IAM系统平台简要介绍

IAM系统平台简要介绍2015.3IAM平台介绍需求分析架构介绍实施过程……身份管理和访问控制面临的挑战用户账号不统一，没有实现账号之间的信息同步；一个账号多人使用；在员工离职、换岗过程中无法对账号变更进行及时有效的管理。用户身份认证相对独立，没有统一规划；各个信息系统访问控制独立，没有建立统一的单点登录体系；大多数系统采用账号与口令认证方式，安全强度低；所有授权管理和访问控制缺少完整性、真实性、抗抵赖性等安全信任保障。用户管理分散，管理的流程各自独立，缺少一套用户身份管理系统；账号和员工没有对应关系，账号以通用的名称作为用户名身份管理和访问控制面临的挑战1，用户提出帐号申请2，不同的申请处理流程3，策略、角色安全合规检查4，审核批准5，服务请求流转6，系统管理员手工创建帐号7，用户开始使用帐号审计信息丢失请求积压请求延迟处理不断增长的资源策略检查不合规申请信息不完善身份管理和访问控制需求身份管理需求提供用户身份信息的集中管理和用户账号信息的统一与同步功能；提供全生命周期的用户信息管理，包括注册、审批、修改、禁用、删除等流程化的操作；提供支持全局唯一的用户身份标识功能；提供支持多重身份的对应关系及属性连接功能；提供支持多种业务平台的账号管理连接功能；提供唯一用户身份管理端口功能，实现自动化用户信息更新；提供系统用户自助服务访问控制需求与各信息系统集成，为信息系统提供统一身份认证及授权功能；提供多种认证方式的连接和集成；提供单点登录SSO功能提供基于策略的访问控制支持大规模用户信息存储及访问支持分级授权系统框架设计集中身份和权限管理用户管理员运维审计统一认证授权获取认证请求获取身份信息认证服务数字证书验证动态口令验证静态口令验证获取权限信息权限判定服务日志记录报表集中身份管理身份信息管理流程身份信息配给身份信息一致性检查静态口令管理日志记录报表统一身份存储统一认证所需身份信息鉴别信息存储与查询集成接口用户管理接口统一认证接口统一授权接口集中审计接口应用系统SAPPBS知识管理IT基础设施KOADominoSMS根据以往实施经验得到的建设需求与功能需求，结合对身份管理与认证权限管理框架，企业用户身份和认证访问管理系统框架如右图所示：PortalMailOA主机网络数据库系统逻辑框架...防火墙防火墙C/S业务系统Server业务系统Server业务系统ServerC/S系统访问管理服务器Server统一身份认证单点登录服务器Server第三方认证服务器认证统一身份认证策略服务器ServerInternet/IntranetHTTP/HTTPSHTTPHTTPSHTTPHTTPSHTTPHTTPSHR系统Server防火墙统一身份认证LDAP服务器Server统一用户管理服务器ServerLDAP账号同步账号供应业务系统账号供应隔离区内部网络HTTPHTTPS浏览器ServerLDAP账号供应认证认证策略同步用户身份全生命周期管理集中的、主动的、基于策略的账号管理身份注册角色分配账号分配访问授权身份清理账号中止帐号访问操作审计用户岗位变化用户身份管理逻辑流程用户目录用户身份管理系统系统管理员业务系统/设备管理员审批流程账号同步适配器用户身份管理用户同步工具原始用户信息（HR、OA等）业务系统审计系统访问控制逻辑架构用户目录访问授权策略库Web浏览器统一访问认证服务器系统资源访问管理服务器AIXLinux企业级服务总线系统票据管理系统农村服务金融系统……票交系统中间业务平台强认证服务器审计系统业务系统资源用户身份管理用户授权逻辑架构访问授权策略库账号信息回收账号和角色信息同步业务/主机/系统管理员业务人员用户目录统一访问认证主帐号授权从帐号授权账号同步工具实体内鉴权审计系统集中的审计中心哪些人访问了系统？具体时间段访问量的大小?今天上午有多少人访问邮箱？上个月有多少人进行了账号申请？具体权限？管理员上周的账号操作都有哪些？谁审批了我的流程？有哪些不合规的操作？系统中有哪些警告？系统架构设计-身份管理和访问控制信息流图例用户管理员运维审计统一认证授权获取身份信息HTTP/HTTPS过滤认证服务集中身份管理集成接口用户管理接口统一认证接口统一授权接口集中审计接口应用系统SAPPBS知识管理IT基础设施KOADominoSMS获取身份信息获取权限信息权限判定服务访问信息流身份信息流鉴别信息流LDAP服务LDAP管理目录服务关系数据库身份管理服务身份管理应用集中身份管理数据库OAMail信贷UnixNetworkDB根据现状与需求分析得到的建设需求与功能需求，结合对身份管理与认证权限管理技术的选择，我们可以进一步细化和充实系统框架，从而设计出身份管理与认证平台的功能架构。项目实施思路测试环境部署与实施帐号梳理和建立企业目录测试环境准备与搭建身份管理和访问控制组件开发和测试应用集成测试和联调生产环境部署与实施生产系统部署数据初始化身份管理和访问控制组件开发和测试应用集成测试和联调系统培训运行和维护生产环境试运行系统正式运行系统总体架构设计总体逻辑架构设计总体部署架构选择系统高可用性设计帐号生命周期管理设计帐号管理策略设计密码管理策略设计LDAP架构规划帐号命名规则设计数据初始化策略设计认证和授权设计认证和授权策略设计应用集成方案设计帐号同步方案设计单点登录方案设计帐号管理调研和分析调研人员、组织机构应用系统、主机系统帐号信息确定组织权威用户数据源分析应用、主机帐号数据和权威数据的差异功能性需求定义帐号管理访问控制授权管理审计管理非功能性需求定义系统高可用性需求可扩展性需求可维护性需求可操作性需求需求定义系统设计系统部署TIM(TivoliImplementationMethodology)实施方法论支撑项目管理（项目管理方法论支撑）项目实施规划(案例，仅供参考)M12M9M8M7M6M5M4M3M2M1需求分析与设计用户管理和访问控制集成测试与二次开发系统集成联调测试系统投产部署试运行项目管理需求调研与分析系统架构设计测试环境搭建用户身份管理集成&开发测试联调测试系统试运行时间管理风险管理沟通管理资源管理设计完成开发测试完成用户数据梳理统一认证集成&开发测试生产环境部署生产环境集成上线系统上线项目启动系统验收运行维护