方案背景 方案設計(jì)
統一身(shēn)份認證&授權管理(lǐ)安全解決方案
方案背景

随着信息化的不斷深入，企事(shì)業單位的網絡環境變得(de)越來(lái)越複雜，爲了訪問(wèn)信息和完成相(xiàng)應工(gōng)作(zuò)，業務系統用戶需要在不同的系統上完成業務工(gōng)作(zuò)，一方面需要對不同業務系統的用戶、權限進行統一動态管理(lǐ)，另一方面也需要對所有系統實現統一的安全策略。

由于信息系統中有大(dà)量的業務系統，分(fēn)别屬于不同的部門(mén)和不同的應用。各系統都(dōu)有一套獨立的賬戶、認證、授權和審計(jì)系統，員(yuán)工(gōng)使用不同的業務系統時，需要訪問(wèn)不同的地址、記住多個業務系統的複雜密碼；當維護人(rén)員(yuán)同時對多個系統進行維護時，工(gōng)作(zuò)複雜度也會成倍增加。各系統分(fēn)别管理(lǐ)所屬的系統資源，缺乏集中統一的授權管理(lǐ)平台，無法嚴格按照(zhào)最小權限原則分(fēn)配權限。另外，随着用戶數量的增加，權限管理(lǐ)任務越來(lái)越重，系統的安全性無法得(de)到充分(fēn)保證。有些賬号多人(rén)共用，不僅在發生(shēng)安全事(shì)故後，難于确定賬号的實際使用者，而且在平時也難以對賬号的擴散範圍進行控制，容易造成安全漏洞。


方案設計(jì)

統一身(shēn)份認證/授權管理(lǐ)平台以用戶管理(lǐ)爲核心，以PKI體(tǐ)系爲技術(shù)基礎，爲業務信息系統提供用戶管理(lǐ)、身(shēn)份認證、授權管理(lǐ)和審計(jì)管理(lǐ)的4A服務。爲多業務系統實現單點登錄和應用訪問(wèn)控制提供基礎安全平台和核心安全服務。

平台實現集中的用戶管理(lǐ)、證書(shū)管理(lǐ)、認證管理(lǐ)、授權管理(lǐ)和審計(jì)等功能，爲多業務系統提供用戶身(shēn)份、系統資源、權限策略、審計(jì)日(rì)志等統一、安全、有效的配置和服務。

統一身(shēn)份認證&授權管理(lǐ)安全解決方案(圖1)

如(rú)圖所示，平台各組件(jiàn)之間是松耦合關系，相(xiàng)互支撐又相(xiàng)互獨立，具體(tǐ)功能如(rú)下：

1.集中用戶管理(lǐ)系統

完成各系統的用戶信息整合，實現用戶生(shēng)命周期的集中統一管理(lǐ)，并建立與各應用系統的同步機(jī)制，簡化用戶及其賬号的管理(lǐ)複雜度，降低系統管理(lǐ)的安全風(fēng)險。

2.集中證書(shū)管理(lǐ)系統

集成證書(shū)服務和電子密鑰（USB-Key）管理(lǐ)功能，實現用戶證書(shū)申請(qǐng)、審批、核發、更新、吊銷等生(shēng)命周期管理(lǐ)功能。

3.集中認證管理(lǐ)系統

實現多業務系統的統一認證，支持數字證書(shū)、動态口令、靜(jìng)态口令等多種認證方式；提供單點登錄服務，用戶隻需要登錄一次就(jiù)可(kě)以訪問(wèn)所有相(xiàng)互信任的應用系統。

4.集中授權管理(lǐ)系統

根據安全策略，采用基于角色的訪問(wèn)控制技術(shù)，實現支持多應用系統的集中、靈活的訪問(wèn)控制和授權管理(lǐ)功能，提高管理(lǐ)效率。

5.集中審計(jì)管理(lǐ)系統

提供全方位的用戶管理(lǐ)、證書(shū)管理(lǐ)、認證管理(lǐ)和授權管理(lǐ)的審計(jì)信息，支持應用系統、用戶登錄、管理(lǐ)操作(zuò)等審計(jì)管理(lǐ)。


平台拓撲結構圖如(rú)下所示：

統一身(shēn)份認證&授權管理(lǐ)安全解決方案(圖2)