统一认证在电子政务中的应用.ppt

多应用环境下的认证与授权 詹榜华 北京数字证书认证中心 “信息强政”的网络信任需求 “信息强政”成为电子政务建设的主题 电子政务建设进入了业务驱动阶段，并开始促进体制改革 互联互通、共享协同成为提高电子政务效益和效率的重要措施 应用开展迫切需要 防止身份假冒 防止越权访问 防止信息篡改 防止推卸责任 互联互通的障碍 信息安全问题：担心互连互通会对信息系统失去控制，给系统带来新的安全风险； 管理问题：缺乏信息共享的管理机制，共享范围不清，责、权、利不明。 我们希望：实现的是有效控制下的局部资源共享 多应用环境下用户安全管理的需求 解决之道 —— 统一认证管理 所需解决的重要问题 认证 多种认证凭证的管理 授权 分级授权，自由授权路由 交叉授权 单点登录 协议安全性 异构环境的集成 用户管理 集中与分级管理模型 安全审计 安全策略设定 审计 身份认证管理 统一认证服务 不同安全等级的认证 用户名/口令，数字证书，USBKey，生物识别（指纹…) 认证凭证的生命周期管理 口令有效性检查、定时更换 数字证书申请、吊销、更新 认证策略管理 对特定系统、用户认证等级要求 安全可靠的单点登录 基于属性令牌，包含有效期和数字签名，安全可靠 适用异构环境，易用集成 灵活的授权模型 灵活的授权模型 基于角色 基于业务权限 收放自如的控制粒度 系统级授权 系统功能级用户授权 方便可扩展的分级授权 授权路由可控并能灵活设计 上级管理员制定下级管理员路由范围 自动继承的业务权限 下级两种授权模型，继承业务权限 可以无限制扩展授权级别 授权情况可方便的监控 规范可控的系统管理 统一身份认证系统本身的管理可采用集中或分级管理 安全审计员 系统管理员 单位管理员 分级管理－分级授权模式。 用户身份信息和用户的访问控制相关的授权信息均分级管理 上级管理员确定下级管理员的管理范围 信息共享与同步 同步机制 与基于关系型数据库（DB）的应用系统同步 WebServices技术（SOAP协议） 与基于目录（LDAP）的应用系统同步 采用LDAP协议和JNDI技术实现 与基于域控制器的应用同步 JNDI或ADSI（Active Directory ） 同步策略 操作及时同步 操作批量同步：根据机构、角色、应用系统等选择批量用户进行同步 事后同步。 应用系统集成 单点登录集成 信息共享同步集成 统一编码规范体系 两级平台的对接 统一编码规范 构建统一身份认证与管理体系，实现统一入口、统一认证、单点登录和统一访问控制的目标，需建立起统一命名规则的认证管理规范，包括用户标识、角色标识、机构标识等，方便各个信息系统之间用户信息共享与交换 基本信息同步（用户、机构） 授权属地管理 两级平台协同认证、单点登录 用户在一级平台身份认证后，可直接访问另一级平台， 单点登录管理 BJCA统一认证系统典型案例 典型案例——北京市资源共享交换平台 北京市信息资源共享交换平台定位于构建全京市政务信息资源目录体系和交换体系，支撑全市基础信息数据库及其应用，支持全市各个委办局及区县之间的信息共享和业务协同。 实施效果 统一认证的建设思想 建立统一认证授权标准体系规范，实现统一身份认证系统建设 围绕整合用户、应用系统等资源的管理，构建网络信任体系的基础设施平台 身份认证——多种认证登录方式、数字证书管理 授权管理——基于角色授权 责任认定——安全审计、电子签章管理 谢谢 我们在这里 源于GARTNER 用户名 输入用户名/口令 登录 口令 对于管理员 每个应用都对应一套用户管理，针对一个用户，无论增/删/改，都需要多次操作 每个应用都有不同的权限管理，复杂的操作带来安全隐患 对于应用系统 各应用信息资源不共享，形成信息孤岛 应用系统对认证、访问控制的安全措施不完善，满足不了安全需求，影响整个安全保障体系的建设 管理员 工作人员 应用1 应用2 应用3 对于用户 记忆针对多个应用的多个凭证 访问多个系统需要多次登陆 用户 只需一个凭证 只需一次登录 应用系统 信息资源整合 信息统一标识规范和接口规范 管理员 信息的一致性 集中管理 安全保障体系 用户管理 统一的安全策略服务 如果… 统一认证管理 1、集中统一管理用户、机构、角色、应用等信息 2、统一认证，实现单点登录 3、基于角色的访问控制 4、应用间信息同步和共享 5、安全策略和安全管理 审计（Audit） 用户管理 Administration 授权管理 Authorization 单点登陆 Single sign-on 认证管理 Authentication UAMS 应用1 应用2 应用3 工作人员 身份认证 服务 统一认证管理系统 信息服务 管理员 后台 管理 数据库 统一