北京大学信息平台下的统一用户管理和身份认证
北京大学信息平台下的统一用户管理和身份认证
2003年10月10日
前言-北京大学信息平台
应用集成、数据集成 建立一个合理、开放和基于标准的 内部网应用平台，统一用户管理、 统一资源管理、统一访问控制、管 理员对整个网络可以实现单点管理、 用户可以实现一次登录、全网通行。 各种应用系统以统一的接口插入信 息平台。
使用一个公共帐号建立数据源连接，此帐号加密存 储在客户端的配置文件中 解决：避免帐号直接连接数据源 带来的问题：代码或配置文件需要随用户和密码的 变化经常维护
当前问题
使用不方便 管理任务繁重，不灵活 用户权限的一致性难以保证 重复开发，代码维护量大 不利于跨系统的集成整合
设计目标
从用户角度
登录所有应用系统都使用唯一的用户名和口令（数 字证书）。 访问多个系统时，只需要登录一次。
北京大学信息平台
用户管理
认证服务， 目录服务
数据交换
复制服务 消息
应用集成
北京大学信息平台下的 统一用户管理和身份认证
目录
应用背景 发展过程和当前问题 设计目标和设计思想 体系结构 统一身份认证服务
应用背景
北京大学的高校网络环境下的管理信息系统
教务、财务、人事、科研…… 15个 覆盖学校管理工作的80%
谢谢大家！
User/Privilege manager
用户中心
firewall
人事
教务
管理信息系统
统一身份认证服务
为什么提供统一认证服务
使用角度 安全角度
J2EE中的用户验证
表单式认证（form-based） 基于 servlet 结构（servlet-based） filter 结构
用户认证服务提供方式
统一用户身份认证管理平台
统一用户身份认证管理平台什么是统一用户身份认证管理平台统一用户身份认证管理平台是一种基于现代化的技术手段来实现用户身份认证的统一平台。
它能够将各种身份认证方式整合在一起，让用户可以使用同一个账号密码来登录所有的系统和服务。
它可以有效地增强用户信息的安全性和可控性，降低用户登录的管理难度，促进各种系统之间的协同工作。
统一用户身份认证管理平台的意义管理企业和机构中各种不同的系统和应用，往往需要各自单独的账号及密码。
这种繁琐复杂的用户身份验证方式，往往使许多系统的使用者感到困扰。
此外，各种网站的账号密码通常是相同的，如果遇到系统的安全漏洞，所有账号密码都将面临被泄露的风险。
此时，统一用户身份认证管理平台可以将各系统的账号管理统一起来，大大方便了用户的登录，同时也提高了用户信息安全性。
统一用户身份认证管理平台的工作原理统一用户身份认证管理平台的工作原理可以分为两个部分：身份认证和授权。
身份认证是指通过验证用户输入的账号和密码等信息，确定用户的身份是否合法。
授权是指根据认证结果，决定用户是否具有使用系统资源的权限。
具体实现时，统一用户身份认证管理平台一般采用一种密钥管理方式，将用户的认证信息和授权信息加密后进行管理，并在需要校验用户身份的时候进行解密校验。
统一用户身份认证管理平台的应用统一用户身份认证管理平台的应用非常广泛，几乎所有需要用户身份管理的应用都可以使用此类平台。
以下是一些常见的应用场景。
企业内部应用企业内部应用指的是企业内部各个部门使用的各类管理软件，如财务管理、人事管理、客户关系管理、企业资源规划等软件。
这些软件常常需要许多不同的用户登录，以使用不同的功能，采用统一用户身份认证管理平台可以将这些不同的用户信息进行整合，让用户通过一个登录页面就能访问这些不同的应用。
互联网应用互联网应用是指向公众开放的各种网站和网络服务。
由于这些网站面向公众，必须考虑到用户账号密码的安全性。
采用统一用户身份认证管理平台可以降低用户因使用相同账号密码而造成的风险，也可以让用户在几乎所有网站中使用同一个账号密码，从而方便管理。
统一身份认证平台在高校信息化建设中的应用分析
统一身份认证平台在高校信息化建设中的应用分析【摘要】统一身份认证平台在高校信息化建设中发挥着重要作用。
本文首先介绍了统一身份认证平台的基本概念和特点，然后分析了高校信息化建设的现状与挑战。
随后通过应用案例分析，探讨了统一身份认证平台在高校信息化建设中的具体作用和优势。
对统一身份认证平台在高校信息化建设中的发展趋势进行了探讨，强调了其重要性和未来发展方向。
通过本文的研究，可以更好地理解和应用统一身份认证平台在高校信息化建设中的价值和意义，为高校信息化建设提供更加可靠和高效的支持。
【关键词】关键词：统一身份认证平台、高校信息化建设、应用分析、概念、特点、现状、挑战、案例分析、优势、作用、发展趋势、重要性、未来发展方向、总结1. 引言1.1 研究背景高校信息化建设已成为当前教育领域的重要趋势，对于提升教学科研水平、加强学校管理、提高学生服务质量具有重要意义。
在高校信息化建设中，由于信息系统的独立性和分散性，往往存在用户需重复注册、认证繁琐、信息孤岛难以整合等问题，导致效率低下、用户体验差等困扰。
而统一身份认证平台作为解决这些问题的利器，正在逐渐受到高校的关注和应用。
统一身份认证平台通过集中管理和认证用户的身份信息，实现跨系统、跨应用的统一认证和授权，为用户提供一次认证、多次授权的便捷体验。
在当前高校信息化建设中，要求实现不同系统、不同应用之间的互联互通，提高数据整合和共享效率，优化管理和服务流程。
统一身份认证平台在解决高校信息化建设中的身份认证难题、提升信息系统整合能力、改善用户体验等方面具有重要作用。
为深入探讨统一身份认证平台在高校信息化建设中的应用现状及未来趋势，本文旨在从研究背景、研究意义和研究目的三个方面展开阐述。
1.2 研究意义高校信息化建设是当前高校管理和发展的重要趋势，而统一身份认证平台作为信息化建设的重要组成部分，对于提升高校信息化管理水平和效率具有重要意义。
统一身份认证平台可以统一高校各类系统的用户身份认证，提高信息系统的安全性和稳定性，有效防范各类网络安全风险。
统一用户管理系统
统一用户管理系统⒈简介本文档旨在提供关于统一用户管理系统的详细说明和操作指南。
统一用户管理系统是一个用于管理用户信息和权限控制的系统，可以集中管理所有用户的账户和权限，提高安全性和效率。
⒉系统架构⑴系统组成部分●用户管理模块：用于管理用户账户，包括创建、修改、删除用户账户等功能。
●权限管理模块：用于设置和管理用户的权限，包括角色管理和权限分配。
●登录认证模块：用于用户身份认证，包括用户名密码验证和双因素认证。
●用户数据同步模块：用于将用户信息同步到其他系统，确保各个系统的用户数据一致性。
●日志记录模块：用于记录用户的操作日志和系统日志，方便审计和故障排查。
⑵系统流程●用户注册：用户通过注册账号，填写基本信息，并验证身份。
●用户认证：用户使用注册的账号和密码进行登录认证，系统进行身份验证。
●用户管理：管理员可以对用户进行创建、修改、删除等管理操作。
●权限管理：管理员可以为用户分配角色和权限，控制用户的访问权限范围。
●数据同步：系统会定期将用户信息同步到其他关联系统，确保数据的一致性。
●日志记录：系统会记录用户的操作日志和系统日志，方便审计和追踪。
⒊系统功能⑴用户管理功能●创建用户账户：管理员可以创建新的用户账户，包括填写用户名、密码等基本信息。
●修改用户账户：管理员可以修改用户账户的基本信息，如用户名、密码等。
●删除用户账户：管理员可以删除用户账户，同时删除用户相关的所有信息。
●查看用户详情：管理员可以查看用户的详细信息，包括个人资料、角色等。
●搜索用户：管理员可以通过关键词搜索用户账户，快速定位和管理用户。
⑵权限管理功能●创建角色：管理员可以创建新的角色，为不同的用户分配不同的角色。
●修改角色：管理员可以修改角色的名称、描述以及权限。
●删除角色：管理员可以删除角色，同时解除与该角色关联的用户的权限。
●分配权限：管理员可以为角色分配不同的权限，控制用户的访问权限范围。
●角色继承：管理员可以设置角色的继承关系，简化权限管理的复杂性。
校园iptv介绍（以北京大学为例）北京大学校园网是国内规模最大的
校园IPTV介绍（以北京大学为例）北京大学校园网是国内规模最大的校园网络之一，自1989年参加“中关村地区示范网”建设伊始，已完成了220栋教学楼、办公楼、学生宿舍、教工宿舍的光纤互连，提供近6万个有线信息点，校园网已经通达了学校的每一个角落。
目前校园网上的计算机已超过4.7万台，日常同时在线计算机近2.5万台。
北京大学校园网提供多种接入方式，用户可以自由地使用有线、无线、拨号等手段在任何时间、任何地点连入校园网，基于目录服务的校园网用户管理系统，实现了校园网用户的统一认证、统一管理和统一计费。
