数字校园身份与访问管理体系

《数字校园身份与访问管理体系》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、数字校园身份与访问管理体系建设清华大学计算机与信息管理中心刘启新2008年7月内容概要ò身份与访问管理需求ò身份与访问管理体系ò清华大学的实践ò体会身份与访问管理让正确的人让正确的人在正确的时间在正确的时间以正确的方式以正确的方式访问正确的资源访问正确的资源信息化发展对安全的需求信息安全侧重点的转移ò信息安全体系建设的侧重点已经由网络安全、系统安全逐步向应用安全过渡可能存在的问题ò统一电子身份的问题ò单一身份还是多重身份？ò单点登录问题ò一次登录还是多次登录？ò能否一站式服务？ò电子身份生命周期问题

2、ò是否入校立即就能获得电子身份？ò是否离校电子身份能立即注销或转移？可能存在的问题ò权限冒用问题ò是否能访问到不该访问的东西？ò权限缺失问题ò是否该访问的东西访问不到？ò权限一致性问题ò是否所有系统中的权限都一致？可能存在的问题ò审计问题ò谁拥有X权限？ò谁访问过某个资源？ò用户身份变化过程有没有记录？ò用户权限变化过程有没有记录？身份与访问管理市场发展内容概要ò身份与访问管理需求ò身份与访问管理体系ò清华大学的实践ò体会身份与访问管理概念ò身份与访问管理òIdentityandAccessMana

3、gement，简称IAM；ò对用户的身份､以及该用户对系统、服务、应用、数据等资源的访问进行管理和控制；ò解决“When”､“Where”､“What”､“Who”､“How”的问题，即：谁能够在什么时候获得谁的授权来访问特定的资源，以及如何去使用这些资源。身份与访问管理的基础ò四个重要概念：四“Ａ”ò身份验证（Authentication）ò授权（Authorization）ò管理（Administration）ò审计（Audit）身份与访问管理原则六统一ò统一的规范标准ò统一的管理策略ò统一的管

4、理服务ò统一的控制模式ò统一的审计规范ò统一的技术接口身份与访问管理的构成身份管理访问管理访问控制身份与访问管理身份与访目录服务问审计身份与访问管理主要功能ò用户电子账号管理ò口令管理ò虚拟身份管理òWeb服务与网站访问管理ò联合访问管理ò单点登录（SSO）管理ò审计管理ò用户目录管理ò访问控制ò……身份与访问管理对象关系模型ò高校中用户身份的生命周期性强，用户数量大且身份较复杂，受控信息资源丰富，之间的关联关系复杂，关联关系变化频繁ò引入并扩展RBAC模型进行表述身份与访问管理体系用户用户自服务用

5、户身份管理访问管理用户角色用户角色授权角色权限分配组组织结构权限织管结理用目录服务构应树角户用访资源目录管理电问色功子权树能帐限用户管理员管号树管理用户授权审计用户身份审计管访问管理员职管理理位理管理应用授权审计应用访问审计审计管理身份认证单点登录访问控制身份识别与安全访问服务应用系统身份与访问管理体系组成ò管理：用户身份管理与权限管理ò控制：身份识别与安全访问服务ò审计：对用户身份、授权、访问实时与历史的审计ò发布：通过信息服务系统与目录服务系统发布身份与权限信息ò自服务：用户自我身份信息维护的功

6、能数字校园中的身份与访问管理信息门户（个性化、应用集成、信息集成）各类信息系统办学人财设档后继数教科公生力务备案勤续校身份与访字学研信管资管资管保教友图系系息理源理产理障育系书问管理统统系系系系系系系系统馆统统统统统统统统信息高校安全信息保障公共平台软件标准体系（应用管理、身份管理、权限管理、身份认证服务、访问控制服务、日历服务、工作流服务、体系信息发布服务、消息服务、网络存储服务、全文检索服务、安全审计服务）支撑软件系统(数据库系统、电子邮件系统、域名服务系统、目录服务系统、校园卡系统、网上支付系

7、统)数据资源（教学数据、科研数据、管理数据、服务数据、文化数据）硬件基础设施（校园网络、计算机系统、存储系统、其它硬件设施）用户电子账号管理ò用户电子账号维护ò账号管理策略全局统一，分级管理ò每类用户定义唯一有效源头，用户账号的维护由此源唯一决定ò允许局域账号存在，此类账号仅在限定业务系统中有效ò用户电子账号使用ò电子账号形式：账号/密码、电子证书等ò校级统一用户认证用户角色管理ò与学校组织结构树建立关联ò与现实校园的职位或身份建立映射ò角色分级管理ò用户分级授权ò角色定义与角色授权分离，支持纵横向

8、的网状管理模式身份与访问管理作用ò用户账号全生命周期统一管理ò用户口令及强电子身份统一管理ò用户验证统一管理ò用户角色与权限统一管理ò应用间用户身份无缝连接ò资源访问统一控制ò用户身份、权限、访问可回溯可审计ò用户自服务简化管理身份与访问管理体系安全性ò三个核心：管理、管理控制、审计ò三个核心互相分离，相互独立，互相制衡ò避免作弊与权力控制审计滥用，提高安全性身份与访问管理的几个误区ò身份与访问管理就是口令管理ò身份与访问管理就是安全管理ò身份与访问管理缺乏标准身份与