企业综合认证服务

企业内网，建立在企业内部，为员工提供信息的共享和交流，为业务提供运营和管理的支撑，已是当今企业信息化建设必不可少的一个项目。随着企业的规模越来越大，业务越来越广，系统建设就显得尤为重要。

一、系统的功能

1.用户管理

在企业中，每个用户都有一个唯一的账号进行登录，用户的账号和个人身份信息（包含姓名、邮件等公共属性）会集中保存在内网统一认证系统里。但对于同一个用户在外部系统中的账号，如微信、钉钉、Tower等第三方系统，统一认证系统也可以通过定时同步或实时查询等方式获取到用户的信息。小编这里有个群：103456743！大家可以加下，里面遍布了全国各地的学习者！为大家提供一个交流平台，不管平时有碰到什么BUG或者学习过程中卡壳，找不到人替你解决？那么就进来吧，里面热心的小伙伴还是非常多的，管理也是挺好的，有什么问题，他如果有时间都能给大家解决，我觉得是一个非常不错的交流平台，没事也可以和大家扯扯公司的事学校发生的趣事，群文件已经上传了好多G的资料，PDF，视频 安装工具，安装教程都是有的，为了大家的学习能更进一步！也为了大家能愉快的交流，讨论学术问题！所以你还在等什么呢?好了马上给大家带来正文！

二、系统架构设计

1.接口设计

企业内网的统一认证平台建议基于B/S模式设计，后端使用Django框架以快速开发，用DB+LDAP方式完成用户各类信息的存储，保障存储和查询效率。 统一认证的核心问题是鉴权中心和各子系统之间的通信接口问题，用户认证接口协议可以基于标准化HTTP/HTTPS方式实现，并对外提供不同语言的SDK（如Python CAS库、Java Web过滤器等），使得第三方业务系统的接入不完全依赖于特定的开发环境。

（2）LDAP技术

轻型目录存取协定（英文：Lightweight Directory Access Protocol，缩写：LDAP）是一个开放的，中立的，工业标准的应用协议，通过IP协议提供访问控制和维护分布式信息的目录信息。

目录服务在开发内部网和与互联网程序共享用户、系统、网络、服务和应用的过程中占据了重要地位。例如，目录服务可能提供了组织有序的记录集合，通常有层级结构，例如公司电子邮件目录。同理，也可以提供包含了地址和电话号码的电话簿。

由上图架构所示，一方面常见的办公系统（如代码仓库、Wiki等）自身即支持LDAP认证，通过配置Windows AD中的目录/用户搜索规则即完成对登录用户的认证；另一方面自行开发的业务系统通过中央认证服务器提供的接口间接的对Windows AD进行登录用户的认证，即一个用户，一套密码，在多个系统中都可使用。

2.身份认证

（1）通过外部应用认证

外部应用，如即时通讯软件钉钉等，这些应用存有单独的一套用户凭证，通过应用提供的免登服务，将应用中的用户与统一认证服务器中的用户进行一一对应，当用户在外部应用中登录后，自动获得在企业内应用的已登录状态。

（2）通过TOTP动态验证码认证

OTP (One-Time Password) ，一次性密码，也称动态口令。它是使用密码技术实现在客户端和服务器之间共享秘密的一种认证技术，是一种强认证技术，是增强目前静态口令认证的一种非常方便的技术手段，是一种重要的双因素认证技术。

TOTP (Time-base One-Time Password) ，基于时间的一次性密码，也称时间同步的动态密码。当在一些用户不方便输入密码或者忘记密码的场景中，我们可以使用TOTP进行认证。服务器和用户各自保管共同的密钥，通过比对基于时间分片与哈希计算出的动态数字验证码即可完成对用户身份的认证。主流实现为Google Authenticator（Google身份验证器），阿里的身份宝也兼容该算法。

图-4：TOTP算法图示

（3）双因子认证

双因子认证（Two-Factor Authentication）是指结合密码以及实物（信用卡、SMS手机、令牌或指纹等生物标志）两种元素对用户进行认证的方法。

（4）Token-based

口令认证，比如 FTP 、邮件服务器的登录认证，这是一种简单易用的方式，实现一个口令在多种应用当中使用。

基于网关

基于 SAML

Ticket-based（基于票据）

4.BUC实践

在我们的内网应用中，最终选择了CAS协议作为单点登录的方案。CAS（Central Authentication Service）是 Yale 大学发起的一个企业级的、开源的项目，旨在为 Web 应用系统提供一种可靠的单点登录解决方法。CAS开始于2001年，并在2004年12月正式成为JA-SIG的一个项目。