这样的一个校园网配置，就给IPTV在北大的发展奠定了坚实的基础，目前北京大学网络电视系统目前设有28个电视频道，开放范围为校本部、医学部、万柳学生区。
它的整个系统采用的是CISCO公司的IP/TV软件系统，工作原理为图象由实时的硬件采集，经硬件或软件的方式编码为MPEG1或MPEG4格式的数据流，再通过IP/TV软件系统广播到网络中，并由客户端接收、解码、播放。
北大使用的这种IP/TV技术提供了三种视频的发送方式：现场直播、定时广播和点播。
在现场直播的同时还可以把直播的内容存储下来，作为定时广播或者点播的节目源，对于定时广播节目IP/TV使用可节省带宽的IP多点发送方法即组（Multicast）方式，该方式允许“一发多收”式节目发送。
使用这种方式，网络为每个节目只发送一个实时数据流而与收看节目的人数无关，这样您可以将节目发送给几个甚至几千个用户而不需加重带宽的负载。
一个使IP/TV与众不同的因素是它的音、视频质量。
IP/TV提供的图象和声音质量是其它同类网络视频解决方案所不及的，它使用完全同步的视频和音频，产生全屏、全动画的TV图象，这一卓越的A/V同步是通过在同一服务器内集成现场捕获、编码、文件服务并采用国际标准的实时传输协议（RTP）实现的。
IP/TV采用了国际标准协议，如实时传输协议（RTP）、实时控制协议（RTCP）、实时流协议（RTSP），借助IP多点发送和RTP支持，IP/TV可以收看Internet的MBONE(多点发送骨干网)上与日俱增的节目。
统一认证与管理平台建设方案
统一认证与管理平台建设方案统一认证与管理平台（Unified Authentication and Management Platform，UAMP）是一种提供统一认证和统一管理服务的解决方案。
它通过集成用户身份认证、权限管理、访问控制、日志审计等功能，实现了企业内部各种应用和系统的统一用户管理和授权管理。
本文将介绍统一认证与管理平台建设的方案。
一、需求分析在企业内部，存在着许多不同的应用和系统，这些应用和系统可能来自不同的厂商、不同的部门，各自独立进行用户认证和权限控制。
这样的情况下，会导致很多问题，如用户需要记住多个不同的登录账号和密码，增加了用户的负担；权限管理分散，不易监控和管理；用户权限在不同系统间不同步，造成安全隐患等。
因此，建设统一认证与管理平台成为必要。
二、平台架构1.前端部分：包括用户访问界面和认证代理服务，用户通过统一的访问界面进行登录和访问权限申请，认证代理服务负责转发验证请求到后端。
2.后端部分：包括认证服务、权限管理服务、访问控制服务和日志审计服务等模块。
三、功能设计1.用户认证：统一认证与管理平台支持多种身份认证方式，如用户名密码、证书、双因素认证等。
用户只需提供一次认证，即可访问所有接入的应用和系统。
2.权限管理：平台提供了灵活的权限管理机制，支持基于角色的访问控制和访问策略的定义。
管理员可以定义角色，给角色赋予相应的权限，然后将用户分配到角色上。
3.访问控制：平台提供了细粒度的访问控制功能，可以精确控制用户对各个资源的访问权限，如文件、数据库、应用等。
4.日志审计：平台对用户的操作进行记录和审计，以便对安全事件进行溯源和追踪。
管理员可以查看用户的操作日志，及时发现并处理异常行为。
5.集成接口：平台提供了标准的接口，方便与各个应用和系统进行集成。
接入应用和系统只需根据接口规范进行相应的开发和配置即可。
四、实施步骤1.需求调研：与各业务部门进行沟通，了解各个应用和系统的用户认证和权限管理需求，明确建设目标和范围。
统一用户管理系统
统一用户管理系统需求统一认证和单点登录是该平台的核心功能之一。
通过该功能，用户只需登录一次，即可在多个系统中访问其所具有权限的资源，无需重复登录。
该功能提高了用户的工作效率，也减轻了系统管理员的负担。
同时，该功能还能够提高系统的安全性，防止非法用户的访问。
系统支持多种单点登录协议，如CAS、SAML、OAuth等。
在实现单点登录的同时，系统还能够对用户进行身份认证和授权管理。
1.2.5资源管理该平台能够对企业内的各种资源进行集中管理，包括硬件资源、软件资源、网络资源等。
管理员可以对这些资源进行分类和分级管理，为不同的用户提供不同的访问权限。
