統(tǒng)一身份認(rèn)證系統(tǒng)技術(shù)方案

1、智慧海事一期統(tǒng)一身份認(rèn)證系統(tǒng)技術(shù)方案i智慧海事一期統(tǒng)一身份認(rèn)證系統(tǒng)技術(shù)方案北京數(shù)字證書(shū)認(rèn)證中心BEIJING CERTIFICATE AUTHOKlTli目錄目錄I1. 總體設(shè)計(jì)21.1 設(shè)計(jì)原則21.2 設(shè)計(jì)目標(biāo) 31.3 設(shè)計(jì)實(shí)現(xiàn)31.4 系統(tǒng)部署 42. 方案產(chǎn)品介紹62.1 統(tǒng)一認(rèn)證管理系統(tǒng) 62.1.1 系統(tǒng)詳細(xì)架構(gòu)設(shè)計(jì) 62.1.2 身份認(rèn)證服務(wù)設(shè)計(jì)72.1.3 授權(quán)管理服務(wù)設(shè)計(jì) 102.1.4 單點(diǎn)登錄服務(wù)設(shè)計(jì) 132.1.5 身份信息共享與同步設(shè)計(jì) 152.1.6 后臺(tái)管理設(shè)計(jì)192.1.7 安全審計(jì)設(shè)計(jì)212.1.8 業(yè)務(wù)系統(tǒng)接入設(shè)計(jì)232.2 數(shù)字證書(shū)認(rèn)證系統(tǒng) 232.2.

2、1 產(chǎn)品介紹232.2.2 系統(tǒng)框架242.2.3 軟件功能清單252.2.4 技術(shù)標(biāo)準(zhǔn)263. 數(shù)字證書(shū)運(yùn)行服務(wù)方案 283.1 運(yùn)行服務(wù)體系 283.2 證書(shū)服務(wù)方案 293.2.1 證書(shū)服務(wù)方案概述 293.2.2 服務(wù)交付方案303.2.3 服務(wù)支持方案 363.3 CA基礎(chǔ)設(shè)施運(yùn)維方案 383.3.1 運(yùn)維方案概述 383.3.2 CA系統(tǒng)運(yùn)行管理383.3.3 CA系統(tǒng)訪(fǎng)問(wèn)管理393.3.4 業(yè)務(wù)可持續(xù)性管理 393.3.5 CA審計(jì) 39智慧海事一期統(tǒng)一身份認(rèn)證系統(tǒng)技術(shù)方案1. 總體設(shè)計(jì)1.1設(shè)計(jì)原則一、標(biāo)準(zhǔn)化原則系統(tǒng)的整體設(shè)計(jì)要求基于國(guó)家密碼管理局商用密碼管理?xiàng)l例、公安部計(jì)算機(jī)

3、系統(tǒng) 安全等級(jí)要求和中華人民共和國(guó)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例的有關(guān)規(guī)定。數(shù)字證 書(shū)認(rèn)證系統(tǒng)的安全基礎(chǔ)設(shè)施的設(shè)計(jì)和實(shí)現(xiàn)將遵循相關(guān)的國(guó)際、國(guó)內(nèi)技術(shù)和行業(yè)標(biāo)準(zhǔn)。二、安全性原則系統(tǒng)所采用的產(chǎn)品技術(shù)和部署方式必須具有足夠的安全性，針對(duì)可能的安全威脅和 風(fēng)險(xiǎn)，并制定相應(yīng)的對(duì)策。關(guān)鍵數(shù)據(jù)具有可靠的備份與恢復(fù)措施。三、可用性原則系統(tǒng)具有足夠的容量和良好的性能，能夠支撐百萬(wàn)級(jí)或千萬(wàn)級(jí)用戶(hù)數(shù)量，并能夠在 海量用戶(hù)和大并發(fā)訪(fǎng)問(wèn)壓力的條件下，保持功能和性能的可用性。四、健壯性原則系統(tǒng)的基礎(chǔ)平臺(tái)成熟、穩(wěn)定、可靠，能夠提供不間斷的服務(wù)，相關(guān)產(chǎn)品均具有很強(qiáng)的健壯性、良好的容錯(cuò)處理能力和抗干擾能力。五、模塊化原則系統(tǒng)的設(shè)計(jì)和

4、實(shí)現(xiàn)采用模塊化結(jié)構(gòu)，各個(gè)模塊具有相對(duì)獨(dú)立的功能和開(kāi)放的接口。 可以根據(jù)系統(tǒng)的需要進(jìn)行功能模塊的增加或減少，而不必改變?cè)瓉?lái)的程序構(gòu)架；針對(duì)不 同的應(yīng)用定制實(shí)施模塊。六、可擴(kuò)展原則隨著業(yè)務(wù)的發(fā)展，對(duì)未來(lái)系統(tǒng)的功能和性能將會(huì)提出更高的要求。系統(tǒng)在設(shè)計(jì)和實(shí) 現(xiàn)上，應(yīng)具有良好的可擴(kuò)展性?？梢酝ㄟ^(guò)對(duì)硬件平臺(tái)、軟件模塊的擴(kuò)展和升級(jí)，實(shí)現(xiàn)系 統(tǒng)功能和性能的平滑地?cái)U(kuò)展和升級(jí)。七、方便開(kāi)發(fā)原則系統(tǒng)提供豐富的二次開(kāi)發(fā)工具和接口，便于應(yīng)用系統(tǒng)調(diào)用，能夠方便的與現(xiàn)有和將 來(lái)的應(yīng)用系統(tǒng)進(jìn)行集成。八、兼容性原則系統(tǒng)具備良好的兼容性，能夠與多種硬件系統(tǒng)、基礎(chǔ)軟件系統(tǒng)，以及其它第三方軟 硬件系統(tǒng)相互兼容。1.2設(shè)計(jì)目標(biāo)根據(jù)招標(biāo)

5、文件的具體技術(shù)要求，基于現(xiàn)有信息系統(tǒng)現(xiàn)狀、數(shù)字證書(shū)應(yīng)用現(xiàn)狀以及未 來(lái)在信息安全方面的技術(shù)性要求，本方案提出以下建設(shè)目標(biāo)。(1) 在海事局內(nèi)部部署統(tǒng)一認(rèn)證管理系統(tǒng)，具體目標(biāo)是：提供數(shù)據(jù)統(tǒng)一、維護(hù)統(tǒng)一、 用戶(hù)統(tǒng)一的安全可靠的認(rèn)證與授權(quán)服務(wù)；實(shí)現(xiàn)全局相關(guān)業(yè)務(wù)系統(tǒng)全面統(tǒng)一的用戶(hù) 管理、可靠的身份認(rèn)證與安全審計(jì)、有效的分級(jí)授權(quán)、安全的單點(diǎn)登錄、便捷的 信息共享(2) 在海事局內(nèi)部部署數(shù)字證書(shū)認(rèn)證系統(tǒng)(CA認(rèn)證中心)，具備10萬(wàn)級(jí)數(shù)字證書(shū)的 發(fā)放能力，滿(mǎn)足海事局內(nèi)部用戶(hù)以及應(yīng)用系統(tǒng)的對(duì)數(shù)字證書(shū)的使用需求。(3) 廣東海事局內(nèi)部其它業(yè)務(wù)系統(tǒng)(包括：船舶遠(yuǎn)程電子簽證、船舶動(dòng)態(tài)2.0系統(tǒng))與統(tǒng)一身份認(rèn)證系統(tǒng)的進(jìn)

6、行技術(shù)集成，實(shí)現(xiàn)統(tǒng)一的身份認(rèn)證與單點(diǎn)登錄功能。1.3設(shè)計(jì)實(shí)現(xiàn)本方案由統(tǒng)一認(rèn)證管理系統(tǒng)和數(shù)字證書(shū)認(rèn)證系統(tǒng)兩部分組成，其統(tǒng)一認(rèn)證管理系統(tǒng) 實(shí)現(xiàn)統(tǒng)一的用戶(hù)管理、身份認(rèn)證、單點(diǎn)登錄、授權(quán)管理、安全審計(jì)等功能；數(shù)字證書(shū)認(rèn) 證系統(tǒng)實(shí)現(xiàn)海事局全國(guó)用戶(hù)的數(shù)字證書(shū)發(fā)放和數(shù)字證書(shū)管理。統(tǒng)一認(rèn)證管理系統(tǒng)與數(shù)字證書(shū)認(rèn)證系統(tǒng)集成，實(shí)現(xiàn)新增用戶(hù)信息同步，證書(shū)管理員 只需要登錄數(shù)字證書(shū)認(rèn)證系統(tǒng)，查出用戶(hù)信息，直接制作證書(shū)。二級(jí)云中心(直屬局)統(tǒng)一認(rèn)證管理系統(tǒng)定時(shí)將用戶(hù)、機(jī)構(gòu)、授權(quán)等信息同步給一 級(jí)云中心統(tǒng)一認(rèn)證管理系統(tǒng)。本期工程將率先在廣東海事局搭建起船舶遠(yuǎn)程電子簽證、船舶動(dòng)態(tài)2.0系統(tǒng)的單點(diǎn)登錄功能。1.4系統(tǒng)部署一級(jí)云

