统一身份认证系统技术方案.doc

智慧海事一期统一身份认证系统 技术方案 目 录 目 录 i 1. 总体设计 2 1.1 设计原则 2 1.2 设计目标 3 1.3 设计实现 3 1.4 系统部署 4 2. 方案产品介绍 6 2.1 统一认证管理系统 6 2.1.1 系统详细架构设计 6 2.1.2 身份认证服务设计 7 2.1.3 授权管理服务设计 10 2.1.4 单点登录服务设计 13 2.1.5 身份信息共享与同步设计 15 2.1.6 后台管理设计 18 2.1.7 安全审计设计 20 2.1.8 业务系统接入设计 22 2.2 数字证书认证系统 22 2.2.1 产品介绍 22 2.2.2 系统框架 23 2.2.3 软件功能清单 24 2.2.4 技术标准 25 3. 数字证书运行服务方案 27 3.1 运行服务体系 27 3.2 证书服务方案 27 3.2.1 证书服务方案概述 27 3.2.2 服务交付方案 28 3.2.3 服务支持方案 35 3.3 CA基础设施运维方案 36 3.3.1 运维方案概述 36 3.3.2 CA系统运行管理 36 3.3.3 CA系统访问管理 37 3.3.4 业务可持续性管理 37 3.3.5 CA审计 38 总体设计 设计原则 一、标准化原则 系统的整体设计要求基于国家密码管理局《商用密码管理条例》、公安部计算机系统安全等级要求和《中华人民共和国计算机信息系统安全保护条例》的有关规定。数字证书认证系统的安全基础设施的设计和实现将遵循相关的国际、国内技术和行业标准。 二、安全性原则 系统所采用的产品技术和部署方式必须具有足够的安全性，针对可能的安全威胁和风险，并制定相应的对策。关键数据具有可靠的备份与恢复措施。 三、可用性原则 系统具有足够的容量和良好的性能，能够支撑百万级或千万级用户数量，并能够在海量用户和大并发访问压力的条件下，保持功能和性能的可用性。 四、健壮性原则 系统的基础平台成熟、稳定、可靠，能够提供不间断的服务，相关产品均具有很强的健壮性、良好的容错处理能力和抗干扰能力。 五、模块化原则 系统的设计和实现采用模块化结构，各个模块具有相对独立的功能和开放的接口。可以根据系统的需要进行功能模块的增加或减少，而不必改变原来的程序构架；针对不同的应用定制实施模块。 六、可扩展原则 随着业务的发展，对未来系统的功能和性能将会提出更高的要求。系统在设计和实现上，应具有良好的可扩展性。可以通过对硬件平台、软件模块的扩展和升级，实现系统功能和性能的平滑地扩展和升级。 七、方便开发原则 系统提供丰富的二次开发工具和接口，便于应用系统调用，能够方便的与现有和将来的应用系统进行集成。 八、兼容性原则 系统具备良好的兼容性，能够与多种硬件系统、基础软件系统，以及其它第三方软硬件系统相互兼容。 设计目标 根据招标文件的具体技术要求，基于现有信息系统现状、数字证书应用现状以及未来在信息安全方面的技术性要求，本方案提出以下建设目标。 在海事局内部部署统一认证管理系统，具体目标是：提供数据统一、维护统一、用户统一的安全可靠的认证与授权服务；实现全局相关业务系统全面统一的用户管理、可靠的身份认证与安全审计、有效的分级授权、安全的单点登录、便捷的信息共享 在海事局内部部署数字证书认证系统（CA认证中心），具备10万级数字证书的发放能力，满足海事局内部用户以及应用系统的对数字证书的使用需求。 广东海事局内部其它业务系统（包括：船舶远程电子签证、船舶动态2.0系统）与统一身份认证系统的进行技术集成，实现统一的身份认证与单点登录功能。 设计实现 本方案由统一认证管理系统和数字证书认证系统两部分组成，其统一认证管理系统实现统一的用户管理、身份认证、单点登录、授权管理、安全审计等功能；数字证书认证系统实现海事局全国用户的数字证书发放和数字证书管理。 统一认证管理系统与数字证书认证系统集成，实现新增用户信息同步，证书管理员只需要登录数字证书认证系统，查出用户信息，直接制作证书。 二级云中心（直属局）统一认证管理系统定时将用户、机构、授权等信息同步给一级云中心统一认证管理系统。 本期工程将率先在广东海事局搭建起船舶远程电子签证、船舶动态2.0系统的单点登录功能。 系统部署 一级云中心：一台身份认证服务器，一台加密机，两台统一认证服务器（基于ORACLE一体机实现负载），两台统一认证数据库服务器（基于ORACLE数据库一体机实现负载）。 五个二级云中心（直属局）：一台统一认证数据库服务器，两台统一认证服务器（双机冷备），二级云中心统一认证服务器能访问一级云中心统一认证服务器。 方案产品介绍 统一认证管理系统 系统详细架构设计 国家海事局统一认证管理系统详细架构设计如下图所示： 在国家海