智慧海港園區(qū)-統(tǒng)一權(quán)限管理服務(wù)平臺規(guī)劃設(shè)計方案

1、- -智慧海港統(tǒng)一權(quán)限管理服務(wù)平臺規(guī)劃設(shè)計方案設(shè)計單位:建設(shè)單位:編制日期:目錄 TOC o 1-5 h z HYPERLINK l bookmark4 o Current Document 第一章項目概況-4 -建設(shè)目標-4-建設(shè)內(nèi)容-5- HYPERLINK l bookmark10 o Current Document 第二章業(yè)務(wù)需求-6-1.月艮務(wù)對象一6-2.業(yè)務(wù)需求-6-3.功能需求-7 - HYPERLINK l bookmark18 o Current Document 3.1.統(tǒng)一的單點用戶身份認證及管理-7 - HYPERLINK l bookmark20 o Curren

2、t Document 3. 2.統(tǒng)一的應(yīng)用權(quán)限管理-8 - HYPERLINK l bookmark22 o Current Document 3. 3.統(tǒng)一授權(quán)管理-9 -3. 4.系統(tǒng)接口服務(wù)-10 - HYPERLINK l bookmark24 o Current Document 3. 5.審計和日志管理-10 - HYPERLINK l bookmark26 o Current Document 2.4.非功能性需求-11 -4. 1.性能需求-11 -2. 4. 2.安全需求-12 -4. 3.接 口需求-13 -第三章總體設(shè)計-15-1.應(yīng)用模型-16-1. 1.使用場景-16

3、 - HYPERLINK l bookmark32 o Current Document 1.2.實現(xiàn)模式設(shè)計-20- HYPERLINK l bookmark34 o Current Document 1.3.用戶生命周期管理-22-功能設(shè)計-27- HYPERLINK l bookmark38 o Current Document 2.1.統(tǒng)一用戶管理的模型和標準-28- HYPERLINK l bookmark40 o Current Document 2. 2.統(tǒng)一用戶信息管理平臺-29- HYPERLINK l bookmark42 o Current Document 2. 3.統(tǒng)

4、一授權(quán)管理平臺-32-2. 4.統(tǒng)一用戶身份認證-34- HYPERLINK l bookmark46 o Current Document 2. 5.審計和日志管理-40-第四章數(shù)據(jù)庫-42- HYPERLINK l bookmark50 o Current Document 人力資源管理系統(tǒng)-42- HYPERLINK l bookmark52 o Current Document 辦公自動化系統(tǒng)-43-3.其他業(yè)務(wù)應(yīng)用系統(tǒng)-44- HYPERLINK l bookmark56 o Current Document 第五章實施方案451.實施內(nèi)容45實施標準465. 3.進度計劃56 -第

5、一章項目概況港口信息化過程中將不斷建設(shè)新的應(yīng)用系統(tǒng)，以進一步提高信息 化的程度和水平。這些新建的應(yīng)用系統(tǒng)都存在用戶認證、管理和授權(quán) 的問題。在推進和發(fā)展信息化建設(shè)的進程中，港口擬通過統(tǒng)一規(guī)劃和 設(shè)計，開發(fā)建設(shè)一套統(tǒng)一的用戶信息管理、身份認證和授權(quán)管理系統(tǒng)。 利用此系統(tǒng)可以實現(xiàn)用戶在門戶一次登錄、網(wǎng)內(nèi)通用，避免多次登錄 到多個應(yīng)用的情況。此外，可以對港口內(nèi)各信息應(yīng)用系統(tǒng)的權(quán)限分配 和權(quán)限變更進行有效的統(tǒng)一化管理，實現(xiàn)多層次授權(quán)，審計各種權(quán)限 的使用情況，防止信息共享后的權(quán)限濫用，規(guī)范今后的應(yīng)用系統(tǒng)的建 設(shè)。建設(shè)目標統(tǒng)一用戶管理系統(tǒng)項目的總體建設(shè)目標是：建立港口信息系統(tǒng)的統(tǒng)一用戶管理模型；為現(xiàn)存的

6、和即將開發(fā)的 各應(yīng)用系統(tǒng)提供一個統(tǒng)一用戶管理支撐平臺，實現(xiàn)系統(tǒng)管理員在統(tǒng)一 用戶管理系統(tǒng)單點完成各應(yīng)用系統(tǒng)的用戶管理和授權(quán)管理工作，無需 多處、重復(fù)進行用戶管理和授權(quán)管理工作。對于新建的業(yè)務(wù)應(yīng)用系統(tǒng)，依靠統(tǒng)一用戶管理系統(tǒng)實現(xiàn)用戶 的單點登錄、網(wǎng)內(nèi)通行的工作方式。對于現(xiàn)存的業(yè)務(wù)應(yīng)用系統(tǒng)，在技術(shù)上可行的條件下依靠統(tǒng)一 用戶管理系統(tǒng)逐步實現(xiàn)用戶的單點登錄、網(wǎng)內(nèi)通行的工作方 式。12建設(shè)內(nèi)容通過開發(fā)、建設(shè)下圖所示的統(tǒng)一用戶管理平臺，提供下列主要功從內(nèi)網(wǎng)門戶借助統(tǒng)一用戶身份管理系統(tǒng)單點登錄到不同應(yīng)用 系統(tǒng)。統(tǒng)一用戶信息的管理界面，包括對新建的應(yīng)用系統(tǒng)和現(xiàn)存應(yīng) 用系統(tǒng)用戶管理。管理人員可以通過管理界面瀏覽

7、、查詢、 新增、維護用戶信息。不同用戶信息源與用戶信息表之間的數(shù)據(jù)同步。與統(tǒng)一用戶身份管理相關(guān)的Web Services訪問接口。用戶信息管理界面統(tǒng)一用戶管理平臺第二章業(yè)務(wù)需求21 服務(wù)對象港口統(tǒng)一用戶管理系統(tǒng)的用戶主要是系統(tǒng)管理員，包括門戶及各 業(yè)務(wù)應(yīng)用系統(tǒng)的系統(tǒng)管理員，借助該系統(tǒng)實現(xiàn)對各系統(tǒng)的用戶進行統(tǒng) 一的用戶信息管理，實現(xiàn)用戶的統(tǒng)一認證。22 業(yè)務(wù)需求在港口的信息化建設(shè)過程中，將建設(shè)實施一些業(yè)務(wù)應(yīng)用系統(tǒng)，如 辦公自動化系統(tǒng)、輔助決策平臺、港口運營管理平臺、財務(wù)系統(tǒng)、設(shè) 備資產(chǎn)管理系統(tǒng)、運行數(shù)據(jù)管理系統(tǒng)、人力資源管理系統(tǒng)等，同時, 將建設(shè)內(nèi)網(wǎng)門戶系統(tǒng)，實現(xiàn)對相關(guān)業(yè)務(wù)應(yīng)用系統(tǒng)的有效整合。這

8、些應(yīng) 用系統(tǒng)可能將由不同的開發(fā)商在不同的時期釆用不同的技術(shù)建設(shè)的, 在使用過程中將出現(xiàn)以下一些問題：大多數(shù)都有自成一體的用戶管理、授權(quán)及認證系統(tǒng)，同一用 戶在進入不同的應(yīng)用系統(tǒng)時都需要使用屬于該系統(tǒng)的不同賬 號去訪問，這種操作方式為用戶的使用帶來許多不便。在門戶系統(tǒng)建設(shè)中，實現(xiàn)了分布式門戶的用戶目錄同步。但 門戶系統(tǒng)提供的用戶目錄服務(wù)受門戶系統(tǒng)的運行狀況影響較 大，同時也制約了門戶業(yè)務(wù)模型變換，影響門戶后續(xù)開發(fā)。 所以需要提供一個使用簡單方便、實用性強的用戶管理工具, 便于管理員進行用戶信息、權(quán)限的管理。- - -同時在信息管理方面，每新建一個應(yīng)用系統(tǒng)，管理員都需要 在該系統(tǒng)上進行用戶管理和權(quán)

9、限管理的操作，造成一些重復(fù) 性的工作。這些都會增加信息管理工作的負擔(dān)，降低了系統(tǒng) 的穩(wěn)定性，更重要的是降低了港口信息化體系的可管理性和 整體安全性。23 功能需求本次項目的建設(shè)就是基于對上述問題的分析，提出解決的辦法, 從功能層面而言，主要實現(xiàn)以下功能：統(tǒng)一的單點用戶身份認證及管理在統(tǒng)一的單點用戶身份認證及管理方面，系統(tǒng)需要提供下列主要 功能：能夠整合多種不同的身份認證方式：用戶名/口令、動態(tài)令牌、 數(shù)字證書及今后可能出現(xiàn)的生物特征的身份認證方式。支持Ldap協(xié)議。支持多級分布部署和多級分布用戶管理。支持應(yīng)用開發(fā)接口。支持用戶身份、用戶屬性、用戶組、用戶角色、用戶策略、 授權(quán)和權(quán)限委托等功能的