CAS的主要特点有：

开源

支持多种认证机制：Active Directory、JAAS、JDBC、LDAP、X.509等

安全策略：使用票据（Ticket）来实现支持的认证协议

支持授权：可以决定哪些服务可以请求和验证服务票据

提供高可用性

支持多种客户端及SDK： Java， .Net，PHP，Python，nodejs 等

服务端也有多种语言实现

（1）登录验证流程

图-6：用户、CAS客户端、服务端三方交互过程

（2）安全扩展

当CAS服务端完成了对用户和CAS客户端的验证之后，CAS服务端将验证后的用户信息传输给CAS客户端（目标应用），同时也可根据配置返回该应用下的附属用户信息，如用户拥有的该应用下的角色、权限和属性。目标应用根据服务器返回的用户信息进一步检查用户可访问的资源，适当的展示业务视图。

四、ACL使用技术和实现

在现代企业，尤其是互联网企业中，产品业务繁多，对数据安全、访问控制都提出了很高的要求，基于用户组织结构、汇报线等传统的分组模式已经无法适应和满足多变的互联网扁平化管理模式的需要，因此我们选择了基于角色和权限的动态分组来设计和实现企业中不用应用可以共享的安全访问管理系统。

1.权限

权限是针对资源和操作层面的最小安全访问控制单元，例如：

按资源分，可以设置访问设备A、访问设备B等。

按操作分，可以设置读取文件，写入文件等。

例-1：权限分类示意图

2.角色

角色是针对应用使用者来设置的，可分为管理员、技术人员，普通用户等，也可按区域分为华北员工、华南员工等。

角色是一系列权限的集合，拥有某角色的用户即应当自动拥有该角色下包含的权限。

图-7：角色与权限关系示意图

3.属性

属性是针对用户层面下设置的独立的安全设置，用来扩展和实现更细粒度的自定义安全设置数据，如将可访问数据细化到数据库中的表、数据表中的行、列上。

得益于JSON的兼容性，可以很灵活的存储下这些自定义的结构化数据。

例-2：用户属性示意图

4.ACL实践

1.数据库建模

依模型图可以看出，一个应用可划分多个角色、权限、路径和属性，其中角色又可包含同应用下的权限和路径。一个用户对应一个ACL，通过将不同的控制单元授予用户，即可完成用户的访问控制配置。

如有侵权请联系小编删除！

　　网站是怎么认证的？很多正规企业的官网是如何认证的？现在我来告诉大家正确的认证方式，免费别想了，花钱也不一定可以上，这是多家国家权威机构交互审核严格的保障，防止虚假，钓鱼，同行业等等网站恶意竞争对网民造成的侵害，提升公司网站的品牌辨识度以及信誉度，为企业官网树立可信形象，为企业在互联网上增加合作的几率。

　　在我们生活中，如果一个人无法得到别人的信任，那么将失掉他在别人心中的信誉，如果一个企业无法得到消费者的信任，那么它将没办法持久生存下去。映射到互联网时代，如果一个企业不能赢得消费者的信任，那么，网上交易将无法进行，企业也将失去品牌的信誉。因此，如何在缤纷错杂的互联网环境中，让你的客户快速信任你，将是互联网企业在未来发展中面对的首要问题，而专业的网站认证即是解决这一难题最为便捷的通道。

　　专业认证机构彰显网站权威

　　网站认证是指第三方权威机构对互联网网站进行的网站真实身份及相关信息认证。资质齐全、信用良好的企业会获得相应的证书及相关认证图标，企业可以将其放在网站的最下方，以此向用户展示自身良好的信誉，网民也可以通过点击图标浏览详细的网站资料，更方便的识别网站的真伪，放心交易。

　　目前来看，进行网站认证的权威机构包括国家工信部、中国电子信用管理中心、中国电子商务协会等，此外，一些经由认证机构审核认可的第三方网站诚信验证服务机构也以其专业权威性，帮助万千企业进行网站认证，提升网站的信誉度，比如中万网络等。

