usbkey

7、证书有效期从受理之日起计算，证书有效期将签发在该证书中；
8、签收人必须是办理人，否则签收人也要提供身份证原件及复印件；
23
外部用户申请表—单个用户
24
外部用户申请表—批量申请
25
外部用户申请表—批量申请附加表
序号 姓名 性别 单位名称 身份证号 有效时间 电子邮箱 电话 手机 签字
申请人签字： 注： 1）“单位名称”为外部用户所在的单位； 2）表格不够，可自行添加行。

普通用户涉及到的证书操作均按照以下业务流程办理：
– – – – – – –
证书新办流程：新办证书业务 证书冻结流程：冻结证书业务 证书解冻流程：解冻证书业务 证书更新流程：更新证书业务 证书注销流程：注销证书业务 证书补办流程：补办证书业务 证书解锁流程：解锁证书业务

办理地点：信息技术部二楼系统运行部209室。 办理所需时间：一到两个工作日。 申请人：用户本人或找代办人办理。
26
填表要求
1、主管领导（处级）签字，盖本单位公章； 2、签名处请用钢笔或圆珠笔手写； 3、用户在申请时，须出示办理人身份证原件，并提供复印件一份； （办理人是指到系统运行部递交申请表的人） 4、签收人必须是办理人，否则签收人也要提供身份证原件及复印件； 其他要求请参考：
《中国石油身份管理与统一认证服务平台外部用户主帐号开通暨数字证书 申请说明》
（办理人指：到系统运行部递交申请表的人）
7、证书有效期从受理之日起计算，证书有效期将签发在该证书中； 8、签收人必须是办理人，否则签收人也要提供身份证原件及复印件；
21
批量用户服务申请表
22
批量用户申请表填写步骤和要求
1、填写应用系统名称无特殊要求可以不填； 2、填写申请人基本信息； 4、主管领导（处级）签字，盖本单位公章； 5、签名处请用钢笔或圆珠笔手写； 6、用户在申请时，须出示办理人身份证原件，并提供复印件一份； （办理人是指到系统运行部递交申请表的人）
中国石油身份管理与认证项目 培训
信息技术部 主讲人：王宁
目
录
一、项目背景和实现目标 二、USBkey和身份管理与认证平台介绍
三、数字证书的管理流程
四、身份管理与统一认证系统安装和使用
-2-
初步印象
单点登录页面 应用服务列表
插入USBKEY 输入PIN码 单点登录
点击对应的图标，可以直接在弹出的页面中使用应用系统。
27
办理流程说明
新办证书：
办理条件：所有使用信息系统的员工，如果需要数字证书服务，本人或主 管部门均可向录入员提出新办数字证书申请。
办理效果：应用系统用户领取到存有数字证书的USBkey。
28
办理流程说明
证书冻结：
办理条件：1、USBkye丢失，不确定能否找会。 2、出于安全管理或其他工作需要可提出冻结申请。
办理效果：冻结后的证书（USBkey) 暂时无法使用。
29
办理流程说明
证书解冻：
办理条件：用户需要将原来冻结的USBkey重新启用，可申请解冻。
办理效果：冻结的USBkey 恢复正常使用。
30
办理流程说明
证书注销：
办理条件：1、员工离职； 2、工作上已不需要USBkey； 3、其他安全考虑。 办理效果：注销后用户的证书信息在系统中清除，USBkey不可用。
V P N 系 统
矿 区 服 务 系 统
炼 油 与 化 工 运 行 系 统
2011年计划安排
身份认证项目组主导 地区公司主导 地区公司协助 应用系统项目组协助 身份认证项目组负责 地区公司负责
准备阶段 7月1日－7月31日
管理员 培训
地区公司负责，身份 认证项目组技术支持
帐号梳理
批量主帐 号生成
证书制作
31
办理流程说明
证书更新：
办理条件：证书所包含的信息内容发生变更时，可以对证书进行更新。
办理效果：可更改有效期限、身份证号、域用户名、单位代码、单位名 称。
32
办理流程说明
证书补办：
办理条件：1、USBkey丢失后确认无法找回； 2、USBkey 损坏。
办理效果：用户获得一个新的USBkey，用户原有证书会自动注销。
10
目
录
一、项目背景和实现目标 二、USBkey和身份管理与认证平台介绍
三、数字证书的管理流程
四、身份管理与统一认证系统安装和使用
11
USBKey介绍
USBKey是一种形似U盘的便携式硬件设备，主要用来存储密钥和
数字证书，设备自带计算和存储功能，使用时需要通过USB接口与计
算机连接。 USBKey内的智能芯片包括嵌入式处理器和微型操作系统，可以在
通过本平台的身份管理功能，有助于对应用系统用户帐号进行梳理
和检查，及时发现和处理孤儿帐号，加强帐号管理力度。
7
建设范围
系统集成的范围：

