大數(shù)據(jù)傳輸安全系統(tǒng)解決方案設(shè)計(jì)

數(shù)據(jù)傳輸安全解決方案?jìng)鬏敯踩鉀Q方案 1\l“_TOC_250012“一.總體框架 2\l“_TOC_250011“二.安全需求 3\l“_TOC_250010“應(yīng)用集成和政務(wù)集成中的安全需求 3\l“_TOC_250009“OA產(chǎn)品的安全需求 4安全電子郵件 4電子簽章 5數(shù)字水印 5防拷屏 5安全加密文檔 6\l“_TOC_250008“方案中解決的安全問題和需求 6\l“_TOC_250007“三PKI方案 7PKI簡(jiǎn)介 7供給用戶身份合法性驗(yàn)證機(jī)制 7保證敏感數(shù)據(jù)通過公用網(wǎng)絡(luò)傳輸時(shí)的保密性 8保證數(shù)據(jù)完整性 8供給不行否認(rèn)性支持 8\l“_TOC_250006“非對(duì)稱密鑰加密技術(shù)簡(jiǎn)介 8\l“_TOC_250005“PKI的組成局部 9認(rèn)證和注冊(cè)審核機(jī)構(gòu)(CA/RA) 10\l“_TOC_250004“密鑰治理中心 11\l“_TOC_250003“安全中間件 12四.PMI局部 13什么是PMI 13\l“_TOC_250002“為什么需要PMI 14\l“_TOC_250001“PMI進(jìn)展的幾個(gè)階段 15\l“_TOC_250000“PMI的安全體系模型 16二十一世紀(jì)是信息化世紀(jì)，隨著網(wǎng)絡(luò)技術(shù)的進(jìn)展，特別是Internet信息共享的程度進(jìn)一步提高。數(shù)字信息越來越深入的影響著社會(huì)生活的各個(gè)方面，各種基于互聯(lián)網(wǎng)技術(shù)的網(wǎng)上應(yīng)用，如電子政務(wù)、電子商務(wù)等也得到了迅猛進(jìn)展。網(wǎng)絡(luò)正逐步成為人們工作、生活中不行分割的一局部。由于互聯(lián)網(wǎng)的開放性和通用性，網(wǎng)上的全部信息對(duì)全部人都是公開的，所以網(wǎng)絡(luò)上的信息安全問題也日益突出。目前政府部門、金融部門、企事業(yè)單位和個(gè)人都日益重視這一重要問題。如何保護(hù)信息安全和網(wǎng)絡(luò)安全，最大限度的削減或避開因信息泄密、破壞等安全問題所造成的經(jīng)濟(jì)損失及對(duì)企業(yè)形象的影響，是擺在我們面前亟需妥當(dāng)解決的一項(xiàng)具有重大戰(zhàn)略意義的課題。建立安全牢靠的網(wǎng)絡(luò)信息系統(tǒng)是一種必定選擇。一.總體框架構(gòu)建平臺(tái)統(tǒng)一、系統(tǒng)安全、投資合理、運(yùn)行高效的系統(tǒng)平臺(tái)，供給效勞于應(yīng)用集圖1－1產(chǎn)品框圖應(yīng)用系統(tǒng)；數(shù)據(jù)交換平臺(tái)供給各系統(tǒng)間的業(yè)務(wù)集成，是企事業(yè)單位實(shí)施全方位信息化和數(shù)據(jù)共享的根底中間件平臺(tái)；一站式效勞平臺(tái)實(shí)現(xiàn)政府跨部門的網(wǎng)上行政、網(wǎng)上辦公和網(wǎng)上審批，是實(shí)現(xiàn)陽光行政、高效行政、依法行政的關(guān)鍵平臺(tái)；統(tǒng)一信息門戶供給豐富的內(nèi)容表現(xiàn)方式、全方位的訪問接入方式和共性化效勞，是企事業(yè)單位信息化的統(tǒng)一入口，是領(lǐng)導(dǎo)決策的信息來源，是政府、企業(yè)的形象的集中表現(xiàn)。安全中間件作為PKI的主要組成局部是連接CAPKI根本功能如對(duì)稱加密與解密、非對(duì)稱加密與解密、信息摘要、單向散列、數(shù)字簽名、簽名驗(yàn)證、證書從證，專業(yè)的安全學(xué)問背景就能夠構(gòu)造高安全性的應(yīng)用。二.安全需求應(yīng)用集成和政務(wù)集成中的安全需求隨著網(wǎng)絡(luò)技術(shù)的進(jìn)展，特別是Internet用，如電子政務(wù)、電子商務(wù)等得到了迅猛進(jìn)展。應(yīng)用的需求越來越簡(jiǎn)單，迫切需要各CORBAXML技術(shù)的漸漸成熟，消滅了一種的分布式、松耦合、自描述的分布式組件效勞WebServiceWebService具有跨平臺(tái)、易開發(fā)的優(yōu)良特性，因此在應(yīng)用系統(tǒng)集成領(lǐng)域和網(wǎng)絡(luò)效勞領(lǐng)域成為了一個(gè)廣泛應(yīng)J2EEWebService的企業(yè)應(yīng)用和電子政務(wù)應(yīng)用的集成平臺(tái)。但是由于WebService的開放性和通用性，為了能夠保護(hù)信息系統(tǒng)的安全，對(duì)WebService的安全性提出了很高的要求。WebService迫切需要一個(gè)完整的安全效勞框架，來為上層應(yīng)用開發(fā)供給全面的安全效勞。構(gòu)建WebServiceservice現(xiàn)的。將各分散的業(yè)務(wù)部門和它們?cè)鹊漠悩?gòu)的安全系統(tǒng)和架構(gòu)統(tǒng)一集成到Web息、描述和權(quán)限是一個(gè)擺在面前的巨大挑戰(zhàn)。為什么需要安全的可信的WebServices與過去十年中客戶/效勞器和基于Web，XMLWebServicesXMLSOAPWSDL實(shí)現(xiàn)分布式的效勞模型。XMLWebServiceXMLXMLSOAP相互通訊，無論它是一個(gè)OfficeXP桌面還是一個(gè)大型主機(jī)系統(tǒng)。隨著自動(dòng)化業(yè)務(wù)流程集成的越來越普及，越來越多各式各樣的系統(tǒng)通過WebService參加到一個(gè)廣泛的WebService用異構(gòu)的技術(shù)實(shí)現(xiàn)自然的對(duì)等的架構(gòu)有可能對(duì)Internet開放上面的每一個(gè)問題都是對(duì)系統(tǒng)安全的嚴(yán)峻挑戰(zhàn)。如何跨越多個(gè)異構(gòu)系統(tǒng)在整個(gè)環(huán)境中實(shí)施一個(gè)安全策略？如何為一個(gè)不了解安全系統(tǒng)的外部供給商供給安全效勞？如防火墻和入侵監(jiān)測(cè)系統(tǒng)是缺乏夠的，即使加上了SSLVPN也只是解決了數(shù)據(jù)在網(wǎng)絡(luò)中安全傳輸?shù)膯栴}，并沒有解決跨系統(tǒng)的認(rèn)證和訪問授權(quán)問題，也沒能解決面對(duì)WebService安全和企業(yè)應(yīng)用集成架構(gòu)。DCI架構(gòu)以及產(chǎn)品系列供給了對(duì)上述問題的完整解決方案〔完整的架構(gòu)說明請(qǐng)看另文〕。OA安全電子郵件電子郵件已經(jīng)是現(xiàn)在最常使用的文本通訊手段，是OA為了保證電子郵件的安全，需要能夠使用數(shù)字證書對(duì)郵件進(jìn)展數(shù)字簽名和數(shù)字加密。