国家图书馆统一用户管理系统的设计与实现

摘要: 指出了建立国家图书馆统一用户管理系统的必要性，并从数字资源利用率低，安全性低，网络​​用户缺乏统一管理等方面分析了该系统存在的问题. 国内数字图书馆的建设思路和功能要求，着重介绍了系统三个核心功能模块的实现方法，最后展望了系统的应用和发展方向.

关键字: SAML，统一用户管理系统，数字图书馆

0，简介

近年来，中国数字图书馆领域的研究与实践一直在稳步推进发展[1]，并在诸如国家数字图书馆项目[2]和推广项目[ 3]. 各地数字图书馆建设已经相继启动，但仍处于从简单的应用系统积累向数字智能信息系统集群转变的阶段. 缺乏统一的系统建设计划导致了诸如分散管理，无法共享信息，系统功能重叠以及缺乏安全机制等弊端. 这些问题的出现，不仅大大降低了用户的使用体验满意度，而且增加了系统管理员的工作量. 工作量和复杂性. 以上系统管理模型已不能满足当前数字图书馆的实际需求. 有必要从全球角度规划和构建数字图书馆应用系统.

突破应用系统之间管理壁垒的基础是实现用户数据的集中管理和统一认证，并将现有的复杂，无序，混乱的认证机制转变为高效，科学，安全的网络认证机制. 认证功能与分布式应用系统分开，以达到集中管理和统一认证的目的. 单点登录（SingleSign-On）技术作为一种有效的身份认证和授权机制[4-5]可以满足上述要求，并解决图书馆面临的难题. 所谓单点登录，是指不同的应用系统可以通过同一认证中心来实现用户身份的认证和授权，而不必存储用户信息并单独实现认证和授权功能. 从用户的角度来看，您只需具有一组用户名和密码即可登录系统中的任何系统，而无需二次登录.

1. 单点登录技术在的应用

关于单点登录的国外研究较早开始，并且已经成熟. 例如，Microsoft Corporation的Microsoft.NetPassport [6]，它为用户提供整个Internet的身份认证服务. 完成单点登录集成的网站可以使用Microsoft提供的信息库通过Passport服务验证用户的身份，然后通过URL重定向将验证结果返回给用户. Passport对请求进行身份验证之后，用户可以访问将Passport用作单点登录服务的其他网站，并共享相同的信息. 但是缺点是Passport的解决方案有一定的局限性，仅支持Windows版本的操作系统，并且仅适用于.Net环境中的服务器. Kerberos协议是由麻省理工学院研究和建立的身份认证机制[7]. 该机制的核心是通过集中式安全信息存储和分布式账单存储，实现来自不同应用的用户合法性认证. 不依赖于用户或应用程序服务. 安全断言标记语言（SAML）[8]当前是国际上相关的Web服务单点登录安全规范. 它在面向Web的应用程序系统之间建立了统一，标准和安全的信息交换渠道. 最重要的优点是可以在Internet上安全地移动用户的身份验证信息. 它的建立简化了面向Web的应用程序系统之间的单点登录过程图书管理系统登录页面，并降低了系统架构设计的复杂性.

与国外比较成熟的研究和应用相比，国内在单点登录和统一用户身份认证领域的研究和应用仍然滞后，在公共图书馆领域的应用并不普遍. 大多数公共库使用限制IP的客户端或安装C / S体系结构来实现身份验证. 只有少数几个图书馆建立了单一登录系统，但它们还不能形成一个整体，统一，标准化和完整的解决方案. 例如，厦门市图书馆采用由广州铁创公司设计开发的InterlibSSO统一身份认证系统[9]，以厦门市公共图书馆服务联盟为基础平台，整合了全市市民信息，并自行构建和外包. 数字资源在平台上，可以实现厦门地区用户的资源统一认证和单点登录. 登录后，用户可以浏览和下载全文.

早在2008年，国家图书馆就开始将单点登录技术应用于数字图书馆用户的管理和资源服务. 同年上线的第一代阅读器管理系统采用了相对简单的身份验证模型，并初步实现了远程访问服务和资源的用户管理； 2012年，它开始使用基于SAML的单点登录模型升级和转换整个系统功能，设计并开发了国家图书馆统一用户管理系统，并正式投入运行. 同时，将在全国范围内进行系统试点和部署推广工作.

