王菁++潘媛++劉躍龍++蘇文偉

摘 要隨著我國對電網(wǎng)信息化建設(shè)要求的不斷提高，電網(wǎng)企業(yè)的信息基礎(chǔ)設(shè)施、信息系統(tǒng)、信息安全保障和信息化管理逐漸進(jìn)入有序的發(fā)展?fàn)顟B(tài)，為了進(jìn)一步強(qiáng)化信息化安全管理，解決用戶信息的管理和維護(hù)等問題，本文基于4A平臺提出了統(tǒng)一用戶信息管理服務(wù)系統(tǒng)，對統(tǒng)一用戶信息管理服務(wù)框架的需求分析的基礎(chǔ)上，深入探討了統(tǒng)一用戶信息管理服務(wù)框架設(shè)計(jì)與實(shí)現(xiàn)。

【關(guān)鍵詞】4A 統(tǒng)一用戶信息管理 電網(wǎng) 用戶認(rèn)證

隨著電網(wǎng)公司信息化建設(shè)的發(fā)展，各種應(yīng)用服務(wù)的不斷普及，網(wǎng)絡(luò)規(guī)模也逐步擴(kuò)大，用戶每天需要登錄到許多不同的信息系統(tǒng)，每個(gè)系統(tǒng)都要求用戶遵循一定的安全策略。但是隨著用戶需要登錄系統(tǒng)次數(shù)越來越頻繁，會大大增加出錯(cuò)的可能性，從而可能會受到非法截獲和破壞，安全性就會相應(yīng)降低。而當(dāng)用戶忘記口令，就需要請求管理員在后臺操作，并只能在重新獲得口令之前等待，增加了系統(tǒng)和安全管理資源的開銷，降低了生產(chǎn)效率。并且每新增、減少一個(gè)用戶，管理員需要逐個(gè)登錄到每個(gè)應(yīng)用系統(tǒng)進(jìn)行用戶的增加、刪除及授權(quán)，這些工作也極大的增加系統(tǒng)管理的復(fù)雜度及降低用戶可用性。對管理層而言也缺乏全局應(yīng)用系統(tǒng)統(tǒng)一、整體的用戶審計(jì)信息。此外，國家對企業(yè)信息化設(shè)在安全和內(nèi)控方面提出了更高的要求，要求企業(yè)加強(qiáng)內(nèi)部的安全管理和控制，而身份管理、授權(quán)管理、審計(jì)正是構(gòu)成網(wǎng)絡(luò)安全信任體系的基礎(chǔ)。因此，本文提出了在現(xiàn)有安全基礎(chǔ)設(shè)施及建設(shè)成果基礎(chǔ)上進(jìn)一步強(qiáng)化安全建設(shè)，建設(shè)完成全公司范圍的，涵蓋認(rèn)證、用戶管理、授權(quán)、審計(jì)四位一體的4A（認(rèn)證Authentication、賬號Account、授權(quán)Authorization、審計(jì)Audit）統(tǒng)一安全管理平臺，以滿足電網(wǎng)公司對應(yīng)用系統(tǒng)整合的需求，對安全可靠統(tǒng)一的用戶身份認(rèn)證管理的需求，滿足國家及行業(yè)主管部門的相關(guān)管理要求，適應(yīng)公司業(yè)務(wù)及管理發(fā)展對信息安全的需要。

1 統(tǒng)一用戶信息管理服務(wù)框架需求分析

1.1 業(yè)務(wù)需求

從用戶集中管理來看，目前電網(wǎng)公司無法對全公司的用戶信息進(jìn)行集中管理，存在管理分散的問題，離職員工賬號難以及時(shí)刪除或遺漏，會使應(yīng)用系統(tǒng)難以清晰的管理，管理員對于用戶信息在各個(gè)應(yīng)用系統(tǒng)當(dāng)中的增加、刪除、修改、查詢等大量的操作容易出錯(cuò)，且同一用戶在不同應(yīng)用中信息不一致，造成管理出現(xiàn)隱患；從組織機(jī)構(gòu)管理來看，組織機(jī)構(gòu)的信息也分散在不同應(yīng)用系統(tǒng)當(dāng)中，當(dāng)信息需要修改時(shí)，會造成很大的工作量，且對于和用戶及角色授權(quán)之間的對應(yīng)缺乏統(tǒng)一管理制度；從系統(tǒng)認(rèn)證管理來看，由于應(yīng)用系統(tǒng)多，且登錄流程復(fù)雜，用戶在登錄系統(tǒng)時(shí)，消耗在認(rèn)證登錄、切換登錄入口和退出系統(tǒng)的工作量較大；從授權(quán)管理來看，用戶和授權(quán)管理的信息操作復(fù)雜，既無法集中的管理，也缺乏統(tǒng)一的規(guī)范；從審計(jì)需求的管理來看，無法對管理員的管理行為、用戶的登錄登出等行為進(jìn)行審計(jì)，且由于用戶行為日志分散在各個(gè)系統(tǒng)當(dāng)中，無法集中的監(jiān)控和審計(jì)。

