正方数字化校园建设方案-w - 图文(12)

3.2.2.3 组织及用户管理

组织一个学校的用户，从而使其管理更为有效？我们认为应该将按照学校本身的组织结构进行分层管理。统一身份认证平台中可以按照的组织结构进行用户管理的组织结构构建，组织包括了组织单元(也就是通常所说的部门)、区域(也就是通常所说的外地分支机构)，以及可以实现管理权限相对独立的安全管理域。

管理创建学校多级组织机构、部门信息；管理系统用户信息、限制用户登录权限；机构管理员、机构负责人、办公室主任配置。

第 38 页 共 86 页

广州大学松田学院数字化校园建设方案

3.2.2.4 角色管理

统一身份认证平台中可以定义用户角色，用户角色直接决定了该用户可以享有哪些服务。用户和角色之间的关系是不断维护的，每种角色都有各自的权限定义，如果一个用户被赋予一个角色之后，那么这个用户就拥有了那个角色所定义的权限；当这个角色的权限定义更改之后，所有被赋予这个角色的用户也会自动拥有这个角色更改之后的权限。

这种功能可以大大地简化系统管理员对用户权限的管理工作。所有的权限定义都只需要针对数量非常有限的角色，而不必针对数目巨大的一般用户，从而显著地减少了系统管理人员对用户访问权限维护的工作量。

3.2.2.5 身份同步管理

统一身份同步管理系统将结合目录服务器统一地管理用户帐户的主数据。统一身份管理系统将通过组织、组、角色、用户等几层管理用户身份，另外通过委托管理员，实现分级管理。

统一身份管理系统管理用户在各个应用系统中的用户信息的对应关系，并根据这一关系管理用户在各个应用系统中的生命周期，如添加、删除、修改等。统一身份管理系统的身份同步工具可以自动发现某个应用系统中用户信息的变化而通过一定规则，保持和其它相应应用中用户信息同步。

统一的用户身份库就如同网络中的HUB，它一方面作为广州大学松田学院数字化校园信息系统统一身份资料库；另一方面还可负责与已有系统中的身份信息实现同步。

统一身份同步管理系统和各应用系统的用户身份集成通过用户管理系统（Identity Manager）提供的资源适配器实现。Identity Manager中提供了广泛的资源适配器，如关系型数据库表适配器、LDAP适配器等。由适配器实现集中地管理用户信息和各应用系统中用户信息的一对一或一对多的映射关系。然后根据映射关系同步用户信息。比如，某一业务系统添加新用户，系统将根据广州大学松田学院数字化校园信息系统对用户管理所定制的业务规则，在统一身份库中同步用户信息。同时，根据规则更新到其他相关子系统中。

也可以采用数据中心平台的数据交换功能，实现用户权威数据源到中央身份库的用户同步，从中央身份库到业务系统的数据同步。

第 39 页 共 86 页

广州大学松田学院数字化校园建设方案

3.2.2.6 认证方法及负载均衡

3.2.2.6.1 认证方法

广州大学松田学院的身份认证支持多种方法认证，支持用户名/口令、动态口令、802.1X、标准的X.509数字证书、RF卡（校园一卡通）和智能usb key等认证方式，同时支持第三方认证方式。能够根据业务的不同安全等级合理使用凭证。

统一身份认证的逻辑图如下：

根据学校的实际情况，支持以下的多种认证方式：

1、LDAP：门户系统利用外部的目录服务系统作为本身的认证机制，如果用户通过了外部目录服务的认证，门户系统则认为此用户认证通过，允许进入门户系统。这种认证的好处是充分利用已有的认证系统，投资较小。

2、RADIUS：门户系统利用外部的拨号认证系统作为本身的认证机制，如果用户通过了外部拨号认证系统的认证，门户系统则认为此用户认证通过，允许进入门户系统。这种认证的好处是充分利用已有的认证系统，投资较小。

3、UNIX：门户系统利用门户所安装UNIX环境的认证系统作为本身的认证机制，如果用户通过了UNIX认证系统的认证，门户系统则认为此用户认证通过，允许进入门户系统。这种认证的好处是充分利用已有的认证系统，投资较小。

第 40 页 共 86 页