大学数字化校园身份认证平台设计方案

大学数字化校园身份认证平台设计方案

抄投标文件

招标文件：

1.1.1.1.总体架构

随着学校数字化校园应用建设的逐步深入，已经建成的和将要建成的各种应用系统存在不同的身份认证方式，安全信息各自管理，广大师生用户必须记忆不同的密码和身份。为了解决多账户问题，方便老师和学生使用数字化校园的各个应用管理系统，迫切要求建立一套统一的身份管理平台，用户只需要在平台上登录一次就可以使用所有的数字化校园内的应用软件系统。

在本次设计中，企业公司考虑到学校的应用环境的复杂性，也为了更好的保护学校的投资，建议学校建设以目录服务和认证服务为基础的统一用户管理、授权管理和身份认证体系，将组织机构信息、用户身份信息统一管理，进行分级授权和集中身份认证，规范应用系统的用户认证方式。

这种设计，提高了应用系统的安全性和用户使用的方便性，实现全部应用的单点登录。即用户经统一应用门户登录后，从一个功能进入到另一个功能时，系统平台依据用户的角色与权限，完成对用户的一次性身份认证，提供该用户相应的活动“场所”、信息资源和基于其权限的功能模块和工具。在学校工作人员进行了调动、调级、调职等变更后，或者学校体制改革、组织机构变动后，使用户的身份和权限在各系统之间协调同步，减少应用系统的开发和维护成本。

教务系统办公系统校园卡图书馆学生系统门户系统其他D ire c to r y

生命周期管理

在针对本项目设计中，企业公司引入身份信息的生命周期管理，通过身份访问管理系统展现出身份和可访问的系统资源的对应关系，在底层使用身份同步适配器，及时将各业务系统的身份、用户信息同步到LDAP 服务器和身份信息数据库中。学校所有的数字化校园访问用户的信息，都来自于相关的业务系统，如，教师信息来源于人事管理系统，学生信息来自于学籍管理库中。

这样，将用户的基本信息的管理放入各自业务系统中，使身份认证平台关注于机构、角色和权限模型的建立及管理上，进而提高了系统的安全可靠性。

1.1.1.

2. 认证数据存储

目录服务是统一身份认证平台的基础。学校所有的用户信息分别存放在LDAP 目录服务和数据库中，通过可靠的机制完成两者的同步；用户身份信息在目录服务中以层次结构，面向对象的数据库的方式集中存储管理，从而保证身份数据的一致性和完整性，为校园各类应用提供基础的一致的用户信息访问。

在LDAP 服务器产品中，我们使用基于标准的LDAP 目录服务器进行身份信息同步存储，并利用LDAP 的标准协议接口实现和其他应用系统的身份认证管理。

《图LDAP用户信息管理》

《图LDAP身份信息管理》

用户在身份管理中可以进行各种角色的分类：教师、学生、校友、临时人员；校领导、处长、部门信息员；本科生、研究生等等。在原有的数字化平台中，对于教职工和学生，平台还不支持按照一定查询条件批量导出，新的人员还不能智能的、批量的生成平台账号。

在新的平台中将实现这些功能。对于平台的账号，在公共数据库中有相关数据与其对应，利用数据交换平台中的导入导出工具即可以实现这些功能。

下图是新进教职工批量生成平台账号的示例。

《图批量生成账号示意图》

对于新进教工，数据来源于人事处的人事管理系统，通过数据交换平台的机制对数据进行加载、处理、转换等一系列操作，解析出新进人员数据，再由系统job自动触发在LDAP 中生成账号，并且将这些人员数据回写到个业务系统中去，完成一个自动的、完整的数据流程，批量的生成这些人员的账号和密码。

1.1.1.3.认证流程

1.1.1.3.1.门户平台认证流程

数字化校园门户系统的统一身份认证可以通过统一资源目录服务中存储的用户ID、口令以及系统登录信息来认证用户身份并登录门户系统。其认证过程如下：

《图统一身份认证及门户关系》

1、用户通过UID+PASSWORD进行系统登录；

2、PORTAL SERVER通过IDS API从LDAP SERVER 进行用户身份认证；

3、如本地LDAP SERVER没有整个用户信息，则根据LDAP SERVER的REFERRAL所设定的LDAP SERVER去进行身份认证；

4、远端LDAP SERVER将身份认证信息返回给PORTAL POLICY；

5、经过验证的用户返回到PORTAL POLICY，POLICY的授权模块根据用户角色提供相应的功能及个性化定制；

6、POLICY提供相应的功能及个性化定制内容返回给PORTAL；

7、内容通过PORTAL展现给用户BROWSER。

1.1.1.3.

