![点击分享此内容可以赚币 分享](/master/images/share_but.png)
中国移动SunOnePortal门户系统安全配置手册模板.doc
《中国移动SunOnePortal门户系统安全配置手册模板.doc》由会员分享,可在线阅读,更多相关《中国移动SunOnePortal门户系统安全配置手册模板.doc(33页珍藏版)》请在咨信网上搜索。
1、密 级:文档编号:项目代号:中国移动SunOne Portal安全配置手册Version 1.0中国移动通信二零零四年十二月拟 制:审 核:批 准:会 签:标准化:版本控制版本号日期参与人员更新说明分发控制编号读者文档权限和文档关键关系1创建、修改、读取负责编制、修改、审核2同意负责本文档同意程序3标准化审核作为本项目标标准化责任人,负责对本文档进行标准化审核4读取5读取目 录第一章SunOne Portal安全概述61.1SunOnePortal介绍61.2工作原理71.2.1安全接入81.2.2用户身份认证和授权:91.2.3资源访问控制91.2.4集中信息存取101.3功效和定位101.
2、4特点和不足11第二章3A服务122.1身份认证(Authentication)122.2授权(Authorization)132.3安全管理(Administration)142.3.1用户管理142.3.2资源管理152.3.3Directory Server管理17第三章SunOne Portal资源访问控制193.1Portlet访问其它应用系统方法193.2Porlet和Container203.3用户、组织、角色203.4Service和Policy 应用:213.5访问控制资源223.6Degelated Administrator243.7用户化用户登录验证模块253.8使用S
3、SL访问SunOne Portal28附录 术语表31第一章 SunOne Portal安全概述1.1 SunOnePortal介绍SunOne Portal是Sun企业为企业提供信息门户处理方案产品,它是基于C/SWeb架构,能够满足B2B, B2C, B2E企业信息平台要求。SunOne Portal能够对企业各个应用系统进行整合展现,能够依据用户需要进行内容定制和个性化展现。它能够对企业各应用系统资源进行统一管理,对各系统用户进行统一管理,能够按用户权限对资源进行分配,实现SSO单点登录。SunOne Portal标准配置产品包含:SunOne WebServer, SunOne Ide
4、ntity Server, SunOne Directory Server, SunOne RemoteAccess. Mobile RemoteAccess(这里介绍技术是依据Portal Server 6.2)。SunOne WebServer: 它是Web服务器, 为Portal应用提供java运行环境。支持SSL加密通讯。SunOne Identity Server:它是SunOne 认证服务器,为Portal提供认证服务,包含身份认证,授权服务,单点登录服务。SunOne Directory Sever: 它是SunOne目录服务器,为Identity Server、Portal s
5、erver提供信息存放服务:包含用户信息,访问配置信息,认证信息,权限信息和portal配置信息。SunOne Portal Remote Access: 它为Portal Server提供外网接入服务。是用户由外网访问Portal反向代理,支持SSL访问协议。Mobile Remote Acess:提供支持WAP协议手持设备访问服务。1.2 工作原理 下图是江苏移动统一信息平台首页:在这个页面中,用户经过登陆到江苏移动统一信息平台访问到OA系统,经营分析等系统提供功效,这些系统功效是经过统一信息平台展现给用户。 Portal信息是以Portlet为最小单位展现给用户,每个portlet全部为
6、用户提供对应功效。在页面上,多个porlet组成了Tab页面用户能够经过点击Tab链接进入到相关专题页面。Portal开发关键包含以下多个方面:1 集成内容开发;确定要集成内容和方法。完成由Portal到其它系统单点登录,数据抽取和展现工作。2 Portlet和页面开发、布署。Porlet是内容展现。Tab页是多个Portlet聚合在一起页面。它们开发是根据用户对界面需求来进行。3 用户、组织、角色信息和服务(service)信息建立。在Identity Server上建立用户信息、组织、角色信息及服务信息。服务包含很多个类,我们常见是桌面服务(desktop service),我们依据用户需
7、要建立不一样内容桌面服务。4 Desktop Service分配。根据需求将不一样桌面服务分配到不一样组织、角色、用户中去。下面着重介绍SunOnePortal安全方面特征:下图是一个经典经过Remote Access访问Portal系统拓扑示意图:SunOnePortal安全性包含四个方面: 一,安全接入,二, 用户身份认证和授权。三,Portal资源访问控制。四,集中信息储存。1.2.1 安全接入安全接入是确保访问用户和server之间,提供不一样服务server和server之间传输数据不被监听,窃取和窜改。而且确保Portal服务器对终端用户开放服务仅仅限于http或https服务端口
8、。对于用户经过外网访问portal,要先经过RemoteAccess组件,这之间访问协议通常配置成SSL, 企业职员在企业DMZ区访问Poral,访问协议也支持SSL。 而在Portal服务器和Directory Server之间访问一样支持ldap协议上SSL。这么就确保从用户到RemoteAccess,从Portal到Directory Server之间信息传输安全性。RemoteAcess通常是布署在企业DMZ区,通常有两块网卡,一个连接到Internet,另一块连接到企业内部网。企业职员假如从外网访问Portal Server服务, 键入是RemoteAcess所提供网页地址,Remo
