统一身份认证统一系统授权统一系统审计统一消息平台统一内容管理方案设计

基础支撑层统一身份认证（ SSO）统一身份认证解决用户在不同的应用之间需要多次登录的问题。目前主要有两种方法，一种是建立在PKI，Kerbose和用户名 /口令存储的基础上；一种是建立在 cookie 的基础上。统一身份认证平台主要包括三大部分：统一口令认证服务器、网络应用口令认证模块(包括 Web 口令认证、主机口令认证模块、各应用系统口令认证模块等 ) 和用户信息数据库，具体方案如下图。1、采用认证代理，加载到原有系统上，屏蔽或者绕过原有系统的认证。2、认证代理对用户的认证在公共数据平台的认证服务器上进行，认证代理可以在认证服务器上取得用户的登录信息、权限信息等。3、 同时提供一个频道链接， 用户登录后也可以直接访问系统， 不需要二次认证。4、对于认证代理无法提供的数据信息，可以通过访问 Web Service接口来获得权限和数据信息。单点登录认证的流程如下图所示：统一身份认证统一系统授权统一系统审计统一消息平台统一内容管理认证代理Web 系统用户访问公共数据库平台认证服务器Web Service接口Web 系统链接其他资源验证单点登录只解决用户登录和用户能否有进入某个应用的权限问题，而在每个业务系统的权限则由各自的业务系统进行控制，也就是二次鉴权的思想， 这种方式减少了系统的复杂性。统一身份认证系统架构如下图所示。统一系统授权统一系统授权支撑平台环境中， 应用系统、子系统或模块统通过注册方式向统一系统授权支撑平台进行注册， 将各应用系统的授权部分或全部地委托给支撑平台，从而实现统一权限管理，以及权限信息的共享，其注册原理如下图。用户应用A WEB应用B WEB认证服务器Ldap ServerCookie Server1 用户名/密码8 cookie + 数据2 认证服务7Cookie+Cookie_inf3 用户名/密码4 结果5 cook ie_infc 取cookie_inf6 登记结 果d 结 果a url+Cookief 应用bCookieeCookie_inf单点登录系统认证流程认证服务器注册服务认证服务用户接口Ldap Server用户信息校园门户网站身份认证二次鉴权业务系统 A身份认证二次鉴权用户用户维护Cookie ServerCookie_inf门用户对各应用系统的访问权限存放在统一的权限信息库中。用户在访问应用系统的时候， 应用系统通过统一授权系统的接口去查询、验证该用户是否有权使用该功能， 根据统一系统授权支撑平台返回的结果进行相应的处理，其原理如下图。统一系统授权支撑平台的授权模型如下图所示。在授权模型中采用了基于角色的授权方式，以...