【文章內(nèi)容簡介】 應(yīng)用系統(tǒng)的統(tǒng)一身份認(rèn)證和單點登錄功能 。 項目建設(shè)的必要性 企事業(yè) 單位 經(jīng)過多年的信息化建設(shè)，已經(jīng)形成了一大批比較成熟的應(yīng)用系統(tǒng)，其涉及的應(yīng)用面覆蓋了企事業(yè) 單位 的大部分生產(chǎn)或業(yè)務(wù)，包括辦公系統(tǒng) 、 人事系統(tǒng) 、 財務(wù)系統(tǒng)、信息管理系統(tǒng)等，對于企業(yè)還有生產(chǎn)調(diào)度系統(tǒng)、勞資管理系統(tǒng)、設(shè)備管理系統(tǒng)、 PDM 或 ERP 系統(tǒng)等。 由于歷史的原因，各應(yīng)用系統(tǒng)在開發(fā)的初期都是獨(dú)立進(jìn)行的，造成了彼此之間操作上的割裂和數(shù)據(jù)之間通信的割斷。每一個系統(tǒng)都需要用戶輸入用戶名和密碼才能登錄。隨著業(yè)務(wù)的發(fā)展，企事業(yè)將來會增加到幾十個應(yīng)用系統(tǒng)在網(wǎng)上運(yùn)行。尤其對于一些權(quán)限較高或是涉及業(yè)務(wù)較多的用戶，如果每一個系統(tǒng) 都需要他們進(jìn)行密碼的驗證，那么用戶使用系統(tǒng)的不便性是可想而知的。因此經(jīng)常會有一些用戶將多個系統(tǒng)設(shè)置成同一密碼或是將記不住的密碼寫在紙上貼在桌子上，這樣，對業(yè)務(wù)系統(tǒng)的訪問存在著極大的安全隱患，使一些別有用心的工作人員有機(jī)會利用他人密碼登錄系統(tǒng)，進(jìn)行非法操作，也會給發(fā)生重大事故后的責(zé)任追查帶來困難。 并且隨著企 事 業(yè) 單位 內(nèi)控要求的加強(qiáng)，需要企 事 業(yè) 單位 內(nèi)部應(yīng)用系統(tǒng)加強(qiáng)密碼管理，每一個應(yīng)用系統(tǒng)都需要在三個月內(nèi)更換一次密碼，記不住密碼變得經(jīng)常發(fā)生 ， 而系統(tǒng)管理員也被拖入了繁瑣的重置用戶密碼的工作之中，SFKJSSO 統(tǒng)一身份認(rèn)證和單點登錄平臺 建設(shè)方案 – 第 1 章 項目概述 第 2 頁 新疆四方科技發(fā)展有限公司 電話： 09912849882 2849883 2849886(FAX) 烏魯木齊市揚(yáng)子江路 61 號天安名門 2 棟 31C 郵編： 830002 Email： 無形中增加了管理員的 日常管理工作。 針對于上述情況，企事業(yè)單位需要建設(shè)一個單點登錄平臺，通過一次認(rèn)證登錄后就可訪問所有有權(quán)訪問的應(yīng)用系統(tǒng)，避免頻繁登錄，并且能夠保證用戶身份的合法性和唯一性，對于應(yīng)用系統(tǒng)的訪問建立一套完整的安全防護(hù)和用戶管理機(jī)制，以解決如下問題： ? 如何避免記憶多個密碼？ ? 如何避免頻繁登錄？ ? 如何確保用戶身份的唯一性，確保系統(tǒng)訪問的安全性？ ? 如何減少日常管理花費(fèi)在用戶上的時間？ ? 如何為新建系統(tǒng)架構(gòu)統(tǒng)一用戶身份和認(rèn)證平臺？ ? 如何對企業(yè)各應(yīng)用系統(tǒng)的訪問進(jìn)行監(jiān)控和跟蹤，確保訪問的安全性？ ? 如何 在 不更改用戶應(yīng)用程序的情況 下實現(xiàn)上述需求？ ? 如何在異構(gòu)的環(huán)境中實現(xiàn)上述的需求？ 項目 建設(shè)效益 工作效率提高： 單點登錄的實現(xiàn)提高了員工的工作效率，提高了使用應(yīng)用系統(tǒng)的方便性。 增加了安全性： 減少了因密碼問題而帶來的安全風(fēng)險，不同的增強(qiáng)的身份認(rèn)證也增加了安全性。 降低管理成本： 減少了管理員的管理成本和工作強(qiáng)度，使得信息化工作人員可以投入到更多有意義的 IT 建設(shè)工作中。 實施風(fēng)險最少： SFKJSSO 的技術(shù)特點最大的保障了單點登錄工程在短期內(nèi)成功的實現(xiàn)，避免了部門間協(xié)調(diào)的麻煩和實施周期長而帶來的經(jīng)濟(jì)損失。 投資利用率高： SFKJSSO 采 用的先進(jìn)技術(shù)體系，為后續(xù)的應(yīng)用開發(fā)提供了統(tǒng)一的用戶身份權(quán)限管理框架，投資后利用率高，并且可擴(kuò)展性好，可滿足企事業(yè)單位不同發(fā)展階段的需求。一次投資可長期使用，所有系統(tǒng)使用。 SFKJSSO 統(tǒng)一身份認(rèn)證和單點登錄平臺 統(tǒng)建設(shè)方案 – 第 2 章 系統(tǒng)特點 第 3 頁 新疆四方科技發(fā)展有限公司 電話： 09912849882 2849883 2849886(FAX) 烏魯木齊市揚(yáng)子江路 61 號天安名門 2 棟 31C 郵編： 830002 Email： 第 2章 系統(tǒng)特點 應(yīng)用無關(guān)性 保護(hù)所有類型的應(yīng)用系統(tǒng)，可以保護(hù)基于各種協(xié)議，平臺和開發(fā)語言的應(yīng)用系統(tǒng)，無論是 B/S 結(jié)構(gòu)的還是 C/S 結(jié)構(gòu)的。 