【正文】 ...............................72 身份管理 ................................................................................................................72 認(rèn)證管理 ................................................................................................................73 訪問管理 ................................................................................................................744 / 102 認(rèn)證與授權(quán)產(chǎn)品市場分析 ..........................................................................................74 目錄服務(wù) ................................................................................................................74 身份管理 ................................................................................................................76 認(rèn)證管理 ................................................................................................................77 訪問管理 ................................................................................................................78 認(rèn)證和授權(quán)管理產(chǎn)品供應(yīng)商簡要分析 ........................................................................80 IBM ........................................................................................................................80 Microsoft ................................................................................................................81 Sun ........................................................................................................................81 Novell.....................................................................................................................82 CA..........................................................................................................................83 PKI 供應(yīng)商 .............................................................................................................838 路標(biāo)規(guī)劃 ..........................................................................................................................84 實施風(fēng)險分析 ............................................................................................................84 風(fēng)險分析 ................................................................................................................84 風(fēng)險評估 ................................................................................................................87 分階段路標(biāo)規(guī)劃 .........................................................................................................88 階段定義 ................................................................................................................88 實施路標(biāo) ................................................................................................................91 第一階段實施計劃 .....................................................................................................91 第一階段實現(xiàn)的功能 ..............................................................................................91 第一階段技術(shù)架構(gòu) .................................................................................................92 項目計劃 ................................................................................................................92 所需資源 ................................................................................................................97 投資估算 ................................................................................................................979 附：認(rèn)證與授權(quán)技術(shù)概述 .................................................................................................98 目錄服務(wù)技術(shù)概述 .....................................................................................................98 目錄服務(wù)及發(fā)展簡介 ..............................................................................................98 LDAP 的工作過程 ..................................................................................................98 LDAP 模型 .............................................................................................................99 認(rèn)證管理技術(shù)概述 ...................................................................................................103 認(rèn)證方式 ..............................................................................................................103 PKI 技術(shù)簡介 ........................................................................................................107 國內(nèi) PKI 標(biāo)準(zhǔn)化現(xiàn)狀 ...........................................................................................113 訪問管理技術(shù)概述 ...................................................................................................114 基于角色、基于政策的訪問管理 ..........................................................................114 PMI 簡介 ....................................................................................................114 SAML 簡介 ...........................................................................................................1145 / 102前 言中國石油天然氣股份有限公司（以下簡稱“中國石油”）認(rèn)證和授權(quán)系統(tǒng)設(shè)計由三部分組成：現(xiàn)狀報告分析中國石油認(rèn)證與授權(quán)的現(xiàn)狀及存在的問題，為下一步方案設(shè)計提供參考。需求分析報告對中國石油認(rèn)證與授權(quán)管理建設(shè)進(jìn)行分析和展望，并提供可行的建設(shè)思路。本報告是系統(tǒng)設(shè)計的第三部分。報告包含以下內(nèi)容：? 現(xiàn)狀與需求概述? 總體邏輯架構(gòu)? 目錄服務(wù)與身份管理邏輯架構(gòu)? 認(rèn)證管理邏輯架構(gòu)? 訪問管理邏輯架構(gòu)? 產(chǎn)品技術(shù)分析? 路標(biāo)規(guī)劃現(xiàn)代企業(yè)對信息的依賴越來越大，信息已成為現(xiàn)代企業(yè)的一種重要資產(chǎn)。在中國石油眾多的信息安全風(fēng)險中，用戶管理的安全風(fēng)險尤為突出，如內(nèi)部人員可隨意訪問重要業(yè)務(wù)信息、無法有效控制外部人員未經(jīng)授權(quán)的訪問、對遠(yuǎn)程用戶缺乏安全訪問控制機(jī)制、多種應(yīng)用導(dǎo)致用戶信息過多而難以記憶等。其中，認(rèn)證的目的是正確地識別用戶的身份，授權(quán)的目的是為了使用戶能且只能訪問被授權(quán)訪問的資源。其目的是通過對中國石油認(rèn)證和授權(quán)的現(xiàn)狀進(jìn)行評估，結(jié)合行業(yè)發(fā)展趨勢和最佳實踐為中國石油設(shè)計出既有可操作性，又具備前瞻性的認(rèn)證和授權(quán)的技術(shù)架構(gòu)，并給出相應(yīng)的投資預(yù)估和實施計劃。管理成本增高? 隨著中國石油應(yīng)用數(shù)量的增加，系統(tǒng)用戶維護(hù)工作量將急劇增大，管理成本將不斷增高。用戶使用不便? 一名中國石油系統(tǒng)用戶可能存在大量系統(tǒng)用戶名/密碼，不易記憶。缺乏統(tǒng)一的組織進(jìn)行管理? 中國石油的不同應(yīng)用往往是由不同的部門進(jìn)行維護(hù)。這是集成認(rèn)證和授權(quán)管理的基礎(chǔ)?？梢杂袃煞N方式實現(xiàn)：? 利用目前用戶信息的主要入口（如電子郵件系統(tǒng)）進(jìn)行用戶信息的控制；或? 新建一個管理接口，對用戶信息的中心存儲進(jìn)行控制。安全風(fēng)險加大? 部分應(yīng)用，如中油財務(wù)采用公用帳號，將提高系統(tǒng)的安全風(fēng)險。4. 分權(quán)管理 ? 電子郵件系統(tǒng)和企業(yè)信息門戶采用分權(quán)管理的方式? 其它應(yīng)用由于用戶數(shù)較少，基本采用中心管理的方式大部分應(yīng)用采取中心管理的方式，難以適應(yīng)中國石油業(yè)務(wù)和組織結(jié)構(gòu)快速變革的現(xiàn)狀。中心維護(hù)量大，可擴(kuò)展性差? 中心管理的方式將所有的用戶維護(hù)工作量都落在了中心一側(cè)，當(dāng)用戶數(shù)不斷增加時，中心將不堪重負(fù)。? 采取集中和分布管理的策略，進(jìn)行用戶信息的分權(quán)管理。數(shù)據(jù)缺失或難以保證數(shù)據(jù)的準(zhǔn)確性? 不提供用戶自服務(wù)功能，則一些與用戶密切相關(guān)的個人信息，如手機(jī)號碼、家庭住址、備