安全電子郵件是在原有的MIME郵件標(biāo)準(zhǔn)的根底上，增了很多強(qiáng)有力的安全功能。S/MIME〔如OutLook系列、Netscape〕兼容互通。電子簽章在辦公和文檔治理中，需要將傳統(tǒng)的印章、簽名方法同現(xiàn)代的數(shù)字簽名技術(shù)相結(jié)時(shí)又具有完善的安全性。這種結(jié)合被稱為電子簽章。在電子簽章系統(tǒng)中需要PKI文檔編寫程序的簽署插件，并通過OA系統(tǒng)進(jìn)展公文文檔的工作流傳遞。同時(shí)隨著Web加密的力量。數(shù)字水印由于多媒體信息很簡(jiǎn)潔被未授權(quán)的用戶復(fù)制，特別是圖片性文檔，因此承受傳統(tǒng)密碼方法并不能完全解決以上問題,于是人們開頭通過永久性數(shù)字水印來解決這一難數(shù)字水印(DigitalWatermarking)廣泛應(yīng)用于數(shù)字作品版權(quán)保護(hù)、隱蔽通訊、電子商務(wù)等領(lǐng)域。通過在OA系統(tǒng)中應(yīng)用數(shù)字水印技術(shù)，對(duì)發(fā)給不同用戶的需要保密的圖片文檔使進(jìn)而得到防范和威懾效果。防拷屏某些隱秘文檔需要特定人于特定機(jī)器才能進(jìn)展掃瞄，為了防止用戶用拷屏的手段拷屏操作。安全加密文檔在辦公系統(tǒng)中，某些隱秘文檔不允許以解密后的明文文檔方式存在，要求必需在工具。這些加解密的客戶端工具軟件能夠自動(dòng)加解密整個(gè)文件名目。方案中解決的安全問題和需求身份認(rèn)證通常我們?cè)赪ebKerberos、LDAP來認(rèn)證效勞的懇求者，并且在更高的安全級(jí)，要需要懇求者通過SmartCard或生物指紋技術(shù)進(jìn)展驗(yàn)證。同樣效勞的懇求者也需要認(rèn)證效勞的供給者。授權(quán)/訪問掌握WebServiceWebService的訪問是相當(dāng)重要/操作。此外能夠?qū)χ卫頇?quán)進(jìn)展托付，以能夠治理大型組織構(gòu)造的跨應(yīng)用的訪問授權(quán)。特別的對(duì)于不同域之間，如B2B的場(chǎng)景中，系統(tǒng)間需要能夠相互認(rèn)證并能夠交換授權(quán)斷言。單點(diǎn)登錄〔SingleSignOn〕在WebService重要的角色。在WebService環(huán)境中，各式各樣的系統(tǒng)間需要相互通訊，但要求每個(gè)系統(tǒng)都維護(hù)彼此之間的訪問掌握列表是不實(shí)際的。用戶也需要更好的體驗(yàn)以不需要繁WebService單點(diǎn)登錄環(huán)境下，還包含這樣一些系統(tǒng)，它們有著自己的認(rèn)證和授權(quán)實(shí)現(xiàn)，因此需要?jiǎng)t該用戶將不能訪問全部參與的系統(tǒng)。SAMLXML的標(biāo)準(zhǔn)。一個(gè)WebService因此能夠從一個(gè)SAML兼容的認(rèn)證和授權(quán)效勞中懇求并收到SAMLSAML任狀，并因此被用于單點(diǎn)登錄的方案中。數(shù)據(jù)加密標(biāo)準(zhǔn)的安全通信協(xié)議，如使用SSL來實(shí)現(xiàn)端到端的數(shù)據(jù)加密。但是在WebService的環(huán)境的很多情形下，一個(gè)消息的不WebServiceXMLEncryption標(biāo)準(zhǔn)來允許對(duì)一個(gè)消息的不同局部進(jìn)展加密，同時(shí)可以不對(duì)路由的目的消息頭進(jìn)展加密，以削減敏感的加密性能損失。