時代億信統一認證與訪問控制功能簡介

1. 產品簡介
    UAP統一認證與訪問控制系統可為企業辦公網路中的B/S和C/S業務系統、網路裝置、主機、資料庫等企業資源，提供高效能的安全認證、統一接入、訪問控制、安全管理、安全審計服務。

UAP統一認證與訪問控制系統分為兩個型號：UAP-S和UAP-G，分別具有不同側重：
    UAP-S作為應用帳號管理、統一認證、單點登入和許可權管理中心，以企業使用者、B/S和C/S系統為整合目標，實現統一認證、統一授權和訪問控制。
UAP-G是以提供企業內部應用系統、伺服器主機、網路裝置等資源的訪問控制為目標，整合強身份認證、會話審計、集中管理功能的一體化硬體裝置。可對企業內部使用者應用訪問、管理員維護等各類操作進行訪問控制。UAP-G基於包過濾及代理技術，可實現對HTTP、Telnet、SSH、FTP、RDP遠端桌面、CIFS檔案共享等應用協議的訪問控制及會話審計。

列表說明UAP-S與UAP-G的區別：


1.1  產品可解決的問題
    UAP統一認證與訪問控制系統能夠滿足不同企業集中認證、訪問控制和安全管理的需求。

1、安全身份認證服務。提供口令認證、證照認證、USB智慧卡認證、動態令牌認證、指紋認證、簡訊認證等多種認證方式；同時支援LDAP、AD、RADIUS等外部認證源。

2、聯邦身份認證中心。為企業應用、主機、裝置等提供多種認證介面，實現企業內部使用者的統一身份認證，將UAP統一認證與訪問控制系統作為企業內所有業務系統的認證入口，使用者登入UAP統一認證與訪問控制系統後， 由UAP統一認證與訪問控制系統對登入使用者進行集中授權。

3、應用系統（B/S、C/S）的安全單點登入。透過UAP統一認證與訪問控制系統認證並授權的使用者，可在UAP統一認證與訪問控制系統中透過單點登入的方式訪問B/S、C/S應用，方便使用者使用，提高工作效率。

4、網路訪問控制。在網路裝置和伺服器資源管理中指定使用者可以訪問的網路資源，從網路層限制了使用者的網路訪問許可權，可用多種可選方式對維護人員的身份進行認證，可以有效避免非法使用者的假冒。

5、訪問審計。記錄系統範圍內的安全和系統審計資訊，有效地分析整個系統的日常操作與安全事件資料，透過歸類、合併、關聯、最佳化、直觀呈現等方法，使管理員輕鬆識別應用系統環境中潛在的惡意威脅活動，可幫助使用者明顯地降低受到來自外界和內部的惡意侵襲的風險。

1.2 功能組成


如圖1-1所示，UAP統一認證與訪問控制系統主要分為：管理員平臺，ETCA證照中心，使用者Portal、外部系統認證介面、底層服務四部分組成。

使用者Portal：
    包括使用者認證入口與自服務平臺兩部分。使用者在認證入口完成身份認證後，系統根據其身份進行業務系統或網路資源的訪問授權；使用者在自服務管理平臺，方便使用者自行完成應用系統相關關聯對映、身份認證憑證（密碼、使用者證照）管理等操作，減少管理員負擔；

管理員平臺：
    UAP統一認證及訪問控制系統的管理平臺為使用者提供基於三員分立的管理員管理規範，為使使用者可以更明確的、更便捷的管理UAP統一認證與訪問控制系統，本系統還提供分級管理員管理功能。管理員可以在本平臺可以進行下列工作：
a)系統管理員主要負責配置系統基本引數、使用者帳戶和組織機構的管理、業務系統管理以及使用者日誌審計。
b)安全管理員：管理使用者證照、配置業務系統接入資訊以及制定其他安全策略。
c)系統審計員：審計系統管理員操作日誌、審計安全管理員操作日誌。

安全認證服務：
    UAP統一認證及訪問控制系統可提供口令認證、證照認證、USB智慧卡認證、動態令牌認證、指紋認證、簡訊認證等多種認證方式；
支援LDAP、AD、RADIUS等外部認證源；

