天融信统一信任管理平台（ TOP UTS ）解决方案

天融信统一信任管理平台（TOP UTS）解决方案 www.topsec.com.cn

企业应用系统的效率提升整合大师 在深刻理解用户应用系统整合需求的基础上，针对信息化管理现状，以业务需求为导向，为企业提供基于可信身份的统一信任管理解决方案统一信任管理平台为企业实现： • 业务资源整合 • 统一身份管理 • 安全策略集中 • 符合相关法律、法规

提纲 • 企业信息化现状及需求分析 • 统一信任管理解决之道 • 统一信任管理平台介绍 • 成功案例介绍

一、企业信息化现状及需求分析 企业信息孤岛使得环境越来越复杂，给企业带来很多麻烦！客户供应商 IT管理员离职员工员工合作伙伴局域网决策支持 OA 财务邮件 ERP

一、企业信息化现状分析 麻烦一：密码繁多，不便记忆在企业中，员工往往需要记住超过20个的密码用于系统的访问；严重影响员工的工作效率，同时给信息管理人员造成繁多的工作支持 Frank 财务邮件 OA ERP CRM 其他？？？？？？？？用户名：密码： xiaotian 123456 Xiao_tian 123456 Tian_xiao 123456 Xiao_t 123456

一、企业信息化现状分析 麻烦二：权限混乱，疲于解决网管 David 众多的应用系统，分散在不同的管理部门和人员手中；在人员、职务、权限的变更时，形成大量的管理和安全隐患人力 May 业务系统管理员邮件财务 ERP 其他 OA CRM

麻烦三：权责不清，篱笆效应 面对纷杂的企业信息化现状，各级人员很难全面的了解和享用信息化带来的便利和工作方式的变更，造成人为的隔阂总裁 Jack IT主管 Steven 人力主管 Sherry 业务主管 Jeff 邮件财务 ERP 其他 OA CRM

一、企业信息化需求分析 面对各种麻烦，给企业提出了更高的信息化管控需求统一账户管理需求统一授权管理需求统一认证管理需求统一审计管理需求 • 统一账户管理 • 账号生命周期管理 • 业务系统账号同步 • 统一权限管理 • 授权和访问控制 • 统一门户管理 • 单点登录 • 支持多种认证方式 • 操作行为分析控制 • 强化业务操作 • 责任认定

二、TOP UTS统一信任管理解决之道 统一信任管理系统（TOP UTSV1.0）是一个综合的应用系统管理平台。以PKI/CA技术为核心，实现集中的用户管理、证书管理、认证管理、授权管理和审计等功能，为多业务系统提供用户身份、系统资源、权限策略、审计日志等统一、安全、有效的配置和服务。

二、统一身份管理解决之道 集中管控基础数据的收集和统一账户的创建子系统账户的收集和映射统一门户的建立统一认证和单点登录管理员 David TOP UTS

2、通过安全认证网关实现数据的传输加密，确保数据的机密性和完整性2、通过安全认证网关实现数据的传输加密，确保数据的机密性和完整性 1、可支持证书认证等多种强安全身份认证方式，解决弱口令所存在的安全隐患。二、统一身份管理解决之道安全保障用户 Frank 管理员 David 3、完整的授权及操作行为审计功能，实现行为的可追溯，及时了解掌握系统情况，确保系统、业务的正常运转。 TOP UTS

二、统一身份管理解决之道 用户价值安全性提升审计追溯用户行为基于角色权限控制集中监控和管理用户法规、标准遵从性加强认证方式,实现安全SSO 认证模式可扩展化账号口令规范化软件接口开放化软件接口标准化涵盖身份识别、访问管理和安全审计安全业务推动业务系统优化成本用户层面：系统帐号一次性申请、系统单点登录实现 IT管理层面：用户生命周期电子流程管理、系统整合、统一管理平台降低IT运营成本