7、中心：一臺(tái)身份認(rèn)證服務(wù)器，一臺(tái)加密機(jī)，兩臺(tái)統(tǒng)一認(rèn)證服務(wù)器（基于 ORACLE 一體機(jī)實(shí)現(xiàn)負(fù)載），兩臺(tái)統(tǒng)一認(rèn)證數(shù)據(jù)庫(kù)服務(wù)器（基于 ORACLE數(shù)據(jù)庫(kù) 體機(jī)實(shí)現(xiàn)負(fù)載）。五個(gè)二級(jí)云中心（直屬局）：一臺(tái)統(tǒng)一認(rèn)證數(shù)據(jù)庫(kù)服務(wù)器，兩臺(tái)統(tǒng)一認(rèn)證服務(wù)器 （雙機(jī)冷備），二級(jí)云中心統(tǒng)一認(rèn)證服務(wù)器能訪(fǎng)問(wèn)一級(jí)云中心統(tǒng)一認(rèn)證服務(wù)器。52c廉車(chē)尺辦張圍鐮云中心塩亠址-ii址廉認(rèn)址 ！*一弘便BlCltl 覲君丿*32. 方案產(chǎn)品介紹2.1統(tǒng)一認(rèn)證管理系統(tǒng)2.1.1系統(tǒng)詳細(xì)架構(gòu)設(shè)計(jì)國(guó)家海事局統(tǒng)一認(rèn)證管理系統(tǒng)詳細(xì)架構(gòu)設(shè)計(jì)如下圖所示:；用戶(hù)1111府陽(yáng)簸境1111tII1I11認(rèn)還門(mén)戶(hù)1 t電手jbirI I I1111I片喘認(rèn)

8、毗段旁認(rèn)證嵐務(wù)草住譽(yù)II員安全律計(jì)妥呈編略蒼理譽(yù)全管豐菅達(dá)員訓(xùn)I盤(pán)用戶(hù)系紬理員唁冬同步置務(wù)h單點(diǎn)登錄股芳資源管壽在國(guó)家海事局部署一級(jí)統(tǒng)一身份認(rèn)證系統(tǒng)，可管理全部的系統(tǒng)用戶(hù)，用戶(hù)可通過(guò)統(tǒng) 一身份認(rèn)證系統(tǒng)進(jìn)行身份認(rèn)證、業(yè)務(wù)系統(tǒng)單點(diǎn)登錄；二級(jí)單位根據(jù)具體情況可部署二級(jí) 統(tǒng)一身份認(rèn)證系統(tǒng)，系統(tǒng)用戶(hù)信息管理與一級(jí)統(tǒng)一身份認(rèn)證系統(tǒng)同步，當(dāng)網(wǎng)絡(luò)出現(xiàn)故障 時(shí)，二級(jí)單位用戶(hù)可登錄各自單位的二級(jí)統(tǒng)一身份認(rèn)證系統(tǒng)，不影響正常的業(yè)務(wù)處理。國(guó)家海事局統(tǒng)一認(rèn)證管理系統(tǒng)的主要服務(wù)功能模塊包括：身份認(rèn)證模塊、單點(diǎn)登錄 模塊、信息同步模塊、后臺(tái)管理模塊、數(shù)據(jù)服務(wù)模塊及安全管理模塊，其中后臺(tái)用戶(hù)管 理包括用戶(hù)、角色、應(yīng)用等相關(guān)信

9、息管理，另外，安全管理模塊為維護(hù)好系統(tǒng)服務(wù)功能的安全性，提供系統(tǒng)自身所有操作的安全審計(jì)功能，以及各個(gè)應(yīng)用系統(tǒng)用戶(hù)信息的監(jiān)控 功能。2.1.2身份認(rèn)證服務(wù)設(shè)計(jì)身份認(rèn)證服務(wù)為海事局各應(yīng)用系統(tǒng)內(nèi)各類(lèi)用戶(hù)提供身份信息注冊(cè)、憑證發(fā)布、用戶(hù) 資料管理及銷(xiāo)毀、登錄認(rèn)證功能。2.1.2.1總體設(shè)計(jì)門(mén)奢用盧（無(wú)誑書(shū)）忘全纟討花I 豈 ajg 口 |業(yè)務(wù)系統(tǒng)認(rèn)證接口*駆發(fā)刖務(wù)容UF書(shū)國(guó)家h 海事局證書(shū)用戶(hù)IIII業(yè)務(wù)系統(tǒng)安全組件.認(rèn)訂接口:直居局地方省局r服務(wù)器證書(shū)r一級(jí)統(tǒng)一認(rèn)迂系統(tǒng)認(rèn)證管理的結(jié)構(gòu)如上圖所示，主要包括以下幾個(gè)部分:CA認(rèn)證中心：海事局CA認(rèn)證中心為數(shù)字證書(shū)用戶(hù)提供身份認(rèn)證服務(wù)，簽發(fā)數(shù)字證書(shū)，實(shí)現(xiàn)證

10、書(shū)與現(xiàn)實(shí)中的實(shí)體（個(gè)人、單位或服務(wù)器）的綁定。CA認(rèn)證中心除了為最終用戶(hù)辦法數(shù)字證書(shū)外，還需要為統(tǒng)一認(rèn)證服務(wù)器和業(yè)務(wù)系統(tǒng)的服務(wù)器簽發(fā)服務(wù)器身份 證書(shū)，用于客戶(hù)與服務(wù)器之間的雙向認(rèn)證。統(tǒng)一認(rèn)證服務(wù)器：統(tǒng)一認(rèn)證系統(tǒng)服務(wù)器的數(shù)據(jù)庫(kù)中集中存放所有業(yè)務(wù)系統(tǒng)的用戶(hù)信息和權(quán)限信息，所有業(yè)務(wù)系統(tǒng)和統(tǒng)一認(rèn)證系統(tǒng)都需要部署服務(wù)器證書(shū)、安全組件和認(rèn)證 接口，用于業(yè)務(wù)系統(tǒng)與客戶(hù)端，或業(yè)務(wù)系統(tǒng)之間的身份認(rèn)證。證書(shū)用戶(hù)：證書(shū)用戶(hù)按照經(jīng)過(guò)嚴(yán)格的身份信息鑒證，從CA認(rèn)證中心領(lǐng)取數(shù)字證書(shū)，然后通過(guò)訪(fǎng)問(wèn)各級(jí)統(tǒng)一認(rèn)證系統(tǒng)，進(jìn)行單點(diǎn)登錄，就可以很方便地訪(fǎng)問(wèn)自己權(quán)限范圍內(nèi) 的應(yīng)用系統(tǒng)。用戶(hù)數(shù)字證書(shū)的身份信息要與統(tǒng)一認(rèn)證系統(tǒng)中注冊(cè)的用戶(hù)

11、信息保持一致（關(guān)鍵信息為：姓名、證件類(lèi)型和證件號(hào)碼），只有信息一致的前提下，才可實(shí)現(xiàn)可靠的身份 認(rèn)證?？诹钣脩?hù)：口令用戶(hù)不需要經(jīng)過(guò) CA中心身份認(rèn)證和簽發(fā)數(shù)字證書(shū)，直接由單位管 理員根據(jù)用戶(hù)信息注冊(cè)即可。用戶(hù)本人可在獲得初始密碼后修改登陸密碼和注冊(cè)信息。2.122身份認(rèn)證方式統(tǒng)一認(rèn)證系統(tǒng)可以對(duì)不同的系統(tǒng)進(jìn)行分級(jí)認(rèn)證，也可以對(duì)系統(tǒng)內(nèi)的不同用戶(hù)分級(jí)認(rèn) 證。系統(tǒng)應(yīng)同時(shí)支持口令方式和數(shù)字證書(shū)兩種方式的身份認(rèn)證機(jī)制。另外，系統(tǒng)應(yīng)具有 擴(kuò)展接口，可快速實(shí)現(xiàn)動(dòng)態(tài)口令認(rèn)證、指紋認(rèn)證和和人像等其它身份憑證認(rèn)證模式。身 份認(rèn)證技術(shù)支持 PKI、LDAP、NDS、NIS、AD等標(biāo)準(zhǔn)認(rèn)證技術(shù)。對(duì)于安全性較低的系統(tǒng)，可

12、以采用最低認(rèn)證等級(jí)：用戶(hù)名 / 口令方式；對(duì)于安全性較 高的系統(tǒng)，最低認(rèn)證等級(jí)則需要設(shè)置為數(shù)字證書(shū)方式。系統(tǒng)的認(rèn)證等級(jí)和用戶(hù)的認(rèn)證方 式都可以在統(tǒng)一認(rèn)證系統(tǒng)后臺(tái)進(jìn)行動(dòng)態(tài)配置。用戶(hù)使用數(shù)字證書(shū)可以登錄安全性較低的系統(tǒng)，但是用戶(hù)名 / 口令認(rèn)證方式不允許進(jìn) 入等級(jí)為數(shù)字證書(shū)的業(yè)務(wù)系統(tǒng)。2.1.2.3基于數(shù)字證書(shū)的身份認(rèn)證數(shù)字證書(shū)用戶(hù)登錄業(yè)務(wù)系統(tǒng)的身份認(rèn)證流程如下圖所示：廠(chǎng)統(tǒng)一認(rèn)證 丄管理系統(tǒng) i UL-應(yīng)川系統(tǒng)1z*騎i止血過(guò).yxEZ 5、幽町習(xí) &錄的羸址、流程說(shuō)明:(1) 提供證書(shū)：在登錄門(mén)戶(hù)頁(yè)面(或統(tǒng)一認(rèn)證首頁(yè))中嵌入證書(shū)控件和組件，服務(wù)器 端產(chǎn)生隨即數(shù)并進(jìn)行數(shù)字簽名，客戶(hù)端實(shí)現(xiàn)即插即用的

13、登錄認(rèn)證模式， 只要插入 UsbKey自動(dòng)列舉Key內(nèi)的數(shù)字證書(shū)；(2) 握手認(rèn)證：用戶(hù)輸入證書(shū)密碼、點(diǎn)擊登錄提交按鈕后，頁(yè)面調(diào)用證書(shū)控件的運(yùn)行腳本，校驗(yàn)證書(shū)密碼后對(duì)服務(wù)器端產(chǎn)生的隨即數(shù)和數(shù)字簽名進(jìn)行驗(yàn)證；客戶(hù)端對(duì)隨即數(shù)進(jìn)行數(shù)字簽名，提交認(rèn)證信息給服務(wù)器驗(yàn)證；認(rèn)證信息主要包括：隨即數(shù)、 客戶(hù)證書(shū)、客戶(hù)的簽名等信息。服務(wù)器后臺(tái)程序驗(yàn)證客戶(hù)端的證書(shū)有效性和數(shù)字 簽名的有效性。(3) 獲取訪(fǎng)問(wèn)信息：統(tǒng)一認(rèn)證服務(wù)器從認(rèn)證信息中提取客戶(hù)端數(shù)字證書(shū)，并從證書(shū)中解析出證書(shū)的唯一標(biāo)識(shí)，在后臺(tái)數(shù)據(jù)庫(kù)中進(jìn)行比對(duì)，進(jìn)行訪(fǎng)問(wèn)控制；(4) 返回登錄票據(jù)：服務(wù)器認(rèn)證通過(guò)后，形成標(biāo)準(zhǔn)格式的登錄票據(jù)，返回客戶(hù)端。(5) 選擇