數(shù)字簽名和防止否認(rèn)在系統(tǒng)間消息通訊中，特別是對(duì)那些跨越企業(yè)或不同行政單位的消息，需要保證消息的完整性、防篡改，還要保XMLSignature標(biāo)準(zhǔn)供給了簽名XML文檔的一局部的方法，它供給了跨越多個(gè)系統(tǒng)的端到端的數(shù)據(jù)完整性。同時(shí)數(shù)字簽名和時(shí)間戳還能防止對(duì)已發(fā)生交易的否認(rèn)。重放攻擊為了防止網(wǎng)以獲得非法利益的狀況發(fā)生，必需實(shí)現(xiàn)兩次握手的身份驗(yàn)證過程，并保證身份信息數(shù)據(jù)是機(jī)密傳輸?shù)?。這樣的驗(yàn)證過程可以是基于SSL的，也可以是自定義的。惡意和拒絕效勞攻擊WebService是如此簡(jiǎn)潔進(jìn)展調(diào)用，一般來說WebService都是通過和S80443Web息通道。防火墻一般不會(huì)檢查在通道上傳輸?shù)腟OAPWeb從而拒絕效勞，也不會(huì)由于不合法的超長(zhǎng)消息而導(dǎo)致系統(tǒng)資源耗盡而拒絕效勞。入侵檢測(cè)要整理出全部對(duì)浩大的WebService方法的誤用是一個(gè)格外困難的任務(wù)。通過安全策略和訪問掌握治理可以削減對(duì)系統(tǒng)的非法入侵。要防止系統(tǒng)入侵，需要很好的智能化分析手段，并借助于專家系統(tǒng)來幫助檢測(cè)惡意的行為。安全系統(tǒng)治理如何對(duì)在WebServices環(huán)境中各個(gè)異構(gòu)系統(tǒng)的安全配置進(jìn)展治理，并能夠監(jiān)控其安全狀態(tài)是一個(gè)需要解決的問題。這就需要各個(gè)系統(tǒng)能夠依據(jù)統(tǒng)一的系統(tǒng)治理標(biāo)準(zhǔn)進(jìn)展遠(yuǎn)程治理并供給系統(tǒng)的安全狀態(tài)信息。PKI方案PKI簡(jiǎn)介PKIPublicKeyInfrastructure稱密鑰加密原理和相關(guān)技術(shù)實(shí)現(xiàn)的安全根底設(shè)施。PKI為組織機(jī)構(gòu)建立和維護(hù)一個(gè)可信任的安全環(huán)境，為應(yīng)用系統(tǒng)供給對(duì)身份認(rèn)證、數(shù)據(jù)保密性和完整性、不行否認(rèn)等特性的支持，以滿足應(yīng)用系統(tǒng)對(duì)安全性的需求。在基于Internet在技術(shù)上最終都?xì)w于以下四個(gè)方面：供給用戶身份合法性驗(yàn)證機(jī)制身份認(rèn)證(Authentication)是分布式部署的信息系統(tǒng)首先面臨的安全問題。舉一個(gè)簡(jiǎn)潔的例子，當(dāng)用戶B接收到一封來自用戶A的重要文件，那么用戶B要確認(rèn)的是該文件確實(shí)是由用戶A本人發(fā)出的，而不是第三者以用戶A的名義發(fā)出的，假設(shè)這一點(diǎn)無法保證，那么即使能夠確認(rèn)文件本身的數(shù)據(jù)完整性和保密性，也沒有任何意義。在分布式部署的企業(yè)信息系統(tǒng)中，用戶的交互往往是非面對(duì)面的，因此供給一份認(rèn)證方式在安全性方面存在各種缺陷，應(yīng)用系統(tǒng)需要承受其它更為有效的身份驗(yàn)證機(jī)制。保證敏感數(shù)據(jù)通過公用網(wǎng)絡(luò)傳輸時(shí)的保密性保密性(Confidentiality)需求是指應(yīng)用系統(tǒng)需要能夠確保敏感數(shù)據(jù)只被特定B這時(shí)，保證文件的內(nèi)容不被第三者查看變得尤為重要。