統一使用者認證和單點登入解決方案

本文以某新聞單位多媒體資料庫系統為例，提出建立企業使用者認證中心，實現基於安全性原則的統一使用者管理、認證和單點登入，解決使用者在同時使用多個應用系統時所遇到的重複登入問題。

隨著資訊技術和網路技術的迅猛發展，企業內部的應用系統越來越多。比如在媒體行業，常見的應用系統就有采編系統、排版系統、印刷系統、廣告管理系統、財務系統、辦公自動化系統、決策支援系統、客戶關係管理系統和網站發布系統等。由於這些系統互相獨立，使用者在使用每個應用系統之前都必須按照相應的系統身份進行登入，為此使用者必須記住每一個系統的使用者名稱和密碼，這給使用者帶來了不少麻煩。特別是隨著系統的增多，出錯的可能性就會增加，受到非法截獲和破壞的可能性也會增大，安全性就會相應降低。針對於這種情況，統一使用者認證、單點登入等概念應運而生，同時不斷地被應用到公司專屬應用程式系統中。

統一使用者管理的基本原理

一般來說，每個應用系統都擁有獨立的使用者資訊管理功能，使用者資訊的格式、命名與儲存方式也多種多樣。當使用者需要使用多個應用系統時就會帶來使用者資訊同步問題。使用者資訊同步會增加系統的複雜性，增加管理的成本。

例如，使用者X需要同時使用A系統與B系統，就必須在A系統與B系統中都建立使用者X，這樣在A、B任一系統中使用者X的資訊更改後就必須同步至另一系統。如果使用者X需要同時使用10個應用系統，使用者資訊在任何一個系統中做出更改後就必須同步至其他9個系統。使用者同步時如果系統出現意外，還要保證資料的完整性，因而同步處理的使用者的程式可能會非常複雜。

解決使用者同步問題的根本辦法是建立統一使用者管理系統（UUMS）。UUMS統一儲存所有應用系統的使用者資訊，應用系統對使用者的相關操作全部通過UUMS完成，而授權等操作則由各應用系統完成，即統一儲存、分布授權。UUMS應具備以下準系統:

1．使用者資訊規範命名、統一儲存，使用者ID全域惟一。使用者ID猶如身份證，區分和標識了不同的個體。

2．UUMS向各應用系統提供使用者屬性列表，如姓名、電話、地址、郵件等屬性，各應用系統可以選擇本系統所需要的部分或全部屬性。

3．應用系統對使用者基本資料的增加、修改、刪除和查詢等請求由UUMS處理。

4．應用系統保留使用者管理功能，如使用者分組、使用者授權等功能。

5．UUMS應具有完善的日誌功能，詳細記錄各應用系統對UUMS的操作。

統一使用者認證是以UUMS為基礎，對所有應用系統提供統一的認證方式和認證策略，以識別使用者身份的合法性。統一使用者認證應支援以下幾種認證方式:

1. 匿名認證方式: 使用者不需要任何認證，可以匿名的方式登入系統。

2. 使用者名稱/密碼認證: 這是最基本的認證方式。

3. PKI/CA數位憑證認證: 通過數位憑證的方式認證使用者的身份。

4. IP地址認證: 使用者只能從指定的IP地址或者IP位址區段訪問系統。

5. 時間段認證: 使用者只能在某個指定的時間段訪問系統。

6. 訪問次數認證: 累計使用者的訪問次數，使使用者的訪問次數在一定的數值範圍之內。

以上認證方式應採用模組化設計，管理員可靈活地進行裝載和卸載，同時還可按照使用者的要求方便地擴充新的認證模組。

認證策略是指認證方式通過與、或、非等邏輯關係組合後的認證方式。管理員可以根據認證策略對認證方式進行增、刪或組合，以滿足各種認證的要求。比如，某集團使用者多人共用一個賬戶，使用者通過使用者名稱密碼訪問系統，訪問必須限制在某個IP位址區段上。該認證策略可表示為: 使用者名稱/密碼“與”IP地址認證。

