企业移动办公系统解决方案.doc

企业手机办公系统移动信息化解决方案

企业移动办公系统
解决方案

中国移动通信集团浙江有限公司
2012年9月

目 录
1 项目背景 3
1.1 行业背景 3
1.2 需求概述 3
2 设计原则 4
2.1 安全可靠 4
2.2 技术先进 5
2.3 操作便捷 5
3 项目目标 6
3.1 目标描述 6
4 需求分析 6
4.1 需求关键字（以eoffice企业OA为例） 6
4.2 典型功能应用 7
4.2.1 通知公告 7
4.2.2 待办流程 8
4.2.3 OA邮件 9
4.2.4 通讯录 10
5 项目部署方案 11
5.1组网方案 11
5.2接口对接方案 12
5.3安全接入方案 13
5.3.1政企客户内网与外网/专网之间的安全隔离 13
5.3.2防火墙安全访问控制 14
5.3.3 EXMOBI服务器接入移动3G无线网络 14
5.3.4手机通过移动3G无线网络接入EXMOBI服务器 15
5.3.5 SSL加密 16
5.3.6应用系统安全 16
6 适配原理 17
7 项目实施计划建议 19
8 项目保障 20
8.1技术保障 20

1 项目背景
1.1 行业背景
信息化建设为企业管理带来了方便，但随着领导和管理层工作的日益繁忙，突发性事件的不断增多，以往的需要依赖固定办公地点、固定网络和设施的办公模式面临压力，办公信息化寻求一种更加贴身、更为贴心的解决方法。
如何能有效的企业的制度、公告、通知等信息传达到企业人员手上？领导如何能及时掌握并处理企业里的各类问题？如何能在外面就可以及时收发邮件？等等这些问题，制约着企业信息的及时传递和流程的及时处理，这些问题不是通过PC访问OA就能解决的。
ExMobi移动化应用平台能够解决以上问题，使信息化摆脱了对固定办公环境、固定工作时间、固定电脑设备和网络的依赖，将信息化无缝延展到每个人手中。它是对原有信息化的补充，也是对信息化本身的发展和跃变。
1.2 需求概述
1、企业领导事务繁忙，经常在外，需要有一种方式可以实时了解和查询企业部门管理工作的情况。
2、在出现紧急情况时，企业管理人员需要将事情尽快呈报领导，需要有一种可以在瞬间进行多文件、多资料信息传递的沟通工具。
3、企业领导在进行工作指示和计划落实时，经常涉及跨部门协作，需要有一种便捷的途径能通知到所有相关人员。
4、对于重大问题，企业领导之间需要沟通磋商，需要确保领导在外出时也有方法可以参与多方集群会议，完成会议讨论和决策制定。
5、企业领导在外时，需要有一种方式快速有效地处理重要事务，避免由于环境、条件等问题贻误工作。

