基于4A技術(shù)的統(tǒng)一身份管理在企業(yè)門戶系統(tǒng)中的應(yīng)用
英飛凌汽車電子生態(tài)圈
24A原理和統(tǒng)一身份管理
門戶系統(tǒng)中的4A技術(shù)，為整個系統(tǒng)的安全性提供了完善的平臺保障。
最初的4A技術(shù)核心是單點登錄（Single Sign-On），隨著各企業(yè)不斷開展電子商務(wù)和將內(nèi)部資源不同程度地向客戶、合作伙伴及員工開放，對于企業(yè)至關(guān)重要的信息財產(chǎn)安全越發(fā)顯得重視，尤其是在信息訪問越發(fā)便捷的背景下，這些資產(chǎn)也暴露在越來越多的威脅中。毫無疑問，信息保護的私密性、完整性、真實性和可靠性的需求日益突出，系統(tǒng)和安全管理人員需要對企業(yè)內(nèi)部的用戶和各種資源進行集中管理、集中權(quán)限分配、集中審計，從技術(shù)上保證支撐系統(tǒng)安全策略的實施，即，構(gòu)建信息級的企業(yè)安全必須解決用戶的帳號（Account）管理、認證（Authentication）管理、授權(quán)(Authorization)管理和安全審計(Audit)方面的問題，即4A解決方案[3]。
帳號管理即是將自然人與其擁有的所有系統(tǒng)帳號的關(guān)聯(lián)進行集中管理，包括按照密碼策略自動更改密碼、4不同系統(tǒng)間的帳號同步等。一般帳號管理的實體部件通常采用目錄服務(wù)器，基于“屬性：值”對和層級樹狀邏輯組織的用戶帳號數(shù)據(jù)，更加適合輕量目錄訪問協(xié)議（LDAP）的處理。
認證管理用以實現(xiàn)支撐系統(tǒng)對操作者身份的合法性檢查。對信息系統(tǒng)中的各種服務(wù)和應(yīng)用來說，身份認證是一個基本的安全考慮，只有通過系統(tǒng)預(yù)設(shè)規(guī)則的身份認證，才能夠接觸系統(tǒng)功能和應(yīng)用系統(tǒng)的數(shù)據(jù)。
授權(quán)管理是指對用戶使用支撐系統(tǒng)資源的具體情況進行合理分配的技術(shù)，實現(xiàn)不同用戶對系統(tǒng)不同部分資源的訪問按安全和數(shù)據(jù)敏感級別定義系統(tǒng)內(nèi)部資源的訪問權(quán)限。
審計管理是指收集、記錄用戶對支撐系統(tǒng)資源的使用情況，以便于統(tǒng)計用戶對網(wǎng)絡(luò)資源的訪問情況，并且在出現(xiàn)安全事故時，可以追蹤原因，追究相關(guān)人員的責(zé)任，以減少由于內(nèi)部計算機用戶濫用網(wǎng)絡(luò)資源造成的安全危害。
3 企業(yè)門戶系統(tǒng)中的統(tǒng)一身份管理應(yīng)用
下面以基于J2EE體系的門戶和統(tǒng)一身份管理服務(wù)為例加以說明。
統(tǒng)一身份管理流程如圖3所示，統(tǒng)一身份管理平臺與企業(yè)門戶服務(wù)緊密集成，提供統(tǒng)一認證、統(tǒng)一授權(quán)、訪問控制、單點登錄和行為審計5大功能，完成訪問者與門戶之間的登錄和資源列表返回、信息資源訪問請求和用戶身份傳遞等前后臺的身份識別和信息訪問過程。統(tǒng)一身份管理平臺一般包含訪問管理器和身份管理器兩個邏輯部分。本文引用地址：http://www.ex-cimer.com/article/180044.htm
(1) 訪問管理器和身份管理器
訪問管理器為門戶服務(wù)提供了針對Web服務(wù)器、J2EE應(yīng)用服務(wù)器、Web代理服務(wù)器以及典型企業(yè)應(yīng)用的多個策略代理 (Policy Agent) ；另外，它還提供了訪問管理器 SDK，用以集成企業(yè)的Java或C/C++應(yīng)用，實現(xiàn)集中認證、授權(quán)和單點登錄[4]。
