国家电网公司企业门户系统用户目录服务设计和管理规范(征求意见)
- 格式:doc
- 大小:56.50 KB
- 文档页数:8
本文由RunBirdX贡献 doc文档可能在WAP端浏览体验不佳。建议您优先选择TXT,或下载源文件到本机查看。 国家电网公司企业标准 SG/T XXXXX.XX 电网企业门户系统用户目录服务 设计和管理规范 Portal directory for electric grid enterprise Design and management specifications (征求意见稿) 征求意见稿) YYYY-MM-DD 发布 国家电力公司 YYYY-MM-DD 实施 发布 目 录 1 2 3 4 5 目的„„ 1 目的 范围„„ 1 范围 规范性引用文件„„ 1 建设原则„„ 2 建设原则 建设目标„„ 2 建设目标 5.1 5.2 初期目标 „„ 2 最终目标 „„ 2 6 目录服务系统总体设计规范 „„ 2 6.1 6.2 6.3 LDAP 目录服务系统 „„ 2 分布式目录系统结构 „„ 3 目录服务结构设计 „„ 4 5.3.1 目录树的设计原则 „„ 4 5.3.2 目录属性定义 „„ 5 5.3.3 目录对象类定义 „„ 7 6.4 目录服务系统部署方案 „„ 10 5.4.1 信息分区部署方式 „„ 11 5.4.2 信息复制部署方式 „„ 12 5.4.3 国家电网公司统一目录服务部署建议方案 „„ 14 7 附表: 附表:„„ 16 1 目的 本规范结合 SG186 项目的建设思路, 提出国家电网公司企业门户系统用户管 理的建设目标,对公司系统用户管理的目录服务架构、对象定义、管理方案、与 应用系统的集成进行规划,同时对应用系统的建设提出要求,规范和指导国家电 网公司企业门户系统用户管理的建设。 2 范围 本规范是国家电网公司企业门户系统用户管理建设的基本依据。 各网省公司 可依照本规范以及其它相关标准, 结合本地实际情况建设本网省公司的企业门户 系统用户管理。 3 规范性引用文件 凡是注日期的引用文件,其随后所有的修改单(不包括勘误的内容)或修订 版均不适用于本部分,然而,鼓励根据本部分达成协议的各方研究是否可使用这 些文件的最新版本。凡是不注日期的引用文件,其最新版本适用于本部分。 GB/T 2312-1980 RFC 1823 RFC 2251 RFC 2252 RFC 2254 RFC 2255 RFC 2256 RFC 2849 信息交换用汉字编码字符集 基本集 LDAP应用程序编程接口 轻型目录访问协议(版本3) 轻型目录访问协议(版本3):属性语法定义 LDAP查询过滤器的字符串表示 LDAP的URL格式) LDAPv3使用的X.500(96)用户模式汇总 LDAP数据交换格式(LDIF) 国网公司系统统一目录服务建设规范 4 建设原则 国家电网公司企业门户系统用户管理建设的基本原则是“集中规划、统一建 设、分级管理”。即由公司总部统一规划系统用户目录管理的相关要求,统一进 行国网公司企业门户系统用户目录系统的建设,,公司总部用户目录系统集中存 放各网省公司的用户信息,各网省公司管理、维护本地的用户目录系统。 5 建设目标 5.1 初期目标 建立国网公司总部和试点单位的统一用户目录服务, 实现总部和试点单位企 业门户系统用户的单点登录和统一管理;对国网公司系统目录结构、用户属性、 命名规则、编码规则等提出规范性要求;规范、制定国网公司企业门户系统统一 用户管理的流程。 5.2 最终目标 实现国家电网公司全系统企业门户单点登录和统一用户管理, 实现与原有各 应用系统的用户管理集成,制定新建应用系统用户管理、授权、认证的标准。 6 目录服务系统总体设计规范 6.1 LDAP 目录服务系统 LDAP 目录服务系统必须采用遵守 LDAP V3 标准的目录服务产品,并满足以 下要求。 目录服务产品协议标准 遵循标准的 LDAP 访问协议,以便支持分布式特性,并能够实现协议通讯 的向上向下兼容。目录服务产品应采用服务器(Server)/客户端(Client)的 2 国网公司系统统一目录服务建设规范 总体模型,客户端通过访问服务器来完成所有协议操作。 性能和容量: 性能和容量: 提供 100 万数据容量的 ms 级访问,应达到同时处理 1000 个以上的并发连 接的能力。 安全性: 安全性: 提供多种身份认证方式,包括匿名、用户名/密码和数字证书的身份认 证; 支持灵活的访问控制,可以精确到条目和属性,能实现与数字证书结合的 访问控制; 数据通道的保密,防止对通讯过程的监控造成的信息泄密。 跨平台: 跨平台: 目录服 务产 品应 该支 持主流 操作 系统 平台 (例如 :Windows 、Linux、 HP-UNIX、Solaris、IBM AIX) 支持分布式: 支持分布式: 提供 Referral 的分布式自动漫游查询支持,至少 3 级以上; 提供一主多从、级联、子树、互为主从等多种复制模式。 标准的支持: 标准的支持: 支持 LDAP V3 标准:RFC 2251、RFC 2252、RFC 2253、FC 2254、RFC 2255、 RFC 2256. 