AL123 人文社科会员免费专区文学 2025-08-20

一本书读透金融科技安全_吴湘泰；范军；黄明卓_AZW3_MOBI_EPUB_PDF_电子书（无页码）_吴湘泰；范军；黄明卓

内容节选

6.3.3 面向应用和数据的统一身份和访问管理架构金融企业应用和数据层面的统一身份和访问管理可以包括身份管理、访问管理和权限管理三个方面的核心能力，图6-3所示是我们根据业界领先企业的实践总结出的统一身份和访问管理架构。图中“访问管理”“权限管理”“身份管理”这3个模块相关功能还有待完善，“身份开通”“身份和策略库”模块相关功能在持续改进中，“安全支撑技术”模块相关功能已基本成型。图6-3 身份和访问管理架构综合考虑实施难度、业务影响度和网络逻辑分区的划分，金融企业首先可以建立一套身份和访问管理系统，针对使用人数多、使用范围广的业务应用和办公应用进行身份的统一集中管理。本小节要介绍的目标应用系统即上述业务应用和办公应用，其中核心安全功能涵盖身份管理、访问管理和权限管理三部分。 1.身份管理统一身份管理为金融企业应用系统的用户分配唯一的用户ID，以便集中管理用户账号。身份管理提供统一的用户身份生命周期管理、完整的管理审批工作流程、委派管理和用户自助服务等功能，以实现以下目标：· 用户身份的创建和维护。 ·提供集中的、委托的、自助的或三者相结合的管理模型。 ·支持用户身份信息的分级委托管理，以减少与身份管理相关的时间和成本。身份信息的管理可以唯一指向特定的用户或特定的用户群。 ·自助服务允许用户自行维护个人基本信息、修改个人密码、忘记密码后自动找回，从而减少系统管理员的工作量。身份和策略存储提供统一存储用户的身份信息、访问规则策略和审计日志信息的功能，是访问控制、开通服务和身份管理服务的基础。金融企业可以通过SAP系统的HR模块实现员工信息管理，并作为最权威的员工身份源，保证员工、组织机构信息的真实性和准确性。如果金融企业采购的企业套装软件不支持AD，将难以对身份进行集中管理。因此，身份和访问管理体系可以考虑对上述情况的控制。身份管理的基础是身份目录，结合目前金融企业的业务和办公域AD的使用现状，可以通过如表6-9所示的两种方案来实现企业级的身份目录。表6-9 企业级身份目录实现方案身份开通按照业务策略和规则，可将用户身份从权威账号源传播到目标系统自身的身份库，实现应用账号的集中开通，从而提高安全性，应用自动化的手段也可降低管理成本。集成的工作流提供一种自动化的方式来请求和批准身份管理变更，支持一致的业务规则和流程。业界领先的企业级身份管理套装软件都支持工作流功能，可实现如下功能：· 迅速、自动地将用户身份从统一的身份库传播到目标资源自身的身份库。 ·替代手工操作，根据集中的策略和业务规则来开通用户的账号。 ·集成可定制的审批工作流。 ·通过连接器（个别系统采用API调用）提供与应用系统的集成。 ·接口优先级。统一身份管理应该优先整合易于整合的、基于标准的用户目录（如关系型数据库或LDAP、AD），或者提供了身份管理接口的套装软件，优先整合用户范围为企业、跨多个业务部门的应用。对于业务相关关键应用，如核心业务系统，须评估接口复杂度、操作人员角色数量、业务部门的意愿等方面的因素后再确定是否集成到身份管理系统。 2.访问管理访问管理提供用户的身份鉴别服务，为后端受安全保护的应用和数据资源提供认证服务和访问控制。访问控制可以通过提供认证/单点登录的解决方案，减少用户重新登录办理业务的复杂性，提高用户的体验。目前金融企业普遍已经建立了统一认证SSO平台，可以从认证服务和远程访问两个方面持续推进对新接入系统的支持。· 认证服务：对用户身份的真实性进行验证，认证服务负责通过对用户的Session进行安全管理，为用户提供单点登录，从而达成用户与企业内的应用和资源的无缝访问，而无须重新登录。针对安全级别为三级或四级的应用系统，可以对登录用户采用双因素认证的方法；对于用户从安全级别较低的系统通过单点登录的方式登录的情况，则可以进一步进行双因素认证。 ·远程访问：金融企业可以实现从VPN入口实现单点登录，远程用户成功登录VPN之后访问企业门户，无须再次输入用户名和密码即可以漫游的方式访问其他基于B/S架构的有权限访问的应用系统。 3.权限管理权限管理根据金融企业的组织架构和人员设置，定义应用系统的角色和权限模型，实现应用系统权限的统一管理。权限管理是实现金融企业统一授权的基础。（1）基于角色模型的权限金融企业应用系统权限可以采用请求（Request）、角色（Role）和规则（Rule）相结合的统一管理方法，即权限管理R3方法论。R3方法论指出，一个用户在系统中的权限是由3个因素决定的。为了支撑部门灵活的业务需求，建议金融企业以角色+规则的自动分配方式为主，将基于请求的方式作为有益的补充和辅助，满足用户在岗位职责之外开通系统权限的临时或特定的工作需求。三种方式相辅相成，使业务价值得到最大体现。在金融企业实施部署统一权限管......