统一身份认证设计方案
目录
1.1系统总体设计  5
1.1.1总体设计思想5
1.1.2平台总体介绍5
1. 1.3平台总体逻辑结构7
1. 1.4平台总体部署8
1.2平台功能说明8
1.3.1管理服务对象9
1.3.2用户身份信息设计11
2. 1用户类型11
2. 2身份信息模型11
2.3身份信息的存储12
1.3.3用户生命周期管理12
1.3.4用户身份信息的维护13
1.4集中证书管理14
1.4.1集中证书管理功能特点14
1-5集中授权管理16
1.5.1集中授权应用背景16
1.5.2集中授权管理对象17
1.5.3集中授权的工作原理18
1.5.4集中授权模式19
1.5.5细检度授权20
1.5.6角的继承21
1.6集中认证管理23
L6.1集中认证管理特点24
1.6.2身份认证方式24
1.6.
2. 1用户名/ 口令认证25
2.2数字证书认证25
2. 3 Windows 域认证26
2.4通行码认证26
2.5认证方式与安全等级26
1.6.3身份认证相关协议27
1. 6. 3. 1 SSL 协议27
3.2 Windows 域 27
3.3 SAML 协议28
1.6.4集中认证系统主要功能30
1.6.5单点登录31
5. 1单点登录技术31
5.2单点登录实现流程33
1.7集中审计管理36
1.1系统总体设计
为了加强对业务系统和办公系统的安全管控，提高信息化安全管理水平，我们设计了基于PKI/CA技术为基础架构的统一身份认证服务平台。
1.1.1总体设计思想
为实现构建针对人员管理层面和应用层面的、全面完善的安全管控需要，我们将按照如下设计思想为设计并实施统一身份认证服务平台解决方案：
在部建设基于PKI/CA技术为基础架构的统一身份认证服务平台，通过集中证书管理、集中账户管理、集中授权管理、集中认证管理和集中审计管理等应用模块实现所提出的员工统一、系统资源整合、应用数据共享和全面集中管控的核心目标。
提供现有统一门户系统，通过集成单点登录模块和调用统一身份认证平台服务，实现针对不同的用户登录，可以展示不同的容。可以根据用户的关注点不同来为用户提供定制桌面的功能。
建立统一身份认证服务平台，通过使用唯一身份标识的数字证书即可登录所有应用系统，具有良好的扩展性和可集成性。
提供基于LDAP目录服务的统一账户管理平台，通过LDAP中主、从账户的映射关系，进行应用系统级的访问控制和用户生命周期维护管理功能。
用户证书保存在USB KEY中，保证证书和私钥的安全，并满足移动办公的安全需求。
1.1.2平台总体介绍
以PKI/CA技术为核心，结合国外先进的产品架构设计，实现集中的用户管理、证书管理、认证管理、授权管理和审计等功能，为多业务系统提供用户身份、系统资源、权限策略、审计日志等统一、安全、有效的配置和服务。
如图所示，统一信任管理平台各组件之间是松耦合关系，相互支撑又相互独立，具体功能如下：
集中用户管理系统：完成各系统的用户信息整合，实现用户生命周期的集中统一管理，并建立与各应用系统的同步机制，简化用户及其账号的管理复杂度，降低系统管理的安全风险。
集中证书管理系统：集成证书注册服务（RA）和电子密钥（USB-Key）管理功能，实现用户证书申请、审批、核发、更新、吊销等生命周期管理功能，支持第三方电子认证服务。
集中认证管理系统：实现多业务系统的统一认证，支持数字证书、动态口令、静态口令等多种认证方式；为企业提供单点登录服务，用户只需要登录一次就可以访问所有相互信任的应用系统。
集中授权管理系统：根据企业安全策略，釆用基于角的访问控制技术，实现支持多应用系统的集中、灵活的访问控制和授杈管理功能，提高管理效率。
集中审计管理系统：提供全方位的用户管理、证书管理、认证管理和授权管理的审计信息，支持应用系统、用户登录、管理操作等审计管理。
1.1.3平台总体逻辑结构
总体逻辑结构图如下所示：
PKI 基础服务、加解密服务、SAML 协议
如图所示，平台以PKI 基础服务、加解密服务、SAML 协议等国际成熟技术为基础，架构统一信任管理平台的管理系统，通过WEB 过滤器、安全代理服务器等技术简单、快捷实现各应用系统集成，在保证系统安全性的 前提下，更好的实现业务系统整合和容整合。 1.1.4平台总体部署
集中部署方式：所有模块部署在同一台服务器上，为企业提供统一信 任管理服务。
部署方式主要是釆用专有定制硬件服务设备，将集中管理、集中授权管理、集中认证管理和集中审计管理等功能服务模块统一部署和安装在该 硬件设备当中，通过连接外部服务区域当中的从LDAP 目录服务（现有AD 目录服务）来完成对用户的操作和管理。 1.2平台功能说明
平台主要提供集中用户管理、集中证书管理、集中认证管理、集中授权管理和集中审计等功能，总体功能模块如下图所示:
LDAP sever
、windows 域服务等
外部相关服务
统一信任管理平台服务系统
（身份管理、单点登录、访问控制、责任界
用户管理
证书管理
认证管理
授权管理
审计管理
统一信任管理平台业务系统
单点登录集中用户集中证书集中认证集中授权
用尸生命周期管理注册服务管理用户身份认证
用户分坦管
完美通行证注册素线SSO电于密钥管理访问策略管理
角钾理
证书生，冏幫管理访问管理
成用系続授权用户授权曾理角授权曾理幼翅■授权管理
过程管
用户接口■用户信息导入导岀■用户信息映射
LDAP身份源曩统數据
用户信朦同步
总体功能模块图
1.3集中用户管理
随着企业整体信息化的发展，大致都经历了网络基础建设阶段、应用系统建设阶段，目前正面临着实现纳入到信息化环境中人员的统一管理和安全控制阶段。随着企业的网络基础建设的不断完善和应用系统建设的不断扩展，在信息化促进业务加速发展的同时，企业信息化规模也在迅速扩大以满足业务的发展需要，更多的人员被融入信息化环境，由此突出反映的事件是无论是网络系统、业务系统、办公系统，其最终的主体将是企业外的人员，每一为人员承担着使用、管理、授权、应用操作等角。因此对于人员的可信身份的管理显得尤为重要，必将成为信息化发展的重中之重，只有加强人员的可信身份管理，才能做到大门的安全防护，才能为企业的管理、业务发展构建可信的信息化环境，特别是釆用数字证书认证和应用后，完全可以做到全过程可信身份的管理，确保每个操作都是可信得、可信赖的。
集中用户管理系统主要是完成各系统的用户信息整合，实现用户生命周期的集中统一管理，并建立与各应用系统的同步机制，简化用户及其账号的管理复杂度，降低系统用户管理的安全风险。
集中用户管理功能示意图
1.3.1管理服务对象
集中用户管理主要面向企业外部的人、资源等进行管理和提供服务,
具体对象可以分为以下几类：
最终用户自然人，包括自然人身份和相关信息
主账号与自然人唯一对应的身份标识，一个主账号只能与一个自然人对应，而一个自然人可能存在多个主账号
从麻号与具体角对应，每一个应用系统部设置的用户账号，在统一信任管理平台中每个主账号可以拥有多个从，也就是多种身份角（即一个日然人在企业部具备多套应用系统账号）
资源用户使用或管理的对象，主要是指应用系统及应用系统下具体功能
具体服务对象之间的映射对应关系如下图所示: