免费目录服务和身份管理系统在电力企业中的设计与应用

nbsp;身份管理
身份管理通过身份同步工具，将权威数据源（如人力资源系统）中的用户信息同步至身份目录，并根据预先指定的策略，将用户信息下发至各应用系统。从而实现账号的自动创建、变更、销户，取代现有的人工方式的账号管理模式。
IDM可以实现身份目录与数据库、目录以及标准应用的身份信息同步，并将关键事件等日志信息存储在数据库中，供日后审计。
身份信息的集中管理
对各个系统中账号进行单独、分散的管理是一个费时、繁琐、不安全的管理方式。随着国家电网公司应用系统的不断增加，以及系统管理人员的分工日益复杂，需要一个集中统一的身份目录。
根据应用系统的情况，可以指定权威数据源，身份目录的初始信息可以从指定的权威数据源中获得。
通过身份管理系统把各个应用系统和统一身份目录进行连接。在账号信息同步通道中设立账号管理策略，规定用户在身份目录和各应用系统之间的同步策略。利用身份管理系统的身份同步引擎在应用系统和统一身份目录之间建立同步通道。应用系统从同步通道中获得其所需要的用户身份信息，建立对应的用户账号。所有用户应用账号的创建、信息变更、销户事件都由身份管理系统进行统一维护。当需要在一个系统中创建/变更/删除账号时，根据既定的策略在相应的应用系统中创建、变更、销户。
身份同步
身份同步，泛指通过 IDM 实现目录与目录之间、目录与应用系统之间进行的用户身份信息交互，确保用户身份信息在各应用系统间的一致性。
国网总部的 IDM 将用户身份权威源系统（如人力资源管理系统）中的用户身份信息同步至总部身份目录，并根据需要将总部身份目录中的相关用户信息同步到总部认证目录、总部企业资源目录以及网省身份目录。
网省公司的IDM将网省的用户身份信息同步至网省身份目录、国网身份目录，并将网省身份目录的部分用户信息根据需要同步到网省认证目录和网省企业资源目录。
逻辑设计
目录服务
逻辑架构
国家电网公司全网范围的目录系统，从总体上可分为国家电网公司总部目录和各网/省公司目录两级架构
图3-1：目录服务及身份管理逻辑架构图
国网公司总部目录包括“全网身份目录”、“总部企业资源目录”、“总部认证目录”等目录系统，其中“全网身份目录”保存有国家电网公司总部与各网省公司范围内最为完整、准确、及时的用户身份等信息。全网身份目录通过 IDM 将用户身份及必要的属性信息复制到总部企业资源目录与总部认证目录。
网省公司目录包括“网省身份目录”、“网省企业资源目录”、“网省认证目录”等目录系统，其中“网省身份目录”保存了该网省公司本部与各地市公司范围内最为完整、准确、及时的用户身份等信息。网省身份目录通过 IDM 将用户身份及必要的属性信息复制到网省企业资源目录与网省认证目录。
目录树结构设计
身份目录树设计
身份目录树中存放了用户最完整的身份信息，提供所管辖范围内的用户身份认证与存储。从目录查询和同步的性能角度来考虑，身份目录树的设计采用扁平结构。
图3-2：全国身份目录结构图
图3-3：网省身份目录结构图
企业资源目录树设计
企业资源目录树主要用来展现组织机构层次信息以及存储与应用系统相关的信息。目录树设计采用树状层次结构。此外，企业资源树会依据同步策略，从身份目录中获取用户更新信息。为了便于组织结构维护，增强目录树结构的可控性，组织结构的创建与变更需要管理员手工完成。
图3-4：总部企业资源目录结构图
图3-5：网省企业资源目录结构图
认证目录树设计
认证目录树主要用来提供统一身份用户的认证和查找功能。为了提高用户的访问与认证效率，目录树设计采用扁平结构。此外，国家认证目录会依据同步策略，从身份目录中获取用户身份的更新信息。
图3-6：认证目录结构图
目录 Schema 设计
在目录中，不仅通过Schema定义目录中所存储的信息对象的类型，而且通过Schema定义信息对象之间的关系，从而形成目录的完整的结构定义。
目录对数据的存储是通过创建信息对象（Object或Entry），再将数据存储在信息对象的各个属性域中。每个信息对象都属于特定的对象类，对象类指定了对象的属性集合。所有的属性都基于一组标准的属性类型，而属性类型又通过一组标准的属性语法定义。简单说，Schema是对定义目录结构的对象类、属性类型、属性语法等统称，Schema可以简单理解为目录数据的元数据，可保存为LDIF文件中，数据按照Schema的定义赋值。
在下面的Schema设计中，扩展属性名统一以“sgcc”作为前缀，使用“驼峰”变量命名方式，如sgccCode、sgccName。
用户身份信息的 Schema
在目录中，用户身份信息实体基于扩展对象类InetOrgPerson创建，并扩展了相关属性。
表3-1：用户身份信息Schema
属性名(英文) 中文名是否必填是否扩展备注
cn 用户名称是否在当前容器中唯一，根据用户命名编码规则指定
sn 用户中文姓是否
givenName 用户中文名否否
fullName 用户中文全名否否
sgccIDCardNumber 用户身份证号码是是
sgccCode 用户编码是是唯一
作为员工号或其它唯一标识
userPassword 用户密码是否
loginDisabled 登录名停用是否 Boolean值
employeeType 员工类型否是 1 正式编制内
2 正式编制外
3 实习
4 借调
5 临时
6 其它
Title 职务名称否否
employeeStatus 在职情况否否 1 在职
2 退休
telephoneNumber 电话否否
mobile 移动电话否否
mail 邮件否否

首页上一页 1 2 3 4 5 6 7 下一页尾页 4/9/9

免费目录服务和身份管理系统在电力企业中的设计与应用(四)