中国石油总体规划的39个应用系统，及地区公司自建的部分重要信息 系统；
用户范围：

涵盖中国石油所有信息系统用户。
功能范围：

集中身份管理、统一认证和单点登录；
权限管理与细粒度访问控制仍在各系统中自行管理。
8
2011年推广范围
身份管理与认证项目2011年推广工作覆盖了26个应用系统（红字为 辽阳石化要推广的系统），包括：
管 道 生 产 管 理 系 统 勘 探 与 生 产 调 度 指 挥 系 统 勘 探 与 生 产 数 据 管 理 系 统 加 油 站 管 理 系 统 健 康 安 全 环 保 系 统 数 据 仓 库 系 统 投 资 计 划 管 理 系 统 监 察 管 理 系 统 工 程 技 术 生 产 运 行 管 理 系 统 勘 探 与 生 产 E R P 系 统 油 田 服 务 E R P 系 统 天 然 气 与 管 道 E R P 系 统 炼 油 与 化 工 E R P 系 统
操作员 审批员 自动创 建帐号
帐号申请 用户
审批
用户帐号创建流程
15
用户身份信息变更联动机制
身份管理与认证系统的功能
实现了电子签名、安全巡 检和审计追踪等功能，确
保用户帐号操作的可稽核
性，身份与帐号信息的完 整性，能够及时发现对于 用户帐号属性的非法篡改。
16
集成效果展示
SAP GUI
SAP Portal
9
科 研 与 事 业 单 位 E R P 系 统
销 售 E R P 系 统
装 备 制 造 E R P 系 统
工 程 建 设 E R P 系 统
工 程 技 术 E R P 系 统
人 力 资 源 管 理 系 统
档 案 管 理 系 统
应 急 管 理 系 统
科 技 管 理 系 统
公 共 数 据 编 码 平 台
集团公司领导非常重视信息安全工作，提出力争在3－5年内基本建成 信息安全保障体系的目标，并专门立项编制《中国石油信息安全总体 规划》； 《中国石油信息安全总体规划》参照国际最佳实践、结合中国石油实 际情况，提出了信息安全保障体系架构，规划了11个信息安全项目， “身份管理与认证项目”是其中重要的技术类项目之一。
4
项目背景（二）
身份管理与认证项目建设是应对用户身份与认 证相关安全威胁的需要： 切实存在的信息安全威胁
某些应用系统用户设置了过于简单的口令，
案例：
在近期的一次安全检查中，
发现某些应用中存在大量弱 口 令 帐 号 ， 如 111111 、 123456等；
通过实验，在应用的网络层
无法保证这些用户登录系统认证的安全性；
某些应用系统身份管理与认证的管理方式与实现流程
面进行监听，能够搜集获取 明文口令；
在对某应用系统进行帐号梳
不够完善，从而造成在应用系统中存在大量孤儿帐号， 为系统的安全性带来极大隐患。
理的过程中，发现该系统内 存在已离职人员的帐号依然 有效的情况；
统一的强认证实现技术基础，与集中的帐号、口令管理机制，不仅能够有效解决当前存 在的弱口令、孤儿帐号等“老大难”问题，而且通过集中、统一的实现方式为中国石油 信息技术应用环境建立起安全可靠的信息安全“基准线管理：实现中国石油员工与各应用系统帐号的对应， 方便掌握人员所拥有的各应用系统的信息，在人员状态（离职、 职位变更、调动等）发生变化时，能够及时对帐号进行相应操 作（增加、冻结、修改）。
电子审批：IAM系统根据不同业务应用需要，可灵活定义多种 用户身份管理的审批流程。
设备内部进行各种运算，能根据内置的公钥算法自动生成密钥对。
USBKey中储存的私钥数据不能被导出到计算机中，相关的各种认 证和计算也直接在设备内部完成，不受PC系统环境安全性的影响，
从而有效保证了数字证书使用过程中的安全性。
12
数字证书

PKI系统(CA系统)的产物
–
数字证书是PKI技术的现实载体，通过数字证书我们可以实现身份认证、信息加密、签名等一系列的安全操作
5
项目背景（三）
由于目前的帐号管理混乱，无法确定哪些帐号唯一的对应一个具体人员，因 此，无法关联该人员的信任凭证（USBKEY证书），从而无法实现人员帐号 的强认证。 若为每个信息系统帐号颁发一个USBKEY不具有可操作性。
san.zhang
系统A
Login Please enter your ID and password
与身份证上公安局的盖章类似 可以由颁发机构证明证书是否有效 可防止擅改证书上的任何资料
–
以后提到申请数字证书就是申请USBkey
13
2.1 身份管理与认证系统的功能
单点登录：实现了被集成应用系统之间的身份认证互信机制，用户 经过统一身份认证之后，即可访问该用户拥有访问权限的全部应用 系统； 强认证：在符合国家相关标准的公共密钥体系基础设施（PKI）的支 撑下，基于严谨的加密算法与密钥管理机制，实现高安全性的 USBKey数字证书认证方式。