1.2 功能需求

首先需要解決的是用戶賬戶統(tǒng)一管理的問題，對多個(gè)用戶系統(tǒng)進(jìn)行整合時(shí)，傳統(tǒng)模式下的用戶數(shù)據(jù)管理的流程復(fù)雜且時(shí)效性慢；其次，雖然已經(jīng)建設(shè)了PKI/CA網(wǎng)絡(luò)信任體系，但是數(shù)字證書應(yīng)用及管理和賬戶管理還不夠完善，同時(shí)還存在著單點(diǎn)登錄系統(tǒng)與CA系統(tǒng)的管理脫節(jié)問題；再次，管理員的操作行為也需要有效的安全管控和責(zé)任認(rèn)定。

1.3 性能需求

于4A系統(tǒng)來講，影響系統(tǒng)性能主要問題在于I/O，包括數(shù)據(jù)庫、網(wǎng)絡(luò)通信、文件等，其中大量的操作會占用到CPU，其次I/O操作、差算法和其他低效資源還會降低系統(tǒng)性能，在實(shí)際應(yīng)用中會導(dǎo)致在多數(shù)據(jù)并發(fā)、大數(shù)據(jù)量等情況下發(fā)生嚴(yán)重問題。對于4A平臺建議的指標(biāo)如下：吞吐量可以滿足至少30萬的用戶；平臺要支持至少3萬的用戶數(shù)量并發(fā)認(rèn)證；用戶登錄平臺的相應(yīng)總延時(shí)應(yīng)當(dāng)小于2秒；4A平臺認(rèn)證效率應(yīng)當(dāng)大于300次/秒；用戶訪問的成功率大于99.9%；4A平臺應(yīng)當(dāng)可以一周24小時(shí)不間斷運(yùn)轉(zhuǎn)。

1.4 安全需求

4A平臺的安全性和可靠性設(shè)計(jì)以國家相關(guān)技術(shù)標(biāo)準(zhǔn)為依據(jù)，充分考慮電網(wǎng)信息化建設(shè)的現(xiàn)狀，從軟件系統(tǒng)本身安全、系統(tǒng)部署安全、物理與環(huán)境安全、網(wǎng)絡(luò)安全、操作系統(tǒng)安全、數(shù)據(jù)庫安全、系統(tǒng)內(nèi)部安全、策略安全、人員安全等多個(gè)角度入手，進(jìn)行整個(gè)安全體系的設(shè)計(jì)和規(guī)劃。安全性設(shè)計(jì)方案不僅要可以支持4A平臺提供全年365天、每天24小時(shí)的不間斷服務(wù)，還需要有提供數(shù)據(jù)備份與數(shù)據(jù)恢復(fù)功能，確保數(shù)據(jù)正確、完整；同時(shí)，統(tǒng)一用戶管理平臺應(yīng)具備進(jìn)行故障診斷、定位、備份、恢復(fù)等功能。

2 統(tǒng)一用戶信息管理服務(wù)框架設(shè)計(jì)與實(shí)現(xiàn)

本文設(shè)計(jì)的統(tǒng)一用戶信息管理服務(wù)系統(tǒng)是以用戶身份集中管理的思路為核心，可以在一點(diǎn)對用戶的身份和權(quán)限進(jìn)行集中的管理，降低管理的成本。本系統(tǒng)是采取的從分散到集中的管理思路，將過去分散到各個(gè)業(yè)務(wù)系統(tǒng)中的用戶采取一個(gè)系統(tǒng)進(jìn)行集中的管理，并提供適配器接口使業(yè)務(wù)系統(tǒng)和此系統(tǒng)的信息相同步。具體的設(shè)計(jì)方案是：從數(shù)據(jù)資源管理平臺獲取用戶信息，生成主賬號。提供數(shù)據(jù)同步接口實(shí)現(xiàn)與網(wǎng)絡(luò)設(shè)備、主機(jī)系統(tǒng)以及應(yīng)用系統(tǒng)的賬號同步。使用關(guān)系型數(shù)據(jù)庫用于存儲內(nèi)部和外部用戶的所有用戶信息，包括所管理的應(yīng)用系統(tǒng)信息，以及用戶在各應(yīng)用系統(tǒng)下的所有從賬號、從賬號與主賬號的對應(yīng)關(guān)系等。使用目錄服務(wù)系統(tǒng)用來發(fā)布用戶屬性信息，供應(yīng)用系統(tǒng)調(diào)用，目錄服務(wù)系統(tǒng)采用“分散+統(tǒng)一”的部署模式，即在總部和各個(gè)下級單位分別部署單獨(dú)的目錄服務(wù)系統(tǒng)，實(shí)現(xiàn)本地用戶數(shù)據(jù)的發(fā)布。同時(shí)集成PKI/CA系統(tǒng)實(shí)現(xiàn)用戶賬號和數(shù)字證書的一體化全生命周期管理?？梢赃m應(yīng)電網(wǎng)公司復(fù)雜的業(yè)務(wù)流程或安全策略設(shè)置、管理的需要。