10、管理，為統(tǒng)一權(quán)限管理系統(tǒng)提供底 層支持。支持C/S結(jié)構(gòu)和B/S結(jié)構(gòu)下的統(tǒng)一的身份管理。支持異構(gòu)環(huán)境和異構(gòu)系統(tǒng)，如Linu系統(tǒng)、Windows系統(tǒng)和Uni 系統(tǒng)。 支持 Web Services 應(yīng)用?；贐/S的系統(tǒng)管理，管理員身份認證機制支持數(shù)字證書方 式。完善的審計功能，支持對用戶行為的全方位審計。提供日志管理功能，支持統(tǒng)一的日志管理系統(tǒng)，包含用戶訪 問日志和系統(tǒng)運行管理日志。2.3.2.統(tǒng)一的應(yīng)用權(quán)限管理在統(tǒng)一的應(yīng)用權(quán)限管理方面，系統(tǒng)需要提供下列主要功能：基于上述統(tǒng)一單點用戶身份認證管理，支持多種身份認證技 術(shù)，如數(shù)字證書、動態(tài)令牌、用戶名/口令及今后的生物特征 等。支持單點登錄系統(tǒng)。支

11、持Ldapo策略的表達和存儲支持ML方式。支持統(tǒng)一部署，多級管理。支持對用戶、資源、角色和策略進行管理。支持不基于屬性證書的權(quán)限管理和基于屬性證書的權(quán)限管理 并存的方式。支持基于B/S結(jié)構(gòu)的系統(tǒng)管理和維護，支持管理員的數(shù)字證 書認證。支持系統(tǒng)管理事件的日志，符合統(tǒng)一日志管理和安全管理規(guī) 范的要求。2.3.3.統(tǒng)一授權(quán)管理通過開發(fā)、建設(shè)下圖所示的統(tǒng)一授權(quán)管理平臺，提供下列主要功 能：統(tǒng)一授權(quán)管理數(shù)據(jù)庫。統(tǒng)一授權(quán)管理平臺管理界面，包括對新建的應(yīng)用系統(tǒng)和現(xiàn)存 應(yīng)用系統(tǒng)授權(quán)管理。管理人員可以通過管理界面瀏覽、查詢、 新增、維護授權(quán)信息。按角色的授權(quán)功能。實現(xiàn)分級授權(quán)機制。與統(tǒng)一授權(quán)管理相關(guān)的Web S

12、ervices訪問接口。- - -統(tǒng)一授權(quán)管理平臺統(tǒng)一授權(quán)管理界面系統(tǒng)接口服務(wù)系統(tǒng)接口主要包括以下幾個方面：對用戶信息（組織機構(gòu)、人員、角色、權(quán)限及各種其他資源） 的查詢接口。管理接口，包括對角色或人員進行授權(quán)，以及維護組織機構(gòu)、 人員、功能、角色等。用戶身份驗證接口，判定某人在某應(yīng)用系統(tǒng)中的身份合法性。權(quán)限驗證接口，判斷某人在某應(yīng)用系統(tǒng)中是否屬于某個角色、 是否具有某種操作的權(quán)力等。本系統(tǒng)將提供基本的編程接口， 在具體的應(yīng)用中，可以在此接口基礎(chǔ)上進一步開發(fā)相應(yīng)的插 件（不同的應(yīng)用系統(tǒng)有不同的技術(shù)形式）。審計和日志管理提供審計和日志管理功能，包括：集中的統(tǒng)一日志管理，包含用戶訪問日志和系統(tǒng)運行

13、管理日 志。符合統(tǒng)一日志管理和安全管理規(guī)范的要求。2.4.非功能性需求2.4.1.性能需求（1）時間特性排除網(wǎng)絡(luò)的因素，從終端發(fā)出認證請求到信息反饋到終端的系統(tǒng) 平均反應(yīng)時間最多不得超過兩秒，尖峰時間不得超過三秒。（2）并發(fā)數(shù)并發(fā)的用戶數(shù)達到500個。對于在10分鐘之內(nèi)與本系統(tǒng)無請求 的用戶，系統(tǒng)應(yīng)自動變?yōu)槲催B接狀態(tài)。（3）穩(wěn)定性1）鑒于本系統(tǒng)將成為港口網(wǎng)絡(luò)服務(wù)連接的關(guān)鍵系統(tǒng)，因此，必 須實現(xiàn)7X24小時365天不間斷工作，絕對保證系統(tǒng)的平穩(wěn)運行。2）要求系統(tǒng)整體運行穩(wěn)定，滿足多用戶并發(fā)使用要求，具有防 錯、抗錯能力，以保證各項工作的正常進行。3）系統(tǒng)運行過程中會與較多的其他系統(tǒng)發(fā)生數(shù)據(jù)交換，

14、因此， 本系統(tǒng)要能及時地檢測到其它系統(tǒng)的故障，并進行相關(guān)處理；同時, 本系統(tǒng)的故障不應(yīng)不影響其他系統(tǒng)的運行速度、效率、穩(wěn)定性。4）特別地，本系統(tǒng)將定時讀取人力資源管理系統(tǒng)用戶數(shù)據(jù)，因 此本系統(tǒng)的運行應(yīng)不影響人力資源管理系統(tǒng)的運行，同時也應(yīng)不會因 人力資源管理系統(tǒng)運行中的問題而影響到本系統(tǒng)服務(wù)的延續(xù)性。2.4.2.安全需求（1）系統(tǒng)應(yīng)保證數(shù)據(jù)的安全1）系統(tǒng)既要與其它系統(tǒng)有接口又要必須保證本系統(tǒng)的獨立性和 完整性，即應(yīng)防止未經(jīng)授權(quán)的各類人員對本系統(tǒng)進行設(shè)置和修改或進 行有關(guān)統(tǒng)計。2）統(tǒng)一用戶管理系統(tǒng)服務(wù)器軟件必須提供可靠的數(shù)據(jù)備份和恢 復(fù)手段，在服務(wù)器軟件、硬件出現(xiàn)嚴重故障時，能夠根據(jù)備份的數(shù)據(jù)（

15、和帳戶信息等必要的配套信息）迅速徹底地恢復(fù)正常運行環(huán)境。3）系統(tǒng)的用戶信息管理相關(guān)模塊，決定了港口眾多系統(tǒng)的賬戶 安全性，必須保證統(tǒng)計數(shù)據(jù)準確、安全。用戶信息應(yīng)當提供完善的備 份和恢復(fù)措施。4）無論訪問者帳戶信息還是管理者帳戶（身份鑒別）信息，都 必須提供完備手段由用戶自行定義和備份保存，軟件開發(fā)者不得在系 統(tǒng)中預(yù)留任何特殊帳戶和密碼。（2）系統(tǒng)應(yīng)保證數(shù)據(jù)的傳輸安全1）系統(tǒng)應(yīng)具備加密登錄、數(shù)據(jù)加密傳輸?shù)劝踩矫娴谋Ｕ?，?證數(shù)據(jù)在不同系統(tǒng)間傳輸過程中的保密性、安全性。- # - - -2）用戶界面的安全性考慮：在界面上通過程序控制出錯幾率， 減少系統(tǒng)因用戶人為的錯誤引起的破壞。開發(fā)者應(yīng)當盡量周

16、全地考慮 到各種可能發(fā)生的問題，使出錯的可能降至最小。（3）系統(tǒng)應(yīng)保證系統(tǒng)的安全1）系統(tǒng)應(yīng)具備加密登錄、數(shù)據(jù)加密傳輸、數(shù)據(jù)存儲等安全方面 的保障，以確保系統(tǒng)的安全性。2）系統(tǒng)是基于開放的操作系統(tǒng)平臺和數(shù)據(jù)庫上的，因此，要求 建立操作系統(tǒng)和數(shù)據(jù)庫的安全保障體系，保證操作系統(tǒng)和數(shù)據(jù)庫的安 全。3）對可能發(fā)生嚴重后果的操作要有補救措施。通過補救措施用 戶可以回到原來的正確狀態(tài)。對可能造成等待時間較長的操作應(yīng)該提 供取消功能。4）對一些特殊符號和計算機代碼的輸入、與系統(tǒng)使用的符號相 沖突的字符等進行判斷并阻止用戶輸入該字符。5）對錯誤操作最好支持可逆性處理，如取消系列操作。在輸入 有效性字符之前應(yīng)該阻