保證數(shù)據(jù)完整性保證數(shù)據(jù)完整性(Integrity)就是確認(rèn)我們所接收到的來自某一用戶的數(shù)據(jù)是B除了需要確認(rèn)該文件確實(shí)是由用戶A發(fā)出的以外，還需要確認(rèn)這封文件在傳輸過程中沒有被有意或無意的篡改，即用戶B接收到的文件和用戶A發(fā)出的文件是完全全都的。供給不行否認(rèn)性支持安全的信息系統(tǒng)常常要求實(shí)現(xiàn)用戶在系統(tǒng)中的行為的不行否認(rèn)性(Non-Repudiation)。以前面的例子為例，當(dāng)用戶AA能否認(rèn)曾經(jīng)發(fā)出該文件這一事實(shí)。在需要用戶對(duì)自己在系統(tǒng)中的行為擔(dān)當(dāng)責(zé)任的場(chǎng)合，不行否認(rèn)性顯得格外的重要。PKI以簡(jiǎn)潔的介紹。非對(duì)稱密鑰加密技術(shù)簡(jiǎn)介PKI基于非對(duì)稱密鑰加密技術(shù)來實(shí)現(xiàn)應(yīng)用系統(tǒng)對(duì)身份認(rèn)證、數(shù)據(jù)保密性和完整PKI為什么安全的根本前提，也只有在對(duì)PKI的原理有肯定程度的了解之后，才能有效的部署和實(shí)施PKI。在傳統(tǒng)的加密算法中，接收密文的一方使用與加密密鑰一樣的密鑰作為解密密鑰，這種加密技術(shù)因此被稱為對(duì)稱密鑰加密技術(shù)。對(duì)稱密鑰加密算法本身是格外安全的，問題出在如何傳遞加密所使用的密鑰上。為了解決這一問題，提出了非對(duì)稱加密技術(shù)。非對(duì)稱加密在加密時(shí)和解密時(shí)使用不同的密鑰，設(shè)為密鑰pq。使用密鑰pqqp才能解密。但是從密鑰p本身計(jì)算出密鑰q是不行行的。PKI保管，必需嚴(yán)格保密，另一個(gè)密鑰稱為公鑰，通過CA公布，無須保密。當(dāng)用戶A需要將數(shù)據(jù)以加密的方式傳遞給用戶B時(shí)，用戶A使用用戶B的公鑰加密數(shù)據(jù)，加密后的數(shù)據(jù)必需使用用戶B的私鑰才能解密，因此可以保證數(shù)據(jù)傳輸過程的保密性。為了驗(yàn)證數(shù)據(jù)的真實(shí)性，用戶A使用自己的私鑰對(duì)數(shù)據(jù)的哈希值加密，用戶BA由于私鑰不在公共網(wǎng)絡(luò)上傳播，所以PKI有很高的安全性。PKI的組成局部PKI方案的根本構(gòu)造如圖3-2所示。圖3-2PKI的根本構(gòu)造CA和RA相互協(xié)作，負(fù)責(zé)PKI系統(tǒng)中的數(shù)字證書的申請(qǐng)、審核、簽發(fā)和治理。密鑰治理中心與ITPKI備份和恢復(fù)。ITPKI。PKI中的加密效勞組件負(fù)責(zé)驅(qū)動(dòng)系統(tǒng)底層的加密軟件和硬件。安全中間件為應(yīng)用系統(tǒng)隔離了PKIPKI系統(tǒng)與來自第三方的加密軟件和硬件集成的力量。PKI系統(tǒng)中可以配置多套加密效勞組件，以驅(qū)動(dòng)不同的加軟件和硬件。安全中間件與加密效勞組件的組合方式通過安全策略治理PKI方案的可擴(kuò)展力量和可定制力量。認(rèn)證機(jī)構(gòu)CAPKI證書、規(guī)定證書的有效期和通過公布證書廢除列表(CRL)來確保必要時(shí)可以廢除證書。