2.应用系统认证流程

现有应用系统和待建系统包括业务、管理等系统。统一用户管理与授权系统中可存放这些系统的配置信息，对新建应用系统使用统一资源管理进行人员身份认证，也可进行访问权限控制和进行单点登录等，对原有系统人员基本信息可与目录服务中的人员基本信息进行统一和同步。

登录数字化校园门户系统的用户可以访问门户连接的应用系统，可以通过访问鉴权来实现，这是通过统一资源系统中存储的用户系统登录和授权信息来完成单点登录各应用系统。其登录流程如下：

《图统一身份认证及管理系统关系》

1、用户通过UID+POSSWORD进行系统登录；

2、PORTAL SERVER通过IDS API从LDAP SERVER 进行用户身份认证；

3、LDAP SERVER将身份认证信息及用户角色返回给PORTAL POLICY；

4、POLICY根据角色所对应的应用系统访问控制信息提供给PORTAL Servlet；

5、PORTAL Servlet作为应用的客户端请求应用系统；

6、应用系统返回请求结果；

7、PORTAL Servlet返回应用系统的请求结果到用户BROWSER。

1.1.1.4.认证方式

统一认证系统主要是为其它系统提供认证服务，用户只需要登录一次，即通过一个应用中的安全验证后，再访问其他应用中的受保护资源时，不再需要重新登录验证。

统一认证管理特点:

◆支持LDAP或数据库的认证方式。

◆灵活的认证策略管理，如：匿名认证方式、用户名/密码认证、PKI/CA数字证书认证、

IP地址认证、时间段认证、验证码等。

◆支持密码找回功能，发送新密码到邮件里。

◆认证的客户端支持多种开发语言，包括Java、.Net、ISAPI、PHP、Perl、Acegi、

Ruby、VBScript等客户端。

◆提供第三方系统认证的web services接口。

1.1.1.4.1.身份认证服务

基于LDAP和CAS认证方式设计，提供跨服务器及业务应用的身份认证服务及Agent，确保跨业务系统身份认证识别。支持多种认证方式：支持基于认证接口、认证代理和LDAP 认证的多种认证集成模式，支持用户/密码、校园卡/密码、CA证书认证、动态口令认证、智能卡认证等认证方式；大学数字化校园建设统一用户管理与授权的LDAP目录服务系统，并且此LDAP服务器支持标准的LDAPv3；在LDAP结构设计（schema design）时，充分考虑用于VPN认证、拨号认证、门户认证、应用认证的相应用户属性数据，就可以保证各个系统公用此LDAP。大学数字化校园所建设的统一LDAP拥有所有的校园用户信息，可以保证单点管理、全局生效。数字化校园门户系统的统一身份认证可以通过统一资源库中存储的用户ID、口令以及系统登录信息来认证用户身份并登录门户和应用系统。访问学校数字化校园门户系统的用户资源管理目录服务系统进行身份认证。

1.1.1.4.

2.单点登录服务

提供WEB-SSO（Single Sign On）服务，用户只需要登录一次就可以访问所有相互信任的WEB应用系统。包括可以将这次主要的登录映射到其他应用中，用于同一个用户的登录的机制；

《图单点登录访问示意》

用户登录portal的过程：首先用户如果发出了请求，那么系统的Identity Server会自动把用户定向到登录页面，用户登录后，会在Identity Server中自动产生一个SSO Token，这个SSO Token用来把用户的信息进行保存，并且对于以后发过来的验证请求，都会对应到这个SSO Token上面。

用户经门户登录数字化校园应用平台。从一个功能进入到另一个功能应用时系统平台已根据用户的角色与权限完成对用户的一次性身份认证(Single Sign On)。用户无须一次次输入用户名和密码登录门户平台外接的（集成的）应用子系统，而是单一的登录。系统平台并依据用户的角色与权限，提供该用户相应的活动“场所”、信息资源和基于其权限的功能模块和工具。

