基于IBM Tivoli實(shí)現(xiàn)4A級(jí)用戶管理平臺(tái)的技術(shù)方案

【摘 要】隨著信息技術(shù)的迅速發(fā)展，企業(yè)的IT環(huán)境中擁有各個(gè)時(shí)期建設(shè)的分散的應(yīng)用系統(tǒng)，各個(gè)應(yīng)用系統(tǒng)擁有不同的用戶賬號(hào)、認(rèn)證、授權(quán)和審計(jì)方式。這些分散的用戶管理體制給IT管理帶來了諸多的管理復(fù)雜度和安全風(fēng)險(xiǎn)性。本文基于IBM Tivoli實(shí)現(xiàn)4A級(jí)用戶管理平臺(tái)的技術(shù)方案進(jìn)行了探討。

【關(guān)鍵詞】IBM Tivoli 4A級(jí)用戶管理平臺(tái) 技術(shù)方案

【中圖分類號(hào)】TP31 【文獻(xiàn)標(biāo)識(shí)碼】A 【文章編號(hào)】1674-4810（2013）27-0196-01

一 背景和現(xiàn)狀分析

隨著信息技術(shù)的迅速發(fā)展，企業(yè)的IT環(huán)境中擁有各個(gè)時(shí)期建設(shè)的分散的應(yīng)用系統(tǒng)，各個(gè)應(yīng)用系統(tǒng)擁有不同的用戶賬號(hào)、認(rèn)證、授權(quán)和審計(jì)方式。這些分散的用戶管理體制給IT管理帶來了諸多的管理復(fù)雜度和安全風(fēng)險(xiǎn)性。（1）大量的系統(tǒng)，各自分散的用戶賬號(hào)管理。管理員無法建立真實(shí)人與各系統(tǒng)賬號(hào)的對(duì)應(yīng)關(guān)系，發(fā)生的安全事件無法追溯到真實(shí)人；（2）應(yīng)用系統(tǒng)增多，賬號(hào)登錄頻繁，口令多，使用戶經(jīng)常需要在各個(gè)系統(tǒng)之間切換，給用戶的工作帶來不便，安全性差；（3）應(yīng)用系統(tǒng)之間用戶信息無法互相同步，需要借助手工實(shí)現(xiàn)，工作量大，易出錯(cuò)；（4）缺乏集中統(tǒng)一的資源授權(quán)管理平臺(tái)，無法嚴(yán)格按照用戶角色分配權(quán)限，系統(tǒng)的安全性無法得到充分保證（存在越權(quán)賬戶）。

二 4A級(jí)用戶管理平臺(tái)技術(shù)建設(shè)方案

統(tǒng)一賬號(hào)、認(rèn)證、授權(quán)管理平臺(tái)的主要功能是集中管理企業(yè)內(nèi)所有與人員相關(guān)的主賬號(hào)信息、資源信息、主賬號(hào)與資源之間的關(guān)系信息（從賬號(hào)及資源授權(quán)信息）、主賬號(hào)使用資源時(shí)的認(rèn)證策略等內(nèi)容。上述信息通過統(tǒng)一的管理界面進(jìn)行管理配置，然后發(fā)布至各個(gè)資源點(diǎn)和訪問控制門戶（或網(wǎng)關(guān)），實(shí)現(xiàn)統(tǒng)一的賬號(hào)、認(rèn)證、授權(quán)管理功能。

統(tǒng)一賬號(hào)、認(rèn)證、授權(quán)管理主要通過業(yè)務(wù)支撐網(wǎng)的4A平臺(tái)實(shí)現(xiàn)，賬戶、認(rèn)證、授權(quán)的操作通過業(yè)務(wù)支撐網(wǎng)的4A平臺(tái)操作完成，并將賬戶信息分發(fā)到業(yè)務(wù)支撐網(wǎng)和統(tǒng)一信息平臺(tái)的各個(gè)應(yīng)用系統(tǒng)中去，統(tǒng)一賬號(hào)管理平臺(tái)中的用戶來源于兩個(gè)部分：第一個(gè)部分是從管理信息化網(wǎng)的MIS同步而來；第二個(gè)部分是不屬于內(nèi)部員工的人員，這部分人員需要手工錄入4A賬戶管理平臺(tái)中。

業(yè)務(wù)支撐網(wǎng)和管理信息化網(wǎng)（統(tǒng)一信息平臺(tái)）的賬戶分發(fā)平臺(tái)通過TDI Dispatcher實(shí)現(xiàn)，主要完成將業(yè)務(wù)支撐網(wǎng)4A管理平臺(tái)對(duì)用戶的操作分發(fā)到各個(gè)應(yīng)用系統(tǒng)中去。完成數(shù)據(jù)同步的工作。

