【智慧校園】-中小學(xué)智慧校園軟件解決方案技術(shù)白皮書V2.0

智慧校園軟件解決方案白皮書

目錄1. 總體框架 32. 技術(shù)路線 42.1. 編程語言 52.2. 面對對象的組件技術(shù) 52.3. 應(yīng)用程序的開發(fā)與運行結(jié)構(gòu) 62.4. 動態(tài)網(wǎng)頁生成技術(shù) 63. 信息標(biāo)準(zhǔn)和規(guī)范系統(tǒng) 74. 基礎(chǔ)支撐平臺 94.1. 統(tǒng)一身份認證系統(tǒng) 94.1.1. 設(shè)計要點 104.1.2. 系統(tǒng)框架 114.1.3. 統(tǒng)一授權(quán)管理 214.1.4. 單點登錄服務(wù) 344.1.5. 系統(tǒng)部署說明 524.1.6. 平臺牢靠性和擴展性 544.2. 統(tǒng)一信息門戶平臺 554.2.1. 設(shè)計要點 554.2.2. 平臺框架 564.2.3. 門戶運行環(huán)境 574.2.4. 平臺主要功能 574.2.5. 平臺部署及性能說明 624.2.6. 平臺牢靠性和擴展性說明 644.2.7. 平臺平安性考慮 654.3. 數(shù)據(jù)中心平臺 664.3.1. 技術(shù)路線 684.3.2. 設(shè)計要點 694.3.3. 平臺框架 714.3.4. 應(yīng)用集成與數(shù)據(jù)集成 734.3.5. 數(shù)據(jù)交換機制 754.3.6. 平臺部署及性能說明 80

總體框架億陽信通智慧校園總體框架如圖所示：該框架以“師生”為核心，圍繞智慧校園的資源、管理和服務(wù)三要素，依托數(shù)據(jù)中心及應(yīng)用支撐平臺，重點建設(shè)校園資源中心、校園管理中心、校園服務(wù)中心應(yīng)用系統(tǒng)，形成數(shù)字化的教學(xué)環(huán)境、科研環(huán)境和生活環(huán)境。技術(shù)路線智慧校園應(yīng)用系統(tǒng)應(yīng)采用成熟先進的技術(shù)規(guī)范，設(shè)計上盡量削減各子系統(tǒng)間的相互依靠性（包括軟件對平臺、軟件對數(shù)據(jù)、軟件對軟件、平臺對平臺等），某個子系統(tǒng)的削減、增加和變更，不影響其它子系統(tǒng)和整體，從而最大限度地保護既有投資，削減系統(tǒng)的維護量和再投入。在應(yīng)用系統(tǒng)整體化、模塊化和規(guī)?；耐瑫r，保證應(yīng)用系統(tǒng)在技術(shù)上、經(jīng)濟上的可持續(xù)進展。億陽信通智慧校園軟件系統(tǒng)遵循如下技術(shù)路線：采用“跨平臺”的編程語言。采用獨立于開發(fā)環(huán)境的面對對象的組件技術(shù)，如EJBs(EnterpriseJavaBeans)，整個系統(tǒng)的主要“應(yīng)用邏輯”由組件構(gòu)成，系統(tǒng)架構(gòu)供應(yīng)了良好的伸縮性，使系統(tǒng)能夠輕易地組合與拆分各功能模塊。應(yīng)用軟件平臺的開發(fā)及運行架構(gòu)采用三層結(jié)構(gòu)，即Web服務(wù)器、應(yīng)用服務(wù)器和數(shù)據(jù)庫服務(wù)器，在不影響系統(tǒng)其它部分的情況下，保證了應(yīng)用服務(wù)器與其它應(yīng)用有效和無縫的整合，同時支持大規(guī)模的并發(fā)用戶訪問。采用模版（Template)技術(shù)生成動態(tài)網(wǎng)頁，為用戶供應(yīng)基于角色和權(quán)限的內(nèi)容和數(shù)據(jù)服務(wù)。架構(gòu)實現(xiàn)采用Java語言和EJBs技術(shù)，在數(shù)據(jù)交換上支持XML，使系統(tǒng)功能最優(yōu)化，同時將系統(tǒng)內(nèi)部的相互依靠性減至最低。編程語言遵循J2EE(Java2EnterpriseEdition)規(guī)范，采用Java語言和服務(wù)器端Java技術(shù)（包括EJBs、Servlet、JNDI、JDBC和RMI等）開發(fā)系統(tǒng)。Java作為Web應(yīng)用的事實標(biāo)準(zhǔn)，其獨立于操作系統(tǒng)和服務(wù)器的“跨平臺性”，使其“一次編寫，到處運行”，是WEB軟件系統(tǒng)最適合的編程語言。相對于嵌入HTML、受限于用戶端顯示、編程能力有限的腳本語言，Java能力完整，可以開發(fā)具有強大“業(yè)務(wù)邏輯”的大型應(yīng)用系統(tǒng)。面對對象的組件技術(shù)軟件編程由依靠于特定單機，到依靠于操作系統(tǒng)，已進展到今日面對對象的組件技術(shù)。面對對象的組件技術(shù)是一種完全獨立于硬件和操作系統(tǒng)的開發(fā)環(huán)境，著重于應(yīng)用程序“業(yè)務(wù)對象”的可重復(fù)使用組件，利用這些組件，可以像搭積木一樣的建立分布式應(yīng)用系統(tǒng)。面對對象的組件技術(shù)在異構(gòu)、分布環(huán)境下為不同機器上的應(yīng)用供應(yīng)了互操作性，并無縫地集成了多種對象系統(tǒng)；另一方面，組件大大加快了軟件開發(fā)的速度，降低了軟件開發(fā)和再開發(fā)的成本。應(yīng)用程序的開發(fā)與運行結(jié)構(gòu)開發(fā)及運行結(jié)構(gòu)基于三層架構(gòu)，即Web服務(wù)器、應(yīng)用服務(wù)器和數(shù)據(jù)庫服務(wù)器。運用這種架構(gòu)可以：（1）將“業(yè)務(wù)邏輯”從Web服務(wù)器中分出，在應(yīng)用服務(wù)器中用獨立和完整的編程語言而不是“腳本語言”開發(fā)應(yīng)用程序，同時使系統(tǒng)支持任何HTML的顯示工具；（2）應(yīng)用服務(wù)器可以作為數(shù)據(jù)庫訪問請求的“緩沖區(qū)”，可以重新安排、管理數(shù)據(jù)庫訪問。通過JavaServlets引擎的多線程處理，能夠極大地提高系統(tǒng)響應(yīng)性能和數(shù)據(jù)庫訪問效率；（3）應(yīng)用服務(wù)器可以作為與其它應(yīng)用程序集成的結(jié)合點，在不影響系統(tǒng)其它部分的情況下與其它應(yīng)用有效、無縫集成。動態(tài)網(wǎng)頁生成技術(shù)信息發(fā)布采用基于模版的動態(tài)網(wǎng)頁生成技術(shù)。用戶界面的版面和顯示效果由預(yù)先制作的模版實現(xiàn)，并支持任何標(biāo)準(zhǔn)化的HTML工具，嵌入模版的Java程序依據(jù)用戶的角色和權(quán)限提取相應(yīng)的內(nèi)容和數(shù)據(jù)，協(xié)作模版自動合成針對用戶的個性化的動態(tài)網(wǎng)頁。信息標(biāo)準(zhǔn)和規(guī)范系統(tǒng)信息標(biāo)準(zhǔn)是智慧校園建設(shè)的重心，是學(xué)校各信息系統(tǒng)進行數(shù)據(jù)采集、處理、交換、傳輸?shù)那疤幔彩菢?gòu)建新應(yīng)用需要遵循的標(biāo)準(zhǔn)。億陽信通按以下原則建設(shè)智慧校園的信息標(biāo)準(zhǔn)：唯一性：標(biāo)準(zhǔn)采用樹形體系結(jié)構(gòu)，唯一的項、唯一的路徑、唯一的編碼。規(guī)范性：充分參照國家相關(guān)最新標(biāo)準(zhǔn)、教育部《教育管理信息化標(biāo)準(zhǔn)》、北京市教委相關(guān)標(biāo)準(zhǔn)和各區(qū)縣教委相關(guān)標(biāo)準(zhǔn)。適用性：標(biāo)準(zhǔn)的制定充分考慮學(xué)校的實際情況，以應(yīng)用為目標(biāo)。兼容性：對標(biāo)準(zhǔn)實行版本化的維護管理。高版本兼容低版本。同一個版本，維護其不同內(nèi)容的一致性。學(xué)校校內(nèi)標(biāo)準(zhǔn)兼容教育部及其它管理部門的標(biāo)準(zhǔn)，便利數(shù)據(jù)上報?？晒芾硇裕合到y(tǒng)供應(yīng)數(shù)據(jù)標(biāo)準(zhǔn)集、數(shù)據(jù)代碼集、自定義代碼集、數(shù)據(jù)代碼映射等供應(yīng)B/S架構(gòu)的可視化管理工具，具備初始化、新增、刪除、修改等維護功能，支持分類檢索、輸出、數(shù)據(jù)展示等掃瞄功能?？蓴U展性：支持標(biāo)準(zhǔn)的增加和變更，具有維護記錄和回溯功能，并且對應(yīng)用該標(biāo)準(zhǔn)的業(yè)務(wù)系統(tǒng)透亮。全部歷史版本可查詢，可比較差異。管理信息標(biāo)準(zhǔn)的體系結(jié)構(gòu)包括以下幾個方面：一組相關(guān)數(shù)據(jù)元的集合，對數(shù)據(jù)元屬性的規(guī)范描述（又稱之為元數(shù)據(jù)標(biāo)準(zhǔn)化），屬性包含了數(shù)據(jù)項名稱、中文簡稱、類型、長度、可選性、取值范圍等。為了確保數(shù)據(jù)錄入規(guī)范、便于查找和統(tǒng)計，每個管理子集都對應(yīng)著相應(yīng)的標(biāo)準(zhǔn)代碼，代碼分國家標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)和學(xué)校標(biāo)準(zhǔn)。系統(tǒng)遵循國家教育管理信息系統(tǒng)互操作規(guī)范，能夠與北京市教委制定的小學(xué)應(yīng)用互操作框架（簡稱CIF）無縫對接，實現(xiàn)各業(yè)務(wù)系統(tǒng)間規(guī)范的數(shù)據(jù)共享。CIF實現(xiàn)規(guī)范也定義了基于XML標(biāo)準(zhǔn)的CIF數(shù)據(jù)模型，支持小學(xué)數(shù)據(jù)對象在應(yīng)用系統(tǒng)間的共享?！袄蠋煛焙汀皩W(xué)生”是智慧校園系統(tǒng)涉及的兩大數(shù)據(jù)對象，業(yè)務(wù)數(shù)據(jù)實體主要由這兩大對象映射產(chǎn)生。通過“老師”對象產(chǎn)生的數(shù)據(jù)實體主要有教案、作業(yè)、教學(xué)成果、教學(xué)計劃等一系列和老師教育教學(xué)活動相關(guān)的數(shù)據(jù)；通過“學(xué)生”對象產(chǎn)生的數(shù)據(jù)實體主要有考試成果、課堂表現(xiàn)、獲獎、畢業(yè)去向等一系列和學(xué)生學(xué)習(xí)成長相關(guān)的數(shù)據(jù)。