统一认证.ppt

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,北京国富安电子商务安全认证有限公司,数字证书服务及,4A,产品介绍,用户分散,缺乏监管,授权混乱,数据分散,重复建设,多次登录,面临的困境,EC,平台,发展,4A,产品的初衷,账号管理（,Account,）,缺少帐号和自然人的逻辑关联，一旦出现安全问题，很难定位到自然人,各系统的帐号管理独立且分散，管理员很难完成对帐号的有效管理,账号多人共用，难以实现帐号权限的有效监督和审核,当有人员或岗位变动时，管理员需要频繁地登录到各个系统中为相应的用户创建、删除、修改帐号，工作量巨大,用户在各个系统上自主设定、修改密码，密码强度难以保证、定期修改的规定难以执行,无效账户难以彻底删除或者禁止帐号,安全现状,认证管理（,Authentication,）,多样的身份认证系统，每个,系统都有一套独立的认证,管理体系，给管理员带来了很大负担,各信息系统都有一套独立的认证管理体系，无法贯彻统一的登录控制策略,登录各系统都需要输入用户名和口令，用户操作繁琐,现有系统中账号级别与认证方式不对应,安全现状,授权管理（,Authorization,）,各应用系统都有一套独立的授权管理，缺乏集中统一的资源授权管理；,各系统分别管理所属的系统资源，无法严格按照最小权限原则分配权限,随着用户数量的增加，权限管理任务越来越重,用户的权限和自己的工作职责是不一致的,安全现状,审计管理（,Audit,）,各应用系统都有一套独立的,审计管理,并且审计内容和强度不一致，无法贯彻统一的审计管理策略,缺乏集中统一的设备审计管理，无法有效完成对日志记录的定期审阅。,无法对日志进行综合分析，不能及时发现异常，对出现问题立即采取有效的防护措施,安全现状,GFA 4A,集中管理平台,的最终目标是建立一套信息安全的基础设施，并通过它为各种应用提供包括用户信息、身份认证、授权管理、审计与责任认定等功能在内的安全支撑服务,。,1,安全账号,Account,2,身份认证,Authentication,3,授权管理,Authorization,4,审计责任认定,Audit,GFA 4A,集中管理平台目标,产品组成,GFA 4A,集中安全管理平台将包含如下产品：,序号,产品名称,功能描述,备注,1,GFA-SSO,国富安单点登录系统,2,GFA-Auth,国富安身份认证系统,3,GFA-ARA,国富安授权管理系统,包括权限管理、查询；属性证书签发,4,GFA-Account,国富安账号管理系统,5,GFA-Audit,国富安审计系统,包含强审计、责任认定,GFA 4A,安全管理平台系统组成,GFA Auth,GFA ARA,GFA SSO,GFA Audit,GFA Account,Auth-Service,Auth,-,Gina,Auth,-,Pam,ARA,-,UserInfo,ARA,-,Service,SSO,-,Login,SSO,-,Portal,SSO,-,Filter,Audit,-,Service,Audit,-,Watch,Audit,-,Monitor,Audit,-,Report,Audit,-,Filter,Account,-,Admin,Account,-,Service,国富安,4A,集中安全管理平台,解决方案,总体逻辑架构,功能介绍,:,主帐号创建、修改、删除、锁定,/,解锁、同步（可以从现有的信息系统中导入，如,OA,系统等）；,从帐号的搜集、创建、删除、锁定,/,解锁；,主帐号和从帐号的关联；,批量创建从帐号（用户入职时）；,批量删除从帐号（用户离职时）；,主账号,/,从账号口令策略的管理，支持长度、频度（使用多少次）、构成、周期（使用多长时间）等口令策略。,账号分布报表功能,4A,安全管理平台,-,帐号管理,最终目标,:,管理员在一点上即可对不同系统中的账号进行管理，实现：,账号与人的关联；,网络设备、操作系统、甚至应用系统中已有账号的收集；,新建账号并同步到各系统中去；,实现集中的密码策略，并按照密码策略的要求，自动、集中、定期修改系统账号的口令；,实现集中删除一个自然人的所有或者部分系统账号；,保留账号创建、分配、变更、删除整个过程的信息，从而知道什么时间、哪些账号给了哪些人，每个人拥有什么样的账号，便于审计。