易用性上: 易用性上: 提供图形化的管理界面,降低系统维护成本。 6.2 分布式目录系统结构 国家电网公司统一目录系统采用分布式结构。国网公司中央目录数据库中 存储整个国家电网公司项目系统的整体信息, 各区域公司设置中央目录服务器的 3 国网公司系统统一目录服务建设规范 从目录服务器及本地目录服务器, 各省公司设置本地目录服务器用以存储本地的 目录数据。 对于中央目录服务系统、区域和省级目录服务系统,目录服务器要求采用 双机热备方式。 各级节点的目录服务器可采用主、从双服务器设计方式,保障该节点目录 服务的可靠性。当系统并发访问 LDAP 的用户数量达到一定程度,需要采用多从 的方式,同时为了提高目录的并发访问数量,实现负载平衡和失败容错,需要 在从目录服务器前增加硬件代理。 6.3 目录服务结构设计 5.3.1 目录树的设计原则 目录树的结构设计为目录数据的命名和应用访问提供基本框架, 目录树的结 构设计应符合LDAP层次模型,目录树设计的基本原则如下: · · · 有利于简化目录数据的管理; 可以灵活的创建数据复制和访问策略; 支持应用系统对目录数据的访问要求; 目录服务系统的后缀(suffix)确定了目录条目的命名空间。多个目录服务 系统可以在一个统一命名空间下对条目进行命名, 不同的目录服务系统管理该命 名空间下的不同部分。整个命名空间的最底层一般被称为命名空间的根后缀,不 同的目录服务系统的管辖空间形成了子后缀。 国家电网公司统一目录树结构如下图所示: o=sgcc,c=cn ou=HQ,o=sgcc,c=cn „„„„ ou=NE,o=sgcc,c=cn nodeid=apps,o=sgcc,c=cn nodeid=users,ou=HQ,o=sgcc,c=cn nodeid=department,ou=HQ,o=sgcc,c=cn appid=sys_email,„ appid=sys_oa,„ 4 uid=user1 uid=others,„ ou=depart1,„ ou=depart2,„ 国网公司系统统一目录服务建设规范 节点说明: 节点说明: nodeid=apps 存放所有应用的结点,这些结点之间是平行的关系; nodeid=users 存放所有单位用户的结点,这些结点之间是平行的关系; nodeid=department 存放本单位所有的部门结点, 这些结点之间是平行的关 系,每个部门结点本身有上级部门的属性;可以保证部门的树状结构关系; 举例: 条目 dn 举例: 某个用户的uid=user1, ou=HQ,o=sgcc,c=cn 某个部门的ou=depart1, ou=HQ,o=sgcc,c=cn 某个应用的appid=sys_email, nodeid=apps,o=sgcc,c=cn 目录命名空间说明: 目录命名空间说明: 为了保证以后的扩展性,目录的根后缀至少应该定义到整个国家电网公司, 目前的定义是: 国家电网公司:o=sgcc,c=cn 国网本部:ou=HQ,o=sgcc,c=cn,东北电力公司:ou=NE,o=sgcc,c=cn,各单 位代码表详见附件。 Email应用:appid=sys_email, nodeid=apps,o=sgcc,c=cn,其他应用以此 类推。 5.3.2 目录属性定义 在目录服务中,代表用户信息的条目的RDN选择SN或CN,代表国家电网下属 单位信息条目的RDN选择ou。对于DN中的数据内容必须严格参照RFC 2253的规定, 不允许出现的字符决不能出现。RDN的选择必须是必选属性。下面以国家电网公 司本部为例说明该节点下面的nodeid属性。 (1)用户属性列: 属性名 cn 页面名称 用户登录名(必填项) 5 国网公司系统统一目录服务建设规范 sn userPassword idsuserstatus depart telephoneNumber mobile mail appdesc dispdesc userpos job uid usercertificate objectClass 说明: 说明: 中文名字(必填项) 用户密码(必填项) 启停状态(必填项,缺省是 1) 用户所在部门的 id(参见说明) 电话(可选项) 移动电话(可选项) 邮件(可选项) 多值,参见下面的说明 应用展示项(可选项) 用户位置 职务 证书 id 证书内容 idsperson appdesc : 用 户 关 联 的 应 用 以 及 应 用 中 用 户 帐 号 , 格 式 是 appid#appuserid#appuserpassword。如果应用不需要进行用户帐号的映射,那么就 只有 appid,否则格式必须至少是:appid#,中间用#分离; depart:用户所在部门的 id(必填项,是部门结点的 ou 属性) ; .userpos:代表用户所在节点的位置,作为将来扩展用; (2)部门属性列表: 属性名 ou description addrdesc telephoneNumber l objectClass 说明: 说明: