中小學智慧校園軟件解決方案技術白皮書

智慧校園軟件解決方案白皮書

目錄1. 總體框架 32. 技術路線 42.1. 編程語言 52.2. 面向對象的組件技術 52.3. 應用程序的開發(fā)與運行結構 52.4. 動態(tài)網頁生成技術 63. 信息標準和規(guī)范系統(tǒng) 64. 基礎支撐平臺 84.1. 統(tǒng)一身份認證系統(tǒng) 84.1.1. 設計要點 84.1.2. 系統(tǒng)框架 94.1.3. 統(tǒng)一授權管理 164.1.4. 單點登錄服務 254.1.5. 系統(tǒng)部署說明 384.1.6. 平臺可靠性和擴展性 404.2. 統(tǒng)一信息門戶平臺 404.2.1. 設計要點 404.2.2. 平臺框架 414.2.3. 門戶運行環(huán)境 414.2.4. 平臺主要功能 424.2.5. 平臺部署及性能說明 454.2.6. 平臺可靠性和擴展性說明 474.2.7. 平臺安全性考慮 474.3. 數(shù)據中心平臺 484.3.1. 技術路線 504.3.2. 設計要點 504.3.3. 平臺框架 524.3.4. 應用集成與數(shù)據集成 534.3.5. 數(shù)據交換機制 554.3.6. 平臺部署及性能說明 59總體框架億陽信通智慧校園總體框架如圖所示：該框架以“師生”為核心，圍繞智慧校園的資源、管理和服務三要素，依托數(shù)據中心及應用支撐平臺，重點建設校園資源中心、校園管理中心、校園服務中心應用系統(tǒng)，形成數(shù)字化的教學環(huán)境、科研環(huán)境和生活環(huán)境。技術路線智慧校園應用系統(tǒng)應采用成熟先進的技術規(guī)范，設計上盡量減少各子系統(tǒng)間的相互依賴性（包括軟件對平臺、軟件對數(shù)據、軟件對軟件、平臺對平臺等），某個子系統(tǒng)的減少、增加和變更，不影響其它子系統(tǒng)和整體，從而最大限度地保護既有投資，減少系統(tǒng)的維護量和再投入。在應用系統(tǒng)整體化、模塊化和規(guī)?；耐瑫r，保證應用系統(tǒng)在技術上、經濟上的可持續(xù)發(fā)展。億陽信通智慧校園軟件系統(tǒng)遵循如下技術路線：采用“跨平臺”的編程語言。采用獨立于開發(fā)環(huán)境的面向對象的組件技術，如EJBs(EnterpriseJavaBeans)，整個系統(tǒng)的主要“應用邏輯”由組件構成，系統(tǒng)架構提供了良好的伸縮性，使系統(tǒng)能夠輕易地組合與拆分各功能模塊。應用軟件平臺的開發(fā)及運行架構采用三層結構，即Web服務器、應用服務器和數(shù)據庫服務器，在不影響系統(tǒng)其它部分的情況下，保證了應用服務器與其它應用有效和無縫的整合，同時支持大規(guī)模的并發(fā)用戶訪問。采用模版（Template)技術生成動態(tài)網頁，為用戶提供基于角色和權限的內容和數(shù)據服務。架構實現(xiàn)采用Java語言和EJBs技術，在數(shù)據交換上支持XML，使系統(tǒng)功能最優(yōu)化，同時將系統(tǒng)內部的相互依賴性減至最低。編程語言遵循J2EE(Java2EnterpriseEdition)規(guī)范，采用Java語言和服務器端Java技術（包括EJBs、Servlet、JNDI、JDBC和RMI等）開發(fā)系統(tǒng)。Java作為Web應用的事實標準，其獨立于操作系統(tǒng)和服務器的“跨平臺性”，使其“一次編寫，到處運行”，是WEB軟件系統(tǒng)最適合的編程語言。相對于嵌入HTML、受限于用戶端顯示、編程能力有限的腳本語言，Java能力完整，可以開發(fā)具有強大“業(yè)務邏輯”的大型應用系統(tǒng)。面向對象的組件技術軟件編程由依賴于特定單機，到依賴于操作系統(tǒng)，已發(fā)展到今天面向對象的組件技術。面向對象的組件技術是一種完全獨立于硬件和操作系統(tǒng)的開發(fā)環(huán)境，著重于應用程序“業(yè)務對象”的可重復使用組件，利用這些組件，可以像搭積木一樣的建立分布式應用系統(tǒng)。面向對象的組件技術在異構、分布環(huán)境下為不同機器上的應用提供了互操作性，并無縫地集成了多種對象系統(tǒng)；另一方面，組件大大加快了軟件開發(fā)的速度，降低了軟件開發(fā)和再開發(fā)的成本。應用程序的開發(fā)與運行結構開發(fā)及運行結構基于三層架構，即Web服務器、應用服務器和數(shù)據庫服務器。運用這種架構可以：（1）將“業(yè)務邏輯”從Web服務器中分出，在應用服務器中用獨立和完整的編程語言而不是“腳本語言”開發(fā)應用程序，同時使系統(tǒng)支持任何HTML的顯示工具；（2）應用服務器可以作為數(shù)據庫訪問請求的“緩沖區(qū)”，可以重新安排、管理數(shù)據庫訪問。通過JavaServlets引擎的多線程處理，能夠極大地提高系統(tǒng)響應性能和數(shù)據庫訪問效率；（3）應用服務器可以作為與其它應用程序集成的結合點，在不影響系統(tǒng)其它部分的情況下與其它應用有效、無縫集成。動態(tài)網頁生成技術信息發(fā)布采用基于模版的動態(tài)網頁生成技術。用戶界面的版面和顯示效果由預先制作的模版實現(xiàn)，并支持任何標準化的HTML工具，嵌入模版的Java程序根據用戶的角色和權限提取相應的內容和數(shù)據，配合模版自動合成針對用戶的個性化的動態(tài)網頁。信息標準和規(guī)范系統(tǒng)信息標準是智慧校園建設的重心，是學校各信息系統(tǒng)進行數(shù)據采集、處理、交換、傳輸?shù)那疤幔彩菢嫿ㄐ聭眯枰裱臉藴?。億陽信通按以下原則建設智慧校園的信息標準：唯一性：標準采用樹形體系結構，唯一的項、唯一的路徑、唯一的編碼。規(guī)范性：充分參照國家相關最新標準、教育部《教育管理信息化標準》、北京市教委相關標準和各區(qū)縣教委相關標準。適用性：標準的制定充分考慮學校的實際情況，以應用為目標。兼容性：對標準實行版本化的維護管理。高版本兼容低版本。同一個版本，維護其不同內容的一致性。學校校內標準兼容教育部及其它管理部門的標準，方便數(shù)據上報?？晒芾硇裕合到y(tǒng)提供數(shù)據標準集、數(shù)據代碼集、自定義代碼集、數(shù)據代碼映射等提供B/S架構的可視化管理工具，具備初始化、新增、刪除、修改等維護功能，支持分類檢索、輸出、數(shù)據展示等瀏覽功能?？蓴U展性：支持標準的增加和變更，具有維護記錄和回溯功能，并且對應用該標準的業(yè)務系統(tǒng)透明。所有歷史版本可查詢，可比較差異。管理信息標準的體系結構包括以下幾個方面：一組相關數(shù)據元的集合，對數(shù)據元屬性的規(guī)范描述（又稱之為元數(shù)據標準化），屬性包含了數(shù)據項名稱、中文簡稱、類型、長度、可選性、取值范圍等。為了確保數(shù)據錄入規(guī)范、便于查找和統(tǒng)計，每個管理子集都對應著相應的標準代碼，代碼分國家標準、行業(yè)標準和學校標準。系統(tǒng)遵循國家教育管理信息系統(tǒng)互操作規(guī)范，能夠與北京市教委制定的小學應用互操作框架（簡稱CIF）無縫對接，實現(xiàn)各業(yè)務系統(tǒng)間規(guī)范的數(shù)據共享。CIF實現(xiàn)規(guī)范也定義了基于XML標準的CIF數(shù)據模型，支持小學數(shù)據對象在應用系統(tǒng)間的共享?！敖處煛焙汀皩W生”是智慧校園系統(tǒng)涉及的兩大數(shù)據對象，業(yè)務數(shù)據實體主要由這兩大對象映射產生。通過“教師”對象產生的數(shù)據實體主要有教案、作業(yè)、教學成績、教學計劃等一系列和教師教育教學活動相關的數(shù)據；通過“學生”對象產生的數(shù)據實體主要有考試成績、課堂表現(xiàn)、獲獎、畢業(yè)去向等一系列和學生學習成長相關的數(shù)據。這些數(shù)據存儲在智慧校園的數(shù)據中心，通過綜合統(tǒng)計分析，又產生大量的衍生數(shù)據，如教師分布情況、學生分布情況、考試成績綜合統(tǒng)計分析等，這些數(shù)據可以為學校的管理層提供微觀和宏觀的決策支持，使領導能夠直觀的了解各個部門乃至整個學校的運行狀況。具體數(shù)據模型框架如下圖所示：基礎支撐平臺統(tǒng)一身份認證系統(tǒng)應用系統(tǒng)如果采用各自獨立的身份認證機制，用戶就要記憶不同系統(tǒng)中的賬號/密碼。為方便師生使用，解決多應用帶來的多賬號問題，需要建立統(tǒng)一的身份管理平臺，用戶在平臺上登錄一次就可以訪問所有具有權限的應用。統(tǒng)一身份認證以IDM/IM（身份認證管理）為基礎提供安全的用戶身份管理功能，并配合AccessManager基于代理架構的訪問控制，提供Web應用的單點登錄和Web應用保護。IDM/IM都集成了DirectoryServer(LDAP)目錄服務器來存儲統(tǒng)一身份庫信息。