14、業(yè)務(wù)系統(tǒng)：系統(tǒng)根據(jù)登錄票據(jù)，顯示可登錄的系統(tǒng)，用戶(hù)選擇系統(tǒng)。(6) 傳遞票據(jù)：客戶(hù)端瀏覽器將登錄票據(jù)傳遞到對(duì)應(yīng)的系統(tǒng)地址上。(7) 票據(jù)驗(yàn)證：業(yè)務(wù)系統(tǒng)根據(jù)接收到的登錄票據(jù)，通過(guò)部署的安全組件進(jìn)行驗(yàn)證。(8) 進(jìn)入系統(tǒng)：驗(yàn)證通過(guò)，允許進(jìn)入，根據(jù)用戶(hù)權(quán)限信息，授予對(duì)應(yīng)的操作權(quán)限。否 貝拒絕登錄。系統(tǒng)采用數(shù)字證書(shū)，安全組件、密碼運(yùn)算、數(shù)字簽名、數(shù)字信封等技術(shù)來(lái)保障用戶(hù) 身份的真實(shí)性，可以有效避免身份冒充、身份抵賴(lài)、重放、中間人攻擊的風(fēng)險(xiǎn)，從而在 一定程度上保證認(rèn)證的安全性。數(shù)據(jù)加密可采用標(biāo)準(zhǔn)SSL協(xié)議，在WEB服務(wù)器上配置SSL服務(wù)器證書(shū)，即可實(shí)現(xiàn)數(shù)據(jù)在網(wǎng)絡(luò)傳輸過(guò)程中的加密。2.124基于口令方式的

15、身份認(rèn)證用戶(hù)身份唯一性設(shè)計(jì)：系統(tǒng)采用集中數(shù)據(jù)庫(kù)管理模式，用戶(hù)名作為用戶(hù)信息表中的 主鍵，在系統(tǒng)中不允許重復(fù)。另外，系統(tǒng)中應(yīng)根據(jù)用戶(hù)類(lèi)型和注冊(cè)的基本信息生成一個(gè) 具有用戶(hù)特征碼，用于識(shí)別一個(gè)人或單位在系統(tǒng)中的身份唯一性。特征碼的編碼規(guī)范示例：個(gè)人用戶(hù)的特征碼=證件類(lèi)型編碼+證件號(hào)碼+真實(shí)姓名 +登錄名單位用戶(hù)的特征碼=組織機(jī)構(gòu)代碼+對(duì)應(yīng)單位名稱(chēng)+登錄名用戶(hù)名方式的身份認(rèn)證業(yè)務(wù)流程與證書(shū)方式類(lèi)似，與證書(shū)方式的主要區(qū)別在于以下 幾點(diǎn)：(1) 客戶(hù)端不進(jìn)行數(shù)字簽名；(2) 提交給服務(wù)器的認(rèn)證信息不包括客戶(hù)端數(shù)字簽名，而是加密后的登錄口令；(3) 服務(wù)器端接收到認(rèn)證信息后，不再驗(yàn)證簽名，而是將加密的口令

16、與數(shù)據(jù)庫(kù)中的 加密口令進(jìn)行對(duì)比核對(duì)；(4) 安全登錄票據(jù)中的登錄方式不同；(5) 其他流程沒(méi)有區(qū)別。2.1.3授權(quán)管理服務(wù)設(shè)計(jì)2.131授權(quán)管理的系統(tǒng)框架為確保信息資源訪(fǎng)問(wèn)的可控性，防止信息資源被非授權(quán)訪(fǎng)問(wèn)，需要在用戶(hù)身份真實(shí)可信的前提下，提供可信的授權(quán)管理服務(wù)，實(shí)現(xiàn)對(duì)各類(lèi)用戶(hù)的有效管理和訪(fǎng)問(wèn)控制，保 護(hù)各種信息資源不被非法或越權(quán)訪(fǎng)問(wèn)，防止信息泄漏。統(tǒng)一認(rèn)證管理系統(tǒng)應(yīng)提供信息資源管理、用戶(hù)角色定義和劃分、權(quán)限分配和管理、 權(quán)限認(rèn)證等功能。權(quán)限管理主要是由管理員進(jìn)行資源分類(lèi)配置、用戶(hù)角色定義及授權(quán)等 操作；權(quán)限認(rèn)證主要是根據(jù)用戶(hù)身份對(duì)其進(jìn)行權(quán)限判斷，以決定該用戶(hù)是否具有訪(fǎng)問(wèn)相 應(yīng)資源的權(quán)限。由于

17、統(tǒng)一認(rèn)證管理系統(tǒng)要解決各個(gè)應(yīng)用系統(tǒng)內(nèi)部的細(xì)粒度資源權(quán)限控制，需要與應(yīng) 用系統(tǒng)緊密結(jié)合，因此統(tǒng)一認(rèn)證管理系統(tǒng)應(yīng)在統(tǒng)一身份認(rèn)證系統(tǒng)粗粒度訪(fǎng)問(wèn)控制的基礎(chǔ) 之上，由各個(gè)應(yīng)用系統(tǒng)結(jié)合本地資源授權(quán)方式，進(jìn)行定制集成開(kāi)發(fā)。由于采取分布式的RBAC授權(quán)管理模型，首先應(yīng)對(duì)用戶(hù)進(jìn)行嚴(yán)格的身份認(rèn)證，保證 用戶(hù)身份的真實(shí)性，在此基礎(chǔ)之上再由綜合各個(gè)應(yīng)用系統(tǒng)內(nèi)部資源權(quán)限分配的統(tǒng)一授權(quán) 管理系統(tǒng)對(duì)用戶(hù)進(jìn)行嚴(yán)格的權(quán)限認(rèn)證，實(shí)現(xiàn)各個(gè)應(yīng)用系統(tǒng)內(nèi)部資源細(xì)粒度的授權(quán)訪(fǎng)問(wèn)控 制。用戶(hù)訪(fǎng)問(wèn)控制總體框架如下圖所示：用戶(hù)管理管理員用戶(hù)應(yīng)用1身份認(rèn)證認(rèn)證服務(wù)權(quán)限認(rèn)注冊(cè) 峙登錄應(yīng)用2應(yīng)用3權(quán)限管理業(yè)務(wù)系統(tǒng)權(quán)限庫(kù)- 各應(yīng)用系統(tǒng)授權(quán)管理在此框架下

18、，整個(gè)授權(quán)控制的工作流程如下:(1) 統(tǒng)一認(rèn)證管理系統(tǒng)的初始化，添加并配置系統(tǒng)管理員;(2) 由系統(tǒng)管理員添加并配置下級(jí)管理員或用戶(hù)；(3) 管理員添加受控訪(fǎng)問(wèn)資源，并設(shè)置每個(gè)用戶(hù)的權(quán)限；（4）用戶(hù)訪(fǎng)問(wèn)各應(yīng)用系統(tǒng)，首先由統(tǒng)一認(rèn)證系統(tǒng)驗(yàn)證該用戶(hù)的身份；（5）認(rèn)證通過(guò)后根據(jù)用戶(hù)身份，對(duì)用戶(hù)進(jìn)行權(quán)限認(rèn)證；（6）如果用戶(hù)通過(guò)權(quán)限認(rèn)證，則說(shuō)明該用戶(hù)可以進(jìn)入相應(yīng)的應(yīng)用系統(tǒng)， 訪(fǎng)問(wèn)權(quán)限許可 內(nèi)的資源；否則，拒絕用戶(hù)訪(fǎng)問(wèn)。2.132授權(quán)管理模型（基于角色的授權(quán)）基于角色的訪(fǎng)問(wèn)控制（RBAC ）授權(quán)模型：通過(guò)角色定義，將應(yīng)用系統(tǒng)的業(yè)務(wù)權(quán)限授 予某個(gè)角色，然后將用戶(hù)與這些角色關(guān)聯(lián)，從而將業(yè)務(wù)權(quán)限賦予該用戶(hù)。如下圖

19、所示：用戶(hù)A資源（業(yè)務(wù)權(quán)限）A角色關(guān)聯(lián)箱色3基于角色的訪(fǎng)問(wèn)控制方法的思想就是把對(duì)用戶(hù)的授權(quán)分成兩部份，用角色來(lái)充當(dāng)用 戶(hù)行駛權(quán)限的中介。這樣，用戶(hù)與角色之間以及角色與權(quán)限之間就形成了兩個(gè)多對(duì)多的 關(guān)系。系統(tǒng)提供角色定義工具允許用戶(hù)根據(jù)自己的需要（職權(quán)、職位以及分擔(dān)的權(quán)利和 責(zé)任）定義相應(yīng)的角色。角色是一組訪(fǎng)問(wèn)權(quán)限的集合，一個(gè)用戶(hù)可以是很多角色的成員，一個(gè)角色也可以有 很多個(gè)權(quán)限，而一個(gè)權(quán)限也可以重復(fù)配置于多個(gè)角色。權(quán)限配置工作是組織角色的權(quán)限 的工作步驟之一，只有角色具有相應(yīng)的權(quán)限后用戶(hù)委派才能具有實(shí)際意義?；诮巧跈?quán)模型的優(yōu)點(diǎn)基于角色的策略實(shí)現(xiàn)了用戶(hù)與訪(fǎng)問(wèn)權(quán)限的邏輯分離，極大的方便了權(quán)限管

