【導(dǎo)讀】.平臺(tái)部署及性能說(shuō)明.........

　　

【正文】 對(duì)于非 Java 的應(yīng)用系統(tǒng)，可以使 用 XML/HTTP 編程接口或C/C++編程接口。 如果僅使用 SUN Access Manager API 接口，存在諸多限制： 操作系統(tǒng)限制： C/C++接口目前只能穩(wěn)定運(yùn)行在 Solaris 系統(tǒng)中，其他主流的 UNIX/Linux 系統(tǒng)不支持 XML 解析復(fù)雜：對(duì)于非 Java 和 C/C++開(kāi)發(fā)的系統(tǒng)集成來(lái)說(shuō)，集成應(yīng)用34 需要編寫了解復(fù)雜的 XML 結(jié)構(gòu)，編寫 XML 解析程序 集成系統(tǒng)開(kāi)發(fā)工作量大 ： 集成系統(tǒng)采用 API 模式集成時(shí)不但要完成 SUN API 復(fù)雜的過(guò)程配置，還需要進(jìn)行通訊多線程的處理，在雙機(jī)環(huán)境下還需要大量的編 程支持動(dòng)態(tài)切換 平臺(tái)升級(jí)困難 ： 直接采用 SUN API集成，每個(gè)集成應(yīng)用都與底層平臺(tái)緊密耦合，當(dāng)平臺(tái)升級(jí)時(shí)，需要每個(gè)應(yīng)用重新進(jìn)行修改，無(wú)法保證整個(gè)系統(tǒng)的平滑升級(jí) 。 為了解決這些問(wèn)題，我們采用 ICE（ Inter Communications Engine）中間件平臺(tái)自主開(kāi)發(fā)各類認(rèn)證接口。 ICE 是一種面向?qū)ο蟮闹虚g件平臺(tái)，采用了一種用于使對(duì)象接口與其實(shí)現(xiàn)相分離的基礎(chǔ)性抽象機(jī)制，為構(gòu)建面向?qū)ο蟮目蛻簦?wù)器應(yīng)用提供了工具、 API 和庫(kù)支持。在客戶機(jī)與服務(wù)器之間建立合約，描述應(yīng)用所使用的各種類型及對(duì)象接口。 這種描述與實(shí)現(xiàn)語(yǔ)言無(wú)關(guān)，所以編寫客戶所用的語(yǔ)言無(wú)需與編寫服務(wù)器所用的語(yǔ)言相同， 很適合 中小學(xué)的多語(yǔ)言集成環(huán)境。 其架構(gòu)圖如下： ICE 認(rèn)證接口是架設(shè)在集成應(yīng)用和身份認(rèn)證平臺(tái)之間的中間件，支持大多數(shù)的主流 Unix/Linux 平臺(tái) 與 MS Windows 平臺(tái)，集成應(yīng)用系統(tǒng)開(kāi)發(fā)人員無(wú)需面對(duì)復(fù)雜的 XML 解析，只需要一個(gè)對(duì)象（類）就可以完成所有認(rèn)證相關(guān)操作 ， ICE認(rèn)證接口 API 是線程安全的，開(kāi)發(fā)人員無(wú)需額外的付出就可以獲得高效的多線程功能。在架構(gòu)上 ICE 接口的存在使得各個(gè)集成應(yīng)用和統(tǒng)一身份平臺(tái)是非緊密耦合，在代碼層 統(tǒng)一身份平臺(tái)的對(duì)外接口升級(jí)變化將不會(huì)影響到各個(gè)集成應(yīng)用，增加了整個(gè)系統(tǒng)的穩(wěn)定和擴(kuò)展性。同時(shí) ICE 也支持統(tǒng)一身份認(rèn)證平臺(tái)的雙機(jī)熱備模式，能夠動(dòng)態(tài)進(jìn)行切換，集成應(yīng)用無(wú)需付出額外工作考慮平臺(tái)狀態(tài)問(wèn)題。 