統(tǒng)一身份認證實現(xiàn)的功能如下：1.建立統(tǒng)一的集中身份庫——統(tǒng)一身份數(shù)據中心，對各應用系統(tǒng)的所有用戶提供集中和統(tǒng)一的管理，同時根據各個業(yè)務應用系統(tǒng)的認證方式的不同提供靈活的認證機制；2.在集中身份庫的基礎上，在滿足數(shù)字校園管理平臺信息系統(tǒng)內部業(yè)務流程規(guī)則的前提下，通過身份管理技術實現(xiàn)身份庫與各個業(yè)務應用系統(tǒng)(門戶、OA、教學、教務等系統(tǒng))用戶身份信息的自動同步處理功能；3.在集中身份庫的基礎上，提供單點登錄(SSO)功能，用戶只需要通過一次身份認證就可以訪問具有權限的所有資源。集中身份庫與門戶系統(tǒng)的統(tǒng)一可以為整個平臺提供集中的管理、安全機制，實現(xiàn)整體的統(tǒng)一。設計要點支持用戶數(shù)據的集成，適應中小學用戶數(shù)據分散管理的現(xiàn)狀支持用戶數(shù)據存儲模式，適應中小學教職工多重身份的現(xiàn)狀支持多種認證方式，確保異構業(yè)務系統(tǒng)能夠集成，讓用戶獲得完整的單點登錄體驗滿足不同用戶或系統(tǒng)的認證安全需求保證身份認證平臺的高可靠性和高性能前三個需求是身份認證平臺發(fā)揮作用的基礎，而隨著應用集成的力度和廣度的加大，后兩個將是身份認證平臺必須妥善處理的問題。校園應用功能多樣、結構復雜，各應用系統(tǒng)的權限管理基本上采用分級授權的方式。身份認證平臺可以采用統(tǒng)一的權限模型，供各應用系統(tǒng)使用，相應的權限數(shù)據既可集中管理也可分布式管理。從實踐結果看，集中權限控制的效益并不明顯，建議不強求集中控制，由各應用系統(tǒng)設計開發(fā)時按需選擇。系統(tǒng)框架身份認證平臺主要包括以下三方面功能：LDAP目錄服務，支持海量用戶數(shù)據的存儲和管理高性能SSO(單點登錄)身份認證服務開放的認證集成方式，支持不同開發(fā)語言和不同應用服務器平臺的業(yè)務系統(tǒng)統(tǒng)一身份管理架構學校的各種應用系統(tǒng)通常都有自己獨立的用戶管理、用戶認證和授權機制，導致系統(tǒng)間互不兼容；學校的組織機構也不斷變化，用戶來源日趨復雜，角色多樣化和角色變化等問題不斷出現(xiàn)。各方因素交織在一起形成了一個龐大的矩陣，為統(tǒng)一的身份管理帶來了困難。如圖：針對上述問題，建立一個統(tǒng)一的，基于業(yè)界標準（如LDAP，XML，WebService，J2EE等）的，靈活、開放、可擴展性的身份管理框架是最終的解決方案。一個好的身份管理解決方案將復雜的身份管理問題變得簡單、實用。身份認證平臺核心結構如下圖所示：身份認證平臺管理用戶在各個應用系統(tǒng)中的用戶信息的對應關系，并根據這一關系管理用戶在各個應用系統(tǒng)中的生命周期，如添加、刪除、修改等。身份認證平臺的身份同步工具可以自動發(fā)現(xiàn)某個應用系統(tǒng)中用戶信息的變化并通過一定規(guī)則，保持和其它應用中的用戶信息同步。身份認證平臺的核心包括用戶信息創(chuàng)建和中止的審批流程，該流程由管理員預先定義，可以修改。當用戶帳戶的申請被批準后，用戶帳戶將根據預先定義的規(guī)則在中央主目錄服務器中創(chuàng)建，并通過資源適配器在各個該用戶可以使用的應用系統(tǒng)中產生帳戶信息。用戶帳號的中止也是同樣原理。身份認證平臺具有口令管理功能，支持口令策略管理和口令歷史記錄，支持用戶身份審計和用戶帳戶風險分析，支持用戶身份管理系統(tǒng)運行的監(jiān)測、評估。用戶數(shù)據模型身份認證平臺中的數(shù)據模型包括：1. 用戶帳號：學生、教職員工、合作伙伴、供應商等帳戶信息；2. 資源：身份認證平臺所管理的身份數(shù)據源和應用系統(tǒng)，如學生數(shù)據中心、教職工數(shù)據中心、電子郵件、一卡通、綜合網絡管理系統(tǒng)以及上網認證系統(tǒng)、VPN系統(tǒng)等，以及其它基于用戶屬性更改的應用；3. 資源組：按一定順序組織的資源，身份認證平臺將根據這一順序在應用系統(tǒng)中創(chuàng)建和刪除用戶信息；4. 組織：管理一組用戶、資源和其它對象的邏輯容器；5. 角色：用戶的工作角色，代表其職能性質，據此在資源中設置用戶的屬性；6. 管理帳戶：具有管理員權限，可以進行分級管理；7. 能力：擁有哪些權限，如口令管理員只能管理用戶的口令。下圖為數(shù)據模型圖：身份認證平臺：管理用戶訪問一個或多個資源的權限；管理用戶在這些資源上的帳戶數(shù)據；賦予用戶一個或多個角色，設置用戶訪問各種資源的權限；管理組織，決定用戶帳戶由誰和怎樣被管理。用戶數(shù)據是動態(tài)的，依賴于用戶的角色、資源和資源組。根據角色（可以是多角色）賦予的資源的數(shù)量和類型，需要不同的信息表示，也決定著創(chuàng)建用戶時的信息數(shù)量。身份認證平臺有虛擬用戶的概念，主要作用是映射用戶到多個資源，可以將一個用戶在多個應用系統(tǒng)中的全部帳戶信息作為一個實體來管理。用戶數(shù)據管理身份認證系統(tǒng)需要提供多樣化的用戶數(shù)據管理方案。用戶數(shù)據采集可以根據學校現(xiàn)狀，采用以下方式：1、集成管理著權威用戶數(shù)據的業(yè)務系統(tǒng)，依賴該系統(tǒng)進行用戶數(shù)據管理2、通過數(shù)據集成平臺雙向同步用戶數(shù)據3、通過身份認證平臺的用戶管理程序管理用戶數(shù)據身份數(shù)據集成統(tǒng)一身份認證系統(tǒng)集成用戶身份數(shù)據的過程，是通過數(shù)據交換平臺從學校的各個業(yè)務系統(tǒng)中自動抽取用戶身份數(shù)據，并加以歸納和整理，最終充實用戶身份信息庫。自動發(fā)現(xiàn)和動態(tài)同步身份認證平臺可以自動發(fā)現(xiàn)所管理資源中用戶信息的更改，并根據規(guī)則將其同步到其它資源中去。帳號和口令管理身份認證平臺提供了統(tǒng)一的WEB管理界面，可以方便地管理帳號和口令。帳號管理功能包括：用戶自注冊功能：用戶使用公共的帳號/口令登錄系統(tǒng)，然后自行注冊一個賬號/口令。帳號新建功能：外來人員如需臨時帳號，可以由管理員手工生成訪問身份，這個訪問身份通常是帳號/口令，也可通過多因子認證或數(shù)字證書實現(xiàn)。這些臨時帳號需要有效期限制，在“臨時”的這段時間內有效，過期則失效；對于可轉為正式帳號的“臨時帳號”，可自動轉換。帳號注銷功能：在一定條件下，實現(xiàn)用戶帳號的注銷。用戶帳號注銷后，所有的用戶權限失效。帳號凍結功能：暫時中止用戶的訪問權限，在用戶需要開通時可以重新恢復，這樣用戶可以繼續(xù)使用原來的帳號?？诹罟芾戆ǎ鹤灾娇诹钪刂煤屯酵ㄟ^Web瀏覽器或者IVR（InteractiveVoiceResponse，交互語音應答系統(tǒng)）系統(tǒng)來實現(xiàn)自動口令策略執(zhí)行口令歷史信息存儲口令過期通知等等。為滿足用戶個性化設置的需求，減輕管理員密碼維護的壓力，平臺提供個人密碼找回和別名登錄功能，并開放給所有用戶。個人密碼遺忘后，用戶可以在門戶認證界面上使用密碼找回功能，問題回答正確后，可以重新設置密碼；用戶登錄后，可以根據自己的習慣設置登錄別名，系統(tǒng)自動檢查別名是否重復，別名設置成功后，用戶可以使用別名進行登錄。分級管理平臺提供扁平的用戶權限模型，提供分級管理功能。應用模式系統(tǒng)缺省建立四大類身份：領導、教職工、學生、校友；各應用系統(tǒng)按需建立自己的權限組或屬性信息，也可復用其它系統(tǒng)已經建立的權限數(shù)據；權限模型支持分級授權，支持按組織架構、系統(tǒng)范圍、用戶屬性等將權限管理工作分派給多名管理員；由于本功能在實際使用中容易導致管理混亂，一般建議只按照系統(tǒng)范圍（如人事系統(tǒng)、學生系統(tǒng)等）來分級授權。用戶數(shù)據采集時，自動根據用戶的屬性和來源為其設置相應的身份。批量維護工具滿足管理員日常數(shù)據維護的需要，提供：批量導入用戶數(shù)據、組織數(shù)據批量修改和刪除人員屬性信息高級查詢功能系統(tǒng)服務的注冊和注銷在不同的人員容器間移動人員數(shù)據應用模式：教職工用戶數(shù)據通過人事系統(tǒng)數(shù)據訪問接口或用戶數(shù)據表導入；管理員定期使用該工具完成教職工用戶數(shù)據的導入；學生畢業(yè)轉為校友后，管理員通過該工具將畢業(yè)生批量轉入；系統(tǒng)運行準備階段，管理員通過該工具完成批量用戶密碼初始化。與典型應用系統(tǒng)的集成身份認證平臺的資源適配器采用服務器端的J2EE適配器，部署在身份認證服務端，即J2EE應用服務器上，然后根據所管資源的通訊協(xié)議和資源互通。對于大部分應用系統(tǒng)，無須在資源（即應用）一方安裝任何代理。