20、理。例如， 如果一個(gè)用戶(hù)的職位發(fā)生變化，只要將用戶(hù)當(dāng)前的角色去掉，加入代表新職務(wù)或新任務(wù) 的角色即可。一般，角色/權(quán)限之間的變化比角色/用戶(hù)關(guān)系之間的變化相對(duì)要慢得多，并 且委派用戶(hù)到角色不需要很多技術(shù)，可以由行政管理人員來(lái)執(zhí)行，而配置權(quán)限到角色的 工作比較復(fù)雜，需要一定的技術(shù)，可以由專(zhuān)門(mén)的技術(shù)人員來(lái)承擔(dān)，但是不給他們委派用 戶(hù)的權(quán)限，這與現(xiàn)實(shí)中情況正好一致。除了方便權(quán)限管理之外，基于角色的訪(fǎng)問(wèn)控制方法還可以很好的地描述角色層次關(guān)系，實(shí)現(xiàn)最少權(quán)限原則和職責(zé)分離的原則?；诮巧跈?quán)的流程以下面的授權(quán)目標(biāo)舉例說(shuō)明基于角色的授權(quán)流程：用戶(hù)（張三）-角色（預(yù)算處處長(zhǎng)）-權(quán)限（預(yù)算系統(tǒng)的審核）1、生成一

21、個(gè)角色：預(yù)算處處長(zhǎng)；2、選擇預(yù)算系統(tǒng)的預(yù)算審批業(yè)務(wù)權(quán)限授予預(yù)算處處長(zhǎng)角色；3、將預(yù)算處處長(zhǎng)角色授予用戶(hù)張三。通過(guò)將預(yù)算系統(tǒng)的審核的業(yè)務(wù)權(quán)限授予預(yù)算處處長(zhǎng)角色，然后將此角色與用戶(hù)張三 關(guān)聯(lián)，最后用戶(hù)擁有了該權(quán)限。2.133分級(jí)授權(quán)管理分級(jí)授權(quán)實(shí)現(xiàn)的是權(quán)限繼承：當(dāng)上級(jí)管理員對(duì)下級(jí)管理員進(jìn)行授權(quán)時(shí)，所授予的業(yè) 務(wù)權(quán)限將被下級(jí)繼承，下級(jí)管理員擁有這些權(quán)限，并可以將這些權(quán)限授予其管轄的用戶(hù)。分級(jí)授權(quán)通過(guò)管理員授權(quán)實(shí)現(xiàn)。通過(guò)一步步的權(quán)限傳遞，可以實(shí)現(xiàn)多級(jí)授權(quán)。授權(quán) 可以基于角色，（如例子中利用預(yù)算審核角色），也可以直接基于業(yè)務(wù)權(quán)限。根據(jù)5個(gè)直屬局調(diào)研反饋，初步確定直屬局按二級(jí)進(jìn)行分級(jí)管理分級(jí)授權(quán)，即各直

22、屬局下屬分局或海事處添加一級(jí)管理員，負(fù)責(zé)本分局或海事處的用戶(hù)信息管理及授權(quán)。2.1.4單點(diǎn)登錄服務(wù)設(shè)計(jì)2.1.4.1 實(shí)現(xiàn)原理安全的單點(diǎn)登錄具體實(shí)現(xiàn)機(jī)制如下：采用基于數(shù)字簽名的安全票據(jù)技術(shù)，封裝用戶(hù) 登錄后的認(rèn)證狀態(tài)信息，并以安全方式傳遞到各個(gè)相關(guān)系統(tǒng)中，通過(guò)對(duì)票據(jù)的解密、驗(yàn) 證、解析，從而實(shí)現(xiàn)方便、快捷、安全的單點(diǎn)登錄。針對(duì)江蘇省海事局辦公系統(tǒng)已與內(nèi)部幾個(gè)業(yè)務(wù)系統(tǒng)集成，實(shí)現(xiàn)單點(diǎn)登錄，建議本項(xiàng) 目建設(shè)統(tǒng)一認(rèn)證管理系統(tǒng)只與江蘇省海事局辦公系統(tǒng)集成，保持現(xiàn)有業(yè)務(wù)系統(tǒng)單點(diǎn)登錄，另外統(tǒng)一認(rèn)證管理系統(tǒng)與部局統(tǒng)一建設(shè)的船舶遠(yuǎn)程電子簽證、船舶動(dòng)態(tài)2.0系統(tǒng)集成實(shí)現(xiàn)單點(diǎn)登錄；江蘇省海事局以后新建設(shè)業(yè)務(wù)系統(tǒng)，可

23、以參照統(tǒng)一認(rèn)證管理系統(tǒng)集成，集 成到統(tǒng)一認(rèn)證管理系統(tǒng)中。針對(duì)深圳市海事局所有業(yè)務(wù)系統(tǒng)都基于 AD域?qū)崿F(xiàn)單點(diǎn)登錄，現(xiàn)有的業(yè)務(wù)系統(tǒng)集成 模式不變。在用戶(hù)已經(jīng)登錄 AD域，直接進(jìn)入統(tǒng)一認(rèn)證管理系統(tǒng)認(rèn)證門(mén)戶(hù)，訪(fǎng)問(wèn)部局統(tǒng) 一建設(shè)的船舶遠(yuǎn)程電子簽證、船舶動(dòng)態(tài) 2.0系統(tǒng)，不需要再登錄；深圳市海事局以后新 建設(shè)業(yè)務(wù)系統(tǒng)，可以參照統(tǒng)一認(rèn)證管理系統(tǒng)集成，集成到統(tǒng)一認(rèn)證管理系統(tǒng)中。單點(diǎn)登錄票據(jù)格式如下：票掘的格式1 加據(jù)版本號(hào)Version2一用戶(hù)認(rèn)證豊曳AuthType4.用色類(lèi)型IserType5票搦有效時(shí)間段TicketLIfe使用應(yīng)用系統(tǒng)證節(jié)進(jìn)存帥密3.用戶(hù)基本信恵Baselhfo6.簽名 Signatu

24、re便用密円技術(shù)保旺單點(diǎn)査最過(guò)程:1. 機(jī)奇性；鍛整性13 不可偽竦通過(guò)對(duì)單點(diǎn)登錄票據(jù)的加密、簽名等技術(shù)保證票據(jù)的機(jī)密性、完整性以及抗否認(rèn)性， 并且在票據(jù)中包含票據(jù)的有效時(shí)間段信息，利用時(shí)間有效期從一定程度上減少重放、中 間人攻擊的風(fēng)險(xiǎn)。單點(diǎn)登錄系統(tǒng)維護(hù)一張票據(jù)流水號(hào)臨時(shí)表，票據(jù)使用一次以后就失效, 也可以有效防止重放攻擊的風(fēng)險(xiǎn)。通過(guò)采用以上的這些安全措施以及安全流程，可以有 效地保證單點(diǎn)登錄系統(tǒng)的安全性。2.142 工作流程安全單點(diǎn)登錄流程如下圖所示：2.1.5身份信息共享與同步設(shè)計(jì)統(tǒng)一認(rèn)證系統(tǒng)建立統(tǒng)一的權(quán)威機(jī)構(gòu)數(shù)據(jù)、用戶(hù)數(shù)據(jù)、用戶(hù)授權(quán)數(shù)據(jù)等資源庫(kù)并可作 為所有應(yīng)用系統(tǒng)的數(shù)據(jù)源。機(jī)構(gòu)數(shù)據(jù)、用

25、戶(hù)數(shù)據(jù)、用戶(hù)授權(quán)數(shù)據(jù)是海事局核心數(shù)據(jù)，需 要絕對(duì)的安全和保密。統(tǒng)一認(rèn)證管理系統(tǒng)對(duì)數(shù)據(jù)的管理應(yīng)該是安全的和封閉的，任何未 授權(quán)應(yīng)用系統(tǒng)均無(wú)法從系統(tǒng)管理層面、系統(tǒng)服務(wù)層面和數(shù)據(jù)庫(kù)層面獲取這些數(shù)據(jù)，應(yīng)用 系統(tǒng)必須通過(guò)信息共享服務(wù)和數(shù)據(jù)同步的方式獲取這些數(shù)據(jù)。2.1.5.1體系結(jié)構(gòu)信息共享服務(wù)和數(shù)據(jù)同步有兩種體系結(jié)構(gòu)：(1) 一級(jí)統(tǒng)一認(rèn)證管理系統(tǒng)和國(guó)家海事局應(yīng)用系統(tǒng)的同步如下圖所示:一級(jí)統(tǒng)一認(rèn)證管理平臺(tái)一級(jí)統(tǒng)一認(rèn)證管理系統(tǒng)僅需要和國(guó)家海事局本地的應(yīng)用系統(tǒng)作數(shù)據(jù)同步。(2) 國(guó)家海事局統(tǒng)一認(rèn)證管理系統(tǒng)和直屬局/地方局統(tǒng)一認(rèn)證管理系統(tǒng)同步如下圖所示：國(guó)家海事局直屬局/地方省局一級(jí)統(tǒng)一認(rèn)證管理系統(tǒng)不僅需要和

26、國(guó)家海事局本地的應(yīng)用系統(tǒng)作數(shù)據(jù)同步，還需要 和直屬局/地方省局的二級(jí)級(jí)統(tǒng)一認(rèn)證管理系統(tǒng)作數(shù)據(jù)同步。2.1.5.2同步機(jī)制信息共享服務(wù)和數(shù)據(jù)同步機(jī)制如下：與基于關(guān)系型數(shù)據(jù)庫(kù)（DB ）的應(yīng)用系統(tǒng)同步采用webservices技術(shù)（SOAP協(xié)議）實(shí)現(xiàn)與這類(lèi)應(yīng)用系統(tǒng)作數(shù)據(jù)同步。數(shù)據(jù)通過(guò) 同步引擎、事務(wù)機(jī)制和SOAP協(xié)議實(shí)現(xiàn)與應(yīng)用系統(tǒng)之間的同步。同步的成功和失敗都進(jìn) 行記錄，同步的成功信息以報(bào)告形式方便于管理人員查看，同步的失敗信息通過(guò)定時(shí)器 機(jī)制自動(dòng)完成，直至同步成功。與基于目錄（LDAP ）的應(yīng)用系統(tǒng)同步采用LDAP協(xié)議和JNDI技術(shù)實(shí)現(xiàn)與這類(lèi)應(yīng)用系統(tǒng)作數(shù)據(jù)同步。支持的 LDAP包括: 即acheD