,4A,安全管理平台,-,帐号管理,Agent,账号管理服务器（,GFA Account,）,服务器主机,服务器主机,帐号同步服务,User1,User2,User n,User1,User2,User n,Agent,Agent,用户,系统,用户名,密码,张三,Portal,系统,user1,1234,邮件系统,User2,2345,DOMINO,系统,User3,AAAA,报销系统,user4,CCCC,工资系统,user5,BBBB,应用系统,Agent,网络设备,User1,User2,.,User n,帐号同步服务,User1,User2,.,User n,帐号管理员,账号搜集,4A,安全管理平台,-,帐号管理,用户,系统,用户名,密码,001,Portal,系统,user1,1234,邮件系统,User2,2345,DOMINO,系统,User3,AAAA,报销系统,user4,CCCC,工资系统,user5,BBBB,用户,系统,用户名,密码,001,Portal,系统,user1,1234,邮件系统,User2,2345,DOMINO,系统,User3,AAAA,报销系统,user4,CCCC,工资系统,user5,BBBB,系统,1,A,123456,主机,1,A,123456,主机,2,A,123456,Agent,账号管理服务器（,GFA Account,）,服务器主机,服务器主机,帐号同步服务,User1,User2,User n,User1,User2,User n,Agent,Agent,应用系统,Agent,网络设备,User1,User2,.,User n,帐号同步服务,User1,User2,.,User n,帐号管理员,User1,A,User2,.,User n,User1,A,User2,User n,User1,A,User2,User n,User1,A,User2,.,User n,账号批量增加,/,删除,4A,安全管理平台,-,帐号管理,统一认证平台,服务器主机,网络设备,应用系统,数据库,用 户,SSO,：用户在登录帐号安全管理平台后，在登录他,/,她有权限访问的信息系统时不需要再输入口令，从而实现一处登录，处处通行,4A,安全管理平台,统一认证,模块组成,:,SSO,门户（,SSO Portal,）,Web,过滤器,(,SSO,-,Filter,),智能口令,(,SSO,-,Login,),认证服务器（,GFA Auth,）,4A,安全管理平台,统一认证,总体架构,4A,安全管理平台,统一认证,支持的认证方式,用户名,/,密码,动态口令,数字证书,指纹等生物特征,智能卡,短消息,身份认证方式选择,普通用户选择用户名,/,口令,关键用户选择证书等,安全策略,密码规则，长度、构成、复杂度设置,时间限制、频次限制、次数限制,定期更改,4A,安全管理平台,统一认证,集中的权限管理,采用,RBAC,（基于角色的访问控制）的授权模式，对用户能够访问的资源进行授权，并集中保存再权限策略库中。,权限分布报表功能,支持按照用户、信息系统等条件出具权限分布的报表。,操作控制功能,对用户在信息系统中的具体操作按照相应的授权策略进行有效控制,。,4A,安全管理平台,集中授权,实现功能,:,4A,安全管理平台,集中授权,逻辑模型,:,访问的设备地址,以管理员身份进行管理,规定是特权用户,定制可用命令集,访问的主机地址,端口,应用名,消息字段,菜单,功能模块,粗粒度,/,细粒度,源,IP,地址,源,IP,地址段,限制端口,定制用户权限,限制可用,Shell,命令,/,可执行程序,主机地址,数据库名,账号类别,网络设备,应用系统,服务器主机,数据库,4A,安全管理平台,集中授权,集中的安全审计,用户从登录,4A,平台开始，到退出整个过程中的用户在各个信息系统中的操作。,审计内容展示,按照用户、时间等条件查询出审计记录，每条记录对应一个会话，包括开始时间和退出时间，当点击相应记录时会出具在这个会话中该用户的所有操作。,审计报表,按照用户、信息系统等条件出具详尽的用户操作审计报表。,4A,安全管理平台,集中审计,实现功能,:,账号管理审计,主账号与从账号对应关系,主账号的创建时间创建人,主、从账号的有限期,密码更改规则,应用系统,网络设备,服务器主机,数据库,管理员,用户,账号授权审计,权限分配时间、分配者,主、从账号的访问权限,资源的授权访问者,登录过程审计,什么人用什么账号登录,什么时间登录什么系统,什么时间退出,身份认证审计,身份认证统计,失败身份认证统计,登录后行为审计,用户访问了哪些资源,对资源做了什么操作,收集应用系统日志记录,账号管理,授权管理,用户登录,用户操作,4A,安全管理平台,集中审计,产品名称,简要规格,用途,数量,服务器,Intel Xeon Processor 3.0GHz4,；,4G Memory,；,73.4G2,；双千兆网卡；,RAID,卡；,DVD-ROM,；双冗余电源；支持,linux,系统,认证服务器,2,服务器,Intel Xeon Processor 3.0GHz4,；,8G Memory,；,73.4G2,；双千兆网卡；,RAID,卡；,DVD-ROM,；双冗余电源；支持,linux,系统,授权管理服务器,2,服务器,Intel