這樣既對應用系統(tǒng)無影響，又避免了維護代理的工作。與LDAP目錄服務器的集成身份認證平臺和LDAP目錄服務器的集成，如SunJavaSystemDirectoryServer是通過JNDI資源適配器完成的，在資源方無須代理。與采用LDAP目錄服務的應用系統(tǒng)集成同上。身份認證平臺通過其LDAP目錄服務資源適配器和這些應用系統(tǒng)集成。與關系型數(shù)據庫應用系統(tǒng)的集成如果應用系統(tǒng)的用戶數(shù)據存儲在關系型數(shù)據庫中，應用系統(tǒng)和統(tǒng)一身份認證系統(tǒng)集成后，統(tǒng)一身份認證平臺替代了應用系統(tǒng)的身份認證功能，該數(shù)據庫中的用戶信息將主要用于應用系統(tǒng)自身的授權和策略管理。身份認證平臺主要集成關系型數(shù)據庫中的用戶信息表、權限信息表以及用戶/權限對應關系表等，在身份認證平臺上建立針對應用的數(shù)據庫資源，并制定相應的用戶信息映射和同步關系，通過該資源將相應用戶信息創(chuàng)建到數(shù)據庫中。身份認證平臺和關系型數(shù)據庫的集成是通過身份認證平臺提供的JDBC（JavaDataBaseConnectivity，Java數(shù)據庫連接）資源適配器完成的，并在資源方無須安裝任何代理。資源適配器的開發(fā)身份認證平臺為創(chuàng)建定制化的資源適配器提供了工具和文檔支持。開發(fā)工具包包括：指南性文檔資料：功能定義、README文件等Javadoc：提供身份認證平臺的API信息Jar文件：用于編譯、連接樣本源代碼等。統(tǒng)一授權管理策略與權限管理模塊是多用戶應用系統(tǒng)不可或缺的。通常，策略與權限管理模塊以應用專有的方式實現(xiàn)，系統(tǒng)的策略模型、策略存貯結構與訪問控制邏輯與應用的業(yè)務邏輯之間耦合緊密。這種方式的缺點是顯而易見的：由于策略模塊與應用邏輯之間的緊耦合使得策略模塊很難進行擴展與維護；策略模塊的設計與編碼需要很大的工作量，而且很難在不同的應用系統(tǒng)之間共享與重用。為了克服專有方式的缺點，統(tǒng)一用戶管理與認證平臺在基礎設施層提供了增強的策略服務，提供標準、通用、靈活和可擴展的策略模型，支持策略的定義、存貯、配置與判定，并與用戶管理和服務管理緊密集成。統(tǒng)一授權平臺的架構統(tǒng)一授權平臺的架構如下圖所示。圖中以灰色表示的組件是應用相關的部分，需要進行定制設計與開發(fā)；其余組件均由統(tǒng)一授權平臺提供?？傮w而言，策略與權限管理模塊的架構基于PDP/PEP模型。PDP代表策略判定點(PolicyDecisionPoint)，是策略的提供者；PEP代表策略執(zhí)行點(PolicyEnforcementPoint)，是策略的使用者。該架構中，統(tǒng)一授權管理提供PDP服務，包括策略的定義、存貯、配置與判定，這些服務通過策略判定API與策略管理API向外部應用提供；PEP是應用中根據策略判定結果執(zhí)行應用邏輯的部分。PDP與PEP之間可以通過Java/C++API或XML/HTTP通信。由于統(tǒng)一授權管理提供的策略判定結果是原始結果，為了進一步簡化應用中的策略執(zhí)行邏輯，引入應用策略判定接口，對統(tǒng)一授權管理的策略判定接口進行封裝，對原始策略判定結果作進一步加工與處理。統(tǒng)一授權管理支持通過策略主體SPI（服務提供者接口）、策略條件SPI、策略推薦SPI與資源名稱SPI進行擴展。策略的存貯結構通過LDAP中的對象類與屬性類型加以定義；策略存貯在目錄服務器中。策略模型統(tǒng)一授權管理的策略服務建立在通用、靈活和可擴展的模型上。正是該策略模型使其能在基礎設施層以一種應用無關的方式提供強大的策略服務。一般而言，作為訪問控制規(guī)則的策略描述了“誰在何種情況下針對指定服務對何種資源可執(zhí)行怎樣的操作”。在這里，“誰”是策略的主體；“情況”是策略適用的條件；“服務”是策略的上下文，“資源”與“操作”都是與該服務相關的；“資源”是策略的對象；“執(zhí)行怎樣的操作”可以表示為一系列“動作”及與之對應的“值”?；趩吸c登錄系統(tǒng)的策略模型提供了充分的表達能力，允許準確描述如上的通用策略。統(tǒng)一授權管理的策略采用XML來描述。為簡明起見，在此以半形式化的方式描述策略模型如下：常規(guī)策略::=主體集+條件集+規(guī)則集主體集::={主體}條件集::={條件}規(guī)則集::={規(guī)則}主體::=AccessManager角色集|LDAP組集|LDAP角色集|LDAP用戶集|LDAP組織集條件::=認證級別|認證方式|客戶IP|時間規(guī)則::=服務+資源名稱+動作類型-值對集資源名稱::=字符串動作類型-值對集::={動作類型-值對}動作類型-值對::=動作類型+值備注：1、統(tǒng)一授權管理的策略包括推薦策略與常規(guī)策略。由于推薦策略只是將策略推薦給對等組織或子組織進行判定，而不涉及策略的具體判定，因此此處不對推薦策略進行詳細描述。2、統(tǒng)一授權管理提供的主體插件SPI、條件插件SPI和資源名稱插件SPI允許擴展主體、條件與資源名的表達能力，上述描述中主體、條件與資源名稱只是由系統(tǒng)提供的標準實現(xiàn)。策略編程接口應用系統(tǒng)訪問身份認證平臺可以使用JavaAPI接口，也可以使用XML/HTTP接口。如果是遠程訪問，則JavaAPI接口本身也是對XML/HTTP接口的一種封裝。遠程客戶端調用策略驗證接口時的處理流程如下：(1) 應用系統(tǒng)調用JavaAPI請求策略驗證；(2) JavaAPI根據策略驗證請求生成一個XML策略驗證請求；(3) JavaAPI將XML策略驗證請求通過HTTP協(xié)議發(fā)送給系統(tǒng)的Policy服務：%protocol://%host:%port/amserver/policyservice(4) 系統(tǒng)處理策略驗證XML請求，并創(chuàng)建一個策略決策XML文檔作為應答返回給客戶端；(5) 客戶端JavaAPI接收并解釋策略決策XML文檔；(6) 應用系統(tǒng)通過JavaAPI獲取策略決策信息。從上述流程可知，策略驗證的結果是以策略決策的形式表現(xiàn)的。如果使用XML/HTTP接口，則策略決策是一個XML文檔；如果使用JavaAPI接口，則策略決策是一個Java對象。策略決策中包括一組動作決策，動作決策是關于某個具體動作的決策，其中包括：（1）動作的值：與該動作相關的決策的值；（2）有效時間（TTL）：決策值在多久時間內有效；（3）建議：該動作決策的描述信息。動作的值可以是布爾類型的，表示是與否、允許或禁止等兩值類型的動作決策；動作的值也可以是復雜類型的，如字符串、數(shù)值等，可以用來表示動作的程度、范圍等決策概念，諸如郵箱配額、折扣率等?？赡苡性S多策略適用于一次策略請求，不同的策略可能相互沖突。比如，用戶擁有的角色允許他訪問某個URL，而用戶所屬的組禁止他訪問某個URL；再比如，用戶擁有的一個角色給予他20M的郵箱配額，而用戶擁有的另一個角色給予他10M的郵箱配額。這種不同策略同時適用，而且決策值不同的情況稱為沖突。沖突的策略決策必須消解之后才能用于權限控制。系統(tǒng)是這樣消解策略決策沖突的：(1) 如果動作值的類型是布爾類型，則所有策略的決策值在執(zhí)行AND操作之后返回，返回的值是單值。也就是說，只要有一個策略的動作決策是false，則動作的決策值就為false；(2) 如果動作值的類型是復雜類型，則所有策略的決策值全部返回給應用系統(tǒng)，由應用系統(tǒng)對決策值進行進一步的沖突消解。策略的管理包括創(chuàng)建、刪除和修改策略。用戶可以通過系統(tǒng)的WEB控制臺界面或命令行界面管理策略。如果在應用系統(tǒng)中需要對策略進行管理，可以使用系統(tǒng)的策略管理API。應用策略的設計一個應用系統(tǒng)是建立在多種平臺服務之上的，并且向用戶提供多種用戶服務；而一個平臺服務也應該為多個應用系統(tǒng)使用。因此應用系統(tǒng)與服務之間是多對多的關系。由于服務是應用的組成元素，因此，授權應該是針對服務的資源而不是應用的資源來進行的。不同的服務具有不同的資源和動作類型，因此，不同的服務有不同的策略模板，該模板稱為策略方案（PolicySchema）。服務與策略方案之間的對應關系應該是一對一關系。配置策略、驗證策略是通過指定服務來指定策略方案的。一條具體策略規(guī)定了一組主體在一組條件下的一組訪問控制規(guī)則。每條規(guī)則中均指明了一個服務、屬于該服務的資源以及一組動作與值對。每個策略方案也可以被多條策略使用。因此，策略與策略方案之間的對應關系應該是多對多關系。由于服務與策略方案之間是一一對應的，因此，定義策略方案是在定義服務的同時進行的。只有當服務定義之后，才能定義與該服務相關的具體策略。從身份認證平臺服務管理的角度，服務是一組定義在一個公共名字下通過身份認證平臺管理的屬性的集合。