三、统一身份管理解决之道 集中用户集中证书身份管理单点登陆访问控制责任界定集中认证集中审计集中授权天融信统一信任管理平台TOP UTS

三、统一身份管理解决之术 TOP UTS系统功能及特点介绍 1 • TOP UTS技术架构 2 • TOP UTS系统功能模块 3 • TOP UTS系统功能介绍 4 • TOP UTS系统特点介绍

三、统一身份管理解决之术 1、TOP UTS技术架构：平台逻辑架构业务逻辑模块系统备份/恢复服务系统运行状态恢复服务审计和日志服务 Grails 框架 Java/Groovy运行环境系统数据库安全操作系统

Mail ERP OA Mail ERP OA 三、统一身份管理解决之道财务软件财务软件应用集群应用集群 1、TOP UTS技术架构：平台典型部署 CA CRM 门户 CRM UTS-GATE 集群 UTS-GATE 集群 RA …… …… GATE 负载均衡内部用户 UTS-M UTS-M 数据源数据源证书应用审计 UTS-M 企业专网 RA RA 移动员工数据源 …… 业务系统 GATE负载均衡分支机构1 分支机构n

三、统一身份管理解决之术 2.TOP UTS功能模块 TOP UTS（统一信任管理平台）平台管理层策略管理权限管理接口管理运行管理备份管理粗粒度授权 SSO 集中制证生命周期登录信息账号接口认证接口审计接口证书接口多认证方式细粒度授权访问行为自动审批身份源管理对象授权认证策略角色管理管理行为生命周期审计管理证书管理授权管理账号管理认证管理动态继承负载均衡有效性检查分组管理日志审计平台接口层证书应用审计平台资源层业务系统应用数据源 CA中心办公系统 AD LDAP RA

三、统一身份管理解决之术 3.TOP UTS系统功能介绍 Ⅰ • 统一账户管理 Ⅱ • 统一证书管理 Ⅲ • 统一授权管理 Ⅳ Ⅴ • 统一认证管理 • 统一审计管理

用户属性管理 用户生命周期管理统一帐户管理组织结构管理账户映射管理数据源管理三、统一身份管理解决之术 3.TOP UTS系统功能介绍 Ⅰ统一账户管理功能

三、统一身份管理解决之术 3—Ⅰ统一账户之数据源管理 • 可提供内部eDirectory存储用户身份信息 • 可从外部LDAP、AD系统导入主身份数据 eDirectory （LDAP） Acitve Directory （AD） • 处理用户身份和账号的数据同步 • 可读写外部数据源数据 • 灵活的策略定制数据源管理层 Driver shim • 支持多应用从账号信息用户自助和批量处理 • 可集中管理各种业务系统 Radius Server 目标系统

三、统一身份管理解决之术 3—Ⅰ统一账户之管理对象用户主账号从帐号资源自然人，包括自然人身份和相关信息与自然人唯一对应，一个主账号只能与一个自然人对应与具体角色对应，每个主账号可以拥有多个从帐号，也就是多种身份角色用户使用或管理的对象，主要是指应用，每个资源上存在一定的功能和权限

三、统一身份管理解决之术 3—Ⅰ统一账户之用户身份属性用户身份信息可信用户标识用户类型用户基本信息机构、岗位职能用户属性信息用户认证信息用户授权信息数字证书员工号姓名性别 ……… 电话工作地址身份证号 ……… 用户名口令 ……… 角色分组资源列表 ……… 主帐号从账号1 从账号2 从账号n

王五李四张三三、统一身份管理解决之术 3—Ⅰ统一账户之主从账户关系从户从账户主帐户从账户从账户主帐户从账户主帐户从账户 OA 从账户从账户财务 ERP CRM

三、统一身份管理解决之术 3—Ⅰ统一账户之生命周期员工入职创建账号证书发放用户生命周期账号属性变更奇虎360 帐户注销员工离职账号归档

三、统一身份管理解决之术 3—Ⅱ统一证书之管理集中证书管理功能主要通过与企业内部已部署RA进行接口集成，以实现单平台多RA的统一管理。 • 主要功能特点 • 证书自动审批、集中制证 • 证书生命周期管理 • 证书有性检查 • 多RA 管理 • 扩展性强