27、S，openLdap，sunONE 等，另外也包括域控制器（windows AD、Linux NIS、 Unix NFS ）。統(tǒng)一認(rèn)證管理系統(tǒng)和應(yīng)用系統(tǒng)之間以 JNDI/LDAP方式建立通信。數(shù)據(jù)通過(guò)同步引 擎、事務(wù)機(jī)制和JNDI與LDAP協(xié)議實(shí)現(xiàn)與應(yīng)用系統(tǒng)之間的同步。同步的成功和失敗都 進(jìn)行記錄，同步的成功信息以報(bào)告形式方便于管理人員查看，同步的失敗信息通過(guò)定時(shí) 器機(jī)制自動(dòng)完成，直至同步成功。與基于域控制器的應(yīng)用同步采用LDAP協(xié)議和JNDI技術(shù)實(shí)現(xiàn)與這類(lèi)應(yīng)用系統(tǒng)數(shù)據(jù)同步。域控制器包括：windows AD、Linux（Unix）NIS。對(duì)域控制器的同步，基本與對(duì) LDAP的同步類(lèi)似，因此，

28、與基 于域控制器的應(yīng)用同步可以采用基于 LDAP協(xié)議來(lái)實(shí)現(xiàn)同步。但是windows還提供了一 套ADSI接口，也能夠?qū)崿F(xiàn)與 wi ndows AD的數(shù)據(jù)同步。統(tǒng)一認(rèn)證系統(tǒng)通過(guò) JNI實(shí)現(xiàn)對(duì) windowsAD的數(shù)據(jù)同步。2.1.5.3同步策略同步策略有三種，包括：操作及時(shí)同步、操作批量同步和事后同步。1、及時(shí)同步該策略實(shí)現(xiàn)了：對(duì)用戶(hù)信息、機(jī)構(gòu)信息操作（增加并授權(quán)、刪除、修改）時(shí)，系統(tǒng) 自動(dòng)完成同步。同步失敗時(shí)，系統(tǒng)監(jiān)控提示同步失敗，后臺(tái)使用定時(shí)器定時(shí)繼續(xù)進(jìn)行同 步。同步定時(shí)器還能夠設(shè)置同步的時(shí)間和周期。2、批量同步該策略實(shí)現(xiàn)了：根據(jù)“角色”選擇用戶(hù)，完成用戶(hù)同步；根據(jù)“機(jī)構(gòu)”選擇用戶(hù)， 完成用

29、戶(hù)同步；根據(jù)“應(yīng)用系統(tǒng)”選擇對(duì)應(yīng)的角色，完成角色的同步。3、事后同步該策略實(shí)現(xiàn)了：當(dāng)用戶(hù)信息、機(jī)構(gòu)信息操作（增加、刪除、修改）時(shí)或者同步失敗 時(shí)，用戶(hù)可根據(jù)需要進(jìn)行事后再次同步。當(dāng)新系統(tǒng)接入時(shí)，單獨(dú)同步信息。當(dāng)系統(tǒng)需要 更新數(shù)據(jù)時(shí)，再次同步用戶(hù)信息。2.1.6后臺(tái)管理設(shè)計(jì)2.1.6.1用戶(hù)數(shù)據(jù)的獲取身份信息由各應(yīng)用系統(tǒng)匯集，統(tǒng)一認(rèn)證管理系統(tǒng)提供批量操作(導(dǎo)入、導(dǎo)出、遷移) 工具，如采用用戶(hù)數(shù)據(jù)EXCEL的導(dǎo)入導(dǎo)出，以滿(mǎn)足海事局大量用戶(hù)維護(hù)的需求。2.1.6.2管理模式系統(tǒng)提供分級(jí)管理分級(jí)授權(quán)。2.1.6.2.1分級(jí)管理分級(jí)授權(quán)用戶(hù)身份信息和用戶(hù)的訪(fǎng)問(wèn)控制相關(guān)的授權(quán)信息均分級(jí)管理。設(shè)有三類(lèi)管理員

30、角色：(1) 系統(tǒng)管理員：進(jìn)行單位管理員管理、機(jī)構(gòu)管理、角色管理、應(yīng)用系統(tǒng)管理等日常 管理。(2) 安全審計(jì)員：進(jìn)行安全審計(jì)，日志管理等工作，對(duì)系統(tǒng)管理員的工作進(jìn)行監(jiān)督。(3) 單位管理員：進(jìn)行本單位的用戶(hù)的授權(quán)管理。單位管理員根據(jù)系統(tǒng)管理員定義的 本單位的訪(fǎng)問(wèn)角色，為最終用戶(hù)進(jìn)行授權(quán)。海事局統(tǒng)一認(rèn)證管理系統(tǒng)的用戶(hù)及系統(tǒng)級(jí)授權(quán)管理建議采用：分級(jí)管理、分級(jí)授權(quán) 模式，如下圖所示：安全車(chē)it員統(tǒng)一身份認(rèn)證系統(tǒng)海事局單位管理員：負(fù)責(zé)海事局本部的用戶(hù)信息管理及系統(tǒng)級(jí)授權(quán)管理。下級(jí)單位管理員：負(fù)責(zé)本單位及下級(jí)單位的用戶(hù)信息管理及系統(tǒng)級(jí)授權(quán)管理。海事局單位管理員及下級(jí)單位管理員對(duì)各自單位進(jìn)行：機(jī)構(gòu)信息管理

31、、用戶(hù)信息管 理、授權(quán)管理、證書(shū)管理以及安全審計(jì)。單位管理員的權(quán)限由一級(jí)統(tǒng)一認(rèn)證管理系統(tǒng)管 理員統(tǒng)一分配。通過(guò)信息同步服務(wù)實(shí)現(xiàn)數(shù)據(jù)的同步。2.163賬號(hào)安全策略管理統(tǒng)一認(rèn)證管理系統(tǒng)的賬號(hào)安全策略管理功能包括：重置多個(gè)用戶(hù)帳戶(hù)的密碼設(shè)置用戶(hù)下次登錄時(shí)必須更改密碼設(shè)置永不到期的密碼如果用戶(hù)的密碼過(guò)期，啟用、禁用或刪除他們配置用戶(hù)無(wú)法更改由管理員設(shè)置的密碼2.1.6.4后臺(tái)管理功能框架統(tǒng)一認(rèn)證管理系統(tǒng)的后臺(tái)用戶(hù)管理的功能如下:悍 4H:BV 日Uu曾統(tǒng)一認(rèn)證管理系統(tǒng)的總體功能包括：用戶(hù)管理、角色管理、信息系統(tǒng)管理、機(jī)構(gòu)管 理、基礎(chǔ)數(shù)據(jù)管理和安全審計(jì)。2.1.7安全審計(jì)設(shè)計(jì)統(tǒng)一認(rèn)證管理系統(tǒng)應(yīng)具有較完善

32、的應(yīng)用層日志記錄功能，可以通過(guò)安全管理模塊下 的系統(tǒng)日志子模塊查看審計(jì)日志信息，審計(jì)日志包括：序號(hào)、管理員名稱(chēng)、操作類(lèi)別、 操作日期、操作描述。日志內(nèi)容可以記錄用戶(hù)不成功登錄的信息，可以記錄用戶(hù)的重要業(yè)務(wù)操作行為，如: 對(duì)用戶(hù)、角色的增加、刪除、修改和授權(quán)關(guān)系的調(diào)整等操作。所有日志按照標(biāo)準(zhǔn)結(jié)構(gòu)化數(shù)據(jù)記錄，便于審計(jì)。日志中備注信息可填寫(xiě)一些詳細(xì)信 息。2.1.7.1日志管理日志可以提供查詢(xún)、備份等管理功能。各單位管理員可查詢(xún)本機(jī)構(gòu)日志；系統(tǒng)管理員可查詢(xún)所有日志；安全審計(jì)員可以備份、刪除日志（只能以時(shí)間段備份及刪除）；備份/刪除日志操作時(shí)間有記錄，備份/刪除的記錄不刪除； 可設(shè)置備份提醒，在管理員

33、登陸時(shí)提醒。2.1.7.2日志審計(jì)檢查某個(gè)用戶(hù)一段時(shí)間內(nèi)的缺勤情況。檢查當(dāng)前訪(fǎng)問(wèn)網(wǎng)絡(luò)的用戶(hù)數(shù)量。識(shí)別通過(guò)遠(yuǎn)程計(jì)算機(jī)訪(fǎng)問(wèn)的用戶(hù)檢查所有用戶(hù)的高峰登錄時(shí)間。查看上次訪(fǎng)問(wèn)重要資源的用戶(hù)。發(fā)現(xiàn)試圖登錄不具訪(fǎng)問(wèn)權(quán)限的計(jì)算機(jī)的用戶(hù)。查看任一個(gè)用戶(hù)登錄的全部歷史。同一個(gè)用戶(hù)在短時(shí)間內(nèi)從不同地方登陸情況，全面了解用戶(hù)活動(dòng)的安全情況。實(shí)時(shí)預(yù)警功能，提供關(guān)注重要事件的實(shí)時(shí)告警。支持計(jì)劃報(bào)表，提供自動(dòng)發(fā)送用戶(hù)選擇的相關(guān)報(bào)表到管理員郵箱功能。提供自定義報(bào)表，要求提供基于用戶(hù)、計(jì)算機(jī)、組策略、組織單元等內(nèi)容定制各種 報(bào)表。支持導(dǎo)出PDF、CSV、XLS和HTML等格式。提供自定義活動(dòng)目錄事件數(shù)據(jù)的保存周期，按設(shè)置周期清