身份認證平臺將服務作為一組屬性進行管理，而并不關心這些屬性的具體涵義。服務的屬性集合是通過一個XML文件加以定義的。身份認證平臺提供了大量的平臺服務，這些服務本身也是通過系統(tǒng)的服務管理功能加以管理的，因此，這些平臺服務也有對應的XML定義文件，并且服務的選項也是通過服務的屬性加以管理的。為了使服務能夠針對不同的用戶、角色或組織等身份實體進行定制和個性化，身份認證平臺將服務的屬性分為以下五種類型。不同類型的屬性具有不同的作用域、繼承性、用途。類型作用域繼承性用途全局整個統(tǒng)一授權系統(tǒng)不可繼承服務的全局配置組織應用于組織不可繼承服務的組織級配置動態(tài)應用于角色、用戶可繼承服務的動態(tài)配置，配置給角色的屬性自動為所有具有該角色的用戶擁有，配置給組織的屬性自動為所有該組織下的用戶擁有。策略N/AN/A與服務授權相關的配置用戶只應用于用戶不可繼承服務針對于每個用戶的個性化配置。用戶類型的屬性只對個別用戶有意義。角色與用戶組管理角色是和用戶組的概念相似的目錄服務器對象管理機制。一個組有其成員；一個角色也有其成員。在身份認證平臺中，用戶角色的權限是通過為其設定ACI（AccessControlInfromation）來控制的。訪問控制指令可以控制對整個目錄、目錄子樹、目錄中特寫條目（包括定義配置任務的條目）或特定條目屬性信息的訪問權?？梢栽O置特定用戶、所有屬于特定組或角色的用戶或所有目錄用戶的權限。還可以定義對特定位置（例如IP地址或DNS名稱）的訪問權。與條目屬性一樣，訪問控制指令存儲在目錄中。ACI屬性是一種操作性屬性，可用于目錄的各個條目，而不管是否為該條目的對象類所定義。接收到客戶端的LDAP請求時，目錄服務器使用該屬性來允許或拒絕訪問。如果有特別請求，則在ldapsearch操作中返回ACI屬性。在平臺中可以定義特定的角色，并利用ACI來控制其訪問權限。這樣做可以滿足一些特殊需求。利用組織內創(chuàng)建用戶時可以擁有默認角色的機制，可以為不同的組織創(chuàng)建不同的默認角色，這樣新建的用戶就自然擁有了這些角色所擁有的屬性和服務以及相應的權限。組代表了具有相同功能、屬性或者興趣愛好的用戶的集合。一般來說，組沒有自己的特權。組可以定義在組織機構下，也可以定義在別的受管組（ManagedGroup）內作為子組。身份認證平臺提供了組的分級管理的能力。雖然組的成員缺省來自于整個用戶樹，但是對于權限有限的組管理員來說，當他管理一個預訂組的時候，他只能把他自己能管理的用戶添加到新創(chuàng)建的預訂組中。在這里已經部分實現(xiàn)了用戶組的分級管理。在業(yè)務系統(tǒng)一級授權上，我們提供了全局權限組用于人員的初始化授權。這些組按照用戶基本身份建立（比如學生組、教職工組），作用域為整個組織樹，在人員的初始時可以按照身份加入這些全局組，從而實現(xiàn)人員權限的初始化。權限語義集成當身份認證平臺的策略服務不能滿足業(yè)務系統(tǒng)授權要求時，我們提供了一種針對業(yè)務系統(tǒng)開放的完全自由的權限語義集成機制。權限語義描述了用戶的具體應用權限，權限語義的具體描述和解析由業(yè)務系統(tǒng)負責。業(yè)務系統(tǒng)可以通過API來獲取這些語義，解析后授予用戶相應的權限。用戶數(shù)據采集功能描述針對學校用戶管理分散進行的特點，提供從權威數(shù)據源采集用戶數(shù)據，并實時更新目錄服務器中的用戶數(shù)據，提供：數(shù)據源采集點和采集周期定義數(shù)據源變化跟蹤和自動采集應用模式建立從公共數(shù)據庫平臺相關的共享數(shù)據集采集，在學生和教職工用戶數(shù)據變更(包括新增、刪除、修改)后，采集模塊自動同步更新統(tǒng)一認證用戶數(shù)據庫。用戶數(shù)據通常分散在不同的應用系統(tǒng)中。常見的情況是：人事系統(tǒng)管理人事信息；辦公系統(tǒng)管理與日常工作有關的信息；用戶的認證信息如用戶ID和密碼在各個系統(tǒng)中一般不同，由各個系統(tǒng)分散管理；用戶的基本屬性，如姓名等信息往往在各個系統(tǒng)中都存在。不同應用系統(tǒng)不但管理不同類型的用戶數(shù)據，而且也提供不同類型的數(shù)據存儲與訪問方式。傳統(tǒng)的業(yè)務系統(tǒng)一般使用關系數(shù)據庫存放用戶數(shù)據，如管理信息系統(tǒng)；互聯(lián)網應用系統(tǒng)一般使用LDAP存放用戶數(shù)據，如電子郵件系統(tǒng)。不同類型的數(shù)據存儲方式具有不同的數(shù)據存儲格式，也提供不同的數(shù)據訪問接口。用戶數(shù)據的分散存儲與管理使得共享用戶數(shù)據成為復雜而低效的任務。建立統(tǒng)一用戶管理數(shù)據庫的目的是為用戶信息的管理與使用提供統(tǒng)一的入口。統(tǒng)一用戶管理數(shù)據庫在物理上與其它應用數(shù)據源獨立，在數(shù)據上與其它應用數(shù)據源保持同步。用戶管理數(shù)據庫變更后同步到LDAP目錄數(shù)據庫。用戶數(shù)據發(fā)布功能描述為了保持各業(yè)務系統(tǒng)中用戶數(shù)據的完整性和統(tǒng)一性，向各集成業(yè)務系統(tǒng)提供用戶身份數(shù)據。應用模式對目前已有系統(tǒng)提供用戶數(shù)據更新變更同步提供用戶信息的瀏覽、排序、查詢等管理功能由于中小學用戶數(shù)據分散管理，在權威數(shù)據源變更后，其他系統(tǒng)都可通過統(tǒng)一用戶管理數(shù)據庫同步數(shù)據變更，保持數(shù)據的完整與一致批量維護工具功能描述滿足管理員日常維護數(shù)據的需要，提供：導入用戶數(shù)據和組織數(shù)據批量修改和刪除人員屬性信息高級查詢功能服務注冊與注銷在不同的人員容器間移動人員數(shù)據應用模式教職工用戶數(shù)據由人事系統(tǒng)提供數(shù)據訪問接口或用戶數(shù)據表管理員定期使用該工具完成教職工用戶數(shù)據導入在學生畢業(yè)轉為校友后，管理員通過該工具將畢業(yè)生批量轉入系統(tǒng)運行準備階段，管理員通過該工具完成用戶密碼的批量初始化個人自助服務功能描述為了滿足用戶個性化設置并減輕管理員的維護工作量，平臺提供個人密碼找回、別名登錄功能。應用模式該功能開放給所用用戶；用戶遺忘個性化設置的密碼后，可以在門戶認證界面上進入密碼找回功能，預設問題回答正確后，可以自主重置密碼；用戶登錄后，可以根據自己的習慣設置登錄別名，系統(tǒng)自動檢查別名是否重復，別名設置成功后，用戶可以通過別名進行登錄。權限模型功能描述為了適應中小學用戶多重身份和組織結構易變的特點，同時最大限度的保證用戶認證效率，平臺提供扁平的用戶權限模型。應用模式系統(tǒng)將缺省建立四大類身份：教職工、學生、領導、校友；各應用系統(tǒng)按需建立自定義的權限組或屬性信息，也可復用其他系統(tǒng)已經建立的相關權限數(shù)據；權限模型支持分級授權，方便按組織架構、系統(tǒng)范圍、用戶屬性等特征將權限管理工作逐級分派給多名管理員；該功能在實際使用中容易導致管理混亂，一般建議只按照系統(tǒng)范圍（如人事系統(tǒng)、學生系統(tǒng)等等）來分級授權。用戶數(shù)據采集時，自動根據用戶的屬性和來源為用戶設置相應的身份。認證集成功能描述滿足學校業(yè)務系統(tǒng)多元化特點，提供：支持基于認證接口、認證代理和LDAP認證的多種認證集成模式支持密碼認證支持與標準的主流Radius服務器集成預留CA認證擴展接口預留SmartCard、JavaCard認證擴展接口預留與網絡接入認證設備用戶認證模塊的集成接口，實現(xiàn)與網絡接入認證設備的認證集成應用模式業(yè)務系統(tǒng)全部采用基于認證接口的認證集成方式；用戶統(tǒng)一采用基于密碼認證的登錄方式。單點登錄服務單點登錄（SingleSignOn，SSO）通常定義為指用戶只需經過一次認證就可以訪問所有擁有訪問權限的應用系統(tǒng)。單點登錄能夠提高用戶的工作效率，減少身份認證過程中的人為錯誤，也減輕了用戶在密碼管理上的負擔，從而使系統(tǒng)更安全、更易用。身份認證平臺提供了單點登錄解決方案，用戶只需通過系統(tǒng)的認證，并且具有足夠的權限，就可以訪問所有由身份認證平臺管理的應用系統(tǒng)。統(tǒng)一認證服務是單點登錄支持的基礎，沒有統(tǒng)一認證，就沒有真正的單點登錄。校園網通常運行多個應用系統(tǒng)，為學校領導、各部門及教生提供多種服務，這樣就帶來了一個突出的問題，用戶面對多個系統(tǒng)時要記憶、輸入帳號/口令等信息，不僅煩瑣，而且容易丟失口令，一旦口令泄漏會造成不可估量的損失。單點登錄系統(tǒng)的建設目標是要解決各應用系統(tǒng)用戶名和口令不統(tǒng)一的問題，期望提供一套方便、安全的口令認證方法，讓用戶只要一個用戶名和口令就可以使用網絡上他有權使用的所有業(yè)務系統(tǒng)。設計要點單點登錄系統(tǒng)設計的要點如下：遵循LA（LibertyAlliance，聯(lián)合互信）的ID-FFV1.2規(guī)范。支持SAML（SecurityAssertionMarkupLanguage）安全性斷言標記語言規(guī)范。支持多種多級登錄認證機制，如用戶/密碼、動態(tài)口令等。支持系統(tǒng)的認證過程支持加密的認證方式。系統(tǒng)支持基于用戶UID和密碼的身份認證。提供用戶密碼加密功能，支持SSHA、CRYPT、SHA等加密算法。通過TLS（TransportLayerSecurity，傳輸層安全協(xié)議）或SSL（SecureSocketsLayer，安全套接層協(xié)議）為信息傳輸提供保密性和完整性保護。支持X.509協(xié)議，可以對數(shù)字證書、公共密鑰、數(shù)字簽名進行存儲和管理。支持跨域的單點登錄功能。系統(tǒng)原理與體系結構單點登錄系統(tǒng)的根本原理是保持用戶的會話（session）狀態(tài)。用戶經過一次認證就可建立單點登錄會話，每個單點登錄會話對應于一個令牌（token），用戶訪問應用系統(tǒng)時向應用系統(tǒng)傳遞單點登錄令牌，應用系統(tǒng)能夠根據令牌識別用戶的認證狀態(tài)，從而使一次認證能夠被多個應用系統(tǒng)認可，避免了重復認證。我們采用SunJavaSystemAccessManager（簡稱AM）作為單點登錄的底層技術平臺。根據上述原理，AM對單點登錄提供SDK級別的支持，其中包括單點登錄令牌的創(chuàng)建與驗證。以WEB應用的單點登錄為例：用戶通過AM的認證頁面進行認證，認證通過之后，平臺為該用戶創(chuàng)建一個單點登錄令牌，并將該令牌的ID通過cookie返回至用戶瀏覽器；當用戶訪問WEB應用系統(tǒng)時，單點登錄令牌ID自動通過cookie傳遞至WEB應用系統(tǒng)，WEB應用系統(tǒng)可以通過單點登錄令牌ID還原單點登錄令牌，并向AccessManager驗證單點登錄令牌是否有效。如果有效，則應用系統(tǒng)可以從單點登錄令牌獲取用戶身份信息，而不再需要用戶進行再次認證。對于C/S結構的應用，單點登錄過程是類似的，只是單點登錄令牌ID的傳遞方式不同。上述單點登錄SDK的體系結構如下圖所示：如前所述，單點登錄是通過單點登錄會話實現(xiàn)的，通過單點登錄會話保持用戶在整個平臺的認證狀態(tài)。在對用戶進行身份驗證之前，AM的會話服務先產生令牌，令牌包含一個隨機生成的會話標志并且會作為這次會話的最終標志。令牌一旦生成，AM會將它插入一個Cookie，并且頒發(fā)給用戶的瀏覽器。與此同時，AM會根據用戶所使用的驗證方式，提示不同的登錄界面，驗證方式可預先為組織、角色或單個用戶進行配置。當用戶接收到登錄界面時，同時也獲得一個會話令牌，用戶會鍵入用戶名和密碼，登錄資料被提交給適當?shù)尿炞C服務器(如LDAP、RADIUS等)，一旦用戶通過了身份驗證，AM會從cookie中提取用戶的令牌，并且將其狀態(tài)設置為有效的，接著將用戶重新定向到所要訪問的URL。單點登錄會話具有如下圖所示的生命周期：如圖所示，單點登錄會話的初始狀態(tài)是無效，表示單點登錄會話雖然已經創(chuàng)建并被分配給用戶，但用戶尚未通過有效認證。無效的單點登錄會話也通過一個單點登錄會話令牌身份，并存儲在用戶瀏覽器的cookie中。當用戶認證成功之后，單點登錄會話變?yōu)橛行顟B(tài)。該單點登錄會話仍以同一個單點登錄會話令牌身份，用戶瀏覽器中的cookie不變，只是服務器維護的會話狀態(tài)變?yōu)橛行?。單點登錄會話可以因為以下原因而銷毀：客戶端空閑時間達到最大空閑時間；會話時間達到最大會話有效時間；由于用戶登出而顯式銷毀會話；會話銷毀之后，客戶端cookie中保存的單點登錄會話令牌身份仍然存在，只是與該令牌相關的會話信息已經在AM中刪除。上述單點登錄會話的生命期由AM進行管理，會話的生命期特性可以通過配置選項進行定制。在AM中，與單點登錄會話相關的屬性是通過“會話”服務（sessionservice）進行管理的，這些可配置屬性均為動態(tài)類型的屬性，可以針對組織、角色和服務配置，并可被繼承。會話的可配置屬性如下表所示：單點登錄會話屬性說明最長會話時間（分鐘）單點登錄會話有效的最長時間，超過該時間，用戶必須重新登錄創(chuàng)建新的單點登錄會話。最長空閑時間（分鐘）當用戶沒有任何動作時，單點登錄會話有效的最長時間，超過該時間，則會話失效，用戶必須重新登錄創(chuàng)建新的單點登錄會話。最長高速緩存時間（分鐘）單點登錄會話信息在客戶端高速緩存中保存的最長時間，超過該時間，則客戶端必須訪問服務器以刷新緩存中的會話信息。通過AM的Web控制臺可以管理單點登錄會話。在Web控制臺的“當前會話”頁面顯示了當前所有有效的單點登錄會話的狀態(tài)，管理員能夠有選擇性地終止單點登錄會話。認證方式設計單點登錄系統(tǒng)采用認證方式與登錄方式分層的設計，可平滑擴展多種登錄方式，如用戶名口令、證書、智能卡等，支持多級登錄認證機制。為防止暴力破解，提供附加圖像碼的方式增加安全性。用戶認證方式認證方式單點登錄系統(tǒng)提供了多種內置的登錄方式。1、LDAP認證方式單點登錄系統(tǒng)提供的缺省認證方式。使用LDAP認證方式，用戶名與口令存儲在指定的LDAP目錄中。當一個用戶登錄時，提供的用戶名與口令若與該LDAP目錄中指定子樹中某一個用戶記錄的用戶名與口令相同，則認證成功，登錄者具有LDAP目錄中該用戶記錄對應的身份。2、自注冊認證方式允許用戶在認證時選擇“新建用戶”，并輸入用戶名與口令，建立自已的用戶帳號。隨后就可以像LDAP認證方式一樣使用用戶名與口令登錄系統(tǒng)。自注冊用戶的資料也存放在LDAP中，但可以為自注冊用戶指定不同于用戶的存放位置。3、數(shù)字證書認證方式使用X509v3數(shù)字證書，只要客戶端可以提供X509v3數(shù)字證書，系統(tǒng)允許其登錄。可以配置用戶的個人數(shù)字證書必須和目錄服務器中存儲的證書相同，并與證書回收列表（CRL）比較以確保個人證書是有效的。4、RADIUS認證方式系統(tǒng)利用外部的撥號認證系統(tǒng)作為本身的認證機制，如果用戶通過了外部撥號認證系統(tǒng)的認證，系統(tǒng)則認為此用戶認證通過。5、UNIX認證系統(tǒng)利用所安裝UNIX環(huán)境的認證系統(tǒng)作為本身的認證機制，如果用戶通過了UNIX認證系統(tǒng)的認證，系統(tǒng)則認為此用戶認證通過。6、MicrosoftWindows域認證系統(tǒng)使用Windows域認證系統(tǒng)作為本身的認證機制，如果用戶通過了它的認證，則認為此用戶認證通過。7、SafeWord認證系統(tǒng)可使用SecureComputing的SafeWord或SafeWordPremier認證服務器。單點登錄系統(tǒng)作為SafeWord服務器的客戶端，SafeWord服務器可以安裝在單點登錄系統(tǒng)的同一臺機器上，也可以安裝在另外的系統(tǒng)中。8、RSASecureID認證9、多因子認證除了上述內置的認證方式之外，平臺也提供了服務提供者接口來開發(fā)定制的認證方式。認證方式個性化不同的認證方式具有不同的安全性、易用性和部署成本，因此，針對不同的用戶群與不同的應用范圍需要對認證方式進行個性化。在單點登錄系統(tǒng)中，可以根據角色、用戶、服務指定不同的認證方式，也可以在認證時直接指定認證模塊。對于不同組織、角色和服務，可以配置個性化的認證選項。認證選項按照不同的認證方式通過單點登錄系統(tǒng)的服務加以組織。單點登錄系統(tǒng)為每種內置的認證方式定義了一個服務，并定義了一個核心認證服務，用于組織所有認證方式的公有屬性。以下分述核心認證服務與支持的配置選項以及常用認證服務的配置選項。核心認證服務支持的配置選項分為全局選項與組織選項。全局選項在整個單點登錄系統(tǒng)范圍內適用，組織選項在組織級別進行配置，只對一個組織有效。用戶認證界面用戶認證界面是單點登錄系統(tǒng)與最終用戶的接口，它負責向用戶顯示登錄表單，搜集用戶認證信息，并傳回服務器端；服務器端通過調用平臺的認證API進行認證，并為通過認證的用戶創(chuàng)建單點登錄系統(tǒng)的單點登錄會話。單點登錄系統(tǒng)提供了基于WEB的用戶認證界面，該用戶認證界面是由單點登錄系統(tǒng)動態(tài)生成的，提供了平臺中所有認證模塊的用戶界面。單點登錄系統(tǒng)的用戶認證界面是基于JATO（J2EEAssistedTake-Off）WEB應用框架創(chuàng)建的，它通過JSP和XML為用戶提供圖形化界面的交互方式。對用戶認證界面的常見客戶化工作包括對認證界面上的文字信息和圖片進行客戶化，以及對用戶認證界面進行本地化。認證界面是基于一組JSP模板和XML文件動態(tài)生成的。JSP模板定義了認證頁面的布局，XML文件是認證模塊的配置資源文件。