2 设计原则
2.1 安全可靠
为了保证企业OA系统的网络安全、数据安全和应用安全，移动办公信息系统必须提供完善的安全保障解决方案。经过仔细和全面的考量，我们决定从以下七个角度入手：
1．多重身份验证：为了防止用户密码泄漏后出现的恶意登录，我们可以提供用户名、手机号和密码的三重绑定，保证用户账号和手机号实行绑定。对于更高安全的需求，还可以实现手机机体（SIM卡IMSI号或手机ESN号）与用户账号的绑定。
2．高强度密码和强制密码输入：用户每次登录系统，均需强制输入密码，不允许在手机端保存密码。设置用户密码有效期，超过有效期后，可强制用户修改密码。设置用户密码的长度范围，同时可以设定限制用户密码必须同时包含字母和数字。设置登录错误次数限制，只允许用户每次登录尝试可设定次数的密码，超出规定的次数，将自动在一段时间内中止登录系统，以防止对用户密码的穷举攻击。
3．授权访问：授权是用于决定通过身份验证的一方是否具有访问特定资源的权限，它是身份验证之后的安全控制层。通常，并不是在确认了请求者的身份之后，就表示该请求者具有访问特定资源的正确权限。
4．停用锁止：当用户手机丢失，可报告管理员，由管理员在系统中将丢失手机列入黑名单，系统锁定用户所有的数据，并阻止用户登录。保证用户的机密信息不会泄漏。
5．炸弹消息：当用户丢失手机或手机使用权发生更变的时候，移动办公信息系统可发出炸弹消息，利用炸弹消息清空用户手机中与系统相关的所有资料。
6．离线数据加密：移动办公信息系统手机客户端上保存的离线数据（如邮件、帐户信息、通讯录等）支持128位高强度AES加密存储，确保了数据的保密性和完整性，防止数据被非法获取或篡改。
7．系统日志：用户登录系统并进行操作时，系统将用户登录时间、用户名、操作、浏览或修改的数据以及系统的错误信息等内容进行记录，管理员可以查询系统日志。
2.2 技术先进
在科技进步日新月异的今天，作为一个成功的系统，技术上的先进性和今后的发展潜力是必备的素质。基于在信息建设领域的成功经验，我们推荐采用基于EXMOBI（移动代理服务器）的手机移动办公解决方案，该方案采用中国移动无线网络、短信网关（含短消息资讯平台SMGP系统、ISAG系统）平台，同时结合必要的相关产品与工具，共同构筑整个移动办公信息系统的移动信息化应用。
EXMOBI是中国移动面向政企客户和行业客户推出的移动信息化模式，通过在企业内部机房部署移动办公设备，并结合客户已有的各种应用系统，将这些应用系统从PC终端延伸到手机终端上，向客户提供独享及定制的协同办公解决方案。
目前，国内许多企业机关和企事业单位都采用基于EXMOBI的综合应用作为移动办公系统的基础平台。随着中国移动通信技术的不断创新，它也必将给所有用户提供一个良好的升级和发展前景。
2.3 操作便捷
随着科技发展的日新月异，手机的功能也越来越强大，作为一种大众消费品，手机已成为人们生活中不可缺少的用品。现在的手机已不仅仅是实现打打电话、发发短信这样简单的功能。作为移动办公的操作载体，为了能够与企业OA系统紧密结合，满足实际的办公要求，手机还需要具备操作上的便捷性。
与手提电脑相比，手机终端操作存在着屏幕小，输入不方便的缺点。为了解决这个问题，我们应尽量选择屏幕比较大的机型，这样用户在操作的过程中可以尽量在一屏中了解到更多的信息，不需要频繁的翻屏。其次，我们应针对具体的机型做专门的操作优化，使屏幕布局更为合理，功能键设置更为方便，这样才能起到友好的用户体验，使软件更具人性化。
3 项目目标
3.1 目标描述
通过建设企业OA系统手机移动化应用系统，利用企业工作人员手机客户端实现随时随地的调阅企业的通知公告；对需要自己处理的事务实现随时处理；通过手机实现邮件的新建、回复、转发等邮件功能；通过搜索方式调取文件库，时时方便查找相应文件；通过手机适配的通讯录功能，直接拨打电话或发短信。利用手机通信的便利性，使得企业人员无论身处何种情况下，都能高效迅捷地开展工作，实现真正的移动办公，形成高效、低成本的办公新模式，提高工作效率和服务水平，提高内部监管能力，提升企业的形象。
4 需求分析
4.1 需求关键字（以eoffice企业OA为例）
需求
说明
流程管理
包括办结流程、待办流程、已办流程、流程查询等流程模块的简单处理操作
通知公告
实现公告列表、打开列表和浏览公告的功能。对于公告中的附件，支持浏览。
OA邮件
写邮件、收件箱、发件箱等邮箱分类；实现写邮件及回复转发邮件时能直接选择用户；通过邮件方式实现内部交流需要。
文件库
通过手机可以实现调阅原来的文件，提供搜索功能。
通讯录
将OA系统中的通讯录在手机上体现出来，并能直接发短信及拨打电话。
。。。。。。
。。。。。。

