建設(shè)數(shù)字化校園的目標(biāo)是消除校園網(wǎng)中的信息孤島，整合校園網(wǎng)中的各種應(yīng)用系統(tǒng)并實(shí)現(xiàn)統(tǒng)一的身份認(rèn)證服務(wù)機(jī)制。運(yùn)用SOA構(gòu)建統(tǒng)一身份認(rèn)證服務(wù)架構(gòu)，一方面它實(shí)現(xiàn)了平臺(tái)無(wú)關(guān)性，另一方面實(shí)現(xiàn)了分布式部署、組合和使用的服務(wù)。 隨著近幾年高校對(duì)校園網(wǎng)絡(luò)基礎(chǔ)硬件設(shè)施擴(kuò)建的完成，很多高校已開始建設(shè)數(shù)字化校園，而統(tǒng)一身份認(rèn)證服務(wù)作為數(shù)字化校園建設(shè)的基礎(chǔ)部分，它是每個(gè)高校建設(shè)數(shù)字化校園所面臨的一個(gè)問題。筆者以在數(shù)字化校園建設(shè)方面具有特色的部分高校為例，研究其校園網(wǎng)的統(tǒng)一身份認(rèn)證服務(wù)后，發(fā)現(xiàn)它們都別具一格，各有所長(zhǎng)，但在總體架構(gòu)上沒有一套統(tǒng)一、完善的理論與方法。本文運(yùn)用SOA(Service—Oriented Architecture)模型，設(shè)計(jì)并實(shí)現(xiàn)了一個(gè)基于SOA的統(tǒng)一身份認(rèn)證服務(wù)架構(gòu)的方案。
1 統(tǒng)一身份認(rèn)證服務(wù)架構(gòu)
1.1面向服務(wù)的架構(gòu)SOA
SOA(Service—Oriented Architecture)是一種軟件架構(gòu)模型，它可以根據(jù)需要對(duì)松耦合的粗粒度應(yīng)用組件進(jìn)行分布式部署、組合和使用。服務(wù)之間采用松耦合有兩大好處，第一是各種服務(wù)能夠靈活組合，第二是每個(gè)服務(wù)的內(nèi)部結(jié)構(gòu)和實(shí)現(xiàn)發(fā)生改變時(shí)，其構(gòu)成的整個(gè)應(yīng)用程序無(wú)需改變。反之，緊耦合意味著應(yīng)用程序的不同組件之間的接口與其功能和結(jié)構(gòu)是緊密相連的，因而當(dāng)需要對(duì)部分或整個(gè)應(yīng)用程序進(jìn)行某種形式的更改時(shí)，不易對(duì)其進(jìn)行重構(gòu)。SOA的關(guān)鍵是“服務(wù)”的概念，在該架構(gòu)中，定義了兩個(gè)角色，服務(wù)提供者和服務(wù)使用者。
目前支持SOA架構(gòu)概念的軟件體系有好幾種。使用基于SOAP協(xié)議的Web服務(wù)技術(shù)來(lái)構(gòu)建統(tǒng)一身份認(rèn)證服務(wù)架構(gòu)，這種技術(shù)正快速發(fā)展。是未來(lái)的發(fā)展方向，它提供了一個(gè)系統(tǒng)架構(gòu)以及一系列的技術(shù)標(biāo)準(zhǔn)與規(guī)范。
1.2基于SOA的統(tǒng)一身份認(rèn)證架構(gòu)
統(tǒng)一身份認(rèn)證服務(wù)主要實(shí)現(xiàn)用戶管理、身份認(rèn)證、分級(jí)權(quán)限管理和單點(diǎn)登錄等功能。以解決校園數(shù)字化建設(shè)過(guò)程中用戶定義模糊、用戶身份組織零亂、交叉權(quán)限管理定義和應(yīng)用系統(tǒng)入口多樣性等棘手的問題。
本系統(tǒng)架構(gòu)以北京大學(xué)和重慶大學(xué)等已建設(shè)或正在建設(shè)的統(tǒng)一身份認(rèn)證服務(wù)為研究基礎(chǔ)，結(jié)合SOA等技術(shù)對(duì)統(tǒng)一身份認(rèn)證服務(wù)進(jìn)行了進(jìn)一步定義。在基于SOA的統(tǒng)一身份認(rèn)證服務(wù)架構(gòu)中，依據(jù)SOA定義的服務(wù)提供者和服務(wù)使用者角色，將統(tǒng)一身份認(rèn)證服務(wù)所要實(shí)現(xiàn)的功能封裝成為服務(wù)提供者，作為服務(wù)使用者的各應(yīng)用系統(tǒng)必須依據(jù)統(tǒng)一服務(wù)接口所定義的調(diào)用方法才能調(diào)用服務(wù)。服務(wù)提供者按三層結(jié)構(gòu)來(lái)設(shè)計(jì)，分別為統(tǒng)一認(rèn)證中心數(shù)據(jù)庫(kù)、統(tǒng)一信息管理和統(tǒng)一服務(wù)接口。對(duì)統(tǒng)一認(rèn)證中心數(shù)據(jù)庫(kù)的訪問操作經(jīng)過(guò)封裝后。只有經(jīng)過(guò)統(tǒng)一服務(wù)接口才能進(jìn)行訪問，同時(shí)在統(tǒng)一服務(wù)接口處設(shè)置相應(yīng)的安全性檢查和訪問控制的策略匹配來(lái)提高對(duì)中心數(shù)據(jù)庫(kù)的訪問安全。
服務(wù)使用者調(diào)用一次服務(wù)的過(guò)程為：1)服務(wù)使用者依據(jù)認(rèn)證語(yǔ)言及語(yǔ)法構(gòu)造認(rèn)證指令。21使用與服務(wù)提供者約定的加密算法對(duì)認(rèn)證指令進(jìn)行加密。3)將加密后的密文封裝成SOAP消息，并將消息發(fā)送到服務(wù)提供者。4)服務(wù)提供者收到SOAP消息后拆封并提取消息。5)使用與服務(wù)使用者約定的加密算法解密密文。 6)對(duì)明文進(jìn)行語(yǔ)法、語(yǔ)義進(jìn)行有效性驗(yàn)證，通過(guò)驗(yàn)證后執(zhí)行認(rèn)證指令。71將執(zhí)行的結(jié)果加密、封裝為SOAP消息并再發(fā)送給服務(wù)使用者。8)服務(wù)使用者收到 SOAP消息后拆封、解密并提取執(zhí)行的結(jié)果。在上面所提到的認(rèn)證指令是基于XML格式的，所以構(gòu)造與解析認(rèn)證指令實(shí)際上是對(duì)XML的序列化與反序列化的過(guò)程，同時(shí)執(zhí)行結(jié)果也是XML格式的，所以提取執(zhí)行結(jié)果實(shí)際上也是對(duì)XML的處理，認(rèn)證指令的描述見下節(jié)。對(duì)認(rèn)證指令及執(zhí)行結(jié)果的加密與否在這里是可選的。當(dāng)返回的執(zhí)行結(jié)果的信息量很大而對(duì)安全性要求不高的內(nèi)容可以不進(jìn)行加密而直接返回明文，從而減少加密與解密所花的時(shí)間。
