中国移动SunOnePortal门户系统安全配置手册

中国移动SunOnePortal安全配置手册第*页共*页密级：文档编号：项目代号：中国移动SunOnePortal安全配置手册Version1.0中国移动通信有限公司二零零四年十二月中国移动SunOnePortal安全配置手册第*页共*页中国移动SunOnePortal安全配置手册3拟制:审核:批准:会签:标准化:中国移动SunOnePortal安全配置手册4版本控制版本号日期参与人员更新说明分发控制编号读者文档权限与文档的主要关系1创建、修改、读取负责编制、修改、审核2批准负责本文档的批准程序3标准化审核作为本项目的标准化负责人，负责对本文档进行标准化审核4读取5读取中国移动SunOnePortal安全配置手册5目录第一章SunOnePortal安全概述......................................61.1SunOnePortal简介.............................................................61.2工作原理.....................................................................71.2.1安全的接入.......................................................81.2.2用户的身份认证和授权:............................................91.2.3资源的访问控制...................................................91.2.4集中的信息存取..................................................101.3功能与定位..................................................................101.4特点和局限性................................................................11第二章3A服务....................................................122.1身份认证(Authentication)....................................................122.2授权(Authorization).........................................................132.3安全管理(Administration)....................................................142.3.1用户的管理......................................................142.3.2资源的管理......................................................152.3.3DirectoryServer的管理..........................................17第三章SunOnePortal资源的访问控制...............................193.1Portlet访问其他应用系统的方式...............................................193.2Porlet和Container..........................................................203.3用户、组织、角色............................................................203.4Service和Policy的应用：...................................................213.5访问控制资源................................................................223.6DegelatedAdministrator.....................................................243.7客户化用户登录验证模块......................................................253.8使用SSL访问SunOnePortal...................................................28附录术语表......................................................30中国移动SunOnePortal安全配置手册6第一章SunOnePortal安全概述1.1SunOnePortal简介SunOnePortal是Sun公司为企业提供的信息门户解决方案产品，它是基于C/S的Web架构，能够满足B2B,B2C,B2E的企业信息平台要求。SunOnePortal能够对企业的各个应用系统进行整合展现，能够根据用户的需要进行内容定制和个性化展现。它能够对企业各应用系统资源进行统一管理，对各系统用户进行统一管理，能够按用户权限对资源进行分配，实现SSO单点登录。SunOnePortal的标准配置产品包括：SunOneWebServer,SunOneIdentityServer,SunOneDirectoryServer,SunOneRemoteAccess.MobileRemoteAccess(这里介绍的技术是依据PortalServer6.2)。SunOneWebServer:它是Web服务器,为Portal应用提供java运行环境。支持SSL加密通讯。SunOneIdentityServer：它是SunOne的认证服务器，为Portal提供认证服务，包括身份认证，授权服务，单点登录服务。SunOneDirectorySever:它是SunOne的目录服务器，为IdentityServer、Portalserver提供信息存储服务：包括用户信息，访问配置信息，认证信息，权限信息以及portal的配置信息。SunOnePortalRemoteAccess:它为PortalServer提供外网接入服务。是用户由外网访问Portal的反向代理，支持SSL访问协议。MobileRemoteAcess：提供支持WAP协议的手持设备的访问服务。中国移动SunOnePortal安全配置手册71.2工作原理下图是江苏移动统一信息平台的首页：在这个页面中，用户通过登陆到江苏移动的统一信息平台访问到OA系统，经营分析等系统提供的功能，这些系统的功能是通过统一信息平台展现给用户的。Portal的信息是以Portlet为最小单位展现给用户的，每个portlet都为用户提供相应的功能。在页面上，多个porlet组成了Tab页面用户可以通过点击Tab链接进入到相关主题的页面。Portal的开发主要包括如下几个方面：1．集成内容的开发；确定要集成的内容和方式。完成由Portal到其他系统单点登录，数据抽取和展现的工作。2．Portlet和页面的开发、部署。Porlet是内容的展现。Tab页是多个Portlet聚合在一起的页面。它们的开发是按照用户对界面的需求来进行的。3．用户、组织、角色信息和服务（service）信息建立。在IdentityServer上建立用户信息、组织、角色信息及服务信息。服务包括很多种类，我们常用的是桌面服务（desktopservice），我们根据用户中国移动SunOnePortal安全配置手册8的需要建立不同内容的桌面服务。4．DesktopService的分配。按照需求将不同的桌面服务分配到不同的组织、角色、用户中去。下面着重介绍SunOnePortal的安全方面的特性：下图是一个典型通过RemoteAccess访问Portal系统的拓扑示意图：SunOnePortal安全性包括四个方面:一,安全的接入，二,用户的身份认证和授权。三，Portal的资源访问控制。四，集中的信息储存。1.2.1安全的接入安全接入是保证访问用户和server之间，提供不同服务的server和server之间传递的数据不被监听，窃取和窜改。并且保证Portal服务器对终端用户开放的服务仅仅限于http或https的服务端口。对于用户通过外网访问portal，要先通过RemoteAccess组件，这之间的访问协议通常配置成SSL，企业员工在企业DMZ区访问Poral，访问协议也支持SSL。而在Portal服务器和DirectoryServer之间的访问同样支持ldap协议上的SSL。这样就确保从用户到RemoteAccess，从Portal到DirectoryServer之间的信息传递的安全性。中国移动SunOnePortal安全配置手册9RemoteAcess通常是部署在企业的DMZ区，通常有两块网卡，一个连接到Internet，另一块连接到企业的内部网。企业员工如果从外网访问PortalServer的服务,键入的是RemoteAcess所提供的网页地址，RemoteAcess通过对URL地址的重写，将以用户的请求转发给PortalServer来处理并将结果转发给用户。1.2.2用户的身份认证和授权:用户访问Portal的身份的认证和授权是由IdentiyServer来完成的。当用户访问Portal服务时。IdentityServer首先截获用户的请求。当检测到用户没有被认证过后，IdnetityServer就会将用户转向到登录界面。要求用户输入用户名和密码。在用户提交用户名和密码后。IdentityServer会到DirectoryServer的用户列表中去匹配，如果验证通过，IdentityServer就会将用户的组织信息角色信息取出来，放在session中，并对用户要访问的Portal桌面进行进行权限匹配，如果该员工有权进行访问。则IdentityServer就将用户重定向到Portal的服务页面。而Portal则根据用户的在session中存储的用户桌面服务信息来组织页面。1.2.3资源的访问控制Portal作为一个集成平台。所集成的系统是通过Web页面来展现给终端用户的。页面上信息的展现单位是Portlet，Tab页是多个portlet的集合。对于不同组织，角色的用户来说他们的权限是不同，通过Portal访问到的应用系统也不同。用户看到的portlet、Tab页都不会相同。另一方面Portlet和Tab的组织，可以根据用户的需求。按照组织，角色进行定制。在SunOnePortal中控制不同Portlet组合、页面组合。不同权限用户的页面就是不同的Tab页和porlet的组合。这些组合（包括属性信息）是存放在DesktopProfile文件中的，是用户、组织、角色的属性。在开发过程中，我们要开发这些Tab页和portlet，来将其他系统集成在中国移动SunOnePortal安全配置手册10portal上。再根据需求对组织的desktopprofile,角色的desktopprofile或用户个人的desktopprofile进行定制，以完成个性化，角色化、组织化的桌面资源展现。1.2.4集中的信息存取DirecotryServer是Portal平台的重要组成部分。它为Portal提供信息存储服务。Portal所有的配置信息；用户，组织，角色等的信息都存储在DirectoryServer中。Portal和Dir