時代億信統一使用者管理平臺概述

    時代億信認證牆系列產品為B/S、C/S業務系統、網路裝置、主機、資料庫等資源，提供高效能的安全認證、統一接入、訪問控制、使用者管理、安全審計服務，滿足企業對多種異構資源的認證及訪問控制需求。

    認證牆UAP-U統一使用者管理產品提供使用者生命週期管理服務，透過靈活的資料同步和梳理策略，可以將分散在各個應用系統中的使用者帳戶資訊、組織機構資訊進行整合，建立統一資料規範並同步給各個應用系統。

企業應用系統使用者管理現狀
    獨立規劃、獨立建設是企業應用系統建設過程中的普遍現象，不同應用系統有不同的資料標準，造成企業使用者資料管理工作難度大、成本高，還存在較大的安全隱患：


企業統一使用者管理建設難點


產品組成
    UAP-U產品的基本組成包括：統一使用者管理平臺、資料同步工具、資料梳理工具以及企業目錄這四部分組成。
 

UAP-U 產品的解決之道
    UAP-U產品透過以下幾方面措施解決企業在實施統一使用者管理專案中的各類難點問題：

專門的資料分析整理工具
    UAP-U產品所配置的資料同步工具和資料梳理工具，具備其他同類產品所缺少的資料建模、同步、梳理、轉換等關鍵功能，能夠高效的實現對企業現有應用系統使用者資訊的整理，在最短時間內形成企業標準規範的使用者資訊資料，大幅減少統一使用者管理體系建立的週期。

 
豐富的介面卡，廣泛的應用支援
    為了更好地適應企業應用系統，減少二次開發和定製修改工作，UAP-U產品內建了大量豐富的應用介面卡和資料介面卡。

    應用介面卡支援IBM、Oracle、SAP、微軟、金蝶、用友等廠商的OA、ERP、CRM、HR、郵件、即時通訊等各類標準應用軟體，實現了開箱即用。

    資料介面卡支援Oracle、DB2、SQLServer、MySQL等主流資料庫，支援各類LDAP V3標準的目錄伺服器，如IBM TDS、Oracle Directory Server、南大通用、南開創元等，支援微軟AD伺服器，並具有WebService資料同步介面。透過上述介面，UAP-U產品可以無縫對接各類資料來源，也可以向各類應用系統同步資料。

具備統一認證、單點登入、統一使用者管理的一體化解決方案
    時代億信專門為企業提供了“統一使用者管理、統一身份認證、統一訪問授權”的整體安全解決方案。


    如右圖所示，內網中的所有業務系統均與UAP-U產品整合，加入統一使用者管理體系中，同時整合UAP-S統一認證與訪問控制產品，每個業務系統都將認證請求提交到UAP-S產品進行認證，從UAP-U產品中獲得訪問授權，真正的將企業目錄作為企業內部唯一的認證源。

    同時，在根據需求部署UAP-G產品，利用產品間的SmartCOM介面，將UAP-G產品、UAP-U統一使用者管理產品和UAP-S統一認證產品融為一體，使使用者經過一次認證，便可獲得全網的授權。

實施案例簡介
    某集團公司具有眾多下屬公司，主要業務涵蓋供應鏈運營、房地產開發、旅遊酒店、會展業等多個領域，建有大量應用系統供日常業務經營使用，迫切需要對分散的使用者資料進行整合與集中管理。

    時代億信承建該集團統一使用者管理工程，為了能夠保證在多層級、多應用、異構的企業環境中建立併成功運轉統一使用者管理體系，時代億信採用“3C Key Phase”實施方法論指導整個專案實施過程。

    “3C Key Phase”實施方法論將實施流程歸結為整理、規範、實現三個關鍵階段：Data Collation 資料整理階段、Data Carry-Out 資料實現階段、Data Carry-Out 資料實現階段。透過“3C Key Phase”實施方法論，有效保證整個工程實施節點可控、實施難度可控、實施風險可控。


