CN101719238A - 一种统一身份管理、认证和授权的方法及系统 - Google Patents

Abstract

本发明实施例公开了一种统一用户管理、认证和授权的方法和系统，在本发明提供的实施中，首先实现了企业用户的整合集中，即为实现了跨企业内应用的统一用户；然后基于统一用户实现了统一认证和访问控制；并实现了对整个过程的统一管理。

Description

一种统一身份管理、认证和授权的方法及系统

技术领域

本发明涉及信息安全技术领域，尤其涉及一种统一身份管理、认证和授权的方法及系统。

背景技术

随着企业信息水平的不断进步和发展，企业新增了许多应用系统，也随之出现了用户统一管理的相关问题。目前，大部分的企业应用一般处于多系统分散的用户管理、认证、访问控制水平。部分企业基于某些产品实现了未统一用户的集中认证或访问控制。极少企业在小规模范围、小集成环境完成了统一用户的认证授权。

发明人通过研究发现，现有的身份管理、认证和授权中，多套系统具有多套账号、多套口令、多套安全策略，无法进行统一的管理；多套系统存在多种认证方式，不易实现统一认证、单点登录；多级服务授权，难以实现对企业资源的统一授权；在企业管理流程中，无法实现对用户身份生命周期的统一管理。

发明内容

有鉴于此，本发明实施例的目的在于提供一种统一身份管理、认证和授权的方法及系统，实现对身份管理、认证和授权的统一。

为实现上述目的，本发明实施例提供了如下技术方案：

一种统一身份管理、认证和授权的系统，包括：

统一管理服务器、轻量级目录访问协议LDAP服务器、统一认证服务器、访问管理服务器、统一登录服务器和应用服务器，其中，

所述统一管理服务器，用于对统一身份信息进行管理，数据存储于数据库，并将统一身份信息同步入LDAP服务器中；所述统一身份信息包括用户信息、认证信息和权限信息；

所述轻量级目录访问协议LDAP服务器，用于存储、并向应用服务器提供统一身份信息；

所述访问管理服务器，用于完成权限控制，当用户第一次登录时通过在应用服务器获取用户输入的登录信息并转发给统一认证服务器，所述登录信息包括用户统一登录名、用户所选择的认证方式和认证参数；获取所述统一认证服务器对当前用户的认证结果，并对所述认证结果进行保存；并根据用户的权限信息进行访问控制，或者将当前用户的权限信息返回给应用服务器进行判定；当用户在访问应用系统功能时，访问管理服务器判定用户的权限信息和用户意欲访问的系统功能是否符合要求，符合则允许访问该功能，不符合则拒绝访问该功能。

所述统一认证服务器，用于根据所述登录信息对当前用户进行认证、获取认证结果，并将所述认证结果返回给所述访问管理服务器；

所述统一登录服务器，用于为应用提供统一的登录页面，便于实现认证功能在用户界面的扩展，方便接入系统的登录页面的统一管理；

所述应用服务器，向用户提供某类具体应用功能。

所述用户信息包括用户统一登录名、该统一登录名在各个应用系统中对应的账号和用户基本信息；所述认证信息包括用户可使用的认证方式、认证凭证和验证用户认证的认证内容；所述权限信息包括用户全局角色以及用户在各个应用系统的数据权限。

一种统一认证和授权的方法，应用于包括多个应用服务器的系统中，该方法包括：

访问管理服务器通过所述多个应用服务器中的第一应用服务器上的访问代理截取用户访问应用系统的请求，当用户为未通过认证的情况下，转发用户请求至统一登录服务器；

统一登录服务器向用户提供预先制定的用户登录界面，获取用户输入的登录信息，将所述登录信息提交到访问管理服务器并转发给统一认证服务器，所述登录信息包括用户统一登录名、用户所选择的认证方式和认证参数；