即插即用 無需對系統(tǒng)做任何改造，保持現(xiàn)有的軟硬件及網(wǎng)絡(luò)環(huán)境不變保持用戶原有的使用習(xí)慣 。 高安全性 基于數(shù)字證書的強(qiáng)身份認(rèn)證機(jī)制，通過數(shù)字證書認(rèn)證系統(tǒng)為用戶發(fā)放數(shù)字證書，同時兼容第三方 CA認(rèn)證機(jī)構(gòu)頒發(fā)的證 書。 自帶防火墻安全防范機(jī)制，以確保系統(tǒng)本身的安全性和業(yè)務(wù)系統(tǒng)的安全性 。 移動用戶可使用加密機(jī)制，將用戶訪問內(nèi)部系統(tǒng)時在網(wǎng)上傳輸?shù)臄?shù)據(jù)進(jìn)行加密處理，實現(xiàn)安全的遠(yuǎn)程訪問。 高可靠性 對于大用戶量的訪問， SFKJSSO 支持主備部署方式，以避免單點故障。用戶可以在網(wǎng)內(nèi)部署多臺 SFKJSSO 服務(wù)器，以平衡不同服務(wù)器之間的認(rèn)證請求。 可擴(kuò)展性 對于用戶的需求，可以定制開發(fā)，按企事業(yè) 單位 自身的特點和實際情況實現(xiàn)不同的功能。 提供不同的開發(fā) API，使用認(rèn)證 API可以將應(yīng)用系統(tǒng)的認(rèn)證被 SFKJSSO系統(tǒng)整合。并為其他 認(rèn)證方式，如動態(tài)密碼認(rèn)證，預(yù)留接口等，以適應(yīng)企業(yè)的認(rèn)證需求。 對于新建設(shè)的應(yīng)用系統(tǒng)提供開放的標(biāo)準(zhǔn)的接口規(guī)范，在此標(biāo)準(zhǔn)指導(dǎo)下，可將應(yīng)用完全納入 SFKJSSO 平臺的統(tǒng)一管理中，實現(xiàn)統(tǒng)一認(rèn)證，單點登錄。 跨平臺性 基于 J2EE 技術(shù)：系統(tǒng)基于 J2EE 技術(shù)開發(fā)， 與平臺無關(guān)，可以方便 地 在任何操作系統(tǒng)上實施，與其他系統(tǒng)具有很好的兼容性。 基于 LDAP 技術(shù)：提供了強(qiáng)大的跨平臺性和跨應(yīng)用管理能力，為企業(yè)其SFKJSSO 統(tǒng)一身份認(rèn)證和單點登錄平臺 統(tǒng)建設(shè)方案 – 第 2 章 系統(tǒng)特點 第 4 頁 新疆四方科技發(fā)展有限公司 電話： 09912849882 2849883 2849886(FAX) 烏魯木齊市揚(yáng)子江路 61 號天安名門 2 棟 31C 郵編： 830002 Email： 他系統(tǒng)共享資源提供基礎(chǔ)。也便于其他應(yīng)用系統(tǒng)采用同一標(biāo)準(zhǔn)開發(fā)納入統(tǒng)一認(rèn)證管理平臺。 SFKJSSO 統(tǒng)一身份認(rèn)證和單點登錄平臺 建設(shè)方案 – 第 3 章 解決方案 第 5 頁 新疆四方科技發(fā)展有限公司 電話： 09912849882 2849883 2849886(FAX) 烏魯木齊市揚(yáng)子江路 61 號天安名門 2 棟 31C 郵編： 830002 Email： 第 3章 解決方案 單點登錄的解決方案一般 可以采用系統(tǒng)改造方式和即插即用方式 。 系統(tǒng)改造方式 這種 SFKJSSO 實現(xiàn)原理是， SFKJSSO 系統(tǒng)提供各種 API， Agent代理，對原有應(yīng)用系統(tǒng)進(jìn)行改造，改變原有應(yīng)用系統(tǒng)的認(rèn)證方式，同時采用認(rèn)證服務(wù)器提供的技術(shù)進(jìn)行身份認(rèn)證。這種解決方案，一般要求用戶先統(tǒng)一所有應(yīng)用系統(tǒng)的用戶數(shù)據(jù)庫。把用戶的信息統(tǒng)一后，才可實現(xiàn)單點登錄功能。 在修改應(yīng)用的技術(shù)方案中，每個應(yīng)用服務(wù)器中都需要安裝一個代理程序完成用戶的身份認(rèn)證工作。當(dāng)用戶訪問目標(biāo)應(yīng)用服務(wù)器時，代理程序向SFKJSSO 服務(wù)器詢問該用戶是否已經(jīng)登錄，如果是，則 代理程序從SFKJSSO 服務(wù)器中取得該用戶的用戶信息自動登錄該應(yīng)用系統(tǒng)。登錄成功后，用戶直接訪問該目標(biāo)服務(wù)器。如果未曾登錄過任何應(yīng)用服務(wù)器，則該應(yīng)用要求用戶進(jìn)行身份認(rèn)證，認(rèn)證結(jié)束后，代理程序?qū)⒄J(rèn)證結(jié)果發(fā)送給SFKJSSO 服務(wù)器。 這種方式可以減少運(yùn)行后系統(tǒng)管理員的工作，但要求各應(yīng)用系統(tǒng)原開發(fā)商