    在有效實施方法論指導下，該集團公司還採用了時代億信UAP-U產品，利用其完善的資料同步、統一認證、單點登入介面，直接支援Liferay門戶、流程平臺、eHR、金蝶EAS、CoreMail、RTX等公司內部標準產品，針對公司內使用LDAP進行使用者資訊同步的應用系統，UAP-U產品在LDAP中釋出層級結構節點，方便使用者資料管理維護。


UAP-U 統一使用者管理平臺產品功能
· 3C Key-Phase”模式的統一使用者管理： UAP-U統一使用者管理平臺將使用者資料的管理流程歸結為Data Collations資料整理階段、Dta Critwerion資料規範化階段和Data Carray-Out資料實現階段，統稱為“3C Key-Phase”模式的統一使用者管理。

    資料整理的過程首先要對現有使用者資料進行屬性分析、業務分析，並且對系統間的使用者資料、屬性進行衝突分析，最後，根據上述的分析結果綜合整理出一份“統一使用者資料規範”。

    在資料規範化階段，系統根據整理後的資料制定統一使用者資料規範及介面規範作為今後應用系統資料傳輸和交換的標準。

    完成資料的整理和規範化後，在資料是現階段對各應用系統根據資料規範和介面規範進行改造，完成統一使用者管理的接入。

    系統接入時，管理員會根據該業務系統的自身情況制定資料同步的通訊方式、使用者屬性、同步策略等相關配置，完成配置後，便可對該業務系統進行使用者資料的初始化。

· 提供資料分析整理輔助工具：
    在資料的收集和整理的過程中，UAP-U統一使用者管理平臺分別為使用者提供了兩個資料工具：資料同步工具（EDI）與資料梳理工具（EDC）。他們具有相似的特性，但也具有本質上的區別。下表描述了兩個工具的主要功能特點：


· 面向流程驅動的使用者生命週期管理： 對於大型企業來說，一套完整的使用者生命週期管理是必不可少的。簡單的生命週期只需用建立、修改、刪除的基本操作就可以概括，而複雜的生命週期管理需要更細緻、更精確的控制使用者資訊的各項引數，使用者資訊在整個生命週期中的每一次修改可能都要經過層層稽核。

    UAP-U統一使用者管理平臺為使用者提供了一種面向流程驅動的使用者生命週期管理方式。

    UAP-U為使用者提供了一套靈活可配置的使用者管理流程引擎，除了能夠自定義開戶、銷戶、屬性變更等基本使用者管理的流程外，管理員還可以結合使用者、組織機構的屬性，透過定義對“管理使用者的流程”與“特定屬性”進行定義，指定對使用者哪些屬性進行何種操作時需要何種稽核，這是一種非常直觀且實用的使用者管理流程。每個企業都有自己的關鍵屬性，比如在保密單位中使用者資訊的保密等級是最重要的，在其他企業中可能員工等級更重要。那麼管理員只需要在使用者模型中設定哪些屬性的改變需要由什麼人來審批就可以了，對於非關鍵屬性的修改，系統可以執行自動審批動作。

    UAP-U統一使用者管理平臺出了自身提供的使用者生命週期管理之外，同時提供了一套外部系統的使用者管理介面，它允許使用者使用實現此介面的業務系統來進行使用者資料的管理，而將本身變為一套對使用者資料進行同步、梳理、分發工作的自動處理系統。

· 靈活可控的業務系統資料同步機制：
    UAP-U為使用者提供了一整套靈活的業務系統同步機制，該機制由資料同步事件攔截器與屬性訂閱服務兩部分組成。

· 對於企業組織機構屬性的完善支援：
    透過UAP-U實現組織機構管理後，業務系統可以透過訂閱、查詢介面獲得最新的組織機構資訊，當人員、機構發生變更時，可以實現一次修改，全部生效的使用效果。如銷售部的人員發生了變化，管理員在UAP-U或資料來源中修改了該組織機構的使用者屬性，OA系統同步接收組織機構資訊後，流轉中的公文即可按照修改後的上下級關係進行。

