校园信息门户建设的一点理解

用户信息
7 8
c取 oockoioek_iien信f 息
LDAP Server Cookie Server
基于RBAC的访问控制
目前在校园网内，对于应用的访问控制是采用地 址屏蔽技术和用户授权认证相结合的方法来实现的。 通过地址屏蔽，实现对于不受信网段的拒绝访问服务。 通过用户认证，实现具有合法身份的用户才能访问某 些资源服务。以上方法都是以校园网内的单个应用， 单个独立业务服务为背景的。
OA系统
部门数据
管
、
部门数据
理 部门数据
保
统一认证
障
机构管理
校园信息门户架构
EAI
系 统 接 口
（ ）
WEB浏览器
移动客户端，其他终端
校园信息门户网站
子站1
子站2
子站3
子站n
教务管理
人事管理
科研管理
学生管理
招生管理
其他子系统
决策查询 用户管理
权限管理 安全管理
数据集成 配置管理
报表生成 内容管理
文件交换
校园信息门户建设的一点理解
中南大学网络中心 2004年12月
门户理解 门户构架 我们工作 一点体会
概念理解
信息门户是对内部资源的整合，以提高资 源的利用效率。我们常见的门户有企业信息门 户、政府信息门户。
校园信息门户是对校内资源的整合，以提 高资源的利用效率，也是未来目前校园网资源 建设的一个新的发展方向。信息门户涉及 Portal技术、内容管理、信息检索、应用集成、 单点登录和访问控制等多方面的技术。
通过采用访问控制,实现用户对于门户网站及其 应用的不同访问控制。
RBAC模型
资源
权限 a
角色1
资源 资源
权限 c
权限 b
权限 d
角色2
用户 1 用户 2 用户 3 用户 4
RBAC模型有效地克服了传统访问控制技术中存在的不足之 处，可以减少授权管理的复杂性，降低管理开销，而且还能为管 理员提供一个比较好的实现安全政策的环境，是实施面向企业的 安全策略的一种有效的访问控制方式，这种策略是对自主访问控 制(DAC)和强制访问控制机制(MAC)的改进。
JDBC
接入层
安
业务逻 辑层
全
平
通用组 件层
台
数据访 问层
关系型数据库
文件系统
XML
数据层
基于总线的可扩充式体系结构
消 息 服 务 器
(MB)
业务子系统
消 息 总 统一认证 线
机构管理
应用总线(AB)
决策查询 用户管理
权限管理 数据集成 安全管理 配置管理
报表生成
内容管理
数据库
信息总线(IB) 适配器
其他系统
LDAP
文档 （XML、
TXT、 Properties）
应用 管理 部署 工具
功能 组件 管理 部署 工具
门户理解 门户构架 我们工作 一点体会
总体图示
Browser
Internet
校内用户 WAP
无线通信网
短信
综合查询
信息挖掘
统
决策支持
数据集成
一
身
认
证
通用服务
内容管理
式中[]表示可选的意思，该公式表明，一个用户组可以定义为数个
用户及其它用户组的组合。设系统定义了q个角色组分别为R1、R2、 …Rl…..Rq。角色为业务与其他角色的组合，表达为：
Rl=[A1][∪A2][∪…][∪An][∪R1][∪R2][∪…][∪Rk-1][∪Rk+1][∪…][∪Rq]
该式表明，一个角色组何以定义为数个角色及其他角色组的组合。
跨域认证流程
1 2
重ht定tp5向请r到e求diarpepc11t.0cto应om用ap返p.回cowmith
cookie
用户
4 w重it3定h 重向co定到ok向aipeApp.pc1o.mcom

9 cookie + c6oockioeo_kiinef标号 Login Server
b Cookie e Cookie_inf
2 认证服务
应用A WEB 认证服务器 应用B WEB
7 Cookie + Cookie_inf
3
用户名/密码 4 结果
c6d5取 登c结 c记 ooo果 o结 kkie果 ie__ininff
Ldap Server Cookie Server