統(tǒng)一用戶信息管理服務(wù)系統(tǒng)具體框架結(jié)構(gòu)圖1所示，平臺分為五個(gè)子系統(tǒng)，分別為身份管理系統(tǒng)，權(quán)限管理系統(tǒng)、訪問控制系統(tǒng)、審計(jì)系統(tǒng)和目錄服務(wù)系統(tǒng)。并通過多種類型的標(biāo)準(zhǔn)數(shù)據(jù)源連接器實(shí)現(xiàn)多業(yè)務(wù)/應(yīng)用系統(tǒng)的用戶身份數(shù)據(jù)整合，并通過部署在用戶客戶端的統(tǒng)一認(rèn)證接口，為用戶提供多應(yīng)用系統(tǒng)的安全的統(tǒng)一認(rèn)證、統(tǒng)一授權(quán)和單點(diǎn)登錄服務(wù)。下面對其中的主要模塊的實(shí)現(xiàn)進(jìn)行介紹：

2.1 身份管理模塊

2.1.1 用戶自助服務(wù)模塊

該模塊提供用戶自助更新信息更新、密碼管理、賬號管理以及行為日志記錄查詢等功能，用戶可通過圖形界面自助完成相關(guān)管理操作。

2.1.2 身份認(rèn)證服務(wù)模塊

該模塊以統(tǒng)一的用戶管理、統(tǒng)一的授權(quán)管理為基礎(chǔ)，為應(yīng)用系統(tǒng)提供身份認(rèn)證的功能，做到只有通過統(tǒng)一認(rèn)證系統(tǒng)驗(yàn)證的用戶才可以訪問后臺的應(yīng)用系統(tǒng)。

2.1.3 身份管理服務(wù)模塊

該模塊是在企業(yè)內(nèi)部建立統(tǒng)一的用戶視圖，完成各應(yīng)用系統(tǒng)的用戶信息整合，實(shí)現(xiàn)用戶生命周期的集中統(tǒng)一管理，并建立平臺與各應(yīng)用系統(tǒng)的用戶身份信息同步機(jī)制，簡化用戶及其賬號的管理復(fù)雜度，降低系統(tǒng)用戶管理的安全風(fēng)險(xiǎn)。

2.2 訪問控制模塊

2.2.1 訪問控制服務(wù)模塊

該模塊是4A平臺的核心服務(wù)功能之一。平臺可以將接入的應(yīng)用系統(tǒng)作為資源進(jìn)行管理，并通過建立資源與用戶、角色之間的關(guān)聯(lián)，實(shí)現(xiàn)系統(tǒng)級的訪問控制。同時(shí)，平臺能支持基于角色的授權(quán)模型，支持對用戶進(jìn)行分角色管理，針對不同角色設(shè)定訪問權(quán)限，靈活的實(shí)現(xiàn)用戶的訪問控制功能。

2.2.2 授權(quán)管理服務(wù)模塊

該模塊提供管理及訪問控制功能，對用戶使用信息系統(tǒng)資源的具體情況進(jìn)行合理分配，實(shí)現(xiàn)不同用戶對系統(tǒng)不同部分資源的訪問控制。通過該系統(tǒng)，管理員可以對各管理對象進(jìn)行授權(quán)，而不需要進(jìn)入每一個(gè)被管理對象。

3 結(jié)語

綜上所述，本文就電網(wǎng)公司用戶統(tǒng)計(jì)信息管理存在功能單一、體系不規(guī)范、用戶難以集中管理等問題提出了統(tǒng)一用戶信息管理服務(wù)框架，建設(shè)部署4A管理平臺，采集用戶信息，創(chuàng)建用戶賬戶，建立用戶資源庫，完成平臺與PKI/CA系統(tǒng)集成，制定標(biāo)準(zhǔn)規(guī)范，指導(dǎo)系統(tǒng)開發(fā)、管理和應(yīng)用，滿足了一定的非功能性需求，具有較高的應(yīng)用價(jià)值。

參考文獻(xiàn)

[1]Anindya Ghose，Sang Pil Han.Estimating demand for mobile applications in the new economy[J].Management Sciences 2014，60（06）：1470-1488.

[2]嚴(yán)廣學(xué).基于中國移動4A規(guī)范的認(rèn)證中心子系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)[D].北京：北京交通大學(xué)，2010.

[3]高鵬，曾智翔，李偉寧.海南電網(wǎng)4A平臺關(guān)鍵技術(shù)和建設(shè)經(jīng)驗(yàn)分析[J].華電技術(shù)，2013（08）：54-56.

[4]熊冬青.4A統(tǒng)一安全平臺設(shè)計(jì)方案[J].廣東通信技術(shù)，2012，32（04）：22-24.

作者單位

云南電網(wǎng)有限責(zé)任公司信息中心 云南省昆明市 650217