sso-统一身份认证及访问控制解决方案.docVIP

sso-统一身份认证及访问控制解决方案 统一身份认证及访问控制 技术方案  ? 全面的日志审计：精确地记录用户的日志，可按日期、地址、用户、资源等信息对日志进行查询、统计和分析。审计结果通过Web界面以图表的形式展现 给管理员。 ? 双机热备：通过双机热备功能，提高系统的可用性，满足企业级用户的需求。 ? 集群：通过集群功能，为企业提供高效、可靠的SSO服务。可实现分布式部署，提供灵活的解决方案。 ? 传输加密：支持多种对称和非对称加密算法，保证用户信息在传输过程中不被窃取和篡改。 ? 防火墙：基于状态检测技术，支持NAT。主要用于加强SSO本身的安全，也适用于网络性能要求不高的场合，以减少投资。 ? 分布式安装：对物理上不在一个区域的网络应用服务器可以进行分布式部署SSO系统。 ? 后台用户数据库支持：LDAP、Oracle、DB2、Win2k ADS、Sybase等。可以无缝集成现有的应用系统的统一用户数据库作为SSO应用软件系统的用户数据库。 ? 领先的C/S单点登录解决方案：无需修改任何现有的应用系统服务端和客户端即可实现C/S单点登录系统 总体方案设计 业务功能架构 通过实施单点登录功能，使用户只需一次登录就可以根据相关的规则去访问不同的应用系统，提高信息系统的易用性、安全性、稳定性；在此 基础上进一步实现用户在异构系统（不同平台上建立不同应用服务器的业务系统），高速协同办公和企业知识管理功能。 单点登录系统能够与统一权限管理系统实现无缝结合，签发合法用户的权限票据，从而能够使合法用户进入其权限范围内的各应用系统，并完成符合其权限的操作。 单点登录系统同时可以采用基于数字证书的加密和数字签名技术，对用户实行集中统一的管理和身份认证，并作为各应用系统的统一登录入口。单点登录系统在增加系统安全性、降低管理成本方面有突出作用，不仅规避密码安全风险，还简化用户认证的相关应用操作。 系统结构图 说明：CA安全基础设施可以采用自建方式，也可以选择第三方CA。 具体包含以下主要功能模块： 身份认证中心 存储企业用户目录，完成对用户身份、角色等信息的统一管理； 授权和访问管理系统 用户的授权、角色分配； 访问策略的定制和管理； 用户授权信息的自动同步； 用户访问的实时监控、安全审计； 身份认证服务 身份认证前置为应用系统提供安全认证服务接口，中转认证和访问请求； 身份认证服务完成对用户身份的认证和角色的转换； 访问控制服务 应用系统插件从应用系统获取单点登录所需的用户信息； 用户单点登录过程中，生成访问业务系统的请求，对敏感信息加密签名； CA中心及数字证书网上受理系统 用户身份认证和单点登录过程中所需证书的签发； 用户身份认证凭证（USB智能密钥）的制作； 技术实现方案 技术原理 基于数字证书的单点登录技术，使各信息资源和本防护系统站成为一个有机的整体。通过在各信息资源端安装访问控制代理中间件，和防护系统的认证服务器通信，利用系统提供的安全保障和信息服务，共享安全优势。 系统交互图 其原理如下： 1) 每个信息资源配置一个访问代理，并为不同的代理分配不同的数字证书，用来保证和系统服务之间的安全通信。 2) 用户登录中心后，根据用户提供的数字证书确认用户的身份。 3) 访问一个具体的信息资源时，系统服务用访问代理对应的数字证书,把用户的身份信息机密后以数字信封的形式传递给相应的信息资源服务器。 4) 信息资源服务器在接受到数字信封后，通过访问代理，进行解密验证，得到用户身份。根据用户身份，进行内部权限的认证。 统一身份认证 用户认证 统一身份管理及访问控制系统用户数据独立于各应用系统，对于数字证书的用户来说，用户证书的序列号平台中是唯一的，对于非证书用户来说，平台用户ID（passport）是唯一的，由其作为平台用户的统一标识。如下图所示： (1)、在通过平台统一认证后，可以从登录认证结果中获取平台用户证书的序列号或平台用户ID； (2)、再由其映射不同应用系统的用户账户； (3)、最后用映射后的账户访问相应的应用系统； 当增加一个应用系统时，只需要增加平台用户证书序列号或平台用户ID与该应用系统账户的一个映射关系即可，不会对其它应用系统产生任何影响，从而解决登录认证时不同应用系统之间用户交叉和用户账户不同的问题。单点登录过程均通过安全通道来保证数据传输的安全。 系统接入 应用系统接入平台的架构如下图所示： 系统提供两种应用系统接入方式，以快速实现单点登录： (1)反向代理（Reverse Proxy）方式 应用系统无需开发、无需改动。对于不能作改动或没有原厂商配合的应用系统，可以使用该方式接入统一用户管理平台。 反向代理技术：实现方式为松耦合，采用反向代理模块和单