单点登录案例

《单点登录案例》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、多应用环境下的认证与授权詹榜华北京数字证书认证中心“信息强政”的网络信任需求“信息强政”成为电子政务建设的主题电子政务建设进入了业务驱动阶段，并开始促进体制改革互联互通、共享协同成为提高电子政务效益和效率的重要措施应用开展迫切需要防止身份假冒防止越权访问防止信息篡改防止推卸责任我们在这里源于GARTNER互联互通的障碍信息安全问题：担心互连互通会对信息系统失去控制，给系统带来新的安全风险；管理问题：缺乏信息共享的管理机制，共享范围不清，责、权、利不明。我们希望：实现的是有效控制下的局部资源共享用户名输入用户名/口令登录口令多应用环境下用户安全管理的需求对于管理员每个应用都对应一套用户

2、管理，针对一个用户，无论增/删/改，都需要多次操作每个应用都有不同的权限管理，复杂的操作带来安全隐患对于应用系统各应用信息资源不共享，形成信息孤岛应用系统对认证、访问控制的安全措施不完善，满足不了安全需求，影响整个安全保障体系的建设管理员工作人员应用1应用2应用3对于用户记忆针对多个应用的多个凭证访问多个系统需要多次登陆用户只需一个凭证只需一次登录应用系统信息资源整合信息统一标识规范和接口规范管理员信息的一致性集中管理安全保障体系用户管理统一的安全策略服务解决之道——统一认证管理如果…统一认证管理1、集中统一管理用户、机构、角色、应用等信息2、统一认证，实现单点登录3、基于角色的访问

3、控制4、应用间信息同步和共享5、安全策略和安全管理所需解决的重要问题认证多种认证凭证的管理授权分级授权，自由授权路由交叉授权单点登录协议安全性异构环境的集成用户管理集中与分级管理模型安全审计安全策略设定审计审计（Audit）用户管理Administration授权管理Authorization单点登陆Singlesign-on认证管理AuthenticationUAMS应用1应用2应用3工作人员身份认证服务统一认证管理系统信息服务管理员后台管理数据库统一认证单点登录用户信息共享同步用户管理机构管理角色管理应用管理UAMS系统架构管理（Administation）认证（Authenti

4、cation）授权（Authorization）审计（Audit）身份认证管理统一认证服务不同安全等级的认证用户名/口令，数字证书，USBKey，生物识别（指纹…)认证凭证的生命周期管理口令有效性检查、定时更换数字证书申请、吊销、更新认证策略管理对特定系统、用户认证等级要求安全可靠的单点登录基于属性令牌，包含有效期和数字签名，安全可靠适用异构环境，易用集成灵活的授权模型灵活的授权模型基于角色基于业务权限收放自如的控制粒度系统级授权系统功能级用户授权访问角色业务权限业务权限应用系统用户资源（业务权限）角色用户角色定义角色关联授权模型一：基于角色的授权直接授予业务权限授权模型二：基于业务

5、权限的授权东城区财政管理员方便可扩展的分级授权授权路由可控并能灵活设计上级管理员制定下级管理员路由范围自动继承的业务权限下级两种授权模型，继承业务权限可以无限制扩展授权级别授权情况可方便的监控东城区预算管理员角色预算审核角色市财政管理员市预算管理员角色预算审核角色生成授权规范可控的系统管理统一身份认证系统本身的管理可采用集中或分级管理安全审计员系统管理员单位管理员分级管理－分级授权模式。用户身份信息和用户的访问控制相关的授权信息均分级管理上级管理员确定下级管理员的管理范围统一身份认证系统安全审计员系统管理员（初始）系统初始化安全审计管理员管理用户管理授权管理单位管理员系统管理员角色管

6、理用户管理机构管理资源管理配置管理产生管理员用户管理授权管理产生下级管理员下级单位管理员……信息共享与同步同步机制与基于关系型数据库（DB）的应用系统同步WebServices技术（SOAP协议）与基于目录（LDAP）的应用系统同步采用LDAP协议和JNDI技术实现与基于域控制器的应用同步JNDI或ADSI（ActiveDirectory）同步策略操作及时同步操作批量同步：根据机构、角色、应用系统等选择批量用户进行同步事后同步。应用系统集成单点登录集成信息共享同步集成统一编码规范体系BJCA统一认证系统接入的应用系统总数达200多个C/S结构系统15个，B/S结构系统190个数据库方

7、式同步数据的系统9个，接口方式同步数据的系统累计为：190多个，LDAP目录方式同步的系统6个两级平台的对接统一编码规范构建统一身份认证与管理体系，实现统一入口、统一认证、单点登录和统一访问控制的目标，需建立起统一命名规则的认证管理规范，包括用户标识、角色标识、机构标识等，方便各个信息系统之间用户信息共享与交换基本信息同步（用户、机构）授权属地管理两级平台协同认证、单点登录用户在一级平台身份认证后，可直接访问另一级平台，单点登录管理BJCA在市资源共享交换