這些數(shù)據(jù)存儲在智慧校園的數(shù)據(jù)中心，通過綜合統(tǒng)計分析，又產(chǎn)生大量的衍生數(shù)據(jù)，如老師分布情況、學(xué)生分布情況、考試成果綜合統(tǒng)計分析等，這些數(shù)據(jù)可以為學(xué)校的管理層供應(yīng)微觀和宏觀的決策支持，使領(lǐng)導(dǎo)能夠直觀的了解各個部門乃至整個學(xué)校的運行狀況。具體數(shù)據(jù)模型框架如下圖所示：基礎(chǔ)支撐平臺統(tǒng)一身份認證系統(tǒng)應(yīng)用系統(tǒng)假如采用各自獨立的身份認證機制，用戶就要記憶不同系統(tǒng)中的賬號/密碼。為便利師生使用，解決多應(yīng)用帶來的多賬號問題，需要建立統(tǒng)一的身份管理平臺，用戶在平臺上登錄一次就可以訪問全部具有權(quán)限的應(yīng)用。統(tǒng)一身份認證以IDM/IM（身份認證管理）為基礎(chǔ)供應(yīng)平安的用戶身份管理功能，并協(xié)作AccessManager基于代理架構(gòu)的訪問把握，供應(yīng)Web應(yīng)用的單點登錄和Web應(yīng)用保護。IDM/IM都集成了DirectoryServer(LDAP)目錄服務(wù)器來存儲統(tǒng)一身份庫信息。統(tǒng)一身份認證明現(xiàn)的功能如下：1.建立統(tǒng)一的集中身份庫——統(tǒng)一身份數(shù)據(jù)中心，對各應(yīng)用系統(tǒng)的全部用戶供應(yīng)集中和統(tǒng)一的管理，同時依據(jù)各個業(yè)務(wù)應(yīng)用系統(tǒng)的認證方式的不同供應(yīng)機敏的認證機制；2.在集中身份庫的基礎(chǔ)上，在滿意數(shù)字校園管理平臺信息系統(tǒng)內(nèi)部業(yè)務(wù)流程規(guī)章的前提下，通過身份管理技術(shù)實現(xiàn)身份庫與各個業(yè)務(wù)應(yīng)用系統(tǒng)(門戶、OA、教學(xué)、教務(wù)等系統(tǒng))用戶身份信息的自動同步處理功能；3.在集中身份庫的基礎(chǔ)上，供應(yīng)單點登錄(SSO)功能，用戶只需要通過一次身份認證就可以訪問具有權(quán)限的全部資源。集中身份庫與門戶系統(tǒng)的統(tǒng)一可以為整個平臺供應(yīng)集中的管理、平安機制，實現(xiàn)整體的統(tǒng)一。設(shè)計要點支持用戶數(shù)據(jù)的集成，適應(yīng)中小學(xué)用戶數(shù)據(jù)分散管理的現(xiàn)狀支持用戶數(shù)據(jù)存儲模式，適應(yīng)中小學(xué)教職工多重身份的現(xiàn)狀支持多種認證方式，確保異構(gòu)業(yè)務(wù)系統(tǒng)能夠集成，讓用戶獲得完整的單點登錄體驗滿意不同用戶或系統(tǒng)的認證平安需求保證身份認證平臺的高牢靠性和高性能前三個需求是身份認證平臺發(fā)揮作用的基礎(chǔ)，而隨著應(yīng)用集成的力度和廣度的加大，后兩個將是身份認證平臺必需妥當(dāng)處理的問題。校園應(yīng)用功能多樣、結(jié)構(gòu)簡潔，各應(yīng)用系統(tǒng)的權(quán)限管理基本上采用分級授權(quán)的方式。身份認證平臺可以采用統(tǒng)一的權(quán)限模型，供各應(yīng)用系統(tǒng)使用，相應(yīng)的權(quán)限數(shù)據(jù)既可集中管理也可分布式管理。從實踐結(jié)果看，集中權(quán)限把握的效益并不明顯，建議不強求集中把握，由各應(yīng)用系統(tǒng)設(shè)計開發(fā)時按需選擇。系統(tǒng)框架身份認證平臺主要包括以下三方面功能：LDAP目錄服務(wù)，支持海量用戶數(shù)據(jù)的存儲和管理高性能SSO(單點登錄)身份認證服務(wù)開放的認證集成方式，支持不同開發(fā)語言和不同應(yīng)用服務(wù)器平臺的業(yè)務(wù)系統(tǒng)統(tǒng)一身份管理架構(gòu)學(xué)校的各種應(yīng)用系統(tǒng)通常都有自己獨立的用戶管理、用戶認證和授權(quán)機制，導(dǎo)致系統(tǒng)間互不兼容；學(xué)校的組織機構(gòu)也不斷變化，用戶來源日趨簡潔，角色多樣化和角色變化等問題不斷毀滅。各方因素交織在一起形成了一個龐大的矩陣，為統(tǒng)一的身份管理帶來了困難。如圖：針對上述問題，建立一個統(tǒng)一的，基于業(yè)界標(biāo)準(zhǔn)（如LDAP，XML，WebService，J2EE等）的，機敏、開放、可擴展性的身份管理框架是最終的解決方案。一個好的身份管理解決方案將簡潔的身份管理問題變得簡潔、有用。身份認證平臺核心結(jié)構(gòu)如下圖所示：身份認證平臺管理用戶在各個應(yīng)用系統(tǒng)中的用戶信息的對應(yīng)關(guān)系，并依據(jù)這一關(guān)系管理用戶在各個應(yīng)用系統(tǒng)中的生命周期，如添加、刪除、修改等。身份認證平臺的身份同步工具可以自動發(fā)覺某個應(yīng)用系統(tǒng)中用戶信息的變化并通過確定規(guī)章，保持和其它應(yīng)用中的用戶信息同步。身份認證平臺的核心包括用戶信息創(chuàng)建和中止的審批流程，該流程由管理員預(yù)先定義，可以修改。當(dāng)用戶帳戶的申請被批準(zhǔn)后，用戶帳戶將依據(jù)預(yù)先定義的規(guī)章在中央主目錄服務(wù)器中創(chuàng)建，并通過資源適配器在各個該用戶可以使用的應(yīng)用系統(tǒng)中產(chǎn)生帳戶信息。用戶帳號的中止也是同樣原理。身份認證平臺具有口令管理功能，支持口令策略管理和口令歷史記錄，支持用戶身份審計和用戶帳戶風(fēng)險分析，支持用戶身份管理系統(tǒng)運行的監(jiān)測、評估。用戶數(shù)據(jù)模型身份認證平臺中的數(shù)據(jù)模型包括：1. 用戶帳號：學(xué)生、教職員工、合作伙伴、供應(yīng)商等帳戶信息；2. 資源：身份認證平臺所管理的身份數(shù)據(jù)源和應(yīng)用系統(tǒng)，如學(xué)生數(shù)據(jù)中心、教職工數(shù)據(jù)中心、電子郵件、一卡通、綜合網(wǎng)絡(luò)管理系統(tǒng)以及上網(wǎng)認證系統(tǒng)、VPN系統(tǒng)等，以及其它基于用戶屬性更改的應(yīng)用；3. 資源組：按確定挨次組織的資源，身份認證平臺將依據(jù)這一挨次在應(yīng)用系統(tǒng)中創(chuàng)建和刪除用戶信息；4. 組織：管理一組用戶、資源和其它對象的邏輯容器；5. 角色：用戶的工作角色，代表其職能性質(zhì)，據(jù)此在資源中設(shè)置用戶的屬性；6. 管理帳戶：具有管理員權(quán)限，可以進行分級管理；7. 能力：擁有哪些權(quán)限，如口令管理員只能管理用戶的口令。下圖為數(shù)據(jù)模型圖：身份認證平臺：管理用戶訪問一個或多個資源的權(quán)限；管理用戶在這些資源上的帳戶數(shù)據(jù)；給予用戶一個或多個角色，設(shè)置用戶訪問各種資源的權(quán)限；管理組織，決定用戶帳戶由誰和怎樣被管理。用戶數(shù)據(jù)是動態(tài)的，依靠于用戶的角色、資源和資源組。依據(jù)角色（可以是多角色）給予的資源的數(shù)量和類型，需要不同的信息表示，也決定著創(chuàng)建用戶時的信息數(shù)量。身份認證平臺有虛擬用戶的概念，主要作用是映射用戶到多個資源，可以將一個用戶在多個應(yīng)用系統(tǒng)中的全部帳戶信息作為一個實體來管理。用戶數(shù)據(jù)管理身份認證系統(tǒng)需要供應(yīng)多樣化的用戶數(shù)據(jù)管理方案。用戶數(shù)據(jù)采集可以依據(jù)學(xué)?，F(xiàn)狀，采用以下方式：1、集成管理著權(quán)威用戶數(shù)據(jù)的業(yè)務(wù)系統(tǒng)，依靠該系統(tǒng)進行用戶數(shù)據(jù)管理2、通過數(shù)據(jù)集成平臺雙向同步用戶數(shù)據(jù)3、通過身份認證平臺的用戶管理程序管理用戶數(shù)據(jù)身份數(shù)據(jù)集成統(tǒng)一身份認證系統(tǒng)集成用戶身份數(shù)據(jù)的過程，是通過數(shù)據(jù)交換平臺從學(xué)校的各個業(yè)務(wù)系統(tǒng)中自動抽取用戶身份數(shù)據(jù)，并加以歸納和整理，最終充有用戶身份信息庫。自動發(fā)覺和動態(tài)同步身份認證平臺可以自動發(fā)覺所管理資源中用戶信息的更改，并依據(jù)規(guī)章將其同步到其它資源中去。帳號和口令管理身份認證平臺供應(yīng)了統(tǒng)一的WEB管理界面，可以便利地管理帳號和口令。帳號管理功能包括：用戶自注冊功能：用戶使用公共的帳號/口令登錄系統(tǒng)，然后自行注冊一個賬號/口令。帳號新建功能：外來人員如需臨時帳號，可以由管理員手工生成訪問身份，這個訪問身份通常是帳號/口令，也可通過多因子認證或數(shù)字證書實現(xiàn)。這些臨時帳號需要有效期限制，在“臨時”的這段時間內(nèi)有效，過期則失效；對于可轉(zhuǎn)為正式帳號的“臨時帳號”，可自動轉(zhuǎn)換。帳號注銷功能：在確定條件下，實現(xiàn)用戶帳號的注銷。用戶帳號注銷后，全部的用戶權(quán)限失效。帳號凍結(jié)功能：暫時中止用戶的訪問權(quán)限，在用戶需要開通時可以重新恢復(fù)，這樣用戶可以連續(xù)使用原來的帳號?？诹罟芾戆ǎ鹤灾娇诹钪刂煤屯酵ㄟ^Web掃瞄器或者IVR（InteractiveVoiceResponse，交互語音應(yīng)答系統(tǒng)）系統(tǒng)來實現(xiàn)自動口令策略執(zhí)行口令歷史信息存儲口令過期通知等等。為滿意用戶個性化設(shè)置的需求，減輕管理員密碼維護的壓力，平臺供應(yīng)個人密碼找回和別名登錄功能，并開放給全部用戶。個人密碼遺忘后，用戶可以在門戶認證界面上使用密碼找回功能，問題回答正確后，可以重新設(shè)置密碼；用戶登錄后，可以依據(jù)自己的習(xí)慣設(shè)置登錄別名，系統(tǒng)自動檢查別名是否重復(fù)，別名設(shè)置勝利后，用戶可以使用別名進行登錄。分級管理平臺供應(yīng)扁平的用戶權(quán)限模型，供應(yīng)分級管理功能。應(yīng)用模式系統(tǒng)缺省建立四大類身份：領(lǐng)導(dǎo)、教職工、學(xué)生、校友；各應(yīng)用系統(tǒng)按需建立自己的權(quán)限組或?qū)傩孕畔?