注冊(cè)審核機(jī)構(gòu)RA供給用戶和CA之間的接口，主要完成收集用戶信息和確認(rèn)用CA)申請(qǐng)數(shù)字證書的客戶，可以是個(gè)人，也可以是集團(tuán)或團(tuán)體、某政府機(jī)構(gòu)等。RA用戶的申請(qǐng)資格，并打算是否同意CA對(duì)于一個(gè)規(guī)模較小的PKICA完成，而不設(shè)立獨(dú)立運(yùn)行的RA。但這并不是取消了PKI的注冊(cè)功能，而只是將其作為CA的一項(xiàng)功能而已。PKI方案推舉由一個(gè)獨(dú)立的RA來完成注冊(cè)治理的任務(wù)，通過保證CAIT系統(tǒng)其余局部的物理隔絕，可以增加應(yīng)用系統(tǒng)的安全。CARALDAPPKI時(shí)進(jìn)展檢索和獵取。CA/RA效勞器使用數(shù)據(jù)庫(kù)效勞器保存相關(guān)的數(shù)據(jù)。圖3-3描述了CA、RA、數(shù)據(jù)庫(kù)和LDAP效勞器之間的關(guān)系。圖3-3證書機(jī)構(gòu)和注冊(cè)審核機(jī)構(gòu)(CA/RA)密鑰治理中心包括密鑰產(chǎn)生、密鑰備份和密鑰恢復(fù)等。鑰和其他信息則通過RA交于CA中心進(jìn)展簽名，供生成數(shù)字證書使用。在一個(gè)PKI用PKI引起嚴(yán)峻后果。在某些狀況下用戶可能有多對(duì)密鑰，至少應(yīng)當(dāng)有兩對(duì)密鑰：一對(duì)用于加密，一PKI因此，企業(yè)級(jí)的PKI條件下恢復(fù)該密鑰，并設(shè)置的口令。的密鑰對(duì)，申請(qǐng)的證書。密鑰治理中心需要與PKI系統(tǒng)中的其它加密軟件系統(tǒng)和硬件設(shè)備協(xié)同工作。安全中間件安全中間件是PKIPKI各個(gè)應(yīng)用系統(tǒng)通過安全中間件與底層的PKI證整個(gè)IT安全中間件實(shí)現(xiàn)以下功能：為應(yīng)用系統(tǒng)供給全都的安全應(yīng)用程序編程接口(API)通過加密效勞組件驅(qū)動(dòng)不同的CA安全中間件與相關(guān)組件之間的關(guān)系如圖3-4所示。安全應(yīng)用程序編程接口安全應(yīng)用程序編程接口屏蔽了PKIPKIPKI系統(tǒng)中具體的CA效勞器、加密軟件和加密硬件發(fā)生轉(zhuǎn)變時(shí)，基于安全中間件的應(yīng)進(jìn)展配置即可。安全實(shí)體映射組件安全實(shí)體映射組件維護(hù)IT系統(tǒng)中用戶與PKI系統(tǒng)中的安全實(shí)體之間的映射關(guān)系。當(dāng)用戶承受不同的PKI技術(shù)方案時(shí)，PKI系統(tǒng)中的安全實(shí)體與IT系統(tǒng)中的用IT系統(tǒng)中的用戶與PKI系統(tǒng)中的安全實(shí)體之間的映射關(guān)系能夠有效的簡(jiǎn)化應(yīng)用系統(tǒng)的開發(fā)和實(shí)施。加密效勞組件在安全中間件中，加密效勞組件負(fù)責(zé)驅(qū)動(dòng)PKI向安全中間件供給用戶身份驗(yàn)證、數(shù)據(jù)加密和解密的底層實(shí)現(xiàn)。用戶通過安全應(yīng)用程序編程接口發(fā)出的數(shù)據(jù)加密和解密懇求實(shí)際上由加密效勞組件負(fù)責(zé)具體的實(shí)現(xiàn)。加密效勞組件是PKICA硬件的集成的途徑。PKICA加密硬件的力量，這種力量是通過部署不同的加密效勞組件來實(shí)現(xiàn)的。