统一身份认证系统技术方案 - 图文(5)

智慧海事一期统一身份认证系统技术方案

海事局单位管理员：负责海事局本部的用户信息管理及系统级授权管理。 下级单位管理员：负责本单位及下级单位的用户信息管理及系统级授权管理。 海事局单位管理员及下级单位管理员对各自单位进行：机构信息管理、用户信息管理、授权管理、证书管理以及安全审计。单位管理员的权限由一级统一认证管理系统管理员统一分配。通过信息同步服务实现数据的同步。 2.1.6.3 账号安全策略管理

统一认证管理系统的账号安全策略管理功能包括： ? 重置多个用户帐户的密码 ? 设置用户下次登录时必须更改密码 ? 设置永不到期的密码

? 如果用户的密码过期，启用、禁用或删除他们 ? 配置用户无法更改由管理员设置的密码

20

智慧海事一期统一身份认证系统技术方案

2.1.6.4 后台管理功能框架

统一认证管理系统的后台用户管理的功能如下：

理、基础数据管理和安全审计。

统一认证管理系统的总体功能包括：用户管理、角色管理、信息系统管理、机构管

2.1.7 安全审计设计

统一认证管理系统应具有较完善的应用层日志记录功能，可以通过安全管理模块下的系统日志子模块查看审计日志信息，审计日志包括：序号、管理员名称、操作类别、操作日期、操作描述。

日志内容可以记录用户不成功登录的信息，可以记录用户的重要业务操作行为，如：对用户、角色的增加、删除、修改和授权关系的调整等操作。

所有日志按照标准结构化数据记录，便于审计。日志中备注信息可填写一些详细信息。

21

智慧海事一期统一身份认证系统技术方案

2.1.7.1 日志管理

日志可以提供查询、备份等管理功能。 各单位管理员可查询本机构日志； 系统管理员可查询所有日志；

安全审计员可以备份、删除日志（只能以时间段备份及删除）； 备份/删除日志操作时间有记录，备份/删除的记录不删除； 可设置备份提醒，在管理员登陆时提醒。 2.1.7.2 日志审计

检查某个用户一段时间内的缺勤情况。 检查当前访问网络的用户数量。

识别通过远程计算机访问的用户检查所有用户的高峰登录时间。 查看上次访问重要资源的用户。

发现试图登录不具访问权限的计算机的用户。 查看任一个用户登录的全部历史。

同一个用户在短时间内从不同地方登陆情况，全面了解用户活动的安全情况。 实时预警功能，提供关注重要事件的实时告警。

支持计划报表，提供自动发送用户选择的相关报表到管理员邮箱功能。

提供自定义报表，要求提供基于用户、计算机、组策略、组织单元等内容定制各种报表。

支持导出PDF、CSV、XLS和HTML等格式。

提供自定义活动目录事件数据的保存周期，按设置周期清理数据库过期事件数据功能。

提供日志自动归档功能：即基于用户设定的时间间隔对日志进行自动存档，存于指定目录。

22

智慧海事一期统一身份认证系统技术方案

2.1.8 业务系统接入设计

2.1.8.1 业务系统接入条件

应用系统（海事业务申报客户端、客户端）要接入统一身份管理系统，进行单点登录，需按照提供的接入标准对登录模块进行改造，具体技术实现方式详见第2.1.2和第2.1.4章节。

2.1.8.2 业务系统接入步骤

根据以上内容的介绍，各个业务系统接入统一认证管理系统的步骤必须按照规范和以下步骤完成：

1、首先把业务系统中的用户信息全部导入统一身份认证系统中，统一用户数据汇总初始化是实现集成认证的前提。

2、业务系统的原有登录方式取消，统一采用统一登录入口，需要各个业务系统按照统一认证的接口规范要求进行相应的开发改造

3、各个业务系统可以有选择的把权限管理数据放到统一身份认证系统中来，也可以选择保留原有业务系统的权限管理方式；

4、统一认证系统启用后，禁用已经接入的业务系统用户数据录入的操作，保证整个系统的数据一致性，防止数据冲突发生。

2.2 数字证书认证系统

2.2.1 产品介绍

本方案将采用BJCA的信天行数字证书认证系统为海事局提供建设CA中心。 信天行数字证书认证系统依照国家有关证书认证系统的技术规范设计，包括《证书认证系统密码及其相关安全技术规范》、《数字证书认证系统密码协议规范》、《GBT 20518-2006信息安全技术 公钥基础设施 数字证书格式》等。系统提供数字证书发放和管理功能，包括数字证书申请、证书发放、证书更新、证书废除、密钥恢复等。同时

23

智慧海事一期统一身份认证系统技术方案

还提供如证书目录发布服务， OCSP证书查询服务等一系列方便用户使用证书的服务。系统提供了完善的日志记录和详细的审计功能，保证了对操作人员的操作行为进行审计。

信天行数字证书认证系统具有以下技术特点： (1) 支持基于SM2算法的ECC证书的签发。

(2) 可以统一管理和发放各类证书,包括邮件证书、个人身份证书、企业证书、服务

器证书等。

(3) 具有高扩展性,可以灵活配置认证体系。系统支持多级CA，支持交叉证书认证,

支持多级受理点。可以根据用户的需要，对系统进行配置和扩展。 (4) 具有高安全性和可靠性。

(5) 易于部署和使用。系统所有用户、管理员界面主要是 B/S 模式，策略配置和系

统定制以及用户证书管理等都通过界面进行。

(6) 采用灵活的证书模板技术和动态扩展机制，容易满足多种内容格式证书签发要

求。

(7) 系统环境方面，支持主流操作系统、多种主流加密设备、多种数据库、多种证书

存储介质等。

信天行数字证书认证系统在设计时充分考虑了体系结构的完整性、全面的证书管理功能和自身安全性以及运行保障等因素。系统通过利用公开密钥算法、对称密钥算法和散列算法等技术，提供了信息加密、数字签名和数字信封等保护措施，实现信息系统中数据的完整性、机密性、抗抵赖性，并提供身份认证、访问控制等功能。可以为电子政务和电子商务领域提供信息化应用安全基础平台。

2.2.2 系统框架

数字证书认证系统主要分成：核心层、管理层和服务层三层架构。

核心层包括：根CA系统、运行CA系统和KMC密钥管理系统三大子系统。其中，运行CA系统又分成CA签发系统、CA管理系统、CA数据库和主LDAP目录服务系统等组成部分。KMC密钥管理系统包括密钥管理系统和KM数据库。

管理层包括：RA注册系统。RA注册系统由注册管理系统和RA数据库组成。注册管理系统需要与CA管理系统进行安全通信。

服务层包括：证书服务系统和证书/证书状态查询系统。证书服务系统又细分为受理点服务系统、用户服务系统。受理点服务系统是海事局的证书受理点的证书管理员操作

24