身份认证服务系统产品白皮书.docx

PAGE6

PAGE

身份认证服务系统产品白皮书

xxxxx有限公司

2022年3月

目录

PAGEi

PAGEi

目录

TOC\o1-3\h\z\u1产品概述 1

2产品组成 1

3产品功能 3

3.1 身份认证 3

3.2 跨域证书验证 4

3.3 身份票据颁发与验证 4

3.4 单点登录 5

3.5 业务应用访问控制 5

3.6 网络接入控制 5

3.7 策略管理 5

3.8 系统监管 6

4产品性能 6

5运行环境 9

5.1 硬件环境 9

5.2 软件环境 9

身份认证服务系统产品白皮书

PAGEi

PAGEi

产品概述

随着电子政务电子认证基础设施不断建设完成，各级政府间，各级机关单位间网络互联已基本建成，如何实现用户一次认证、全网通行以及跨域认证是身份认证应用服务系统要解决的问题。

身份认证应用服务系统既是为内网实体提供可信身份鉴别的服务系统，也是基于可信身份对用户通行网络、访问业务应用等网络行为实施控制的系统。安全规范的身份认证应用服务是实现身份互信互认、业务应用安全协同的重要基础。系统使用电子认证基础设施签发的应用系统证书和设备证书开展服务，使用电子政务内网密码协议和密码设备对有关通信协商和通信数据等进行保护。

产品组成

身份认证应用服务系统基于电子认证基础设施颁发的数字证书，实现用户、应用和设备等实体身份认证、身份认证结果传递、证书验证、单点登录和访问控制等功能。

身份认证应用服务系统由认证服务系统、资源访问控制网关、网络接入控制网关和认证客户端组成，如下图所示。

图3-1身份认证应用服务系统组成图

（1）认证服务系统

认证服务系统包括用户认证服务、应用认证服务、设备认证服务和证书域（每个电子认证系统CA签发数字证书的网络区域为一个证书域）间证书验证服务，实现用户、应用和设备等实体身份认证和系统监管。

（2）资源访问控制网关

资源访问控制网关提供资源访问控制、访问策略管理、单点登录和设备监管等功能，按需部署于业务应用前，用于对用户、应用和设备等实体访问业务应用行为进行控制。

（3）网络接入控制网关

网络接入控制网关提供网络接入控制、接入策略管理、互信策略管理和设备监管等功能，按需部署于网络边界，用于对用户、应用和设备等实体接入网络行为进行控制。

（4）认证客户端

认证客户端提供用户认证、设备认证、应用认证，票据获取和单点登录等功能，部署于用户、应用和设备等实体客户端上，协同认证服务系统实现实体身份认证和单点登录的功能；协同资源访问控制网关和网络接入控制网关实现访问控制功能。

产品功能

身份认证

身份认证包含认证服务系统和网关两种服务模式，当用户插入数字证书登录智能客户端时，智能客户端通过连接身份认证应用服务系统（身份认证中心的服务，且用户是在自己的归属域）完成用户身份认证，即用密码运算验证实体为用户验证数字证书的合法性、有效性，获取用户的内网权限票据，为单点登录、权限鉴别、访问控制、安全审计以及责任认定提供支撑，允许用户能访问哪些应用系统、能通过哪些网关等。身份认证应用服务系统既是为内网实体提供可信身份鉴别的服务系统，也是基于可信身份对用户通行网络、访问业务应用等网络行为实施控制的系统。安全规范的身份认证应用服务是实现身份互信互认、业务应用安全协同的重要基础。

图4-1身份认证流程

跨域证书验证

认证服务系统基于跨域证书验证服务信息（包括服务IP地址、服务端口和证书颁发者对应关系等）和本域电子认证基础设施的证书验证服务，为其他证书域提供对本域的用户、应用和设备证书状态验证服务，为跨域实体身份认证等提供支撑。

身份票据颁发与验证

身份票据颁发与验证包含认证服务系统和网关两种服务模式，为通过身份认证的实体颁发身份票据，并以API接口形式为业务应用提供身份票据验证服务，为业务应用系统的用户认证和单点登录提供支撑。

单点登录

用户通过身份认证后获得身份票据，访问业务应用时只需进行身份票据验证，不必重复证书验证、合法持有者验证等身份认证过程，实现用户一次登录即可访问多个业务应用。

业务应用访问控制

资源访问控制网关基于身份认证结果和授权管理服务系统生成的权限信息，对访问业务应用的用户、应用和设备等实体进行权限鉴别，并根据鉴别结果对实体访问业务应用IP、端口和URL进行放行或阻断控制。资源访问控制网关为密码设备。

网络接入控制

网络接入控制网关基于身份认证结果和授权管理服务系统生成的权限信息，对通行网络的用户、应用和设备等实体进行权限鉴别，并根据鉴别结果进行放行或阻断控制。网络接入控制网关为密码设备。

策略管理

（1）业务应用访问策略管理

资源访问控制网关支持业务应