缺省JSP模板和XML文件均位于位于IS_Root/SUNWam/web-apps/services/config/auth/default目錄下。這些文件均可修改，使得不同的組織、子組織、地區(qū)、服務/應用、客戶端類型具有不同的認證界面。認證接口設計單點登錄系統(tǒng)提供了公共的認證服務架構，對外提供多種認證接口，以及認證服務的擴展接口。基于統(tǒng)一的認證服務的應用系統(tǒng)間可以實現(xiàn)單點登錄。認證服務架構單點登錄系統(tǒng)提供的認證服務是基于JAAS（Java認證與授權服務）框架的。JAAS是Java2平臺標準版(J2SETM)1.4規(guī)范的組成部分，它提供認證與授權服務的應用編程接口與服務提供者接口，但單點登錄系統(tǒng)只使用了JAAS的認證接口。應用開發(fā)人員不直接使用JAAS，而是使用單點登錄系統(tǒng)的認證應用編程接口。單點登錄系統(tǒng)提供Java和XML/HTTP兩種應用認證接口。Java認證接口可以在本地或遠程調用。在本地調用Java編程接口直接與JAAS認證API交互，在遠程調用Java編程接口則實際通過XML/HTTP與認證平臺的認證服務交互。XML/HTTP認證接口提供了與語言和平臺無關的方式對認證服務進行遠程訪問。單點登錄系統(tǒng)的認證模塊是以插件的方式實現(xiàn)的，多種認證模塊通過JAAS服務提供者接口與單點登錄系統(tǒng)相連。這種基于插件的認證模塊實現(xiàn)方式使得單點登錄系統(tǒng)能夠支持已經廣泛應用的各種標準認證方式，也支持客戶自行定制的認證方式。下圖顯示了單點登錄系統(tǒng)認證服務的架構。應用認證接口單點登錄系統(tǒng)僅為應用程序提供兩種類型的認證編程接口。對基于Java的應用系統(tǒng)（包括基于JSP的WEB應用系統(tǒng)和基于Java的應用程序）可以使用Java編程接口；對于非Java的應用系統(tǒng)，可以使用XML/HTTP編程接口或C/C++編程接口。如果僅使用SUNAccessManagerAPI接口，存在諸多限制：1、操作系統(tǒng)限制：C/C++接口目前只能穩(wěn)定運行在Solaris系統(tǒng)中，其他主流的UNIX/Linux系統(tǒng)不支持2、XML解析復雜：對于非Java和C/C++開發(fā)的系統(tǒng)集成來說，集成應用需要編寫了解復雜的XML結構，編寫XML解析程序3、集成系統(tǒng)開發(fā)工作量大：集成系統(tǒng)采用API模式集成時不但要完成SUNAPI復雜的過程配置，還需要進行通訊多線程的處理，在雙機環(huán)境下還需要大量的編程支持動態(tài)切換4、平臺升級困難：直接采用SUNAPI集成，每個集成應用都與底層平臺緊密耦合，當平臺升級時，需要每個應用重新進行修改，無法保證整個系統(tǒng)的平滑升級。為了解決這些問題，我們采用ICE（InternetCommunicationsEngine）中間件平臺自主開發(fā)各類認證接口。ICE是一種面向對象的中間件平臺，采用了一種用于使對象接口與其實現(xiàn)相分離的基礎性抽象機制，為構建面向對象的客戶－服務器應用提供了工具、API和庫支持。在客戶機與服務器之間建立合約，描述應用所使用的各種類型及對象接口。這種描述與實現(xiàn)語言無關，所以編寫客戶所用的語言無需與編寫服務器所用的語言相同，很適合中小學的多語言集成環(huán)境。其架構圖如下：ICE認證接口是架設在集成應用和身份認證平臺之間的中間件，支持大多數(shù)的主流Unix/Linux平臺與MSWindows平臺，集成應用系統(tǒng)開發(fā)人員無需面對復雜的XML解析，只需要一個對象（類）就可以完成所有認證相關操作，ICE認證接口API是線程安全的，開發(fā)人員無需額外的付出就可以獲得高效的多線程功能。在架構上ICE接口的存在使得各個集成應用和統(tǒng)一身份平臺是非緊密耦合，在代碼層統(tǒng)一身份平臺的對外接口升級變化將不會影響到各個集成應用，增加了整個系統(tǒng)的穩(wěn)定和擴展性。同時ICE也支持統(tǒng)一身份認證平臺的雙機熱備模式，能夠動態(tài)進行切換，集成應用無需付出額外工作考慮平臺狀態(tài)問題。ICE認證接口增加了系統(tǒng)監(jiān)控功能，通過配置，可以在系統(tǒng)出現(xiàn)問題時發(fā)郵件通知系統(tǒng)管理員。我們的架構為應用開發(fā)者提供諸多重要優(yōu)勢：面向對象的語義ICE“在線路上”完全保留了面向對象范型。所有的操作調用都使用遲后綁定，所以操作的實現(xiàn)的選定，是根據對象在運行時的（而不是靜態(tài)的）實際類型決定的。支持同步和異步的消息傳遞ICE提供了同步和異步的操作調用和分派，通過ICEStorm提供了發(fā)布－訂閱消息傳遞機制。這樣，可以根據應用的需要來選擇通信模型，而不必把應用硬塞進某種模型里。支持多個接口通過facets，對象可以提供多個不相關的接口，同時又跨越這些接口、保持單一的對象標識。這提供了極大的靈活性，特別是在應用發(fā)生演化，但又需要與更老的、已經部署的客戶端保持兼容時。機器無關性客戶機及服務器與底層的機器架構屏蔽開來。對于應用代碼而言，像字節(jié)序和填充這樣的問題都隱藏了起來。語言無關性客戶和服務器可以分別部署，所用語言也可以不同?？蛻艉头掌魉玫腟lice定義建立兩者之間的接口合約，這樣的定義也是它們唯一需要達成一致的標準。實現(xiàn)無關性客戶不知道服務器是怎樣實現(xiàn)其對象的。這意味著，在客戶部署之后，服務器的實現(xiàn)可以改變，例如，它可以使用不同的持久機制，甚至不同的程序設計語言。操作系統(tǒng)無關性ICEAPI完全是可移植的，所以同樣的源碼能夠在Windows和UNIX上編譯和運行。線程支持ICE運行時環(huán)境完全是線程化的，其API是線程安全的。作為應用開發(fā)者，除了在訪問共享數(shù)據時進行同步，無需為開發(fā)線程化的高性能客戶和服務器付出額外努力。傳輸機制無關性ICE目前采用了TCP/IP和UDP作為傳輸協(xié)議?？蛻艉头掌鞔a都不需要了解底層的傳輸機制，可以通過一個配置參數(shù)選擇所需的傳輸機制。位置和服務器透明性ICE運行時環(huán)境會負責定位對象，并管理底層的傳輸機制，比如打開和關閉連接?？蛻襞c服務器之間的交互顯得像是無連接的。如果在客戶調用操作時，服務器沒有運行，你可以通過ICEPack讓它們隨需啟動。服務器可以遷移到不同的物理地址，而不會使客戶持有的代理失效，而客戶完全不知道對象實現(xiàn)是怎樣分布在多個服務器進程上的。安全性通過SSL強加密，可以使客戶和服務器完全安全地進行通信，這樣，應用可以使用不安全的網絡安全地進行通信。你可以使用Glacier穿過防火墻，實現(xiàn)安全的請求轉發(fā)，并且完全支持回調。內建的持久機制使用Freeze，創(chuàng)建持久的對象實現(xiàn)變成了一件微不足道的事情。ICE提供了對高性能數(shù)據庫BerkeleyDB的內建支持。認證頭目前我們已經實現(xiàn)了對JSP、ASP、PHP、Java、C、C#、VB等多種語言的接口，并可方便的擴展對Python、Ruby、C++等語言的支持。集成應用系統(tǒng)的環(huán)境包含IBMWebSphere、Domino、Tomcat、Apache等主流服務器。提供適用主流開發(fā)語言的認證接口，包括Java接口、PHP接口、COM接口，該集成模式只要求各系統(tǒng)簡單修改認證部分，就可以具備以下功能：校驗當前用戶是否是統(tǒng)一身份認證平臺合法用戶。如果用戶身份不合法則跳轉到登錄頁面。如果用戶身份合法則無需登錄，直接訪問集成應用。將用戶屬性信息傳遞給集成應用。代理認證對于中小學中不易改造的應用系統(tǒng)，可以引入代理集成機制，被集成的應用系統(tǒng)無需更改即可實現(xiàn)單點登陸功能。代理認證是嵌入到目標系統(tǒng)中的程序，可以在不改動原有應用代碼的前提下實現(xiàn)如下功能：校驗當前用戶是否是統(tǒng)一身份認證平臺合法用戶，并判斷是否有權訪問請求的應用；如果用戶身份不合法則跳轉到登錄頁面；如果無權進入此應用則出現(xiàn)拒絕進入的頁面；如果用戶身份合法則無需登錄，直接訪問集成應用；將用戶屬性信息傳遞給集成應用。LDAP認證對于中小學中高并發(fā)認證型應用的集成需求，比如選課系統(tǒng)，我們針對這種類型系統(tǒng)的特點開發(fā)了LDAP的接口，支持標準的LDAPV3協(xié)議，能夠滿足短時間內上萬人次的認證，并具有高穩(wěn)定性。目前LDAP接口支持JAVA/C/PHP/.Net等開發(fā)環(huán)境。實現(xiàn)如下功能：校驗用戶名/密碼；獲取用戶屬性信息?？缬騿吸c登錄和聯(lián)合互信采用聯(lián)合互信(LibertyAlliance)的FederationSSO標準實現(xiàn)跨域的SSO。