【正文】 ementation of Uniform Identity Authentication System Based on Campus NetworkA Dissertation Submitted for the Degree of MasterCandidate：Zhang ChongMajor：Computer Technologysupervisor：Ma GuangzhiHuazhong University of Science and TechnologyWuhan 430074, October, 2008摘 要隨著高等院校中校園網(wǎng)應(yīng)用的逐漸普及，各種應(yīng)用系統(tǒng)逐漸增多，校園網(wǎng)應(yīng)用系統(tǒng)在提供更高層次服務(wù)同時(shí)，對(duì)于用戶身份認(rèn)證，用戶服務(wù)權(quán)限的要求相應(yīng)的提高，原來(lái)每個(gè)服務(wù)系統(tǒng)各自為政的身份認(rèn)證方式難以達(dá)到這個(gè)要求。這就需要建立一個(gè)獨(dú)立的，高安全性和高可靠性的身份認(rèn)證及權(quán)限管理系統(tǒng)。論文系統(tǒng)采用LDAP目錄存儲(chǔ)和Web Services調(diào)用的技術(shù)，建立了用戶信息統(tǒng)一存儲(chǔ)、調(diào)用接口程序、用戶自助管理3個(gè)模塊。在用戶信息統(tǒng)一存儲(chǔ)模塊，采用基于LDAP協(xié)議的Sun Directory Server目錄統(tǒng)一存儲(chǔ)用戶基本認(rèn)證信息，將用戶注冊(cè)信息寫(xiě)入目錄中存儲(chǔ)，完成對(duì)用戶注冊(cè)信息的存儲(chǔ)，達(dá)到了讀取速度快，系統(tǒng)安全性能高，維護(hù)簡(jiǎn)便的特點(diǎn)。應(yīng)用系統(tǒng)只需通過(guò)WEB引用Web Services服務(wù)，調(diào)用接口類(lèi)庫(kù)實(shí)現(xiàn)對(duì)目錄直接操作，以此實(shí)現(xiàn)應(yīng)用系統(tǒng)對(duì)目錄的間接訪問(wèn)操作，實(shí)現(xiàn)了調(diào)用簡(jiǎn)單、安全穩(wěn)定、管理維護(hù)方便。論文系統(tǒng)在實(shí)際應(yīng)用過(guò)程中，很好的解決了多應(yīng)用系統(tǒng)各自管理用戶的問(wèn)題，方便了使用，簡(jiǎn)化了管理，提高了安全性和穩(wěn)定性。關(guān)鍵詞：輕量級(jí)目錄訪問(wèn)協(xié)議，分布式，校園網(wǎng)，用戶管理AbstractWith the campus network applications increasingly popular among the institutions of higher learning, a variety of application systems increasing, application systems in the campus network to provide a higher level of service at the same time, for user authentication, user privileges service the requirements of the corresponding increase in each of the original service. Their own system of authentication methods difficult to meet this requirement This requires the establishment of an independent, high security and reliability of the identity and rights management system. In order to solve a variety of institutions of higher learning management system users in the process of decentralization of mon problems, the dissertation put forward a unified, centralized management of user access to the certification program.This system adopts LDAP directory system to store and called the Web Services technology, established of a unified storage of user information, called the interface program, user selfservice management module. Colleges and universities will be in the user login system to verify the basic unity of information storage, management, and to establish simple and convenient mechanism for calling, digital campus user authentication management and maintenance.Unified storage of user information module, based on the LDAP protocol Sun Directory Server unified directory to store the basic user authentication information, the user registration information into the directory store, plete the user registration information storage, to read the