[发明专利]一种基于企业服务总线的安全管理系统及方法有效
申请号: | 201210581772.X | 申请日: | 2012-12-27 |
公开(公告)号: | CN103001775A | 公开(公告)日: | 2013-03-27 |
发明(设计)人: | 章洋;陈俊亮;张美娜 | 申请(专利权)人: | 北京邮电大学 |
主分类号: | H04L9/32 | 分类号: | H04L9/32;H04L29/06 |
代理公司: | 北京派特恩知识产权代理事务所(普通合伙) 11270 | 代理人: | 张振伟;王黎延 |
地址: | 100876 *** | 国省代码: | 北京;11 |
权利要求书: | 查看更多 | 说明书: | 查看更多 |
摘要: | |||
搜索关键词: | 一种 基于 企业 服务 总线 安全管理 系统 方法 | ||
技术领域
本发明涉及企业服务总线(ESB,Enterprise Service Bus)中的信息安全技术,尤其涉及一种基于ESB的安全管理系统及方法。
背景技术
大规模分布式的企业应用需要相对简单而实用的中间件技术,以简化和统一越来越复杂、繁琐的企业级信息系统平台。面向服务体系架构(SOA,Service-Oriented Architecture)是能够将应用程序的不同功能单元通过服务之间定义良好的接口和契约联系起来。SOA使用户可以不受限制地重复使用软件、将各种资源互连起来,只要IT人员选用标准接口包装旧的应用程序,将新的应用程序构建成服务,那么其他应用系统就可以很方便地使用这些功能服务。
支撑SOA的关键是其消息传递架构ESB。ESB是传统中间件技术与可扩展标记语言(XML,Extensible Markup Language)、网页服务等技术相互结合的产物,用于实现企业应用不同消息和信息的准确、高效和安全传递。ESB的出现改变了传统的软件架构,可以提供比传统中间件产品更为廉价的解决方案,同时它还可以消除不同应用之间的技术差异,让不同的应用服务协调运作,实现不同服务之间的通信与整合。
随着信息化的迅猛发展,政府、企业机构等不断增加基于互联网的业务系统,如各类网上申报系统,网上审批系统,报表系统等。系统的业务性质一般都要求实现用户管理、身份认证、访问控制等必不可少的安全措施。当新系统与已有系统集成或融合时,特别是针对相同的用户群会带来诸多问题,如无法实现统一认证和授权,多个身份认证系统使安全策略必须在不同的系统内进行多次设置,与此同时,每个系统都开发各自的身份认证系统将造成资源的浪费,多个身份认证系统会增加整个系统的管理工作成本,用户需要记忆多个用户名和口令,使用极为不便。
发明内容
有鉴于此,本发明的主要目的在于提供一种基于ESB的安全管理系统及方法,能够实现对用户进行统一认证和授权。
为达到上述目的,本发明的技术方案是这样实现的:
本发明提供了一种基于企业服务总线的安全管理系统,该系统包括:身份认证子系统、客户端、访问控制子系统;其中,
所述身份认证子系统,用于为签约的客户端创建业务账户、以及与所述业务账户对应的身份信息卡;接收到所述客户端发送的身份信息卡认证消息后,对所述身份信息卡认证消息中的身份信息卡进行认证,认证成功后发送安全断言标记语言SAML断言至客户端;
所述客户端,用于利用业务账户登录所述身份认证子系统,从所述身份认证子系统提供的与所述业务账户对应的身份信息卡中选择所需的身份信息卡并下载;在业务访问时向所述身份认证子系统发送身份信息卡认证消息,所述身份信息卡认证消息中携带有所述客户端选择的身份信息卡;将所述身份认证子系统返回的SAML断言发送至访问控制子系统;
所述访问控制子系统,用于接收到所述客户端发送的SAML断言时对其进行验证;并在验证合法时,查找与客户端请求的业务对应的安全策略,对所述业务执行所述安全策略。
上述方案中,所述身份认证子系统包括:身份认证中心、身份信息卡服务器;其中,
所述身份认证中心,用于为签约的客户端创建业务账户、以及与所述业务账户对应的身份信息卡,将所述身份信息卡发送至身份信息卡服务器;接收到所述客户端发送的身份信息卡认证消息后,根据本地存储的身份信息卡信息对所述身份信息卡认证消息中携带的身份信息卡进行认证,认证成功后发送SAML断言至客户端;
所述身份信息卡服务器,用于接收身份认证中心发送的身份信息卡并存储;接收到所述客户端的身份信息卡下载请求时为所述客户端提供所请求的身份信息卡。
上述方案中,所述访问控制子系统包括:策略编辑器、策略执行点、策略判决点;其中,
所述策略编辑器,用于编辑安全策略文件及删除无效的安全策略文件;
所述策略执行点,用于接收到客户端发送的SAML断言时,发送携带有所述SAML断言的权限请求消息至策略判决点进行验证及安全策略匹配;并根据策略判决点反馈的与客户端请求的业务对应的安全策略,对所述业务执行所述安全策略;
所述策略判决点,用于接收策略执行点发送的权限请求消息,并验证所述权限请求消息中的SAML断言的合法性;当所述SAML断言合法时,根据客户端请求的业务在策略编辑器的安全策略文件中查找与其对应的安全策略;并将所述安全策略反馈至策略执行点。
上述方案中,所述身份认证中心,还用于将身份信息卡信息以列表形式存储至本地;
该专利技术资料仅供研究查看技术是否侵权等信息,商用须获得专利权人授权。该专利全部权利属于北京邮电大学,未经北京邮电大学许可,擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作,请联系【客服】
本文链接:http://www.vipzhuanli.com/pat/books/201210581772.X/2.html,转载请声明来源钻瓜专利网。
- 上一篇:一种基于关键字的语音呼叫方法和系统
- 下一篇:一种对绞机收线盘自动排线装置