Xeon Processor 3.0GHz4,；,4G Memory,；,73.4G2,；双千兆网卡；,RAID,卡；,DVD-ROM,；双冗余电源；支持,linux,系统,账号管理服务器,2,服务器,Intel Xeon Processor 3.0GHz4,；,8G Memory,；,73.4G2,；双千兆网卡；,RAID,卡；,DVD-ROM,；双冗余电源；支持,linux,系统,目录服务器,2,服务器,Intel Xeon Processor 3.0GHz4,；,4G Memory,；,73.4G2,；双千兆网卡；,RAID,卡；,DVD-ROM,；双冗余电源；支持,linux,系统,审计服务器,2,服务器,Intel Xeon Processor 3.0GHz4,；,8G Memory,；,73.4G2,；三,千兆网卡；,光纤存储卡*,2,；,40G-80G,磁带机；,DVD-ROM,；冗余电源；,UNIX,操作系统；集群管理软件；支持,oracle 10g RAC,。,数据库盘阵需求：,146G*10,；双活动,2GB RAID,控制器；光纤通道（,FC,）；存储分区技术；支持,RAID0,1,用户信息、权限信息数据库,2,4A,集中管理平台系统配置,3,国富安,4A,产品相关案例,-,无锡财政局,4A,平台建设,项目背景,无锡市财政局拥有应用系统,10,套以上，应用形式同时包含,B/S,及,C/S,应用，,C/S,结构应用系统使用,pb/delphi,开发，,B/S,系统服务器采用,iis/weblogic,为主，数据库有,orale,、,sqlserver,。信息系统用户内部数量为,200,人左右，外部用户达到,1000,人以上。,系统环境,系统名称,服务形式,系统平台,WEB,服务器类型及版本,开发语言,预算执行系统,B/S,AIX 5.0,Apache 2.0,java,C/S,Delphi,非税收入系统,B/S,AIX 5.0,weblogic 8.1,J2EE,契税征管系统,C/S,AIX 5.0,PB6.5,建设资金管理系统,B/S,AIX 5.0,IIS,C#,票据管理系统,C/S,Windows 2000,Delphi,会计信息管理系统,C/S,Windows 2000,.net,预算级次核定系统,C/S,Windows 2000,Delphi,内控管理系统,B/S,Windows 2003,IIS,C#,办公自动化系统,B/S,Windows 2003,IIS,C#,财税库系统,C/S,Windows 2000,Delphi,B/S,Windows 2003,IIS,C#,部门预算系统,C/S,Windows 2000,土地出让金,C/S,Windows 2000,系统架构,Thank you!,谢谢,s,so,概述,SSO,英文全称,Single Sign On,，单点登录。,SSO,是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。,实现,SSO,需要实现功能：,所有应用系统共享一个身份认证系统,所有应用系统能够识别和提取,ticket,信息,认证系统的主要功能是将用户的登录信息和用户信息库相比较，对用户进行登录认证；认证成功后，认证系统应该生成统一的认证标志（,ticket,），返还给用户。另外，认证系统还应该对,ticket,进行效验，判断其有效性,要实现,SSO,的功能，让用户只登录一次，就必须让应用系统能够识别已经登录过的用户。应用系统应该能对,ticket,进行识别和提取，通过与认证系统的通讯，能自动判断当前用户是否登录过，从而完成单点登录的功能,单点登录现有模型,基于经纪人,(Broker-based),的单点登录模型,基于代理,(Agent-based),的单点登录模型,基于网关,(Gateway-Based),的单点登录模型,基于代理与经纪人,(Agent and Broker-based),的单点登录模型,此模型有一个集中认证和用户账号管理的服务器，使用中央认证服务器和中央数据库，像一个经纪人一样，为认证提供一个公共和独立的第三方,此模型有一个自动为不同应用程序认证用户身份的代理程序，代理人在服务器的认证系统和客户端认证方法之间充当一个,“,翻译,”,。基于代理的单点登录模型保证了通道的安全和单点登录，具有比较好的可实施性和灵活性。但是基于代理的单点登录模型的用户登录凭证要在本地存储，增加了口令泄露的危险,在这种单点登录模型中提供一个类似像,“,门,”,一样的网关。用以安全地接入到可信的网络服务，网关可以是防火墙或者是专门用于通讯加密的服务器。这种方案，对企业中现有的网络环境要求比较严格。