ICE 認(rèn)證接口增加了系統(tǒng)監(jiān)控功能， 通過(guò)配置 ， 可以在系統(tǒng)出現(xiàn)問(wèn)題時(shí) 發(fā) 郵35 件 通知系統(tǒng)管理員。 我們的架構(gòu)為應(yīng)用開(kāi)發(fā)者提供諸多重要優(yōu)勢(shì)： 面向?qū)ο蟮恼Z(yǔ)義 ICE“在線路上”完全保留了面向?qū)ο蠓缎?。所有的操作調(diào)用都使用遲后綁定，所以操作的實(shí)現(xiàn)的選定，是根據(jù)對(duì)象在運(yùn)行時(shí)的（而不是靜態(tài)的）實(shí)際類型決定的。 支持同步和異步的消息傳遞 ICE 提供了同步和異步的操作調(diào)用和分派，通過(guò) ICEStorm 提供了發(fā)布－訂閱消息傳遞機(jī)制。這樣，可以根據(jù)應(yīng)用的需要來(lái)選擇通信模型，而不必把應(yīng)用硬塞進(jìn)某種模型里。 支持多個(gè)接口 通過(guò) facets，對(duì)象可以提供多個(gè)不相關(guān)的接口，同時(shí)又跨越這些接口、保持單一的對(duì)象標(biāo)識(shí)。這提供了極大的靈活性，特別是在應(yīng)用發(fā)生演化，但又需要與更老的、已經(jīng)部署的客戶 端 保持兼容 時(shí) 。 機(jī)器無(wú)關(guān)性 客戶機(jī)及服務(wù)器與底層的機(jī)器架構(gòu)屏蔽開(kāi)來(lái)。對(duì)于應(yīng)用代碼而言，像字節(jié)序和填充這樣的問(wèn)題都隱藏了起來(lái)。 語(yǔ)言無(wú)關(guān)性 客戶和服務(wù)器可以分別部署，所 用語(yǔ)言也可以不同。 客戶和服務(wù)器所用的Slice 定義建立兩者之間的接口合約，這樣的定義也是它們唯一需要達(dá)成一致的標(biāo)準(zhǔn)。 實(shí)現(xiàn)無(wú)關(guān)性 客戶不知道服務(wù)器是怎樣實(shí)現(xiàn)其對(duì)象的。這意味著，在客戶部署之后，服務(wù)器的實(shí)現(xiàn)可以改變，例如，它可以使用不同的持久機(jī)制，甚至不同的程序設(shè)計(jì)語(yǔ)言。 操作系統(tǒng)無(wú)關(guān)性 ICE API 完全是可移植的，所以同樣的源碼能夠在 Windows 和 UNIX 上編譯和運(yùn)行。 線程支持 36 ICE 運(yùn)行時(shí)環(huán)境完全是線程化的，其 API 是線程安全的。作為應(yīng)用開(kāi)發(fā)者，除了在訪問(wèn)共享數(shù)據(jù)時(shí)進(jìn)行同步 ， 無(wú)需為開(kāi)發(fā)線 程化的高性能客戶和服務(wù)器付出額外努力。 傳輸機(jī)制無(wú)關(guān)性 ICE 目前采用了 TCP/IP 和 UDP 作為傳輸協(xié)議?？蛻艉头?wù)器代碼都不需要了解底層的傳輸機(jī)制 ， 可以通過(guò)一個(gè)配置參數(shù)選擇所需的傳輸機(jī)制。 位置和服務(wù)器透明性 ICE 運(yùn)行時(shí)環(huán)境會(huì)負(fù)責(zé)定位對(duì)象，并管理底層的傳輸機(jī)制，比如打開(kāi)和關(guān)閉連接。客戶與服務(wù)器之間的交互顯得像是無(wú)連接的。如果在客戶調(diào)用操作時(shí)，服務(wù)器沒(méi)有運(yùn)行，你可以通過(guò) ICE Pack 讓它們隨需啟動(dòng)。