所述统一认证服务器根据所述登录信息对当前用户进行认证策略的实现、完成认证、获取认证结果，并将所述认证结果返回给所述访问管理服务器；

所述访问管理服务器对所述认证结果进行保存，并将当前用户的统一身份信息根据预先的配置返回给所述应用服务器上的访问代理，所述返回的统一身份信息包括：用户基本信息、用户在应用中的账号信息、数据权限及全局角色信息；

所述应用服务器上的访问代理在认证结果为认证通过时，允许当前用户访问应用服务器，并根据当前用户在应用服务器的账号、数据权限和全局角色信息进行访问控制。

可选地，该方法还包括：

访问管理服务器通过所述多个应用服务器中的第二应用服务器上的访问代理截取用户访问应用系统的请求，如果所述访问代理确定当前用户符合访问策略时，则不再对当前用户进行重新认证。

所述统一认证服务器根据所述登录信息对当前用户进行认证、获取认证结果包括：

所述统一认证服务器根据认证策略配置，通过认证策略引擎进行认证策略的判定和执行；

在认证策略判定执行后，所述统一认证服务器根据所述认证方式将认证参数发送给对应的子认证服务器进行认证；

所述统一认证服务器接收所述子认证服务器返回的认证结果。

所述访问策略包括：

单点登录域策略或者会话管理策略，其中，

所述单点登录域策略为：配置多个应用系统属于一个单点登录域，在该域中，当所述用户访问第二应用服务器时，所述第二应用服务器通过所述访问管理服务器确认当前用户的认证结果为认证通过后，则不需要用户再次认证，用户依据自身的权限访问第二应用系统的服务，当所述用户访问单点登录域外的应用系统时，重新进行认证；

所述会话管理策略为当所述统一认证服务器对当前用户进行认证的认证结果为认证通过时，在所述访问管理服务器对所获认证结果进行保存的同时开始计时；当所述认证结果存在的时间达到预设的安全时间阈值时，将所述管理服务器中保存的所述认证结果改为认证未通过。

在实施所述单点登录域策略时，所述访问管理服务器将其所保存的当前用户的认证方式对应的安全级别与所述第二应用服务器所属的第二应用系统的安全级别进行比较，当第二应用系统的安全级别高于其所保存的当前用户的认证方式对应的安全级别时，返回登录失败的登录结果，并要求用户选择高级别的认证方式重新登录第二应用服务器。

通过认证策略引擎进行认证策略的判定和执行包括：

从登录信息中获取当前用户的统一登录名以及认证方式；

认证引擎根据所述用户的统一登录名以及认证方式确定对当前用户的认证策略；

执行所述认证策略，并给出认证策略执行结果。

所述认证策略主要为：对用户认证行为的认证次数、认证时间及次数和时间的组合判定；所述认证策略执行结果包括：允许用户进行认证或拒绝用户认证并冻结、锁定用户或用户的认证凭证。

当所述认证方式为静态口令认证时，在生成用户口令或者用户自行修改口令时进行策略判定，所述认证策略包括口令长度、大小写要求以及口令不许重复。

一种统一身份管理的系统，包括：

统一管理服务器，用于为系统中的每个用户设置一个统一身份信息，并对统一身份信息进行管理，将所述统一身份信息的数据存储于数据库，所述统一身份信息包括用户信息、认证信息和权限信息。用户信息为用户统一登录名、该统一登录名在各个应用系统中对应的账号和用户基本信息；认证信息为该用户可使用的认证方式、认证凭证和验证用户认证的认证内容；权限信息为用户全局角色、用户在各个应用系统的数据权限；

所述数据库用于在数据发生变化时根据配置，将需要的信息同步写入轻量级目录访问协议LDAP主服务器中；

所述LDAP服务器用于存储、并向各个应用服务器供给统一身份信息。

本发明实施例所提供的方案，实现了身份管理、认证和授权在一个组织或者系统的不同的应用系统间的统一，避免了多应用系统分散的身份管理、认证或者授权过程造成的管理重复建设、管理混乱等问题，有效地减少了应用系统重复开发安全机制和服务，使得应用系统能够更加集中力量进行专业化的开发，提高了应用系统开发专业化程度，有利于规范身份管理、访问管理的机制和流程，降低了接入过程的复杂度。

