校园数字化建设--注册中心投标文件研究（14）--统一身份认证系统设计方案

一.设计结构

       引入身份信息的生命周期管理，通过身份访问管理系统展现出身份和可访问的系统资源的对应关系，在底层使用身份同步配置器，及时将各业务系统的身份，用户信息同步到LDAP服务器和身份信息数据库中。

 

二.基于策略的访问控制

      通过使用门户服务器，安全远程访问包，授权用户只需一个基于JAVA技术的WEB浏览器和因特网即可查看其个性化的桌面内容。一旦登录并通过认证，用户即可通过门户服务器，安全远程访问包对任意内部文件服务器上的数据文件进行加密的私人访问。

（1）使用加密SSL进行认证

（2）代理用户认证要求现有的认证机制

（3）支持多种认证机制

（4）接受来自Secure Computing 的Safeword数字令牌以及来自Security Dynamics的SecurID数字令牌

（5）允许S/Key一次性口令

（6）包括到具有其它客户认证机制接口的API

（7）与配置信息引擎和核心门户服务器中的LDAP目录协同工作，实现基于策略的访问控制和授权

 

三.主要功能

1.角色权限管理

（1）角色管理

       每个机构管理员都可以创建属于本机构的角色，并将该角色与权限和用户对应，同时由于本身角色就含有数据范围，因此各个机构赋予的角色之间不会产生冲突。

        权限模型从业务系统特点出发，根据系统特点对系统内提供的服务进行统筹规划将具有共同特点的功能进行分类整理，并内置了部分角色，这样在系统实施过程中只需要设定角色得用户或者用户组即完成权限控制，有效加快实施速度。

（2）权限管理

       权限控制包括两层：访问控制和访问范围（已经通过权限验证后能访问功能点内的资源范围），为了降低权限整体的复杂度，epsa把访问控制和访问范围分开实现。主要功能包括：资源，权限项，业务权限，管理权限，业务角色，管理角色，用户组和全局用户组管理。

（3）分级授权管理

        建立全校的分级授权机制，每个部门，机关处室，院系办公室都可以参与授权管理，但只能管理本机构及所属机构的用户。

（4）个人权限管理

   管理员能够查看个人用户的权限和权限范围，以及权限获得途径。

用户能够委托自己具有的权限和回收委托的权限，挥手可以实现自动回收。

（5）系统控制台管理

        系统控制台完成统一用户管理与授权系统的启动，停止，备份，回复，重新启动，注销用户，数据导入，导出等功能。

（6）系统配置管理

         完成统一用户管理与授权系统的数据库管理，复制管理，Schema管理等功能。

（7）资源树结构管理

        完成统一用户管理与授权系统资源树的维护管理功能。

 

2.用户管理

用户管理的特点：

（1）用户支持LDAP和数据库的同时存储，在系统初始化时，可以选择用户存储的位置LDAP或DB，这样就解决了LDAP在认证时的压力，也解决了用户在数据交换时的数据库压力。

（2）支持批量处理，能够在新生入学或学生毕业瞪大数据量的业务操作。

（3）身份变更支持策略管理，针对不同学校的具体情况而定。

（4）组织机构管理支持多级管理，管理的角色职能负责权限的管理，不能操作业务模块。

（5）全线支持审核和委托

         接口丰富，在统一身份管理系统里，全部基于接口开发，并封装成web services接口，可与第三方系统进行集成。

1.组织机构及用户管理

       管理创建多级组织机构，部门信息；管理系统用户信息，限制用户登录权限；机构管理员，机构负责人，办公室主任配置。

2.数据维护

（1）用户身份数据维护

（2）组织数据的维护

（3）服务注册数据管理

（4）服务所需全线数据的管理

3.统一身份认证服务

统一认证管理特点：

（1）支持LDAP或数据库的认证方式

（2）灵活的认证策略管理

（3）支持密码找回功能

（4）认证的客户端支持多种开发语言

（5）提供第三方系统认证的web services 接口

（1）目录服务

         目录服务是统一身份认证平台的基础。学校所有的用户信息分别放在LDAP目录服务和数据库中，通过可靠的机制完成两者的同步；用户身份信息在目录服务中以层次结构，面向对象的数据库的方式集中存储管理，从而保证身份数据的一致性和完整性，为校园各类应用提供基础的一致的用户信息访问。

         在ldap服务器中基于标准的LDAP目录服务器进行身份信息同步存储，并利用LDAP的标准协议接口实现和其他应用系统的身份认证管理。

（2）身份认证服务

        基于LDAP和CAS认证方式设计，提供跨服务器及业务应用的身份认证服务以及Agent，确保跨业务系统身份认证识别。

（3）单点登录服务

       提供WEB-SSO（Single Sign On）服务，用户只需要登录一次就可以访问所有相互信任的web应用系统，包括可以将这次主要的登录映射到其他应用中，勇于同一个用户的登录机制。

       用户登录portal的过程：用户发出请求，那么系统的Identity Server会自动把用户定向到登陆页面，用户登录后，会在Identity Server中自动产生一个SSO Token，这个SSO Token用来把用户的信息进行保存，并且对于以后发过来的验证请求，都会对应到这个SSO Token上面。

        用户只需要一次登录，就能通过门户平台登录到其中集成的应用子系统。系统平台并根据用户的角色与权限，提供该用户相应的活动场所，信息资源和基于其权限的功能模块和工具。

（4）个人自助服务

（5）身份审核

         用户认证方式使用CAS完成，对于支持LDAP认证的系统，并通过缓存技术和同步技术保证身份信息的唯一性和一致性。