，也可?fù)用其它系統(tǒng)已經(jīng)建立的權(quán)限數(shù)據(jù)；權(quán)限模型支持分級授權(quán)，支持按組織架構(gòu)、系統(tǒng)范圍、用戶屬性等將權(quán)限管理工作分派給多名管理員；由于本功能在實際使用中簡潔導(dǎo)致管理混亂，一般建議只依據(jù)系統(tǒng)范圍（如人事系統(tǒng)、學(xué)生系統(tǒng)等）來分級授權(quán)。用戶數(shù)據(jù)采集時，自動依據(jù)用戶的屬性和來源為其設(shè)置相應(yīng)的身份。批量維護工具滿意管理員日常數(shù)據(jù)維護的需要，供應(yīng)：批量導(dǎo)入用戶數(shù)據(jù)、組織數(shù)據(jù)批量修改和刪除人員屬性信息高級查詢功能系統(tǒng)服務(wù)的注冊和注銷在不同的人員容器間移動人員數(shù)據(jù)應(yīng)用模式：教職工用戶數(shù)據(jù)通過人事系統(tǒng)數(shù)據(jù)訪問接口或用戶數(shù)據(jù)表導(dǎo)入；管理員定期使用該工具完成教職工用戶數(shù)據(jù)的導(dǎo)入；學(xué)生畢業(yè)轉(zhuǎn)為校友后，管理員通過該工具將畢業(yè)生批量轉(zhuǎn)入；系統(tǒng)運行預(yù)備階段，管理員通過該工具完成批量用戶密碼初始化。與典型應(yīng)用系統(tǒng)的集成身份認證平臺的資源適配器采用服務(wù)器端的J2EE適配器，部署在身份認證服務(wù)端，即J2EE應(yīng)用服務(wù)器上，然后依據(jù)所管資源的通訊協(xié)議和資源互通。對于大部分應(yīng)用系統(tǒng)，無須在資源（即應(yīng)用）一方安裝任何代理。這樣既對應(yīng)用系統(tǒng)無影響，又避開了維護代理的工作。與LDAP目錄服務(wù)器的集成身份認證平臺和LDAP目錄服務(wù)器的集成，如SunJavaSystemDirectoryServer是通過JNDI資源適配器完成的，在資源方無須代理。與采用LDAP目錄服務(wù)的應(yīng)用系統(tǒng)集成同上。身份認證平臺通過其LDAP目錄服務(wù)資源適配器和這些應(yīng)用系統(tǒng)集成。與關(guān)系型數(shù)據(jù)庫應(yīng)用系統(tǒng)的集成假如應(yīng)用系統(tǒng)的用戶數(shù)據(jù)存儲在關(guān)系型數(shù)據(jù)庫中，應(yīng)用系統(tǒng)和統(tǒng)一身份認證系統(tǒng)集成后，統(tǒng)一身份認證平臺替代了應(yīng)用系統(tǒng)的身份認證功能，該數(shù)據(jù)庫中的用戶信息將主要用于應(yīng)用系統(tǒng)自身的授權(quán)和策略管理。身份認證平臺主要集成關(guān)系型數(shù)據(jù)庫中的用戶信息表、權(quán)限信息表以及用戶/權(quán)限對應(yīng)關(guān)系表等，在身份認證平臺上建立針對應(yīng)用的數(shù)據(jù)庫資源，并制定相應(yīng)的用戶信息映射和同步關(guān)系，通過該資源將相應(yīng)用戶信息創(chuàng)建到數(shù)據(jù)庫中。身份認證平臺和關(guān)系型數(shù)據(jù)庫的集成是通過身份認證平臺供應(yīng)的JDBC（JavaDataBaseConnectivity，Java數(shù)據(jù)庫連接）資源適配器完成的，并在資源方無須安裝任何代理。資源適配器的開發(fā)身份認證平臺為創(chuàng)建定制化的資源適配器供應(yīng)了工具和文檔支持。開發(fā)工具包包括：指南性文檔資料：功能定義、README文件等Javadoc：供應(yīng)身份認證平臺的API信息Jar文件：用于編譯、連接樣本源代碼等。統(tǒng)一授權(quán)管理策略與權(quán)限管理模塊是多用戶應(yīng)用系統(tǒng)不可或缺的。通常，策略與權(quán)限管理模塊以應(yīng)用專有的方式實現(xiàn)，系統(tǒng)的策略模型、策略存貯結(jié)構(gòu)與訪問把握邏輯與應(yīng)用的業(yè)務(wù)邏輯之間耦合緊密。這種方式的缺點是顯而易見的：由于策略模塊與應(yīng)用邏輯之間的緊耦合使得策略模塊很難進行擴展與維護；策略模塊的設(shè)計與編碼需要很大的工作量，而且很難在不同的應(yīng)用系統(tǒng)之間共享與重用。為了克服專有方式的缺點，統(tǒng)一用戶管理與認證平臺在基礎(chǔ)設(shè)施層供應(yīng)了增加的策略服務(wù)，供應(yīng)標(biāo)準(zhǔn)、通用、機敏和可擴展的策略模型，支持策略的定義、存貯、配置與判定，并與用戶管理和服務(wù)管理緊密集成。統(tǒng)一授權(quán)平臺的架構(gòu)統(tǒng)一授權(quán)平臺的架構(gòu)如下圖所示。圖中以灰色表示的組件是應(yīng)用相關(guān)的部分，需要進行定制設(shè)計與開發(fā)；其余組件均由統(tǒng)一授權(quán)平臺供應(yīng)。總體而言，策略與權(quán)限管理模塊的架構(gòu)基于PDP/PEP模型。PDP代表策略判定點(PolicyDecisionPoint)，是策略的供應(yīng)者；PEP代表策略執(zhí)行點(PolicyEnforcementPoint)，是策略的使用者。該架構(gòu)中，統(tǒng)一授權(quán)管理供應(yīng)PDP服務(wù)，包括策略的定義、存貯、配置與判定，這些服務(wù)通過策略判定API與策略管理API向外部應(yīng)用供應(yīng)；PEP是應(yīng)用中依據(jù)策略判定結(jié)果執(zhí)行應(yīng)用邏輯的部分。PDP與PEP之間可以通過Java/C++API或XML/HTTP通信。由于統(tǒng)一授權(quán)管理供應(yīng)的策略判定結(jié)果是原始結(jié)果，為了進一步簡化應(yīng)用中的策略執(zhí)行邏輯，引入應(yīng)用策略判定接口，對統(tǒng)一授權(quán)管理的策略判定接口進行封裝，對原始策略判定結(jié)果作進一步加工與處理。統(tǒng)一授權(quán)管理支持通過策略主體SPI（服務(wù)供應(yīng)者接口）、策略條件SPI、策略推舉SPI與資源名稱SPI進行擴展。策略的存貯結(jié)構(gòu)通過LDAP中的對象類與屬性類型加以定義；策略存貯在目錄服務(wù)器中。策略模型統(tǒng)一授權(quán)管理的策略服務(wù)建立在通用、機敏和可擴展的模型上。正是該策略模型使其能在基礎(chǔ)設(shè)施層以一種應(yīng)用無關(guān)的方式供應(yīng)強大的策略服務(wù)。一般而言，作為訪問把握規(guī)章的策略描述了“誰在何種情況下針對指定服務(wù)對何種資源可執(zhí)行怎樣的操作”。在這里，“誰”是策略的主體；“情況”是策略適用的條件；“服務(wù)”是策略的上下文，“資源”與“操作”都是與該服務(wù)相關(guān)的；“資源”是策略的對象；“執(zhí)行怎樣的操作”可以表示為一系列“動作”及與之對應(yīng)的“值”?；趩吸c登錄系統(tǒng)的策略模型供應(yīng)了充分的表達能力，允許準(zhǔn)確描述如上的通用策略。統(tǒng)一授權(quán)管理的策略采用XML來描述。為簡明起見，在此以半形式化的方式描述策略模型如下：常規(guī)策略::=主體集+條件集+規(guī)章集主體集::={主體}條件集::={條件}規(guī)章集::={規(guī)章}主體::=AccessManager角色集|LDAP組集|LDAP角色集|LDAP用戶集|LDAP組織集條件::=認證級別|認證方式|客戶IP|時間規(guī)章::=服務(wù)+資源名稱+動作類型-值對集資源名稱::=字符串動作類型-值對集::={動作類型-值對}動作類型-值對::=動作類型+值備注：1、統(tǒng)一授權(quán)管理的策略包括推舉策略與常規(guī)策略。由于推舉策略只是將策略推舉給對等組織或子組織進行判定，而不涉及策略的具體判定，因此此處不對推舉策略進行具體描述。2、統(tǒng)一授權(quán)管理供應(yīng)的主體插件SPI、條件插件SPI和資源名稱插件SPI允許擴展主體、條件與資源名的表達能力，上述描述中主體、條件與資源名稱只是由系統(tǒng)供應(yīng)的標(biāo)準(zhǔn)實現(xiàn)。策略編程接口應(yīng)用系統(tǒng)訪問身份認證平臺可以使用JavaAPI接口，也可以使用XML/HTTP接口。假如是遠程訪問，則JavaAPI接口本身也是對XML/HTTP接口的一種封裝。遠程客戶端調(diào)用策略驗證接口時的處理流程如下：(1) 應(yīng)用系統(tǒng)調(diào)用JavaAPI請求策略驗證；(2) JavaAPI依據(jù)策略驗證請求生成一個XML策略驗證請求；(3) JavaAPI將XML策略驗證請求通過HTTP協(xié)議發(fā)送給系統(tǒng)的Policy服務(wù)：%protocol://%host:%port/amserver/policyservice(4) 系統(tǒng)處理策略驗證XML請求，并創(chuàng)建一個策略決策XML文檔作為應(yīng)答返回給客戶端；(5) 客戶端JavaAPI接收并解釋策略決策XML文檔；(6) 應(yīng)用系統(tǒng)通過JavaAPI獵取策略決策信息。從上述流程可知，策略驗證的結(jié)果是以策略決策的形式表現(xiàn)的。假如使用XML/HTTP接口，則策略決策是一個XML文檔；假如使用JavaAPI接口，則策略決策是一個Java對象。策略決策中包括一組動作決策，動作決策是關(guān)于某個具體動作的決策，其中包括：（1）動作的值：與該動作相關(guān)的決策的值；（2）有效時間（TTL）：決策值在多久時間內(nèi)有效；（3）建議：該動作決策的描述信息。動作的值可以是布爾類型的，表示是與否、允許或禁止等兩值類型的動作決策；動作的值也可以是簡潔類型的，如字符串、數(shù)值等，可以用來表示動作的程度、范圍等決策概念，諸如郵箱配額、折扣率等?？赡苡性S多策略適用于一次策略請求，不同的策略可能相互沖突。比如，用戶擁有的角色允許他訪問某個URL，而用戶所屬的組禁止他訪問某個URL；再比如，用戶擁有的一個角色給予他20M的郵箱配額，而用戶擁有的另一個角色給予他10M的郵箱配額。這種不同策略同時適用，而且決策值不同的情況稱為沖突。沖突的策略決策必需消解之后才能用于權(quán)限把握。系統(tǒng)是這樣消解策略決策沖突的：(1) 假如動作值的類型是布爾類型，則全部策略的決策值在執(zhí)行AND操作之后返回，返回的值是單值。也就是說，只要有一個策略的動作決策是false，則動作的決策值就為false；(2) 假如動作值的類型是簡潔類型，則全部策略的決策值全部返回給應(yīng)用系統(tǒng)，由應(yīng)用系統(tǒng)對決策值進行進一步的沖突消解。