加密效勞組件向安全中間件供給支持，在加密效勞組件之上的安全中間件為應(yīng)用系統(tǒng)屏蔽了底層的簡(jiǎn)單的PKI安全配置和治理組件PKI系統(tǒng)組件的選型的接口，然后，隨著用戶對(duì)CA使用PKI系統(tǒng)供給的安全效勞也會(huì)有所不同。這也即是為什么目前的大多數(shù)安全中PKI方案通過供給獨(dú)立于安全應(yīng)用程序編程接口的安全配置和治理組件來解決這一問題。當(dāng)用戶選擇不同的CA器及相關(guān)軟件、加密軟件和硬件時(shí)，PKI系統(tǒng)仍舊需要進(jìn)展的配置，這是通過安全配置和治理組件實(shí)現(xiàn)的，應(yīng)用系統(tǒng)不需要進(jìn)展配置，安全中間件與安全配置和治理組件協(xié)同工作，真正的實(shí)現(xiàn)了PKI方案的可擴(kuò)展力量、可定制力量、可開發(fā)力量和可集成力量。安全中間件向應(yīng)用系統(tǒng)供給以下應(yīng)用程序編程接口：數(shù)據(jù)加密和解密信息摘要計(jì)算數(shù)字簽名及驗(yàn)證生成高質(zhì)量隨機(jī)數(shù)其它與安全有關(guān)的系統(tǒng)功能的實(shí)現(xiàn)四PMI局部什么是PMIPMI是PrivilegeManagementInfrastructures的英文縮寫，意為授權(quán)治理根底設(shè)施。PMIPKIPKIPKIPMI證明實(shí)體具有什么權(quán)限，能以何種方式訪問什么資源。典型的場(chǎng)景中，如下面圖4－1所示，假設(shè)某個(gè)用戶或應(yīng)用需要在某一個(gè)資源上行使某個(gè)操作。用戶將向?qū)嶋H保護(hù)該資源的系統(tǒng)〔如一個(gè)文件系統(tǒng)或一個(gè) Server〕發(fā)出懇求，該供給保護(hù)的系統(tǒng)稱為策略實(shí)施點(diǎn)PEP(PolicyEnforcementPoint)。隨后PEP將基于懇求者的屬性、所懇求的資源和所要行使的操作以及其它信息，來形成一個(gè)懇求并發(fā)送到一個(gè)策略決策點(diǎn)PDP(PolicyDecisionPoint)。在PDP,將查看該懇求，并計(jì)算將有哪些策略應(yīng)用到該懇求，從而計(jì)算得出是否允許訪問。決策的結(jié)果將會(huì)返回給PEP,并由PEP來執(zhí)行對(duì)該訪問懇求的許可或拒絕。需要留意的是PEP和PDP是規(guī)律上的概念，它們可以就包含在一個(gè)單獨(dú)的應(yīng)用中，也可以分布在不同的效勞器上。為什么需要PMI

圖4－1PMI規(guī)律構(gòu)造示意圖掌握和降低商業(yè)渠道擴(kuò)展時(shí)所涉及的費(fèi)用，并供給更敏捷的通道。這就要求無需考慮最終用戶的位置〔例如客戶，供給商，伙伴，或雇員〕，用戶可以動(dòng)態(tài)的〕來使用系統(tǒng)并獲得一樣的信息內(nèi)容和質(zhì)量。為實(shí)現(xiàn)這些不同的渠道和交互方式而承受重復(fù)復(fù)制框架和應(yīng)用的做法將大大提高建設(shè)和維護(hù)費(fèi)用，并由于一個(gè)實(shí)際的用戶在多個(gè)系統(tǒng)中都擁有用戶帳號(hào)，因此難以識(shí)別一個(gè)唯一的用戶標(biāo)識(shí)，并供給更好的關(guān)聯(lián)效勞。對(duì)企業(yè)的信任在基于Internet大大增加?！瞚dentity〕治理方案。其實(shí)現(xiàn)必需支持多種技術(shù)和設(shè)備，并具有關(guān)鍵任務(wù)級(jí)的伸縮性和牢靠性。