吉大正元身份证认证网关

产品介绍

支持多种身份认证模式

在认证凭据类型上，系统支持通过数字证书、用户名口令等多种凭据进行身份认证的功能。针对用户名口令认证方式，系统支持通过本地、吉大正元统一用户管理系统（JIT UMS）Windows AD 等方式进行用户认证。在用户接入方式上，支持传统的固网 PC 终端的身份认证，同时支持移动办公模式下使用智能终端远程接入的身份认证需求。

灵活的鉴权和访问控制机制

应用访问控制

身份认证网关引入权限控制模板机制，管理员可以通过配置策略模板，授权用户对业务系统的访问。支持模板复用，同一个模板可以授权到多个业务系统，简化管理员配置。访问控制模板中支持灵活的条件设置，可以根据各种条件设定业务系统的访问权限，确保业务系统授权的灵活性和精确授权。授权条件包括：证书基本属性、证书扩展属性、用户特定属性、用户角色、认证方式、颁发者、终端地址、硬件设备特征、时间段等。基于角色的访问控制便于管理员对人员变化进行快速的修改控制规则。通过角色将系统的访问用户同系统保护资源联系起来，既直观，而且在访问控制策略发生变化的时候无须为每一种资源或者每一个用户修改权限；只需要修改某一种

服务/角色/用户的属性。在网关中，一个用户可以属于多个角色、访问多种服务；而一个服务可以被多个不同的角色访问。

三方权限源支持

身份认证网关支持从 JIT UMS（统一用户管理系统）和 JIT PMS（统一权限管理系统）中获取应用入门级或细粒度访问控制权限。业务流程为：用户通过身份认证网关的认证，网关连接 UMS 或 PMS 查询该用户在应用中的全局权限设定，再配合网关自身的访问控制策略模板统一的进

行鉴权和访问控制。

通信链路保护

身份认证网关支持用户到网关的通信链路加密自定义，用户可以创建多个加密通信链路来分别保护不同的应用服务，也可以使用同一个加密通信链路来保护多个应用服务。同时，在应用效率需求至上的应用场景条件下，用户可以自行选择通信链路是否需要加密保护，这样可以极大的提高应用访问的效率。身份认证网关在通信链路保护支持多种加密算法：RSA 算法/3DES；SM2、

SM3、SM4。

支持基于 TCP/UDP 的任意协议

身份认证网关支持多种基于 TCP/UDP 的 B/S 或 C/S 结构的业务系统，对 WEB 应用支持所有主流的 WEB 服务器（Tomcat、Websphere、WebLogic、 IIS、JBoss 等）。管理员只需通过简单的管理接口在服务器上定义需要支持的应用，及配置好服务器使用的端口。身份认证网关也支持多种使用动态端口的应用协议，比如 FTP、TFTP、Oracle、SQL Server 等。这些特性使得网关能够最大程度的满足用户的应用需求。

灵活安全的应用服务定义

在身份认证网关中，定义一个服务需要指定服务所在的地址，端口，服务类型，应用访问控制规则(Application Access Control Rule)，关联的客户端应用程序，是否隐藏服务，服务应用到的角色等。在地址的定义方式上，管理员有三种选择：完整的域名、IP 地址或者主机名@IP 地址。这三种地址指定方式可以满足多数应用的需求、身份认证网关的服务定义中可以添加多个端口。这种方式满足了那些在一

台服务器上配置多个应用服务的应用需求，同时也可以部分的解决使用动态端口

的业务系统的需要。对于多台服务器提供同一个服务的情况，管理员其实希望只让用户看到其中

的一个服务器即可，不必了解具体有多少服务器在同时提供服务。针对这种要求，网关为每一个服务提供了一个开关。根据这个开关的设置，网关就知道该给用户显示哪个服务，而把其他的作为备份的服务器隐藏起来。

灵活多样的应用接入模式

应用改造和信息传递

身份认证网关在完成相应的身份认证后，需要把结果、用户的基本信息传送给后台的业务系统，业务系统基于该信息作相应的访问控制以及进行相应的业务审计。引入信息传递模板的机制，即把需要传递的信息组合成为一个模板，配置到不同的应用中去（可以是全局），传递的内容可以来自于网关自定义项也可以来自于 JIT UMS 用户管理系统，更好的应用系统结合并降低信息传递配置的工作量。

身份认证网关支持传递给业务系统的信息包括以下内容：

ü 用户身份信息

用户身份信息主要包括数字证书编码、主题、有效期、证书序列号、颁

发者 DN 等数字证书基本项。

ü 用户属性、权限信息

权限信息主要是指网关从 JIT UMS、JIT PMS 系统获取的用户属性及权

限信息。

ü 客户端信息

客户端信息包括客户端 IP 等。

ü 其他信息

身份认证网关还可以向业务系统传递认证方式、用户属性等信息。

向外部 Portal 传递应用列表