17、止用戶進行只有輸入之后才可進行的操作。2.4.3.接口需求統(tǒng)一用戶管理系統(tǒng)的接口需求如下:人力資源管理系統(tǒng)用戶數(shù)據(jù)A統(tǒng)一用戶管理系統(tǒng)用戶數(shù)據(jù) 君認證結(jié)果用戶數(shù)據(jù) V認證結(jié)果用戶數(shù)據(jù) 召認證結(jié)果用戶數(shù)據(jù) V認證結(jié)果用戶數(shù)據(jù) 谷認證結(jié)果門戶系統(tǒng)辦公自動化系統(tǒng)輔助決策平臺口岸運營管理平臺其他系統(tǒng)系統(tǒng)應(yīng)具備與上述各系統(tǒng)進行有效連接的功能。由于各系統(tǒng)的需 求和開發(fā)時間上的不一致，因此，系統(tǒng)應(yīng)提供公共的連接接口，同時， 系統(tǒng)也應(yīng)能滿足特殊接口的要求。對于港口現(xiàn)有應(yīng)用系統(tǒng)，本系統(tǒng)應(yīng)實現(xiàn)與此類系統(tǒng)的認證連接。對于港口未建應(yīng)用系統(tǒng)，本系統(tǒng)應(yīng)針對各個系統(tǒng)提供認證的標準 協(xié)議接口，以保證未來建設(shè)的應(yīng)用系統(tǒng)與本系統(tǒng)順

18、利實現(xiàn)認證連接。- - -第三章總體設(shè)計統(tǒng)一用戶管理系統(tǒng)的系統(tǒng)結(jié)構(gòu)如下圖所示:系統(tǒng)主要由下列部分組成：用戶單點登錄數(shù)據(jù)庫：存放用戶單點登陸的相關(guān)信息。用戶單點登錄控制：對外提供Web Services接口，供應(yīng)用程序查 詢當前用戶在該應(yīng)用系統(tǒng)中的對應(yīng)用戶名和口令。用戶管理模塊：提供一系列用戶管理界面，分別管理存放在統(tǒng)一 用戶信息庫中以及現(xiàn)存應(yīng)用系統(tǒng)中的用戶信息，并進行不同用戶信息 源之間的數(shù)據(jù)同步。授權(quán)數(shù)據(jù)庫：存放用戶授權(quán)信息。這部分信息與用戶帳號信息分 開處理，以增加系統(tǒng)的靈活性和可管理性。授權(quán)管理模塊：主要包括組織結(jié)構(gòu)及用戶管理、應(yīng)用程序權(quán)限設(shè) 置、用戶授權(quán)管理。應(yīng)用程序權(quán)限控制：對外提供

19、Web Services接口,供應(yīng)用程序查 詢當前用戶是否有權(quán)限訪問指定功能。31 應(yīng)用模型使用場景統(tǒng)一用戶管理用戶：本系統(tǒng)的系統(tǒng)管理員。統(tǒng)一用戶管理系統(tǒng)實施后，只需在人力資源管理系統(tǒng)中單點進行 組織機構(gòu)和用戶信息維護（增加、修改、瀏覽、查詢、刪除、遷移等）， 基于用戶信息同步技術(shù)，人力資源管理系統(tǒng)用戶數(shù)據(jù)庫中的數(shù)據(jù)每天 同步到統(tǒng)一用戶信息庫，然后由統(tǒng)一用戶信息庫將用戶信息分發(fā)到各 業(yè)務(wù)應(yīng)用系統(tǒng)，相關(guān)業(yè)務(wù)應(yīng)用系統(tǒng)的用戶信息和基于用戶角色等的用 戶授權(quán)信息都能同步發(fā)生變化，并且能夠立即生效，從而簡化了用戶 管理工作，避免了安全隱患的發(fā)生。應(yīng)用系統(tǒng)的授權(quán)注冊用戶：本系統(tǒng)及相關(guān)應(yīng)用系統(tǒng)的系統(tǒng)管理員。

20、統(tǒng)一用戶管理系統(tǒng)實施之后，對于可以實現(xiàn)統(tǒng)一授權(quán)的應(yīng)用系統(tǒng), 首先需要把各應(yīng)用系統(tǒng)的授權(quán)管理信息輸入到本系統(tǒng)的相關(guān)數(shù)據(jù)庫 中。這項任務(wù)可以通過應(yīng)用系統(tǒng)或子系統(tǒng)向本系統(tǒng)進行注冊的方式來 實現(xiàn)。在統(tǒng)一用戶管理系統(tǒng)中，將提供兩種應(yīng)用系統(tǒng)授權(quán)管理的注冊方 式：通過調(diào)用注冊程序模塊的接口進行注冊通過統(tǒng)一授權(quán)管理系統(tǒng)的圖形界面進行注冊各應(yīng)用系統(tǒng)通過上述注冊方式向統(tǒng)一用戶管理系統(tǒng)進行注冊，將 各應(yīng)用系統(tǒng)的授權(quán)管理部分或全部地委托給統(tǒng)一用戶管理系統(tǒng)，從而 實現(xiàn)港口信息系統(tǒng)的統(tǒng)一用戶管理和權(quán)限管理，以及全集團范圍權(quán)限 信息的共享。應(yīng)用系統(tǒng)、子系統(tǒng)或模塊向統(tǒng)一用戶管理系統(tǒng)注冊的原理如下圖 所示。.統(tǒng)一授權(quán)管理用戶：

21、本系統(tǒng)的系統(tǒng)管理員。在統(tǒng)一用戶管理系統(tǒng)環(huán)境中，用戶對各應(yīng)用系統(tǒng)的訪問權(quán)限存放 在統(tǒng)一的權(quán)限信息庫中。用戶在訪問應(yīng)用系統(tǒng)的時候，應(yīng)用系統(tǒng)通過 統(tǒng)一授權(quán)系統(tǒng)的接口去查詢、驗證該用戶是否有權(quán)使用該功能，根據(jù) 統(tǒng)一用戶管理系統(tǒng)返回的結(jié)果進行相應(yīng)的處理。如下圖所示：.獨立授權(quán)管理用戶：相關(guān)應(yīng)用系統(tǒng)的系統(tǒng)管理員。在各相關(guān)應(yīng)用系統(tǒng)對用戶進行授權(quán)，應(yīng)用系統(tǒng)的功能模塊配置、 用戶授權(quán)信息保存在應(yīng)用系統(tǒng)自己的數(shù)據(jù)庫中。用戶身份的驗證要通 過調(diào)用“統(tǒng)一用戶權(quán)限Web Services進行處理；而用戶權(quán)限的判斷 由應(yīng)用系統(tǒng)自己進行處理。同時，將部分授權(quán)信息推送給門戶，當用 戶通過門戶訪問應(yīng)用系統(tǒng)時，用戶權(quán)限的判斷由門

22、戶系統(tǒng)根據(jù)推送的 授權(quán)信息進行處理。.統(tǒng)一用戶認證用戶：相關(guān)應(yīng)用系統(tǒng)用戶。本系統(tǒng)實施后，用戶登錄門戶時，首先調(diào)用統(tǒng)一的用戶身份認證 服務(wù)進行用戶身份認證；對于使用CA數(shù)字證書的用戶，首先由CA 發(fā)放證書，并由管理員對此證書與統(tǒng)一用戶信息庫中的用戶帳號進行 關(guān)聯(lián)，這樣用戶可以用證書來登錄門戶。用戶登錄門戶后，對各應(yīng)用系統(tǒng)實現(xiàn)單點登錄，在允許訪問資源 內(nèi)可以任意切換，而用戶身份認證，各應(yīng)用系統(tǒng)通過調(diào)用統(tǒng)一的用戶 身份認證服務(wù)，是統(tǒng)一驗證的，而不是在各應(yīng)用中分別驗證的。用戶登錄場景如下圖所示:建立關(guān)一2用戶3.1.2.實現(xiàn)模式設(shè)計從用戶管理、權(quán)限管理、權(quán)限驗證的角度，實現(xiàn)統(tǒng)一用戶管理有 兩種可以選擇

23、的模式：統(tǒng)一用戶管理、統(tǒng)一授權(quán)管理統(tǒng)一用戶管理、獨立授權(quán)管理統(tǒng)一用戶管理、統(tǒng)一授權(quán)管理實現(xiàn)模式從用戶管理、權(quán)限管理、權(quán)限驗證的角度，在條件允許的情況下， 建議新建業(yè)務(wù)應(yīng)用系統(tǒng)可釆用統(tǒng)一用戶管理、統(tǒng)一授權(quán)管理的實現(xiàn)模 式。（1）概述用戶的基本信息（用戶注冊名、姓名、密碼等）統(tǒng)一保存在統(tǒng)一 用戶信息庫中；應(yīng)用系統(tǒng)的功能模塊配置、用戶授權(quán)信息保存到“統(tǒng) 一用戶權(quán)限系統(tǒng)”中；用戶身份的驗證、用戶權(quán)限的判斷統(tǒng)一調(diào)用“統(tǒng) 一用戶權(quán)限Web Servicesn進行處理。應(yīng)用系統(tǒng)不再建立自己單獨的用戶管理、權(quán)限管理模塊。（2）應(yīng)用流程用戶注冊：如果用戶沒有在統(tǒng)一用戶信息庫中注冊，首先在 統(tǒng)一用戶信息庫中注冊用