手机界面展示：

电脑上展示的功能模块，在手机上会以快捷菜单方式展示，比如待办事宜、邮件等。通过手机屏幕上的快捷菜单和下面的快捷菜单分类，实现更多图形化菜单功能。
4.2 典型功能应用
4.2.1 通知公告
手机用户可以通过手机终端查看公告通知列表，手机终端会实时显示公告立标，还可以查阅通知详细内容，可以查看公共通知中的附件等office文档，如word、excel、ppt等。

手机上可以以列表、详单、打开附件等多种方式展示。

4.2.2 待办流程
手机用户可以通过手机终端查看待办流程的列表，包含各种审批流程。还可以通过手机进行事务流转签批，如提交，打回，会签，分发等流转流程。审批中可以进行各种签批操作，如输入意见等。

4.2.3 OA邮件
终端提供完善的电子邮件功能，通过手机终端，可以进行收邮件，发邮件，回复，转发，删除等各种操作，还可以进行邮件通知。同时也可以在新建及回复邮件时直接选择通讯录中相关人员。

4.2.4 通讯录
手机实现通讯录功能，直接等同于手机本身的通讯录功能，可以编辑，可以直接调用拨打电话及发短信，在此不在叙述。

5 项目部署方案
5.1组网方案

组网说明：
(1) EXMOBI服务器与业务引擎的连接
EXMOBI服务器通过Internet与中国移动的业务引擎相连。
对于安全性要求很高的机构，可考虑采用网络专线的方式，EXMOBI服务器并不与Internet公网连接，以确保其安全性；
如果安全性要求不是特别高，可考虑采用Internet的方式，以节省成本；安全性上，通过硬件防火墙、EXMOBI服务器内置的软件防火墙来实现安全保障。
(2) EXMOBI服务器与企业OA系统平台的连接
EXMOBI服务器与企业OA系统的各电子信息系统，可以通过DB接口方式、Webservice接口方式等，实现相互之间的数据访问、共享。
(3) 工作人员通过手机客户端对EXMOBI服务器的访问，实现移动办公。
工作人员可以通过手机终端访问EXMOBI服务器，访问方式包括短信、彩信、客户端，真正实现移动办公。
5.2接口对接方案
对于一些非常复杂的业务，或具有非常个性化的特定需求或应用环境的业务，EXMOBI服务器还提供WEBSERVICE接口和DB接口连接方式，供电子信息平台及其它业务系统调用，实现电子信息平台及各种业务系统与数据业务（短信、彩信、WAP、客户端）的紧密集成，达到其他信息系统的移动信息化。下面本文对将最常用，最成熟的对接方式作一个列表介绍。根据内部的IT系统的技术平台特点，项目在具体实施之前，将决定采用其中的一种或多种混合。
接口
说明
数据导入/导出
u EXMOBI服务器中的数据，可以通过手工方式导出，再导入到电子商务平台；电子商务平台的数据导出到文件中后，也可以批量导入到EXMOBI服务器中供EXMOBI服务器使用
DB接口
u 可访问信息系统的数据库，实现对信息系统的数据交互。支持Microsoft SQL Server 2000、Microsoft SQL Server 7.0、Sybase 11.5、Sybase 12.5、IBM DB2 7.x、IBM DB2 8.0、Oracle 8、Oracle 9i 、Infomix、MySQL
u 提供标准数据库接口供信息系统访问，实现信息系统的短信、彩信应用，EXMOBI使用MySQL数据库
WebService接口
u WebService应支持HTTP上的SOAP调用，使行业应用系统可通过HTTP方式与行业应用平台服务器进行通信
API接口
u 提供标准API供信息系统调用。
u 支持C/C++/Java/.Net/PB/Delphi/VB/VC等常用程序开发语言；API支持Linux/Windows/Unix等多种操作系统
5.3安全接入方案
EXMOBI手机移动办公业务的接入及安全主要涉及几个环节的需求：
1）政企客户内网与外网/专网之间的安全隔离需求
EXMOBI服务器除了需要接入移动3G无线网络，一般还需要接入政企内部信息系统网络，以便实现政企现有信息系统的移动化延伸。因此，这里就需要考虑企业内网与移动3G无线网络之间的安全隔离问题。
2）EXMOBI服务器接入移动3G无线网络的需求
EXMOBI服务器部署在企业侧；为了使用移动代理服务器业务，首先需要解决的就是将EXMOBI服务器接入移动3G无线网络的问题。
特别说明，中国移动在受理移动办公业务时，一定会首先为政企客户开通VPN专线，EXMOBI服务器与移动3G无线网络的连接采用的是VPN专线。在传输通道上保证安全。
3）手机客户端通过移动3G无线网络接入EXMOBI服务器的需求
如果用户手机客户端仅仅用于接收/回复短信、彩信、Wappush，则对手机没有特殊要求。大部分情况下，手机用户都有可能需要使用手机客户端登录EXMOBI服务器使用移动办公业务，这时就需要进一步考虑手机到EXMOBI服务器的端到端接入及安全问题。
4）应用系统安全需求
除以上网络传输层安全考虑外，还需要考虑EXMOBI应用系统本身的安全保障。
日常活动中，手机终端是人员随身携带，其“移动性”决定了遗失、被盗用的几率会很高。导致储存在手机本身的数据信息极易丢失和被窃取，所以，需要健全的体制和严密的技术手段来保障手机侧的数据安全性，而且要确保即便在手机遗失的情况下的应急安全措施。
同时，EXMOBI系统是在无线网络和专网的网络环境下搭建的，用户的相关信息都通过移动3G无线网络和外网（业务网络）传输，因此更需要解决诸如身份认证、访问控制、数据保密、数据完整性等应用的安全性问题。

