LDAP环境下的统一用户管理系统的研究与实现

角 色 ，一 个 用 户 可 以 是 多 个 角 色 的 成 员 ，一 个 角 色 也 可 以 有 很 多 个 权 限 ，而 同 样 的 权 限 可 以 分 配 给 多 个 角 色 ，系 统 管 理 员 可 根 据 用 户 的 岗 位 对 权 限 进 行 注 册 ，分 配 角 色 ，并 给 角 色 授 予 权 限 ，用 户 若 对 某 业 务 应 用 系 统 进 行 操 作 必 须 对 用 户 进 行 认 证 才 可 进 入 各 个 业 务 应 用 系 统 的 相 应 的 操 作 。例 如 南 昌 市 房 改 办 中 的 张 三 需 对 住 房 业 务 系 统 进 行“审 核 住 房”操 作 ，首 先 系 统 管 理 员 要 根 据 他 的 工 作 责 任 和 职 位 分 配 相 应 的 角 色 为“checkHouse”，而 角 色“checkHouse”与 权 限“house@ check”相 关 联 ，也 可 以 拥 有 多 个 权 限 ，然 后 张 三 在 访 问 住 房 业 务 系 统 时 通 过 认 证 只 能 进 入“checkHouse”这 一 角 色 的 可 操 作 界 面 ，同 时 在“审 核 住 房”操 作 时 也 要 进 行 认 证 。 3.2 LDAP 管 理
全 认 证 的 一 个 中 间 层 软 件 系 统 。它 包 括 统 一 用 户 和 部 门 管 理 、 统一认证和授权两个部分。统一用户和部门管理提供了用户 和部门之间的从属关系，支持部门之间的各种关系。统一认证 和授权提供了对用户的认证、授权、加密等管理，并将所有功 能 组 织 成 树 状 结 构 ，分 别 授 权 给 不 同 的 人 员 、部 门 和 角 色 ，提 供应用程序接口，能够以 XML 文件的形式导出，能够在界面 上以树状结构的形式显示。统一用户管理系统结构如图 1 所示。
用户信息 业务系统
用户信息 业务系统
图 1 统一用户管理系统结构
用户信息 业务系统
是统一用户管理系统构架图 (如图 2 所示) 和系统 组件图(如图 3 所示)。
该系统的构架我们运用 RBAC 的概念进行设 计，其中组织机构当中的用户具有对应不同权限的
(5) 安全认证管理：提供安全认证相关接口，实现电子政 务的 CA 证书的签发机构职能与证书库管理，满足电子政务的 有 效 性 、机 密 性 、完 整 性 、不 可 抵 赖 性 与 审 查 能 力 五 个 方 面 的 安全需求。
第 28 卷 第 4 期 Vol. 28 No. 4
计算机工程与设计
Computer Engineering and Design
2007 年 2 月 Feb. 2007
LDAP 环境下的统一用户管理系统的研究与实现
胡立春 1， 武友新 1， 张 烨 2， 姜晓东 2 (1. 南昌大学 信息工程学院，江西 南昌 330029；2. 江西思创科技集团，江西 南昌 330029)
Research and implementation of unified user management system in environment of LDAP
HU Li-chun1, WU You-xin1, ZHANG Ye2, JIANG Xiao-dong2 (1. Information Engineering School, Nanchang University, Nanchang 330029, China;
LDAP (lightweight directory access protocol，LDAP) 轻型目 录访问协议是目录访问协议的一种，它是对 X.500 的目录访问 协议的移植，但是简化了实现方法，所以称为轻量级的目录服 务。同时 LDAP 是一种标准、开放、可扩展的目录访问协议，它 把网络环境中的各种资源(用户、硬件设备、网络设备、数据、信 息等)都作为目录信息，在目录树结构中分层存储，对这些信息 可以存储、访问、管理并使用，是为有效的集成管理网络目录中 的信 息 提供 服 务，是 支持 网 络 系统 的 重要 底 层基 础 技 术之 一 。
－ 823 －
门户网页
身份认证
CA 中心
件包和查询命令与 LDAP 服务器进行交互。
3 系统实现方案
访问控制
用户 统 一 用 户 管 理 系 统架 构 统 一 用 户 管 理 系 统 包 括 ：组 织 机 构 管 理 、用 户
管理、权限管理、授权管理、安全认证管理。 以下
1 统一用户管理系统概述
该统一用户管理系统是国家 863 计划软件重大专项项目 “基于 Linux 的业务基础组件平台的研究与应用”中基础组件 之 一 ，主 要 是 为 整 个 电 子 政 务 平 台 及 各 种 应 用 系 统 提 供 统 一 的组织结构管理、人员用户管理、角色权限配置、授权管理、安
0引 言