策略的管理包括創(chuàng)建、刪除和修改策略。用戶可以通過系統(tǒng)的WEB把握臺界面或命令行界面管理策略。假如在應(yīng)用系統(tǒng)中需要對策略進行管理，可以使用系統(tǒng)的策略管理API。應(yīng)用策略的設(shè)計一個應(yīng)用系統(tǒng)是建立在多種平臺服務(wù)之上的，并且向用戶供應(yīng)多種用戶服務(wù)；而一個平臺服務(wù)也應(yīng)當(dāng)為多個應(yīng)用系統(tǒng)使用。因此應(yīng)用系統(tǒng)與服務(wù)之間是多對多的關(guān)系。由于服務(wù)是應(yīng)用的組成元素，因此，授權(quán)應(yīng)當(dāng)是針對服務(wù)的資源而不是應(yīng)用的資源來進行的。不同的服務(wù)具有不同的資源和動作類型，因此，不同的服務(wù)有不同的策略模板，該模板稱為策略方案（PolicySchema）。服務(wù)與策略方案之間的對應(yīng)關(guān)系應(yīng)當(dāng)是一對一關(guān)系。配置策略、驗證策略是通過指定服務(wù)來指定策略方案的。一條具體策略規(guī)定了一組主體在一組條件下的一組訪問把握規(guī)章。每條規(guī)章中均指明了一個服務(wù)、屬于該服務(wù)的資源以及一組動作與值對。每個策略方案也可以被多條策略使用。因此，策略與策略方案之間的對應(yīng)關(guān)系應(yīng)當(dāng)是多對多關(guān)系。由于服務(wù)與策略方案之間是一一對應(yīng)的，因此，定義策略方案是在定義服務(wù)的同時進行的。只有當(dāng)服務(wù)定義之后，才能定義與該服務(wù)相關(guān)的具體策略。從身份認證平臺服務(wù)管理的角度，服務(wù)是一組定義在一個公共名字下通過身份認證平臺管理的屬性的集合。身份認證平臺將服務(wù)作為一組屬性進行管理，而并不關(guān)心這些屬性的具體涵義。服務(wù)的屬性集合是通過一個XML文件加以定義的。身份認證平臺供應(yīng)了大量的平臺服務(wù)，這些服務(wù)本身也是通過系統(tǒng)的服務(wù)管理功能加以管理的，因此，這些平臺服務(wù)也有對應(yīng)的XML定義文件，并且服務(wù)的選項也是通過服務(wù)的屬性加以管理的。為了使服務(wù)能夠針對不同的用戶、角色或組織等身份實體進行定制和個性化，身份認證平臺將服務(wù)的屬性分為以下五種類型。不同類型的屬性具有不同的作用域、繼承性、用途。類型作用域繼承性用途全局整個統(tǒng)一授權(quán)系統(tǒng)不可繼承服務(wù)的全局配置組織應(yīng)用于組織不可繼承服務(wù)的組織級配置動態(tài)應(yīng)用于角色、用戶可繼承服務(wù)的動態(tài)配置，配置給角色的屬性自動為全部具有該角色的用戶擁有，配置給組織的屬性自動為全部該組織下的用戶擁有。策略N/AN/A與服務(wù)授權(quán)相關(guān)的配置用戶只應(yīng)用于用戶不可繼承服務(wù)針對于每個用戶的個性化配置。用戶類型的屬性只對個別用戶有意義。角色與用戶組管理角色是和用戶組的概念相像的目錄服務(wù)器對象管理機制。一個組有其成員；一個角色也有其成員。在身份認證平臺中，用戶角色的權(quán)限是通過為其設(shè)定ACI（AccessControlInfromation）來把握的。訪問把握指令可以把握對整個目錄、目錄子樹、目錄中特寫條目（包括定義配置任務(wù)的條目）或特定條目屬性信息的訪問權(quán)?？梢栽O(shè)置特定用戶、全部屬于特定組或角色的用戶或全部目錄用戶的權(quán)限。還可以定義對特定位置（例如IP地址或DNS名稱）的訪問權(quán)。與條目屬性一樣，訪問把握指令存儲在目錄中。ACI屬性是一種操作性屬性，可用于目錄的各個條目，而不管是否為該條目的對象類所定義。接收到客戶端的LDAP請求時，目錄服務(wù)器使用該屬性來允許或拒絕訪問。假如有特別請求，則在ldapsearch操作中返回ACI屬性。在平臺中可以定義特定的角色，并利用ACI來把握其訪問權(quán)限。這樣做可以滿意一些特別需求。利用組織內(nèi)創(chuàng)建用戶時可以擁有默認角色的機制，可以為不同的組織創(chuàng)建不同的默認角色，這樣新建的用戶就自然擁有了這些角色所擁有的屬性和服務(wù)以及相應(yīng)的權(quán)限。組代表了具有相同功能、屬性或者興趣愛好的用戶的集合。一般來說，組沒有自己的特權(quán)。組可以定義在組織機構(gòu)下，也可以定義在別的受管組（ManagedGroup）內(nèi)作為子組。身份認證平臺供應(yīng)了組的分級管理的能力。雖然組的成員缺省來自于整個用戶樹，但是對于權(quán)限有限的組管理員來說，當(dāng)他管理一個預(yù)訂組的時候，他只能把他自己能管理的用戶添加到新創(chuàng)建的預(yù)訂組中。在這里已經(jīng)部分實現(xiàn)了用戶組的分級管理。在業(yè)務(wù)系統(tǒng)一級授權(quán)上，我們供應(yīng)了全局權(quán)限組用于人員的初始化授權(quán)。這些組依據(jù)用戶基本身份建立（比如學(xué)生組、教職工組），作用域為整個組織樹，在人員的初始時可以依據(jù)身份加入這些全局組，從而實現(xiàn)人員權(quán)限的初始化。權(quán)限語義集成當(dāng)身份認證平臺的策略服務(wù)不能滿意業(yè)務(wù)系統(tǒng)授權(quán)要求時，我們供應(yīng)了一種針對業(yè)務(wù)系統(tǒng)開放的完全自由的權(quán)限語義集成機制。權(quán)限語義描述了用戶的具體應(yīng)用權(quán)限，權(quán)限語義的具體描述和解析由業(yè)務(wù)系統(tǒng)負責(zé)。業(yè)務(wù)系統(tǒng)可以通過API來獵取這些語義，解析后授予用戶相應(yīng)的權(quán)限。用戶數(shù)據(jù)采集功能描述針對學(xué)校用戶管理分散進行的特點，供應(yīng)從權(quán)威數(shù)據(jù)源采集用戶數(shù)據(jù)，并實時更新目錄服務(wù)器中的用戶數(shù)據(jù)，供應(yīng)：數(shù)據(jù)源采集點和采集周期定義數(shù)據(jù)源變化跟蹤和自動采集應(yīng)用模式建立從公共數(shù)據(jù)庫平臺相關(guān)的共享數(shù)據(jù)集采集，在學(xué)生和教職工用戶數(shù)據(jù)變更(包括新增、刪除、修改)后，采集模塊自動同步更新統(tǒng)一認證用戶數(shù)據(jù)庫。用戶數(shù)據(jù)通常分散在不同的應(yīng)用系統(tǒng)中。常見的情況是：人事系統(tǒng)管理人事信息；辦公系統(tǒng)管理與日常工作有關(guān)的信息；用戶的認證信息如用戶ID和密碼在各個系統(tǒng)中一般不同，由各個系統(tǒng)分散管理；用戶的基本屬性，如姓名等信息往往在各個系統(tǒng)中都存在。不同應(yīng)用系統(tǒng)不但管理不同類型的用戶數(shù)據(jù)，而且也供應(yīng)不同類型的數(shù)據(jù)存儲與訪問方式。傳統(tǒng)的業(yè)務(wù)系統(tǒng)一般使用關(guān)系數(shù)據(jù)庫存放用戶數(shù)據(jù)，如管理信息系統(tǒng)；互聯(lián)網(wǎng)應(yīng)用系統(tǒng)一般使用LDAP存放用戶數(shù)據(jù)，如電子郵件系統(tǒng)。不同類型的數(shù)據(jù)存儲方式具有不同的數(shù)據(jù)存儲格式，也供應(yīng)不同的數(shù)據(jù)訪問接口。用戶數(shù)據(jù)的分散存儲與管理使得共享用戶數(shù)據(jù)成為簡潔而低效的任務(wù)。建立統(tǒng)一用戶管理數(shù)據(jù)庫的目的是為用戶信息的管理與使用供應(yīng)統(tǒng)一的入口。統(tǒng)一用戶管理數(shù)據(jù)庫在物理上與其它應(yīng)用數(shù)據(jù)源獨立，在數(shù)據(jù)上與其它應(yīng)用數(shù)據(jù)源保持同步。用戶管理數(shù)據(jù)庫變更后同步到LDAP目錄數(shù)據(jù)庫。用戶數(shù)據(jù)發(fā)布功能描述為了保持各業(yè)務(wù)系統(tǒng)中用戶數(shù)據(jù)的完整性和統(tǒng)一性，向各集成業(yè)務(wù)系統(tǒng)供應(yīng)用戶身份數(shù)據(jù)。應(yīng)用模式對目前已有系統(tǒng)供應(yīng)用戶數(shù)據(jù)更新變更同步供應(yīng)用戶信息的掃瞄、排序、查詢等管理功能由于中小學(xué)用戶數(shù)據(jù)分散管理，在權(quán)威數(shù)據(jù)源變更后，其他系統(tǒng)都可通過統(tǒng)一用戶管理數(shù)據(jù)庫同步數(shù)據(jù)變更，保持數(shù)據(jù)的完整與一致批量維護工具功能描述滿意管理員日常維護數(shù)據(jù)的需要，供應(yīng)：導(dǎo)入用戶數(shù)據(jù)和組織數(shù)據(jù)批量修改和刪除人員屬性信息高級查詢功能服務(wù)注冊與注銷在不同的人員容器間移動人員數(shù)據(jù)應(yīng)用模式教職工用戶數(shù)據(jù)由人事系統(tǒng)供應(yīng)數(shù)據(jù)訪問接口或用戶數(shù)據(jù)表管理員定期使用該工具完成教職工用戶數(shù)據(jù)導(dǎo)入在學(xué)生畢業(yè)轉(zhuǎn)為校友后，管理員通過該工具將畢業(yè)生批量轉(zhuǎn)入系統(tǒng)運行預(yù)備階段，管理員通過該工具完成用戶密碼的批量初始化個人自助服務(wù)功能描述為了滿意用戶個性化設(shè)置并減輕管理員的維護工作量，平臺供應(yīng)個人密碼找回、別名登錄功能。應(yīng)用模式該功能開放給所用用戶；用戶遺忘個性化設(shè)置的密碼后，可以在門戶認證界面上進入密碼找回功能，預(yù)設(shè)問題回答正確后，可以自主重置密碼；用戶登錄后，可以依據(jù)自己的習(xí)慣設(shè)置登錄別名，系統(tǒng)自動檢查別名是否重復(fù)，別名設(shè)置勝利后，用戶可以通過別名進行登錄。權(quán)限模型功能描述為了適應(yīng)中小學(xué)用戶多重身份和組織結(jié)構(gòu)易變的特點，同時最大限度的保證用戶認證效率，平臺供應(yīng)扁平的用戶權(quán)限模型。應(yīng)用模式系統(tǒng)將缺省建立四大類身份：教職工、學(xué)生、領(lǐng)導(dǎo)、校友；各應(yīng)用系統(tǒng)按需建立自定義的權(quán)限組或?qū)傩孕畔?