聯邦身份認證中心：
    UAP統一認證及訪問控制系統作為企業統一認證中心，為企業應用、主機、裝置等提供多種認證介面，實現企業內部使用者的統一身份認證；
提供基於SOAP、RADIUS、LDAP、NTLM、SOCKET等協議的認證介面；

帳號管理：
提供對應用系統帳號的統一管理；
具有主從帳號管理功能；
支援帳號資訊的批次匯入服務；

許可權管理：
基於角色的使用者許可權模型，相容使用者個人高階許可權；
整合企業內部資源，實現細粒度的許可權劃分和訪問控制；
支援角色的定義和管理；
支援部門角色，方便以部門組織機構為單位，對所屬使用者進行批次授權；

單點登入服務：
支援B/S架構、 C/S架構應用系統單點登入；
提供API外掛單點登入方式；
提供反向代理單點登入方式；
提供客戶端代理單點登入方式；
提供HTTP HEADER單點登入方式；
支援應用系統零改動實現單點登入；

網路訪問控制：
在主路部署情況將受控資源與訪問者物理隔離；
對所有訪問請求進行協議分析並應用訪問控制規則；
可基於IP或IP+埠設定訪問控制規則；

ETCA證照中心：
作為企業級CA證照中心，為使用者提供數字證照的申請、簽發、下載、作廢、更新等服務，遵循PKI/CA 國際標準；
提供CRL、證照校驗等服務；
支援證照模版、證照擴充套件項定義；
支援加密機/加密卡。

1.3 工作原理
1.3.1 應用層訪問控制原理


如圖1-2所示，UAP統一認證及訪問控制系統在應用層為使用者提供兩種認證方式：
業務系統外掛認證。
UAP門戶認證。

    二者的區別主要在於當業務系統實現“認證外掛”後，使用者可直接訪問該業務系統的認證頁面，並在該系統中完成身份授權，認證外掛只將使用者的認證資訊提交到UAP的外部認證介面，並獲取認證結果。

    採用UAP門戶認證時，使用者需要在UAP統一認證與訪問控制系統的使用者門戶中完成身份認證、訪問授權，在完成認證和授權後，使用者只需要在UAP的使用者門戶中選擇有許可權訪問的業務系統連結，即可單點登入到該業務系統中。

透過UAP門戶認證後，使用者可以憑藉UAP統一認證與訪問控制系統提供的“聯邦認證”服務，單點登入到任何被授權訪問的業務系統，憑藉優秀的單點登入模組、靈活的從帳號機制，即使是CS客戶端也可實現單點登入。

1.3.2  網路層訪問控制原理


如圖1-3所示，UAP統一認證及訪問控制系統在主路部署模式下，為使用者提供了類似透明代理的網路訪問控制服務。

    使用者透過UAP訪問網路資源時，UAP底層包的資料過濾器首先會分析資料包的協議、源、目標等資訊，並與“訪問策略服務”下發的受控資源進行匹配，判斷當前通訊是否訪問受控資源。若使用者訪問的是受控資源，則驗證當前使用者是否已透過身份認證，若未認證，則丟棄當前資料包。若已完成認證，則將資料包轉發到底層“協議代理”服務中，使使用者透過協議代理服務訪問受控資源，並在使用者訪問過程中記錄訪問過程與資訊。

    若使用者訪問的是非受控資源，資料包過濾器會將資料包轉發到“資料轉發”服務，使使用者真正使用透明代理進行訪問。

1.3.3 統一身份認證技術原理
    統一認證採用 SAML標準訊息協議，透過對使用者身份憑證的統一管理，實現在使用者各系統和資源間的單點登入和單點登出。在系統認證過程中使用基於SOAP（簡單物件訪問）協議標準，實現登入請求的提交和認證結果的返回。採用SAML和SOAP協議，定義了用於安全服務之間傳輸安全資訊的交換機制，實現不同安全服務系統之間的互操作性，提供了一種機制，使得使用者可以在不同的安全服務系統之間交換認證和授權資訊。

    使用者系統和資源的安全接入主要採用外掛（Plug-in）和支援SSL協議的反向代理技術，外掛（Plug-in）技術透過在使用者系統或資源中部署安全外掛，實現使用者系統資源的單點接入和防護。反向代理技術實現對使用者客戶端主機訪問受控系統和資源的代理，此方式無需修改使用者系統就能實現使用者系統和資源的安全接入。針對不同的應用場景，可靈活選用不同的安全接入方式。

    認證方式支援包括數字證照認證、動態令牌認證、簡訊認證、指紋認證和簡單的使用者名稱口令認證等主流方式，並實現同一使用者可採用不同的認證方式獲得不同訪問許可權，如訪問一般系統使用口令認證，訪問安全級別高的採用數字證照認證。

1.3.4 訪問控制技術原理
    訪問控制包括針對應用資源的實體訪問控制和會話訪問控制。實體訪問控制是指控制使用者能夠訪問哪些應用及資源，會話訪問控制是指控制使用者在應用會話過程中，能夠執行哪些操作。UAP統一認證及訪問控制系統在進行實體訪問控制時，使用自主研發的協議分析系統，對使用者與資源間會話進行分析，透過IP和埠控制技術，結合使用者認證完成後的身份資訊進行協議分析，根據身份資訊、IP地址、埠等資訊動態產生和刪除包過濾規則，達到對裝置的訪問控制目的。UAP統一認證及訪問控制系統針對受控資源使用的協議和提供的服務，可分別設定不同的訪問控制策略。

    在進行會話訪問控制時，UAP統一認證及訪問控制系統會結合應用的會話協議進行分析。透過對應用協議的分析和提取，甄別使用者操作行為，結合設定的授權策略，達到訪問控制的目的。

1.3.5 效能保障技術原理
    為構建高效能的統一認證和訪問控制系統，本系統基於一個高效能的協議樹分析處理引擎，透過定製協議樹規則模板，實現對特定協議的匹配分析，透過對協議資料的替換和資料包重組，實現認證、訪問控制多個環節上的效能要求。

    系統在流量整形和控制上使用了資料分類演算法PRIO/CBQ，分類演算法主要作用是可以對多種資料流區別對待。一旦資料包進入一個分類的佇列規定，它就得被送到某一個類中分類，對資料包進行分類的工具是過濾器。過濾器會返回一個決定，佇列規定就根據這個決定把資料包送入相應的類進行排隊。每個子類都可以再次使用它們的過濾器進行進一步的分類。直到不需要進一步分類時，資料包才進入該類包含的佇列規定排隊。除了能夠包含其它佇列規定之外，絕大多數分類的佇列規定能夠流量整形。

1.4 產品優勢
    與同類產品相比，UAP統一認證與訪問控制系統具有以下優勢：
1）產品設計從國家政策法規、標準規範、行業特色等多個層面出發，融入了多年專業經驗和多個大規模專案實施經驗，能夠有效地滿足不同使用者的個性化需求；
2）符合《國家資訊保安等級保護管理辦法》和《中華人民共和國電子簽名法》等相關法律法規要求；
3）經過國家密碼管理局產品檢測，採用SM1、SM2、SM3國產密碼演算法，並具有統一認證類產品唯一商用密碼產品型號證照；
4）經過國家保密局產品檢測，具備管理員三員分立、智慧卡PIN碼安全策略、管理平臺安全防護等安全保護措施，並在原始碼層面進行了安全加固與抗反向工程；
5）內建多種強身份認證技術，可安全、穩定的支援動態口令、指紋、簡訊動態碼等多種認證方式；
6）支援LDAP、AD、Radius等多種外部認證源；
7）內建企業級CA證照中心，可為使用者集中籤發與製作證照；
8）統一管理使用者帳號與身份認證憑證（證照資訊、動態令牌資訊、指紋資訊，取決於使用者當前使用的強身份認證方式）；
9）提供API、客戶端代理、反向代理、應用介面卡多種接入方式，適應應用系統的多種開發語言和開發環境，降低接入難度，實現異構系統整合；
10）支援多訪問控制方式和細粒度訪問授權；
11）系統採用Java語言進行開發實現，並遵循J2EE規範，能夠對系統進行靈活配置，獨立性強，適合多種作業系統平臺；
12）提供多種資料加密通道服務，SSL加密通道和關鍵資訊加密通道，關鍵資訊加密通道還可選用國密演算法，使用者可根據實際需要靈活選用；
13）效能穩定，支援叢集和負載均衡部署。