我們前面所描述的單次登錄解決方案，都是建立在同一個廠商提供的解決方案的基礎上，例如AM實現(xiàn)跨系統(tǒng)的單次登錄。但是，在現(xiàn)有的學校中，有可能會有來自于不同廠商的網絡身份管理方案；另外，學校也不可避免地需要和學校外的應用系統(tǒng)交互，此時，跨不同廠商的應用系統(tǒng)間的單次登錄就會成為一個問題。許多身份與策略服務，包括身份認證、單點登錄和用戶自定義，都是聯(lián)合互信項目正在舉行的標準化行動的主題。其目的是產生聯(lián)合身份系統(tǒng)。聯(lián)合身份系統(tǒng)確保合適的方面而不是一個中心機構來對重要個人信息的使用進行管理和分配。聯(lián)合互信項目是一個商業(yè)聯(lián)盟，其組建目的是提供和支持一個因特網身份解決方案，以一種開放、聯(lián)合的方式，實現(xiàn)單點登錄。聯(lián)合互信有三大目標：允許個人用戶和機構保證個人信息的安全。使用多家提供者的分散認證和開放授權，提供通用、開放的單點登錄標準。為橫跨所有網絡設備的網絡身份提供一個開放標準。聯(lián)合身份實現(xiàn)了聯(lián)合商務的開發(fā)，這還可以讓企業(yè)為學?；蜃罱K用戶帶來更多的方便、選擇，并讓他們更好地控制自己的身份。另外，聯(lián)合身份模型允許學?；蛴脩艄芾碜约旱臄?shù)據。例如，某用戶在學校的UID為109886，而在網絡招聘系統(tǒng)中的UID為120821363。學校的網絡身份管理系統(tǒng)采用我們的單點登錄系統(tǒng)，網絡招聘系統(tǒng)采用的是另外廠商的方案，當在這兩個系統(tǒng)中實現(xiàn)SSO時，如果對方同AM一樣，符合聯(lián)合互信的SAML規(guī)范，跨系統(tǒng)的SSO就可以實現(xiàn)。單點登錄系統(tǒng)遵循LibertyAlliancePhase2和SAML1.1規(guī)范。它對這些標準的支持幫助創(chuàng)建了一個既簡便易用又與現(xiàn)有系統(tǒng)兼容的聯(lián)合框架及驗證共享機制。系統(tǒng)部署說明身份認證平臺支持雙機或多機運行模式，一方面能夠保證系統(tǒng)的可靠性，另一方面也能夠保持良好的擴展能力，支持如下圖的部署架構：根據實際測試情況，身份認證平臺的處理能力主要取決于處理器數(shù)量和內存數(shù)量，系統(tǒng)完全可以滿足20萬用戶的數(shù)據存儲要求(20萬*0.5M/用戶=100G存儲容量)，并可以保持較高的處理性能，平均延時小于1秒，完全能夠保證同時有超過5000(5000*1M/用戶=5G內存容量)的用戶同時在線使用。建議采用以下系統(tǒng)安全措施提高系統(tǒng)安全性：安全分類安全措施主機安全支持身份認證平臺管理員賬號和操作系統(tǒng)分離支持Unix、Linux等安全性高的操作系統(tǒng)傳輸安全支持HTTPS的加密傳輸機制訪問安全身份認證平臺為各接入系統(tǒng)開設不同的訪問用戶可以設置數(shù)據同步服務對權威數(shù)據源的訪問賬號的讀寫權限建立對用戶的登錄和注銷行為的系統(tǒng)日志，可以跟蹤非法用戶的入侵和合法用戶的非法攻擊系統(tǒng)只使用以下端口：系統(tǒng)管理端口58080，LDAP訪問端口389，認證服務器端口20000存儲安全所有用戶口令采用高安全不可逆加密存儲所有涉及到對其他數(shù)據庫訪問的賬號配置采用加密存儲安全管理支持用戶數(shù)據在線備份，和系統(tǒng)快速恢復支持用戶口令強制定期變更平臺可靠性和擴展性為確保系統(tǒng)7*24小時運行，可采用雙機運行模式，一臺服務器停止運行后，另外一臺服務器能夠不間斷自動切換，不影響業(yè)務系統(tǒng)的正常運行。同時在硬件層通過RAID1保證所存儲用戶身份數(shù)據的可靠性，并在系統(tǒng)管理上支持用戶身份數(shù)據的在線備份和備份數(shù)據的定期遠程上傳，保證在硬件層故障時，管理員可以快速進行系統(tǒng)整體恢復。平臺的數(shù)據存儲可以根據實際數(shù)據量通過擴充主機磁盤容量的方式進行擴展。統(tǒng)一信息門戶平臺統(tǒng)一信息門戶平臺（Portal），就是將各種應用系統(tǒng)、數(shù)據資源和互聯(lián)網資源集成到一個信息管理平臺之上，它把分立系統(tǒng)的不同功能有效地組織起來，為各類用戶提供一個統(tǒng)一的信息服務入口，并提供高可配置的功能，提供WEB網站頁面風格、布局、內容等方面的定制工具。設計要點智慧校園涉及教務、人事等多個業(yè)務系統(tǒng)，每個業(yè)務系統(tǒng)都會提供用戶不同的信息服務，而且在各系統(tǒng)中也存在多個應用子系統(tǒng)，每個子系統(tǒng)也都會提供不同的服務界面。為提高易用性和一致性，需要在校內建立統(tǒng)一的信息服務門戶平臺，通過該平臺重點解決以下幾方面的問題：統(tǒng)一信息門戶平臺重點解決以下幾方面的問題：（1）提供符合師生使用習慣的高效、可靠的平臺；（2）提供符合通用標準的、可持續(xù)升級的框架；（3）提供各種WEB應用系統(tǒng)與門戶系統(tǒng)集成的手段，完成不同應用系統(tǒng)的界面集成；（4）提供安全的憑證登錄手段，用于實現(xiàn)對外部系統(tǒng)和內部無法改造系統(tǒng)訪問時的單點登錄；（5）提供滿足用戶個性化使用需求的界面自定義功能；（6）提供門戶應用開發(fā)框架、工具的支持，解決學校一些非系統(tǒng)級應用的快速實現(xiàn)要求。平臺框架信息門戶平臺架構如下：從功能上來看信息門戶平臺有六大部分組成：門戶基礎框架，提供標準的運行和開發(fā)框架應用集成插件，用于滿足校內外各類WEB應用的界面集成需求內容管理模塊，提供統(tǒng)一的內容采編、審核和發(fā)布管理個人服務模塊，用于滿足師生用戶個人資料管理的服務需求公共服務模塊，用于滿足面向公眾的信息互動和共享需求協(xié)作服務模塊，用于滿足人員之間、業(yè)務之間協(xié)同工作的需求門戶運行環(huán)境提供符合Portlet1.0規(guī)范的門戶運行支撐框架；提供標準的Portlet開發(fā)接口，支持門戶應用的快速開發(fā)；提供頻道、欄目、頁面、內容的管理功能，用于管理員創(chuàng)建不同主題的缺省網站；需提供個性化定制界面功能，支持管理員對界面的配置，在界面中修改布局、樣式、欄目和欄目的位置，同時支持個人用戶自主管理自己的缺省界面；提供對Portlet應用的在線部署，在不影響已有應用運行的情況下加載新應用，或對已有應用進行更新和卸載；提供分類Cache監(jiān)控管理功能，管理員可以有針對性的監(jiān)控Cache使用狀況；提供單點登錄服務，集成統(tǒng)一身份認證及權限管理平臺；提供信息門戶備份和恢復的功能，保障系統(tǒng)的可靠運行；提供日志、審計、監(jiān)控、統(tǒng)計分析功能。平臺主要功能應用管理模塊信息門戶平臺提供了完善的應用管理工作，包括應用注冊、應用信息管理和應用負載管理。應用注冊：在門戶內注冊新的應用。應用只有在門戶注冊后，用戶才能夠通過門戶訪問；門戶支持portlet應用系統(tǒng)在信息門戶的注冊和管理，供用戶使用。應用信息管理：管理應用系統(tǒng)的相關信息，如管理員、有效期等。應用負載管理：信息門戶基于應用服務器集群環(huán)境實現(xiàn)負載均衡管理，可部署多個平臺實例，支持大規(guī)模用戶訪問。系統(tǒng)監(jiān)控：監(jiān)控系統(tǒng)訪問信息，提供系統(tǒng)日志，方便管理員有效量化管理。應用集成套件URL資源管理插件，提供對URL資源類和資源明細的維護和授權，基于所維護的URL資源管理，可以靈活定義不同的URL資源顯示欄目，用于支持不同應用系統(tǒng)的菜單級集成；IFrame集成插件，支持嵌入其它系統(tǒng)的頁面，用于實現(xiàn)和其他網站界面的無縫集成，并可以控制集成后欄目的表現(xiàn)形式；WebClipping集成插件，可以對應用服務器訪問到的頁面進行區(qū)域裁剪，裁剪后的內容作為門戶的欄目進行統(tǒng)一管理；URL集成插件，支持服務器級的高效集成，包括對網站或其他門戶欄目的集成；RSS集成插件，支持自動從其它符合RSS（ReallySimpleSyndication，簡易信息聚合）規(guī)范的網站或門戶采集到需要的數(shù)據，并定義相應的展現(xiàn)方式；憑證登錄插件，支持用戶實現(xiàn)對外部網站或內網不能實現(xiàn)身份集成網站的單點登錄功能；JSP編輯器插件，對數(shù)據庫查詢進行安全封裝，支持在線JSP編輯，供開發(fā)人員和管理員快速開發(fā)一些數(shù)據庫查詢發(fā)布應用。個性化Web桌面提供欄目管理功能，支持管理員增加新的欄目，修改或刪除已有欄目，同時提供欄目分組管理功能用于方便管理員對欄目的管理；提供欄目授權功能，支持管理員實現(xiàn)按欄目授權給用戶組或用戶的功能；提供內容頁管理功能，用于管理員創(chuàng)建不同主題的內容頁，同時支持二級內容頁的定義；提供頁面風格擴展功能，支持管理員靈活擴展用戶可選擇的頁面風格；提供最終用戶個性化定制功能，最終用戶可以自主選擇頁面風格，并自主定義自己的內容頁；提供站內搜索服務，支持最終用戶可以通過關鍵字和內容進行搜索。