统一身份认证系统技术方案 - 图文(4)

智慧海事一期统一身份认证系统技术方案

单点登录认证流程浏览器访问业务系统业务系统认证系统请求被认证系统客户端拦截用户请求的页面是是否已登陆否收到认证系统地址返回给用户认证系统地址重定向是否已登陆否是登陆页面输入用户凭证提交验证并记录用户收到业务系统地址及票据id重定向认证系统客户端收到票据id将票据票据id发送给认证系统验证返回业务系统地址及票据id验证票据id的合法性认证系统客户端接收用户基本信息用户请求的页面返回返回用户的基本信息 2.1.5 身份信息共享与同步设计

统一认证系统建立统一的权威机构数据、用户数据、用户授权数据等资源库并可作为所有应用系统的数据源。机构数据、用户数据、用户授权数据是海事局核心数据，需要绝对的安全和保密。统一认证管理系统对数据的管理应该是安全的和封闭的，任何未授权应用系统均无法从系统管理层面、系统服务层面和数据库层面获取这些数据，应用系统必须通过信息共享服务和数据同步的方式获取这些数据。

15

智慧海事一期统一身份认证系统技术方案

2.1.5.1 体系结构

信息共享服务和数据同步有两种体系结构：

(1) 一级统一认证管理系统和国家海事局应用系统的同步 如下图所示：

一级统一认证管理平台 一级统一认证管理系统仅需要和国家海事局本地的应用系统作数据同步。 (2) 国家海事局统一认证管理系统和直属局/地方局统一认证管理系统同步如下图所示：

16

智慧海事一期统一身份认证系统技术方案

一级统一认证管理平台 国家海事局 二级统一认证管理平台 直属局/地方省局

一级统一认证管理系统不仅需要和国家海事局本地的应用系统作数据同步，还需要和直属局/地方省局的二级级统一认证管理系统作数据同步。 2.1.5.2 同步机制

信息共享服务和数据同步机制如下：

与基于关系型数据库（DB）的应用系统同步

采用webservices技术（SOAP协议）实现与这类应用系统作数据同步。数据通过同步引擎、事务机制和SOAP协议实现与应用系统之间的同步。同步的成功和失败都进行记录，同步的成功信息以报告形式方便于管理人员查看，同步的失败信息通过定时器机制自动完成，直至同步成功。

与基于目录（LDAP）的应用系统同步

17

智慧海事一期统一身份认证系统技术方案

采用LDAP协议和JNDI技术实现与这类应用系统作数据同步。支持的LDAP包括：apacheDS，openLdap，sunONE等，另外也包括域控制器（windows AD、Linux NIS、Unix NFS）。

统一认证管理系统和应用系统之间以JNDI/LDAP方式建立通信。数据通过同步引擎、事务机制和JNDI与LDAP协议实现与应用系统之间的同步。同步的成功和失败都进行记录，同步的成功信息以报告形式方便于管理人员查看，同步的失败信息通过定时器机制自动完成，直至同步成功。

与基于域控制器的应用同步

采用LDAP协议和JNDI技术实现与这类应用系统数据同步。域控制器包括：windows AD、Linux（Unix）NIS。对域控制器的同步，基本与对LDAP的同步类似，因此，与基于域控制器的应用同步可以采用基于LDAP协议来实现同步。但是windows还提供了一套ADSI接口，也能够实现与windows AD的数据同步。统一认证系统通过JNI实现对windowsAD的数据同步。 2.1.5.3 同步策略

同步策略有三种，包括：操作及时同步、操作批量同步和事后同步。

1、及时同步

该策略实现了：对用户信息、机构信息操作（增加并授权、删除、修改）时，系统自动完成同步。同步失败时，系统监控提示同步失败，后台使用定时器定时继续进行同步。同步定时器还能够设置同步的时间和周期。

2、批量同步

该策略实现了：根据“角色”选择用户，完成用户同步；根据“机构”选择用户，完成用户同步；根据“应用系统”选择对应的角色，完成角色的同步。

3、事后同步

该策略实现了：当用户信息、机构信息操作（增加、删除、修改）时或者同步失败时，用户可根据需要进行事后再次同步。当新系统接入时，单独同步信息。当系统需要更新数据时，再次同步用户信息。

18

智慧海事一期统一身份认证系统技术方案

2.1.6 后台管理设计

2.1.6.1 用户数据的获取

身份信息由各应用系统汇集，统一认证管理系统提供批量操作（导入、导出、迁移）工具，如采用用户数据EXCEL 的导入导出，以满足海事局大量用户维护的需求。 2.1.6.2 管理模式

系统提供分级管理分级授权。 2.1.6.2.1 分级管理分级授权

用户身份信息和用户的访问控制相关的授权信息均分级管理。 设有三类管理员角色：

(1) 系统管理员：进行单位管理员管理、机构管理、角色管理、应用系统管理等日常

管理。

(2) 安全审计员：进行安全审计，日志管理等工作，对系统管理员的工作进行监督。 (3) 单位管理员：进行本单位的用户的授权管理。单位管理员根据系统管理员定义的

本单位的访问角色，为最终用户进行授权。

海事局统一认证管理系统的用户及系统级授权管理建议采用：分级管理、分级授权模式，如下图所示：

19