24、戶信息（包括用戶的登錄名、姓名、 密碼、所在組織機構(gòu)等信息）。在“統(tǒng)一用戶權(quán)限系統(tǒng)”中對用戶進行授權(quán)，應(yīng)用系統(tǒng)的管 - - 理員在“統(tǒng)一用戶權(quán)限系統(tǒng)”中維護應(yīng)用系統(tǒng)的功能模塊， 并為用戶授權(quán)。將用戶信息分發(fā)到門戶：如果門戶用戶要訪問應(yīng)用系統(tǒng)，門 戶用戶的注冊信息必須與統(tǒng)一用戶權(quán)限系統(tǒng)中該用戶的注冊 信息保持一致。如果該用戶不在門戶的數(shù)據(jù)庫中，可以通過 門戶提供的“從統(tǒng)一權(quán)限系統(tǒng)中加載用戶”的功能，將用戶 添加到門戶的某單位下。如果用戶只訪問門戶資源，可以在 門戶中手工建立用戶。應(yīng)用系統(tǒng)Portlet封裝到門戶中：按照應(yīng)用系統(tǒng)功能模塊的層 次化組織方式，將應(yīng)用系統(tǒng)功能模塊的URL進行Portle

25、t封裝, 掛接到門戶的資源目錄樹中；最后通過門戶的授權(quán)功能，將 Portlet的訪問權(quán)限分配給門戶用戶。統(tǒng)一用戶管理、獨立授權(quán)管理實現(xiàn)模式對現(xiàn)存業(yè)務(wù)應(yīng)用系統(tǒng)也可以采用統(tǒng)一用戶管理、獨立授權(quán)管理的 實現(xiàn)模式。(1)概述用戶的基本信息(用戶注冊名、姓名、密碼等)統(tǒng)一保存在統(tǒng)一 用戶信息庫中；應(yīng)用系統(tǒng)的功能模塊配置、用戶授權(quán)信息保存在應(yīng)用 系統(tǒng)自己的數(shù)據(jù)庫中。用戶身份的驗證要通過調(diào)用“統(tǒng)一用戶權(quán)限 Web Services進行處理；而用戶權(quán)限的判斷由應(yīng)用系統(tǒng)自己進行處 理。應(yīng)用系統(tǒng)具有單獨的權(quán)限管理模塊；應(yīng)用系統(tǒng)中保存的用戶信息 應(yīng)該與統(tǒng)一用戶信息庫中的用戶信息一致，但應(yīng)用系統(tǒng)不保存用戶的 密碼；(

26、2)應(yīng)用流程用戶注冊：如果用戶沒有在統(tǒng)一用戶信息庫中注冊，首先在統(tǒng) 一用戶信息庫中注冊用戶信息(包括用戶的登錄名、姓名、密碼、所 在組織機構(gòu)等信息)。將用戶信息分發(fā)到門戶：如果門戶用戶要訪問應(yīng)用系統(tǒng)，門戶 用戶的注冊信息必須與統(tǒng)一用戶信息庫中該用戶的注冊信息保持一 致。如果該用戶不在門戶的數(shù)據(jù)庫中，可以通過門戶提供的“從統(tǒng)一 權(quán)限系統(tǒng)中加載用戶”的功能，將用戶添加到門戶的某單位下。如果 用戶只訪問門戶資源，可以在門戶中手工建立用戶。將用戶信息分發(fā)到各應(yīng)用系統(tǒng)，并在應(yīng)用系統(tǒng)中維護應(yīng)用系統(tǒng) 自己的功能模塊，為用戶授權(quán)。應(yīng)用系統(tǒng)Portlet封裝到門戶中：按照應(yīng)用系統(tǒng)功能模塊的層次 化組織方式，將應(yīng)

27、用系統(tǒng)功能模塊的URL進行Portlet M裝，掛接到 門戶的資源目錄樹中；最后通過門戶的授權(quán)功能，將Portlet的訪問權(quán) 限分配給門戶用戶。3.1.3.用戶生命周期管理.新建用戶如果有新員工加入，人力資源管理系統(tǒng)登記注冊新用戶；同時, 通過用戶信息同步和授權(quán)信息傳遞，系統(tǒng)自動在與其相關(guān)的每個應(yīng)用 系統(tǒng)中增加一套用戶賬號，并且能夠快速生效（生效時間取決于用戶 同步頻率），從而簡化了用戶管理工作，避免了安全隱患的發(fā)生。通過人力資源管理系統(tǒng)登記用戶基本信息，為該用戶分配一個注 冊名。該注冊名是訪問應(yīng)用系統(tǒng)的用戶名，只能包含大小寫英文字母 和數(shù)字，并且是唯一的。用戶注冊名/帳號的編碼規(guī)則按照排數(shù)集

28、團 統(tǒng)一用戶帳號編碼規(guī)范進行編碼。在人力資源管理系統(tǒng)中新建完該用戶后，該用戶同時也是門戶系 統(tǒng)用戶，門戶用戶的用戶名應(yīng)該與用戶信息庫中該用戶的注冊名保持 一致。用戶注冊流程：如果一個用戶要訪問門戶或者應(yīng)用，而用戶信息庫中沒有該用戶, 或者該用戶在用戶信息庫中必須的信息（如：用戶簡稱、口令）不完 整，需要按該流程進行用戶注冊，如下圖所示。- - -0 0DODOD 0 D D 0 0 0 D D 0 D D D D 0 DD 0 0 0 0 D 0 D 0 DODDO0 D 0 0 D 00 D 00 00 0 00 0 0D D 0(D 0 0 0 0 )DODOD DrTT D 0 0 Dm

29、oon一0 0 D 0 D D D 0 0 D D 0pb o o o0 0 0-D 0 0 0 D0 Q 0 0 D 0 Q D D 0 D 0 0（1）若該用戶信息不存在，在人力資源管理系統(tǒng)中登記用戶 信息，并同步到統(tǒng)一用戶信息庫；并自動成為門戶的用戶登錄信息；（2）賦予該用戶用戶組、角色、級別等授權(quán)信息；（3）對各應(yīng)用系統(tǒng)的用戶信息進行同步，并對用戶進行授權(quán)。a）遺留應(yīng)用系統(tǒng)：若在應(yīng)用系統(tǒng)用戶數(shù)據(jù)庫中，該用戶信息不存在，在該應(yīng)用系 統(tǒng)中新增一個用戶：用戶信息同步：UserID同用戶信息庫中用戶UserID；動態(tài)隨機生成一個密碼，按照應(yīng)用系統(tǒng)的規(guī)則，加密存儲在應(yīng) 用系統(tǒng)用戶數(shù)據(jù)庫和門戶用戶

30、/應(yīng)用系統(tǒng)對照庫中；用戶組、角色、級別等授權(quán)信息傳遞；按照相應(yīng)的約定規(guī)則實 現(xiàn)用戶組、角色、級別等代碼的轉(zhuǎn)換。ii.若在應(yīng)用系統(tǒng)用戶數(shù)據(jù)庫中，該用戶信息UserID已經(jīng)存在， 在該應(yīng)用系統(tǒng)中更新該用戶信息，但密碼不變；b）新建應(yīng)用系統(tǒng)：在應(yīng)用系統(tǒng)用戶數(shù)據(jù)庫中新增一個用戶：1 .用戶信息同步：UserID同用戶信息庫中用戶UserID；動態(tài)隨機生成一個密碼，按照應(yīng)用系統(tǒng)的規(guī)則，加密存儲在應(yīng) 用系統(tǒng)用戶數(shù)據(jù)庫和門戶用戶/應(yīng)用系統(tǒng)對照庫中；用戶組、角色、級別等授權(quán)信息傳遞（新建應(yīng)用系統(tǒng)應(yīng)遵循同 用戶信息庫采用統(tǒng)一的用戶組、角色、級別等代碼編碼規(guī)則，不需要 進行代碼轉(zhuǎn)換）。.密碼維護門戶集成更改口令P

31、ortlet,供用戶在門戶中修改口令，如下圖所 不O因用戶在門戶中所更改的口令，即為用戶信息庫中用戶口令。對用戶口令/密鑰約定如下：應(yīng)加密存儲； 區(qū)分大小寫;口令應(yīng)有長度限制，如必須大于6位字母或數(shù)字；禁止任何人查詢，但是可以允許用戶改變自己的口令；用戶第一次登錄必須應(yīng)強制更改口令；系統(tǒng)管理員可重置用戶的口令，但用戶下次登錄時應(yīng)強 制更改口令；口令擁有有效期如1個月，過期后，用戶登錄時應(yīng)強制 更改口令。對應(yīng)用系統(tǒng)的口令更改：對應(yīng)用系統(tǒng)的口令更改，應(yīng)通過應(yīng)用系統(tǒng)所提供的口令更改功能, 輸入原口令和新口令，進行口令更改；對于通過門戶系統(tǒng)自動產(chǎn)生的對某個用戶在應(yīng)用系統(tǒng)中的口令， 一般不鼓勵用戶用該用