內容管理子系統(tǒng)內容分類設置，提供內容類的內容屬性、顯示風格設置，并支持分級管理，由分級管理員完成子類的管理；審批流程定義，提供管理員根據不同內容分類定義審批流程，以滿足不同類型內容的不同審批權限和審批級別；內容編輯功能，提供所見即所得的編輯方式，支持在線編輯、本地編輯和引用鏈接三種，滿足不同場景下的內容快速錄入需要；內容審批功能，提供審批人員待審批內容列表，對于每項審批內容可以直接修改，也可以使用批注，以提高審批效率；內容發(fā)布功能，對于通過審批的內容，發(fā)布負責人可以設置發(fā)布的有效期，支持預發(fā)布和實時發(fā)布；內容歸檔功能，根據所發(fā)布內容的特征，由系統(tǒng)自動進行歸檔存儲，并對所歸檔內容提供查詢和統(tǒng)計；可與學校主頁有機整合，共享新聞、通知、公告等網站信息；支持整合學校各部門的二級門戶網站，構建獨立門戶。個人服務子系統(tǒng)個人記事本，為用戶提供網絡記事服務。并提供查詢、搜索功能；個人文件夾，根據個人權限分配網絡空間，用于上傳、下載、檢索個人電子資料，并可以按文件或目錄授權給好友或指定用戶共享；建議學生每人分配200M空間，教師可以分配1G空間；個人相冊管理，提供相片數(shù)據的上傳、維護，提供圖片按比例在線瀏覽，同時用戶可以按相片文件或目錄授權給好友或指定用戶共享；新聞瀏覽器，提供RSS新聞瀏覽服務，自動收取各新聞網站的RSS新聞內容；個人收藏夾，提供給普通用戶使用，用戶可以在網上管理可用的網絡書簽資源；個人主頁（博客），提供給每個用戶一個個人主頁空間，用戶可以發(fā)表文章、評論、標簽等Web內容。公共服務子系統(tǒng)公共信息服務，提供校內公告通知、網上調查，天氣預報、出行查詢等；網上投票，提供網上投票定義、按用戶組授權功能，調查表格可按需擴展，并提供圖形化統(tǒng)計和分析功能，用于收集特定群體對特定問題的看法，可按權限發(fā)布詳細投票信息；圖文廣告，提供多種表現(xiàn)形式的廣告管理，用于基于門戶發(fā)布各類廣告信息；公告管理，提供管理員和授權人員依據通用的模式維護公告列表和公告內容，同時提供按列表的批量公告發(fā)布和單條目的公告發(fā)布。協(xié)作服務子系統(tǒng)日程管理，提供用戶行程日歷，在日歷上實時標識每日工作安排，同時提供對外服務接口，實現(xiàn)和其他業(yè)務系統(tǒng)行程安排整合；待辦事宜，為登錄用戶提供待辦任務提醒和管理，提高網上工作協(xié)作能力；網絡留言，通過該服務實現(xiàn)網絡留言和答復功能，解決個人不在線時的工作協(xié)作。平臺部署及性能說明信息門戶平臺部署在標準J2EE應用服務器之上，支持在單臺服務器上的垂直擴展、在多臺服務器的上水平擴展，垂直擴展可以提高系統(tǒng)運行的可靠性，水平擴展可以線性提高性能，如下圖所示部署架構：基于上述結構，系統(tǒng)在以下測試環(huán)境中的性能情況如下：測試環(huán)境環(huán)境說明網絡環(huán)境在實驗室局域網內，網絡帶寬100M硬件環(huán)境服務器：2CPU主頻3.2GXeon、2GRAM客戶端1：2CPU主頻為1.6GXeon、4GRAM客戶端2：1CPU主頻為2GP4、512MRAM操作系統(tǒng)服務器操作系統(tǒng)為：RedHatAS3.4客戶端操作系統(tǒng)為：Win2000系統(tǒng)軟件數(shù)據庫：Oracle10g應用服務器：WebSphere6.0ND測試方法在2分鐘內仿真200用戶持續(xù)訪問門戶指定頁面，頁面內容為194K測試結果根據上述測試結果，在單臺2顆Xeon3.2GCPU、2GRAM的PC服務器平臺上，門戶服務器平均處理能力能夠達到132.11RPS；100個并發(fā)訪問時，每秒可處理50個訪問請求，平均響應時間1.9秒，在2分鐘內可以處理15000次以上的用戶訪問請求，頁面訪問速度小于3秒，并發(fā)用戶支持2000人，在線用戶支持2萬人。平臺可靠性和擴展性說明信息門戶平臺采用以下技術保證系統(tǒng)的可靠性和可擴展性運行：支持在一臺應用服務器內部的垂直擴展，可以根據應用服務器內存狀況，同時創(chuàng)建多個服務實例，在一個服務實例故障時，其他服務實例能夠自動接管相應的用戶訪問請求支持在多臺應用服務器之間實現(xiàn)水平擴展，并可以根據各服務器的處理能力設置相應的負載權重，在一臺服務器故障時，其他服務器能夠自動接管相應的用戶訪問請求支持門戶單個應用的在線加載和更新，某個應用出現(xiàn)問題時，可以在服務不停的情況，實現(xiàn)對該應用的更新平臺安全性考慮安全分類安全措施網絡安全支持應用服務器部署在內部網絡，通過HTTPServer提供對外訪問主機安全門戶系統(tǒng)管理員可以配置為統(tǒng)一身份認證及權限管理平臺中的指定用戶，不存在對操作系統(tǒng)用戶的依賴支持對門戶系統(tǒng)管理員賬號強制定期變更支持Solaris,Linux等安全性高UNIX操作系統(tǒng)傳輸安全支持HTTPS的加密傳輸機制訪問安全對統(tǒng)一身份認證及權限管理平臺的訪問賬號是受限賬號對相關數(shù)據庫的訪問賬號是受限賬號系統(tǒng)只使用J2EE服務器標準端口存儲安全所有涉及到對其他數(shù)據庫(系統(tǒng)庫、業(yè)務庫、共享庫)的訪問的賬號采用加密存儲對統(tǒng)一身份認證及權限管理平臺的訪問賬號采用加密存儲對于采用憑證登錄和憑證登錄的Portlet應用,其登錄憑證采用加密存儲數(shù)據中心平臺數(shù)據中心建設可以分為三個階段，第一個階段主要是公共數(shù)據庫的建設，其目標是集成學校現(xiàn)有和即將建設的應用，標準化學校的相關數(shù)據，提供部分針對具體業(yè)務的查詢和報表。第二階段主要是數(shù)據庫應用建設，其目標是對學校的數(shù)據資產進行盤活，提供面向全局的數(shù)據展示服務。第三階段主要是數(shù)據倉庫建設，其目標是根據學校的具體需求和數(shù)據情況提供高層次的數(shù)據服務，加強學校的核心競爭力。公共數(shù)據庫平臺的建設須依據數(shù)據中心整體架構，考慮未來數(shù)據應用需求，建設一個面向未來的、先進的數(shù)據平臺。數(shù)據中心實現(xiàn)數(shù)據存儲、數(shù)據交換、數(shù)據服務、數(shù)據處理功能，主要為學校的數(shù)據集成與應用提供一個綜合性的支撐平臺，數(shù)據中心應基于學校的具體需求建設，面向學校的綜合信息服務，為未來構建新的業(yè)務應用提供強大的數(shù)據平臺和服務平臺。智慧校園系統(tǒng)的數(shù)據交換系統(tǒng)將通過CIF（客戶信息系統(tǒng)）傳輸層（JMS接口，JAVA消息服務接口）的數(shù)據交換方式在區(qū)域內、代理之間通過兩種方式共享數(shù)據：發(fā)布/訂閱和請求/應答。代理將訂閱者感興趣的數(shù)據變化（CIF_Event消息）發(fā)送給區(qū)域綜合服務，從而實現(xiàn)發(fā)布過程。代理也可以向區(qū)域綜合服務發(fā)送CIF_Request消息，請求應答結果，最后將收到一個或多個CIF_Response應答消息，實現(xiàn)與教育資源網、CMIS系統(tǒng)、教委體系原有應用系統(tǒng)或機構信息系統(tǒng)、新構建的應用系統(tǒng)之間進行快速、安全的數(shù)據交換。如下圖所示：數(shù)據中心建設重點分為以下三個方面：建設全局數(shù)據集成與應用集成中心數(shù)據中心以數(shù)據的集成與應用的集成為目標構建綜合性的學校應用中心，使業(yè)務系統(tǒng)完成從以技術為中心向以數(shù)據為中心的方向轉變。提供多角度、多層次的數(shù)據服務數(shù)據中心基于開放的標準與規(guī)范，通過OLTP（聯(lián)機事務處理）、OLAP（聯(lián)機分析處理）數(shù)據處理相結合的手段實現(xiàn)各種數(shù)據服務，使學校業(yè)務和管理系統(tǒng)在戰(zhàn)略層面、戰(zhàn)術層面、操作層面、運營層面都能為相關各類用戶提供更好的支持和服務。保護投資，增強現(xiàn)有應用數(shù)據中心對現(xiàn)有的信息技術資產具有兼容性，可以保護已有投資、避免重復構建，提供對專有系統(tǒng)的集成能力，提高已有系統(tǒng)和新系統(tǒng)的可靠性、模塊化、可擴展性、可伸縮性和穩(wěn)定性。技術路線數(shù)據交換平臺是智慧校園核心技術支撐平臺的重要組成部分，是整個系統(tǒng)的信息傳輸、信息交換總線。通過數(shù)據交換平臺將各業(yè)務系統(tǒng)數(shù)據庫中需集成的數(shù)據自動上傳到共享數(shù)據庫中，并按各業(yè)務系統(tǒng)的訂閱需