信息系统认证与授权管理方案设计(编辑修改稿)

信息系统认证与授权管理方案设计(编辑修改稿)内容摘要：

................................. 84 风险评估 .................................................................................................................. 87 分阶段路标规划 ........................................................................................................... 88 阶段定义 .................................................................................................................. 88 实施路标 .................................................................................................................. 91 第一阶段实施计划 ....................................................................................................... 91 第一阶段实现的功能 ............................................................................................... 91 第一阶段技术架构 ................................................................................................... 92 项目计划 .................................................................................................................. 92 所需资源 .................................................................................................................. 97 投资估算 .................................................................................................................. 97 9 附：认证与授权技术概述 ................................................................................................... 98 目录服务技术概述 ....................................................................................................... 98 目录服务及发展简介 ............................................................................................... 98 LDAP 的工作过程 .................................................................................................... 98 LDAP 模型 ............................................................................................................... 99 认证管理技术概述 ..................................................................................................... 103 认证方式 ................................................................................................................ 103 PKI 技术简介 .......................................................................................................... 107 国内 PKI 标准化现状 ............................................................................................. 113 访问管理技术概述 ..................................................................................................... 114 基于角色、基于政策的访问管理 ........................................................................... 114 PMI 简介 ...................................................................................................... 114 SAML 简介 ............................................................................................................. 