，也可?fù)用其他系統(tǒng)已經(jīng)建立的相關(guān)權(quán)限數(shù)據(jù)；權(quán)限模型支持分級授權(quán)，便利按組織架構(gòu)、系統(tǒng)范圍、用戶屬性等特征將權(quán)限管理工作逐級分派給多名管理員；該功能在實際使用中簡潔導(dǎo)致管理混亂，一般建議只依據(jù)系統(tǒng)范圍（如人事系統(tǒng)、學(xué)生系統(tǒng)等等）來分級授權(quán)。用戶數(shù)據(jù)采集時，自動依據(jù)用戶的屬性和來源為用戶設(shè)置相應(yīng)的身份。認證集成功能描述滿意學(xué)校業(yè)務(wù)系統(tǒng)多元化特點，供應(yīng)：支持基于認證接口、認證代理和LDAP認證的多種認證集成模式支持密碼認證支持與標(biāo)準(zhǔn)的主流Radius服務(wù)器集成預(yù)留CA認證擴展接口預(yù)留SmartCard、JavaCard認證擴展接口預(yù)留與網(wǎng)絡(luò)接入認證設(shè)備用戶認證模塊的集成接口，實現(xiàn)與網(wǎng)絡(luò)接入認證設(shè)備的認證集成應(yīng)用模式業(yè)務(wù)系統(tǒng)全部采用基于認證接口的認證集成方式；用戶統(tǒng)一采用基于密碼認證的登錄方式。單點登錄服務(wù)單點登錄（SingleSignOn，SSO）通常定義為指用戶只需經(jīng)過一次認證就可以訪問全部擁有訪問權(quán)限的應(yīng)用系統(tǒng)。單點登錄能夠提高用戶的工作效率，削減身份認證過程中的人為錯誤，也減輕了用戶在密碼管理上的負擔(dān)，從而使系統(tǒng)更平安、更易用。身份認證平臺供應(yīng)了單點登錄解決方案，用戶只需通過系統(tǒng)的認證，并且具有足夠的權(quán)限，就可以訪問全部由身份認證平臺管理的應(yīng)用系統(tǒng)。統(tǒng)一認證服務(wù)是單點登錄支持的基礎(chǔ)，沒有統(tǒng)一認證，就沒有真正的單點登錄。校園網(wǎng)通常運行多個應(yīng)用系統(tǒng)，為學(xué)校領(lǐng)導(dǎo)、各部門及教生供應(yīng)多種服務(wù)，這樣就帶來了一個突出的問題，用戶面對多個系統(tǒng)時要記憶、輸入帳號/口令等信息，不僅煩瑣，而且簡潔丟失口令，一旦口令泄漏會造成不可估量的損失。單點登錄系統(tǒng)的建設(shè)目標(biāo)是要解決各應(yīng)用系統(tǒng)用戶名和口令不統(tǒng)一的問題，期望供應(yīng)一套便利、平安的口令認證方法，讓用戶只要一個用戶名和口令就可以使用網(wǎng)絡(luò)上他有權(quán)使用的全部業(yè)務(wù)系統(tǒng)。設(shè)計要點單點登錄系統(tǒng)設(shè)計的要點如下：遵循LA（LibertyAlliance，聯(lián)合互信）的ID-FFV1.2規(guī)范。支持SAML（SecurityAssertionMarkupLanguage）平安性斷言標(biāo)記語言規(guī)范。支持多種多級登錄認證機制，如用戶/密碼、動態(tài)口令等。支持系統(tǒng)的認證過程支持加密的認證方式。系統(tǒng)支持基于用戶UID和密碼的身份認證。供應(yīng)用戶密碼加密功能，支持SSHA、CRYPT、SHA等加密算法。通過TLS（TransportLayerSecurity，傳輸層平安協(xié)議）或SSL（SecureSocketsLayer，平安套接層協(xié)議）為信息傳輸供應(yīng)保密性和完整性保護。支持X.509協(xié)議，可以對數(shù)字證書、公共密鑰、數(shù)字簽名進行存儲和管理。支持跨域的單點登錄功能。系統(tǒng)原理與體系結(jié)構(gòu)單點登錄系統(tǒng)的根本原理是保持用戶的會話（session）狀態(tài)。用戶經(jīng)過一次認證就可建立單點登錄會話，每個單點登錄會話對應(yīng)于一個令牌（token），用戶訪問應(yīng)用系統(tǒng)時向應(yīng)用系統(tǒng)傳遞單點登錄令牌，應(yīng)用系統(tǒng)能夠依據(jù)令牌識別用戶的認證狀態(tài)，從而使一次認證能夠被多個應(yīng)用系統(tǒng)認可，避開了重復(fù)認證。我們采用SunJavaSystemAccessManager（簡稱AM）作為單點登錄的底層技術(shù)平臺。依據(jù)上述原理，AM對單點登錄供應(yīng)SDK級別的支持，其中包括單點登錄令牌的創(chuàng)建與驗證。以WEB應(yīng)用的單點登錄為例：用戶通過AM的認證頁面進行認證，認證通過之后，平臺為該用戶創(chuàng)建一個單點登錄令牌，并將該令牌的ID通過cookie返回至用戶掃瞄器；當(dāng)用戶訪問WEB應(yīng)用系統(tǒng)時，單點登錄令牌ID自動通過cookie傳遞至WEB應(yīng)用系統(tǒng)，WEB應(yīng)用系統(tǒng)可以通過單點登錄令牌ID還原單點登錄令牌，并向AccessManager驗證單點登錄令牌是否有效。假如有效，則應(yīng)用系統(tǒng)可以從單點登錄令牌獵取用戶身份信息，而不再需要用戶進行再次認證。對于C/S結(jié)構(gòu)的應(yīng)用，單點登錄過程是類似的，只是單點登錄令牌ID的傳遞方式不同。上述單點登錄SDK的體系結(jié)構(gòu)如下圖所示：如前所述，單點登錄是通過單點登錄會話實現(xiàn)的，通過單點登錄會話保持用戶在整個平臺的認證狀態(tài)。在對用戶進行身份驗證之前，AM的會話服務(wù)先產(chǎn)生令牌，令牌包含一個隨機生成的會話標(biāo)志并且會作為這次會話的最終標(biāo)志。令牌一旦生成，AM會將它插入一個Cookie，并且頒發(fā)給用戶的掃瞄器。與此同時，AM會依據(jù)用戶所使用的驗證方式，提示不同的登錄界面，驗證方式可預(yù)先為組織、角色或單個用戶進行配置。當(dāng)用戶接收到登錄界面時，同時也獲得一個會話令牌，用戶會鍵入用戶名和密碼，登錄資料被提交給適當(dāng)?shù)尿炞C服務(wù)器(如LDAP、RADIUS等)，一旦用戶通過了身份驗證，AM會從cookie中提取用戶的令牌，并且將其狀態(tài)設(shè)置為有效的，接著將用戶重新定向到所要訪問的URL。單點登錄會話具有如下圖所示的生命周期：如圖所示，單點登錄會話的初始狀態(tài)是無效，表示單點登錄會話雖然已經(jīng)創(chuàng)建并被安排給用戶，但用戶尚未通過有效認證。無效的單點登錄會話也通過一個單點登錄會話令牌身份，并存儲在用戶掃瞄器的cookie中。當(dāng)用戶認證勝利之后，單點登錄會話變?yōu)橛行顟B(tài)。該單點登錄會話仍以同一個單點登錄會話令牌身份，用戶掃瞄器中的cookie不變，只是服務(wù)器維護的會話狀態(tài)變?yōu)橛行?。單點登錄會話可以因為以下緣由而銷毀：客戶端空閑時間達到最大空閑時間；會話時間達到最大會話有效時間；由于用戶登出而顯式銷毀會話；會話銷毀之后，客戶端cookie中保存的單點登錄會話令牌身份照舊存在，只是與該令牌相關(guān)的會話信息已經(jīng)在AM中刪除。上述單點登錄會話的生命期由AM進行管理，會話的生命期特性可以通過配置選項進行定制。在AM中，與單點登錄會話相關(guān)的屬性是通過“會話”服務(wù)（sessionservice）進行管理的，這些可配置屬性均為動態(tài)類型的屬性，可以針對組織、角色和服務(wù)配置，并可被繼承。會話的可配置屬性如下表所示：單點登錄會話屬性說明最長會話時間（分鐘）單點登錄會話有效的最長時間，超過該時間，用戶必需重新登錄創(chuàng)建新的單點登錄會話。最長空閑時間（分鐘）當(dāng)用戶沒有任何動作時，單點登錄會話有效的最長時間，超過該時間，則會話失效，用戶必需重新登錄創(chuàng)建新的單點登錄會話。最長高速緩存時間（分鐘）單點登錄會話信息在客戶端高速緩存中保存的最長時間，超過該時間，則客戶端必需訪問服務(wù)器以刷新緩存中的會話信息。通過AM的Web把握臺可以管理單點登錄會話。在Web把握臺的“當(dāng)前會話”頁面顯示了當(dāng)前全部有效的單點登錄會話的狀態(tài)，管理員能夠有選擇性地終止單點登錄會話。認證方式設(shè)計單點登錄系統(tǒng)采用認證方式與登錄方式分層的設(shè)計，可平滑擴展多種登錄方式，如用戶名口令、證書、智能卡等，支持多級登錄認證機制。為防止暴力破解，供應(yīng)附加圖像碼的方式增加平安性。用戶認證方式認證方式單點登錄系統(tǒng)供應(yīng)了多種內(nèi)置的登錄方式。1、LDAP認證方式單點登錄系統(tǒng)供應(yīng)的缺省認證方式。使用LDAP認證方式，用戶名與口令存儲在指定的LDAP目錄中。當(dāng)一個用戶登錄時，供應(yīng)的用戶名與口令若與該LDAP目錄中指定子樹中某一個用戶記錄的用戶名與口令相同，則認證勝利，登錄者具有LDAP目錄中該用戶記錄對應(yīng)的身份。2、自注冊認證方式允許用戶在認證時選擇“新建用戶”，并輸入用戶名與口令，建立自已的用戶帳號。隨后就可以像LDAP認證方式一樣使用用戶名與口令登錄系統(tǒng)。自注冊用戶的資料也存放在LDAP中，但可以為自注冊用戶指定不同于用戶的存放位置。3、數(shù)字證書認證方式使用X509v3數(shù)字證書，只要客戶端可以供應(yīng)X509v3數(shù)字證書，系統(tǒng)允許其登錄?？梢耘渲糜脩舻膫€人數(shù)字證書必需和目錄服務(wù)器中存儲的證書相同，并與證書回收列表（CRL）比較以確保個人證書是有效的。4、RADIUS認證方式系統(tǒng)利用外部的撥號認證系統(tǒng)作為本身的認證機制，假如用戶通過了外部撥號認證系統(tǒng)的認證，系統(tǒng)則認為此用戶認證通過。5、UNIX認證系統(tǒng)利用所安裝UNIX環(huán)境的認證系統(tǒng)作為本身的認證機制，假如用戶通過了UNIX認證系統(tǒng)的認證，系統(tǒng)則認為此用戶認證通過。6、MicrosoftWindows域認證系統(tǒng)使用Windows域認證系統(tǒng)作為本身的認證機制，假如用戶通過了它的認證，則認為此用戶認證通過。7、SafeWord認證系統(tǒng)可使用SecureComputing的SafeWord或SafeWordPremier認證服務(wù)器。單點登錄系統(tǒng)作為SafeWord服務(wù)器的客戶端，SafeWord服務(wù)器可以安裝在單點登錄系統(tǒng)的同一臺機器上，也可以安裝在另外的系統(tǒng)中。8、RSASecureID認證9、多因子認證除了上述內(nèi)置的認證方式之外，平臺也供應(yīng)了服務(wù)供應(yīng)者接口來開發(fā)定制的認證方式。