設計院統一身份管理系統實施方案與問題分析

樊立讓

?

設計院統一身份管理系統實施方案與問題分析

樊立讓

西北勘測設計研究院有限公司，陜西 西安 710065

以賬戶統一管理為核心，介紹了某集團統一身份管理系統/4A平臺，并結合設計院應用系統集成需求，提出了實施方案，分析了遇到的管理問題并提出了應對措施。

統一身份管理/4A平臺；實施方案；問題分析

1 背景及存在的問題

某設計院是世界五百強企業——某大型央企集團（股份）有限公司的成員企業。隨著設計院業務發展和轉型升級，信息化的廣度和深度不斷提升，具備了較好的信息化應用水平。該設計院現已建成企業門戶、勘測設計項目管理、財務、人力資源、公文辦公與協同、即時消息等十多個覆蓋生產、經營各相關業務的綜合管理和業務系統。目前還在建設EPC項目管理、設計項目及設計資源系統、經營合同管理及輔助決策等多個信息系統。

這些已建或在建的系統各自維護一套獨立的用戶身份信息。隨著公司各項業務的不斷發展，應用系統數量越來越多，用戶身份等基本信息沒有統一管理，員工需要記錄多個賬戶及密碼，而且需要在不同的系統間頻繁切換和訪問；系統的使用往往會跨部門、跨地域，系統間也需要進行數據的交換和共享，因此賬戶的管理、權限的控制、行為的審計不再局限于單一的系統，需要在各個應用系統間進行整合；同時缺少用戶的訪問控制與審計，給信息管理和風險控制帶來了較高的難度。

2 設計院統一身份管理系統/4A平臺簡介

4A是指認證、賬戶、授權、審計。設計院統一身份管理系統/4A平臺（簡稱4A平臺）是一種安全體系框架，主要涵蓋用戶信息同步、單點登錄（SSO）等功能，為多系統提供用戶身份、系統資源、權限策略等統一、安全、有效的配置和服務。

該設計院上級集團公司已建成基于PKI/CA技術安全體系架構的4A平臺，除了統一的賬戶、授權、認證與審計服務，還可實現用戶可信證書服務。其中授權和審計只是系統級的粗粒度授權和審計，對設計院有價值的只有統一賬戶管理、統一認證（單點登錄/SSO）以及證書服務功能。統一身份認證應用了數字簽名、加密等技術，安全級別高[1]。

2.1 實施范圍與目標

經認真研究集團（股份）公司《統一身份管理系統建設方案》，結合設計院實際情況，提出如下實施方案：

2.1.1 實施范圍

本次實施僅限在設計院總部部署的應用系統，后期條件成熟時涵蓋在分子公司部署的應用系統；公司總部僅限網絡等基礎設施系統和主要的應用系統，不包括一些獨立的的系統（如售飯系統等）。

表1

2.1.2 實施目標

以身份管理為基礎，以嚴格認證為核心，通過統一身份管理系統與各應用系統的集成協同，構建針對設計院應用層面的信息安全基礎保障措施，創建統一的賬戶管理機制和平臺，面向不同的應用系統和用戶提供統一的、一致的身份管理服務和身份認證服務；實現用戶在不同應用系統的賬戶統一，每一個用戶在所有系統中以統一的身份進行各種業務操作，無須記憶大量的賬戶名和口令。

2.2詳細實施方案設計

先引進和搭建4A平臺，再和HR系統集成，接著和已在集團有過集成案例的應用系統集成，然后總部主要應用系統實施；最后完全按照4A系統標準改造現有應用的系統集成。

2.2.1 引進集團推廣的4A平臺

集團（股份）公司明確提出了4A平臺的建設標準和規范，并指定由北京某公司在全集團實施推廣。系統部署說明見表1。

2.2.2 確定應用系統集成方案

應用集成方案確定主要包括如下工作：

（1）應用系統集成方式

集團推廣的應用系統集成方案有如下三種方式：

方式一：4A系統提供標準，廠商按標準改造現有應用；

方式二：廠商提供標準及技術支持，4A系統進行擴展改造；

方式三：口令代填方式。

其中方式一優點明顯，但集成費用較高；方式二費用較少，但安全性和標準的統一維護管理不如方式一；方式三存在安全問題，不予考慮。經與公司技術人員溝通，考慮到安全原因，設計院盡量按照方式一進行集成。

（2）系統數據同步方式

4A平臺在實現與各類應用進行集成和策略交互的過程中，需要面向眾多不同平臺、不同架構和不同數據結構的應用系統和數據庫，所以在面向以上平臺時需要提供兼容性強且靈活便捷，能夠快速集成整合的實現機制，目前在4A平臺上主要考慮通過應用接口層（Web Service）和數據層兩種方式來設計，其中數據層又可以提供基于觸發器、ChangeLog和全庫掃描的方式來進行數據變化的感知和交互[2]。

數據交互支持多種方式包括：手動同步、自動同步、訂閱同步。

（3）賬戶密碼存儲方式

在4A平臺統一認證的環境下，通常應用系統是不需要存儲密碼信息的。4A平臺驗證用戶身份成功后，只需向應用系統傳遞用戶賬戶即可。但由于某些原因，應用系統仍需要存儲密碼，并且為了保證密碼的一致性，密碼應與4A平臺的密碼一致。

例如郵件系統，除了在PC機上通過Web頁面登錄，還有可能通過郵件客戶端、手機和iPad等移動終端登錄。這些登錄入口，目前尚不能納入4A平臺的管理。

2.2.3 確定基礎設施系統集成方案

終端準入及上網行為管理、VPN系統、無線網絡系統、郵件系統等大多為標準硬件設備或不可改造系統，且支持標準的第三方認證協議，建議由4A系統按標準進行集成。

2.3 管理問題及應對措施

4A平臺的實施帶來了一定的好處，統一身份、統一認證（單點登錄）、認證安全性等；同時對各個系統的運維也有一定的管理要求，尤其是作為數據源的HR系統，當員工入職、離職崗位變更或其它原因的信息變更時，需要及時錄入，觸發統一用戶信息的變更，否則就失去的統一身份管理的意義。

如果HR系統因為管理問題不能做到，建議在4A平臺進行統一維護，及時推送到其他應用系統。

3 結束語

統一身份管理是異構信息系統集成的基礎。設計院在方案實施過程中還會遇到一些問題，比如員工跨部門兼職、借調，外部臨時用戶，復雜系統的賬戶同步處理，以及與其他系統的集成配合等，都需要在后期的實施過程中協調和解決。

[1]歐高林.面向高職院校的統一身份管理系統的建設分析與技術探討[J].電腦知識與技術，2015，11（32）：221-223.

[2]鄧宇，宋成林，袁勝偉，等.企業門戶技術及在企業管理信息系統中的應用[C]//2004全國電力行業信息化年會，2004.

The Implementation Scheme and Problem Analysis of the Unified Identity Management System in the Design Institute

Fan Lirang

Xibei Engineering Cooperation Limited, Shaanxi Xi’an 710065

Taking account unified management as the core, the paper introduces a unified identity management system /4A platform of a Group, and puts forward the implementation plan combined with the application system integration demand of the Design Institute, and finally analyzes the management problems encountered and puts forward some countermeasures.

unified identity management /4A platform; implementation scheme; problem analysis

TP393.18

A

1009-6434（2017）10-0063-02