RBAC模型的具体实现
在具体实现过程中，对于每个用户，其权限表达过程如下：
用户U1、U2…Uj……Um，业务A1、A2…Ai……An,用户组分别为G(G1)、 G2….Gk…..Gp。 用户组为用户和其他用户组的的组合，表达为：
Gk=[U1][∪U2][∪….][∪Um][∪G1][∪G2][∪…][∪Gk-1][∪Gk+1] [∪…] [∪Gp]
学校的机构的层次结构来构建整个用户管理体系
校园门户网站
身份认证
二次鉴权
用户维护
认证服务器
用户信息 Ldap Server
用户
认证服务 注册服务 用户接口 Cookie_inf
Cookie Server
业务系统A
身份认证
二次鉴权
单点登录系 统认证流程
1 用户8名co/密ok码ie + 数据
用户
f 应 a u用rl+Cookie
为了提高信息服务水平，满足不同用户的信息需求， 信息服务提供方式的转变（学生、教职工、领导、 潜在用户）。 通过校园信息门户的建设，通过对校内资源的 整合，是发挥部门信息系统合力的有效方式。
门户理解 门户构架 我们工作 一点体会
基本平台选择
目前可供选择的平台 架构有Mircosoft .net 和 J2EE， 但从系统的复杂度、 厂商的支持程度、多平台 的支持，因而校园信息门 户建设采用J2EE平台架构。
我们的方法
采用J2EE + LDAP 能实现跨域认证信息共享 支持Web Services技术架构，使得系统更具有通
用性，其它业务子系统进行身份认证。 具备灵活和方便的使用模式，使用者可以通过多
种方式自由的使用统一身份认证服务。 提供后台管理功能，系统管理员可以方便的对用
户进行管理。 所有用户的管理采用树状结构来表示，可以根据
基于LUCENCE的全文搜索引擎
采用开源代码LUCENCE，然后进行封装和二次开发： 实现基于内容的搜索，也可以指定查网页某一部分的内
容。 支持基于AND 和OR 的组合查询，在结果中查询的用户查
询定置功能。 管理员可以通过WEB定义要搜索的站点。 在统一的搜索界面上，用户可以选择所有站点查询及某
统一认证 社区系统
· 投票调查 · 在线聊天 · 论坛系统 搜索引擎 短信平台 网站挖掘 个性化信息服务 广告服务
模板管理
系统管理
集成系统
· 可视化制作 · 模版组管理 · 模板配置 · 模板审核 · 模板更换
· VOD视频点播 · OA系统 · 大容量邮件系统 · 入侵检测 · 数据集成
栏目管理
· 分级栏目 · 权限继承 · 栏目定义 权限管理
INTERNET信息非常丰富，希望扩充信息资源， 同时也了解同行业者的最新动态，满足不同用 户的个性化信息需求的需要。 用户自定义感兴趣的需要挖掘网站。 系统包括训练与采集两个过程，训练过程是获 取用户的兴趣模型，采集过程是给用户推荐感 兴趣信息的过程。 支持与内容发布系统的接口，将采集结果有选 择性的发布到网站平台上。 对于采集结果支持用户参与。
部门数据信 息
部门业务系 统
统一身份认证（SSO）
统一校园用户身份，解决用户在校园 信息门户不同的应用之间需要多次登录的 问题。
目前方法
一种是建立在PKI，Kerbose和用户名/口令 存储的基础上 ；一种是建立在cookie的基础上， 如IBM Websphreer , Bea WebLogic和国内金蝶 公司Apusic的应服务器都支持的SSO认证都属于 这种认证方式。在这两种方式中，各有不足， 前者需要安装专门的客户端，因而面向的用户 对象是有限的，而后者授权方式只能支持本产 品系列的应用，而对第三方的认证和权限系统 不能很好的集成。
RBAC模型扩展
资源
角色
资源 角色
资源
角色 资源
用户组 用户
用户组
用户组
用户
用户
用户
二次鉴权的思想
也就是信息门户中，首次单点登录只 解决用户登录和用户能否有进入某个应用 的权限问题，而在每个业务系统的权限则 由各自的业务系统进行控制。也就是二次 鉴权的思想。这种方式对于发挥各子应用 系统开发单位的积极性比较合适，同时也 减少了系统的复杂性。
网站信息发布是校园网上的一个重要应 用，承载这些信息的有门户网站，也有各二 级院系及处部所网站，但是由于部门信息水 平不一，并且缺乏可管理性。
通过构建一个方便流畅的网站信息统一 管理平台，通过这样一个平台，既能减少对 网站发布人员的技术要求，又能减轻网站信 息发布的工作量 ，同时也能实现信息发布的 编、核、审、发业务管理流程。
一站点查询。 该搜索引擎既可以作为全校的统一信息服务平台的搜索
引擎，也可以向学校某一站点提供搜索引擎服务。 支持WORD,PDF等文件基于内容的搜索。
· 站点权限 · 栏目权限 · 录入/校对/
审核/发布 自动备份 日志审核
Intranet Intranet
Intranet
WWW站 发布 点1 代理
WWW站 发布 内
点2
代理 容
发
布
WWW站 发布 点n 代理