114 前 言 中国石油天然气股份有限公司（以下简称“中国石油”）认证和授权系统设计由三部分组成： 现状报告 分析中国石油认证与授权的 现状及存在的问题，为下一步方案设计提供参考。 需求分析报告 对中国石油认证与授权管理建设进行分析和展望，并提供可行的建设思路。 方案设计 提出中国石油认证与授权管理的总体技术架构，进行认证和授权产品的市场分析，并给出相应的路标规划和实施计划。 本报告是系统设计的第三部分。 1 概述 本报告是中国石油制定信息安全政策与标准项目中认证与授权系统设计的第三部分，目的是提出中国石油认证与授权管理的总体技术架构，进行认证和授权产品的市场分析，并给出相应的路标规划和实施计划。 报告包含以下内容：  现状与需求概 述  总体逻辑架构  目录服务与身份管理逻辑架构  认证管理逻辑架构  访问管理逻辑架构  产品技术分析  路标规划 项目背景 现代企业对信息的依赖越来越大，信息已成为现代企业的一种重要资产。 为保证中国石油信息系统的安全、健康、持续发展，降低信息技术给业务带来的威胁和风险，保证信息建设取得最大化的效益，根据中国石油信息化建设总体规划，中国石油开始实施制订信息安全政策和标准项目。 在中国石油众多的信息安全风险中，用户管理的安全风险尤为突出，如内部人员可随意访问重要业务信息、无法有效控制外部人员未经授权的访问、对远程用 户缺乏安全访问控制机制、多种应用导致用户信息过多而难以记忆等。 要合理地约束和消除这些风险，中国石油认证与授权管理建设势在必行。 其中，认证的目的是正确地识别用户的身份，授权的目的是为了使用户能且只能访问被授权访问的资源。 项目目的 认证和授权系统设计是中国石油制订信息安全政策和标准项目的一部分。 其目的是通过对中国石油认证和授权的现状进行评估，结合行业发展趋势和最佳实践为中国石油设计出既有可操作性，又具备前瞻性的认证和授权的技术架构，并给出相应的投资预估和实施计划。 2 现状概述 身份管理 现状分析与改进推荐 标题 中国石油现状 主要影响与问题分析 改进推荐 1. 信息存储  电子邮件、企业信息门户公用用户存储信息，其它系统各自独立 用户注册 / 注销过程缺乏统一管理，围绕不同的应用将形成若干安全孤岛。 管理成本增高  随着中国石油应用数量的增加，系统用户维护工作量将急剧增大，管理成本将不断增高。 另一方面，各应用维护独立的用户信息，将不利于用户信息的标准化，不利于信息的共享。  建立用户信息的中心存储，将中国石油主流应用的用户信息进行统一的管理。 这是集成认证和 授权管理的基础。  进行统一的用户注册 / 注销。 可以有两种方式实现：  利用目前用户信息的主要入口（如电子邮件系统）进行用户信息的控制；或  新建一个管理接口，对用户信息的中心存储进行控制。 2. 用户注册  各系统 进行 独立的用户注册，无统一开户流程，无统一的策略和方法  由系统 管理员根据使用需求开户  存在公用 帐号 3. 用户注销  无帐户取消的策略和控制措施 用户使用不便  一名中国石油系统用户可能存在大量系统用户名 /密码，不易记忆。 某些用户为了记住不同系统的用户名和密码，往往将其写在纸上，甚至放 在桌面上，这将大大提高安全风险。 缺乏统一的组织进行管理  中国石油的不同应用往往是由不同的部门进行维护。 当应用维护各自的用户信息时，将很难建立统一的组织进行用户信息的统一管理，将很难保证用户信息的准确性、一致性和保密性。 安全风险加大  部分应用，如中油财务采用公用帐号，将提高系统的安全风险。 另一方面，缺乏帐号取消 / 注销的策略和控制措施，用户离职、换岗位后其系统用户信息往往未能及时注销 / 更改， 也将提高系统的安全风险。 4. 分权管理  电子邮件系统和企业信息门户采用分权管理的方式  其它应用由于用户数较少，基本采用中心管理的方式 大部分应用采取中心管理的方式，难以 适应中国石油业务和组织结构快速变革的现状。 灵活性、分布性差  中国石油业务和组织结构快速变革，系统管理的职责分布也在不断变化，中心管理的方式将无法适应根据公司的政 采取集中和分布管理的策略，进行用户信息的分权管理。 策对系统管理职责进行灵活的调整的业务需求。 中心维护量大，可扩展性差  中心管理的方式将所有的用户维护工作量都落在了中心一侧，当用户数不断增加时，中心将不堪重负。 用户信息的分权管理，即由最接近用户的管理员进行用户信息维护将能有效减少中心的维护量，并提高系统的可扩展性。 5. 用户自管理  大部分应用 只提供用户密码修改的自管理功能 系统维护压力大，用户自主能力弱。 数据缺失或难以保证数据的准确性  不提供用户自服务功能，则一些与用户密切相关的个人信息，如手机号码、家庭住址、备用电子邮件地址等将无法存储在系统中，或无法得到及时的维护。 对系统管理的依赖性大  用户自服务功能的不足，将大大增加用户技术支持的工作量。 将部分用户管理的权限（或某些信息的修改权限）交给用户自身，是降低系统维护压力，提高用户满意度的重要手段。 难以支持动态的应用  应用的动态化是一种必然的趋势。 企业信息门户上的一个 Web部件便是一个动态的 应用。 每一个新的动态应用都需要 提供充分的用户自服务，包括修改个人密码、丢失密码查询（例如通过询问个人问题找回丢失的密码）、订阅应用（例如在企业信息门户中，用户自定义关注的Web 部件）等，降低技术支持成本。 确定新的使用用户群，提供用户对部分应用自订阅（即登记为该应用的用户）的功能将能支持应用动态化的需求。 6. 外部用户管理  目前除电子商务外，其它系统无外部用户 无法与外界进行快速的信息和应用集成，与外界的沟通效率低下。 不利于与外界的信息快速集成  中国石油有大量的合作伙伴、供应商和客户。 缺乏对外部用户的支 持，将不利于与外界进行的信息和应用的集成，影响中国石油的核心竞争力。  将外部用户（合作伙伴、供应商、客户）进行统一的管理，并放置在独立的安全子域中。 7. 数据维护  用户信息存储各自独立，无同步和集成关系 系统各自独立，用户信息难以保持一致。 无中心存储，数据不一致  缺乏用户信息的集中存储和统一管理，将难以保证用户信息的一致性。 缺乏用户信息同步和集成的自动化的工具，目前只能通过手动的方式，这将难以保证信息的准确性。 管理成本高，效率低  不同系统的用户信息无法实现同步和集成，用户信息的管理成本将随着应用的增 加而迅速增高，而管理效率却将不断降低。  进行动态的用户管理，。