用户管理——创建与管理和用户相关的对象（用户、角色、组、组织、下级组织和可以组织的单元对象）。这些对象都可以使用Directory Server Management Edition管理控制台或命令行工具实现定义、修改与删除。

用户授权——对于用户的授权是采用Plug-in方式实现的。在Portal Server中每一个组织都可以配置用户授权方式。在获得Portal Server的Session前，用户必须通过授权的验证。

Single Sign-On——一旦用户已经通过授权认证，CAS Client API 就开始工作。每一次已授权试图访问一个受保护的页面时，SSO API 就检测用户是否有权利访问该资源。如果用户有权限访问该资源就不会有其他的认证过程发生，否则用户会被提示重新认证。

校园网络上的应用系统主要都是基于口令认证，为了提高这些口令认证系统的安全性，并实现不同的应用系统间的口令的统一，功能和特性有：

1．基于简单认证机制中的口令认证机制，以用户名和密码为确认用户身份的标志；

2．有完善的认证接口，让多种应用系统可以方便地通过接口使用本认证系统统一认证用户的身份；

3．用户密码在系统中加密存放，且不可逆；在认证过程中，明文密码绝不能在网络上传输，防止窃听导致泄密，保证用户密码的安全；

4．能够抵抗重放攻击，即防止攻击者使用窃听到的过时的认证数据包再次获得认证而冒充合法用户的身份；

统一口令认证系统主要包含三大部分：统一口令认证服务器、网络应用口令认证模块（包括Web口令认证模块、各应用系统口令认证模块等）和用户信息数据库。

用户信息数据库存放系统的相关用户信息，包括：用户名、单向加密后的用户密码、用户的权限信息、用户有效期以及用户附加信息等。

统一口令认证服务器通过本系统中定义的安全认证通道接收认证客户的认证请求，并根据数据库中的用户相关信息确认用户的身份，再次通过安全认证通道返回认证成功或认证失败的信息。

应用服务器（例如：Web服务器、主机服务器、各系统服务器等）既作为相对用户而言的服务器，又作为统一口令认证系统的客户。它们首先通过安全传输通道（如：SSL通道）获取用户提交的用户名和密码，然后通过口令认证系统提供的统一口令认证模块经由安全认证通道向口令认证服务器提交认证请求，并获得认证结果（成功或失败），最终确定是否给该用户提供服务。

1.1.1.4.3.个人自助服务

提供给所有用户修改密码、密码找回、修改昵称等个人自助服务，这样可以减轻平台管理员的工作压力，同时给用户提供更方便快捷的服务。

修改密码：在用户登录后，进入修改密码界面，首先输入原密码，然后进行新密码设置，校验成功后生效。

密码找回：当用户的密码忘记时，可以在门户的登录页面上选择密码找回功能，输入用户名并按照提示可以通过邮件、短信等方式找回密码。

修改昵称：在用户登录后，可以进行修改本用户的昵称，在平台的留言簿、讨论区等栏目可以使用昵称留言，同时在登录时也可通过昵称登录。

1.1.1.4.4.群集服务

在内存中存储登录用户权限、角色信息、组织机构信息登录信息，并通过集群广播向集群内服务器发送，以实现认证服务器集群扩展。

1.1.1.4.5.身份审核

为了应对学校日常管理的变化，防止系统管理人员的误操作和非法操作，对于组织机构的变动、角色的变动以及权限变动进行审核，只有经过审核同意的变动才真正被系统接受，从而实现真正的实体组织授权，避免管理员权限最大化，支持实体化真实授权模型。

在设计中，考虑到大部分业务系统的身份管理都是用WEB和数据库方式，因此，在这些系统中的用户认证方式使用CAS完成，对于支持LDAP认证的系统，并通过缓存技术和同步技术保证身份信息的唯一性和一致性。

1.1.1.4.6.单点登录

用户经门户登录数字化校园应用平台。从一个功能进入到另一个功能应用时系统平台已根据用户的角色与权限完成对用户的一次性身份认证(Single Sign On)。用户无须一次次输入用户名和密码登录门户平台外接的（集成的）应用子系统，而是单一的登录。系统平台并依据用户的角色与权限，提供该用户相应的活动“场所”、信息资源和基于其权限的功能模