三、统一身份管理解决之术 3—Ⅱ统一证书之支持多种CA建设模式企业本地 ① ② TOP UTS-M 用户数据源集中证书管理 ③ ④ RA 自建 CA 系统 ③ • 证书申请 • 自动审批 • 集中制证 • 证书生命周期管理 • 证书签发 • 证书掉销 CA系统 ⑤ CA系统

三、统一身份管理解决之术 RA RA 分支机构1 分支机构n 3—Ⅱ统一证书之多RA集中管理企业本地 ① ② TOP UTS-M 用户数据源集中证书管理 ③ ④ RA 自建 CA 系统 ③ ③ CA系统 ⑤ …… CA系统 CA系统

三、统一身份管理解决之术 3—Ⅱ统一证书之证书有效性检查应用系统 • 手动导入CRL列表 • 外部CRL联动登录应用 TOP UTS-M 登录门户有效手动导入CRL列表证书管理有效 CRL服务联动 CRL服务

三、统一身份管理解决之术 3—Ⅱ统一证书之RA与TOP UTS系统集成 • 证书处理 • 证书生命周期管理 • 证书审批 • 多种申请模式 • 密钥管理 • 策略管理等 TOP UTS RA完全接管证书管理

三、统一身份管理解决之术 3—Ⅲ统一授权管理传统授权所存在的弊端传统授权 • 系统权限分散：员工的流动及职位的变更，需要更改员工的系统使用权限，而多个系统权限的分散，使管理员工作量增加，且容易带来安全漏洞。 • 应用系统的独立性：各种应用系统都使用独立的登录方式，员工需要记忆所有应用系统的帐号、密码等，逐一登录，给工作带来极大的困扰。 • 集中在一个接口对组/角色进行资源的合理分配。集中授权的过程，就是集中对用户（组/角色）通过何种方式（证书/口令）使用某种资源（应用/功能）的权限的分配 • 通过这种集中授权的管理，有效的屏蔽了传统授权中存在的弊端，提高了管理效率，为企业营造一个安全、便捷的系统使用环境。集中授权集中授权

Group1 Group 三、统一身份管理解决之术 3—Ⅲ统一授权管理之集中授权模型 Manager ….. 授权给角色 …… Assistant …. 授权给组 ..…. 授权给用户 Engineer 组 Web应用系统角色用户

组模块 授权模块角色模块资源管理模块三、统一身份管理解决之术 3—Ⅲ统一授权管理之权限管理模块结构访问控制模块——执行管理权限授权模块——定义管理权限组模块和角色模块（资源使用者）通过授权管理模块的定义，对相应权限进行调用资源管理模块（应用）访问控制模块系统中所有应用资源的集合

应用功能组功能部门组用户用户角色应用角色组角色资源三位一体授权条件三、统一身份管理解决之术 3—Ⅲ统一授权管理之集中授权方式

组授权 • 选中组分派资源 • 选中资源将其分配给组 • 选中角色分派资源 • 选中资源将其分配给角色三、统一身份管理解决之术 3—Ⅲ统一授权管理之集中授权流程图 Admin 应用组/角色角色授权

角色 1 Function1 功能组 Function2 用户1 Function4 角色 2 Function5 功能组用户2 … … 角色 Function 三、统一身份管理解决之术 3—Ⅲ统一授权管理之细粒度架构应用

三、统一身份管理解决之术 3—Ⅲ统一授权管理之继承方式单继承角色A继承于角色B ，则 A拥有B所有的权限静态继承多继承角色A继承于角色B、角色C、角色D，则A同时拥有B、C、D所有的权限循环继承角色A 角色循环继承时，系统可以内部处理，在循环某处断开，不会报错角色B 角色D 角色C

登入系统角色A 口令角色B 角色C 角色A 角色C 证书角色D 三、统一身份管理解决之术 3—Ⅲ统一授权管理之角色继承动态继承用户使用证书登录成功后，其具备的动态角色为角色A、角色B、角色C 用户使用口令登录成功后，其具备的动态角色为角色A、角色C、角色D 角色A继承于角色B、角色C、角色D，用户拥有角色A；角色B的登录方式为口令；角色C的登录方式为口令和证书；角色D的登录方式为证书。