32、戶名/口令直接登錄該應(yīng)用系統(tǒng)，而是應(yīng)通過 門戶登錄該應(yīng)用系統(tǒng)；若要進行應(yīng)用系統(tǒng)的用戶口令更改，則必須經(jīng) 該應(yīng)用系統(tǒng)的系統(tǒng)管理員對該用戶口令重置，然后，用戶再進行應(yīng)用 系統(tǒng)的口令更改。.刪除用戶如果有員工離開單位，在人力資源管理系統(tǒng)中刪除該用戶信息的 同時，通過用戶信息同步技術(shù)，在與其相關(guān)的每個應(yīng)用系統(tǒng)中刪除該 用戶的一套用戶賬號，從而使得刪除老用戶能夠方便地完成，并且立 即生效，從而簡化了用戶管理工作，避免了安全隱患的發(fā)生。刪除用戶流程:在人力資源管理系統(tǒng)中刪除該用戶信息；刪除該用戶在統(tǒng)一用戶管理系統(tǒng)中的用戶信息；刪除該用戶在門戶中的相應(yīng)用戶信息，如門戶與應(yīng)用系 統(tǒng)之間的用戶帳號映射庫；基于用

33、戶信息同步技術(shù)，刪除該用戶在各個應(yīng)用系統(tǒng)中 的帳戶信息。刪除用戶過程如下圖所示。D 0 DD D 0 0 0 0 D D D 00 D 0 D D 0iTT o o o oD D 0 D D0 D D 0 0 D D 0 0 0D 0 00 0Q 0 D D 0 0 0 D 0 DD D 0 0 0 0 D 0 0 0D 0 0 00 D D 0 D D 0 0 0 DD D D D 0D DD 0 0 D D32功能設(shè)計港口信息系統(tǒng)的未來環(huán)境可能會比較復(fù)雜，有Windows、Uni、Linu等操作系統(tǒng)，以及在不同時期由不同開發(fā)商采用不同技術(shù)開發(fā)的 多種應(yīng)用系統(tǒng)。實現(xiàn)統(tǒng)一的用戶管理需要建立模型

34、、規(guī)范以及接口標準，這是本 建設(shè)項目中需要首先解決的問題。在建設(shè)一個完整的統(tǒng)一用戶管理系統(tǒng)過程中，需要涉及新建的應(yīng) 用系統(tǒng)，同時要對現(xiàn)存的應(yīng)用系統(tǒng)進行部分改造，其中最大的障礙是 對現(xiàn)存的應(yīng)用系統(tǒng)進行改造。特別是，有些現(xiàn)存應(yīng)用系統(tǒng)可能由于技 術(shù)原因無法實現(xiàn)完全的統(tǒng)一用戶管理。因此，在開發(fā)建設(shè)中我們將區(qū)別對待這兩種不同情況，以減少風(fēng) 險，增大成功率。統(tǒng)一用戶管理的模型和標準在前述的方案設(shè)計中，已經(jīng)提出統(tǒng)一用戶的管理架構(gòu)和授權(quán)模型。 在建設(shè)實施階段中，將首先對港口現(xiàn)存的應(yīng)用系統(tǒng)進行調(diào)研。在調(diào)研 的基礎(chǔ)上，確定：統(tǒng)一用戶帳號編碼。按照統(tǒng)一用戶編碼規(guī)則對用戶帳號進行編 碼，以保證每個用戶在內(nèi)、外網(wǎng)環(huán)境中

35、有一個基于統(tǒng)一用戶信息庫的 統(tǒng)一和唯一的身份標識。用戶權(quán)限管理模型設(shè)計，通過對用戶的需求調(diào)研，并借鑒相關(guān) 成熟技術(shù)和產(chǎn)品，確定符合港口具體情況的用戶權(quán)限管理模型。新建應(yīng)用系統(tǒng)的統(tǒng)一用戶管理規(guī)范、接口標準、管理界面功能；新建應(yīng)用系統(tǒng)的統(tǒng)一授權(quán)管理規(guī)范、接口標準、管理界面功能；- - #- 哪些現(xiàn)存應(yīng)用系統(tǒng)可以進行統(tǒng)一用戶管理或授權(quán)管理，哪些不 可以；對每個可管理的現(xiàn)存應(yīng)用系統(tǒng)，確定具體的用戶管理方式、接 口標準和管理功能；對每個可管理的現(xiàn)存應(yīng)用系統(tǒng)，確定具體的授權(quán)管理方式、接 口標準和管理功能；統(tǒng)一用戶和統(tǒng)一授權(quán)管理的審計和日志管理規(guī)范。3.2.2.統(tǒng)一用戶信息管理平臺建設(shè)統(tǒng)一用戶管理平臺包括以

36、下主要方面。.統(tǒng)一用戶信息庫根據(jù)新建應(yīng)用系統(tǒng)的統(tǒng)一用戶管理規(guī)范，設(shè)計、建設(shè)一個統(tǒng)一用 戶數(shù)據(jù)庫。統(tǒng)一用戶管理系統(tǒng)將采用數(shù)據(jù)庫方式進行用戶身份信息的存儲， 系統(tǒng)支持將統(tǒng)一的用戶信息存儲于各大主流數(shù)據(jù)庫中，如Oracle、DB2、 SQL Server Sybase MySQL等。統(tǒng)一用戶管理系統(tǒng)同時支持將統(tǒng)一 的用戶信息存儲于LDAP目錄中。本系統(tǒng)采用從人力資源管理系統(tǒng)的RDBMS用戶數(shù)據(jù)庫授權(quán)訪 問的用戶信息視圖中讀取用戶數(shù)據(jù)，并在統(tǒng)一用戶管理系統(tǒng)中建立統(tǒng) 一用戶信息庫，作為統(tǒng)一用戶管理系統(tǒng)的統(tǒng)一用戶信息存儲管理庫， 實現(xiàn)對用戶信息管理和身份驗證。基于用戶信息同步技術(shù)，只需在人力資源管理系統(tǒng)中

37、單點進行增 加新用戶、修改用戶信息、或者刪除老用戶，人力資源管理系統(tǒng)用戶 數(shù)據(jù)庫中的數(shù)據(jù)每天同步到統(tǒng)一用戶信息庫，然后由統(tǒng)一用戶信息庫 將用戶信息分發(fā)到各業(yè)務(wù)應(yīng)用系統(tǒng)，相關(guān)業(yè)務(wù)應(yīng)用系統(tǒng)的用戶信息和 基于用戶角色等的用戶授權(quán)信息都能同步發(fā)生變化，并且能夠立即生 效，從而簡化了用戶管理工作，避免了安全隱患的發(fā)生。統(tǒng)一用戶目錄、用戶信息與各應(yīng)用系統(tǒng)之間的用戶信息交換體系 架構(gòu)如下圖所示。OA系統(tǒng)輔助決策平臺口岸運營管理平臺塚合管理系統(tǒng)3.22.2 統(tǒng)一用戶信息管理系統(tǒng)根據(jù)新建的統(tǒng)一用戶數(shù)據(jù)庫結(jié)構(gòu)以及統(tǒng)一用戶管理的功能需求, 設(shè)計開發(fā)一個用戶管理系統(tǒng)。該管理系統(tǒng)將提供：- - -瀏覽、查詢、新增、維護

38、用戶信息的管理界面；通過整合、重用現(xiàn)存應(yīng)用系統(tǒng)中的管理界面，管理存放在現(xiàn)存 應(yīng)用系統(tǒng)中的用戶信息；調(diào)用用戶管理接口進行不同用戶數(shù)據(jù)源之間的同步。在“統(tǒng)一用戶管理系統(tǒng)”中，通過“數(shù)據(jù)同步”的功能，將“統(tǒng) 一用戶信息庫中用戶信息（包括用戶的編碼/登錄名、姓名、所在 部門、崗位角色、專業(yè)、職稱、手機、辦公電話、家庭電話、郵件地 址等信息）自動同步給門戶及相關(guān)應(yīng)用系統(tǒng)，使港口員工在門戶及相 關(guān)應(yīng)用系統(tǒng)的用戶信息與統(tǒng)一用戶信息庫中該用戶的注冊信息保持 致。用戶信息同步頻率為一天同步一次，次日生效；或手工觸發(fā)即時 生效。與門戶系統(tǒng)和CA系統(tǒng)進行集成，實現(xiàn)用戶的統(tǒng)一身份認證。用戶登錄門戶時，首先調(diào)用統(tǒng)一的用

39、戶身份認證服務(wù)進行用戶 身份認證；用戶登錄門戶后，對各應(yīng)用系統(tǒng)實現(xiàn)單點登錄，在允許訪問資源 內(nèi)可以任意切換，而用戶身份認證，各應(yīng)用系統(tǒng)通過調(diào)用統(tǒng)一的用戶 身份認證服務(wù)，是統(tǒng)一驗證的，而不是在各應(yīng)用中分別驗證的。.統(tǒng)一用戶管理接口根據(jù)新建應(yīng)用系統(tǒng)的統(tǒng)一用戶管理規(guī)范和接口標準，開發(fā)下列接口：用戶信息查詢接口（查詢組織機構(gòu)、人員、角色、在某應(yīng)用系 統(tǒng)中的用戶名和口令等，該接口是實現(xiàn)單點登陸功能的關(guān)鍵）。用戶管理維護接口（維護組織機構(gòu)、人員、角色等，該接口主 要用于實現(xiàn)不同用戶數(shù)據(jù)源之間的同步）。用戶身份驗證接口。3.2.3.統(tǒng)一授權(quán)管理平臺授權(quán)控制管理是建立在基于統(tǒng)一用戶目錄管理的基礎(chǔ)之上，在統(tǒng) 一