　　目前国内复杂的网络安全状况，催生了许多不同的网站认证形式，他们有着不尽相同的认证机构，也有着不同的认证流程和展示方式，接下来中万网络就为您详细介绍一下。

　　1）北龙中网—可信网站认证

　　可信网站认证是由北龙中网推出的网站真实身份验证服务。它通过对网站实体信息进行核对来验证网站的身份。通过可信网站认证的企业也会得到“可信网站”认证的标识，并展示在网站，用户可以通过点击图标到达验证页面，查看网站的认证及安全信息。

　　另外，可信网站认证也可以在还可以在搜狗搜索引擎、必应搜索引擎、神马搜索引擎提示此网站通过中网可信网站认证。搜狗浏览器、遨游浏览器、uc浏览器、114浏览器地址栏v标安全展示中得到展示。

可信网站认证：http://rz.zw/kxwz.html

　　2）中国电子商务协会—诚信网站认证

　　诚信网站”认证评价为工信部、商务部、国资委、发改委权威认定，中国电子商务协会具体监督和指导的第三方网站真实身份认证服务，是全国最具权威的政府性网站认证;认证通过后企业会得到相关的认证标识，并以一个红色诚信网站图标的形式展示在网站最下方的醒目位置，用户亦可通过点击图标查看该网站的认证信息及安全信息。

　　而且会在中国电子商务协会“企业诚信数据库系统中”，拥有一个全国最具权威和唯一性的 “企业诚信档案编号”。可以有效保护企业网站不被钓鱼、复制和盗用，该系统包含了所有经过国家ICP备案和经过诚信网站认证的企业网站信息。 此外，它还具备"网站运行监护、网页篡改监护、木马病毒监控"等网站安全服务，快速消除用户所担心的网络安全等问题。

诚信网站认证：http://rz.zw/cxwz.html

　　3）安全联盟—安全联盟认证

　　安全联盟认证是由中国电子商务协会指导，安全联盟推出验证网站真实身份的第三方认证服务。网站通过验证后，安装安全联盟认证Logo代码，安全联盟logo一般放在网站下方醒目位置上，以一个图标的形式出现，用户点击这个图标可以连接到安全联盟的服务器上，查看该网站的验证信息，可接受全国用户公开查询。

　　网站还可以在qq聊天窗口发网址绿色v标展示（提示官方认证可放心访问）。在搜狗浏览器、YY浏览器、QQ浏览器地址栏v标安全展示（提示通过安全联盟认证，可放心访问），腾讯手机管家和搜狗号码通来电展示。有效提升网站信誉，在维护网站信誉的同时，也为广大网友建立一个安全可靠的互联网环境。

安全联盟认证：http://rz.zw/aqlm.html

　　4）赛门铁克（Symantec）-ssl服务器证书

　　赛门铁克(Symantec)是目前全球最大的SSL证书品牌，其提供的产品也都是目前业界领先的加密技术，能够为不同的网站和服务器提供安全有效地解决方案。SSL证书对于金融证券、银行、以及网上商城等涉及交易支付、客户隐私隐私信息和账号密码的网站来说是非常重要的。

　　ssl证书通过在客户端浏览器与WEB服务器之间建立一条SSL安全通道，其作用就是对网络传输中的数据进行记录和加密，防止数据被截取或窃听，从而保证网络数据传输的安全性，保障了网站与客户之间的信息传递安全。

ssl证书申请：http://rz.zw/ssl.html

　　5）商务部-商务部AAA企业信用等级评价

　　企业信用评级是企业信用评级是评级机构按照一定的方法和程序在由商务部、国资委联合推行的行业信用等级评价工作，是由专业的对企业进行全面了解、考察调研和分析的基础上，做出有关其信用行为的可靠性、安全性程度的评价，并以专用符号或简单的文字形式来表达的一种信用服务，企业信用评级能够客观公正地反映受评对象按合同约定如期履行债务或其他义务的能力和意愿。

　　企业信用评级的等级划分为AAA、AA、A、B、C三等五级，其释义和计分标准。必要时，可将B、C两等级再扩展为BBB、BB、B和CCC、CC、C六级，即三等九级；还可对每个信用级别用“＋”、“－”进行微调，表示略高或略低于本等级。企业信用等级直接反应一个企业的整体诚信形象，目前国内各省市在项目招投标投标、融资贷款、政府采购、企业宣传等，均要求企业出具信用等级证书、资信等级证明、信用报告，企业信用评价报告起到加分的效果。