34、理數(shù)據(jù)庫(kù)過(guò)期事件數(shù)據(jù)功 能。提供日志自動(dòng)歸檔功能：即基于用戶(hù)設(shè)定的時(shí)間間隔對(duì)日志進(jìn)行自動(dòng)存檔，存于指 定目錄。2.1.8業(yè)務(wù)系統(tǒng)接入設(shè)計(jì)2.1.8.1業(yè)務(wù)系統(tǒng)接入條件應(yīng)用系統(tǒng)（海事業(yè)務(wù)申報(bào)客戶(hù)端、客戶(hù)端）要接入統(tǒng)一身份管理系統(tǒng)，進(jìn)行單點(diǎn)登錄，需按照提供的接入標(biāo)準(zhǔn)對(duì)登錄模塊進(jìn)行改造，具體技術(shù)實(shí)現(xiàn)方式詳見(jiàn)第2.1.2和第2.1.4章節(jié)。2.1.8.2業(yè)務(wù)系統(tǒng)接入步驟根據(jù)以上內(nèi)容的介紹，各個(gè)業(yè)務(wù)系統(tǒng)接入統(tǒng)一認(rèn)證管理系統(tǒng)的步驟必須按照規(guī)范和以下步驟完成：1、首先把業(yè)務(wù)系統(tǒng)中的用戶(hù)信息全部導(dǎo)入統(tǒng)一身份認(rèn)證系統(tǒng)中，統(tǒng)一用戶(hù)數(shù)據(jù)匯總 初始化是實(shí)現(xiàn)集成認(rèn)證的前提。2、業(yè)務(wù)系統(tǒng)的原有登錄方式取消，統(tǒng)一采用統(tǒng)一登

35、錄入口，需要各個(gè)業(yè)務(wù)系統(tǒng)按照 統(tǒng)一認(rèn)證的接口規(guī)范要求進(jìn)行相應(yīng)的開(kāi)發(fā)改造3、各個(gè)業(yè)務(wù)系統(tǒng)可以有選擇的把權(quán)限管理數(shù)據(jù)放到統(tǒng)一身份認(rèn)證系統(tǒng)中來(lái)，也可以 選擇保留原有業(yè)務(wù)系統(tǒng)的權(quán)限管理方式；4、統(tǒng)一認(rèn)證系統(tǒng)啟用后，禁用已經(jīng)接入的業(yè)務(wù)系統(tǒng)用戶(hù)數(shù)據(jù)錄入的操作，保證整個(gè) 系統(tǒng)的數(shù)據(jù)一致性，防止數(shù)據(jù)沖突發(fā)生。2.2數(shù)字證書(shū)認(rèn)證系統(tǒng)2.2.1產(chǎn)品介紹本方案將采用BJCA的信天行數(shù)字證書(shū)認(rèn)證系統(tǒng)為海事局提供建設(shè)CA中心。信天行數(shù)字證書(shū)認(rèn)證系統(tǒng)依照國(guó)家有關(guān)證書(shū)認(rèn)證系統(tǒng)的技術(shù)規(guī)范設(shè)計(jì)，包括證書(shū)認(rèn)證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范、數(shù)字證書(shū)認(rèn)證系統(tǒng)密碼協(xié)議規(guī)范、GBT20518-2006信息安全技術(shù)公鑰基礎(chǔ)設(shè)施數(shù)字證書(shū)格式

36、等。系統(tǒng)提供數(shù)字證書(shū)發(fā)放 和管理功能，包括數(shù)字證書(shū)申請(qǐng)、證書(shū)發(fā)放、證書(shū)更新、證書(shū)廢除、密鑰恢復(fù)等。同時(shí) 還提供如證書(shū)目錄發(fā)布服務(wù)，OCSP證書(shū)查詢(xún)服務(wù)等一系列方便用戶(hù)使用證書(shū)的服務(wù)。 系統(tǒng)提供了完善的日志記錄和詳細(xì)的審計(jì)功能， 保證了對(duì)操作人員的操作行為進(jìn)行審計(jì)。信天行數(shù)字證書(shū)認(rèn)證系統(tǒng)具有以下技術(shù)特點(diǎn)：(1) 支持基于SM2算法的ECC證書(shū)的簽發(fā)。(2) 可以統(tǒng)一管理和發(fā)放各類(lèi)證書(shū)，包括郵件證書(shū)、個(gè)人身份證書(shū)、企業(yè)證書(shū)、服務(wù) 器證書(shū)等。(3) 具有高擴(kuò)展性,可以靈活配置認(rèn)證體系。系統(tǒng)支持多級(jí) CA，支持交叉證書(shū)認(rèn)證, 支持多級(jí)受理點(diǎn)?？梢愿鶕?jù)用戶(hù)的需要，對(duì)系統(tǒng)進(jìn)行配置和擴(kuò)展。(4) 具有高安全

37、性和可靠性。(5) 易于部署和使用。系統(tǒng)所有用戶(hù)、管理員界面主要是B/S模式，策略配置和系統(tǒng)定制以及用戶(hù)證書(shū)管理等都通過(guò)界面進(jìn)行。(6) 采用靈活的證書(shū)模板技術(shù)和動(dòng)態(tài)擴(kuò)展機(jī)制，容易滿(mǎn)足多種內(nèi)容格式證書(shū)簽發(fā)要 求。(7) 系統(tǒng)環(huán)境方面，支持主流操作系統(tǒng)、多種主流加密設(shè)備、多種數(shù)據(jù)庫(kù)、多種證書(shū) 存儲(chǔ)介質(zhì)等。信天行數(shù)字證書(shū)認(rèn)證系統(tǒng)在設(shè)計(jì)時(shí)充分考慮了體系結(jié)構(gòu)的完整性、全面的證書(shū)管理功能和自身安全性以及運(yùn)行保障等因素。系統(tǒng)通過(guò)利用公開(kāi)密鑰算法、對(duì)稱(chēng)密鑰算法和散列算法等技術(shù)， 提供了信 息加密、數(shù)字簽名和數(shù)字信封等保護(hù)措施，實(shí)現(xiàn)信息系統(tǒng)中數(shù)據(jù)的完整性、機(jī)密性、抗抵賴(lài)性，并提 供身份認(rèn)證、訪(fǎng)問(wèn)控制等功能?？?/p>

38、以為電子政務(wù)和電子商務(wù)領(lǐng)域提供信息化應(yīng)用安全基礎(chǔ)平臺(tái)。2.2.2系統(tǒng)框架數(shù)字證書(shū)認(rèn)證系統(tǒng)主要分成：核心層、管理層和服務(wù)層三層架構(gòu)。核心層包括：根CA系統(tǒng)、運(yùn)行CA系統(tǒng)和KMC密鑰管理系統(tǒng)三大子系統(tǒng)。其中， 運(yùn)行CA系統(tǒng)又分成CA簽發(fā)系統(tǒng)、CA管理系統(tǒng)、CA數(shù)據(jù)庫(kù)和主LDAP目錄服務(wù)系統(tǒng) 等組成部分。KMC密鑰管理系統(tǒng)包括密鑰管理系統(tǒng)和 KM數(shù)據(jù)庫(kù)。管理層包括：RA注冊(cè)系統(tǒng)。RA注冊(cè)系統(tǒng)由注冊(cè)管理系統(tǒng)和 RA數(shù)據(jù)庫(kù)組成。注冊(cè) 管理系統(tǒng)需要與CA管理系統(tǒng)進(jìn)行安全通信。服務(wù)層包括：證書(shū)服務(wù)系統(tǒng)和證書(shū)/證書(shū)狀態(tài)查詢(xún)系統(tǒng)。證書(shū)服務(wù)系統(tǒng)又細(xì)分為受理 點(diǎn)服務(wù)系統(tǒng)、用戶(hù)服務(wù)系統(tǒng)。受理點(diǎn)服務(wù)系統(tǒng)是海事局的證書(shū)受

39、理點(diǎn)的證書(shū)管理員操作的證書(shū)服務(wù)系統(tǒng)；用戶(hù)服務(wù)系統(tǒng)是證書(shū)用戶(hù)通過(guò)海事局內(nèi)網(wǎng)進(jìn)行自助服務(wù)的系統(tǒng)。證書(shū)/證書(shū)狀態(tài)查詢(xún)系統(tǒng)包括從LDAP目錄服務(wù)系統(tǒng)和OCSP服務(wù)系統(tǒng)。終端包括受理點(diǎn)管理終端和用戶(hù)終端，支持 PC機(jī)+USBKey。數(shù)字證書(shū)認(rèn)證系統(tǒng)軟件構(gòu)架設(shè)計(jì)如下圖所示：世理層注冊(cè)審桟子乘紜 (RA):密鑰背理子覺(jué)挹莊證書(shū)簽發(fā)子系統(tǒng)CO| -弋牡猙證卡狀總告啟層氓宜詢(xún)f懺胱務(wù) /啞書(shū)狀態(tài)査詢(xún)眼務(wù)P:哼扇自韻旺不受浬豈理場(chǎng)脈務(wù)険終厲戶(hù)223軟件功能清單身份認(rèn)證系統(tǒng)采用B/S架構(gòu)，所有管理工作通過(guò)瀏覽器完成。系統(tǒng)主要功能如下表所示：系統(tǒng)模塊系統(tǒng)主要功能說(shuō)明CA簽發(fā)系統(tǒng)(CSS完成證書(shū)生命周期管理服務(wù)，包括：

