中国移动4A系统账号密码管理方式

        好像现在很多移动公司正开展着4A项目的安全建设，参照的依据便是移动集团关于4A安全建设的规范。4A便是Account、Authentication、Authorization和Audit（账户管理，认证管理，授权管理，审计管理）的缩写，缺一不可。

 

        4A系统负责用户主帐号管理；在应用资源与4A系统集成后，4A系统也要实现对应用资源侧的从帐号管理。根据应用资源与4A系统集成规范，对账户密码管理方式做个总结：

 

        应用资源侧应做到一个自然人对应一个主帐号，而不是一个主帐号由多个自然人共享，主帐号以UID作为自然人身份的唯一标识。一个主帐号可对应一个从帐号，也可同时对应多个从帐号（每个从帐号对应一个岗位或职务的权限）。

如果一个主帐号在一个应用资源内有多个从帐号的话，用户需要在登录界面中选择使用某一个从帐号进行访问。主帐号认证方式由静态口令认证方式与动态短信认证方式（国内用户）或数字证书（海外用户）认证方式组成。

        考虑到从帐号密码维护的安全性，如下约定：
        1、应用资源的从帐号密码应与主帐号密码保持一致；当在4A系统中修改主帐号密码时，同时修改从帐号密码。当密码过期时，4A系统只负责提醒用户修改密码，4A系统不会自动修改主帐号密码。
        2、当4A系统正常时，用户不应在应用资源侧自行修改从帐号密码；
        3、对于多个主帐号对应一个从帐号的情况，4A系统将不维护该从帐号的密码，而由资源负责人自行维护；

 

        为了保证密码的不可逆性，要求从帐号密码统一采用SHA-1算法加密，之后以Base64编码存储。在4A侧采用SHA-1 算法对从帐号密码做处理，把生成的摘要字符串传递至应用资源，4A系统和应用资源均采用Base64编码对该字符串存储；用户访问应用资源时，应用资源将从帐号密码明文通过SHA-1算法处理得到摘要字符串，然后与4A传来的摘要字符串进行对比；如果结果一致则说明用户输入的密码是正确的。而对于需要保留现有密码加密存储方式的应用资源，可以对应用资源侧输入的从帐号密码明文进行SHA-1算法变换，然后再通过应用资源原有的加密算法进行存储。

        4A系统初始化时将从应用资源侧同步从帐号到4A侧，之后从帐号的增加、删除、查询、基本属性的修改维护工作（不包含对从帐号的细粒度授权）统一在4A侧操作。通常情况下4A系统以增量方式完成同步从帐号；在定期从帐号核查时，4A系统进行从帐号全量同步。4A系统不从应用资源侧同步从帐号密码，而是在用户修改主帐号密码时将从帐号密码同步到应用资源。从帐号第一次同步到4A系统后，用户登录4A时将强制要求用户修改主帐号初始密码。
        4A系统授权管理原则是谁管理谁授权。资源负责人在4A建立主帐号到从帐号的对应关系，从而实现自然人到资源的实体级授权。从帐号在应用资源侧的权限，由资源负责人通过应用资源配置。

 

        上面的为应用系统与4A集成规范，前面介绍的UAC产品集成策略，便是一个3A系统，通过账户同步模块来保持应用系统与3A账户的同步。

 

       

评论

1 楼 jyjava 2012-07-17  

传说中单点登录，哈哈