPI IdentitiesAuthoriza 廿onWindows-PI安全整合特性Windows PI Server Active Directory Identity Mapping SecurityPrincipals PI Identities Authoriza 廿on PI Identities Authoriza 廿on Windows-PI安全整合特性 通过Windows AD域服务器的授权，PI软件版本需要为3.4.380以上, 实现对PI系统的统一安全管理，具体实现如下： i. 在Windows组中建立PI用户。 Users 34 objects Active Directory Users and Computer _J Saved Queries m 妙 vdom2.osisoft.org E Q Builtin [+ _| Computers E 回 Domain Controllers _| ForeignSecurityPrincipals Users Name PI Admins (JpiLabDataEntry fPpTViRWRr; 1 Type / Security Group ... Security Group ?. ? Spri iritv Grm in … PILabDataEntry Properties Description General Members | Member Of | Managed By | Members: Name Active Directory Folder ? —mwi C Kenji J oh|ima vdom2. osisoft org/U sers ii.为上述的 Windows 组建一个 PI Identity □ Users, Groups, and Identities PI System M A Properties 2J2J Collectives and Servers \search pl A X WJQ 叫 E 1 II Servers Identitjes | Users | Groups | Identity | Se [3 localhost ft Martenance kc 盘 Operations kx 3 piadmn loc System Management ft P【Administrators toe jsearM P ftipiddmins 、z Alar