【導(dǎo)讀】.平臺部署及性能說明.........

　　

【正文】 對于非 Java 的應(yīng)用系統(tǒng)，可以使 用 XML/HTTP 編程接口或C/C++編程接口。 如果僅使用 SUN Access Manager API 接口，存在諸多限制： 操作系統(tǒng)限制： C/C++接口目前只能穩(wěn)定運行在 Solaris 系統(tǒng)中，其他主流的 UNIX/Linux 系統(tǒng)不支持 XML 解析復(fù)雜：對于非 Java 和 C/C++開發(fā)的系統(tǒng)集成來說，集成應(yīng)用34 需要編寫了解復(fù)雜的 XML 結(jié)構(gòu)，編寫 XML 解析程序 集成系統(tǒng)開發(fā)工作量大 ： 集成系統(tǒng)采用 API 模式集成時不但要完成 SUN API 復(fù)雜的過程配置，還需要進行通訊多線程的處理，在雙機環(huán)境下還需要大量的編 程支持動態(tài)切換 平臺升級困難 ： 直接采用 SUN API集成，每個集成應(yīng)用都與底層平臺緊密耦合，當(dāng)平臺升級時，需要每個應(yīng)用重新進行修改，無法保證整個系統(tǒng)的平滑升級 。 為了解決這些問題，我們采用 ICE（ Inter Communications Engine）中間件平臺自主開發(fā)各類認(rèn)證接口。 ICE 是一種面向?qū)ο蟮闹虚g件平臺，采用了一種用于使對象接口與其實現(xiàn)相分離的基礎(chǔ)性抽象機制，為構(gòu)建面向?qū)ο蟮目蛻簦?wù)器應(yīng)用提供了工具、 API 和庫支持。在客戶機與服務(wù)器之間建立合約，描述應(yīng)用所使用的各種類型及對象接口。 這種描述與實現(xiàn)語言無關(guān)，所以編寫客戶所用的語言無需與編寫服務(wù)器所用的語言相同， 很適合 中小學(xué)的多語言集成環(huán)境。 其架構(gòu)圖如下： ICE 認(rèn)證接口是架設(shè)在集成應(yīng)用和身份認(rèn)證平臺之間的中間件，支持大多數(shù)的主流 Unix/Linux 平臺 與 MS Windows 平臺，集成應(yīng)用系統(tǒng)開發(fā)人員無需面對復(fù)雜的 XML 解析，只需要一個對象（類）就可以完成所有認(rèn)證相關(guān)操作 ， ICE認(rèn)證接口 API 是線程安全的，開發(fā)人員無需額外的付出就可以獲得高效的多線程功能。在架構(gòu)上 ICE 接口的存在使得各個集成應(yīng)用和統(tǒng)一身份平臺是非緊密耦合，在代碼層 統(tǒng)一身份平臺的對外接口升級變化將不會影響到各個集成應(yīng)用，增加了整個系統(tǒng)的穩(wěn)定和擴展性。同時 ICE 也支持統(tǒng)一身份認(rèn)證平臺的雙機熱備模式，能夠動態(tài)進行切換，集成應(yīng)用無需付出額外工作考慮平臺狀態(tài)問題。 ICE 認(rèn)證接口增加了系統(tǒng)監(jiān)控功能， 通過配置 ， 可以在系統(tǒng)出現(xiàn)問題時 發(fā) 郵35 件 通知系統(tǒng)管理員。 我們的架構(gòu)為應(yīng)用開發(fā)者提供諸多重要優(yōu)勢： 面向?qū)ο蟮恼Z義 ICE“在線路上”完全保留了面向?qū)ο蠓缎?。所有的操作調(diào)用都使用遲后綁定，所以操作的實現(xiàn)的選定，是根據(jù)對象在運行時的（而不是靜態(tài)的）實際類型決定的。 