1 基础支撑层 统一身份认证（SSO） 统一身份认证解决用户在不同的应用之间需要多次登录的问题。目前主要有两种方法，一种是建立在PKI，Kerbose 和用户名/口令存储的基础上；一种是建立在cookie 的基础上。统一身份认证平台主要包括三大部分：统一口令认证服务器、网络应用口令认证模块(包括Web 口令认证、主机口令认证模块、各应用系统口令认证模块等) 和用户信息数据库，具体方案如下图。 1、采用认证代理，加载到原有系统上，屏蔽或者绕过原有系统的认证。 2、认证代理对用户的认证在公共数据平台的认证服务器上进行，认证代理可以在认证服务器上取得用户的登录信息、权限信息等。 3、 同时提供一个频道链接，用户登录后也可以直接访问系统，不需要二次认证。 4、对于认证代理无法提供的数据信息，可以通过访问Web Service 接口来获得权限和数据信息。 单点登录认证的流程如下图所示： 统一身份认证 统一系统授权 统一系统审计 统一消息平台 统一内容管理 认证代理 Web 系统 用户访问 公共数据库平台 认证服务器 Web Service接口 Web 系统链接 其他资源 验证 2 单点登录只解决用户登录和用户能否有进入某个应用的权限问题，而在每个业务系统的权限则由各自的业务系统进行控制，也就是二次鉴权的思想，这种方式减少了系统的复杂性。统一身份认证系统架构如下图所示。 统一系统授权 统一系统授权支撑平台环境中，应用系统、子系统或模块统通过注册方式向统一系统授权支撑平台进行注册，将各应用系统的授权部分或全部地委托给支撑平台，从而实现统一权限管理，以及权限信息的共享，其注册原理如下图。 用户应用A WEB应用B WEB认证服务器Ldap ServerCookie Server1 用户名/密码8 cookie + 数据2 认证服务7 Cookie + Cookie_inf3 用户名/密码4 结果5 cookie_infc 取cookie_inf 6 登记结果d 结果 a url+Cookie f 应用 b Cookiee Cookie_inf单点登录系统认证流程认证服务器注册服务认证服务用户接口Ldap Server用户信息校园门户网站身份认证二次鉴权业务系统A身份认证二次鉴权用户用户维护Cookie ServerCookie_inf门 3 用户对各应用系统的访问权限存放在统一的权限信息库中。用户在访问应用系统的时候，应用系统通过统一授权系统的接口去查询、验证该用户是否有权使用该功能，根据统一系统授权支撑平台返回的结果进行相应的处理，其原理如下图。 统一系统授权支撑平台的授权模型如...