9、teAcess经过对URL地址重写,将以用户请求转发给Portal Server来处理并将结果转发给用户。1.2.2 用户身份认证和授权:用户访问Portal身份认证和授权是由Identiy Server来完成。当用户访问Portal服务时。IdentityServer首先截获用户请求。当检测到用户没有被认证过后,Idnetity Server就会将用户转向到登录界面。要求用户输入用户名和密码。在用户提交用户名和密码后。IdentityServer会到Directory Server用户列表中去匹配,假如验证经过,IdentityServer就会将用户组织信息角色信息取出来,放在session
10、中, 并对用户要访问Portal桌面进行进行权限匹配,假如该职员有权进行访问。则IdentityServer就将用户重定向到Portal服务页面。而Portal则依据用户在session中存放用户桌面服务信息来组织页面。1.2.3 资源访问控制Portal作为一个集成平台。所集成系统是经过Web页面来展现给终端用户。页面上信息展现单位是Portlet, Tab页是多个portlet集合。对于不一样组织,角色用户来说她们权限是不一样,经过Portal访问到应用系统也不一样。用户看到portlet、Tab页全部不会相同。其次Portlet和Tab组织,能够依据用户需求。根据组织,角色进行定制。在S
11、unOnePortal中控制不一样Portlet组合、页面组合。不一样权限用户页面就是不一样Tab页和porlet组合。这些组合(包含属性信息)是存放在Desktop Profile文件中,是用户、组织、角色属性。在开发过程中,我们要开发这些Tab页和portlet,来将其它系统集成在portal上。 再依据需求对组织desktop profile,角色desktop profile或用户个人desktop profile进行定制,以完成个性化,角色化、组织化桌面资源展现。1.2.4 集中信息存取Direcotry Server是Portal平台关键组成部分。它为Portal提供信息存放服务。
12、Portal全部配置信息;用户,组织,角色等信息全部存放在 Directory Server中。 Portal和Directory Server之间通讯是LDAP协议,或基于LDAPSSL协议。在安装过程中,DirecotryServer为Portal提供一个访问用户,这个用户用于建立和维护Potal全部配置信息和用户等信息。用户名密码是以加密形式储存在Portal配置文件中。1.3 功效和定位SunOne Portal是一个企业级信息门户平台。这个平台为提供给企业以下功效:1 为企业各个应用系统提供内容聚合展现平台:企业各个应用系统往往全部是各自独立。用户在访问它们时候,要做很多反复登陆操作
13、。Portal经过实现对各个应用系统内容聚合展现, 使得用户经过一个平台就能够访问到多个系统, 这么大大方便用户。经过这么整合展现,提升了各应用系统之间信息关联性和共享性。 SunOne Portal为企业建立了一个信息交流和共享平台,一个协同工作平台。这是Potal最大优点。2 实现单点登陆,提升安全性:用户登录Portal以后,访问其它系统无需再次输入用户名/密码。这首先方便了用户使用。其次也提升了系统安全性,因为记忆和使用多个用户名和密码这会在客观上给系统带来不安全性。Portal功效之一是将各应用系统用户名和密码进行整合。使用Portal对它们进行统一管理。3 实现统一用户管理,建立集
14、中用户资源信息:对于不一样应用系统,用户信息往往也是分散而各自独立。伴随企业信息化建设深入。系统之间关联性愈来愈关键。用户信息不一样往往给信息共享和交换带来很大不便,同时多个用户名管理和维护也给企业带来安全上隐患。Portal经过建立统一集中用户信息。为企业其它应用系统提供了统一集中目录信息服务。为了兼容其它用户系统,SunOne Portal能够经过Meta Directory Server软件,实现和现有系统用户信息同时。经过对IdentityServer职员信息管理,就能够实现对各个应用系统用户管理。这么集中管理, 免去了分散管理所带来弊端, 增强了用户信息集中性和利用率,也为企业职员信
15、息化管理建立了一个统一、标准平台。 1.4 特点和不足SunOne Portal 作为企业门户网站处理方案,它实现了标准电子商务体系结构。它所提供关键产品,为用户提供了含有高度可伸缩门户网站基础结构。用户在这个基础上能够做更深入扩展:将更多应用系统集成进来。实现应用集成,信息共享,协同工作等功效。在技术层面上看,SunOne Portal是web应用系统。SunOne Portal Server和Identity Server是遵照J2EE标准来开发、实现。所以它们能够布署在诸如WebLogic, WebSphere, SunOne Application等应用服务器上,这么能够有效利用用户现
16、有资源,有充足灵活性。SunOne Portal以SunOne Directory为目录服务器,这种目录服务器在同类产品中含有优异性能。SunOne Poratl产品组件少,结构清楚,功效相对简单实用。Portal开发相对轻易,能够为用户节省投入成本。SunOne Portal作为SunOne门户处理方案产品和业界其它产品比较。功效相对简单,产品线比较短。 SunOne Identity Server.功效比较单一。实现功效比较有限。在Poral用户管理方面,SSO方面,实施人员要做一定开发工作。第二章 3A服务 3A 是指authentication,authorization,admini