支持同步和異步的消息傳遞 ICE 提供了同步和異步的操作調(diào)用和分派，通過 ICEStorm 提供了發(fā)布－訂閱消息傳遞機制。這樣，可以根據(jù)應(yīng)用的需要來選擇通信模型，而不必把應(yīng)用硬塞進某種模型里。 支持多個接口 通過 facets，對象可以提供多個不相關(guān)的接口，同時又跨越這些接口、保持單一的對象標(biāo)識。這提供了極大的靈活性，特別是在應(yīng)用發(fā)生演化，但又需要與更老的、已經(jīng)部署的客戶 端 保持兼容 時 。 機器無關(guān)性 客戶機及服務(wù)器與底層的機器架構(gòu)屏蔽開來。對于應(yīng)用代碼而言，像字節(jié)序和填充這樣的問題都隱藏了起來。 語言無關(guān)性 客戶和服務(wù)器可以分別部署，所 用語言也可以不同。 客戶和服務(wù)器所用的Slice 定義建立兩者之間的接口合約，這樣的定義也是它們唯一需要達成一致的標(biāo)準(zhǔn)。 實現(xiàn)無關(guān)性 客戶不知道服務(wù)器是怎樣實現(xiàn)其對象的。這意味著，在客戶部署之后，服務(wù)器的實現(xiàn)可以改變，例如，它可以使用不同的持久機制，甚至不同的程序設(shè)計語言。 操作系統(tǒng)無關(guān)性 ICE API 完全是可移植的，所以同樣的源碼能夠在 Windows 和 UNIX 上編譯和運行。 線程支持 36 ICE 運行時環(huán)境完全是線程化的，其 API 是線程安全的。作為應(yīng)用開發(fā)者，除了在訪問共享數(shù)據(jù)時進行同步 ， 無需為開發(fā)線 程化的高性能客戶和服務(wù)器付出額外努力。 傳輸機制無關(guān)性 ICE 目前采用了 TCP/IP 和 UDP 作為傳輸協(xié)議?？蛻艉头?wù)器代碼都不需要了解底層的傳輸機制 ， 可以通過一個配置參數(shù)選擇所需的傳輸機制。 位置和服務(wù)器透明性 ICE 運行時環(huán)境會負責(zé)定位對象，并管理底層的傳輸機制，比如打開和關(guān)閉連接?？蛻襞c服務(wù)器之間的交互顯得像是無連接的。如果在客戶調(diào)用操作時，服務(wù)器沒有運行，你可以通過 ICE Pack 讓它們隨需啟動。服務(wù)器可以遷移到不同的物理地址，而不會使客戶持有的代理失效，而客戶完全不知道對象實現(xiàn)是怎樣分布在 多個服務(wù)器進程上的。 安全性 通過 SSL 強加密，可以使客戶和服務(wù)器完全安全地進行通信，這樣，應(yīng)用可以使用不安全的網(wǎng)絡(luò)安全地進行通信。你可以使用 Glacier 穿過防火墻，實現(xiàn)安全的請求轉(zhuǎn)發(fā)，并且完全支持回調(diào)。 內(nèi)建的持久機制 使用 Freeze，創(chuàng)建持久的對象實現(xiàn)變成了一件微不足道的事情。 ICE提供了對高性能數(shù)據(jù)庫 Berkeley DB 的內(nèi)建支持。 認(rèn)證頭 目前我們已經(jīng)實現(xiàn)了對 JSP、 ASP、 PHP、 Java、 C、 C、 VB 等多種語言的接口，并可方便的擴展對 Python、 Ruby、 C++等語言的支持。集成應(yīng) 用系統(tǒng)的環(huán)境包含 IBM WebSphere、 Domino、 Tomcat、 Apache 等主流服務(wù)器。 提供適用主流開發(fā)語言的認(rèn)證接口，包括 Java 接口、 PHP 接口、 COM 接口，該集成模式只要求各系統(tǒng)簡單修改認(rèn)證部分，就可以具備以下功能： ? 校驗當(dāng)前用戶是否是統(tǒng)一身份認(rèn)證平臺合法用戶。 ? 如果用戶身份不合法則跳轉(zhuǎn)到登錄頁面。 ? 如果用戶身份合法則無需登錄，直接訪問集成應(yīng)用。 ? 將用戶屬性信息傳遞給集成應(yīng)用。 37 代理認(rèn)證 對于 中小學(xué) 中不易改造的應(yīng)用系統(tǒng)， 可以 引入代理集成機制， 被 集成 的 應(yīng)用系統(tǒng)無需更改即可實現(xiàn)單點登陸功能。 代理認(rèn)證是嵌入到目標(biāo)系統(tǒng)中的程序，可以在不改動原有應(yīng)用代碼的前提下實現(xiàn)如下功能： ? 校驗當(dāng)前用戶是否是統(tǒng)一身份認(rèn)證平臺合法用戶，并判斷是否有權(quán)訪問請求的應(yīng)用； ? 如果用戶身份不合法則跳轉(zhuǎn)到登錄頁面； ? 如果無權(quán)進入此應(yīng)用則出現(xiàn)拒絕進入的頁面； ? 如果用戶身份合法則無需登錄，直接訪問集成應(yīng)用； ? 將用戶屬性信息傳遞給集成應(yīng)用。 LDAP 認(rèn)證 對于 中小學(xué) 中高并發(fā)認(rèn)證型應(yīng)用的集成需求，比如選課系統(tǒng)，我們針對這種類型系統(tǒng)的特點開發(fā)了 LDAP 的接口，支持標(biāo)準(zhǔn)的 LDAP V3 協(xié)議，能夠滿足短時間內(nèi)上萬人次的認(rèn)證，并具有高穩(wěn)定性。 目前 LDAP 接口支持JAVA/C/PHP/.Net 等開發(fā)環(huán)境。 實現(xiàn)如下功能： ? 校驗用戶名 /密碼； ? 獲取用戶屬性信息。 . 跨域單點登錄和聯(lián)合互信 采用聯(lián)合互信 (Liberty Alliance)的 Federation SSO 標(biāo)準(zhǔn)實現(xiàn)跨域的 SSO。 我們前面所描述的單次登錄解決方案，都是建立在同一個廠商提供的解決方案的基礎(chǔ)上，例如 AM 實現(xiàn)跨系統(tǒng)的單次登錄。但是，在現(xiàn)有的 學(xué)校 中，有可能會有來自于不同廠商的網(wǎng)絡(luò)身份管理方案；另外， 學(xué)校也不可避免地需要和學(xué)校 外的應(yīng)用系統(tǒng)交互，此時，跨不同廠商的應(yīng)用系統(tǒng)間的單次登錄就會成為一個問題。 許多身份與策略服務(wù)，包括身份認(rèn)證、單點登錄和用戶自定義，都是 聯(lián)合互信 項目正在舉行的標(biāo)準(zhǔn)化行動的 主題 。 其 目的是產(chǎn)生聯(lián)合身份系統(tǒng)。聯(lián)合身份系統(tǒng)確保合適的方面而不是一個中心機構(gòu)來對重要個人信息的使用進行管理38 和分配。 聯(lián)合互信 項目是一個商業(yè)聯(lián)盟，其組建目的是提供和支持一個因特網(wǎng)身份解決方案，以一種開放、聯(lián)合的方式，實現(xiàn)單點登錄。 聯(lián)合互信 有三大目標(biāo)： ? 允許個人 用戶 和 機構(gòu) 保證個人信息的安全。 ? 使用多家提供者的分散認(rèn)證和開放授權(quán)，提供通用、開放的單點登錄標(biāo)準(zhǔn)。 ? 為橫跨所有網(wǎng)絡(luò)設(shè)備的網(wǎng)絡(luò)身份提供一個開放標(biāo)準(zhǔn)。 聯(lián)合身份實現(xiàn)了聯(lián)合商務(wù)的開發(fā)， 這還可以讓企業(yè)為 學(xué)校 或最終用戶帶來更多的 方便、選擇，并讓他們更好地控制自己的身份。另外，聯(lián)合身份模型允許 學(xué)校 或用戶管理自己的數(shù)據(jù)。例如，某用戶在 學(xué)校 的 UID 為 109886，而在 網(wǎng)絡(luò)招聘 系統(tǒng)中的 UID 為 120821363。 學(xué)校 的網(wǎng)絡(luò)身份管理系統(tǒng)采用 我們的單點登錄系統(tǒng)，網(wǎng)絡(luò)招聘 系統(tǒng)采用的是另外廠商的方案，當(dāng)在這兩個系統(tǒng)中實現(xiàn)SSO 時，如果 對 方 同 AM 一樣，符合 聯(lián)合互信 的 SAML 規(guī)范，跨系統(tǒng)的 SSO 就可以實現(xiàn) 。 單點登錄系統(tǒng)遵循 Liberty Alliance Phase 2 和 規(guī)范。它對這些標(biāo)準(zhǔn)的支持幫助創(chuàng)建了一個既簡便易用又與現(xiàn)有系統(tǒng)兼容的聯(lián)合框架及驗證共享機制。 . 系統(tǒng)部署說明 身份認(rèn)證平臺支持雙機或多機運行模式，一方面能夠保證系統(tǒng)的可靠性，另一方面也能夠保持良好的擴展能力，支持如下圖 的 部署架構(gòu)： 39 根據(jù)實際測試情況，身份認(rèn)證平臺的處理能力主要取決于處理器數(shù)量和內(nèi)存數(shù)量，系統(tǒng)完全 可以 滿足 20萬用戶的數(shù)據(jù)存儲要求 (20萬 *儲容量 )，并可以保持較高的處理性能，平均延時小于 1 秒，完全能夠保證同時有超過 5000(5000*1M/用戶 =5G 內(nèi)存容量 )的用戶同時在線使用。 建議采用以下系統(tǒng)安全措施提高系統(tǒng)安全性： 安全分類 安全措施 主機安全 支持 身份認(rèn)證平臺 管理員賬號和操作系統(tǒng)分離 支持 Unix、 Linux 等安全性高 的 操作系統(tǒng) 傳輸安全 支持 HTTPS 的加密傳輸機制 訪問安全 身份認(rèn)證平臺 為各接入系統(tǒng)開設(shè)不同的訪問用戶 可以設(shè)置數(shù)據(jù)同步服務(wù)對權(quán)威數(shù)據(jù)源的訪問賬號的讀寫權(quán)限 建立對用戶的登錄和注銷行為的系統(tǒng)日志，可以跟蹤非法用戶的入侵和合法用戶的非法攻擊 系統(tǒng)只使用以下端口：系統(tǒng)管理端口 58080， LDAP 訪問端口 389，認(rèn)證服務(wù)器端口 20200 存儲安全 所有用戶口令采用高安全不可逆加密存儲 所有涉及到對其他數(shù)據(jù)庫訪問的賬號配置采用加密存儲 安全管理 支持用戶數(shù)據(jù)在線備份，和系統(tǒng)快速恢復(fù) 支持用戶口令強制定期變更 40 . 平臺可靠性和擴展性 為確保系統(tǒng) 7*24 小時運行，可采用雙機運行模式，一臺服務(wù)器停止運行后，另外一臺服務(wù)器能夠不間斷自動切換，不影響業(yè)務(wù)系統(tǒng)的正常運行。 同時在硬件層通過 RAID1 保證所存儲用戶身份數(shù)據(jù)的可靠性，并在系統(tǒng)管理上支持用戶身份數(shù)據(jù)的在線備份和備份數(shù)據(jù)的定期遠程上傳，保證在硬件層故障時，管理員可以快速進行系統(tǒng)整體恢復(fù)。平 臺的數(shù)據(jù)存儲可以根據(jù)實際數(shù)據(jù)量通過擴充主機磁盤容量的方式進行擴展。 . 統(tǒng)一信息門戶平臺 統(tǒng)一信息門戶平臺（ Portal），就是將各種應(yīng)用系統(tǒng)、數(shù)據(jù)資源和互聯(lián)網(wǎng)資源集成到一個信息管理平臺之上，它把分立系統(tǒng)的不同功能有效地組織起來，為各類用戶提供一個統(tǒng)一的信息服務(wù)入口，并提供高可配置的功能，提供 WEB 網(wǎng)站頁面風(fēng)格、布局、內(nèi)容等方面的定制工具。 . 設(shè)計要點 智慧校園 涉及 教務(wù)、人事 等 多個業(yè)務(wù)系統(tǒng)，每個業(yè)務(wù)系統(tǒng)都會提供用戶不同的信息服務(wù)，而且在各系統(tǒng)中也存在多個應(yīng)用子系統(tǒng)，每個子系統(tǒng)也都會提供不同的 服務(wù) 界面。為提高 易用 性和一致性，需要在校內(nèi)建立統(tǒng)一的信息服務(wù)門戶平臺，通過該平臺重點解決以下幾方面的問題： 統(tǒng)一信息門戶平臺重點解決以下幾方面的問題： （ 1） 提供 符合師生使用習(xí)慣的高效、可靠的平臺； （ 2）提供符合通用標(biāo)準(zhǔn)的、可持續(xù)升級的框架； （ 3）提供各種 WEB 應(yīng)用系統(tǒng)與門戶系統(tǒng)集成的手段，完成不同應(yīng)用系統(tǒng)的界面集成； （ 4）提供安全的憑證登錄手段，用于實現(xiàn)對外部系統(tǒng)和內(nèi)部無法改造系統(tǒng)訪問時的單點登錄； （ 5）提供滿足用戶個性化使用需求的界面自定義功能； （ 6）提供門戶應(yīng)用開發(fā)框架、工具的支持，解決學(xué)校一些非系統(tǒng)級應(yīng)用的41 快 速實現(xiàn)要求。 . 平臺框架 信息門戶平臺架 構(gòu)如下： 從功能上來看 信息門戶平臺 有 六大部分 組成： ? 門戶基礎(chǔ) 框架，提供標(biāo)準(zhǔn)的運行和開發(fā)框架 ? 應(yīng)用集成插件，用于滿足校內(nèi)外各類 WEB 應(yīng)用的界面集成需求 ? 內(nèi)容管理模塊，提供統(tǒng)一的內(nèi)容采編、審核和發(fā)布管理 ? 個人服務(wù)模塊，用于滿足師生用戶個人資料管理的服務(wù)需求 ? 公共服務(wù)模塊，用于滿足面向公眾的信息互動和共享需求 ? 協(xié)作服務(wù)模塊，用于滿足人員之間、業(yè)務(wù)之間協(xié)同工作的需求 . 門戶運行環(huán)境 提供 符合 規(guī)范的門戶運行支撐框架； 提供標(biāo)準(zhǔn)的 Portlet 開發(fā)接口，支持門 戶應(yīng)用的快速開發(fā)； 提供頻道、欄目、頁面、內(nèi)容的管理功能，用于管理員創(chuàng)建不同主題的缺省網(wǎng)站； 需提供個性化定制界面功能，支持管理員 對 界面 的 配置，在界面中修改布42 局、樣式、欄目和欄目的位置，同時支持個人用戶自主管理自己的缺省界面； 提供對 Portlet 應(yīng)用的在線部署，在不影響已有應(yīng)用運行的情況下加載 新 應(yīng)用，或?qū)σ延袘?yīng)用進行更新和卸載； 提供分類 Cache 監(jiān)控管理功能，管理員可以有針對性的 監(jiān)控 Cache 使用狀況； 提供單點登錄服務(wù)，集成 統(tǒng)一身份認(rèn)證及權(quán)限管理平臺 ； 提供信息門戶備份和恢復(fù)的功能，保障系統(tǒng)的可靠運行 ；