40、信息資源目錄的管理下對信息資源進行統(tǒng)一的授權(quán)。基于統(tǒng)一資源目錄，對不同的資源進行授權(quán)：因通過統(tǒng)一資源目 錄映射到各應(yīng)用系統(tǒng)的功能模塊或子系統(tǒng)中，從而在授權(quán)時，不用關(guān) 心該應(yīng)用在什么位置，具體有什么內(nèi)容和作用；只需根據(jù)靈活的授權(quán) 策略進行授權(quán)即可。建設(shè)統(tǒng)一授權(quán)管理平臺包括以下主要方面。.統(tǒng)一授權(quán)數(shù)據(jù)庫根據(jù)新建應(yīng)用系統(tǒng)和現(xiàn)存應(yīng)用系統(tǒng)的統(tǒng)一授權(quán)管理規(guī)范，設(shè)計、 建設(shè)一個統(tǒng)一授權(quán)數(shù)據(jù)庫。統(tǒng)一授權(quán)數(shù)據(jù)庫的結(jié)構(gòu)將滿足按角色授權(quán) 和分級授權(quán)的功能需求。對于擁有自身用戶數(shù)據(jù)庫的新建應(yīng)用系統(tǒng)或遺留應(yīng)用系統(tǒng)，因為角色/用戶組/級別等用戶權(quán)限身份標識信息，在門戶用戶目錄數(shù)據(jù)和 應(yīng)用系統(tǒng)自身的用戶數(shù)據(jù)庫都需要分別進行

41、存儲；故而，對這類應(yīng)用 分層次授權(quán)時，為了簡化用戶授權(quán)管理，希望能夠在門戶級對某個用 戶授權(quán)的同時，系統(tǒng)自動將授權(quán)信息傳遞到應(yīng)用系統(tǒng)，從而完成賦予 該用戶對相關(guān)應(yīng)用系統(tǒng)內(nèi)部的授權(quán)。這樣，當新建/修改/刪除某用戶信息時，通過用戶信息同步交換 機制，該用戶的角色、用戶組、級別等用戶類別標識信息可有效傳遞 到應(yīng)用系統(tǒng)自身的用戶數(shù)據(jù)庫，從而間接實現(xiàn)了對該用戶的基于用戶 角色、用戶組、級別等的授權(quán)控制。.統(tǒng)一授權(quán)管理系統(tǒng)根據(jù)新建的統(tǒng)一授權(quán)數(shù)據(jù)庫結(jié)構(gòu)以及按角色授權(quán)和分級授權(quán)管 理功能，設(shè)計開發(fā)一個授權(quán)管理系統(tǒng)。該管理系統(tǒng)將提供：瀏覽、查詢、新增、維護授權(quán)信息的管理界面。統(tǒng)一授權(quán)系統(tǒng)將提供一套管理界面。管理

42、界面將包括新建的應(yīng)用 系統(tǒng)權(quán)限管理界面、以及現(xiàn)存應(yīng)用系統(tǒng)權(quán)限的管理界面。管理員可以 通過管理界面查詢、新增、維護用戶授權(quán)的信息。通過整合、重用現(xiàn)存應(yīng)用系統(tǒng)中的授權(quán)管理界面，管理現(xiàn)存應(yīng) 用系統(tǒng)中的授權(quán)信息。使用統(tǒng)一授權(quán)時，用戶首先通過單點登錄方式進入某應(yīng)用系統(tǒng)。 當用戶需要使用該應(yīng)用系統(tǒng)的某一功能時，應(yīng)用系統(tǒng)調(diào)用統(tǒng)一授權(quán)的 相應(yīng)接口查詢該用戶是否具有使用該功能的權(quán)限。如果該用戶已被授 - - - 予相應(yīng)的使用權(quán)限，應(yīng)用系統(tǒng)將允許用戶進入該功能。否則，用戶將 不能使用該功能?？刂朴脩裟芊袷褂脩?yīng)用系統(tǒng)某項功能是由應(yīng)用系統(tǒng)和統(tǒng)一授權(quán) 系統(tǒng)共同實現(xiàn)的。,統(tǒng)一授權(quán)管理接口根據(jù)新建應(yīng)用系統(tǒng)和現(xiàn)存應(yīng)用系統(tǒng)的統(tǒng)

43、一授權(quán)管理規(guī)范和接口 標準，開發(fā)下列接口：用戶授權(quán)信息查詢接口（查詢組織機構(gòu)、人員、角色、在某應(yīng) 用系統(tǒng)中的權(quán)限等）。權(quán)限管理維護接口（維護組織機構(gòu)、人員、角色、權(quán)限等）。權(quán)限驗證接口，判斷某人在某應(yīng)用系統(tǒng)中是否屬于某個角色、 是否具有某種操作的權(quán)力等。供應(yīng)用系統(tǒng)進行授權(quán)信息注冊的接口。3.2.4.統(tǒng)一用戶身份認證用戶登錄門戶時，首先調(diào)用統(tǒng)一的用戶身份認證服務(wù)進行用戶身 份認證；用戶登錄門戶后，對各應(yīng)用系統(tǒng)實現(xiàn)單點登錄，在允許訪問資源 內(nèi)可以任意切換，而用戶身份認證，各應(yīng)用系統(tǒng)通過調(diào)用統(tǒng)一的用戶 身份認證服務(wù)，是統(tǒng)一驗證的，而不是在各應(yīng)用中分別驗證的。.用戶登錄門戶用戶輸入用戶名、密碼登錄門戶

44、。門戶系統(tǒng)查詢門戶數(shù)據(jù)庫，判 斷用戶是否為從“統(tǒng)一用戶管理系統(tǒng)”中加載的用戶。如果是，門戶 系統(tǒng)調(diào)用“統(tǒng)一用戶身份認證 Web Service ”中的函數(shù) checkUserByLogin,到統(tǒng)一用戶信息庫中判斷用戶是否合法。如果用 戶是合法用戶，函數(shù)返回用戶令牌（一個隨機字符串），做為用戶身 份的標識；否則，提示錯誤信息。D DPorta 10 D如果用戶為臨時用戶（不是從“統(tǒng)一用戶管理系統(tǒng)”中加載的用 戶），由門戶系統(tǒng)直接驗證用戶的合法性。完成用戶身份認證后，由 門戶系統(tǒng)根據(jù)用戶的權(quán)限對用戶進行授權(quán)。用戶身份認證流程圖如下圖所示:.用戶通過門戶訪問應(yīng)用系統(tǒng)在門戶對應(yīng)用系統(tǒng)整合的過程中將應(yīng)用

45、系統(tǒng)Portlet封裝到門戶 中，具體過程如下：按照應(yīng)用系統(tǒng)功能模塊的層次化組織方式，將應(yīng) 用系統(tǒng)功能模塊的URL進行Portlet封裝或應(yīng)用系統(tǒng)的專用Portlet, 掛接到門戶的資源目錄樹中；最后通過門戶的授權(quán)功能，將Portlet的訪問權(quán)限分配給門戶用戶。用戶通過門戶訪問應(yīng)用系統(tǒng)將主要分為統(tǒng)一用戶身份認證和代理登錄兩種方式。(1)統(tǒng)一用戶身份認證用戶通過門戶中對應(yīng)應(yīng)用系統(tǒng)的功能模塊Portlet,訪問相應(yīng)應(yīng)用 系統(tǒng)。Portlet傳遞給應(yīng)用系統(tǒng)的參數(shù)有：用戶令牌。應(yīng)用系統(tǒng)根據(jù)接 收到的令牌，調(diào)用統(tǒng)一用戶管理系統(tǒng)WebServices接口，對用戶身份 進行確認；同時，統(tǒng)一用戶管理系統(tǒng)返回給

46、應(yīng)用系統(tǒng)該用戶UserID 在應(yīng)用系統(tǒng)中對應(yīng)的用戶標識AppUserlD (可相同)；應(yīng)用系統(tǒng)根據(jù) 該用戶在應(yīng)用系統(tǒng)的用戶標識AppUserlD登錄相關(guān)應(yīng)用功能模塊，判 定該用戶在該應(yīng)用所擁有的權(quán)限。用戶身份認證流程圖如下圖所示:優(yōu)點：集成性強，安全性高。缺點：需要對應(yīng)用系統(tǒng)進行修改。應(yīng)用系統(tǒng)的修改主要是用戶合法性的判斷：應(yīng)用系統(tǒng)判斷用戶合 法性不再是通過自己的登錄頁面，而是判斷Portlet傳遞過來的用戶令 牌是否為空?？蛇x的，以用戶令牌為參數(shù)調(diào)用“統(tǒng)一用戶權(quán)限Web Servicew中的函數(shù)getUserLoginInfo,獲取用戶的登錄信息。如果令 牌非法，函數(shù)訪問值為nullo應(yīng)用系統(tǒng)

