公安業(yè)務應用系統(tǒng)的管理

公安業(yè)務應用系統(tǒng)的管理

0提高信息化建設質量經過多年的信息建設，上海公共安全系統(tǒng)建立了大量成熟的應用系統(tǒng)，其應用范圍覆蓋了上海公共安全的大部分所有公司?；诠矓?shù)字身份證書的集中授權平臺的建設不僅可以改善信息孤島的問題,也將促進公安行業(yè)信息系統(tǒng)建設、業(yè)務流程整合等方面的改革,從整體上提高信息化建設的質量,適應社會經濟快速發(fā)展對公安信息化的需求。這在當前公安信息化建設與發(fā)展中有著十分重要的意義。1授權規(guī)則的構成基于PKI/PMI的規(guī)范的安全認證模型如圖1所示。(1)用戶向訪問控制接口提交自己的數(shù)字證書,并提出訪問;(2)接口請求驗證服務器驗證用戶的身份和權限;(3)驗證服務器調用PKI系統(tǒng),PKI利用數(shù)字證書進行用戶的身份認證,如果不能通過身份驗證,則為非法用戶,拒絕進入系統(tǒng);(4)通過身份認證后,驗證服務器調用PMI系統(tǒng),PMI利用屬性證書進行用戶權限的驗證,如果通過權限驗證可以進入應用系統(tǒng),系統(tǒng)響應用戶請求,否則不能訪問應用系統(tǒng)。模型的主要元素:(1)可視化授權策略生成器:可用來定義、維護和查詢滿足用戶需求的任何類型的授權策略。定義后的策略轉化成可被授權決策引擎處理的授權規(guī)則存放數(shù)據(jù)庫中。(2)授權語言控制臺:管理員用于指定授權規(guī)則,作用類似于可視化策略生成器,方便管理員更快更方便的制定授權規(guī)則。(3)用戶、組、角色管理模塊:管理用戶、組合角色之間的關系,包括分配角色給用戶、添加刪除組內用戶、角色間的繼承關系等等。(4)API接口:用于授權和訪問控制的接口,分為兩類:授權管理API和授權引擎API。授權管理API用于為用戶和組設置權限。授權引擎API主要用于控制用戶對資源的訪問。(5)授權決策引擎:主要用于判斷是否允許主體(包括用戶、進程、應用等)發(fā)送的訪問請求。授權決策引擎從文本文件、分布式授權服務器或用戶提供的證書獲取所有與該請求相關的訪問策略,并根據(jù)這些策略做出決策。引擎還包括權限沖突的檢測和解決。(6)授權語言解釋器:用于對客戶端生成的授權語句的解釋處理,然后存儲到授權規(guī)則數(shù)據(jù)庫中。(7)數(shù)據(jù)庫:保存成員信息、授權規(guī)則、歷史訪問信息等,用于授權決策的判定。(8)主體:主體的類型有多種,包括但不僅限于用戶、應用、主機、任意一個人、機構、進程等。(9)客體:訪問控制的目的是保護客體免于非授權的訪問。受保護的客體種類對應用來說是特定的,不包含在授權模型內。需要保護的客體包含但不僅限于:數(shù)據(jù)庫數(shù)據(jù)、文件、目錄、網絡連接、主機、外設等實體?？腕w名稱應該從應用特定的命名域中提取得到,而且對授權機制來說必須是明確的。(10)策略語言:與客體相關的策略包括一個允許的操作集合、一個允許的主體集合和一個可選的操作約束。定義一個策略必須包括:訪問標志、授予者標志、訪問權限集合、條件集合。策略語言表示了一個設置了條件的符號序列。(11)條件的設置:條件的設置分為一般的和特殊的,一般的條件可在訪問控制API中判定;特殊的條件是依賴于應用的,由應用來判定。一般的條件有:(1)訪問允許的時間或時間間隔。(2)主體的位置。權限被授予某些特定的主機、域或網絡上的主體。(3)信息保護。設置如何保護信息的機密性和完整性。(4)權限約束:一般,一個主體可能屬于多個組,該主體除了自己單獨的權限意外,還缺省的擁有他所屬組的所有權限。在分配權限時,可以選擇:A、一次只有一個組的權限。