商务部AAA企业信用等级评价：http://rz.zw/bcp_xypj.html

　　6）百度-百度信誉v认证

　　百度信誉V认证也称百度信誉档案。是通过对互联网商家网站及网站背后的经营实体的资质、真实性认证、可信行为、消费承诺意愿、口碑评价等数据的集合，以信誉评级和信誉成长值等方式，把网站的综合信誉情况呈现给网民，作为网民决策的参考依据；从而为商家提供的一套综合的诚信背书产品，同时通过展示诚信背书，以帮助网民快速识别权威优质网站，防止山寨网站、钓鱼虚假网站对网民的侵害，提升网民信任程度，增加商家品牌影响力与公信力。

　　百度信誉V认证有V1、V2、V3这三个级别，级别越高，网站的信誉度也高， 通过“官网”字样和信誉v标不仅能够提升网站知名度，而且对网站权威性也是极大的认可，更重要的是保护品牌形象。尤其是一些电子商务、购物类网站，通过“官网”字样认证后，网民朋友购买东西会更有安全感，也会更加信赖网站。

百度信誉v认证：http://rz.zw/baiduv.html

　　专业认证全面维护网民利益

　　虽然目前国内的网站认证依然主要以身份认证为主，但不同的认证形式也都从不同角度维护了网站的诚信及安全问题，对确定网站安全状态的良好，防止网站被他人恶意破坏有着重要作用。

　　如今，随着钓鱼网站、虚假网站的出现，不少用户和企业都深陷网络诚信的困扰中，专业的网站认证不仅能够让正规合法的互联网企业更好的取信于民，更好的维护公众的合法权益。而且对全面保障电子商务行业的安全发展也有着重要意义。

　　中万网络作为国内专业的第三方网站认证机构，中万网络不仅为广大互联网企业提供诚信网站认证、可信网站验证、安全联盟认证、赛门铁克ssl证书几种专业的网站认证服务，有效帮助互联网企业提升网站信用度，而且也一直秉承自身的专业性，不断开拓新产品，在帮助企业快速赢得客户信任的同时，助推整个行业的健康发展。

企业内网，建立在企业内部，为员工提供信息的共享和交流，为业务提供运营和管理的支撑，已是当今企业信息化建设必不可少的一个项目。随着企业的规模越来越大，业务越来越广，系统建设就显得尤为重要。

一、系统的功能

1.用户管理

在企业中，每个用户都有一个唯一的账号进行登录，用户的账号和个人身份信息（包含姓名、邮件等公共属性）会集中保存在内网统一认证系统里。但对于同一个用户在外部系统中的账号，如微信、钉钉、Tower等第三方系统，统一认证系统也可以通过定时同步或实时查询等方式获取到用户的信息。小编这里有个群：103456743！大家可以加下，里面遍布了全国各地的学习者！为大家提供一个交流平台，不管平时有碰到什么BUG或者学习过程中卡壳，找不到人替你解决？那么就进来吧，里面热心的小伙伴还是非常多的，管理也是挺好的，有什么问题，他如果有时间都能给大家解决，我觉得是一个非常不错的交流平台，没事也可以和大家扯扯公司的事学校发生的趣事，群文件已经上传了好多G的资料，PDF，视频 安装工具，安装教程都是有的，为了大家的学习能更进一步！也为了大家能愉快的交流，讨论学术问题！所以你还在等什么呢?好了马上给大家带来正文！

二、系统架构设计

1.接口设计

企业内网的统一认证平台建议基于B/S模式设计，后端使用Django框架以快速开发，用DB+LDAP方式完成用户各类信息的存储，保障存储和查询效率。 统一认证的核心问题是鉴权中心和各子系统之间的通信接口问题，用户认证接口协议可以基于标准化HTTP/HTTPS方式实现，并对外提供不同语言的SDK（如Python CAS库、Java Web过滤器等），使得第三方业务系统的接入不完全依赖于特定的开发环境。

（2）LDAP技术

轻型目录存取协定（英文：Lightweight Directory Access Protocol，缩写：LDAP）是一个开放的，中立的，工业标准的应用协议，通过IP协议提供访问控制和维护分布式信息的目录信息。

目录服务在开发内部网和与互联网程序共享用户、系统、网络、服务和应用的过程中占据了重要地位。例如，目录服务可能提供了组织有序的记录集合，通常有层级结构，例如公司电子邮件目录。同理，也可以提供包含了地址和电话号码的电话簿。

