高校网络及校园认证单点登录研究

《高校网络及校园认证单点登录研究》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、高校网络与校园应用系统认证单点登录研究南通分公司2011年6月第1页（一）项目背景目前我公司与越来越多的高校展开合作，以提升市场份额与用户粘性。最近在校园宽带发展中，我们发现越来越多的高校已经在“数字化校园”建设中实现了校内所有系统的统一门户单点登录功能。在于高校谈及校园宽带认证时，不少高校提出需要将网络认证与高校现有单点登录系统进行融合，实现校园网络与应用系统的统一认证，因此作者对此进行了研究，并给出了解决方案，希望可以对于其他地市公司起到一定的借鉴作用。（二）需求分析校园统一身份认证系统从用户角度来说，设计的目标必须一次认

2、证实现了网络层面的认证和数字校园应用系统的同步认证。当访问多个采用统一用户管理和身份认证系统的多个管理系统时，用户只需要登录一次。而从管理者角度来说，系统须达到如下目标：(1)支持Web技术框架，使得在对各个应用系统实施基于Web业务的应用集成(EAI/B2Bi)的时候，能够使用这个统一身份认证服务，进行身份认证。(2)方便使用，能够提供统一、集中、有效的用户管理，能够尽可能地利用现有系统的身份认证模块及现有的用户设置和权限设置，尽量保护现有的投资，减少新用户设置和权限设置的费用，同时避免对现有系统进行大规模的修改。(3)具有

3、良好的扩展性和可集成性，不仅能支持现有的应用系统及用户系统，当有新的应用被部署或开发的时候，这个统一身份认证服务还可以作为其身份认证模块的形式工作。这就要求系统必须具有帐号关联的功能，能够记录已有应用系统的用户帐号与用户中心的用户帐号的对应关系，用户在进行统一身份认证服务之后，自动使用相应的应用系统帐号来访问应用系统。(4)应当备灵活和方便的使用模式，使用者可以通过多种方式自由地使用该统一身份认证服务。同时在进行统一用户管理和身份认证系统的设计时，必须遵循统一用户管理、基于分级角色的权限管理、应用级的安全管理、统一证书管理和统

4、一资源管理的设计思想，以实现数据集中、资源集中和应用集中的建设数字化校园的终极目标。第8页（一）系统结构校园统一身份认证系采用分层次的结构设计，主要分为数据层、展现层、应用层及系统集成层，同时划分为多个功能模块，其中核心子系统包：用户身份数据中心、身份及业务管理系统、访问控制系统三个部分组成。用户身份数据中心包括目录服务器（主要存储用户认证信息及权限信息）和数据库（存储用户身份属性信息）。应用及身份管理系统用来实现用户身份信息维护及应用管理，包括用户管理、授权管理、应用管理、安全监控管理等内容。访问控制系统主要实现统一认证及单

5、点登录，与门户系统形成统一身份认证系统的展现层。同时，系统对于各成员应用站点统一的认证授权接口。认证系统与用户的接口同时B/S和C/S的模式。系统结构如下图所示：第8页（一）统一认证解决方案统一认证管理为学校各应用系统等资源提供统一的认证服务，认证服务系统提供授权访问的机制，获取认证服务系统许可的第三方应用系统都可以集成到此平台进行统一认证。认证服务系统提供WebAPI、CA证书、LDAP标准规范等认证接口形式，可支持JAVA、.NET、Delphi、VB、VC、PHP、ASP、PB等等语言开发的系统。认证信息采用随机码为密钥

6、的对称加密机制，确保认证信息在传输过程中的安全。用户统一认证过程采用SSL加密通道保证安全性。认证服务器负责SSL加密通道的建立。（1）对于口令认证方式，认证服务器配置为单向SSL加密通道，客户端不需要证书；（2）对于证书文件认证方式，认证服务器配置为双向SSL加密通道，客户端必须提供用户证书，并由认证服务器完成对用户证书和用户身份的校验；客户端浏览器与认证服务器之间采用HTTPS协议，认证服务器与平台应用服务器之间采用HTTP协议。在用户认证完成后，可根据需要设定客户端浏览器对平台的访问是否继续走SSL加密通道，充分兼顾安全

7、与效率。1、采用LDAP实现用户身份管理统一身份认证平台一个重要的功能就是要建立全校学生、老师和管理人员权威的身份中心，此身份可看作是“电子版的身份证”。在校园内，学生、老师和管理人员只需记住自己唯一的“电子身份证”即可，无需再记很多的账号和密码。为了确保信息访问的安全，访问校园任何资源都需要先到用户身份中心进行认证，看用户提交的身份信息是否正确。用户身份存储在基于LDAP协议的OpenLDAP目录服务中，从而保证认证的高效。身份管理第8页模块管理用户身份和成员站点身份。向用户提供在线注册功能，用户注册时提供必须信息（如用户名

8、、密码）该信息即为用户身份的唯一证据，拥有该信息的用户即为统一身份认证子系统的合法用户；身份认证模块还向成员站点提供在线注册功能，成员站点注册时需提供一些关于成员站点的基本信息，还包括为用户定义的角色种类（如普通用户、高级用户、管理员用户）。2、采用统一权限控制统一身份认证平