2024年5月30日发(作者：)

统一身份认证设计方案

目 录

1.1系统总体设计 5

1.1.1总体设计思想 5

1.1.2平台总体介绍 5

1. 1.3平台总体逻辑结构 7

1. 1.4平台总体部署 8

1.2平台功能说明 8

1.3集中用户管理 8

1.3.1管理服务对象 9

1.3.2用户身份信息设计 11

2. 1用户类型 11

2. 2身份信息模型 11

2.3身份信息的存储 12

1.3.3用户生命周期管理 12

1.3.4用户身份信息的维护 13

1.4集中证书管理 14

1.4.1集中证书管理功能特点 14

1-5集中授权管理 16

1.5.1集中授权应用背景 16

1.5.2集中授权管理对象 17

1.5.3集中授权的工作原理 18

1.5.4集中授权模式 19

1.5.5细检度授权 20

1.5.6角色的继承 21

1.6集中认证管理 23

L6.1集中认证管理特点 24

1.6.2身份认证方式 24

1.6.2. 1用户名/ 口令认证 25

2.2数字证书认证 25

2. 3 Windows 域认证 26

2.4通行码认证 26

2.5认证方式与安全等级 26

1.6.3身份认证相关协议 27

1. 6. 3. 1 SSL 协议 27

3.2 Windows 域 27

3.3 SAML 协议 28

1.6.4集中认证系统主要功能 30

1.6.5单点登录 31

5. 1单点登录技术 31

5.2单点登录实现流程 33

1.7集中审计管理 36

1.1系统总体设计

为了加强对业务系统和办公系统的安全管控，提高信息化安全管理水 平，我们设计了基于PKI/CA技术

为基础架构的统一身份认证服务平台。

1.1.1总体设计思想

为实现构建针对人员管理层面和应用层面的、全面完善的安全管控需 要，我们将按照如下设计思想为设

计并实施统一身份认证服务平台解决方 案：

在部建设基于PKI/CA技术为基础架构的统一身份认证服务平台，通过 集中证书管理、集中账户管理、

集中授权管理、集中认证管理和集中审计 管理等应用模块实现所提出的员工统一、系统资源整合、应用数

据共享和 全面集中管控的核心目标。

提供现有统一门户系统，通过集成单点登录模块和调用统一身份认证 平台服务，实现针对不同的用户登

录，可以展示不同的容。可以根据用户 的关注点不同来为用户提供定制桌面的功能。

建立统一身份认证服务平台，通过使用唯一身份标识的数字证书即可 登录所有应用系统，具有良好的扩展

性和可集成性。

提供基于LDAP目录服务的统一账户管理平台，通过LDAP中主、从账 户的映射关系，进行应用系统级的

访问控制和用户生命周期维护管理功能。

用户证书保存在USB KEY中，保证证书和私钥的安全，并满足移动办 公的安全需求。

1.1.2平台总体介绍

以PKI/CA技术为核心，结合国外先进的产品架构设计，实现集中的用 户管理、证书管理、认证管理、

授权管理和审计等功能，为多业务系统提 供用户身份、系统资源、权限策略、审计日志等统一、安全、有

效的配置 和服务。

如图所示，统一信任管理平台各组件之间是松耦合关系，相互支撑又 相互独立，具体功能如下：

集中用户管理系统：完

统管理的安全风险。

集中证书管理系统：集成证书注册服务（RA）和电子密钥（USB-Key） 管理功能，实现用户证书申请、

审批、核发、更新、吊销等生命周期管理 功能，支持第三方电子认证服务。

集中认证管理系统：实现多业务系统的统一认证，支持数字证书、动态口令、静态口令等多种认证方

式；为企业提供单点登录服务，用户只需要登录一次就可以访问所有相互信任的应用系统。

集中授权管理系统：根据企业安全策略，釆用基于角色的访问控制技 术，实现支持多应用系统的集中、

灵活的访问控制和授杈管理功能，提高 管理效率。

集中审计管理系统：提供全方位的用户管理、证书管理、认证管理和 授权管理的审计信息，支持应用系

统、用户登录、管理操作等审计管理。

1.1.3平台总体逻辑结构

总体逻辑结构图如下所示：

成各系统的用户信息整合，实现用

户生命周期的集中统一管理，并建立与各应用系统的同步机制，简化用户及其账号的 管理复杂度，降低系