统一身份认证设计方案及对策[最终版].pdfVIP

统一身份认证设计方案及对策[最终版]

统一身份认证设计方案日期：2016年2月

目录

1.1系统总体设计(5)

1.1.1总体设计思想5

1.1.2平台总体介绍5

1.1.3平台总体逻辑结构7

1.1.4平台总体部署81.2平台功能说明(8)

1.3集中用户管理(8)

1.3.1管理服务对象9

1.3.2用户身份信息设计11

1.3.

2.1用户类型11

1.3.

2.2身份信息模型11

1.3.

2.3身份信息的存储12

1.3.3用户生命周期管理12

1.3.4用户身份信息的维护131.4集中证书管理(14)

1.4.1集中证书管理功能特点141.5集中授权管理(16)

1.5.1集中授权应用背景16

1.5.2集中授权管理对象17

1.5.3集中授权的工作原理18

1.5.4集中授权模式18

1.5.5细粒度授权19

1.5.6角色的继承201.6集中认证管理(21)

1.6.1集中认证管理特点21

1.6.2身份认证方式22

1.6.

2.1用户名/口令认证23

1.6.

2.2数字证书认证23

1.6.

2.3Windows域认证23

1.6.

2.4通行码认证24

1.6.

2.5认证方式与安全等级24

1.6.3身份认证相关协议24

1.6.3.1SSL协议25

1.6.3.2Windows域25

1.6.3.3SAML协议26

1.6.4集中认证系统主要功能28

1.6.5单点登录28

1.6.5.1单点登录技术29

1.6.5.2单点登录实现流程311.7集中审计管理(35)

1.1系统总体设计

为了加强对业务系统和办公系统的安全管控，提高信息化安全管

理水平，我们设计了基于PKI/CA技术为基础架构的统一身份认证服务

平台。1.1.1总体设计思想

为实现构建针对人员帐户管理层面和应用层面的、全面完善的安

全管控需要，我们将按照如下设计思想为设计并实施统一身份认证服

务平台解决方案：

在内部建设基于PKI/CA技术为基础架构的统一身份认证服务平台，

通过集中证书管理、集中账户管理、集中授权管理、集中认证管理和

集中审计管理等应用模块实现所提出的员工帐户统一、系统资源整合、

应用数据共享和全面集中管控的核心目标。

提供现有统一门户系统，通过集成单点登录模块和调用统一身份

认证平台服务，实现针对不同的用户登录，可以展示不同的内容。可

以根据用户的关注点不同来为用户提供定制桌面的功能。

建立统一身份认证服务平台，通过使用唯一身份标识的数字证书

即可登录所有应用系统，具有良好的扩展性和可集成性。

提供基于LDAP目录服务的统一账户管理平台，通过LDAP中主、

从账户的映射关系，进行应用系统级的访问控制和用户生命周期维护

管理功能。

用户证书保存在USBKEY中，保证证书和私钥的安全，并满足移

动办公的安全需求。

1.1.2平台总体介绍

以PKI/CA技术为核心，结合国内外先进的产品架构设计，实现集

中的

用户管理、证书管理、认证管理、授权管理和审计等功能，为多

业务系统提供用户身份、系统资源、权限策略、审计日志等统一、安

全、有效的配置和服务。

集中证书

集中认证

集中授权

集中审计集中用户身份管理单点登录访问控制

责任界定

如图所示，统一信任管理平台各组件之间是松耦合关系，相互支

撑又相互独立，具体功能如下：

集中用户管理系统：完成各系统的用户信息整合，实现用户生命

周期的集中统一管理，并建立与各应用系统的同步机制，简化用户及

其账号的管理复杂度，降低系统管理的安全风险。

集中证书管理系统：集成证书注册服务（RA）和电子密钥

（USB-Key）管理功能，实现用户证书申请、审批、核发、更新、吊

销等生命周期管理功能，支持第三方电子认证服务。

集中认证管理系统：实现多业务系统的统一认证，支持数字证书、

动态口令、静态口令