B、一次可以有特定幾個組的權限。(12)一般授權和訪問API(1)授權管理API:提供必要的訪問對授權相關的主體執(zhí)行管理功能,也可以用于實現(xiàn)認證功能。主要的操作包括:增加或刪除用戶、增加或刪除機構和增加或刪除應用。(2)權限引擎API:主要包含兩個功能:一是檢查某個特定用戶是否被授予特定的操作集合;二是檢索特定用戶所授予的操作集合。2各系統(tǒng)接入方案從調研的各個應用系統(tǒng)統(tǒng)計分析來看,它們都是面向上海市公安各個部門的警員用戶或與公安密切相關的用戶,用戶群體比較固定;組織機構也相對一致。采用統(tǒng)一的基礎信息庫管理用戶和機構信息,并通過同步的方式分發(fā)給各個應用系統(tǒng)使用可以有效的解決用戶信息無法統(tǒng)一、信息重復、身份不一致、應用系統(tǒng)無法整合、系統(tǒng)安全性差、用戶操作復雜、維護難度大等問題值。系統(tǒng)整體接入對策如圖2。(1)應用正式開通前,需要到統(tǒng)一信息集中授權管理平臺進行注冊,并約定需要同步的機構、用戶信息域。(2)統(tǒng)一信息集中授權管理平臺將人員機構信息定時通過不同的適配器同步給各個應用系統(tǒng)。(3)終端用戶通過SSL認證網關進行身份驗證和屬性獲取,并提交到應用服務器進行權限驗證。3關鍵技術3.1應用系統(tǒng)機構的功能基礎信息庫按結構層次可分為展現(xiàn)層、應用層和數(shù)據(jù)層,其中展現(xiàn)層主要是基礎信息管理UI,應用層主要有組織機構信息管理、人員信息管理、應用系統(tǒng)信息管理、同步管理和服務管理等模塊(如圖3)。人員信息管理:實現(xiàn)應用系統(tǒng)人員的整個生命周期的管理,對于人員的入職、調動、兼職、離職等過程中的用戶身份的信息操作管理。組織機構信息管理:實現(xiàn)應用系統(tǒng)機構的整個生命周期的管理,對于機構的創(chuàng)建、調整、拆分、合并等過程中機構信息操作管理。應用系統(tǒng)管理:在權威基礎信息庫注冊需要管理的應用系統(tǒng)的信息;同時在應用系統(tǒng)中注冊相應服務,以實現(xiàn)數(shù)據(jù)同步。應用系統(tǒng)管理包括應用系統(tǒng)注冊(應用系統(tǒng)的注冊、審批、信息修改和注銷等生命流程)和應用系統(tǒng)服務管理(應用系統(tǒng)同步服務接口地址的注冊、修改和注銷)。授權管理:將各個應用系統(tǒng)的角色授予對應的人員,并記錄授權的歷史軌跡。主要包括授權、凍結授權、解凍授權、臨時授權、撤銷授權等過程中授權信息操作管理。服務管理:管理向外提供的服務,如向外提供用戶信息修改、應用系統(tǒng)注冊等接口。3.2統(tǒng)一信息集中授權平臺的數(shù)據(jù)同步設計數(shù)據(jù)同步服務用于基礎信息庫和各個應用系統(tǒng)之間的數(shù)據(jù)交互,主要完成將基礎信息庫的數(shù)據(jù)同步到其它系統(tǒng)中(圖4)。統(tǒng)一信息集中授權平臺的數(shù)據(jù)同步設計思路是統(tǒng)一信息集中授權平臺對應用系統(tǒng)開放數(shù)據(jù)接口,向應用系統(tǒng)發(fā)布更新命令,應用系統(tǒng)自行更新用戶、組織機構等數(shù)據(jù)。平臺以XML文檔的形式開放用戶、組織機構、用戶擁有角色信息的數(shù)據(jù)接口,平臺通過http協(xié)議向應用系統(tǒng)的數(shù)據(jù)同步程序發(fā)布同步指令,數(shù)據(jù)同步程序通過平臺的數(shù)據(jù)接口讀取并更新數(shù)據(jù)。4公安信