40、簽發(fā)用戶(hù)證書(shū)、更新證 書(shū)、重簽發(fā)證書(shū)、凍結(jié)、解凍、吊銷(xiāo)證書(shū)簽發(fā)CRL發(fā)布證書(shū)和CRL等等。與KM RA等模塊進(jìn)行安全通信，進(jìn)行證書(shū)業(yè)務(wù)調(diào)度，實(shí)現(xiàn) 整個(gè)身份認(rèn)證系統(tǒng)業(yè)務(wù)、權(quán)限以及策略管理、查詢(xún)統(tǒng)計(jì)、安 全審計(jì)；實(shí)現(xiàn)用戶(hù)證書(shū)生命周期管理。密鑰管理系統(tǒng)用戶(hù)加密密鑰生產(chǎn)、密鑰分發(fā)、密鑰歸檔、密鑰更新、密鑰(KMC撤銷(xiāo)、密鑰備份與恢復(fù)、安全審計(jì)等密鑰生命周期管理服務(wù)。證書(shū)注冊(cè)系統(tǒng)(RA用戶(hù)信息注冊(cè)管理、RA業(yè)務(wù)策略管理、配置管理、安全審計(jì)等等。證書(shū)在線(xiàn)查詢(xún)系統(tǒng)(OCSP提供用戶(hù)證書(shū)狀態(tài)在線(xiàn)查詢(xún)服務(wù)。224技術(shù)標(biāo)準(zhǔn)(1) 數(shù)字證書(shū)認(rèn)證系統(tǒng)遵循的標(biāo)準(zhǔn)證書(shū)認(rèn)證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范數(shù)字證書(shū)認(rèn)證系統(tǒng)密碼協(xié)

41、議規(guī)范數(shù)字證書(shū)認(rèn)證系統(tǒng)檢測(cè)規(guī)范 證書(shū)認(rèn)證密鑰管理系統(tǒng)檢測(cè)規(guī)范商用密碼管理?xiàng)l例 中華人民共和國(guó)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例數(shù)字證書(shū)格式遵循的標(biāo)準(zhǔn)GB/T 20518-2006信息安全技術(shù)公鑰基礎(chǔ)設(shè)施數(shù)字證書(shū)格式ITU-T X.509 V3 （數(shù)字證書(shū)）ITU-T X.509 V2 （CRL數(shù)字證書(shū)應(yīng)用接口遵循的標(biāo)準(zhǔn)公鑰密碼基礎(chǔ)設(shè)施應(yīng)用技術(shù)體系證書(shū)應(yīng)用綜合服務(wù)接口規(guī)范公鑰密碼基礎(chǔ)設(shè)施應(yīng)用技術(shù)體系框架規(guī)范公鑰密碼基礎(chǔ)設(shè)施應(yīng)用技術(shù)體系密碼設(shè)備應(yīng)用接口規(guī)范公鑰密碼基礎(chǔ)設(shè)施應(yīng)用技術(shù)體系通用密碼服務(wù)接口規(guī)范BJCA作為國(guó)家PKI廠(chǎng)商。智能IC卡及智能密碼鑰匙密碼應(yīng)用接口規(guī)范CSP規(guī)范PKCS#1規(guī)范上述規(guī)范為

42、國(guó)家密碼局關(guān)于數(shù)字證書(shū)應(yīng)用體系的最新技術(shù)標(biāo)準(zhǔn)。密碼基礎(chǔ)設(shè)施成員單位，是最先遵循國(guó)家最新技術(shù)標(biāo)準(zhǔn)規(guī)范的（4）支持的密碼算法公鑰密碼算法：RSA SM2其中RSA密鑰長(zhǎng)度1024/2048/4096比特可選SM2支持256比特；哈希函數(shù)算法：支持SHA1 SHA256 SM3對(duì)稱(chēng)密碼算法：SSF33 SM1/SM等。LDAP目錄協(xié)議支持輕量型目錄協(xié)議第三版（LDAPV3）,具體如下：RFC 2251:輕型目錄服務(wù)訪(fǎng)問(wèn)協(xié)議RFC 2252屬性語(yǔ)法定義RFC 2253分辨名的UTF-8字符串表示RFC 2254查詢(xún)過(guò)濾器的字符串表示RFC 2255 LDAP UR格式RFC 2256 X.500 用戶(hù)

43、 Schema匯總RFC 2829 LDAP認(rèn)證方法RFC 2830傳輸層安全（TLS）擴(kuò)展OCS協(xié)議:RFC25603. 數(shù)字證書(shū)運(yùn)行服務(wù)方案3.1運(yùn)行服務(wù)體系海事局CA中心的建設(shè)目標(biāo)是面向全國(guó)范圍內(nèi)10萬(wàn)規(guī)模的用戶(hù)群提供CA認(rèn)證服務(wù)， 不僅僅需要建設(shè)一個(gè)CA系統(tǒng)，而且需要建設(shè)一個(gè)完善的服務(wù)體系。海事局CA運(yùn)行服務(wù)體系將以數(shù)字證書(shū)服務(wù)平臺(tái)為技術(shù)手段，為局領(lǐng)導(dǎo)、管理人員和用戶(hù)提供方便、快捷、高效的數(shù)字證書(shū)全生命周期服務(wù)。輔以數(shù)字證書(shū)服務(wù)方案以及CA基礎(chǔ)設(shè)施的運(yùn)維方案，結(jié)合電子認(rèn)證服務(wù)體系培訓(xùn)，保障CA基礎(chǔ)設(shè)施的正常運(yùn)轉(zhuǎn)。主要 建設(shè)內(nèi)容包括：(1) 建立海事局?jǐn)?shù)字證書(shū)服務(wù)平臺(tái)，為全國(guó)用戶(hù)提供方便

44、、快捷、高效的數(shù)字證書(shū)全 生命周期服務(wù)；(2) 設(shè)計(jì)數(shù)字證書(shū)服務(wù)方案，包括服務(wù)交付和服務(wù)支持等方面；(3) 設(shè)計(jì)CA基礎(chǔ)設(shè)施的運(yùn)維方案，保障 CA基礎(chǔ)設(shè)施的正常運(yùn)轉(zhuǎn)；(4) 開(kāi)展電子認(rèn)證服務(wù)體系的培訓(xùn)，確保電子認(rèn)證服務(wù)體系的應(yīng)用效果。3.2證書(shū)服務(wù)方案 *. .*書(shū) I|直屬局服務(wù)網(wǎng)點(diǎn)SSIIIIIIIII I 巾IIIIiI I* 申 申I ! 申III I I I 申I1II!I I 巾I*I*4I i全部局證書(shū)服務(wù)人員按三級(jí)體系，即部局、直屬局、分局及海事處。直屬局的證書(shū) 服務(wù)人員只負(fù)責(zé)機(jī)關(guān)人員的證書(shū)全生命周期管理，分局或海事處工作人員的證書(shū)全生命 周期管理由分局或海事處的證書(shū)服務(wù)人員負(fù)

45、責(zé)。證書(shū)服務(wù)人員的證書(shū)及介質(zhì)由部局統(tǒng)一 采購(gòu)并配發(fā)3.2.1證書(shū)服務(wù)方案概述證書(shū)服務(wù)方案包括服務(wù)交付和服務(wù)支持兩部分，其中：服務(wù)交付方案將針對(duì)面對(duì)證書(shū)用戶(hù)提供的證書(shū)生命周期服務(wù)和面對(duì)系統(tǒng)管理員提供的證書(shū)業(yè)務(wù)查詢(xún)統(tǒng)計(jì)服務(wù)作出詳細(xì)闡述；服務(wù)支持方案將明確闡述面向證書(shū)用戶(hù)和受理點(diǎn)管理員的服務(wù)支持方式和支持內(nèi)容。322服務(wù)交付方案3.2.2.1服務(wù)交付內(nèi)容CA服務(wù)交付是指將證書(shū)及相關(guān)服務(wù)交付給用戶(hù)。作為應(yīng)用安全保障體系基礎(chǔ)設(shè)施, 建設(shè)一個(gè)安全、方便、快捷的 CA服務(wù)交付體系，是十分重要的。CA服務(wù)交付的內(nèi)容包括三個(gè)方面：面對(duì)最終用戶(hù)提供的證書(shū)生命周期服務(wù)面對(duì)業(yè)務(wù)管理者提供的證書(shū)業(yè)務(wù)查詢(xún)統(tǒng)計(jì)服務(wù) 面向應(yīng)

46、用提供者提供的證書(shū)應(yīng)用集成等服務(wù)。計(jì)對(duì)和卩域弊用門(mén)的服務(wù)甘對(duì)應(yīng)用捉供若的服務(wù)2LJ2證書(shū)申謂炭欣_身悌鑒證 i:證書(shū)業(yè)務(wù)言詢(xún)蜒計(jì)證節(jié)應(yīng)用寒成證書(shū)吊捎目錄證書(shū)査詢(xún)證書(shū)業(yè)勢(shì)審計(jì)J證書(shū)表娶理點(diǎn)/決冊(cè)中心證書(shū)齡發(fā)OCSP在饒證書(shū)狀態(tài)負(fù)詢(xún)號(hào)理庶/注冊(cè)中心運(yùn)看罰堡CA服勢(shì)交忖圖表1 CA認(rèn)證服務(wù)交付內(nèi)容其中，最重要的是面向證書(shū)最終用戶(hù)的證書(shū)生命周期的服務(wù)交付，包括證書(shū)申請(qǐng)發(fā) 放、證書(shū)吊銷(xiāo)、證書(shū)更新、證書(shū)重簽發(fā)、密鑰恢復(fù)、證書(shū)介質(zhì)解鎖等等。322.2服務(wù)交付模式證書(shū)服務(wù)的交付模式，主要包括受理點(diǎn)交付、在線(xiàn)服務(wù)交付兩種主要模式，以及結(jié) 合受理點(diǎn)和在線(xiàn)的混合交付模式。圖表3證書(shū)服務(wù)的交付模式受理點(diǎn)交付模式海事局