块和工具。

用户管理——创建与管理和用户相关的对象（用户、角色、组、组织、下级组织和可以组织的单元对象）。这些对象都可以使用Directory Server Management Edition管理控制台或命令行工具实现定义、修改与删除。

用户授权——对于用户的授权是采用Plug-in方式实现的。在Portal Server中每一个组织都可以配置用户授权方式。在获得Portal Server的Session前，用户必须通过授权的验证。

Single Sign-On——一旦用户已经通过授权认证，Directory Server Access Management Edition SSO API 就开始工作。每一次已授权试图访问一个受保护的页面时，SSO API 就检测用户是否有权利访问该资源。如果用户有权限访问该资源就不会有其他的认证过程发生，否则用户会被提示重新认证。

校园网络上的应用系统主要都是基于口令认证，为了提高这些口令认证系统的安全性，并实现不同的应用系统间的口令的统一，功能和特性有：

1．基于简单认证机制中的口令认证机制，以用户名和密码为确认用户身份的标志；

2．有完善的认证接口，让多种应用系统可以方便地通过接口使用本认证系统统一认证用户的身份；

3．用户密码在系统中加密存放，且不可逆；在认证过程中，明文密码绝不能在网络上传输，防止窃听导致泄密，保证用户密码的安全；

4．可以实现认证客户端和认证服务器的双向认证，确保认证双方的身份；

5．能够抵抗重放攻击，即防止攻击者使用窃听到的过时的认证数据包再次获得认证而冒充合法用户的身份；

6．支持分布式认证的方式，认证中心独立部署，支持应用集群的认证。

统一口令认证系统主要包含三大部分：统一口令认证服务器、网络应用口令认证模块（包括Web口令认证模块、主机口令认证模块、各应用系统口令认证模块等）和用户信息数据库。

用户信息数据库存放系统的相关用户信息，包括：用户名、单向加密后的用户密码、用户的权限信息、用户有效期以及用户附加信息等。

统一口令认证服务器通过本系统中定义的安全认证通道接收认证客户的认证请求，并根据数据库中的用户相关信息确认用户的身份，再次通过安全认证通道返回认证成功或认证失败的信息。

应用服务器（例如：Web服务器、主机服务器、各系统服务器等）既作为相对用户而言的服务器，又作为统一口令认证系统的客户。它们首先通过安全传输通道（如：SSL通道）获取用户提交的用户名和密码，然后通过口令认证系统提供的统一口令认证模块经由安全认证通道向口令认证服务器提交认证请求，并获得认证结果（成功或失败），最终确定是否给该用户提供服务。

1.1.1.5.统一用户及权限管理

1.1.1.5.1.用户统一注册模块

一般来说，每个应用系统都拥有独立的用户信息管理和权限管理功能，用户信息的格式、命名与存储方式也多种多样。当用户需要使用多个应用系统时就会带来用户信息同步问题。用户信息同步会增加系统的复杂性，在权限管理方面各系统有着不同的权限模型，授权的方式也不太一样，这样会大大增加各系统的管理成本。

用户统一管理，统一存储，权限分布或集中管理是我们统一身份管理系统建设的主要目标。

统一身份管理特点:

?用户支持LDAP和数据库的同时存储，在系统初始化时，可以选择用户存储的位置LDAP 或DB，也可以同时选择这两种，这样即解决了LDAP在认证时的压力，也解决了用户在数据交换时的数据库压力。

?支持批量处理，能够处理在新生入学，学生毕业等大数据量的业务操作。

?身份变更支持策略管理，由于不同学校在不同时期身份管理方面的处理流程都会不一样，如：学生异动，教师异动等，我们提供了策略管理模块，针对不同的情况，可以随时改变身份变更时的业务处理流程。

?组织机构管理支持多级管理，大到院系，小到部门。支持组织机构的拆分与合并。

?支持管理角色和业务角色分离，管理的角色只能负责权限的管理，不能操作业务模块，有效的解决了权限管理上的漏洞。

?权限支持审核和委托。

接口丰富，在统一身份管理系统里，全部基于接口开发，并封装成web services接口，可以与第三方系统进行集成。

1.1.1.5.1.1.组织机构及用户注册管理

管理创建多级组织机构、部门信息；管理系统用户信息、限制用户登录权限；机构管理员、机构负责人、办公室主任配置。

《图组织机构管理》