統(tǒng)一審計(jì)平臺(tái)的主要功能是收集、匯總本地型審計(jì)日志（應(yīng)用資源和系統(tǒng)資源的應(yīng)用日志采集）和網(wǎng)絡(luò)型審計(jì)日志（旁聽偵測、4A門戶和堡壘接入網(wǎng)關(guān)日志采集），并將上述審計(jì)日志進(jìn)行關(guān)聯(lián)、分析，建立綜合審計(jì)查詢、展示、報(bào)表等功能。

統(tǒng)一審計(jì)平臺(tái)的用戶賬號(hào)、權(quán)限管理功能納入公司統(tǒng)一的賬號(hào)、認(rèn)證、授權(quán)管理平臺(tái)統(tǒng)一管理。審計(jì)平臺(tái)的入口是4A的管理平臺(tái)入口。

統(tǒng)一審計(jì)平臺(tái)的功能實(shí)現(xiàn)對(duì)某企業(yè)業(yè)務(wù)支撐網(wǎng)和管理信息化網(wǎng)的應(yīng)用資源和系統(tǒng)資源的集中審計(jì)。統(tǒng)一4A管理平臺(tái)包括支撐網(wǎng)安全接入門戶，集中認(rèn)證模塊（TAM），IAM/CS堡壘主機(jī)接入平臺(tái)，支撐網(wǎng)和管信網(wǎng)統(tǒng)一審計(jì)平臺(tái)，統(tǒng)一信息平臺(tái)。支撐網(wǎng)和管信網(wǎng)的用戶管理功能是由4A平臺(tái)管理員統(tǒng)一負(fù)責(zé)完成，用戶配置信息可以由4A管理員進(jìn)行統(tǒng)一配置，經(jīng)過配置的信息通過TDI數(shù)據(jù)同步平臺(tái)，將用戶管理平臺(tái)對(duì)用戶的操作下發(fā)到各個(gè)應(yīng)用系統(tǒng)中去。

支撐網(wǎng)安全門戶需要整合包括IAM/BS接入平臺(tái)和IAM/CS接入平臺(tái)在內(nèi)的兩個(gè)資源接入平臺(tái)。用戶需要訪問B/S或C/S資源必須統(tǒng)一從支撐網(wǎng)安全門戶進(jìn)入。

IAM/BS的接入平臺(tái)主要采用TAM Access Manager實(shí)現(xiàn)，通過前段的負(fù)載均衡分擔(dān)網(wǎng)絡(luò)的壓力，由于支撐網(wǎng)門戶是登錄支撐網(wǎng)的唯一入口，用戶在登錄統(tǒng)一門戶時(shí)需要采用多種強(qiáng)認(rèn)證方式，因此需要利用TAM的EAI接口實(shí)現(xiàn)可配置的強(qiáng)認(rèn)證方式，認(rèn)證方式包括動(dòng)態(tài)口令，靜態(tài)口令，數(shù)字證書。

統(tǒng)一4A管理平臺(tái)將收集包括統(tǒng)一認(rèn)證網(wǎng)關(guān)來的信息，同時(shí)他們將日志和審計(jì)信息送到統(tǒng)一審計(jì)平臺(tái)中作為企業(yè)級(jí)的審計(jì)數(shù)據(jù)。

三 4A級(jí)用戶管理平臺(tái)技術(shù)的建設(shè)收益

從全局角度看，建立企業(yè)全局的用戶身份管理中心，建立用戶到賬號(hào)的對(duì)應(yīng)關(guān)系。通過認(rèn)證技術(shù)，實(shí)現(xiàn)不同權(quán)限等級(jí)賬號(hào)的不同安全策略。實(shí)現(xiàn)用戶自助服務(wù)，單點(diǎn)登錄，大幅度降低系統(tǒng)的管理成本。

從管理員角度看，用戶生命周期的管理，均可在一個(gè)平臺(tái)上進(jìn)行管理。及時(shí)發(fā)現(xiàn)未授權(quán)的信息資源訪問，權(quán)限濫用，入侵企圖等。減少由于用戶忘記密碼產(chǎn)生的維護(hù)成本。

從用戶角度看，保證用戶權(quán)限的分配符合安全策略要求，擁有完成任務(wù)所需要的最小權(quán)限。用戶一次登錄即可方便地訪問被授權(quán)的所有系統(tǒng)，提高了工作效率。

從系統(tǒng)安全角度看，避免出現(xiàn)遺忘賬戶和越權(quán)賬號(hào)及用戶對(duì)后臺(tái)資源訪問策略的強(qiáng)制執(zhí)行。通過審計(jì)手段，發(fā)現(xiàn)系統(tǒng)中存在的安全問題和各種入侵企圖。

〔責(zé)任編輯：李爽〕