服務(wù)器可以遷移到不同的物理地址，而不會(huì)使客戶持有的代理失效，而客戶完全不知道對(duì)象實(shí)現(xiàn)是怎樣分布在 多個(gè)服務(wù)器進(jìn)程上的。 安全性 通過(guò) SSL 強(qiáng)加密，可以使客戶和服務(wù)器完全安全地進(jìn)行通信，這樣，應(yīng)用可以使用不安全的網(wǎng)絡(luò)安全地進(jìn)行通信。你可以使用 Glacier 穿過(guò)防火墻，實(shí)現(xiàn)安全的請(qǐng)求轉(zhuǎn)發(fā)，并且完全支持回調(diào)。 內(nèi)建的持久機(jī)制 使用 Freeze，創(chuàng)建持久的對(duì)象實(shí)現(xiàn)變成了一件微不足道的事情。 ICE提供了對(duì)高性能數(shù)據(jù)庫(kù) Berkeley DB 的內(nèi)建支持。 認(rèn)證頭 目前我們已經(jīng)實(shí)現(xiàn)了對(duì) JSP、 ASP、 PHP、 Java、 C、 C、 VB 等多種語(yǔ)言的接口，并可方便的擴(kuò)展對(duì) Python、 Ruby、 C++等語(yǔ)言的支持。集成應(yīng) 用系統(tǒng)的環(huán)境包含 IBM WebSphere、 Domino、 Tomcat、 Apache 等主流服務(wù)器。 提供適用主流開(kāi)發(fā)語(yǔ)言的認(rèn)證接口，包括 Java 接口、 PHP 接口、 COM 接口，該集成模式只要求各系統(tǒng)簡(jiǎn)單修改認(rèn)證部分，就可以具備以下功能： ? 校驗(yàn)當(dāng)前用戶是否是統(tǒng)一身份認(rèn)證平臺(tái)合法用戶。 ? 如果用戶身份不合法則跳轉(zhuǎn)到登錄頁(yè)面。 ? 如果用戶身份合法則無(wú)需登錄，直接訪問(wèn)集成應(yīng)用。 ? 將用戶屬性信息傳遞給集成應(yīng)用。 37 代理認(rèn)證 對(duì)于 中小學(xué) 中不易改造的應(yīng)用系統(tǒng)， 可以 引入代理集成機(jī)制， 被 集成 的 應(yīng)用系統(tǒng)無(wú)需更改即可實(shí)現(xiàn)單點(diǎn)登陸功能。 代理認(rèn)證是嵌入到目標(biāo)系統(tǒng)中的程序，可以在不改動(dòng)原有應(yīng)用代碼的前提下實(shí)現(xiàn)如下功能： ? 校驗(yàn)當(dāng)前用戶是否是統(tǒng)一身份認(rèn)證平臺(tái)合法用戶，并判斷是否有權(quán)訪問(wèn)請(qǐng)求的應(yīng)用； ? 如果用戶身份不合法則跳轉(zhuǎn)到登錄頁(yè)面； ? 如果無(wú)權(quán)進(jìn)入此應(yīng)用則出現(xiàn)拒絕進(jìn)入的頁(yè)面； ? 如果用戶身份合法則無(wú)需登錄，直接訪問(wèn)集成應(yīng)用； ? 將用戶屬性信息傳遞給集成應(yīng)用。 LDAP 認(rèn)證 對(duì)于 中小學(xué) 中高并發(fā)認(rèn)證型應(yīng)用的集成需求，比如選課系統(tǒng)，我們針對(duì)這種類型系統(tǒng)的特點(diǎn)開(kāi)發(fā)了 LDAP 的接口，支持標(biāo)準(zhǔn)的 LDAP V3 協(xié)議，能夠滿足短時(shí)間內(nèi)上萬(wàn)人次的認(rèn)證，并具有高穩(wěn)定性。 目前 LDAP 接口支持JAVA/C/PHP/.Net 等開(kāi)發(fā)環(huán)境。 