認證方式個性化不同的認證方式具有不同的平安性、易用性和部署成本，因此，針對不同的用戶群與不同的應(yīng)用范圍需要對認證方式進行個性化。在單點登錄系統(tǒng)中，可以依據(jù)角色、用戶、服務(wù)指定不同的認證方式，也可以在認證時直接指定認證模塊。對于不同組織、角色和服務(wù)，可以配置個性化的認證選項。認證選項依據(jù)不同的認證方式通過單點登錄系統(tǒng)的服務(wù)加以組織。單點登錄系統(tǒng)為每種內(nèi)置的認證方式定義了一個服務(wù)，并定義了一個核心認證服務(wù)，用于組織全部認證方式的公有屬性。以下分述核心認證服務(wù)與支持的配置選項以及常用認證服務(wù)的配置選項。核心認證服務(wù)支持的配置選項分為全局選項與組織選項。全局選項在整個單點登錄系統(tǒng)范圍內(nèi)適用，組織選項在組織級別進行配置，只對一個組織有效。用戶認證界面用戶認證界面是單點登錄系統(tǒng)與最終用戶的接口，它負責(zé)向用戶顯示登錄表單，搜集用戶認證信息，并傳回服務(wù)器端；服務(wù)器端通過調(diào)用平臺的認證API進行認證，并為通過認證的用戶創(chuàng)建單點登錄系統(tǒng)的單點登錄會話。單點登錄系統(tǒng)供應(yīng)了基于WEB的用戶認證界面，該用戶認證界面是由單點登錄系統(tǒng)動態(tài)生成的，供應(yīng)了平臺中全部認證模塊的用戶界面。單點登錄系統(tǒng)的用戶認證界面是基于JATO（J2EEAssistedTake-Off）WEB應(yīng)用框架創(chuàng)建的，它通過JSP和XML為用戶供應(yīng)圖形化界面的交互方式。對用戶認證界面的常見客戶化工作包括對認證界面上的文字信息和圖片進行客戶化，以及對用戶認證界面進行本地化。認證界面是基于一組JSP模板和XML文件動態(tài)生成的。JSP模板定義了認證頁面的布局，XML文件是認證模塊的配置資源文件。缺省JSP模板和XML文件均位于位于IS_Root/SUNWam/web-apps/services/config/auth/default目錄下。這些文件均可修改，使得不同的組織、子組織、地區(qū)、服務(wù)/應(yīng)用、客戶端類型具有不同的認證界面。認證接口設(shè)計單點登錄系統(tǒng)供應(yīng)了公共的認證服務(wù)架構(gòu)，對外供應(yīng)多種認證接口，以及認證服務(wù)的擴展接口?；诮y(tǒng)一的認證服務(wù)的應(yīng)用系統(tǒng)間可以實現(xiàn)單點登錄。認證服務(wù)架構(gòu)單點登錄系統(tǒng)供應(yīng)的認證服務(wù)是基于JAAS（Java認證與授權(quán)服務(wù)）框架的。JAAS是Java2平臺標(biāo)準(zhǔn)版(J2SETM)1.4規(guī)范的組成部分，它供應(yīng)認證與授權(quán)服務(wù)的應(yīng)用編程接口與服務(wù)供應(yīng)者接口，但單點登錄系統(tǒng)只使用了JAAS的認證接口。應(yīng)用開發(fā)人員不直接使用JAAS，而是使用單點登錄系統(tǒng)的認證應(yīng)用編程接口。單點登錄系統(tǒng)供應(yīng)Java和XML/HTTP兩種應(yīng)用認證接口。Java認證接口可以在本地或遠程調(diào)用。在本地調(diào)用Java編程接口直接與JAAS認證API交互，在遠程調(diào)用Java編程接口則實際通過XML/HTTP與認證平臺的認證服務(wù)交互。XML/HTTP認證接口供應(yīng)了與語言和平臺無關(guān)的方式對認證服務(wù)進行遠程訪問。單點登錄系統(tǒng)的認證模塊是以插件的方式實現(xiàn)的，多種認證模塊通過JAAS服務(wù)供應(yīng)者接口與單點登錄系統(tǒng)相連。這種基于插件的認證模塊實現(xiàn)方式使得單點登錄系統(tǒng)能夠支持已經(jīng)廣泛應(yīng)用的各種標(biāo)準(zhǔn)認證方式，也支持客戶自行定制的認證方式。下圖顯示了單點登錄系統(tǒng)認證服務(wù)的架構(gòu)。應(yīng)用認證接口單點登錄系統(tǒng)僅為應(yīng)用程序供應(yīng)兩種類型的認證編程接口。對基于Java的應(yīng)用系統(tǒng)（包括基于JSP的WEB應(yīng)用系統(tǒng)和基于Java的應(yīng)用程序）可以使用Java編程接口；對于非Java的應(yīng)用系統(tǒng)，可以使用XML/HTTP編程接口或C/C++編程接口。假如僅使用SUNAccessManagerAPI接口，存在諸多限制：1、操作系統(tǒng)限制：C/C++接口目前只能穩(wěn)定運行在Solaris系統(tǒng)中，其他主流的UNIX/Linux系統(tǒng)不支持2、XML解析簡潔：對于非Java和C/C++開發(fā)的系統(tǒng)集成來說，集成應(yīng)用需要編寫了解簡潔的XML結(jié)構(gòu)，編寫XML解析程序3、集成系統(tǒng)開發(fā)工作量大：集成系統(tǒng)采用API模式集成時不但要完成SUNAPI簡潔的過程配置，還需要進行通訊多線程的處理，在雙機環(huán)境下還需要大量的編程支持動態(tài)切換4、平臺升級困難：直接采用SUNAPI集成，每個集成應(yīng)用都與底層平臺緊密耦合，當(dāng)平臺升級時，需要每個應(yīng)用重新進行修改，無法保證整個系統(tǒng)的平滑升級。為了解決這些問題，我們采用ICE（InternetCommunicationsEngine）中間件平臺自主開發(fā)各類認證接口。ICE是一種面對對象的中間件平臺，采用了一種用于使對象接口與其實現(xiàn)相分別的基礎(chǔ)性抽象機制，為構(gòu)建面對對象的客戶－服務(wù)器應(yīng)用供應(yīng)了工具、API和庫支持。在客戶機與服務(wù)器之間建立合約，描述應(yīng)用所使用的各種類型及對象接口。這種描述與實現(xiàn)語言無關(guān)，所以編寫客戶所用的語言無需與編寫服務(wù)器所用的語言相同，很適合中小學(xué)的多語言集成環(huán)境。其架構(gòu)圖如下：ICE認證接口是架設(shè)在集成應(yīng)用和身份認證平臺之間的中間件，支持大多數(shù)的主流Unix/Linux平臺與MSWindows平臺，集成應(yīng)用系統(tǒng)開發(fā)人員無需面對簡潔的XML解析，只需要一個對象（類）就可以完成全部認證相關(guān)操作，ICE認證接口API是線程平安的，開發(fā)人員無需額外的付出就可以獲得高效的多線程功能。在架構(gòu)上ICE接口的存在使得各個集成應(yīng)用和統(tǒng)一身份平臺是非緊密耦合，在代碼層統(tǒng)一身份平臺的對外接口升級變化將不會影響到各個集成應(yīng)用，增加了整個系統(tǒng)的穩(wěn)定和擴展性。同時ICE也支持統(tǒng)一身份認證平臺的雙機熱備模式，能夠動態(tài)進行切換，集成應(yīng)用無需付出額外工作考慮平臺狀態(tài)問題。ICE認證接口增加了系統(tǒng)監(jiān)控功能，通過配置，可以在系統(tǒng)毀滅問題時發(fā)郵件通知系統(tǒng)管理員。我們的架構(gòu)為應(yīng)用開發(fā)者供應(yīng)諸多重要優(yōu)勢：面對對象的語義ICE“在線路上”完全保留了面對對象范型。全部的操作調(diào)用都使用遲后綁定，所以操作的實現(xiàn)的選定，是依據(jù)對象在運行時的（而不是靜態(tài)的）實際類型決定的。支持同步和異步的消息傳遞ICE供應(yīng)了同步和異步的操作調(diào)用和分派，通過ICEStorm供應(yīng)了發(fā)布－訂閱消息傳遞機制。這樣，可以依據(jù)應(yīng)用的需要來選擇通信模型，而不必把應(yīng)用硬塞進某種模型里。支持多個接口通過facets，對象可以供應(yīng)多個不相關(guān)的接口，同時又跨越這些接口、保持單一的對象標(biāo)識。這供應(yīng)了極大的機敏性，特別是在應(yīng)用發(fā)生演化，但又需要與更老的、已經(jīng)部署的客戶端保持兼容時。機器無關(guān)性客戶機及服務(wù)器與底層的機器架構(gòu)屏蔽開來。對于應(yīng)用代碼而言，像字節(jié)序和填充這樣的問題都隱藏了起來。語言無關(guān)性客戶和服務(wù)器可以分別部署，所用語言也可以不同?？蛻艉头?wù)器所用的Slice定義建立兩者之間的接口合約，這樣的定義也是它們唯一需要達成一致的標(biāo)準(zhǔn)。實現(xiàn)無關(guān)性客戶不知道服務(wù)器是怎樣實現(xiàn)其對象的。這意味著，在客戶部署之后，服務(wù)器的實現(xiàn)可以轉(zhuǎn)變，例如，它可以使用不同的長期機制，甚至不同的程序設(shè)計語言。操作系統(tǒng)無關(guān)性ICEAPI完全是可移植的，所以同樣的源碼能夠在Windows和UNIX上編譯和運行。線程支持ICE運行時環(huán)境完全是線程化的，其API是線程平安的。作為應(yīng)用開發(fā)者，除了在訪問共享數(shù)據(jù)時進行同步，無需為開發(fā)線程化的高性能客戶和服務(wù)器付出額外努力。傳輸機制無關(guān)性ICE目前采用了TCP/IP和UDP作為傳輸協(xié)議?？蛻艉头?wù)器代碼都不需要了解底層的傳輸機制，可以通過一個配置參數(shù)選擇所需的傳輸機制。位置和服務(wù)器透亮性ICE運行時環(huán)境會負責(zé)定位對象，并管理底層的傳輸機制，比如打開和關(guān)閉連接。客戶與服務(wù)器之間的交互顯得像是無連接的。假如在客戶調(diào)用操作時，服務(wù)器沒有運行，你可以通過ICEPack讓它們隨需啟動。服務(wù)器可以遷移到不同的物理地址，而不會使客戶持有的代理失效，而客戶完全不知道對象實現(xiàn)是怎樣分布在多個服務(wù)器進程上的。平安性通過SSL強加密，可以使客戶和服務(wù)器完全平安地進行通信，這樣，應(yīng)用可以使用擔(dān)憂全的網(wǎng)絡(luò)平安地進行通信。你可以使用Glacier穿過防火墻，實現(xiàn)平安的請求轉(zhuǎn)發(fā)，并且完全支持回調(diào)。內(nèi)建的長期機制使用Freeze，創(chuàng)建長期的對象實現(xiàn)變成了一件微不足道的事情。ICE供應(yīng)了對高性能數(shù)據(jù)庫BerkeleyDB的內(nèi)建支持。認證頭目前我們已經(jīng)實現(xiàn)了對JSP、ASP、PHP、Java、C、C#、VB等多種語言的接口，并可便利的擴展對Python、Ruby、C++等語言的支持。集成應(yīng)用系統(tǒng)的環(huán)境包含IBMWebSphere、Domino、Tomcat、Apache等主流服務(wù)器。供應(yīng)適用主流開發(fā)語言的認證接口，包括Java接口、PHP接口、COM接口，該集成模式只要求各系統(tǒng)簡潔修改認證部分，就可以具備以下功能：校驗當(dāng)前用戶是否是統(tǒng)一身份認證平臺合法用戶。假如用戶身份不合法則跳轉(zhuǎn)到登錄頁面。假如用戶身份合法則無需登錄，直接訪問集成應(yīng)用。將用戶屬性信息傳遞給集成應(yīng)用。代理認證對于中小學(xué)中不易改造的應(yīng)用系統(tǒng)，可以引入代理集成機制，被集成的應(yīng)用系統(tǒng)無需更改即可實現(xiàn)單點登陸功能。代理認證是嵌入到目標(biāo)系統(tǒng)中的程序，可以在不改動原有應(yīng)用代碼的前提下實現(xiàn)如下功能：校驗當(dāng)前用戶是否是統(tǒng)一身份認證平臺合法用戶，并推斷是否有權(quán)訪問請求的應(yīng)用；假如用戶身份不合法則跳轉(zhuǎn)到登錄頁面；假如無權(quán)進入此應(yīng)用則毀滅拒絕進入的頁面；假如用戶身份合法則無需登錄，直接訪問集成應(yīng)用；將用戶屬性信息傳遞給集成應(yīng)用。LDAP認證對于中小學(xué)中高并發(fā)認證型應(yīng)用的集成需求，比如選課系統(tǒng)，我們針對這種類型系統(tǒng)的特點開發(fā)了LDAP的接口，支持標(biāo)準(zhǔn)的LDAPV3協(xié)議，能夠滿意短時間內(nèi)上萬人次的認證，并具有高穩(wěn)定性。目前LDAP接口支持JAVA/C/PHP/.Net等開發(fā)環(huán)境。實現(xiàn)如下功能：校驗用戶名/密碼；獵取用戶屬性信息。跨域單點登錄和聯(lián)合互信采用聯(lián)合互信(LibertyAlliance)的FederationSSO標(biāo)準(zhǔn)實現(xiàn)跨域的SSO。我們前面所描述的單次登錄解決方案，都是建立在同一個廠商供應(yīng)的解決方案的基礎(chǔ)上，例如AM實現(xiàn)跨系統(tǒng)的單次登錄。但是，在現(xiàn)有的學(xué)校中，有可能會有來自于不同廠商的網(wǎng)絡(luò)身份管理方案；另外，學(xué)校也不可避開地需要和學(xué)校外的應(yīng)用系統(tǒng)交互，此時，跨不同廠商的應(yīng)用系統(tǒng)間的單次登錄就會成為一個問題。許多身份與策略服務(wù)，包括身份認證、單點登錄和用戶自定義，都是聯(lián)合互信項目正在舉行的標(biāo)準(zhǔn)化行動的主題。其目的是產(chǎn)生聯(lián)合身份系統(tǒng)。聯(lián)合身份系統(tǒng)確保合適的方面而不是一個中心機構(gòu)來對重要個人信息的使用進行管理和安排。聯(lián)合互信項目是一個商業(yè)聯(lián)盟，其組建目的是供應(yīng)和支持一個因特網(wǎng)身份解決方案，以一種開放、聯(lián)合的方式，實現(xiàn)單點登錄。聯(lián)合互信有三大目標(biāo)：允許個人用戶和機構(gòu)保證個人信息的平安。使用多家供應(yīng)者的分散認證和開放授權(quán)，供應(yīng)通用、開放的單點登錄標(biāo)準(zhǔn)。為橫跨全部網(wǎng)絡(luò)設(shè)備的網(wǎng)絡(luò)身份供應(yīng)一個開放標(biāo)準(zhǔn)。聯(lián)合身份實現(xiàn)了聯(lián)合商務(wù)的開發(fā)，這還可以讓企業(yè)為學(xué)校或最終用戶帶來更多的便利、選擇，并讓他們更好地把握自己的身份。另外，聯(lián)合身份模型允許學(xué)?；蛴脩艄芾碜约旱臄?shù)據(jù)。例如，某用戶在學(xué)校的UID為109886，而在網(wǎng)絡(luò)聘請系統(tǒng)中的UID為120821363。學(xué)校的網(wǎng)絡(luò)身份管理系統(tǒng)采用我們的單點登錄系統(tǒng)，網(wǎng)絡(luò)聘請系統(tǒng)采用的是另外廠商的方案，當(dāng)在這兩個系統(tǒng)中實現(xiàn)SSO時，假如對方同AM一樣，符合聯(lián)合互信的SAML規(guī)范，跨系統(tǒng)的SSO就可以實現(xiàn)。單點登錄系統(tǒng)遵循LibertyAlliancePhase2和SAML1.1規(guī)范。它對這些標(biāo)準(zhǔn)的支持幫忙創(chuàng)建了一個既簡便易用又與現(xiàn)有系統(tǒng)兼容的聯(lián)合框架及驗證共享機制。系統(tǒng)部署說明身份認證平臺支持雙機或多機運行模式，一方面能夠保證系統(tǒng)的牢靠性，另一方面也能夠保持良好的擴展能力，支持如下圖的部署架構(gòu)：依據(jù)實際測試情況，身份認證平臺的處理能力主要取決于處理器數(shù)量和內(nèi)存數(shù)量，系統(tǒng)完全可以滿意20萬用戶的數(shù)據(jù)存儲要求(20萬*0.5M/用戶=100G存儲容量)，并可以保持較高的處理性能，平均延時小于1秒，完全能夠保證同時有超過5000(5000*1M/用戶=5G內(nèi)存容量)的用戶同時在線使用。建議采用以下系統(tǒng)平安措施提高系統(tǒng)平安性：平安分類平安措施主機平安支持身份認證平臺管理員賬號和操作系統(tǒng)分別支持Unix、Linux等平安性高的操作系統(tǒng)傳輸平安支持HTTPS的加密傳輸機制訪問平安身份認證平臺為各接入系統(tǒng)開設(shè)不同的訪問用戶可以設(shè)置數(shù)據(jù)同步服務(wù)對權(quán)威數(shù)據(jù)源的訪問賬號的讀寫權(quán)限建立對用戶的登錄和注銷行為的系統(tǒng)日志，可以跟蹤非法用戶的入侵和合法用戶的非法攻擊系統(tǒng)只使用以下端口：系統(tǒng)管理端口58080，LDAP訪問端口389，認證服務(wù)器端口20000存儲平安全部用戶口令采用高平安不可逆加密存儲全部涉及到對其他數(shù)據(jù)庫訪問的賬號配置采用加密存儲平安管理支持用戶數(shù)據(jù)在線備份，和系統(tǒng)快速恢復(fù)支持用戶口令強制定期變更平臺牢靠性和擴展性為確保系統(tǒng)7*24小時運行，可采用雙機運行模式，一臺服務(wù)器停止運行后，另外一臺服務(wù)器能夠不間斷自動切換，不影響業(yè)務(wù)系統(tǒng)的正常運行。同時在硬件層通過RAID1保證所存儲用戶身份數(shù)據(jù)的牢靠性，并在系統(tǒng)管理上支持用戶身份數(shù)據(jù)的在線備份和備份數(shù)據(jù)的定期遠程上傳，保證在硬件層故障時，管理員可以快速進行系統(tǒng)整體恢復(fù)。平臺的數(shù)據(jù)存儲可以依據(jù)實際數(shù)據(jù)量通過擴充主機磁盤容量的方式進行擴展。統(tǒng)一信息門戶平臺統(tǒng)一信息門戶平臺（Portal），就是將各種應(yīng)用系統(tǒng)、數(shù)據(jù)資源和互聯(lián)網(wǎng)資源集成到一個信息管理平臺之上，它把分立系統(tǒng)的不同功能有效地組織起來，為各類用戶供應(yīng)一個統(tǒng)一的信息服務(wù)入口，并供應(yīng)高可配置的功能，供應(yīng)WEB網(wǎng)站頁面風(fēng)格、布局、內(nèi)容等方面的定制工具。設(shè)計要點智慧校園涉及教務(wù)、人事等多個業(yè)務(wù)系統(tǒng)，每個業(yè)務(wù)系統(tǒng)都會供應(yīng)用戶不同的信息服務(wù)，而且在各系統(tǒng)中也存在多個應(yīng)用子系統(tǒng)，每個子系統(tǒng)也都會供應(yīng)不同的服務(wù)界面。為提高易用性和一致性，需要在校內(nèi)建立統(tǒng)一的信息服務(wù)門戶平臺，通過該平臺重點解決以下幾方面的問題：統(tǒng)一信息門戶平臺重點解決以下幾方面的問題：（1）供應(yīng)符合師生使用習(xí)慣的高效、牢靠的平臺；（2）供應(yīng)符合通用標(biāo)準(zhǔn)的、可持續(xù)升級的框架；（3）供應(yīng)各種WEB應(yīng)用系統(tǒng)與門戶系統(tǒng)集成的手段，完成不同應(yīng)用系統(tǒng)的界面集成；（4）供應(yīng)平安的憑證登錄手段，用于實現(xiàn)對外部系統(tǒng)和內(nèi)部無法改造系統(tǒng)訪問時的單點登錄；（5）供應(yīng)滿意用戶個性化使用需求的界面自定義功能；（6）供應(yīng)門戶應(yīng)用開發(fā)框架、工具的支持，解決學(xué)校一些非系統(tǒng)級應(yīng)用的快速實現(xiàn)要求。平臺框架信息門戶平臺架構(gòu)如下：從功能上來看信息門戶平臺有六大部分組成：門戶基礎(chǔ)框架，供應(yīng)標(biāo)準(zhǔn)的運行和開發(fā)框架應(yīng)用集成插件，用于滿意校內(nèi)外各類WEB應(yīng)用的界面集成需求內(nèi)容管理模塊，供應(yīng)統(tǒng)一的內(nèi)容采編、審核和發(fā)布管理個人服務(wù)模塊，用于滿意師生用戶個人資料管理的服務(wù)需求公共服務(wù)模塊，用于滿意面對公眾的信息互動和共享需求協(xié)作服務(wù)模塊，用于滿意人員之間、業(yè)務(wù)之間協(xié)同工作的需求門戶運行環(huán)境供應(yīng)符合Portlet1.0規(guī)范的門戶運行支撐框架；供應(yīng)標(biāo)準(zhǔn)的Portlet開發(fā)接口，支持門戶應(yīng)用的快速開發(fā)；供應(yīng)頻道、欄目、頁面、內(nèi)容的管理功能，用于管理員創(chuàng)建不同主題的缺省網(wǎng)站；需供應(yīng)個性化定制界面功能，支持管理員對界面的配置，在界面中修改布局、樣式、欄目和欄目的位置，同時支持個人用戶自主管理自己的缺省界面；供應(yīng)對Portlet應(yīng)用的在線部署，在不影響已有應(yīng)用運行的情況下加載新應(yīng)用，或?qū)σ延袘?yīng)用進行更新和卸載；供應(yīng)分類Cache監(jiān)控管理功能，管理員可以有針對性的監(jiān)控Cache使用狀況；供應(yīng)單點登錄服務(wù)，集成統(tǒng)一身份認證及權(quán)限管理平臺；供應(yīng)信息門戶備份和恢復(fù)的功能，保障系統(tǒng)的牢靠運行；供應(yīng)日志、審計、監(jiān)控、統(tǒng)計分析功能。平臺主要功能應(yīng)用管理模塊信息門戶平臺供應(yīng)了完善的應(yīng)用管理工作，包括應(yīng)用注冊、應(yīng)用信息管理和應(yīng)用負載管理。應(yīng)用注冊：在門戶內(nèi)注冊新的應(yīng)用。應(yīng)用只有在門戶注冊后，用戶才能夠通過門戶訪問；門戶支持portlet應(yīng)用系統(tǒng)在信息門戶的注冊和管理，供用戶使用。應(yīng)用信息管理：管理應(yīng)用系統(tǒng)的相關(guān)信息，如管理員、有效期等。應(yīng)用負載管理：信息門戶基于應(yīng)用服務(wù)器集群環(huán)境實現(xiàn)負載均衡管理，可部署多個平臺實例，支持大規(guī)模用戶訪問。系統(tǒng)監(jiān)控：監(jiān)控系統(tǒng)訪問信息，供應(yīng)系統(tǒng)日志，便利管理員有效量化管理。應(yīng)用集成套件URL資源管理插件，供應(yīng)對URL資源類和資源明細的維護和授權(quán)，基于所維護的URL資源管理，可以機敏定義不同的URL資源顯示欄目，用于支持不同應(yīng)用系統(tǒng)的菜單級集成；IFrame集成插件，支持嵌入其它系統(tǒng)的頁面，用于實現(xiàn)和其他網(wǎng)站界面的無縫集成，并可以把握集成后欄目的表現(xiàn)形式；WebClipping集成插件，可以對應(yīng)用服務(wù)器訪問到的頁面進行區(qū)域裁剪，裁剪后的內(nèi)容作為門戶的欄目進行統(tǒng)一管理；URL集成插件，支持服務(wù)器級的高效集成，包括對網(wǎng)站或其他門戶欄目的集成；RSS集成插件，支持自動從其它符合RSS（ReallySimpleSyndication，簡易信息聚合）規(guī)范的網(wǎng)站或門戶采集到需要的數(shù)據(jù)，并定義相應(yīng)的呈現(xiàn)方式；憑證登錄插件，支持用戶實現(xiàn)對外部網(wǎng)站或內(nèi)網(wǎng)不能實現(xiàn)身份集成網(wǎng)站的單點登錄功能；JSP編輯器插件，對數(shù)據(jù)庫查詢進行平安封裝，支持在線JSP編輯，供開發(fā)人員和管理員快速開發(fā)一些數(shù)據(jù)庫查詢發(fā)布應(yīng)用。個性化Web桌面供應(yīng)欄目管理功能，支持管理員增加新的欄目，修改或刪除已有欄目，同時供應(yīng)欄目分組管理功能用于便利管理員對欄目的管理；供應(yīng)欄目授權(quán)功能，支持管理員實現(xiàn)按欄目授權(quán)給用戶組或用戶的功能；供應(yīng)內(nèi)容頁管理功能，用于管理員創(chuàng)建不同主題的內(nèi)容頁，同時支持二級內(nèi)容頁的定義；供應(yīng)頁面風(fēng)格擴展功能，支持管理員機敏擴展用戶可選擇的頁面風(fēng)格；供應(yīng)最終用戶個性化定制功能，最終用戶可以自主選擇頁面風(fēng)格，并自主定義自己的內(nèi)容頁；供應(yīng)站內(nèi)搜索服務(wù)，支持最終用戶可以通過關(guān)鍵字和內(nèi)容進行搜索。內(nèi)容管理子系統(tǒng)內(nèi)容分類設(shè)置，供應(yīng)內(nèi)容類的內(nèi)容屬性、顯示風(fēng)格設(shè)置，并支持分級管理，由分級管理員完成子類的管理；審批流程定義，供應(yīng)管理員依據(jù)不同內(nèi)容分類定義審批流程，以滿意不同類型內(nèi)容的不同審批權(quán)限和審批級別；內(nèi)容編輯功能，供應(yīng)所見即所得的編輯方式，支持在線編輯、本地編輯和引用鏈接三種，滿意不同場景下的內(nèi)容快速錄入需要；內(nèi)容審批功能，供應(yīng)審批人員待審批內(nèi)容列表，對于每項審批內(nèi)容可以直接修改，也可以使用批注，以提高審批效率；內(nèi)容發(fā)布功能，對于通過審批的內(nèi)容，發(fā)布負責(zé)人可以設(shè)置發(fā)布的有效期，支持預(yù)發(fā)布和實時發(fā)布；內(nèi)容歸檔功能，依據(jù)所發(fā)布內(nèi)容的特征，由系統(tǒng)自動進行歸檔存儲，并對所歸檔內(nèi)容供應(yīng)查詢和統(tǒng)計；可與學(xué)校主頁有機整合，共享新聞、通知、公告等網(wǎng)站信息；支持整合學(xué)校各部門的二級門戶網(wǎng)站，構(gòu)建獨立門戶。個人服務(wù)子系統(tǒng)個人記事本，為用戶供應(yīng)網(wǎng)絡(luò)記事服務(wù)。并供應(yīng)查詢、搜索功能；個人文件夾，依據(jù)個人權(quán)限安排網(wǎng)絡(luò)空間，用于上傳、下載、檢索個人電子資料，并可以按文件或目錄授權(quán)給好友或指定用戶共享；建議學(xué)生每人安排200M空間，老師可以安排1G空間；個人相冊管理，供應(yīng)相片數(shù)據(jù)的上傳、維護，供應(yīng)圖片按比例在線掃瞄，同時用戶可以按相片文件或目錄授權(quán)給好友或指定用戶共享；新聞掃瞄器，供應(yīng)RSS新聞掃瞄服務(wù)，自動收取各新聞網(wǎng)站的RSS新聞內(nèi)容；個人保藏夾，供應(yīng)應(yīng)平凡用戶使用，用戶可以在網(wǎng)上管理可用的網(wǎng)絡(luò)書簽資源；個人主頁（博客），供應(yīng)應(yīng)每個用戶一個個人主頁空間，用戶可以發(fā)表文章、評論、標(biāo)簽等Web內(nèi)容。公共服務(wù)子系統(tǒng)公共信息服務(wù)，供應(yīng)校內(nèi)公告通知、網(wǎng)上調(diào)查，天氣預(yù)報、出行查詢等；網(wǎng)上投票，供應(yīng)網(wǎng)上投票定義、按用戶組授權(quán)功能，調(diào)查表格可按需擴展，并供應(yīng)圖形化統(tǒng)計和分析功能，用于收集特定群體對特定問題的看法，可按權(quán)限發(fā)布具體投票信息；圖文廣告，供應(yīng)多種表現(xiàn)形式的廣告管理，用于基于門戶發(fā)布各類廣告信息；公告管理，供應(yīng)管理員和授權(quán)人員依據(jù)通用的模式維護公告列表和公告內(nèi)容，同時供應(yīng)按列表的批量公告發(fā)布和單條目的公告發(fā)布。協(xié)作服務(wù)子系統(tǒng)日程管理，供應(yīng)用戶行程日歷，在日歷上實時標(biāo)識每日工作安排，同時供應(yīng)對外服務(wù)接口，實現(xiàn)和其他業(yè)務(wù)系統(tǒng)行程安排整合；待辦事宜，為登錄用戶供應(yīng)待辦任務(wù)提示和管理，提高網(wǎng)上工作協(xié)作能力；網(wǎng)絡(luò)留言，通過該服務(wù)實現(xiàn)網(wǎng)絡(luò)留言和答復(fù)功能，解決個人不在線時的工作協(xié)作。平臺部署及性能說明信息門戶平臺部署在標(biāo)準(zhǔn)J2EE應(yīng)用服務(wù)器之上，支持在單臺服務(wù)器上的垂直擴展、在多臺服務(wù)器的上水平擴展，垂直擴展可以提高系統(tǒng)運行的牢靠性，水平擴展可以線性提高性能，如下圖所示部署架構(gòu)：基于上述結(jié)構(gòu)，系統(tǒng)在以下測試環(huán)境中的性能情況如下：測試環(huán)境環(huán)境說明網(wǎng)絡(luò)環(huán)境在試驗室局域網(wǎng)內(nèi)，網(wǎng)絡(luò)帶寬100M硬件環(huán)境服務(wù)器：2CPU主頻3.2GXeon、2GRAM客戶端1：2CPU主頻為1.6GXeon、4GRAM客戶端2：1CPU主頻為2GP4、512MRAM操作系統(tǒng)服務(wù)器操作系統(tǒng)為：RedHatAS3.4客戶端操作系統(tǒng)為：Win2000系統(tǒng)軟件數(shù)據(jù)庫：Oracle10g應(yīng)用服務(wù)器：WebSphere6.0ND測試方法在2分鐘內(nèi)仿真200用戶持續(xù)訪問門戶指定頁面，頁面內(nèi)容為194K測試結(jié)果依據(jù)上述測試結(jié)果，在單臺2顆Xeon3.2GCPU、2GRAM的PC服務(wù)器平臺上，門戶服務(wù)器平均處理能力能夠達到132.11RPS；100個并發(fā)訪問時，每秒可處理50個訪問請求，平均響應(yīng)時間1.9秒，在2分鐘內(nèi)可以處理15000次以上的用戶訪問請求，頁面訪問速度小于3秒，并發(fā)用戶支持2000人，在線用戶支持2萬人。平臺牢靠性和擴展性說明信息門戶平臺采用以下技術(shù)保證系統(tǒng)的牢靠性和可擴展性運行：支持在一臺應(yīng)用服務(wù)器內(nèi)部的垂直擴展，可以依據(jù)應(yīng)用服務(wù)器內(nèi)存狀況，同時創(chuàng)建多個服務(wù)實例，在一個服務(wù)實例故障時，其他服務(wù)實例能夠自動接管相應(yīng)的用戶訪問請求支持在多臺應(yīng)用服務(wù)器之間實現(xiàn)水平擴展，并可以依據(jù)各服務(wù)器的處理能力設(shè)置相應(yīng)的負載權(quán)重，在一臺服務(wù)器故障時，其他服務(wù)器能夠自動接管相應(yīng)的用戶訪問請求支持門戶單個應(yīng)用的在線加載和更新，某個應(yīng)用毀滅問題時，可以在服務(wù)不停的情況，實現(xiàn)對該應(yīng)用的更新平臺平安性考慮平安分類平安措施網(wǎng)絡(luò)平安支持應(yīng)用服務(wù)器部署在內(nèi)部網(wǎng)絡(luò)，通過HTTPServer供應(yīng)對外訪問主機平安門戶系統(tǒng)管理員可以配置為統(tǒng)一身份認證及權(quán)限管理平臺中的指定用戶，不存在對操作系統(tǒng)用戶的依靠支持對門戶系統(tǒng)管理員賬號強制定期變更支持Solaris,Linux等平安性高UNIX操作系統(tǒng)傳輸平安支持HTTPS的加密傳輸機制訪問平安對統(tǒng)一身份認證及權(quán)限管理平臺的訪問賬號是受限賬號對相關(guān)數(shù)據(jù)庫的訪問賬號是受限賬號系統(tǒng)只使用J2EE服務(wù)器標(biāo)準(zhǔn)端口存儲平安全部涉及到對其他數(shù)據(jù)庫(系統(tǒng)庫、業(yè)務(wù)庫、共享庫)的訪問的賬號采用加密存儲對統(tǒng)一身份認證及權(quán)限管理平臺的訪問賬號采用加密存儲對于采用憑證登錄和憑證登錄的Portlet應(yīng)用,其登錄憑證采用加密存儲數(shù)據(jù)中心平臺數(shù)據(jù)中心建設(shè)可以分為三個階段，第一個階段主要是公共數(shù)據(jù)庫的建設(shè)，其目標(biāo)是集成學(xué)?，F(xiàn)有和即將建設(shè)的應(yīng)用，標(biāo)準(zhǔn)化學(xué)校的相關(guān)數(shù)據(jù)，供應(yīng)部分針對具體業(yè)務(wù)的查詢和報表。第二階段主要是數(shù)據(jù)庫應(yīng)用建設(shè)，其目標(biāo)是對學(xué)校