下面详细论述：
5.3.1政企客户内网与外网/专网之间的安全隔离
对于原来已经建设有IT信息系统，部署EXMOBI的目的主要是为了增加移动化的应用。而政企客户一般是不希望也不允许直接将内部原有IT信息系统网络暴露到外部网络/专网上面的，因此如何做好内外网的安全隔离是政企客户关注的一个重点。
针对政企客户的不同要求，我们可提供多种层次的隔离方案。对大多数政企客户来说，防火墙是保证政企客户原有IT信息系统安全的。通过在政企客户内部部署EXMOBI服务器，EXMOBI服务器部署在政企客户防火墙内部。通过防火墙安全访问控制可以达到隔离要求。通过EXMOBI服务器代理政企客户原有IT系统时，EXMOBI服务器和原有IT系统同时在防火墙内部，实现的是内网的交互。
5.3.2防火墙安全访问控制
已经建设有IT信息系统的政企客户一般都会在网络的边界部署有防火墙，利用防火墙灵活的安全访问控制可以有效隔离内外网之间的通信，只有规则允许的访问才能通过防火墙。
在这种情况下可以将EXMOBI服务器部署在政企客户内部边界防火墙的非军事区（DMZ）内，并置于防火墙的安全保护之下。

图 51 防火墙安全访问控制
同时，EXMOBI服务器作为部署在政企内部的一个独立服务器单元，可进一步将其置于政企其他安全系统的保护之下，如通过政企网内现有的入侵检测系统、漏洞扫描系统和网络防病毒系统对EXMOBI服务器制定其安全访问、安全保护的策略和规则。

5.3.3 EXMOBI服务器接入移动3G无线网络
中国移动在开展手机移动办公业务时，根据中国移动的规范要求，目前提供VPN接入方案。
不论政企客户系统是公网、或其他方式，移动都会为政企用户分配VPNIP地址。最终以VPN方式实现EXMOBI服务器与移动网络的互通。这样在3G无线网络与移动内网之间部署了VPN网关。因此，只要企业侧网络能够连通3G无线网络，就能够通过移动VPN网关构建SSLVPN隧道，实现EXMOBI服务器接入移动VPN专网。
下图为VPN接入组网示意图：