speed and security Highperformance, easy maintenance features.The procedure call interface program module, quote Web Services called custom interface class library for the realization of the indirect access directory. Application systems only through the WEB to quote Web Services, called the interface class library for the realization of direct operate the directory in order to achieve the application of indirect access to the operation of directory,achieved called simply, security and stability, management and maintenance easily. The user selfservice management module using. Net technology, achieved the Webbased B/S selfmanagement mode, the user according to their own papers, identity card number and name, pleted the function of registration, modification, and so on, simplified the work of management and maintenance. In the practical application of the system, primely solved a number of problems of each application systems in user management, facilitated the use of simplified management, increased security and stability. This paper detailedly introduces the design and development of the system39。 課題背景隨著信息技術(shù)、網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，校園網(wǎng)的應(yīng)用越來(lái)越廣，校園內(nèi)可以接入互聯(lián)網(wǎng)的計(jì)算機(jī)的數(shù)量已經(jīng)達(dá)到了相當(dāng)?shù)囊?guī)模。如果各個(gè)應(yīng)用系統(tǒng)各自保存不同的身份認(rèn)證方式，就會(huì)存在以下問(wèn)題：(1) 一個(gè)用戶登錄不同應(yīng)用系統(tǒng)就需要采用不同帳號(hào)，不容易記憶；而很多用戶在不同應(yīng)用系統(tǒng)里面采用同樣的帳號(hào)密碼，不安全；(2) 不同系統(tǒng)都采用自身的一套認(rèn)證和用戶管理機(jī)制，不利于學(xué)校統(tǒng)一管理；(3) 有些用戶離開(kāi)學(xué)校以后由于缺乏統(tǒng)一管理，還可以登錄校內(nèi)一些業(yè)務(wù)系統(tǒng)。同時(shí)，校園網(wǎng)提供更高層次服務(wù)的時(shí)候，對(duì)于用戶的身份認(rèn)證，服務(wù)權(quán)限管理的要求相應(yīng)地提高，原來(lái)各個(gè)服務(wù)系統(tǒng)各自為政的身份認(rèn)證方式難以達(dá)到這個(gè)要求。在這種情況下，為了解決目前校園應(yīng)用系統(tǒng)用戶登錄信息分別保存在各自的系統(tǒng)內(nèi)，存在不能集中管理、統(tǒng)一分配權(quán)限、不能保證用戶登錄信息安全的情況下提出該課題。從而將系統(tǒng)定位于建立一個(gè)統(tǒng)一身份認(rèn)證平臺(tái)，將高校中用戶登錄系統(tǒng)的基本驗(yàn)證信息統(tǒng)一存儲(chǔ)，統(tǒng)一管理，對(duì)應(yīng)用系統(tǒng)統(tǒng)一授權(quán)；建立簡(jiǎn)單、便捷的調(diào)用機(jī)制，實(shí)現(xiàn)數(shù)字化校園用戶身份認(rèn)證的統(tǒng)一管理維護(hù)。該方案的思路是開(kāi)發(fā)一個(gè)安全的存儲(chǔ)以及方便、快捷的系統(tǒng)調(diào)用方法，即解決了昂貴的費(fèi)用問(wèn)題，同時(shí)又便于在高校中的推廣應(yīng)用。本文系統(tǒng)的目標(biāo)就是建立一個(gè)統(tǒng)一的身份認(rèn)證平臺(tái)，將高校中用戶登錄系統(tǒng)的基本驗(yàn)證信息統(tǒng)一存儲(chǔ)、統(tǒng)一管理；同時(shí)建立簡(jiǎn)單、便捷的調(diào)用機(jī)制，實(shí)現(xiàn)數(shù)字化校園用戶身份認(rèn)證的統(tǒng)一管理維護(hù)。(3)身份信息的統(tǒng)一管理，需要支持批量操作，同時(shí)支持用戶自助管理等；論文第一章介紹了課題背景、意義和研究現(xiàn)狀；第二章介紹了校園網(wǎng)用戶管理系統(tǒng)的分析與設(shè)計(jì)；第三章介紹了本文系統(tǒng)的設(shè)計(jì)方法及關(guān)鍵技術(shù)；第四章介紹本文系統(tǒng)的具體實(shí)現(xiàn)方法和過(guò)程；應(yīng)用情況；第五章總結(jié)了該系統(tǒng)在實(shí)際應(yīng)用中取得效果以及存在的有待改進(jìn)的問(wèn)題?！皵?shù)字化校園”是現(xiàn)實(shí)校園在數(shù)字空間的反映，因此對(duì)于“數(shù)字化校園”中的每一個(gè)成員，在數(shù)字空間也相應(yīng)地需要有一個(gè)固定的身份，即電子身份。