微软统一身份管理与授权系统解决方案27页PPT
微软统一身份管理和访问控制解决方案(IAM)和产品路线介绍
企业 IT 应用现状
• 企业 IT 基础设施已经相对完善 • IT 系统在企业中的作用越来越重要
– OA – MIS – 财务系统 – MRP / MRPII – ERP – CRM
您的体系结构是否像这样呢？
• 东拼西凑 • 非端到端基础结构 • 需要大量人工干预 • 不确定是否安全
• 用户生产力降低
用户等待访问他们所需的系统或软件 太多的密码导致更多的helpdesk请求 丢失文件需要从磁带进行费时的恢复
• 安全威胁的风险增加
系统访问没有很快或完全撤销 难以在公司内强制实施安全策略 难以保持最新的安全补丁
管理现状 – 手动的事实
人员密集型的特性决定成本
自动化程度
手动
62%
脚本 14%
登录到 Windows
Exchange
活动目录
Web 服务
灵活的验证
Kerberos X509 v3/智能卡 生物鉴定
单一登录到:
Windows 文件服务器 Windows Web 应用程序 Exchange email SQL Server BizTalk Server 其他微软应用程序 第三方集成应用程序
用户身份的生命周期
1
新建用户
- 用户 利
离职用户 - 除帐户 - 删除权利
3
支持部门 - 密码重置 - 新建权利
2
更改用户 - 升职 - 调动 - 权利更改
IAM主要应用场景
企业与员工 B2E Business to Employees
减少登录次数 用户设置 / 取消注销 口令管理
内容
• 为什么需要IAM? • IAM如何解决问题 • 微软IAM解决方案
域管控方案课件
1.6
禁用用户计算机Guest账号
桌面管理
2.1
域计算机统一桌面背景
2.2
域计算机统一开始菜单样式
IE设定
3.1
禁止变更Proxy设定
根据用户需求设定
3.2
禁用Internet连接向导
根据用户需求设定
3.3
禁用IE更改主页设置
根据用户需求设定
3.4
禁止变更IE安全性设定
根据用户需求设定
1-2天
4
在主域控制服务器上安装AD、DNS、DHCP、WINS角色
1天
5
将额外域控制器服务器加入域中
0.5天
DNS配置
6
在额外域控服务器上安装AD、DNS、DHCP、WINS角色，实现与主域控制服务器的冗余
1天
DNS配置
7
确定并建立OU组织架构
1天
8
基本域控策略规划
1-2天
9
客户端加入域测试
AD介绍
现状和问题
企业网络中计算机默认处于工作组（WorkGroup）网络模式，工作组网络是一种对等网络，网络中的计算机地位平等，计算机之间互不干扰，正因为工作组是一种对等网络，所以它存在以下问题。
管理分散
？
资源共享和账号管理分散，所有的设置都要在计算机本地进行设置，无法统一管理
“人机”不分
容灾和备份
Active Directory域服务(ADDS)是Windows基础结构中针对关键任务的组件。如果Active Directory出现故障，网络实际就崩溃了。因此，Active Directory的备份和恢复计划是安全性、业务连续性的基础。
备份策略：使用Windows Server backup对Domain Controller活动目录进行定期备份。
微软校园软件正版化方案
一、微软教育授权的正版化解决方案：1、校园软件正版化项目介绍：校园软件正版化项目是微软为广大教育用户设计的软件正版化的优惠方案。
购买了校园软件正版化项目合约之后，有权在合约期内，合法使用合约中所授权的软件，还可以免费升级(upgrad e)或降级(downgr ade)使用。