图 52 基于移动网络的SSL VPN接入示意图
通过VPN方式接入有以下优点：
l 政企侧防火墙无需为移动办公业务开放任何端口，不会对政企原有IT系统安全造成影响；
l 移动应用服务器不需要占用固定公网IP地址，只要能通过外部终端访问到企业系统即可。
5.3.4手机通过移动3G无线网络接入EXMOBI服务器
移动3G无线网络本身的安全保障
手机客户端无论是通过哪种方式，都是通过3G无线网络进入移动内部网络。
3G具有抗干扰、安全通信、保密性好等特性。
1）保密性能好
3G无线网络具有优异的保密特性。各国广泛使用其作为主要通信手段。经过扩频后的有用信号的频谱被极大延伸，其功率甚至远远低于背景噪声的功率，使得窃听者很难从噪声中发现有信号存在。
2）安全系数高
为区分足够多的用户，同时减少彼此间的相关性，3G为通信保密提供了强大的安全性。首先，伪随机码顾名思义几乎是随机的，很难破解。
3）抗干扰能力强
为了减少对其他用户的干扰，3G系统中采用了快速功率控制，使每个用户到达基站的信号强度维持在基本相同的水平。这样既减少了对其他用户的干扰，又可以适应快速变化的无线环境，保证始终有较好的通信质量。
5.3.5 SSL加密
EXMOBI服务器支持SSL（或者在政企侧部署专门的SSL VPN网关），可以在手机客户端与EXMOBI服务器、PC与EXMOBI服务器之间搭建基于SSL的传输通道，保证数据传输的私密性。

图 53 端到端的SSL加密
5.3.6应用系统安全
1）多重身份验证
对于移动办公业务，可以提供高安全的用户名、手机号和密码的三重绑定，保证用户账号和手机号实行绑定。
对于更高安全的需求，还可以实现手机机体（SIM卡IMSI号或手机ESN号）与用户账号的绑定。
ESN是手机的身份识别码，俗称串码，和手机号码没有关系；IMSI是网络接入识别码，是一个手机号码的唯一身份证明。
当用户的域内SIM卡在PDSN上登录时，PDSN需核对SIM卡的IMEI号码及用户名及密码，正确无误后，将分配域内UIM卡指定的私网IP地址。
当用户开通移动办公业务时，EXMOBI服务器登记其SIM卡的IMSI号，当用户手机登录EXMOBI时，同时对其系统账号和获取到的IMSI号进行匹配验证，同时验证通过后，才能使用EXMOBI业务。
2）高强度密码和强制密码输入
用户每次登录系统，均需强制输入密码，不允许在手机端保存密码；
设置用户密码有效期，超过有效期后，可强制用户修改密码；
设置用户密码的长度范围，同时可以设定限制用户密码必须同时包含字母和数字；
设置登录错误次数限制，只允许用户每次登录尝试可设定次数的密码，超出规定的次数，将自动在一段时间内中止登录系统，以防止对用户密码的穷举攻击。
3）停用锁止
当用户手机丢失，可报告管理员，由管理员在系统中将丢失手机列入黑名单，系统锁定用户所有的数据，并阻止用户登录。保证用户的机密信息不会泄漏。
4）炸弹消息
当用户丢失手机或手机使用权发生更变的时候，综合办公产品可发出炸弹消息，利用炸弹消息清空用户手机中综合办公相关的所有资料。
5）离线数据加密
移动办公产品手机客户端上保存的离线数据（如邮件、帐户信息、通讯录等）支持128位高强度AES加密存储，确保了数据的保密性和完整性，防止数据被非法获取或篡改。
6 适配原理
针对企业已经有使用成熟的IT系统，EXMOBI提供适配中间件ExMobi，根据客户需要，将客户需要移植到手机终端的OA功能与EXMOBI结合起来，方便快速的实现原有IT系统功能的手机终端支持。