用戶管理與信息同步系統(tǒng)由身份管理器實現(xiàn)，對各應(yīng)用或子網(wǎng)絡(luò)系統(tǒng)用戶帳號的集中管理，包括用戶帳號在其相對應(yīng)的應(yīng)用系統(tǒng)里的自動創(chuàng)建及創(chuàng)建的規(guī)則，帳號生成的審批流程管理，帳號的禁用和銷毀，帳號在各個應(yīng)用系統(tǒng)之間的對應(yīng)關(guān)系及同步，口令的管理，提供統(tǒng)一的管理界面和分級授權(quán)管理，帳號的審計和風(fēng)險分析等。身份管理器也是一個標準的J2EE應(yīng)用系統(tǒng)，它通過部署于其本身服務(wù)器端（而不是要管理的應(yīng)用系統(tǒng)一端）的資源適配器創(chuàng)建和管理在各個應(yīng)用系統(tǒng)上的用戶帳號。
(2) 統(tǒng)一認證
訪問管理器提供了公共的認證服務(wù)架構(gòu)，具有靈活的認證方式和多種認證服務(wù)接口。因此，基于統(tǒng)一的認證服務(wù)的應(yīng)用系統(tǒng)間可以實現(xiàn)單點登錄。
訪問管理器提供的認證服務(wù)基于JAAS（Java認證與授權(quán)服務(wù)）框架，提供Java和XML/HTTP兩種應(yīng)用認證接口。
(3) 認證方式定制化接口
不同的認證方式具有不同的安全性、易用性和部署成本。因此，針對企業(yè)門戶中不同的用戶群與不同的應(yīng)用范圍，需要對認證方式進行定制化。在訪問管理器中，可以根據(jù)角色、用戶、服務(wù)指定不同的認證方式，也可以在認證時直接指定認證模塊。對于不同組織、角色和服務(wù)，可以配置個性化的認證選項。
訪問管理器為應(yīng)用程序提供兩種類型的認證編程接口。對基于Java的應(yīng)用系統(tǒng)（包括基于JSP的WEB應(yīng)用系統(tǒng)和基于Java的應(yīng)用程序）可以使用Java編程接口；對于非Java的應(yīng)用系統(tǒng)，可以使用XML/HTTP編程接口或C/C＋＋編程接口。
(4) 單點登錄支持
單點登錄的根本原理是保持用戶的會話（session）狀態(tài)。訪問管理器對單點登錄提供的SDK級別的支持，其中包括單點登錄令牌的創(chuàng)建與驗證。以Web應(yīng)用的單點登錄為例：用戶通過訪問管理器的認證頁面進行認證，認證通過之后，平臺為該用戶創(chuàng)建一個單點登錄令牌，并將該令牌的ID通過cookie返回至用戶瀏覽器；當(dāng)用戶訪問Web應(yīng)用系統(tǒng)時，單點登錄令牌ID自動通過cookie傳遞至Web應(yīng)用系統(tǒng)，Web應(yīng)用系統(tǒng)可以通過單點登錄令牌ID還原單點登錄令牌，并向Access Manager驗證單點登錄令牌是否有效。如果有效，則應(yīng)用系統(tǒng)可以從單點登錄令牌獲取用戶身份信息，而不再需要用戶進行再次認證。對于C/S結(jié)構(gòu)的應(yīng)用，單點登錄過程類似，只是單點登錄令牌ID的傳遞方式不同。
綜上，基于4A技術(shù)的統(tǒng)一身份管理為企業(yè)門戶服務(wù)帶來較為全面的安全保障，從人員、訪問、授權(quán)和審計等角度保護企業(yè)內(nèi)部應(yīng)用的數(shù)據(jù)的合法使用，具有如下優(yōu)點：
(1)統(tǒng)一認證、授權(quán)和審計，管理維護工作復(fù)雜度大幅度降低，減少維護操作帶來的故障隱患；
(2)統(tǒng)一監(jiān)管，企業(yè)系統(tǒng)安全狀況隨時被自動監(jiān)管；
(3)免去用戶在各系統(tǒng)間切換時需要再次輸入用戶名和口令的繁瑣操作，減少帳號密碼泄露機會；
(4)對各個系統(tǒng)進行統(tǒng)一的訪問審計，利于綜合分析，及時發(fā)現(xiàn)入侵行為。
但從技術(shù)實現(xiàn)方式和用戶使用效果上看，基于4A的統(tǒng)一身份管理也存在著一定的不足，具體表現(xiàn)為：
(1)技術(shù)實現(xiàn)方式限制較多，例如基于策略代理的SSO，對門戶系統(tǒng)產(chǎn)品提出固定要求，對特定產(chǎn)品的版本、未提供開放接口的系統(tǒng)缺乏靈活的處理方法；
(2)合規(guī)審計能力一般不強，多數(shù)產(chǎn)品只提供以日志為主的審計能力，以及基于日志的數(shù)據(jù)傳輸接口由第三方模塊完成審計報告。
相信，隨著企業(yè)門戶對安全管控需求的不斷細化，隨著各廠家產(chǎn)品和技術(shù)的發(fā)展，4A技術(shù)對企業(yè)門戶安全的貢獻將越來越突出。
評論