1统一用户管理平台软件开发
1.1实现目标
统一用户管理平台是为各个渠道接触系统提供统一入口,实现企业基础库的用户管理、权限管理和身份认证服务。把功能组件和服务化,并制定相应的合用规范、标准和指引,在此基础上实现各应用领域之间的互信双向单点登陆功能,主要目标有:- 在东莞地铁信息化平台内,统一为各业务系统提供身份认证服务。
- 整合多业务系统认证功能,包括现有系统如OA、ERP、HR等
- 遵循集中认证、分散鉴权的原则,认证后代表的身份及身份对应的权限遵循现有渠道接触系统的业务规则。
- 在东莞地铁公司内实现开发数据同步
- 实现多层次的安全级别体系
1.2系统功能及架构
平台的系统架构如下图所示,主要包括以下部分:- 门户系统(Portal ):各业务系统信息资源的综合展现;
- 平台管理系统 :平台用户的注册、授权、审计;各业务系统的配置;门户管理;
- CA 系统 :平台用户的数字证书申请、签发和管理;
- 用户统一认证 :用户身份的 CA 数字证书认证、认证过程的 SSL 加密通道;
- 单点登录(SSO):业务系统关联( mapping )、访问控制、访问业务系统时信息的加密签名和 SSL 加密通道。
图片 1基于 CA 认证的统一身份管理平台架构
1.3系统的实现和安全机制
用户注册和授权- 企业每一个用户在平台完成用户注册,得到自己的统一帐户( passport );
- 如果采用证书文件或 USB 智能卡认证方式,则 CA 系统自动为平台用户签发数字证书,并与用户的统一帐户对应。
- 注册的用户可以由管理员进行分组,并根据分组设定相应的业务系统访问权限。
接受统一认证的业务系统必须完成以下工作:
- 安装业务系统访问前置并配置证书和私钥,用以建立客户端与业务系统之间的 SSL 加密通道,并接收处理平台提供的加密签名的用户认证信息;
- 提供关联( mapping )接口和访问验证接口,并在平台进行配置。关联信息主要是平台统一帐户与业务系统用户信息(可能包括业务系统的用户名和密码)的对应关系。
图片 2 系统的实现和安全机制
1.4用户统一认证
如图 10 所示,用户统一认证过程采用 SSL 加密通道保证安全性。认证服务器负责 SSL 加密通道的建立。- 对于口令认证方式,认证服务器配置为单向 SSL 加密通道,客户端不需要证书;
- 对于证书文件或 USB 智能卡认证方式,认证服务器配置为双向 SSL 加密通道,客户端必须提供用户证书,并由认证服务器完成对用户证书和用户身份的校验;
1.4.1用户的业务系统关联( mapping )
用户通过平台认证后,第一次访问业务系统时,平台根据业务系统的配置自动生成业务关联页面,要求用户进行关联:- 用户输入业务系统的用户信息(可能包括业务系统用户名和密码);
- 关联信息连同时间戳被平台的访问控制服务器进行加密和签名(业务系统证书加密,平台私钥签名,时间戳用于防止重放攻击);
- 加密签名的关联信息通过 SSL 加密通道,传递至业务系统访问前置,并由其进行解密验证后交给业务系统验证;
- 关联信息验证通过,则平台将用户统一帐户与业务系统用户信息建立对应关系,以备正常访问业务系统时使用。
1.4.21.5用户对业务系统的正常访问
如图 10 所示,如果用户完成了平台统一帐户与业务系统用户信息的关联,则在通过平台认证后访问业务系统时:- 平台根据要访问的业务系统 ID 和会话( session )中的用户统一帐户,查询用户的业务系统关联信息;
- 将相应信息和时间戳由访问控制服务器加密签名并经由客户端,通过 SSL 加密通道,传递至业务系统访问前置,并由其进行解密验证后交给业务系统验证;
- 业务系统验证通过后,自动跳转进入业务系统。
联系方式:北京软件开发公司
电话:010-52895342,400-886-7161
邮件:service@hivekion.com
网址:http://www.hivekion.com
【北京华盛恒辉科技有限公司 ——(hivekion)是一家软件定制开发公司,在软件产品研发与服务,华盛恒辉坚持稳健经营、持续创新、开放合作,在安全生产、大数据处理等领域构筑了端到端的解决方案优势,为企业客户提供有竞争力的IT解决方案、 产品和服务。】