微软统一身份管理与授权系统解决方案.ppt

1、日程统一身份介绍什么是SSO微软统一身份授权管理系统解决方案结合(AD)的SSO 优点总结什么是身份？IP-地址用户名/密码生物特征智能卡护照照片身份Identity姓名,地址,电话机,手机,传真,房间号,Identity，用于证明“我是谁”(Who)的凭据在IT领域，身份一般特指数字身份挑战：企业数字身份的爆炸式增长数字身份的数量TimeApplications挑战：企业资源访问方式也在扩展企业内部员工供货商合作伙伴分支机构客户提高客户满意度节省成本人性化要求合作外包快速商务周期 流程自动化价值链关键问题总结如何实现 身份信息统一管理与集成如何管理人员详细信息如何实现 单点登录如何实现 基于

2、身份的统一授权与审计如何保证 越来越高的安全性需求（多要素验证）统一身份管理与授权平台SSO是什么SSO(Single Sign-On)统一认证(又叫单点认证)，是一个用户认证的过程，允许用户一次性进行认证后，就可以访问加入统一认证系统中不同的应用，而不需要每次都重新输入用户名和密码（凭据），用一句话来形象的解释就是“单点登录、全网漫游”。基于Web的标准方式认证 单点认证与接入应用业务无关 验证时用户只需一次提交用户名和密码 用户鉴权集中控制SSO系统具有特点SSO实现机制1.访问请求SSO ServiceWeb Server2.转发访问请求3.根据用户提交的信息，验证用户身份创建User

3、Token（内存，具有时效性），颁发给用户。SSO Service 同时提供标准的对外接口，方便其他系统和平台的接入4.认证成功给Web server5.返回用户访问的页面用户身份识别跨域的SSO实现，基于加密的cookie（User Token身份令牌）Other Web Server通用SSO系统缺陷帐号没有规范标准密码安全性不强支持认证方式单一缺少独立的用户管理功能结论各方面扩展性不强基于表单的Passport认证认证服务支持单点登录的应用没有认证过，需要重定向到认证服务转到认证服务解决之道-Active Directory SSOWindows ServerActive Directo

4、ryADSI基于AD SSO认证服务(扩展)SSO认证服务认证服务数据库统一身份授权(SSO)系统功能介绍实现Web应用跨服务器的表单认证为A应用提供认证的HttpModule，自动完成Principal的构造提供登录和注销的控件可定制性访问应用到统一认证过程统一身份授权管理系统可定制性认证服务Ticket的加密算法定制认证操作认证界面Cookie的加解密算法应用Ticket的解密算法Cookie的加解密算法认证方式（集成Windows认证）Principal的构造统一身份授权管理系统概述人员目录服务人员目录服务访问访问/授权管理授权管理身份的身份的生命周期管理生命周期管理用户帐号生命周期管理

5、新用户-用户ID的创建-身份的认证-访问权限控制帐号管理-权限升级-帐号转移-添加新权限-帐号属性修改密码管理-强密码设定-“丢失”密码管理-密码重置离开的用户-删除/冻结用户账号-删除/冻结用权限身份同步-对各处存储的用户ID信息进行生命周期的全过程管理微软统一身份管理和授权系统总体架构ADHROA其他应用接口组织机构管理用户授权管理身份信息同步身份管理系统门户SSOSSO服务服务B/S 三层结构设计，保证系统灵活高效；程序环境：IIS 6.0+.Net Framework 2.0+(兼容3.5)数据库:Microsoft SQL Server 2005+（支持2008）Active Dir

6、ectory Server统一身份授权管理系统技术构架SSO服务服务Microsoft IIS 6.0+AD Server/Windows Server综合管理门户综合管理门户ASP.Net 2.0统一用户后台管理详细的后台用户管理功能(基于AD)机构和人员信息基础信息：机构和人员的唯一ID和显示名称帐户信息：登录名、帐户有效性信息（有效期，禁用标志）授权可能相关的信息：用户级别个人属性：电话号码，通信地址等不同的信息维护界面不同基础信息、帐户信息和授权相关的信息管理员操作个人属性由个人或管理员操作统一用户后台授权管理应用功能角色机构人员人员组用户身份信息同步身份同步接口服务活动目录其他系统OA系统HR系统人员身份信息新建/变更/删除等员工A类信息A类A类+B类A类+B类A类+B类系统部署构架示意图统一登录统一登录统一用户管理统一用户管理对外扩展对外扩展