總體設計思路

　　根據(jù)需求和建設目標，我們將以身份認證系統(tǒng)、應用安全支撐平臺為用戶構建基于數(shù)字證書的統(tǒng)一身份認證、統(tǒng)一用戶管理和應用安全支撐系統(tǒng)。

　　全局范圍內，將建立統(tǒng)一的目錄服務體系，以完善的數(shù)據(jù)復制策略實現(xiàn)對應用系統(tǒng)的全面支撐。

　　身份認證系統(tǒng)(PKI基礎設施)

　　1、　證書簽發(fā)系統(tǒng)(CA系統(tǒng))

　　為所有的實體(設備、人員等)管理身份證書。

　　2、　用戶管理系統(tǒng)(UMS系統(tǒng))

　　在身份認證系統(tǒng)之上，以數(shù)字證書為用戶標識實現(xiàn)統(tǒng)一的用戶管理、組織機構管理，為相關業(yè)務系統(tǒng)提供全局統(tǒng)一的用戶屬性信息。

　　3、　密鑰管理系統(tǒng)(KMC系統(tǒng))

　　對用戶的密鑰進行管理和備份，能夠通過嚴格的流程實現(xiàn)密鑰的恢復。

　　4、　目錄服務系統(tǒng)(LDAP系統(tǒng))

　　實現(xiàn)證書的發(fā)布和CRL的發(fā)布，并能夠實現(xiàn)和AD之間的用戶同步。

　　應用安全支撐平臺

　　以身份認證系統(tǒng)、用戶管理系統(tǒng)為基礎，采用應用安全支撐平臺的各產(chǎn)品組件實現(xiàn)應用系統(tǒng)的安全接入，使得身份認證、用戶管理、數(shù)字簽名等技術能夠方邊的整合到原有的業(yè)務系統(tǒng)中。

　　在安全支撐平臺的支持下，能夠為用戶構建操作系統(tǒng)層和應用層的統(tǒng)一身份認證和單點登錄。

　　標準規(guī)范體系

　　根據(jù)實際業(yè)務特點，針對系統(tǒng)的運行維護、使用流程、應用接入標準等制訂一系列標準和規(guī)范，以利于業(yè)務的有序開展。

　　如上所述，身份認證系統(tǒng)為內部人員、設備等應用安全域內的物理或邏輯實體提供了統(tǒng)一的數(shù)字實體標識，統(tǒng)一的用戶管理系統(tǒng)則根據(jù)具體的組織機構、用戶屬性、用戶級別等實際情況，對數(shù)字實體標識進行可定制的統(tǒng)一管理和授權，最后再通過應用安全支撐平臺為業(yè)務系統(tǒng)提供服務，實現(xiàn)了獨立于各應用系統(tǒng)的安全的、統(tǒng)一的身份認證和管理體系。

　　總體設計思路示意圖如下所示：

　　總體物理部署設計

　　根據(jù)總體設計思路，基于性能和投資相平衡的原則，系統(tǒng)物理部署設計如下圖所示：

　　如上圖所示，根據(jù)系統(tǒng)的不同功能，從網(wǎng)絡上以VLAN方式劃分不同區(qū)域，包括核心區(qū)、服務區(qū)和應用區(qū)。

　　身份認證核心區(qū)包括CA、KMC、UMS等證書、用戶管理系統(tǒng)，是整個系統(tǒng)的核心功能區(qū)。

　　身份認證服務區(qū)包括IAS和從目錄服務器，實現(xiàn)對外的身份驗證支持。

　　應用系統(tǒng)區(qū)中部署身份認證網(wǎng)關，使應用系統(tǒng)與外界實現(xiàn)安全隔離。

　　成　果

　　通過以上各個系統(tǒng)的建設，對于此省電力公司的所有人員和設備都有一個標準的身份表達，達到了“一人一證”的效果;所有的應用系統(tǒng)都在統(tǒng)一的標準指引下獲得了高強度的身份認證功能;電力公司的管理人員只需集中的管理對應用戶的證書信息和屬性(權限)信息即可控制和管理對應人員在應用中的地位;所有的持證用戶在所有的應用系統(tǒng)中只需要一次登錄，無須在記憶太多的信息;體系符合電網(wǎng)總公司的整體規(guī)劃能和電網(wǎng)總公司現(xiàn)在的系統(tǒng)進行互聯(lián)。