附图说明

图1为本发明一实施例所提供的系统的结构示意图；

图2为本发明一实施例所提供的方法的流程图；

图3为本发明一实施例所提供的方法中一步骤的流程图；

图4为本发明一实施例所提供的方法中一装置的结构原理图；

图5为本发明一实施例所提供的方法的信令交互图；

图6为本发明一实施例所提供的系统的结构示意图。

具体实施方式

本发明实施例公开了一种统一身份管理、认证和授权的方法及系统，为使本发明的目的、技术方案及优点更加清楚明白，以下参照附图并举实施例，对本发明作详细说明。

图1是本发明一实施例所提供一种统一身份管理、认证和授权的系统，包括：统一管理服务器101、轻量级目录访问协议LDAP服务器102、统一认证服务器103、访问管理服务器104、统一登录服务器105和应用服务器106，其中，

所述统一管理服务器101、用于对统一身份信息进行管理，数据存储于数据库，并将统一身份信息同步入LDAP服务器中；所述统一身份信息包括用户信息、认证信息和权限信息；

所述用户信息包括用户统一登录名，该统一登录名在各个应用系统中对应的账号和用户基本信息；所述认证信息包括用户可使用的认证方式、认证凭证和验证用户认证的认证内容；所述权限信息包括用户全局角色以及用户在各个应用系统的数据权限。

本发明一实施例中，所述用户基本信息包括用户出生日期、职务、联系方式等。

所述轻量级目录访问协议LDAP服务器102，用于存储、并向应用服务器提供统一身份信息；

所述访问管理服务器103，用于通过在应用服务器获取用户输入的登录信息并转发给统一认证服务器，所述登录信息包括用户统一登录名、用户所选择的认证方式和认证参数；获取所述统一认证服务器对当前用户的认证结果，并对所述认证结果进行保存；并将当前用户在应用服务器归属的应用系统中的账号、数据权限和全局角色信息一并返回给应用服务器；

所述统一认证服务器104，用于根据所述登录信息对当前用户进行认证、获取认证结果，并将所述认证结果返回给所述访问管理服务器；

所述统一登录服务器105，用于为应用提供统一的登录页面，便于实现认证功能在用户界面的扩展，方便接入系统的登录页面的统一管理；

所述应用服务器106，向用户提供某类具体应用功能。

本发明实例所提供的一种统一身份管理、认证和授权的系统通过统一管理服务器对用户身份、认证、访问控制进行管理；统一认证服务器对用户进行统一认证，给出认证结果；访问管理服务器对用户的统一权限进行管理、判定；LDAP服务器实现身份信息数据存储，向应用系统提供相关数据；统一登录服务器定制并向用户提供认证界面，通过各个组成部分的有机结合实现了对用户统一身份管理、认证和授权的功能。

参见图2，结合图1所示的统一身份管理、认证和授权系统，本发明一实施例还提供一种统一认证和授权的方法，该方法应用于包括多个应用服务器的系统中，该方法包括：

S201、访问管理服务器通过所述多个应用服务器中的第一应用服务器上的访问代理截取用户访问应用系统的请求，当用户为未通过认证的情况下，转发用户请求至统一登录服务器；

S202、统一登录服务器向用户提供预先制定的用户登录界面，获取用户输入的登录信息，将所述登录信息提交到访问管理服务器并转发给统一认证服务器，所述登录信息包括用户统一登录名、用户所选择的认证方式和认证参数；

S203、所述统一认证服务器根据所述登录信息对当前用户进行认证策略的实现、完成认证、获取认证结果，并将所述认证结果返回给所述访问管理服务器；

参见图3，所述认证策略的实现包括：

S301、从登录信息中获取当前用户的统一登录名以及认证方式；

S302、根据所述用户的统一登录名以及认证方式确定对当前用户的认证策略；

S303、执行所述认证策略，并给出认证策略执行结果。

所述认证策略主要为：对用户认证行为的认证次数、认证时间及次数和时间的组合判定；所述认证策略执行结果包括：允许用户进行认证或拒绝用户认证并冻结、锁定用户或用户的认证凭证。

