统一身份认证系统技术方案 - 图文(2)

智慧海事一期统一身份认证系统技术方案

5

智慧海事一期统一身份认证系统技术方案

2. 方案产品介绍

2.1 统一认证管理系统 2.1.1 系统详细架构设计

国家海事局统一认证管理系统详细架构设计如下图所示：

在国家海事局部署一级统一身份认证系统，可管理全部的系统用户，用户可通过统一身份认证系统进行身份认证、业务系统单点登录；二级单位根据具体情况可部署二级统一身份认证系统，系统用户信息管理与一级统一身份认证系统同步，当网络出现故障时，二级单位用户可登录各自单位的二级统一身份认证系统，不影响正常的业务处理。

国家海事局统一认证管理系统的主要服务功能模块包括：身份认证模块、单点登录模块、信息同步模块、后台管理模块、数据服务模块及安全管理模块，其中后台用户管理包括用户、角色、应用等相关信息管理，另外，安全管理模块为维护好系统服务功能

6

智慧海事一期统一身份认证系统技术方案

的安全性，提供系统自身所有操作的安全审计功能，以及各个应用系统用户信息的监控功能。

2.1.2 身份认证服务设计

身份认证服务为海事局各应用系统内各类用户提供身份信息注册、凭证发布、用户资料管理及销毁、登录认证功能。 2.1.2.1 总体设计

认证管理的结构如上图所示，主要包括以下几个部分：

CA认证中心：海事局CA认证中心为数字证书用户提供身份认证服务，签发数字证书，实现证书与现实中的实体（个人、单位或服务器）的绑定。CA认证中心除了为最终用户办法数字证书外，还需要为统一认证服务器和业务系统的服务器签发服务器身份证书，用于客户与服务器之间的双向认证。

统一认证服务器：统一认证系统服务器的数据库中集中存放所有业务系统的用户信

7

智慧海事一期统一身份认证系统技术方案

息和权限信息，所有业务系统和统一认证系统都需要部署服务器证书、安全组件和认证接口，用于业务系统与客户端，或业务系统之间的身份认证。

证书用户：证书用户按照经过严格的身份信息鉴证，从CA认证中心领取数字证书，然后通过访问各级统一认证系统，进行单点登录，就可以很方便地访问自己权限范围内的应用系统。用户数字证书的身份信息要与统一认证系统中注册的用户信息保持一致（关键信息为：姓名、证件类型和证件号码），只有信息一致的前提下，才可实现可靠的身份认证。

口令用户：口令用户不需要经过CA中心身份认证和签发数字证书，直接由单位管理员根据用户信息注册即可。用户本人可在获得初始密码后修改登陆密码和注册信息。 2.1.2.2 身份认证方式

统一认证系统可以对不同的系统进行分级认证，也可以对系统内的不同用户分级认证。系统应同时支持口令方式和数字证书两种方式的身份认证机制。另外，系统应具有扩展接口，可快速实现动态口令认证、指纹认证和和人像等其它身份凭证认证模式。身份认证技术支持PKI、LDAP、NDS、NIS、AD等标准认证技术。

对于安全性较低的系统，可以采用最低认证等级：用户名/口令方式；对于安全性较高的系统，最低认证等级则需要设置为数字证书方式。系统的认证等级和用户的认证方式都可以在统一认证系统后台进行动态配置。

用户使用数字证书可以登录安全性较低的系统，但是用户名/口令认证方式不允许进入等级为数字证书的业务系统。 2.1.2.3 基于数字证书的身份认证

数字证书用户登录业务系统的身份认证流程如下图所示：

8

智慧海事一期统一身份认证系统技术方案

流程说明：

(1) 提供证书：在登录门户页面（或统一认证首页）中嵌入证书控件和组件，服务器

端产生随即数并进行数字签名，客户端实现即插即用的登录认证模式，只要插入UsbKey自动列举Key内的数字证书；

(2) 握手认证：用户输入证书密码、点击登录提交按钮后，页面调用证书控件的运行

脚本，校验证书密码后对服务器端产生的随即数和数字签名进行验证；客户端对随即数进行数字签名，提交认证信息给服务器验证；认证信息主要包括：随即数、客户证书、客户的签名等信息。服务器后台程序验证客户端的证书有效性和数字签名的有效性。

(3) 获取访问信息：统一认证服务器从认证信息中提取客户端数字证书，并从证书中

解析出证书的唯一标识，在后台数据库中进行比对，进行访问控制； (4) 返回登录票据：服务器认证通过后，形成标准格式的登录票据，返回客户端。 (5) 选择业务系统：系统根据登录票据，显示可登录的系统，用户选择系统。 (6) 传递票据：客户端浏览器将登录票据传递到对应的系统地址上。

9