三、统一身份管理解决之术 3—Ⅳ统一认证管理功能单点登录集中认证管理多种用户登录方式认证安全票据管理票据管理策略管理

用户认证方式三、统一身份管理解决之术 3—Ⅳ统一认证之多种认证方式 • 多种认证方式： • -用户名/口令 • -数字证书 • -通行码 • -Windows域认证数字证书 AD域用户名/口令通行码

三、统一身份管理解决之术 3—Ⅳ统一认证之单点登录原理比较标准SAML协议 Form-Based SSO

CRM ERP 邮件三、统一身份管理解决之术 3—Ⅳ统一认证之单点登录实现流程（门户方式） UTS系统单点登录模块门户将认证信息提交单点登录验证，通过后产生票据保存，并从UTS系统获得用户权限信息，将用户访问应用列表交给门户 2 AD域用户访问门户，并提交认证信息 1 门户连接UTS系统产生鉴证SAML断言，将用户重定向至应用网关门户显示用户可访问的应用列表 5 3 数字证书用户点击门户中的应用访问链接 4 门户系统应用网关验证断言，取出用户登录应用的信息，并将用户登录信息注入到应用帐户登录请求中发送给应用 OA 6 用户名/口令应用帐户登录成功，用户进入应用界面 7 通行码用户端 … 应用网关 …

三、统一身份管理解决之术 3—Ⅴ统一审计管理之系统逻辑架构浏览器审计引擎 CA系统管理日志审计分析，实时关联、安全预警 UTS系统通信层认证日志 ERP 审计策略审计信息数据库 CRM 帐号日志日志审计 OA 授权日志操作审计证书日志审计子系统

三、统一身份管理解决之术 3—Ⅴ统一审计管理之系统主要功能 • 系统管理员管理审计 • 数据源操作审计 • 系统配置审计 • 信任源操作审计 • 系统的备份还原审计 • 网关初始化服务审计 • 密钥同步初始化审计 • 口令代填审计 • 用户修改口令服务审计

三、统一身份管理解决之术 4、平台主要特点权威认证，符合法范系统设计开发充分考虑《信息安全等级保护管理办法》、《企业内部控制基本规范》、《中华人民共和国电子签名法》等相关法律法规要求，满足企业业务审计的合规性要求；系统支持权威第三方电子认证服务机构的数字证书，确保业务操作关键环节具有法律效力。功能齐备，方式灵活支持多种访问控制方式和细粒度访问授权；实现账号的统一管理，账号生命周期管理和账号同步；支持负载均衡部署方式，充分满足高并发认证需求；支持灵活的账号绑定方式。

三、统一身份管理解决之术 4、平台主要特点高度集成，易于扩展平台集成了证书注册服务和电子密钥管理，使平台不仅支持证书认证方式，更实现了在统一的平台上对证书的管理，从而提高信息管理部门的服务能力。安全可靠，开放兼容在使用数字证书安全认证方式下，可支持多信任体系并存；平台可兼容用户已有的信任体系。在用户信息化建设过程中，有效的节约了整体的投资成本。支持多种认证方式，包括静态用户名/口令、数字证书、NTLM、Passcode（一次性口令）等；支持CAS,.NET Passport,IBM LTPA等多种实现方式。部署简单，实施快捷即插即用无需进行系统修改；客户端无需安装插件；遗留应用系统无需修改；SAML的实现，为产品的集成、扩展奠定良好的基础；在支持SAML的典型应用可以实现无缝集成。

单向认证 双向认证双向认证单向认证证书审计平台 SSL VPN网关 SSL VPN网关统一身份管理系统 RA系统业务系统 RA系统 LDAP系统 LDAP系统统一身份管理系统业务系统 CA/KMC系统省公司总公司人保财险案例简介证书相关数据帐户相关数据审计信息数据同步数据流向

PICC系统总体框架

天融信统一信任管理平台（ TOP UTS ） 解决方案