由上图架构所示，一方面常见的办公系统（如代码仓库、Wiki等）自身即支持LDAP认证，通过配置Windows AD中的目录/用户搜索规则即完成对登录用户的认证；另一方面自行开发的业务系统通过中央认证服务器提供的接口间接的对Windows AD进行登录用户的认证，即一个用户，一套密码，在多个系统中都可使用。

2.身份认证

（1）通过外部应用认证

外部应用，如即时通讯软件钉钉等，这些应用存有单独的一套用户凭证，通过应用提供的免登服务，将应用中的用户与统一认证服务器中的用户进行一一对应，当用户在外部应用中登录后，自动获得在企业内应用的已登录状态。

（2）通过TOTP动态验证码认证

OTP (One-Time Password) ，一次性密码，也称动态口令。它是使用密码技术实现在客户端和服务器之间共享秘密的一种认证技术，是一种强认证技术，是增强目前静态口令认证的一种非常方便的技术手段，是一种重要的双因素认证技术。

TOTP (Time-base One-Time Password) ，基于时间的一次性密码，也称时间同步的动态密码。当在一些用户不方便输入密码或者忘记密码的场景中，我们可以使用TOTP进行认证。服务器和用户各自保管共同的密钥，通过比对基于时间分片与哈希计算出的动态数字验证码即可完成对用户身份的认证。主流实现为Google Authenticator（Google身份验证器），阿里的身份宝也兼容该算法。

图-4：TOTP算法图示

（3）双因子认证

双因子认证（Two-Factor Authentication）是指结合密码以及实物（信用卡、SMS手机、令牌或指纹等生物标志）两种元素对用户进行认证的方法。

（4）Token-based

口令认证，比如 FTP 、邮件服务器的登录认证，这是一种简单易用的方式，实现一个口令在多种应用当中使用。

基于网关

基于 SAML

Ticket-based（基于票据）

4.BUC实践

在我们的内网应用中，最终选择了CAS协议作为单点登录的方案。CAS（Central Authentication Service）是 Yale 大学发起的一个企业级的、开源的项目，旨在为 Web 应用系统提供一种可靠的单点登录解决方法。CAS开始于2001年，并在2004年12月正式成为JA-SIG的一个项目。

CAS的主要特点有：

开源

支持多种认证机制：Active Directory、JAAS、JDBC、LDAP、X.509等

安全策略：使用票据（Ticket）来实现支持的认证协议

支持授权：可以决定哪些服务可以请求和验证服务票据

提供高可用性

支持多种客户端及SDK： Java， .Net，PHP，Python，nodejs 等

服务端也有多种语言实现

（1）登录验证流程

图-6：用户、CAS客户端、服务端三方交互过程

（2）安全扩展

当CAS服务端完成了对用户和CAS客户端的验证之后，CAS服务端将验证后的用户信息传输给CAS客户端（目标应用），同时也可根据配置返回该应用下的附属用户信息，如用户拥有的该应用下的角色、权限和属性。目标应用根据服务器返回的用户信息进一步检查用户可访问的资源，适当的展示业务视图。

四、ACL使用技术和实现

在现代企业，尤其是互联网企业中，产品业务繁多，对数据安全、访问控制都提出了很高的要求，基于用户组织结构、汇报线等传统的分组模式已经无法适应和满足多变的互联网扁平化管理模式的需要，因此我们选择了基于角色和权限的动态分组来设计和实现企业中不用应用可以共享的安全访问管理系统。

1.权限

权限是针对资源和操作层面的最小安全访问控制单元，例如：

按资源分，可以设置访问设备A、访问设备B等。

按操作分，可以设置读取文件，写入文件等。

例-1：权限分类示意图

2.角色

角色是针对应用使用者来设置的，可分为管理员、技术人员，普通用户等，也可按区域分为华北员工、华南员工等。

角色是一系列权限的集合，拥有某角色的用户即应当自动拥有该角色下包含的权限。

图-7：角色与权限关系示意图

3.属性

属性是针对用户层面下设置的独立的安全设置，用来扩展和实现更细粒度的自定义安全设置数据，如将可访问数据细化到数据库中的表、数据表中的行、列上。

得益于JSON的兼容性，可以很灵活的存储下这些自定义的结构化数据。

例-2：用户属性示意图

4.ACL实践

1.数据库建模

依模型图可以看出，一个应用可划分多个角色、权限、路径和属性，其中角色又可包含同应用下的权限和路径。一个用户对应一个ACL，通过将不同的控制单元授予用户，即可完成用户的访问控制配置。

如有侵权请联系小编删除！