2、校园软件正版化优势：全面实现正版化是预防学校电脑病毒泛滥，降低IT维护成本，实现计算机统一管理，全面提高学校信息化及科学管理水平的重要体现；实施正版化项目是尊重知识产权，维护学校交流形象的现实要求；实施校园软件正版化项目是满足以最经济的方式实现学校全面正版化的首选方案。
升级保障：购买该协议后，软件使用覆盖范围内的计算机及服务器等在授权期限内享受免费升级保障，同时还享有使用更高版本的权利，例如：微软推出的最新操作系统Windo ws 10等。
5、增加电脑使用台数将不再付费：电脑台数增加：在协议期限内，如果高校原有电脑台数发生变化，比如增加了一个50台电脑的机房，学校可以直接使用正版操作系统和办公软件，不需要另付费用；6、校园软件正版化优势分析6．1、校园软件正版化项目是实现最优性价比的项目：校园软件正版化项目包括所有属于“软件使用覆盖范围”的电脑，从操作系统到办公软件全部实现正版，所以采用校园软件正版化项目极大的降低学校的软件采购成本，同时又达到了学校全面实现正版化的要求。
6．2、部署最新微软操作系统节电的效果分析参考：目前，世界进入新经济阶段，低碳经济和绿色IT成为各方关注的焦点，高校是传统上的水电气等能源消耗大户，如何节能减排也是高校研究的课题之一。
据第三方测试，在标准办公环境下，新微软操作系统的智能电源管理能够使电脑节电超过20%，按照标准的一台低能耗电脑主机+显示器大约250瓦功率，每天八小时工作的话，每天每台电脑能节电约0. 4度电；按照每度电0.55元计算，每天每台电脑节约0. 22元；看似两毛多钱不起眼，但是全校所有的电脑一年省的钱数目就可观了。
信息安全技术培训PPT课件( 46页)
✓ 公司内严禁使用盗版软件和破解工具，如有工作需要，应通过公司采购正版软件或使用免费 软件
✓ 不经批准，严禁在公司内部架设FTP，DHCP，DNS等服务器 ✓ 研发用机未经批准，严禁转移到公司办公网络、或将办公电脑转移到研发内网使用。 ✓ 《研发规定》 ✓ 任何部门和个人不得私自将包括HUB、交换机、路由器等的网络设备接入公司网络中。 ✓ 原则上不得使用网络共享，如因工作原因需要使用的，必须遵循最小化授权原则，删除给所
信息安全就在我们身边！ 信息安全需要我们每个人的参与！
如何实现信息安全？
✓ 物理安全 ✓ 计算机使用的安全 ✓ 网络访问的安全 ✓ 社会工程学 ✓ 病毒和恶意代码 ✓ 账号安全 ✓ 电子邮件安全 ✓ 重要信息的保密 ✓ 应急响应
✓ 文件分类分级 ✓ 使用过的重要文件及时销毁，不要扔
在废纸篓里，也不要重复利用 ✓ 不在电话中说工作敏感信息，电话回
➢ 信息是有等级的
概念
信息安全
➢ 信息是一种资产，就如同其他的商业资产一样，对一个 组织而言是具有价值的，因而需要妥善保护
信息安全包括：应用安全和物理安全
➢ 应用安全：操作系统安全、数据库安全、网络安全、病 毒防护、访问控制、加密与鉴别
➢ 物理安全：环境安全、设备安全、媒体安全
概念
信息安全的3要素：CIA Confidentiality, Integrity, Availability 保密性、完整性、可用性
叫要确认身份 ✓ 不随意下载安装软件，防止恶意程序、
病毒及后门等黑客程序 ✓ 前来拜访的外来人员应做身份验证
统一授权管理系统的设计
Ａ Ｄ服务器
图 ２ 统 一授权管理系统与业务系统的关系
通 常情况下 ，统一授权管理 系统 的 Ｘ Ｌ文档结构 Ｍ
授权管理服务
如图 ３ 示 。 所
● ｌ 一
系统管理员
在实际应用 中， 发现该文档结构存在两点不足 ：
（） １冗余量大。任务（ ａｋ 在角色（ ｏｅ层的下 面 ， ＴＬ ） ｓ Ｒ ｌ）
维普资讯
技
Ｔｅ ｈｎ ｌｇ ｃ ｏｏ ｙ
统 一授权管理 系统 的设计
中 国长 城 资 产 管 理 公 司 一套能够 实现
的授权信息 ， 图 ２ 示。 如 所