目 前 ，随 着 各 大 型 企 事 业 单 位 部 门 及 人 员 关 系 调 整 的 越 来越频繁，部门及人员要对应用系统要求有不同权限，在许多 企 事 业 单 位 中 ，不 同 的 应 用 系 统 都 拥 有 一 套 独 立 的 用 户 管 理 系统，造成用户管理系统重复开发，同时各系统之间的集成也 存在问题，很难实现用户单点登陆，给用户管理带来了很大的 困 难 ，如 何 提 高 管 理 效 率 ，减 少 重 复 开 发 ，很 好 的 管 理 组 织 机 构、部门、用户及角色，灵活支持企业的安全策略，对企业的变 化有很大的伸缩性，为此我们采用统一的安全管理设计思想， 规 范 化 设 计 和 先 进 的 技 术 架 构 体 系 ，构 建 一 个 通 用 的 、完 善 的 、安 全 的 、易 于 管 理 的 、可 扩 展 的 统 一 用 户 管 理 系 统 。
LDAP 目录服务具有广泛的数据整合和共享能力，支持 分 布 式 的 信 息 访 问 和 数 据 操 作 功 能 ，它 有 着 强 大 的 授 权 认 证 机制和精细的访问控制，比一般的数据库更具安全性，同时元 目 录 功 能 允 许 快 速 、简 洁 的 与 企 业 现 存 基 础 结 构 进 行 集 成 ，从 而使用户信息方便管理，访问起来速度快捷，而使用传统数据 库 来 存 储 用 户 信 息 会 造 成 大 量 的 冗 余 信 息 ，使 得 对 用 户 信 息 数据库各种操作的效率降低，LDAP 目录服务的特性有效地解
该系统主要实现： (1) 组织机构管理：包括部门与工作组管理，使用户能统 一 地 对 机 构 与 多 级 部 门 相 关 信 息 进 行 关 联 配 置 ，从 而 是 政 务 应用系统适应不同的机构及部门。 (2) 用户管理：对组织中各部门的用户个人信息进行统一 管 理 ，包 括 用 户 账 号 、密 码 、真 实 姓 名 性 别 等 人 事 信 息 。 (3) 权限管理：包括资源基权限管理及角色管理，基权限 将所有应用程序中各个管理模块最基本的功能权限作为元素 进行设计与安排，在角色管理中对角色进行基权限的配置组合。 (4) 授权管理：为用户提供相关资源权限的机制，并根据 该用户所担任角色的相关权限进行配置。
2. Jiangxi Strong Technological Group, Nanchang 330029, China)
Abstract：In order to solve the problem better to the user, organization and department's management of large enterprise, reduce the complexity to the authentication management, make the E-government application system to adapt different organization and department, and make the user management to be more effective and safe, the unified user management system is designed and implemented, which is universal, safe, and extensible by the concept of RBAC (role-based access control) and the LDAP (lightweight directory access protocol) technology. Key words：unified user management; RBAC; directory service; LDAP; directory information tree
收稿日期：2006-01-16 E-mail：hulc1983@ 基金项目：国家 863 高技术研究发展计划基金项目 (2004AA1Z2080)。 作者简介：胡立春 (1983－)，男，江西鄱阳人，硕士研究生，研究方向为数据库、软件工程、电子政务； 武友新 (1963－)，男，教授，研究方 向为数据库、软件工程、电子政务； 张烨 (1978－)，男，工程师，研究方向为电子政务； 姜晓东 (1978－)，男，工程师，研究方向为电子政务。
2 系统应用的关键技术
2.1 基 于 角 色 访 问 控制 基于角色的访问控制 (role-based access control，RBAC) 是
为 防 御 越 权 使 用 资 源 提 出 的 授 权 方 案 ，它 的 访 问 决 策 是 基 于 角 色 的 。 若 用 户 是 某 个 组 织 的 一 部 分 ，用 户 权 限 的 授 予 是 通 过 给 用 户 指 派 某 种 特 定 的 角 色 来 完 成 。定 义 角 色 的 过 程 应 该 基 于 对 组 织 运 转 的 彻 底 分 析 ，对 不 同 部 门 或 人 员 的 工 作 责 任 和 资 历 来 考 虑 。 访 问 权 限 按 角 色 名 分 组 ，也 就 是 说 权 限 和 角 色 相 关 ，用 户 对 信 息 的 访 问 在 指 派 角 色 的 基 础 上 被 管 制 ，这 样 实现了部门或人员与访问权限的逻辑分离。RBAC 的策略和 结 构 是 灵 活 的 ，它 的 一 个 最 大 优 点 是 支 持 管 理 性 能 ，可 以 适 应 不 同 的 安 全 政 策 要 求 ，得 到 了 广 泛 应 用 。 2.2 LDAP 目 录 服 务