身份认证管理
系统简介
学校IT应用的迅速发展,各种业务系统和用户数量在不断增加,网络规模也逐日扩大,这些业务系统绝大多数由不同管理部门负责,建立之初并没有考虑统一的数据共享和用户身份认证管理问题,造成现在绝大多数管理系统数据不能共享,各系统有其自身的用户管理和认证方式,用户要面对不同的登录界面,记忆不同的账号信息,系统管理员不得不维护多个系统中的用户信息。总的来说,学校各应用系统访问控制和信息安全问题愈渐突出,原有每个业务系统分散的“独立认证、独立授权、独立账号管理”的模式以及不能满足学校目前及未来发展的要求。
身份认证管理平台旨在解决多个系统之间的身份数据的统一和身份认证的统一,使得用户只需要提供一次凭证就能在多个系统之间访问。统一身份认证使得各个系统管理员不再分散地管理人员身份,而用户不要记忆多套繁杂的用户名口令。并在此基础上实现对身份数据的审计与管理,提升系统安全性。
设计思路
达科经过多年在身份认证和身份管理方面的研究和实践,结合当前先进的技术,针对上述问题,成功研发一整套基于CAS2.0协议的身份认证和基于4A规范身份管理的产品:达科身份认证管理平台。该平台产品在实现高性能、高可靠性和高安全性的单点登录的前提下,全面解决了学校在访问控制(Authentication)、身份管理(Ac-count)、统一授权(Authorization)、安全审计(Audit)四个方面存在的安全和管理难题。
功能优势
低成本
1.产品提供统一的身份管理服务,支持身份数据的全生命周期管理,且可以支持基于Excel文件的批量管理,从而极大地降低了管理成本。
2.支持动态口令。动态口令是低成本的安全认证方案,产品提供各种手机动态口令客户端,全面支持动态口令认证。
3.提供认证代理集成方式。为应对身份认证集成难度大的遗留系统,提供简便的代理集成方式,有效提高集成成功率和控制集成成本。
高安全
1.产品支持身份账号自动同步,且拥有灵活的账号生成策略和账号终结策略。并且支持随机密码生成,避免了初始密码带来的安全隐患。
2.身份管理和身份认证相对独立,互不干扰。密码采用不可逆加密存储,且拥有灵活的密码控制策略,保证密码数据安全可靠。
3.产品拥有安全审计功能,可对全校用户身份账号的管理、授权以及用户的认证行为中可能存在的问题进行审计。
高效率
1.按照学校身份数据管理场景,可实现多人数据管理员,符合学校用户使用习惯,大大提高了工作效率。
2.支持标准的X.509证书认证,能满足安全需求较高的用户。
3.支持USBKEY认证方式。USBKEY是成熟的安全认证方案,产品支持各种USBKEY厂商的产品
4.支持手机号码别名登录。用户可以直接使用手机号或者别名进行登录,极为方便。
高监管
1.产品拥有完善的监控功能,可对平台内的单点登录会话、服务进程和服务器硬件资源进行实时监控,且可通过各类图表进行直观的结果展现。一旦发现问题,系统会自动发出警告,并以Email的方式通知管理员,以保证问题得到及时解决。
2.平台内的所有操作均被记录,能够对每个角色管理员的操作行为、用户自助管理行为和用户登录访问行为进行记录,以作用户行为分析之用。
技术优势
操作便捷
1. 遵循CAS2.0协议规范
用于SSO会话的Cookie限定在了身份认证服务器的域名使用,不需要在子域中共享SSOCookie,这样就使得Cookie劫持的可能性降到了最低。另外认证交互仅在建立SSO时才进行,客户端认证完毕即不再与身份认证服务器交互,这使得身份认证服务器的认证效率大为提高。
2. 支持SAML2.0的身份认证和单点登录功能
支持SAML2.0身份认证和单点登录功能。达科统一身份认证平台实现统一身份认证和单点登录均遵从SAML规范,能够支持实现SAML规范的其他应用的认证集成。
技术强大
1. 强大的目录服务器
采用最新的Oracle Dsee作为认证的LDAP服务器,符合LDAP V3标准,通过控制台可实现LDAP服务器的灵活扩展,支持LDAP代理,负载均衡,多主复制,并且能运行在最新的Linux各种版本的操作系统之上,相比之前的LDAP服务器,在高性能、高可用性和高扩展性上有很大的提升。
2.基于Nginx认证代理集成
提供认证代理集成的身份认证集成方式,相比前一版本的基于Jetty的代理服务器,新版本的代理基于Nginx模块开发技术,追求极致的性能,利用了Nginx自身的反向代理功能,无论是在性能上还是代理容错性上都有质的飞跃,理论上一台主流服务器可实现认证集成代理支持上百万级别的并发访问。
3.Terracotta集群工具
Terracotta是唯一一个在JVM层实现Java集群的平台。达科统一身份认证采用它来实现多个认证服务器之间的缓存同步,它最大的特点是它使用Java二进制代码增强的方式(binary code injection)截获集群节点对数据的修改和获取的请求,利用单独的Terracotta服务器调配数据的流向,以达到最高的网络效率。必要情况下,还提供了数据分片(striping)的功能,使得集群吞吐量随着Terracotta服务器数量的增加达到线性增长。
检控安全
实现负载均衡和失败转移
采用Nginx作为负载均衡,通过它将请求分发到不同的服务器从而达到高可用性和高效的处理能力。另外采用LVS实现了故障转移,通过及时检测到系统中出现故障的身份认证服务器,将请求发送到正常的服务中,从而避免系统在某个服务器出现故障时导致全系统瘫痪。
系统结构图解