统一 的授权管理 和用 户统一 的身份管理及单 点认 证的
关用户和用户组信息 。采用 Ｗｅ ｅ ｉ 技术从业务系 ｂＳｒ ｃ ｖｅ
统中获取资源列表 ，以 Ｘ Ｌ的形式提供业 务系统相应 Ｍ
例如 ， 我们可 以先将业 务系统加 以定义 ， 在分组上
定义 岗位 ， 然后依 照地 区 、 门或级别 等对用户进行分 部
中国金融 电脑 ２ ０ ０ ６年第 ７期 ・ ５ ３
攻 击类 型 Ｂ ｃｄ ｏ ａｋｏｉｃ ．ｌ ａｋ ｏｒ ｃ ｒ ｅＳ ｌ Ｂ ｉ ｆ ｄ Ｂ ｃ ｄｏ ｅｐｔｒａ ． ｌｅＳｄｌ ａｋ ｏｒ ｅ ｏｔ １ｉ ．ｌ Ｄ ｈ ３ ｔ Ｂ ｃｄ ｏ ｌｃｅ ． Ｓｄｌ ａｋ ｏｒ ａｉｒ ０ ．ｌ Ｇ ３
岗位的工作进行指派 。
３权 限 设 置 ．
可以采用多种方式实现“ 设置其他业务 系统管理权
限” 一功能。 这
３ ６・中国金融电脑 ２ ｏ ｏ ６年第 ７期
维普资讯
术
Ｔｅ ｈｎ ｌｇ ｃ ｏｏ ｙ
表 １ 测 试 的 攻 击 及报 警 举 例
享受自由沟通的乐趣——微软统一通信解决方案
对许多最终用户而言，沟通通常以各
４ 会 议功 能提 供 了一 种虚 拟会议 体 种断开连接 的竖井方 式发生。 由于存在 大 ．
ｓｓ ｍ 中。学校可 以充分 利用其现有的数 验 ，使位 于不同位置 的人员组 可以根据需 量的通信应用程序 和工具 ，最终用户 面对 ｙｔ ｅ 据和 电 信基础结构的单一统一沟通平台来取 要 随时进 行交互和协作 。用户 可以在通过 着 一个极其混乱 的环境 。微软统一沟通 打 代相冲 突的各种不 同系统。Ｉ 门可以用 Ｔ部 电话 线交谈 时查 看其计算机上 的演 示文稿 破 了传统的沟通竖井 ，使最终用户可 以在 简化管理和降低总拥有成本的精简基础结构 和文档 ，而这 种交互通过写下 问题 或通过 熟悉的桌面和移动应用程序内沟通和协作， 提供更灵活、更安全的沟通 。 个人聊 天等方 式得到有效简化 。通过使用 而且可 以在 各种模 式 间无缝 切换 。
托管服务和微软托管服务。 １消息处理可以从各种客户端和设备 ． 访问统一收件箱 中的电子邮件、 语音邮件、 传真、日 历和联系人。电子邮件已成为目
前全球 最常见的一种重要通信 工具 ，在提
鳓◆溷 ＝． 咖 ■ 藿＿ 一 霜 鲤
根据参与方首选的状态信息和通信介质，
２ ０７ ０
．
１中 教 网 ５ 国 育 络５ ２
维普资讯
： ！，，二 ¨ 二 二 ： ＝ ： ｌ＝
鼍三兰 三 ｜ ｉ 曼 ｊ 三 三 ■
建设与管理
充分 利用用 户 当前对 活动 目录 和
Ｅ 平台，以保持关键任务消息处理和通信系 Ｘ—
载 ，而且为用户提供 了极 大的灵活 性 ，内
Microsoft信息系统安全管理解决方案
“信息安全”是具有⼴泛内涵的概念，涉及指导思想、规程、各层⾯的技术保障、⼈员管理等诸多⽅⾯，是⼀个“⽴体”⽽“多维度”的概念，因此仅单纯依赖技术实现是不全⾯，也是不可取的。
在当今⾼度信息化、互联化的背景下，政府部门信息化应⽤⾯临着各种安全陷阱和威胁，即使拥有秀的系统管理维护团队和安全专家都不能掉以轻⼼。
捉襟见肘的IT⼈⼒资源为满⾜旧版操作系统更新、业务流程管理与⽇常软件更新管理等需求超负荷运转。
Microsoft公司将安全保障视为头等⼤事，并为满⾜上述需求将安全特性作为产品、⼯具及培训服务的核⼼设计。
Microsoft公司在安全与络安全领域所作的贡献主要集中于以下三个⽅⾯：1）技术投资：提⾼其产品的安全性，改进升级流程，并提供加强安全保障的新特性与产品；2）产业合作：与合作伙伴、客户、政府和法律实施代理合作，为发展打击计算机犯罪的相关政策和⾏动提供⽀持；3）说明性指导与教育：⼴泛传播即时信息来帮助消费者提⾼他们的系统安全性，并且作好防范新威胁的准备。