PKI/CA數位憑證認證雖不常用，但卻很有用，通常應用在安全層級要求較高的環境中。PKI（Public Key Infrastructure）即公開金鑰基礎設施是利用公開金鑰理論和數位憑證來確保系統資訊安全的一種體系。

在公開金鑰體制中，密鑰成對產生，每對密鑰由一個公開金鑰和一個私密金鑰組成，公開金鑰公佈於眾，私密金鑰為所用者私人。寄件者利用接收者的公開金鑰發送資訊，稱為數字加密，接收者利用自己的私密金鑰解密; 寄件者利用自己的私密金鑰發送資訊，稱為數位簽章，接收者利用寄件者的公開金鑰解密。PKI通過使用數字加密和數位簽章技術，保證了資料在傳輸過程中的機密性（不被非法授權者偷看）、完整性（不能被非法篡改）和有效性（資料不能被簽發者否認）。

數位憑證有時被稱為數字身份證，數位憑證是一段包含使用者身份資訊、使用者公開金鑰資訊以及身分識別驗證機構數位簽章的資料。身分識別驗證機構的數位簽章可以確保認證資訊的真實性。

完整的PKI系統應具有權威認證機構CA（Certificate Authority）、憑證註冊系統RA（Registration Authority）、密鑰管理中心KMC（Key Manage Center）、認證發布查詢系統和備份恢複系統。CA是PKI的核心，負責所有數位憑證的簽發和登出; RA接受使用者的認證申請或認證登出、恢複等申請，並對其進行審核; KMC負責加密金鑰的產生、存貯、管理、備份以及恢複; 認證發布查詢系統通常採用OCSP（Online Certificate Status Protocol，線上憑證狀態通訊協定）協議提供查詢使用者認證的服務，用來驗證使用者簽名的合法性; 備份恢複系統負責數位憑證、密鑰和系統資料的備份與恢複。

單點登入

單點登入（SSO，Single Sign-on）是一種方便使用者訪問多個系統的技術，使用者只需在登入時進行一次註冊，就可以在多個系統間自由穿梭，不必重複輸入使用者名稱和密碼來確定身份。單點登入的實質就是安全上下文（Security Context）或憑證（Credential）在多個應用系統之間的傳遞或共用。當使用者登入系統時，用戶端軟體根據使用者的憑證（例如使用者名稱和密碼）為使用者建立一個安全上下文，安全上下文包含用於驗證使用者的安全資訊，系統用這個安全上下文和安全性原則來判斷使用者是否具有訪問系統資源的許可權。遺憾的是J2EE規範並沒有規定安全內容相關的格式，因此不能在不同廠商的J2EE產品之間傳遞安全上下文。

圖1 SSO原理

目前業界已有很多產品支援SSO，如IBM的WebSphere和BEA的WebLogic，但各家SSO產品的實現方式也不盡相同。WebSphere通過Cookie記錄認證資訊，WebLogic則是通過Session共用認證資訊。Cookie是一種用戶端機制，它儲存的內容主要包括: 名字、值、到期時間、路徑和域，路徑與域合在一起就構成了Cookie的作用範圍，因此用Cookie方式可實現SSO，但網域名稱必須相同; Session是一種伺服器端機制，當Client Access Server時，伺服器為用戶端建立一個惟一的SessionID，以使在整個互動過程中始終保持狀態，而互動的資訊則可由應用自行指定，因此用Session方式實現SSO，不能在多個瀏覽器之間實現單點登入，但卻可以跨域。

實現SSO有無標準可尋？如何使業界產品之間、產品內部之間資訊互動更標準、更安全呢？基於此目的，OASIS（結構化資訊標準促進組織）提出了SAML解決方案（有關SAML的知識參看連結）。

使用者認證中心實際上就是將以上所有功能、所有概念形成一個整體，為企業提供一套完整的使用者認證和單點登入解決方案。一個完整的使用者認證中心應具備以下功能:

1. 統一使用者管理。實現使用者資訊的集中管理，並提供標準介面。

2. 統一認證。使用者認證是集中統一的，支援PKI、使用者名稱/密碼、B/S和C/S等多種身份認證方式。

圖2 統一使用者認證與單點登入設計模型

3. 單點登入。支援不同域內多個應用系統間的單點登入。

使用者認證中心提供了統一認證的功能，那麼使用者認證中心如何提供統一授權的功能呢？這就是授權管理中，其中應用最多的就是PMI。

PMI（Privilege Management Infrastructure，授權管理基礎設施）的目標是向使用者和應用程式提供授權管理服務，提供使用者身份到應用授權的映射功能，提供與實際應用處理模式相對應的、與具體應用系統開發和管理無關的授權和存取控制機制，簡化具體應用系統的開發與維護。PMI是屬性認證（Attribute Certificate）、屬性權威（Attribute Authority）、屬性認證庫等組件的集合體，用來實現許可權和認證的產生、管理、儲存、分發和撤銷等功能。

PMI以資源管理為核心，對資源的存取控制權統一交由授權機構統一處理，即由資源的所有者來進行存取控制。同公開金鑰基礎設施PKI相比，兩者主要區別在於: PKI證明使用者是誰，而PMI證明這個使用者有什麼許可權，能幹什麼，而且PMI可以利用PKI為其提供身份認證。

單點登入通用設計模型

圖2是統一使用者認證和單點登入通用設計模型，它由以下產品組成:

1. PKI體系: 包括CA伺服器、RA伺服器、KMC和OCSP伺服器。

2. AA管理伺服器: 即認證（Authentication）和授權（Authorization）伺服器，它為系統管理員提供使用者資訊、認證和授權的管理。

3. UUMS模組: 為各應用系統提供UUMS介面。

4. SSO: 包括SSO代理和SSO伺服器。SSO代理部署在各應用系統的伺服器端，負責截獲用戶端的SSO請求，並轉寄給SSO伺服器，如果轉寄的是OCSP請求，則SSO伺服器將其轉寄給OCSP伺服器。在C/S方式中，SSO代理通常部署在用戶端。

5. PMI: 包括PMI代理和PMI伺服器。PMI代理部署在各應用系統的伺服器端，負責截獲用戶端的PMI請求，並轉寄給PMI伺服器。

6. LDAP伺服器: 統一儲存使用者資訊、認證和授權資訊。

為判斷使用者是否已經登入系統，SSO伺服器需要儲存一張使用者會話（Session）表，以記錄使用者登入和登出的時間，SSO伺服器通過檢索會話表就能夠知道使用者的登入情況，該表通常儲存在資料庫中。AA系統提供了對會話的記錄、監控和撤消等管理功能。為保證穩定與高效，SSO、PMI和OCSP可部署兩套或多套應用，同時提供服務。

連結

SAML

SAML（Security Assertion Markup Language，安全性斷言標記語言）是一種基於XML的架構，主要用於在各安全系統之間交換認證、授權和屬性資訊，它的主要目標之一就是SSO。在SAML架構下，無論使用者使用哪種信任機制，只要滿足SAML的介面、資訊互動定義和流程規範，相互之間都可以無縫整合。SAML規範的完整架構及有關資訊互動格式與協議使得現有的各種身份鑒別機制（PKI、Kerberos和口令）、各種授權機制（基於屬性認證的PMI、ACL、Kerberos的存取控制）通過使用統一介面實現跨信任域的互操作，便於分布式應用系統的信任和授權的統一管理。

SAML並不是一項新技術。確切地說，它是一種語言，是一種XML描述，目的是允許不同安全系統產生的資訊進行交換。SAML規範由以下部分組成:

1. 斷言與協議: 定義XML格式的斷言的文法語義以及請求和響應協議。SMAL主要有三種斷言: 身份認證斷言、屬性斷言和訪問授權斷言。

2. 綁定與設定檔: 從SAML請求和響應訊息到底層通訊協定如SOAP或SMTP的映射。

3. 一致性規範: 一致性規範設定了一種基本標準，必須滿足這一SAML標準的實現才能夠稱為一致性實現。這樣有助於提高互通性和相容性。

4. 安全和保密的問題: SAML體繫結構中的安全風險，具體而言就是SAML如何應對這些風險以及無法解決的風險。

要注意的是，SAML並不是專為SSO設計，但它卻為SSO的標準化提供了可行的架構。