47、可以將函數(shù)getUserLoginlnfo 返回的信息保存到Session中。(2)代理登錄用戶通過門戶中應(yīng)用系統(tǒng)的功能模塊Portlet,訪問相應(yīng)應(yīng)用系統(tǒng)。 在第一次訪問時，Portlet將提示門戶用戶輸入應(yīng)用系統(tǒng)對應(yīng)的用戶名、 密碼。當用戶輸入完成后，門戶將負責(zé)安全保存用戶在該應(yīng)用系統(tǒng)對 應(yīng)的用戶名、密碼。Portlet將模仿用戶登錄應(yīng)用系統(tǒng)的方式，登錄應(yīng) 用系統(tǒng)。如果登錄成功，將顯示整個應(yīng)用系統(tǒng)。用戶在第二次及以后通過門戶訪問該應(yīng)用系統(tǒng)時，則不需要再次 輸入用戶名和密碼(除非應(yīng)用系統(tǒng)本身已更改該用戶的用戶密碼)， 門戶會自動代理用戶進行登錄該應(yīng)用系統(tǒng)。應(yīng)用系統(tǒng)的權(quán)限控制由應(yīng)用系統(tǒng)自己進行

48、處理。 # - -用戶名、口令Portal fl 戶應(yīng)用系統(tǒng)優(yōu)缺點：應(yīng)用系統(tǒng)不需要修改。缺點：集成性差，安全級別相對低一些。3.2.5.審計和日志管理建設(shè)審計和日志管理子系統(tǒng)包括以下主要方面。.審計和日志數(shù)據(jù)庫根據(jù)統(tǒng)一用戶管理的審計和日志管理規(guī)范，設(shè)計、建設(shè)一個審計 和日志管理數(shù)據(jù)庫。.審計和日志管理系統(tǒng)根據(jù)審計和日志管理數(shù)據(jù)庫結(jié)構(gòu)，設(shè)計開發(fā)一個審計和日志管理 系統(tǒng)。通過該管理系統(tǒng)用戶可以瀏覽、查詢、備份、清除審計和日志 信息。- - -第四章數(shù)據(jù)庫根據(jù)新建應(yīng)用系統(tǒng)的統(tǒng)一用戶管理規(guī)范，設(shè)計、建設(shè)一個統(tǒng)一用 戶數(shù)據(jù)庫。統(tǒng)一用戶管理系統(tǒng)將采用數(shù)據(jù)庫方式進行用戶身份信息的存儲， 系統(tǒng)支持將統(tǒng)一的用戶

49、信息存儲于各大主流數(shù)據(jù)庫中，如Oracle、DB2、 SQL Server. Sybase. MySQL等。統(tǒng)一用戶管理系統(tǒng)同時支持將統(tǒng)一 的用戶信息存儲于LDAP目錄中。本系統(tǒng)采用從人力資源管理系統(tǒng)的RDBMS用戶數(shù)據(jù)庫授權(quán)訪 問的用戶信息視圖中讀取用戶數(shù)據(jù)，并在統(tǒng)一用戶管理系統(tǒng)中建立統(tǒng) 一用戶信息庫，作為統(tǒng)一用戶管理系統(tǒng)的統(tǒng)一用戶信息存儲管理庫， 實現(xiàn)對用戶信息管理和身份驗證。人力資源管理系統(tǒng)人力資源管理系統(tǒng)需要開放部分數(shù)據(jù)庫接口，該部分數(shù)據(jù)庫接口 要滿足下面的要求：包括用戶、用戶組織全部數(shù)據(jù)庫表；對開放的數(shù)據(jù)庫表的詳細描述及技術(shù)咨詢和支持。另外，為使人力資源管理系統(tǒng)與統(tǒng)一身份認證系統(tǒng)之間

50、的用戶數(shù) 據(jù)同步更有效率和易于實現(xiàn)，建議在人力資源管理系統(tǒng)系統(tǒng)能夠設(shè)置:最好有相關(guān)的用戶信息更新時間標志字段；或可以用于標記數(shù)據(jù)是否被有效傳輸?shù)臄?shù)據(jù)標志位，可供統(tǒng)一 身份認證系統(tǒng)讀寫。辦公自動化系統(tǒng)統(tǒng)一身份認證系統(tǒng)要求對辦公自動化系統(tǒng)進行相應(yīng)修改，主要包 括以下內(nèi)容：用戶數(shù)據(jù)同步要求：/因直接開放與用戶信息相關(guān)的數(shù)據(jù)庫表結(jié)構(gòu)，由統(tǒng)一認證系統(tǒng) 去直接更新數(shù)據(jù)庫，若辦公自動化系統(tǒng)一旦出現(xiàn)問題，會導(dǎo)致雙方責(zé) 任認定不清的問題；“建議：辦公自動化系統(tǒng)按照標準格式提供相應(yīng)的用戶信息更新 WebServices接口；由統(tǒng)一身份認證系統(tǒng)通過調(diào)用該接口實現(xiàn)辦公自 動化系統(tǒng)用戶信息的更新同步。WebServic

51、es接口規(guī)范和標準由統(tǒng)一 身份認證系統(tǒng)提供。統(tǒng)一身份認證要求：辦公自動化系統(tǒng)提供用戶身份驗證和功能 調(diào)轉(zhuǎn)的接口，使得用戶可以通過直接接收HttpRequest中的用戶身份 認證信息而進行直接登錄，并根據(jù)HttpReques中的功能信息直接跳 轉(zhuǎn)到相應(yīng)的功能頁面。用戶身份信息可以是直接的用戶名+ 口令形式, 也可以是令牌形式，這由具體實現(xiàn)的時候來最終確定。 4.3 其他業(yè)務(wù)應(yīng)用系統(tǒng)因其他業(yè)務(wù)應(yīng)用系統(tǒng)還處于正在實施過程中，相對而言，對統(tǒng)一 身份認證系統(tǒng)更易于支持，對其他業(yè)務(wù)應(yīng)用系統(tǒng)進行相應(yīng)修改協(xié)作要 求主要包括以下內(nèi)容：用戶數(shù)據(jù)同步要求：其他業(yè)務(wù)應(yīng)用系統(tǒng)按照標準格式提供相 應(yīng)的用戶信息更新WebS

52、ervices接口 ；由統(tǒng)一身份認證系統(tǒng)通 過調(diào)用該接口實現(xiàn)其他業(yè)務(wù)應(yīng)用系統(tǒng)用戶信息的更新。 WebServices接口規(guī)范和標準由統(tǒng)一身份認證系統(tǒng)提供。統(tǒng)一身份認證要求：其他業(yè)務(wù)應(yīng)用系統(tǒng)提供用戶身份驗證和 功能調(diào)轉(zhuǎn)的接口，使得用戶可以通過直接接收HttpRequest中 的用戶身份令牌信息而進行直接登錄，并根據(jù)HttpReques中 的功能信息直接跳轉(zhuǎn)到相應(yīng)的功能頁面。第五章實施方案51 實施內(nèi)容本系統(tǒng)的建設(shè)采取定制開發(fā)的方式實現(xiàn)。序號內(nèi)容詳細內(nèi)容工作量（人月）I項目調(diào)研需求調(diào)研與分析2詳細設(shè)計系統(tǒng)概要設(shè)計和詳細設(shè)計3系統(tǒng)定制開發(fā)(1)用戶信息管理功能數(shù)據(jù)分發(fā)：用戶數(shù)據(jù)同步分發(fā)體系的定制(2

53、)用戶授權(quán)和認證功能對用戶進行身份認證及授權(quán)訪問的功能(3)應(yīng)用系統(tǒng)數(shù)據(jù)接口應(yīng)用系統(tǒng)修改：配合用戶身份認證模 式的調(diào)整，修改現(xiàn)有的應(yīng)用系統(tǒng)的身 份認證模塊4系統(tǒng)部署、測試系統(tǒng)部署實施和聯(lián)合測試5系統(tǒng)試運行6合計52實施標準統(tǒng)一用戶產(chǎn)品選型規(guī)格要求:項目主要功能、性能指標基本要求用戶帳戶管理系統(tǒng)應(yīng)自動從相關(guān)系統(tǒng)獲取用戶數(shù)據(jù)；無論是在本系統(tǒng)還是在相關(guān)系統(tǒng)修改用戶數(shù)據(jù)，都應(yīng)做到本系統(tǒng)與相關(guān)系統(tǒng)用戶數(shù)據(jù)的同步；用戶權(quán)限及資源分配管理用戶的應(yīng)用系統(tǒng)使用權(quán)限，均在本系統(tǒng)設(shè)置。權(quán)限的級別應(yīng)分為個人、角色、組等，一位用戶可以屬于多個組， 具有多種角色的權(quán)限，一個角色也可以有多人同時擔(dān)當。權(quán)限的設(shè) 置應(yīng)提供缺省