适配后将系统界面与手机终端适应。
我们以适配一个OA系统的事务信息页面为代表，编写XSL规则，利用XSL从页面中抽取信息：

进入终端界面，就可以查看到适配后的界面如下：

本系统采用EXMOBI2.0服务器加移动化应用中间件EXMOBI，在界面表现和交互层，客户端基于UIXML语法体系，建立面向对象的控件模型，按统一的处理模型对用户按键、触摸笔点击的响应，界面显示遵循相同的UI规范。对于市面上不同屏幕大小、只有键盘、高分辨率等多种类型的手机终端均做到良好兼容处理。
服务器的软件基于SOA服务框架，以规则执行引擎为中心，其他模块围绕安全、多通道接入、升级、文档预览、推送、缓存、会话管理等问题进行了配合，各部分相对独立，以异步消息方式进行通讯，做到了松耦合的模块间协作。
移动适配服务器一般部署在企业内部，和企业的应用服务器处于一个局域网。为了方便二次开发，移动适配系统提供的SCE开发工具在调试时一般也和移动适配系统服务器连通。
适配应用可以通过手机客户端方式实现，对现在市面上多数品牌和型号的手机都支持。
从主流的智能手机平台Symbian 、Windows Mobile到苹果的iPhone、索爱手机的UIQ & J2ME、摩托罗拉LINUX、科联发MTK、高通CDMABrew、黑莓BlackBerry等。

适配应用可以通过手机客户端方式实现，对现在市面上多数品牌和型号的手机都支持。
7 项目实施计划建议
n 进度计划
根据项目需求、特点及工程进度要求，设计出开发实施计划，保证该系统的顺利实施。依照软件工程标准，系统的开发必须经过系统需求调研及分析，总体设计，软件开发，系统测试，实施与维护等阶段。
n 进度时间表：
保证在4个周内完成开发调试部署工作。
n 需求调研及分析
此阶段的工作主要由项目组中的系统调研小组承担。负责详细调查现有系统中模块功能，调查系统中流程核心配置设计，调查系统连接方式和查询内容，调查终端用户对行业无线应用的详细要求，如界面要求。功能要求等。为系统设计人员提供必要的资料。
n 系统总体设计
此阶段的工作主要由项目组中的分析与设计小组承担。按照用户的要求和手机功能特点和限制，设计规划处理核心流程设计，及针对实现模式而设计的模板。
n 系统开发
此阶段的工作主要由项目组中的软件开发小组承担。负责准确把握系统设计人员的设计思路和设计方案，进行编程开发，将其转化为系统功能，并完成系统内部连调和测试工作。
n 系统测试
此阶段的工作主要由项目组中的测试小组承担。软件测试小组人员将使用标准测试方法对软件开发小组提交的程序进行严格测试，确保软件产品的质量。测试过程应有用户方人员全程参与，以保证测试结果的严肃性。
n 应用软件安装、调测
完成服务器安装、以及软件环境安装及配置；完成系统内部测试工作；完成网络、服务器、系统等系统连调测试工作。
n 系统验收
系统终验是在系统全面实施后对系统应用的效果进行评估，终验的通过标志着软件项目实施的圆满成功。
8 项目保障
8.1技术保障
n 主流邮件系统的全面支持
ExMobi不仅支持pop3/smtp邮件协议，更加支持domino（多米诺）邮箱，exchange邮箱，pop3s/smtps邮件协议，为客户提供了更多的选择性。
n Web2.0技术的全面支持
全面支持javascript,全面支持目前绝大多数的web2.0技术，如各种ajax框架，DWR，JSON，extJS等，大大开拓了ExMobi移动应用平台的应用服务空间，可以为更过的客户提供完善的服务。部分支持简单的activeX控件，能够做简单的应用逻辑的模拟。
n 适配方式多样化，适应性强
不仅支持目前流行的web页面，还支持DB（数据库）方式；webservice方式， FTP方式等多种适配方式，可以在各种环境下对各种协议各种系统进行适配，基本可以做到了无页面级适配，对各种系统有很好的兼容性，是产品的可用性大大增强。
n 辅助开发工具齐全完备
ExMobi提供了一整套的辅助开发工具，SI自管理门户，ExMobi培训教材，项目实际案例，ExMobi开发与运行环境，很大程度上方便了SI的开发难度，极大的缩短了开发时间，提高了开发效率，降低了开发成本。
n 开发难度低，周期短，效率高，成本低
ExMobi通过定义了一套基于XSLT语言的简单的自定义的界面描述语言，是开发门槛大大降低；ExMobi将难度较大的底层通用模块通过封装打包，使得调用复杂强大的模块功能变得异常简单，缩短了开发周期；ExMobi的智能输出功能，日志跟踪系统使得对开发中的错误能够快速排查，有的放矢，提高了开发效率；从而达到了开发成本大大降低的目的。

21