同时，系统还能够对资源的使用情况进行监控和审计，及时发现和解决问题。
此外，系统还支持资源的自动化分配和回收，提高了资源的利用率和管理效率。
1.2.6安全管理安全管理是该平台的另一个重要功能。
系统能够对用户进行身份认证和授权管理，保证用户只能访问其所具有权限的资源。
同时，系统还能够对用户的操作进行监控和审计，及时发现和解决安全问题。
系统还能够对各种安全事件进行预警和处理，提高了系统的安全性和稳定性。
1.2.7审计管理审计管理是该平台的最后一个功能模块。
系统能够对用户的操作进行记录和审计，包括登录、访问、修改等操作。
管理员可以对这些操作进行查询和分析，及时发现和解决问题。
此外，系统还支持审计日志的备份和恢复，保证数据的安全性和完整性。
统一用户管理系统需要支持跨平台、跨浏览器的使用，同时需要提供易于使用的界面和操作流程。
系统需要支持多语言，并且能够快速适应新的语言环境。
另外，系统需要支持自动更新和升级，以保证系统的安全性和稳定性。
1.6.2硬件产品需求系统需要支持多种硬件设备，包括PC、手机、平板等，同时需要保证系统的可扩展性和高可用性。
系统需要支持集群部署，以提高系统的性能和可靠性。
另外，系统需要支持虚拟化技术，以提高硬件资源的利用率。
系统的硬件需求应该满足预估的最大用户数和并发数。
统一身份认证管理平台介绍课件
统一身份认证管理平台介绍
目录 CONTENTS
1 背景 2 统一身份认证 3 管理平台 4 企业应用集成
统一身份认证管理平台介绍
PART 01
背景
统一身份认证管理平台介绍
企信息化发展
OA
CRM
ERP
存在问题
重复登录
财务管理 系统
企业 门户
项目管理 系统
内部 论坛
物业资产 管理系统
14
➢账号管理 ➢批量操作 ➢账号同步 ➢账号容器 ➢账号元数据 ➢账号统计
身份管理
统一身份认证管理平台介绍
15
认证管理
认证 应用
管理帐号所能访问应用系统
认证 统计
显示应用系统登录情况统计
统一身份认证管理平台介绍
16
➢群组授权 ➢用户授权 ➢批量授权 ➢授权统计
授权管理
统一身份认证管理平台介绍
LDAP数据库
关系型数据库
统一身份认证管理平台介绍
13
管理平台主要功能
身份管理 (Account)
认证管理 (Authentication)
授权管理 (Authorization)
操作审计 (Audit)
唯一身份
你是谁
监控管理(Monitoring)
你能干什么
你干了什么
运行平台基础软硬件情况
统一身份认证管理平台介绍
身份 自助 服务
我的账号 找回密码 密码修改
帐号管理
帐号列表 批量操作 帐号同步 帐号统计
认证管理
认证应用 认证分析 认证统计
审计管理
帐号审计 认证审计 授权审计 差异审计
授权管理
群组授权 用户授权 批量授权 授权统计
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
用户中心
firewall
人事
教务
管理信息系统
统一身份认证服务
为什么提供统一认证服务
使用角度 安全角度
J2EE中的用户验证
表单式认证（form-based） 基于 servlet 结构（servlet-based） filter 结构
用户认证服务提供方式
Gatekeeper
拦截检查用户请求，检查用户是否在应用系 统中已经创建好login session。如果没有， 则将用户转向到认证服务的登录页面。
认证服务提供者
接受用户输入的用户名/密码（证书），验 证其合法性并且作出响应。
认证服务的实现
用户
LoginFilter
认证服务
用户管理中心
应用
请求
认证
不灵活
应用
登录 名
登录 名
登录 名
功能
数据
用户
功能
数据
应用
功能
数据
登录 名
应用
登录 名
功能
功能
对象
登录 名
用户
登录 名
应用
功能
对象
用户管理发展过程（续）
改进
采用数据库表记录每个系统用户的帐号信息、功能 权限和数据权限信息 解决
增加了用户管理和权限设置的灵活性 避免多个用户共用一个帐号的情况
进一步改进
查询
用户profile
Filter Web service
身份确认
转发请求
创建login session
响应
请求
转发请求
用户profile