54、、批量、個別等操作方式。權(quán)限是與資源相連的，系統(tǒng)內(nèi)應(yīng)有資源的列表和管理，并且能夠増減資源。統(tǒng)一認證認證方式應(yīng)支持：1）匿名認證方式：用戶不需要任何認證，可以匿名的方式登錄系統(tǒng)。2）用戶名/密碼認證。3）IP地址認證：用戶只能從指定的IP地址或者IP地址段訪問系統(tǒng)。4）PKI/CA數(shù)字證書認證：通過數(shù)字證書的方式認證用戶的身份。根據(jù)應(yīng)用系統(tǒng)使用許可可以對認證方式進行組合配置，并且可在選 定認證方式的基礎(chǔ)上同時增加PKI/CA數(shù)字證書認證，以防止非法頁 面的攻擊，保證認證數(shù)據(jù)的安全有效。系統(tǒng)應(yīng)能與已有的應(yīng)用系統(tǒng)，以及將要建成或購買的應(yīng)用系統(tǒng)實現(xiàn)統(tǒng)一認證，統(tǒng)一認證實現(xiàn)方法應(yīng)切實可行。系統(tǒng)還應(yīng)能實現(xiàn)與

55、國內(nèi)外其它簽有協(xié)議或?qū)Ψ皆S可的集團（機構(gòu)）的認證中心實現(xiàn)互聯(lián)。統(tǒng)一認證的過程應(yīng)包括用戶應(yīng)用系統(tǒng)的使用權(quán)限的檢查；統(tǒng)一認證的結(jié)果，應(yīng)包括用戶對各應(yīng)用系統(tǒng)使用權(quán)限的說明。功能需求用戶數(shù)據(jù)建立本功能描述系統(tǒng)建立用戶數(shù)據(jù)的方式。一、批量從相關(guān)系統(tǒng)獲取用戶的數(shù)據(jù)；二、同步從相關(guān)系統(tǒng)獲取用戶的數(shù)據(jù)。批量導(dǎo)入用戶數(shù)據(jù)系統(tǒng)提供對從相關(guān)系統(tǒng)導(dǎo)出的批量用戶數(shù)據(jù)進行編輯整合入庫的功能，提供提取數(shù)據(jù)范圍和條件的可設(shè)置參數(shù)，提供數(shù)據(jù)提取任務(wù)的設(shè)置參數(shù)。系統(tǒng)應(yīng)輸出批量導(dǎo)入的處理報告。聯(lián)機獲取用戶數(shù)據(jù)系統(tǒng)應(yīng)能根據(jù)需要，自動從相關(guān)系統(tǒng)中獲取本系統(tǒng)沒有的而已在本系統(tǒng)中登錄的用戶的數(shù)據(jù)，進行有關(guān)的數(shù)據(jù)項目的抽取、判斷和增加指定的

56、數(shù)據(jù)項目等處理。用戶數(shù)據(jù)維護本功能描述維護本系統(tǒng)用戶數(shù)據(jù)需具有的功能。包括用戶網(wǎng)上自行 修改用戶信息，以及系統(tǒng)或管理人員修改用戶信息等內(nèi)容。用戶登錄系統(tǒng)應(yīng)提供用戶登錄頁面。該頁面應(yīng)包括可供用戶選擇的用戶名或條碼號，密碼可用軟鍵盤輸入，以及應(yīng)有校驗碼項目等，并能夠滿足如下認證方式：1）匿名認證方式：用戶不需要任何認證，可以匿名的方式登錄系統(tǒng)。2）用戶名/密碼認證。3）IP地址認證：用戶只能從指定的IP地址或者IP地址段訪問系統(tǒng)。根據(jù)應(yīng)用系統(tǒng)使用可以對認證方式進行組合配置，并且可在選定認證方式的基礎(chǔ)上同時增加PKI/CA數(shù)字證書認證，以防止非法頁面的攻擊，保證認證數(shù)據(jù)的安全有效。系統(tǒng)應(yīng)對用戶輸入的

57、數(shù)據(jù)進行驗證，并釆用加密的方法發(fā)送到服務(wù)器。用戶修改信息系統(tǒng)應(yīng)提供用戶信息修改頁面，并校驗用戶的修改的信息，以及實際修改用戶數(shù)據(jù)庫數(shù)據(jù)。用戶密碼修改系統(tǒng)應(yīng)提供用戶密碼修改頁面，并檢查新密碼和校對密碼數(shù)據(jù)，以及實際修改數(shù)據(jù)庫中的密碼。失去密碼找回在確認用戶身份后，系統(tǒng)應(yīng)自動生成新的隨機密碼，并通過電子郵件方式向用戶發(fā)送密碼。管理員修改用戶數(shù)據(jù)系統(tǒng)應(yīng)允許有權(quán)限的系統(tǒng)管理員批量或個別修改、刪除用戶數(shù)據(jù)。數(shù)據(jù)刪除只做標記，不允許物理刪除，管理員能將數(shù)據(jù)從認證數(shù)據(jù)庫表中移到歷史庫，也能從歷史庫還原數(shù)據(jù)。系統(tǒng)應(yīng)提供檢索功能，幫助管理員確定待修改的用戶。資源與角色管理本功能包括系統(tǒng)包含的各種角色的設(shè)置、系統(tǒng)

58、所連接的資源的配置,以及資源與角色之間的對應(yīng)關(guān)系的建立。資源管理系統(tǒng)應(yīng)能靈活地配置系統(tǒng)認證涉及的各種應(yīng)用系統(tǒng)，包括應(yīng)用系統(tǒng)的個別或批量増加、修改、刪除（需要確認沒有角色擁有該系統(tǒng)權(quán)限）等操作。系統(tǒng)數(shù)據(jù)中，應(yīng)包括允許便用的IP地址或IP地址段，以及認證方式的等要求信息。角色管理系統(tǒng)應(yīng)能靈活地設(shè)置系統(tǒng)包含的各種角色，包括個別或批量増加角色、修改角色以及刪除角色（需要確認沒有用戶具有該種角色），角色的權(quán)限應(yīng)與資源掛鉤。用戶權(quán)限管理本功能應(yīng)包括對網(wǎng)上用戶權(quán)限的單個設(shè)置或修改，以及批量設(shè)置或修改。系統(tǒng)應(yīng)提供檢索功能，幫助管理員確定待修改的用戶。系統(tǒng)應(yīng)提供基于角色的分組、分類權(quán)限管理政策，支持一用戶多角色

59、和一角色多用戶的權(quán)限分配方式，以及支持一組用戶多角色和一角色多組用戶。統(tǒng)一認證管理系統(tǒng)應(yīng)提供安全可靠又簡便易行的統(tǒng)一認證功能，確保用戶只需一次登錄，即可使用他權(quán)限范圍內(nèi)的應(yīng)用系統(tǒng)或進入有關(guān)系統(tǒng)，并在 不重復(fù)登錄的情況下，進行系統(tǒng)間的跳轉(zhuǎn)，實現(xiàn)單點登錄。系統(tǒng)應(yīng)支持跨域認證，支持多應(yīng)用系統(tǒng)，實現(xiàn)統(tǒng)一認證、統(tǒng)一權(quán)限、 統(tǒng)一用戶。其他系統(tǒng)可以調(diào)用本系統(tǒng)進行身份認證和分配權(quán)限，并 且應(yīng)該預(yù)留接口。認證方式應(yīng)支持：1）匿名認證方式：用戶不需要任何認證，可以匿名的方式登錄系統(tǒng)。2）用戶名/密碼認證。3）IP地址認證：用戶只能從指定的IP地址或者IP地址段訪問系統(tǒng)。根據(jù)應(yīng)用系統(tǒng)使用可以對認證方式進行組合配置，

60、并且可在選定認 證方式的基礎(chǔ)上同時增加PKI/CA數(shù)字證書認證，以及特定用戶在某 個時間段訪問、累計訪問次數(shù)限制等功能。系統(tǒng)認證管理系統(tǒng)認證管理，實現(xiàn)用戶在本系統(tǒng)一次登錄后，再按照授權(quán)許可的 范圍使用的應(yīng)用系統(tǒng)或進入其它相關(guān)多個系統(tǒng)。以及用戶在其它外 部系統(tǒng)登錄后，連接到本系統(tǒng)進行用戶認證和獲得授權(quán)信息的管理。其它系統(tǒng)認證接口管理系統(tǒng)應(yīng)提供一個在其他系統(tǒng)登錄而通過本系統(tǒng)進行認證的用戶登錄 接口參數(shù)規(guī)范，以及相應(yīng)的接口處理。系統(tǒng)管理系統(tǒng)管理員權(quán)限管理系統(tǒng)應(yīng)提供創(chuàng)建、修改系統(tǒng)管理員、系統(tǒng)操作員的功能，以及設(shè)置 相關(guān)操作處理權(quán)限的功能。系統(tǒng)應(yīng)禁止對系統(tǒng)最高權(quán)限的管理員進行邏輯或物理刪除。統(tǒng)計管理系統(tǒng)