17、stration。SunOne Portal组件:SunOne Identity Server所提供服务就涵盖这三个方面:2.1 身份认证(Authentication)1 Anonymous访问, 我们严禁使用匿名访问方法。2 需要认证访问,Identity Serverz支持认证方法包含:Certificate-basedLDAP,Membership (Self-Registration), NT, Radius, SafeWord, Unix。 对应不一样认证方法,我们需要不一样软件/硬件相配和。 我们只采取LDAP认证方法, 即用户用户名和密码是配置在目录服务器中,Identity
18、Server将用户输入用户名和密码和目录服务器中相比来判定是否许可用户是否能够登录。在配置中,我们需要指定目录服务器访问地址,访问帐号和密码(密码是加密保留)。Identity Server采取基于加密算法token字符串,作为标识用户方法:当用户访问由IdentityServer 所保护Web应用时,如Portal,Identity ServerAgent就会将请求截获,并转发给Identity Server做认证。Ientity Server从用户Cookie中取出token串,来作验证,假如用户没有Token串或验证没有经过,IentityServer就会将用户重定向到Ientity S
19、erver认证界面。请求用户输入用户名和密码。只有当验证经过时,Ientity Server会将用户原先请求转向到它访问应用页面去。Identity Server多个认证方法能够应用到不一样组织,角色,甚至是不一样策略服务全部能够支持不一样认证管理方法。2.2 授权(Authorization)权概念在 Identity Server中是以service 来表现。如:desktop service。不一样desktop service,就是不一样porlet组合和展现。管理者将不一样desktop service 分配给不一样用户,那么用户登录到Portal以后看到就是不一样桌面内容服务。假如
20、用户没有desktop service服务,她就不能看到桌面内容。Identity Server对用户授权是多等级:不一样组织,角色,用户全部能够有自己Service。 而对于隶属于给定组织或角色用户来说,service是有继承关系。对于多层组织架构来说,service也是一样含有继承性。这就方便了权限管理。无须将Service一个一个付给用户。下图是CMCC组织下所拥有service:个人desktop serviceices以下图所表示:2.3 安全管理(Administration)Administration管理是Identity Server对用户和资源管理,和Directory S
21、erver管理。2.3.1 用户管理用户管理包含对用户(user)管理,用户组(group)管理, 组织(organization)管理, 角色(role)管理,策略(policy)管理。这些任务能够由管理员(amadmin)来进行,也能够由指定组织(organization)管理员来进行。l 用户管理:管理员能够对用户信息(帐号信息,用户姓名,电话等信息)进行增、删、改等操作。用户能够对自己也能够进行修改(不过不可删除)。管理员也能够临时终止用户访问而不删除她,也能够在Session Status链接查找是否该用户在线及其在线使用情况。管理员能够为用户设定初始密码,用户登录后,要主动更改其登
22、录Portal Sever密码。密码位数应该在8位以上,严禁采取password,和用户名相同密码等常见密码。并要求用户定时修改自己密码。l 组(group)管理是对一组用户集合。组划分能够依据用户共同特征,功效,或爱好。它能够为应用系统提供分组用户信息,方便使用。l 组织(organization)管理它是根据用户组织架构信息,来对应建立用户组织信息。在其组织下建立用户信息。对应组织,超级管理员能够将对该组织管理权限分配给其组织特定用户。这么,该用户就有了对其组织下人员管理权限,还包含属于该组织服务配置,认证管理等权利。组织管理是多层。符合实际情况,我们能够在组织下边再建立组织。l 角色管理
23、(role)角色管理是相同于组、组织管理。一个用户能够属于多个角色,角色中能够有不一样服务(service), 不一样策略(policy)。 不一样用户不一样桌面展现我们是经过role来设定。2.3.2 资源管理l 服务管理(Service)在portal环境中,我们关键是对desktop service来进行管理。Desktop service 中能够定义用户首页,各个页面位置和Tab页中Portlet组合,页面属性,Portlet属性等等。以下图所表示:首页(SY)是desktop service一个属性。l 策略管理(Policy)策略管理是用于保护基于web应用服务。我们能够对所集成w
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 中国移动 SunOnePortal 门户 系统安全 配置 手册 模板
![提示](https://www.zixin.com.cn/images/bang_tan.gif)
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【w****g】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【w****g】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。