動(dòng)用戶治理。PMI證和授權(quán)的實(shí)現(xiàn)經(jīng)受了如下幾個(gè)階段.需要分別登錄驗(yàn)證。整個(gè)企業(yè)系統(tǒng)環(huán)境中，安全問題往往消滅在最薄弱的系統(tǒng)中，由于需要保證和維護(hù)多個(gè)系統(tǒng)的不同的安全級(jí)別，大大增加了維護(hù)的費(fèi)用和本錢，并且消滅安全漏洞的時(shí)機(jī)也大大增加。開發(fā)約束，另一方面，存在著比較大的安全隱患。在第三階段，整個(gè)企業(yè)已經(jīng)建立起PMI同時(shí)可以集中的提高全部應(yīng)用在身份驗(yàn)證和授權(quán)治理上的安全性。整個(gè)企業(yè)環(huán)境實(shí)現(xiàn)了SingleSignOn。在第四個(gè)階段，PMI擴(kuò)展到了更大的架構(gòu)，不同企業(yè)，不同地域間的應(yīng)用和用戶能夠?qū)崿F(xiàn)相互認(rèn)證和授權(quán)。有多個(gè)用戶標(biāo)識(shí)治理和驗(yàn)證授權(quán)中心存在，相互間能夠?qū)崿F(xiàn)遠(yuǎn)程托付的身份驗(yàn)證和授權(quán)。通過該架構(gòu)為用戶供給了唯一可信的網(wǎng)絡(luò)身份標(biāo)識(shí)并為企業(yè)間的B2B實(shí)現(xiàn)供給堅(jiān)強(qiáng)的安全保證。PMI在可信任的WebService的安全架構(gòu)中，完全需要集中地對(duì)用戶的身份進(jìn)展認(rèn)證并且能夠集中地進(jìn)展授權(quán)治理和授權(quán)決策。 SingleSignOn能提高和加強(qiáng)WebService參與的各系統(tǒng)的安全，并簡(jiǎn)化企業(yè)中各個(gè)異構(gòu)系統(tǒng)的安全治理和維護(hù)。因此實(shí)現(xiàn)一個(gè)完整的，先進(jìn)的PMI(PrivilegeManagementInfrastructures)是實(shí)現(xiàn)可信任的WebService的安全架構(gòu)的重要根底。TrustedWebServicePMI就是這樣一個(gè)先進(jìn)的PMI架構(gòu)。在PMI的框架實(shí)現(xiàn)中，對(duì)于身份驗(yàn)證和授權(quán)效勞都供給了Application和Webapplication的支持，并實(shí)現(xiàn)對(duì)這些應(yīng)用的SingleSignOn。在PMI框架的軟件產(chǎn)品中，供給LDAP信息、用戶授權(quán)信息、資源和效勞信息、組織和角色信息、系統(tǒng)安全策略等重要信息的層次化存儲(chǔ)和查詢效勞。LDAP負(fù)載均衡和高可用性治理效勞〔供給JMX治理接口〕供給對(duì)系統(tǒng)元數(shù)據(jù)名目、用戶身份和屬性信息、用戶授權(quán)信息、資源和效勞信息、組織和角色信息、系統(tǒng)安全策略等重要信息的創(chuàng)立治理和維護(hù)工作。在整個(gè)治理效勞中，還實(shí)現(xiàn)了JavaManagementExtension〔Java〕，能夠和整個(gè)安全應(yīng)用集成框架的頂層治理相集成。策略效勞供給單點(diǎn)登錄、身份驗(yàn)證、授權(quán)決策、以及會(huì)話治理和審核日志服務(wù)。在策略效勞中，為應(yīng)用系統(tǒng)的授權(quán)決策懇求供給決策效勞。PolicyAgentPo