實(shí)現(xiàn)如下功能： ? 校驗(yàn)用戶名 /密碼； ? 獲取用戶屬性信息。 . 跨域單點(diǎn)登錄和聯(lián)合互信 采用聯(lián)合互信 (Liberty Alliance)的 Federation SSO 標(biāo)準(zhǔn)實(shí)現(xiàn)跨域的 SSO。 我們前面所描述的單次登錄解決方案，都是建立在同一個(gè)廠商提供的解決方案的基礎(chǔ)上，例如 AM 實(shí)現(xiàn)跨系統(tǒng)的單次登錄。但是，在現(xiàn)有的 學(xué)校 中，有可能會(huì)有來(lái)自于不同廠商的網(wǎng)絡(luò)身份管理方案；另外， 學(xué)校也不可避免地需要和學(xué)校 外的應(yīng)用系統(tǒng)交互，此時(shí)，跨不同廠商的應(yīng)用系統(tǒng)間的單次登錄就會(huì)成為一個(gè)問(wèn)題。 許多身份與策略服務(wù)，包括身份認(rèn)證、單點(diǎn)登錄和用戶自定義，都是 聯(lián)合互信 項(xiàng)目正在舉行的標(biāo)準(zhǔn)化行動(dòng)的 主題 。 其 目的是產(chǎn)生聯(lián)合身份系統(tǒng)。聯(lián)合身份系統(tǒng)確保合適的方面而不是一個(gè)中心機(jī)構(gòu)來(lái)對(duì)重要個(gè)人信息的使用進(jìn)行管理38 和分配。 聯(lián)合互信 項(xiàng)目是一個(gè)商業(yè)聯(lián)盟，其組建目的是提供和支持一個(gè)因特網(wǎng)身份解決方案，以一種開(kāi)放、聯(lián)合的方式，實(shí)現(xiàn)單點(diǎn)登錄。 聯(lián)合互信 有三大目標(biāo)： ? 允許個(gè)人 用戶 和 機(jī)構(gòu) 保證個(gè)人信息的安全。 ? 使用多家提供者的分散認(rèn)證和開(kāi)放授權(quán)，提供通用、開(kāi)放的單點(diǎn)登錄標(biāo)準(zhǔn)。 ? 為橫跨所有網(wǎng)絡(luò)設(shè)備的網(wǎng)絡(luò)身份提供一個(gè)開(kāi)放標(biāo)準(zhǔn)。 聯(lián)合身份實(shí)現(xiàn)了聯(lián)合商務(wù)的開(kāi)發(fā)， 這還可以讓企業(yè)為 學(xué)校 或最終用戶帶來(lái)更多的 方便、選擇，并讓他們更好地控制自己的身份。另外，聯(lián)合身份模型允許 學(xué)校 或用戶管理自己的數(shù)據(jù)。例如，某用戶在 學(xué)校 的 UID 為 109886，而在 網(wǎng)絡(luò)招聘 系統(tǒng)中的 UID 為 120821363。 學(xué)校 的網(wǎng)絡(luò)身份管理系統(tǒng)采用 我們的單點(diǎn)登錄系統(tǒng)，網(wǎng)絡(luò)招聘 系統(tǒng)采用的是另外廠商的方案，當(dāng)在這兩個(gè)系統(tǒng)中實(shí)現(xiàn)SSO 時(shí)，如果 對(duì) 方 同 AM 一樣，符合 聯(lián)合互信 的 SAML 規(guī)范，跨系統(tǒng)的 SSO 就可以實(shí)現(xiàn) 。 單點(diǎn)登錄系統(tǒng)遵循 Liberty Alliance Phase 2 和 規(guī)范。它對(duì)這些標(biāo)準(zhǔn)的支持幫助創(chuàng)建了一個(gè)既簡(jiǎn)便易用又與現(xiàn)有系統(tǒng)兼容的聯(lián)合框架及驗(yàn)證共享機(jī)制。 . 