2. 国家图书馆统一用户管理系统设计方案

2.1设计思想

国家图书馆统一用户管理系统作为国家数字图书馆的支持系统之一，具有多种功能，例如Internet注册，实名信息的验证，用户身份认证和权限控制[10]. 同时，该系统为推广工程系统中的公共图书馆读者提供跨域身份验证，以实现馆际互操作. 本系统采用B / S结构，以Java语言为主要开发语言，以Oracle为基础. 在构建系统时，首先要考虑系统和数据的安全性和稳定性，并采用标准化的开发语言和调用接口. 模块化开发提高了系统的灵活性和可伸缩性.

2.2系统功能要求

构建国家图书馆统一用户管理系统，旨在实现国家图书馆读者信息的统一管理，统一认证和统一控制，形成标准化，可复制的图书馆用户统一管理模型. 其主要功能应包括:

（1）提供标准化的用户注册服务. 该系统可以汇总所有类型的用户信息，以实现信息更改，密码修改，帐户取消等的管理.

（2）提供基于标准化协议的单点登录服务. 用户只需执行一次身份验证，即可在有效时间内自由访问不同的外部应用程序，而无需重复验证. 当用户退出或停留在外部应用程序中并且长时间未操作时，其他外部应用程序也会自动退出或给出超时提示. 同时，提供了相应的接口调用程序，以方便外部应用程序的集成.

（3）集中管理和控制用户权限. 系统根据用户的不同属性为用户分配不同的角色. 同时，系统将对外部应用程序的访问权限分配给不同的角色. 当用户发起访问请求时，系统将基于保存的“用户角色”和“角色应用”的对应关系给出判断结果，从而起到控制用户访问的作用.

2.3系统框架和功能描述

了解上述系统的构造思想和功能要求，建立国家图书馆统一用户管理系统的总体设计框架（见图1）.

图1国家图书馆统一用户管理系统架构图

自助服务模块主要提供面向用户的注册，信息查看和修改以及密码修改等自助服务. 管理中心模块提供面向管理的后台管理和数据同步，审计，统计，监视，数据备份以及用户状态维护. 认证单点服务模块提供了完整的统一认证和单点登录机制，并支持用户在访问多路访问应用程序系统时仅执行一个接口登录操作. 查询服务模块提供查询服务，批处理用户导入工具，数据收集工具和数据同步服务.

3. 系统核心功能模块的实现

用户信息的收集和管理，统一身份认证和单点登录以及用户访问权限的控制是该系统的三个最重要的核心功能.

3.1用户信息的收集和管理

国家图书馆统一用户管理系统的用户信息源分为两类: 一类是来自外部应用程序的推送用户；二类是来自外部应用程序的推送用户. 另一个是通过系统注册的本地用户.

外部推送用户是指通过国家图书馆业务集成系统（Aleph系统）申请读卡器的用户. 将新的用户信息添加到Aleph系统后，它将自动将用户的基本信息（包括阅读器的卡号，ID号，联系信息，姓名和其他信息）推送到系统. 并且当读取器卡用户的信息改变时，无论在Aleph系统中还是在该系统中对读取器进行修改，都可以执行双向实时同步，从而确保用户信息的唯一性和准确性. 本地用户主要是通过使用系统提供的统一用户注册服务进行注册而生成的用户. 该系统包括两种注册功能调用方式: 接口调用和页面调用. 外部应用程序可以根据实际需要自由选择. 使用此功能，用户注册功能独立于外部应用程序. 只需将外部应用程序标准化并与该系统集成即可实现用户注册，从而在一定程度上进一步降低开发和用户管理成本. 不管用户向哪个外部应用程序注册，它实际上都是在统一的用户管理系统中注册的，因此只需要注册一次，并且在访问每个新的外部应用程序时都无需再次注册.

3.2单点登录和统一身份认证

此模块在建立用户与外部应用程序系统之间的信任以及提供安全可靠的身份认证方面起着重要作用. 其主要目的是: （1）在登录时提供用户身份验证，并返回验证信息和验证结果； （2）在发起应用访问请求时提供用户权限验证，并返回相应的验证结果； （3）提供登录权限以在用户注销时注销.