也需要现有的企业应用来适应它，所以这种方案的应用范围并不广泛,将基于代理,(Agent-Base),的单点登录模型和基于经纪人,(Broker-Base),的单点登录模型结合起来，充分利用了前者的灵话性、对现有系统改造小的优点和后者的中央式管理优势,基于经纪人,:,（可实施性）对旧系统的改造量比较大。,（可管理性）可实现集中式的管理。,代理模型,:,需要为每个旧系统新添加一个代理，移植比较简单。,管理比较难以控制。,代理和经纪人模型,:,把基于经纪人的解决方案和基于代理的解决方案相结合。,基于代理模型的最大优点就是能减少对应用程序的改造，而基于经纪人模型的最大优点就是认证集中，基于以上两点，,AgentandBroker-based,模型就兼具了前者集中管理和后者无需修改应用服务程序的优点。,网关模型。需要通过一台专用的网关才能访问各种应用。,易于管理，但不同网关之间的数据库需要同步。,一般来说，每个应用系统都拥有独立的用户信息管理功能，用户信息格式、命名与存储方式多种多样，当用户需要使用多个应用系统时就会带来用户信息同步问题。根本解决办法是统一存储所有应用系统的用户及权限信息，实现统一存储、统一授权。,统一用户管理,1,用户信息规范命名、统一存储，用户,ID,全局惟一。用户,ID,犹如身份证，区分和标识了不同的个体。,2,统一用户管理向各应用系统提供用户属性列表，如姓名、电话、地址、邮件等属性，可以设置各应用系统对应的部分或全部操作权限。,3,应用系统对用户基本信息的增加、修改、删除和查询等请求由统一用户管理统一处理。,4,应用系统可保留用户管理功能，如用户分组、用户授权等功能。,统一用户管理,4A,Agent,账号管理服务器,服务器主机,服务器主机,帐号同步服务,User1,User2,User n,User1,User2,User n,Agent,Agent,用户,系统,用户名,密码,张三,Portal,系统,user1,1234,邮件系统,User2,2345,DOMINO,系统,User3,AAAA,报销系统,user4,CCCC,工资系统,user5,BBBB,应用系统,Agent,网络设备,User1,User2,.,User n,帐号同步服务,User1,User2,.,User n,帐号管理员,账号搜集,4A,安全管理平台,-,帐号管理,用户,系统,用户名,密码,001,Portal,系统,user1,1234,邮件系统,User2,2345,DOMINO,系统,User3,AAAA,报销系统,user4,CCCC,工资系统,user5,BBBB,用户,系统,用户名,密码,001,Portal,系统,user1,1234,邮件系统,User2,2345,DOMINO,系统,User3,AAAA,报销系统,user4,CCCC,工资系统,user5,BBBB,系统,1,A,123456,主机,1,A,123456,主机,2,A,123456,Agent,账号管理服务器,服务器主机,服务器主机,帐号同步服务,User1,User2,User n,User1,User2,User n,Agent,Agent,应用系统,Agent,网络设备,User1,User2,.,User n,帐号同步服务,User1,User2,.,User n,帐号管理员,User1,A,User2,.,User n,User1,A,User2,User n,User1,A,User2,User n,User1,A,User2,.,User n,账号批量增加,/,删除,4A,安全管理平台,-,帐号管理,主机：,同步方式：使用标准的通信接口,telnet,、,ssh,，通过发送用户操作指令的方式对主机从帐号进行相应的维护。,网络设备：,驱动主要通过,Radius,协议和建立内置,Radius,服务器的方式进行帐号的管理，以及进行帐号的访问控制等授权管理。,数据库：,通过,JDBC,协议与数据进行交换，进行数据库帐号等的权限信息的管理。,应用系统：,通过标准接口来实现帐号同步，如,JDBC/ODBC,、标准,LDAP,通过私有协议来实现和应用系统间帐号接口，提供,java,或,c,的标准,api,接口，,webservice jmx,等接口,同步功能,-,技术实现,应用系统的认证改造,基于认证转发的应用改造模式,SSO,过滤器安装于受保护应用系统的服务器上，负责对用户的访问进行 拦截，并协调SSO Server对用户身份进行验证。支持各种Web Application类型，如JSP,Servlet,ASP,ASP.NET,.NSF,PHP,CGI 等多种应用类型。提供在应用系统本地将Single Sign On的用户帐号映射成该应用系统用户账号并由安装在该应用系统服务器端的SSO过滤器实现自动登录的方法。,应用系统的认证改造方法,-,认证拦截与转发,应用系统的认证改造的方法,-,本地认证恢复,