在本发明一实施例中，当所述认证方式为静态口令认证时，在生成用户口令或者用户自行修改口令时进行策略判定，所述认证策略包括口令长度、大小写要求以及口令不许重复。

图4是本发明实施例所提供的方法中，统一认证服务器的工作原理图，从图中可以看出，统一认证服务器集成了多种子认证服务器，例如动态口令认证服务器、指纹认证服务器、静态口令认证服务器等等，不同认证方式对应不同的子认证服务器。各种认证方式抽象为统一编码的认证凭证，可以实现对用户使用认证方式的管理。统一认证服务器以统一的服务接口向外提供多种机制的认证服务。结合图4，本发明实施例中，所述统一认证服务器根据所述登录信息对当前用户进行认证、获取认证结果包括：

所述统一认证服务器根据认证策略配置，通过认证策略引擎进行认证策略的判定和执行；

在认证策略判定执行后，所述统一认证服务器根据所述认证方式将认证参数发送给对应的子认证服务器进行认证；

所述统一认证服务器接收所述子认证服务器返回的认证结果。

在得到认证结果后，可以继续进行如下步骤：

S204、所述访问管理服务器对所述认证结果进行保存，并将当前用户的身份信息根据预先的配置返回给所述应用服务器上的访问代理，所述返回的统一身份信息主要为身份信息和权限信息，包括：用户基本信息、用户在应用中的账号信息、数据权限及全局角色信息；

S205、所述应用服务器上的访问代理在认证结果为认证通过时，允许当前用户访问应用服务器，并根据当前用户在应用服务器的账号、数据权限和全局角色信息进行访问控制。

可选地，当该用户在访问完所述第一应用服务器之后，继续访问该系统中的第二应用服务器时，该方法还包括：

访问管理服务器通过第二应用服务器上的访问代理截取用户访问应用系统的请求，如果所述访问代理确定当前用户符合访问策略时，则不再对当前用户进行重新认证。

本发明实施例中的访问策略包括：单点登录域策略或者会话管理策略。

所述单点登录域策略为配置多个应用系统属于一个单点登录域，在该域中，当所述用户访问第二应用服务器时，所述第二应用服务器通过所述访问管理服务器确认当前用户的认证结果为认证通过后，通过访问代理或访问代理提供的用户信息和权限信息数据进行用户访问控制；当所述用户访问单点登录域外的应用系统时，必须重新认证。

可选地，在实施所述单点登录域策略时，所述访问管理服务器将其所保存的当前用户的认证方式对应的安全级别与所述第二应用服务器所属的第二应用系统的安全级别进行比较，当第二应用系统的安全级别高于其所保存的当前用户的认证方式对应的安全级别时，返回登录失败的登录结果，并要求用户选择高级别的认证方式重新登录第二应用服务器。

所述会话管理策略为当所述统一认证服务器对当前用户进行认证的认证结果为认证通过时，在所述访问管理服务器对所获认证结果进行保存的同时开始计时；当所述认证结果存在的时间达到预设的安全时间阈值时，将所述管理服务器中保存的所述认证结果改为认证未通过。

本发明实施例所提供的方法，为系统中所有的用户提供一个统一登录名，用户可以通过该统一登录名登录系统中的任意一个应用系统，如果用户在某个应用系统中有对应的信息，那么通过该统一登录名确定用户在某一具体应用系统中的数据权限和角色信息，进而该应用系统再根据用户在该应用系统上的信息为该用户提供服务，从而从根本上实现了对系统中所有的用户实现了统一身份管理、认证和授权。

图5以对一个具体的访问请求的处理为例对本发明实施例所提供的方法进行详细的说明，该方法中涉及到的交互主体包括用户、应用服务器1、应用服务器2、统一登录服务器、统一认证服务器以及访问管理服务器。该方法包括：

