北京時代億信EETrust統(tǒng)一身份認證平臺是基于PKI（Public Key Infrastructure）理論體系， 利用CA、數(shù)字簽名和數(shù)字證書認證機制，綜合應用USB接口智能卡、安全通道、VPN等技術，為門戶、OA等多業(yè)務系統(tǒng)用戶提供統(tǒng)一身份認證和安全服務的綜合平臺。

　　1.1 統(tǒng)一身份認證平臺主要功能

　　門戶系統(tǒng)（Portal）—— 各業(yè)務系統(tǒng)信息資源的綜合展示。

　　統(tǒng)一授權——平臺為用戶統(tǒng)一頒發(fā)數(shù)字證書和私鑰并存儲在USB-KEY中，作為用戶訪問平臺及各應用系統(tǒng)的憑據(jù)，并對用戶訪問應用系統(tǒng)的權限進行授權。

　　身份認證——用戶在訪問平臺及各應用系統(tǒng)時，都使用相同的憑據(jù)（即包含用戶證書和私鑰的USB-KEY及其硬件保護口令PIN），并利用數(shù)字簽名技術在平臺進行身份認證，證明其身份的真實性。

　　單點登錄（SSO）——用戶在通過平臺認證后，可直接訪問已授權的各應用系統(tǒng)，實現(xiàn)不同應用系統(tǒng)的身份認證共享，從而達到多應用系統(tǒng)的單點登錄。

　　數(shù)據(jù)共享——認證平臺存儲了用戶的基本信息和證書信息，所有應用系統(tǒng)均可以充分利用這些信息，減少用戶信息的重復錄入。

　　移動辦公——平臺提供基于SecureVPN?的移動安全辦公方式，允許用戶在通過認證后，通過Internet安全地訪問內部網(wǎng)的應用系統(tǒng)。

　　安全通道——平臺提供兩種安全通道：一種是應用層安全通道，一種是網(wǎng)絡層安全通道。它們?yōu)閮染W(wǎng)應用之間或外網(wǎng)應用之間提供安全的傳輸通道，保證其中傳輸?shù)臄?shù)據(jù)的安全性。

　　安全辦公郵件——對內部辦公的郵件實現(xiàn)簽名、加密傳輸和加密存儲，目前支持的后臺郵件系統(tǒng)包括：Sun iPlanet、Lotus Notes、Qmail、SendMail以及所有支持IMAP協(xié)議的郵件服務器。

　　個人數(shù)據(jù)的安全管理——對個人計算機中密級較高的信息，依據(jù)USB-KEY中存儲的個人證書，提供加密存儲和讀取。

　　1.2 統(tǒng)一認證平臺主要優(yōu)勢

　　業(yè)務系統(tǒng)的實施工作量少

　　業(yè)務系統(tǒng)只需安裝配置訪問前置，并按規(guī)范提供映射驗證接口和訪問驗證接口即可。訪問前置支持Windows、Linux、Unix等多種平臺，充分滿足各種平臺上業(yè)務系統(tǒng)的需求。

　　充分兼顧系統(tǒng)安全與效率

　　在身份認證和單點登錄這樣的高風險階段，采用多種技術保證安全性，而在正常訪問業(yè)務系統(tǒng)數(shù)據(jù)時，可以綜合考慮安全與效率，可采用關鍵信息加密的方式，SSL加密通道可配置。

　　系統(tǒng)具有高可靠性和可用性

　　平臺支持軟件方式的負載均衡，充分滿足并發(fā)認證的需求；同時，平臺與業(yè)務系統(tǒng)之間采取松散耦合的方式，靈活滿足業(yè)務系統(tǒng)的調整和升級。

　　支持分認證中心結構，實現(xiàn)本地認證

　　用戶在進行身份認證時，不需要到認證平臺進行認證，而是在本地建立一個功能同認證平臺的分認證中心，負責本地用戶的身份認證，保證認證速度和效率。本地認證中心需要建立用戶的數(shù)字證書數(shù)據(jù)庫和用戶信息數(shù)據(jù)庫，數(shù)據(jù)的存儲需采用加密存儲，防止用戶信息泄露。

　　和VPN系統(tǒng)進行統(tǒng)一登錄

　　與VPN的認證相結合，用戶通過VPN進行認證后，可直接進入辦公門戶系統(tǒng)，不需要二次認證。

　　支持一次性口令認證

　　支持用戶忘記攜帶USB-KEY，可以向管理員申請一次性使用的口令進行身份認證。解決沒有USB-KEY就不能辦公的弊端。

　　1.3 統(tǒng)一身份認證平臺功能結構

　　統(tǒng)一身份認證平臺有效整合現(xiàn)有業(yè)務系統(tǒng)，解決多個業(yè)務系統(tǒng)的用戶統(tǒng)一認證問題，實現(xiàn)單點登錄（SSO）、訪問控制、并采用相關的安全機制，增強用戶身份認證過程的安全性。

　　平臺由以下系統(tǒng)模塊構成：

　　平臺門戶系統(tǒng)

　　平臺管理系統(tǒng) 

　　認證服務器 

　　認證數(shù)據(jù)庫 

　　訪問控制服務器

　　業(yè)務系統(tǒng)認證前置程序 

　　

　　

　　圖  統(tǒng)一身份認證平臺功能結構　　

　　1.4 業(yè)務系統(tǒng)的接入與認證

　　統(tǒng)一認證平臺要實現(xiàn)單點登錄（SSO），必須能夠將各個業(yè)務系統(tǒng)接入到平臺中，并解決不同業(yè)務系統(tǒng)之間用戶交叉和用戶帳戶不同的問題。

　　1.5 信息資源接入UAP邏輯關系圖

　　UAP整合各種信息資源，通過標準XML語言，方便的將信息資源進行接入和使用。

　　

　　

　　圖：資源接入邏輯圖

　　業(yè)務系統(tǒng)分為B/S結構和C/S結構兩類，與平臺的連接都通過安全通道來保證數(shù)據(jù)傳輸?shù)陌踩?/P>

　　對B/S結構應用系統(tǒng)的支持如下表：

　　

操作系統(tǒng)平臺	Web及應用服務器類別
Windows平臺	支持ASP.Net/ J2EE（JSP/Servlet）/Notes
UNIX平臺(AIX/HP-UX/SOLARIS/LINUX)	支持J2EE（JSP/Servlet）/Notes

　　對C/S結構應用系統(tǒng)主要提供開發(fā)接口包：

　　Windows平臺的非web方式提供COM組件；

　　Unix平臺的非web方式提供動態(tài)庫。

　　1.5.1 業(yè)務系統(tǒng)訪問權限的控制

　　平臺用戶是一個大的用戶集合，通過平臺認證的用戶并不一定能訪問所有接入平臺的業(yè)務系統(tǒng)。平臺用戶對業(yè)務系統(tǒng)的訪問權限通過用戶分組和訪問控制策略進行控制。例如：

　　按照用戶所屬單位或部門劃分組，該組可訪問相應單位部門的業(yè)務系統(tǒng)；

　　按照用戶角色劃分組，例如：財務人員分組可以訪問財務相關的業(yè)務系統(tǒng)；

　　同時，平臺用戶與業(yè)務系統(tǒng)映射表中設置用戶訪問權限標識，可針對單個用戶訪問某個業(yè)務的權限進行停用/啟用。

文章作者：于凡