    另外，在日常工作中，經常出現企業內“兼職”的情況。如某分公司經理同時隸屬於集團總部內的某個上層部門，或者某專案經理同時隸屬於多個開發部門。

    目前主流的使用者管理系統對這類使用者的屬性管理是十分薄弱的。UAP-U針對這一薄弱環節，結合使用者的日常使用流程，為使用者提供了更為靈活的使用者屬性管理。

    如當某個使用者單獨存在時，他只具有基本屬性，但當他在銷售部門時，會與銷售部門的屬性結合，得到“銷售部經理”這個新的屬性。當該使用者進入產品部時，會與產品部門的屬性結合，得到“產品市場顧問”這一屬性。

    基於上述原理，UAP-U統一使用者管理平臺實現了一套靈活組合使用者屬性和部門屬性的管理和實現機制。

· 豐富的介面卡，支援主流企業應用資料來源：
    為了更好地適應企業業務系統，減少定製環節，UAP-U統一使用者管理平臺除了支援定製WebService介面形式的資料同步外，預設還實現了與Oracle、DB2、SQLServer、MySQL等主流資料庫，並實現了AD/LDAP協議，可與其他系統中提供的資料目錄進行對接。

· 便捷可靠的運維方式： 對於企業來說，一套系統的建立成本不僅在於建設時的成本，其中也包含著建設中與建設後的維護成本。UAP-U統一使用者管理平臺在設定時已經為使用者考慮過日後的維護問題，並將主要問題歸類，並提出了相應的解決方案。

· 便利的新增業務系統接入流程
    UAP-U對新業務系統良好的支撐性將得到體現，該平臺為業務系統提供了多種獲取使用者資料的方式，標準的WebService訂閱介面、通用的LDAP企業目錄或者直接向業務系統的資料庫中寫入資料等。

    同時，利用UAP-U統一使用者管理平臺可控的資料佇列，可以方便地為不同同步水平的業務系統單獨建立資料自己的增量資料通道。

· 運維操作自動通知機制
    在UAP-U中完成各種模型和策略的配置後，UAP-U統一使用者管理平臺便可自動運轉，管理員除了調整策略和記錄審計之外幾乎無需關注UAP-U的管理平臺。當系統發生異常時， UAP-U統一使用者管理平臺支援傳送電子郵件的方式通知管理員系統發生了何種異常，同時，根據三員分立的原則，管理員還可以設定當系統發生何種型別的異常時去通知指定的管理員進行處理。目前UAP-U統一使用者管理平臺支援中國電信的“SMGP”簡訊傳送協議。與郵件相比，簡訊具有更強的實時性。

· 使用者同步佇列容錯處理
    UAP-U的資料佇列處理方式更符合生產流程，當使用者資料在佇列處理過程中發生異常時，佇列會把該資料放置到待處理佇列中，同時當前資料處理佇列繼續向下推進。

    管理員在收到系統發出的異常處理提醒後，可在管理員平臺中找到發生異常的資料，並可根據實際情況對該資料進行修正，修正解決使用者資料的異常後，管理員可以將該資料重新退回到原有資料佇列中，繼續進行它本來預定的流程。

· 安全的體系設計：
    在實際運用中，選擇使用統一使用者管理系統的使用者同時還會選用選擇統一使用者認證系統，透過兩個系統的結合，達到統一使用者和許可權管理，統一使用者認證方式的安全需求。

    上述需求不僅是企業對網路安全建設的更高期許，在保密單位中更是一種強制的資訊保安管理要求。

    經過多年在軍工、航天、金融等領域內的時間經驗，秉承著對資訊保安的執著追求，UAP-U統一使用者管理平臺具備一般統一認證管理系統
所不具備的安全標準管理：

三員分立式管理：
管理員：負責系統配置及安全策略設定；
使用者管理員：負責使用者資訊及資料同步訂閱管理；
安全審計員：負責日誌記錄的維護與管理；

詳實的日誌審計：
使用者日誌：詳實記錄每個使用者修改屬性的前後情況，發生時間等資訊。
管理員日誌：詳實記錄管理員每個操作的前後情況以及發生的時間等資訊。
系統日誌：記錄著系統執行過程中發生的事件。

    另外，在結合UAP-G閘道器或UAP-S統一認證系統時，可為使用者提供符合保密標準的統一使用者管理與認證服務。

    UAP-U本身提供的統一密碼管理功能在管理使用者密碼的同時，也會對密碼進行強度驗證、定期修改等安全控制。

    對於智慧卡認證的使用者，UAP-U統一使用者管理平臺同樣會在使用者屬性下發時告知業務系統此使用者下次修改PIN碼的時間或其他安全性要求。在結合認證產品後，還可為其提供認證資訊以及授權資訊，真正做到統一管理、統一授權、統一認證。

· 統一認證及訪問控制系統的無縫結合： 單純的統一使用者管理系統只能為使用者建立一種規範，以及基於此規範進行使用者資料的轉換、整理和儲存服務。它在內網中最主要的作用是為其他業務系統一共標準、可信的使用者資訊資料。

    在完成統一使用者管理平臺的建設後，企業往往會有這樣的需求：在一個固定的位置處理使用者的認證請求，並且根據認證後獲得的許可權來訪問內部網路中的業務系統。

    針對上述需求，時代億信專門為企業提供了“統一使用者管理、統一身份認證、統一訪問授權”的整體安全解決方案。

UAP-U 統一使用者管理平臺產品規格
可管理使用者數大於10萬
可管理組織機構數大於1萬
可同步訂閱的應用系統數大於200
可管理的許可權模型數大於2000

UAP-U 統一使用者管理平臺產品方案
    時代億信認證訪問控制牆認證訪問控制牆是一款提供認證和訪問控制的硬體裝置，為企業B/S和C/S業務系統、網路裝置、主機、資料庫等企業資源，提供高效能的安全認證、統一接入、訪問控制、安全管理、安全審計服務。產品能夠滿足不同企業集中認證、訪問控制和安全管理的需求。

    認證訪問控制牆透過網路層和應用層聯動，採用網路層協議分析與應用層訪問策略相結合的訪問控制技術，形成使用者資訊、協議號、目的IP地址、目的埠的使用者身份動態資源訪問控制策略；在不改動使用者應用的前提下，透過協議分析，實現資源的細粒度訪問控制；使用流量限速的差異化訪問技術，克服傳統只能針對應用進行QoS設定的缺陷，實現了使用者身份與應用繫結的流量控制功能，提高系統效能；同時，本產品可應用到WLAN無線和3G網路，實現基於無線網路的統一認證與訪問控制。本產品已在中國電信總部OA統一認證與訪問控制工程、中央國債統一認證及訪問控制工程等專案中成功使用。

    認證訪問控制牆著眼於應用層和網路層兩個層面的認證與訪問控制聯動，為電信級企業或集團的各類使用者和應用系統、主機、網路裝置等資源提供高效能的安全認證服務、安全接入與訪問控制服務、安全管理服務、安全審計服務。

    時代億信推出的認證訪問控制牆，是當前市場中唯一整合了CA、動態口令、簡訊認證等多種身份認證技術、應用動態加密通道、網路流量差異化服務、網路層訪問控制、應用代理、資訊中轉和推送、協議分析、URL重寫、內容過濾、內容重寫、端到端加密通道、伺服器外掛資訊提取等多項關鍵技術，綜合提供身份統一管理、角色統一管理、資源統一管理、授權統一管理、身份統一認證、訪問控制等功能的產品，能有效整合各種應用系統使用者資源，增強應用資源安全性，提高工作效率，降低溝通成本，是對多種資訊保安技術、身份認證技術和訪問控制技術的綜合應用，可廣泛滿足使用者的多種需求，而無須進行二次開發，快速部署和應用。