安全问题源⾃多个⽅⾯，从⽇常办公系统看，可以分为桌⾯系统、络传输和后台服务器三个部分。
由于涉及的使⽤者多、应⽤程序多，且难以管理，往往桌⾯系统的安全问题最多，其安全隐患会影响到企业基础架构和关键业务应⽤。
此外，络互联环境在管理与汇报中的强度⽇益加⼤，这提⾼了信息系统暴露的可能性，特别是由于⼯作原因产⽣的内外数据交换，往往会使得本来安全的⼯作环境变得不安全。
⾯对互联，客户所掌握的技术常常是不⾜以应付各种安全隐患的，不能很好地保证内部资源的安全、完整和可⽤。
为解决上述问题，Microsoft公司推出了专门满⾜客户多种需求的各种软件产品、⼯具⼿段和规范性指导服务。
Microsoft公司⽬前所进⾏的创新不仅增强了现有产品，更添加了全新特性使消费者可以控制⾃⼰的防护和安全级别。
这样以来，他们尽可体验技术优势，放⼼使⽤因特资源，因为他们的系统已经受到保护。
企业统一门户Portal平台介绍
整合自建系 统
简单方便的SSO配置，支持多类型的客户端接入
完善的安全管理
• 防止非授权用户非法访问
– 你是谁(认证Authentication)
• 用户的注册信息是什么、存放在哪里？ • 采用何种身份认证机制
– 你可以做什么(授权Authorization)
• 门户权限设置(应用/主题/Widget) • 门户访问控制管理 • 外部应用访问控制管理
net来开发只支持windows操作系统和sqlserver37与sharepoint对比易用性portalwidget小窗口模式支持拖拽布局一键快速发布widget无需开发支持劢态换肤微软微软sharepoint独立网页模式通过建立webpart类似主题和菜单链接打开网页基于内容管理功能需使用编辑工具进行维护38产品优势轻量级的portal框架更经济高效灵活快速整合帮劣企业快速实施见效高性能提供快速响应和高效处理能力量体裁衣提供本地化定制服务软件更适用实施方案和路线portal集成总览单点登录集成单点登录集成部署ssoserverssoclient定制部署配置ssoclient搭建门户框架搭建门户框架部署portlet容器内容集成内容集成系统配置单点登录集成42单点登录集成方案可改造遗留系统43用户名sysadmindavidmarry单点登录用户名业务系统用户名sysadminadmindavidwangxmmarryzhangmy用户名adminwangxmzhangmy业务系统权限数据库单点登录用户信息用户映射表业务系统用户信息单点登录用户sysadmin通过用户映射表获取业务系统用户admin业务系统获取用户admin权限单点登录集成方案不可改造遗留系统44用户名sysadmindavidmarry单点登录用户名业务系统用户名业务系统密码sysadminadmin000000davidwangxm111111marryzhangmy222222用户名密码admin000000wangxm111111zhangmy222222单点登录用户信息用户映射表业务系统用户信息单点登录用户sysadmin通过用户映射表获取业务系统用户名和密码调用原有系统登录入口业务系统搭建门户框架45内容集成46统一组织机构47各应用系统都存在自有的一套组织机构模型的差异性和管理的独立性导致系统间交换数据时出现信息丌一致的问题各应用系统都存在自有的一套组织机构模型的差异性和管理的独立性导致系统间交换数据时出现信息丌一致的问题组织机构数据一致性统一组织机构同步机制48实施路线总体规划阶段部署环境规划集成试点阶段各个系统的单点登录集成内容集成转交客户或伙伴持续发展引入客户开发引入客户开发团队或伙伴知识转移如果客户有特殊需求没有现成功能需要定制开发然后注册成widget通常需要的客户化定制工作server