系統(tǒng)部署說(shuō)明 身份認(rèn)證平臺(tái)支持雙機(jī)或多機(jī)運(yùn)行模式，一方面能夠保證系統(tǒng)的可靠性，另一方面也能夠保持良好的擴(kuò)展能力，支持如下圖 的 部署架構(gòu)： 39 根據(jù)實(shí)際測(cè)試情況，身份認(rèn)證平臺(tái)的處理能力主要取決于處理器數(shù)量和內(nèi)存數(shù)量，系統(tǒng)完全 可以 滿足 20萬(wàn)用戶的數(shù)據(jù)存儲(chǔ)要求 (20萬(wàn) *儲(chǔ)容量 )，并可以保持較高的處理性能，平均延時(shí)小于 1 秒，完全能夠保證同時(shí)有超過(guò) 5000(5000*1M/用戶 =5G 內(nèi)存容量 )的用戶同時(shí)在線使用。 建議采用以下系統(tǒng)安全措施提高系統(tǒng)安全性： 安全分類 安全措施 主機(jī)安全 支持 身份認(rèn)證平臺(tái) 管理員賬號(hào)和操作系統(tǒng)分離 支持 Unix、 Linux 等安全性高 的 操作系統(tǒng) 傳輸安全 支持 HTTPS 的加密傳輸機(jī)制 訪問(wèn)安全 身份認(rèn)證平臺(tái) 為各接入系統(tǒng)開(kāi)設(shè)不同的訪問(wèn)用戶 可以設(shè)置數(shù)據(jù)同步服務(wù)對(duì)權(quán)威數(shù)據(jù)源的訪問(wèn)賬號(hào)的讀寫權(quán)限 建立對(duì)用戶的登錄和注銷行為的系統(tǒng)日志，可以跟蹤非法用戶的入侵和合法用戶的非法攻擊 系統(tǒng)只使用以下端口：系統(tǒng)管理端口 58080， LDAP 訪問(wèn)端口 389，認(rèn)證服務(wù)器端口 20200 存儲(chǔ)安全 所有用戶口令采用高安全不可逆加密存儲(chǔ) 所有涉及到對(duì)其他數(shù)據(jù)庫(kù)訪問(wèn)的賬號(hào)配置采用加密存儲(chǔ) 安全管理 支持用戶數(shù)據(jù)在線備份，和系統(tǒng)快速恢復(fù) 支持用戶口令強(qiáng)制定期變更 40 . 平臺(tái)可靠性和擴(kuò)展性 為確保系統(tǒng) 7*24 小時(shí)運(yùn)行，可采用雙機(jī)運(yùn)行模式，一臺(tái)服務(wù)器停止運(yùn)行后，另外一臺(tái)服務(wù)器能夠不間斷自動(dòng)切換，不影響業(yè)務(wù)系統(tǒng)的正常運(yùn)行。 同時(shí)在硬件層通過(guò) RAID1 保證所存儲(chǔ)用戶身份數(shù)據(jù)的可靠性，并在系統(tǒng)管理上支持用戶身份數(shù)據(jù)的在線備份和備份數(shù)據(jù)的定期遠(yuǎn)程上傳，保證在硬件層故障時(shí)，管理員可以快速進(jìn)行系統(tǒng)整體恢復(fù)。平 臺(tái)的數(shù)據(jù)存儲(chǔ)可以根據(jù)實(shí)際數(shù)據(jù)量通過(guò)擴(kuò)充主機(jī)磁盤容量的方式進(jìn)行擴(kuò)展。 . 統(tǒng)一信息門戶平臺(tái) 統(tǒng)一信息門戶平臺(tái)（ Portal），就是將各種應(yīng)用系統(tǒng)、數(shù)據(jù)資源和互聯(lián)網(wǎng)資源集成到一個(gè)信息管理平臺(tái)之上，它把分立系統(tǒng)的不同功能有效地組織起來(lái)，為各類用戶提供一個(gè)統(tǒng)一的信息服務(wù)入口，并提供高可配置的功能，提供 WEB 網(wǎng)站頁(yè)面風(fēng)格、布局、內(nèi)容等方面的定制工具。 . 設(shè)計(jì)要點(diǎn) 智慧校園 涉及 教務(wù)、人事 等 多個(gè)業(yè)務(wù)系統(tǒng)，每個(gè)業(yè)務(wù)系統(tǒng)都會(huì)提供用戶不同的信息服務(wù)，而且在各系統(tǒng)中也存在多個(gè)應(yīng)用子系統(tǒng)，每個(gè)子系統(tǒng)也都會(huì)提供不同的 服務(wù) 界面。為提高 易用 性和一致性，需要在校內(nèi)建立統(tǒng)一的信息服務(wù)門戶平臺(tái)，通過(guò)該平臺(tái)重點(diǎn)解決以下幾方面的問(wèn)題： 統(tǒng)一信息門戶平臺(tái)重點(diǎn)解決以下幾方面的問(wèn)題： （ 1） 提供 符合師生使用習(xí)慣的高效、可靠的平臺(tái)； （ 2）提供符合通用標(biāo)準(zhǔn)的、可持續(xù)升級(jí)的框架； （ 3）提供各種 WEB 應(yīng)用系統(tǒng)與門戶系統(tǒng)集成的手段，完成不同應(yīng)用系統(tǒng)的界面集成； （ 4）提供安全的憑證登錄手段，用于實(shí)現(xiàn)對(duì)外部系統(tǒng)和內(nèi)部無(wú)法改造系統(tǒng)訪問(wèn)時(shí)的單點(diǎn)登錄； （ 5）提供滿足用戶個(gè)性化使用需求的界面自定義功能； （ 6）提供門戶應(yīng)用開(kāi)發(fā)框架、工具的支持，解決學(xué)校一些非系統(tǒng)級(jí)應(yīng)用的41 快 速實(shí)現(xiàn)要求。 . 平臺(tái)框架 信息門戶平臺(tái)架 構(gòu)如下： 從功能上來(lái)看 信息門戶平臺(tái) 有 六大部分 組成： ? 門戶基礎(chǔ) 框架，提供標(biāo)準(zhǔn)的運(yùn)行和開(kāi)發(fā)框架 ? 應(yīng)用集成插件，用于滿足校內(nèi)外各類 WEB 應(yīng)用的界面集成需求 ? 內(nèi)容管理模塊，提供統(tǒng)一的內(nèi)容采編、審核和發(fā)布管理 ? 個(gè)人服務(wù)模塊，用于滿足師生用戶個(gè)人資料管理的服務(wù)需求 ? 公共服務(wù)模塊，用于滿足面向公眾的信息互動(dòng)和共享需求 ? 協(xié)作服務(wù)模塊，用于滿足人員之間、業(yè)務(wù)之間協(xié)同工作的需求 . 門戶運(yùn)行環(huán)境 提供 符合 規(guī)范的門戶運(yùn)行支撐框架； 提供標(biāo)準(zhǔn)的 Portlet 開(kāi)發(fā)接口，支持門 戶應(yīng)用的快速開(kāi)發(fā)； 提供頻道、欄目、頁(yè)面、內(nèi)容的管理功能，用于管理員創(chuàng)建不同主題的缺省網(wǎng)站； 需提供個(gè)性化定制界面功能，支持管理員 對(duì) 界面 的 配置，在界面中修改布42 局、樣式、欄目和欄目的位置，同時(shí)支持個(gè)人用戶自主管理自己的缺省界面； 提供對(duì) Portlet 應(yīng)用的在線部署，在不影響已有應(yīng)用運(yùn)行的情況下加載 新 應(yīng)用，或?qū)σ延袘?yīng)用進(jìn)行更新和卸載； 提供分類 Cache 監(jiān)控管理功能，管理員可以有針對(duì)性的 監(jiān)控 Cache 使用狀況； 提供單點(diǎn)登錄服務(wù)，集成 統(tǒng)一身份認(rèn)證及權(quán)限管理平臺(tái) ； 提供信息門戶備份和恢復(fù)的功能，保障系統(tǒng)的可靠運(yùn)行 ；