授权管理服务系统产品白皮书.docx

PAGE6

PAGE

授权管理服务系统产品白皮书

xxxxx有限公司

2022年3月

目录

PAGE

PAGEi

目录

TOC\o1-3\h\z\u114161产品概述 1

39442产品组成 1

248653产品部署 2

102794产品功能 2

241834.1应用授权 3

65434.1.1直接、委托授权 3

34844.1.2基于身份、属性、角色的授权 3

171924.1.3基于身份、属性、角色的授权 4

103324.1.4基于身份、属性、角色的授权 4

303064.2网络接入授权 7

96904.3应用访问授权管理 7

213794.4鉴权服务 7

154304.5系统监管 7

314755产品性能 7

106176运行环境 8

76696.1硬件环境 8

167186.2软件环境 8

46167与其他产品的关系 9

307098产品特性 9

257438.1分级授权 9

39788.2网络接入授权 10

授权管理服务系统产品白皮书

PAGE10

产品概述

如何保证多域环境下实现集中式授权与分布式授权相结合的授权管理服务，保障不论何种模式下授权的用户，经过身份认证应用服务系统后都能访问授权的应用系统及可信资源，是授权管理服务解决的首要问题。授权管理服务系统是基于用户的可信身份（数字证书），对用户的网络行为进行授权与权限鉴别的服务系统，采用安全规范的授权机制和权限信息共享机制为本地区本部门业务受控访问以及跨地区跨部门业务协同和信息共享提供支撑。

产品组成

图STYLEREF1\s2-SEQ图\*ARABIC\s11授权管理服务系统产品组成

（1）授权管理系统

授权管理系统基于用户、应用、有关网络资源和组织架构等资源信息，对用户访问业务应用、用户通行网络等行为进行权限配置。

（2）鉴权服务系统

鉴权服务系统基于本地权限信息库，为网络接入控制网关、资源访问控制网关和业务应用提供安全的在线鉴权服务。

（3）本地权限信息库

本地权限信息库用于存储授权管理系统生成的权限信息。

产品部署

授权管理服务系统的部署结构如下图所示。

图STYLEREF1\s3-SEQ图\*ARABIC\s11授权管理服务系统部署结构图

产品功能

授权管理服务系统使用电子认证基础设施签发的应用系统证书开展服务，使用电子政务内网密码协议和密码设备对有关通信协商和通信数据等进行保护。系统为本域应用、外域应用的访问提供授权服务。对应用而言，根据其授权的工作模式，分成按直接授权、委托授权；根据其授权的对象，分成基于身份的授权、基于属性的授权、基于角色的授权三种模式。对接入控制网关而言，授予用户的网络通行权。对访问控制网关而言，授予用户的应用访问权。

应用授权

直接、委托授权

针对电子政务内网业务应用跨地区、跨部门访问的授权需要，提供直接授权和委托授权两种工作模式。

（1）直接授权

由资源拥有方对用户访问应用、用户通行网络等行为直接进行授权管理。

（2）委托授权

资源拥有方委托其他地区或部门对地区、部门内用户进行授权。资源拥有方可以取消受托方的授权结果。

基于身份、属性、角色的授权

基于身份的授权是指直接对用户个体进行权限配置，生成的权限信息只适用于用户个体。

基于属性的授权是指对选定的某个或某几个用户属性（比如用户所属组织机构、用户职务、用户密级等）进行权限配置，生成的权限信息适用于所有符合所选用户属性的用户群。

基于角色的授权是指在授权管理过程中，创建几种用户角色类型，面向选定的某个或某几个用户角色进行权限配置，生成的权限信息适用于所有符合所选用户角色的用户群。

出现策略冲突情况，提供冲突检测和报警机制

（1）基于角色的粗粒度授权

这种授权方式需要先进行两方面的基础数据设置。

（1）需要定义该应用系统的角色信息，并设置每个角色所包含的人员。

（2）需要定义该应用系统的模块信息，并设置每个模块的访问地址。

在以上基础数据之上，设置该应用系统中每个角色允许访问的模块地址。

基于身份、属性、角色的授权

基于身份的授权是指直接对用户个体进行权限配置，生成的权限信息只适用于用户个体。

基于属性的授权是指对选定的某个或某几个用户属性（比如用户所属组织机构、用户职务、用户密级等）进行权限配置，生成的权限信息适用于所有符合所选用户属性的用户群。

基于角色的授权是指在授权管理过程中，创建几种用户角色类型，面向选定的某个或某几个用户角色进行权限配置，生成的权限信息适用于所有符合所选用户角色的用户群。

出现策略冲突情