[发明专利]一种灵活安全的集中身份认证方法

说明书

技术领域

本发明涉及一种临时服务器负责人使用临时用户验证信息(如密码等)登录服务器的集中身份认证实现方法。该方法不仅不需要服务器负责人给临时负责人传递真实的用户密码等验证信息，而且可实现全周期验证信息专人专用，可实现服务器登录用户审计内容无盲区。

背景技术

目前，集中身份认证已经在国内外企事业单位的多个应用领域得到广泛采用。在类似用户通过控制台直接登录服务器或通过telnet、SSH等方式远程登录服务器应用方面，集中身份认证也有多种表现方式。无论其采用传统密码、安全证书等表现形式，还是采用网络信息系统NIS(Network Information System)、域认证、轻量级目录认证LDAP(Lightweight Directory Authentication Protocol)、可插入式认证模块PAM(Pluggable Authentication Module)等技术实现方式，集中身份认证的组成架构和实现原理基本相同。

集中身份认证系统由客户端和服务器端组成，集中身份认证系统的客户端即是用户登录访问的服务器，集中身份认证系统的服务器端则响应来自不同客户端的身份认证请求，并提供客户端用户登录安全审计等功能。

在客户端和服务器端网络互通的前提下，集中身份认证实现过程分为四步。第一步，在集中身份认证服务器端创建客户端身份认证信息档案库，包含其所管辖范围内所有客户端上的用户名及密码等验证信息。第二步，集中身份认证客户端提出身份认证请求，用户进入服务器登录界面输入用户名和密码等验证信息后，服务器内部进程将用户名、密码等待核核验的信息转发到集中身份认证服务器端，等待响应结果。第三步，集中身份认证服务器给出认证响应，集中认证服务器以档案库中的信息为基准，依据约定的算法严格核对新接收到的信息准确性，得出并发送给客户端是否放行此用户的结论。第四步，集中身份认证客户端依据集中身份认证服务器响应允许或拒绝用户登录。

但在单位内部又存在较普遍的用户密码等验证信息外延散播的需求，如因工作需要，系统管理员迫不得已将其负责的服务器最高权限用户(root或Administrator)登录验证信息(如密码)转交给他人使用，这必然导致多人知晓服务器同一用户的验证信息，增加了系统访问控制的不安全因素。另外，针对单位内部普遍存在的“一机双人”岗位设置模式所引入的验证信息共享的现实情况，集中身份认证系统无法明确识别具体何人登录服务器进行相关操作。综上，现有集中身份认证无法解决用户密码等验证信息专人专用与其外延散播需求的矛盾，而且服务器用户登录安全审计功能存在盲点。

发明内容

本发明是一种对通用用户登录服务器集中身份认证实现方法的改进。本发明通过在集中身份认证服务器端额外部署智能处理模块，不仅可满足单位内部用户密码等验证信息专人专用与其外延散播两种需求同时共存，而且系统全程记录用户登录所涉及的申请、授权操作痕迹，提高审计信息的全面性和可信度。