基本信息（用户id，姓名，单位） 可访问资源1 访问信息（访问协议、端口号） 扮演角色及其作用域 [ 角色名1 数据库连接信息（DBMS,ServerName,DBName,LoginName,Password）； 作用域 [ 访问域1（策略1：约束名 约束条件 约束值； 策略2：约束名 约束条件 约束值； …… ） 权限（只读、写、审计…… ) 访问域2（策略1：约束名 约束条件 约束值； 策略2：约束名 约束条件 约束值； …… ） 权限（只读、写、审计…… ) …… ] 角色名2 数据库连接信息（DBMS,ServerName,DBName,LoginName,Password）； 作用域 [……] …… ] 可访问资源2 ……
北京大学信息平台下的 统一用户管理和身份认证
2003年10月10日
前言-北京大学信息平台
应用集成、数据集成 建立一个合理、开放和基于标准的 内部网应用平台，统一用户管理、 统一资源管理、统一访问控制、管 理员对整个网络可以实现单点管理、 用户可以实现一次登录、全网通行。 各种应用系统以统一的接口插入信 息平台。
普通公众
体系结构
Request certificate Request certificate Deliver certificate Registration Manager
y rif Ve
Issue certificate Data Recovery Certificate manager Manager
使用一个公共帐号建立数据源连接，此帐号加密存 储在客户端的配置文件中 解决：避免帐号直接连接数据源 带来的问题：代码或配置文件需要随用户和密码的 变化经常维护
当前问题
使用不方便 管理任务繁重，不灵活 用户权限的一致性难以保证 重复开发，代码维护量大 不利于跨系统的集成整合
设计目标
从用户角度
登录所有应用系统都使用唯一的用户名和口令（数 字证书）。 访问多个系统时，只需要登录一次。
应用级、基于角色
角色 应用 功能 数据
用户 应用
功能
数据
功能 角色 应用 功能 对象 功能 数据
角色
应用
功能
对象
用户
角色分级
人事 财务 教务 房产 设备 信 息 办公 学校 主管领导 主管部门 人 事 处 财务处 教务处 研究生院 成人教育 设备处 校办
单位主管 业务人员 人 事 干事 会计 教务员 宿 舍 家 属 公 房 保管员 信 息 员 办 公 室 主 任 收 发 员
谢谢大家！
北京大学信息平台
用户管理
认证服务， 目录服务
数据交换
复制服务 消息
应用集成
北京大学信息平台下的 统一用户管理和身份认证
目录
应用背景 发展过程和当前问题 设计目标和设计思想 体系结构 统一身份认证服务
应用背景
北京大学的高校网络环境下的管理信息系统
教务、财务、人事、科研…… 15个 覆盖学校管理工作的80%
从管理者角度
提供统一、集中、有效的用户管理。 尽可能利用现有系统的身份认证模块以及现有的用 户设置和权限设置，减少重新进行用户设置和权限 设置的费用，避免对现有系统进行大规模的修改。 应当具备灵活和方便的使用模式。
设计思想
统一用户管理 基于分级角色的权限管理 应用级的安全管理 统一证书管理 统一资源管理
单点登录服务
用户
单点登录服务
认证服务
应用
登录
身份认证
身份确认
创 建 全 局 login session
认证令牌
访问
认证
检查认证令牌
兼顾已有应用系统
帐号关联
记录已有应用系统的用户帐号与用户中心的 用户帐号的对应关系。 用户在进行统一身份认证服务之后，自动使 用相应的应用系统帐号来访问应用系统。
北大校园网统一用户管理中心
th e
Cu
nt ic
at io
n
Revoke certificate
au
Publish certificate/CRL
st om
LDAP
Message exchange 目录服务器
LDAP
Replic tion
J2EE应用
LDAP 中央数据库 中央数据库 中央数据库
支持Web Service技术 框架
校内信息服务系统
为全校教职员工、学生提供信息服务 用户数量迅猛增长
各系统有其自身的用户管理和认证方式
用户要面对不同的登录界面，记忆不同的帐户信息 系统管理员不得不维护多个系统中的用户信息
用户管理发展过程
特点
固定帐号 帐号可直用户共用同一个帐号 帐号可绕过应用直接连接数据源