3.2.1模块设计

该模块由两部分组成: 单点登录功能和统一身份验证功能（如图2所示）.

图2身份验证和单点登录模块的组成图

单点登录功能由三部分组成: 断言管理，用户状态管理和身份票证管理. 断言管理负责基础SAML功能的封装，并向单点登录业务逻辑层提供SAML断言请求，断言生成，发送，解析，附加签名，验证签名和其他功能. 用户状态管理负责维护用户的登录状态，管理用户的帐户信息，帐户管理限制，权限信息，预生成的断言，临时管理以及在登录，访问和注销生命周期内的有效期. 帐单管理负责记录和存储用户信息.

统一身份验证功能包括实名身份查询，用户身份验证和身份验证. 其中，实名身份查询是通过与部公民身份认证中心查询系统的接口开发的. 双方通过WebService进行交互，以完成对网络上注册用户身份的实名认证. 用户身份验证是一项服务，它提供一个外部应用程序，以基于阅读器提交的用户属性查询来验证用户的正确性；身份验证接口是外部应用程序在验证用户身份并允许其访问时调用的接口服务.

该模块通过调用基础SAML应用程序，安全服务，客户端功能和其他组件来获得基本功能. 它具有内部功能子模块，例如用户会话管理，断言管理，身份许可查询和单点登录模式配置. 身份验证服务器通过身份查询组件获取用户的身份信息和权限对应关系，并使用WebService引擎与中央节点服务器和远程单点登录服务器进行交互. 该模块还提供了一个应用程序集成接口，供外部应用程序进行集成，以便外部应用程序可以调用此系统提供的身份验证服务.

3.2.2业务流程

此模块的特定业务流程实现如图3所示.

图3单点登录和统一身份验证流程图

（1）用户通过浏览器访问外部应用程序系统.

（2）外部应用程序系统将获取的用户信息（即用户票证）封装为一个断言，并将该断言发送到认证和单点登录服务器.

（3）身份验证和单点登录服务器获取断言请求后，它将解析断言请求并获取用户票证. 同时，对通过分析获得的用户信息进行验证，并将验证结果写回到断言中，并返回给外部应用系统.

（4）外部应用程序系统根据返回的结果判断用户请求的合法性. 如果合法，则外部应用程序系统将自动在用户浏览器中打开要访问的资源；否则，它会提示用户根据失败原因重新启动浏览器中的访问过程.

3.3用户访问权限的控制

用户权限控制是向系统中的所有用户提供对内系统的权限控制. 根据国家图书馆拥有大量用户，大量资源，大量资源类型以及多种权限分配方法的实际特点，本系统使用RBAC访问控制模型[11]. 建立角色，用户和资源之间的对应关系. 具体的授权方法如图4所示. 其中，用户1可以访问1和n. 用户2可以访问1，2和n.

图4访问权限授权

在此系统中，为每个用户分配了相应的角色，管理员通过后台配置为相应的角色分配了不同的外部应用程序访问权限，然后，该角色的用户也可以访问该应用程序. 另外，不仅可以赋予角色权限，系统还可以直接为特定用户分配权限图书管理系统登录页面，提高了管理的实用性. 当外部应用程序向系统提交身份验证请求时，系统将基于中存储的角色与资源之间的对应关系给出实时判断结果，以控制用户的访问权限.

4. 结论

目前，国家图书馆统一用户管理系统已正式投入运行，并取得了良好的效果. 系统用户数已超过400万，月增长率保持在10,000的水平. 同时，借助有利于推广项目的平台，逐步扩大系统的推广部署范围. 截至“十二五”末，统一的用户管理系统已在全国57个省市图书馆中完成了软件的部署和应用[12]. 在技​​术和资金相对匮乏的地区，已经建立了更加实用和安全的用户管理系统.

国家图书馆统一用户管理系统的建设，一方面提高了国家图书馆用户的数量和管理效率，另一方面也为实施和应用奠定了良好的用户基础. 促销项目的其他相关支持系统，并打开了图书馆用户壁垒. 下一步，我们将结合“云”技术，大数据分析，移动互联网等前沿技术手段，进一步完善系统功能，充分满足移动多媒体需求，加强推广，逐步形成中心和多元分公司覆盖全国. 用户管理系统.

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-169286-1.html