47、將在全國(guó)各地區(qū)分局分批建設(shè)數(shù)字證書(shū)受理點(diǎn)，已建設(shè)證書(shū)受理點(diǎn)的分支機(jī) 構(gòu)，證書(shū)服務(wù)可采取受理點(diǎn)交付模式。對(duì)于應(yīng)用系統(tǒng)中已有的用戶(hù)支持批量制證、發(fā)證，對(duì)于新注冊(cè)用戶(hù)，由用戶(hù)自己提 交用戶(hù)信息到所在單位信息中心管理人員，通過(guò)所在單位信息中心管理員審核信息內(nèi)容的正確性，核實(shí)正確后由所在單位管理人員負(fù)責(zé)制證、交付在線(xiàn)交付模式用戶(hù)除可以通過(guò)受理點(diǎn)獲取證書(shū)全生命周期的服務(wù)外，還可以通過(guò)登錄用戶(hù)服務(wù)系統(tǒng)臺(tái)獲取在線(xiàn)的證書(shū)服務(wù)。在證書(shū)更新、吊銷(xiāo)、重簽發(fā)、介質(zhì)解鎖階段，通過(guò)Web自助獲取服務(wù)。322.3服務(wù)交付流程受理點(diǎn)集中證書(shū)申請(qǐng)流程海事局內(nèi)部證書(shū)采用證書(shū)受理點(diǎn)集中證書(shū)申請(qǐng)模式。集中申請(qǐng)是指由單位證書(shū)管理 員集中

48、收集、整理和審查用戶(hù)證書(shū)申請(qǐng)的真實(shí)可靠后，通過(guò)文件方式將證書(shū)申請(qǐng)信息批 量傳入CA系統(tǒng)，由CA中心集中制作數(shù)字證書(shū)后發(fā)放給證書(shū)管理員，再由證書(shū)管理員集 中將數(shù)字證書(shū)分發(fā)到用戶(hù)手中。川怨旳認(rèn)批制捉交圖表5受理點(diǎn)集中證書(shū)申請(qǐng)流程具體流程如下:(1) 單位管理員收集用戶(hù)信息，并鑒證，然后將批量證書(shū)申請(qǐng)信息文件上傳海事局 CA系統(tǒng)并使用制證員證書(shū)對(duì)申請(qǐng)進(jìn)行數(shù)字簽名；(2) 作為可選，由上級(jí)管理部門(mén)證書(shū)管理員審批證書(shū)申請(qǐng)；(3) 海事局CA中心集中組織生產(chǎn)數(shù)字證書(shū)并寫(xiě)入 USB KEY內(nèi)，做好用戶(hù)標(biāo)識(shí)，然后 將USB KEY下發(fā)到受理點(diǎn)管理員；單位管理員將USB KEY分發(fā)給用戶(hù)使用。證書(shū)更新流程為了用

49、戶(hù)更新的方便，建議全部采取在線(xiàn)更新方式。用戶(hù)在證書(shū)即將到期時(shí)，應(yīng)用系統(tǒng)將提前 30天提醒用戶(hù)進(jìn)行證書(shū)更新。用戶(hù)使用自 己當(dāng)前手中的證書(shū)登錄用戶(hù)服務(wù)系統(tǒng)， 進(jìn)行更新申請(qǐng)。在獲得CA中心后臺(tái)管理人員的授 權(quán)后，用戶(hù)可立即通過(guò)網(wǎng)絡(luò)下載新證書(shū)。證書(shū)更新的具體流程如下：(1) 受理點(diǎn)管理員查詢(xún)系統(tǒng)即將到期用戶(hù)名單，提交證書(shū)更新申請(qǐng)(也可是系統(tǒng)自動(dòng)提交證書(shū)更新名單)；(2) 管理員對(duì)更新申請(qǐng)信息進(jìn)行授權(quán)；(可選)(3) 證書(shū)用戶(hù)使用舊證書(shū)登錄證書(shū)用戶(hù)服務(wù)系統(tǒng)； 系統(tǒng)驗(yàn)證舊證書(shū)的有效性后，直接向用戶(hù)的usbkey內(nèi)下載新證書(shū)，完成更新業(yè)務(wù)。證書(shū)撤銷(xiāo)流程當(dāng)證書(shū)丟失或人員崗位變動(dòng)時(shí)，應(yīng)吊銷(xiāo)用戶(hù)的證書(shū)使其不可再用

50、證書(shū)吊銷(xiāo)的發(fā)起人可以是證書(shū)管理員，也可以是證書(shū)持有者本身。證書(shū)管理員可以 使用自己的管理員證書(shū)，直接向CA提出吊銷(xiāo)其管轄范圍內(nèi)的用戶(hù)證書(shū)；證書(shū)持有者可以 通過(guò)提交鑒證材料，證明其證書(shū)持有人身份后，提交證書(shū)吊銷(xiāo)申請(qǐng)，由系統(tǒng)將證書(shū)序列 號(hào)簽發(fā)到黑名單中。用戶(hù)自助吊銷(xiāo)：用戶(hù)登錄在線(xiàn)服務(wù)平臺(tái)，選擇證書(shū)吊銷(xiāo)，通過(guò)身份鑒證確認(rèn)后即可 吊銷(xiāo)登錄的證書(shū)；管理員吊銷(xiāo)：用戶(hù)到管理員處申請(qǐng)吊銷(xiāo)證書(shū)，管理員審核用戶(hù)身份信息后登錄證書(shū) 服務(wù)管理系統(tǒng)，根據(jù)用戶(hù)信息查詢(xún)對(duì)應(yīng)證書(shū)，進(jìn)行吊銷(xiāo)；USBKey密碼解鎖證書(shū)介質(zhì)USBKey存放證書(shū)的私鑰，用口令進(jìn)行保護(hù)(稱(chēng)為PIN 口令)。為了保護(hù)UsbKey 擁有者的安全，防止被盜

51、用或攻擊的風(fēng)險(xiǎn)，USBKey艮制PIN 口令出錯(cuò)時(shí)的重試次數(shù)，當(dāng)連續(xù)使用錯(cuò)誤口令重試10次后，Usbkey將自動(dòng)鎖死。這時(shí)，用戶(hù)如果仍想繼續(xù)使用， 需要CA認(rèn)證中心進(jìn)行USBKey口令解鎖。USBKe解鎖具體流程如下：(1) USBKey鎖死的用戶(hù)在數(shù)字證書(shū)服務(wù)平臺(tái)提交解鎖申請(qǐng)；(2) 受理點(diǎn)管理員確認(rèn)用戶(hù)的證書(shū)解鎖申請(qǐng)(鑒證)；(3) 總部管理員給予USBKe解鎖申請(qǐng)授權(quán)；(可選)(4) 證書(shū)用戶(hù)使用USBKey登錄解鎖網(wǎng)站，設(shè)置新密碼，完成 USBKey解鎖。密鑰恢復(fù)如果證書(shū)應(yīng)用過(guò)程中存在使用證書(shū)加密的操作，一旦出現(xiàn)證書(shū)介質(zhì)損壞或丟失的情 況，加密后的信息便無(wú)法進(jìn)行解密。這時(shí)，用戶(hù)可以提出

52、密鑰恢復(fù)的申請(qǐng)，由工作人員 在證書(shū)服務(wù)系統(tǒng)中進(jìn)行密鑰恢復(fù)的操作。密鑰恢復(fù)具體流程如下：(1) 用戶(hù)加密證書(shū)丟失或損壞后，可申請(qǐng)密鑰恢復(fù)(填寫(xiě)申請(qǐng)表)；(2) 受理點(diǎn)管理員鑒證用戶(hù)身份；(3) 受理點(diǎn)管理員提交證書(shū)密鑰恢復(fù)；(4) 總部管理員審批。(5) 受理點(diǎn)管理員為用戶(hù)分配新的 usbkey,選擇密鑰恢復(fù)，為用戶(hù)恢復(fù)加密密鑰和加 密證書(shū)；(6) 用尸領(lǐng)取恢復(fù)后的加密證書(shū)。322.4證書(shū)業(yè)務(wù)查詢(xún)統(tǒng)計(jì)服務(wù)服務(wù)交付將為業(yè)務(wù)管理者提供詳盡的證書(shū)查詢(xún)統(tǒng)計(jì)服務(wù)，其中查詢(xún)可依據(jù)發(fā)放、使 用和到期進(jìn)行分別查詢(xún)，證書(shū)統(tǒng)計(jì)可依據(jù)使用情況、辦理情況進(jìn)行統(tǒng)計(jì)，統(tǒng)計(jì)還依據(jù)月 統(tǒng)計(jì)、使用單位和業(yè)務(wù)應(yīng)用情況分別統(tǒng)計(jì)，統(tǒng)計(jì)

53、信息可導(dǎo)出 EXCEL表格輸出。證書(shū)查詢(xún)統(tǒng)計(jì)證書(shū)統(tǒng)計(jì)證書(shū)發(fā)放情況證書(shū)使用情況證書(shū)到期情況按使用單位情況統(tǒng)計(jì)昧證書(shū)辦理情況月統(tǒng)計(jì) 證書(shū)使用辦理情況證書(shū)使用情況按 業(yè) 務(wù) 應(yīng) 用 統(tǒng) 計(jì)證書(shū)查詢(xún)鮭net*!買(mǎi)古電力9計(jì)紀(jì)用戸ERW: 一# !HB0|TT1: 射昏黑耐幗幣mm7證書(shū)查詢(xún)統(tǒng)計(jì)功能圖圖表圖表8按證書(shū)辦理單位查詢(xún)截圖圖表9按證書(shū)類(lèi)型查詢(xún)截圖證核啓|*瘀血證書(shū)業(yè)務(wù)臾黠：所宵業(yè)券二J初次辦童 更釉 IS%遶擇日罰用戶(hù)名稱(chēng)：申誥撻交時(shí)1$魚(yú) 閭：證書(shū)燙31： |附1離卻二J ： 麗麗三 證件號(hào)謁：選握日O圖表4按業(yè)務(wù)類(lèi)型查詢(xún)截圖業(yè)蓉財(cái)： 證件號(hào)碼；jj應(yīng)弟*1禱市點(diǎn) 證莓申出爭(zhēng)曲碰 匹再弗謂扶取週逮耐EEUWftT 證柵怯畢 證書(shū)Oil1?止圖表5按業(yè)務(wù)狀態(tài)查詢(xún)截圖證梢業(yè)圖定塑時(shí)日罰從-En#rFft1F： JMB9