如果每個(gè)系統(tǒng)都建立獨(dú)立的身份認(rèn)證系統(tǒng)，將不利于使用和管理。應(yīng)用系統(tǒng)和用戶數(shù)量的不斷增加，眾多用戶面對(duì)多個(gè)應(yīng)用系統(tǒng)，而各個(gè)應(yīng)用系統(tǒng)都有自己的一套安全策略和用戶認(rèn)證授權(quán)方法。這樣不論是用戶使用，還是應(yīng)用系統(tǒng)的管理維護(hù)，都增加了應(yīng)用系統(tǒng)的開(kāi)發(fā)和管理成本，假如用戶在各個(gè)應(yīng)用系統(tǒng)采用同樣簡(jiǎn)單的用戶密碼，將會(huì)對(duì)應(yīng)用系統(tǒng)安全性產(chǎn)生影響。當(dāng)需要構(gòu)建校園網(wǎng)用戶管理系統(tǒng)統(tǒng)一身份認(rèn)證平臺(tái)時(shí)，首先要解決幾個(gè)主要的問(wèn)題：身份信息的統(tǒng)一存儲(chǔ)、身份信息的統(tǒng)一管理、用戶身份認(rèn)證服務(wù)。目錄服務(wù)用來(lái)保存描述性的，基于屬性的信息，并且支持復(fù)雜的過(guò)濾搜索能力。(2) 身份信息的統(tǒng)一管理，需要支持批量操作，如成批數(shù)據(jù)導(dǎo)入導(dǎo)出、批量更新等。(3) 用戶身份認(rèn)證服務(wù)，需要提供一個(gè)通用性強(qiáng)，廣泛適用的接口程序，而且安全、可靠、高效。Web Services是自包含的、模塊化的應(yīng)用程序，它可以在網(wǎng)路中被描述、發(fā)布、查找以及被調(diào)用。 系統(tǒng)實(shí)現(xiàn)流程在認(rèn)證信息存儲(chǔ)模塊中，采用了LDAP目錄存儲(chǔ)技術(shù)，實(shí)現(xiàn)用戶信息的統(tǒng)一存儲(chǔ)， 所示：dc=zzti,dc=edu,dc==people=groups=departments=services 目錄存儲(chǔ)結(jié)構(gòu)樹(shù)圖其中：people目錄存儲(chǔ)所有師生的詳細(xì)信息。例如可以分為老師和學(xué)生等。services則是各類(lèi)服務(wù)的信息。應(yīng)用系統(tǒng)調(diào)用模塊因該模塊主要使用Web Services服務(wù)實(shí)現(xiàn)應(yīng)用系統(tǒng)對(duì)于認(rèn)證信息的調(diào)用，調(diào)用參數(shù)采用Xml存儲(chǔ)， Framework 。3 系統(tǒng)的設(shè)計(jì)本文系統(tǒng)實(shí)現(xiàn)了校園應(yīng)用系統(tǒng)用戶認(rèn)證信息的安全存儲(chǔ)和共享調(diào)用，用戶只需要在統(tǒng)一身份認(rèn)證系統(tǒng)中進(jìn)行注冊(cè)，在任何應(yīng)用系統(tǒng)中都可以采用此注冊(cè)信息，保證了用戶注冊(cè)信息的安全、單一、獨(dú)立、共享。通過(guò)上述三個(gè)模塊的設(shè)計(jì)，本文系統(tǒng)實(shí)現(xiàn)了高?！皵?shù)字化校園”中應(yīng)用系統(tǒng)的用戶認(rèn)證的統(tǒng)一管理。認(rèn)證信息存儲(chǔ)模塊的各種設(shè)計(jì)規(guī)劃，對(duì)于統(tǒng)一身份認(rèn)證系統(tǒng)的可擴(kuò)展性、訪問(wèn)效率、安全可靠性等各方面都給予了充足的保障。 目錄結(jié)構(gòu)規(guī)劃本文系統(tǒng)中將采用基于LDAP協(xié)議的目錄進(jìn)行用戶注冊(cè)信息的存儲(chǔ)，簡(jiǎn)單介紹LDAP如下：LDAP（Lightweight Directory Access Protocol:輕量級(jí)目錄訪問(wèn)協(xié)議）是由美國(guó)Michigan大學(xué)研發(fā)的一個(gè)新的目錄訪問(wèn)協(xié)議，是一個(gè)信息目錄，目錄服務(wù)中的目錄對(duì)象可以代表管理系統(tǒng)中的組織信息、人員信息以及資源信息等，幾乎可以存儲(chǔ)所有類(lèi)型的數(shù)據(jù)：點(diǎn)子郵件地址，DNS信息、NIS映射、聯(lián)系人信息列表和電話等信息。LDAP協(xié)議集還規(guī)定了DN的命名方法、存取控制方法、搜索格式、復(fù)制方法等。目錄不同于一般的關(guān)系數(shù)據(jù)庫(kù)，它并不是處理頻繁的數(shù)據(jù)更新及表達(dá)復(fù)雜的對(duì)象聯(lián)系。適合該系統(tǒng)大量對(duì)用戶注冊(cè)信息的讀取、查找。LDAP是基于TCP/IP的應(yīng)用層協(xié)議，LDAP服務(wù)是典型的C/S模式，需要讀寫(xiě)目錄信息的應(yīng)用并不直接訪問(wèn)目錄，它通過(guò)調(diào)用函數(shù)或API接口將消息傳遞給另一個(gè)進(jìn)程，第二個(gè)進(jìn)程作為該用用的代理來(lái)訪問(wèn)目錄的信息，然后將得到的結(jié)果返回給該應(yīng)用。便于系統(tǒng)的升級(jí)、開(kāi)發(fā)，適用于該系統(tǒng)網(wǎng)絡(luò)訪問(wèn)。僅配置一臺(tái)win server服務(wù)器即可實(shí)現(xiàn)。一種靈活支持所有授權(quán)方式的產(chǎn)品。因?yàn)椋琒olaris操作系統(tǒng)在穩(wěn)定性、安全性等方面是經(jīng)得住考驗(yàn)的，商業(yè)的目錄服務(wù)經(jīng)過(guò)了商業(yè)的考驗(yàn)更加可靠和穩(wěn)定。上一代目錄以服務(wù)為基礎(chǔ)。本文系統(tǒng)采用以服務(wù)為輔助的方式進(jìn)行設(shè)計(jì)。針對(duì)本文系統(tǒng)為高校校園網(wǎng)用戶統(tǒng)一身份認(rèn)證系統(tǒng)，本文根據(jù)目前高校身份認(rèn)證的需要，：目錄節(jié)點(diǎn)含義注釋UID用戶名英文字母或數(shù)字注冊(cè)UserPassword密碼SSH