S501、用户向应用服务器1发送访问请求。

S502、应用服务器1的访问代理对该访问请求进行拦截，将该请求提交访问管理服务器进行该用户是否通过认证。

S503、访问管理服务器确定用户未通过认证，则转发访问请求至统一登录服务器。

S504、统一登录服务器向用户弹出认证菜单，要求用户进行认证。

S505、用户输入统一登录名、选择认证方式并输入对应的认证参数，向统一登录服务器发出认证请求。

S506、统一登录服务将所述认证请求转发给访问管理服务器。

S507、访问管理服务器将发认证请求转发给统一认证服务器。

S508、统一认证服务器进行认证策略判定，并根据认证请求中用户选取的认证方式将认证参数发送给对应的子认证服务器进行认证，并接收认证结果。

S509、统一认证服务器将认证结果返回给访问管理服务器。

S510、访问管理服务器205记录认证结果，并且，在认证结果为通过认证时，根据配置获取当前用户的身份信息。

其中，当前用户的身份信息包括用户基本信息、用户在应用中的账号信息、数据权限及全局角色信息。

S511、将认证结果返回至应用系统的代访问代理，将相关用户身份信息提交给访问代理。

S512、所述访问代理或者应用服务器根据当前用户的账号信息和权限信息对当前用户进行访问控制，用户使用系统服务。

其中，当前用户的权限信息包括当前用户的数据权限和全局角色。

S513、用户先应用服务器2发送访问请求。

S514、应用服务器2的访问代理拦截到访问请求后，根据所述当前用户的统一登录名向访问管理服务器查询当前用户的认证结果

S515、当访问管理服务器返回当前用户的认证结果为认证通过时，执行一系列访问策略判定，在对当前用户的访问策略判定通过后，访问代理或应用系统根据用户的权限对用户进行访问控制，用户使用系统服务。

其中，对当前用户的访问策略包括会话时间、认证强度和应用安全等级比对等，可以根据实际情况确定具体的访问策略，本发明对此不做限定。

本发明实施例所提供的方法，在应用服务器上部署的访问代理在收到用户的访问请求时，提交至访问管理服务器；访问管理服务器判断该用户是否认证过，未做认证则转发交易请求至统一登录服务器，统一登录服务器向用户弹出认证菜单，要求用户进行认证，并将用户提交的认证信息通过访问管理服务器转发至统一认证服务器；在统一认证服务器上完成认证判定后，再将结果返回访问管理服务器；如果认证通过，则访问管理服务器将当前用户的身份信息如全局角色和数据权限等返回给应用服务器，应用服务器根据该用户的全局角色和数据权限为用户提供服务。在整个系统内实现了企业内多系统的用户身份管理、认证和授权的统一，避免了现有技术因一人多用户、多套口令、多套安全策略等不统一的管理造成的重复建设、管理复杂等问题，提升了企业信息系统总体安全防范能力和水平，规范了相关的安全管理流程。

参见图6，本发明一实施例还提供一种统一身份管理的系统，该系统包括：

统一管理服务器601，用于为系统中的每个用户设置一个统一身份信息，并对统一身份信息进行管理，将所述统一身份信息的数据存储于数据库，所述统一身份信息包括用户信息、认证信息和权限信息，用户信息为用户统一登录名、该统一登录名在各个应用系统中对应的账号；认证信息为该用户可使用的认证方式、认证凭证和验证用户认证的认证内容；权限信息为用户全局角色、用户在各个应用系统的数据权限；

所述数据库602，用于在数据发生变化时根据配置，将需要的信息同步写入轻量级目录访问协议LDAP主服务器中；

所述LDAP服务器603，用于存储、并向各个应用服务器供给统一身份信息。

将图6与图1进行对比可以发现，本发明实施例所提供的该一种统一身份管理的系统实际上由图1中的统一管理服务器101和LDAP服务器102与一个数据库结合形成，实现对用户统一身份信息的建立与管理。从而为实现统一身份管理、认证和授权奠定基础。

本发明实施例所提供的系统，实现了身份管理、认证和授权在一个组织或者系统的不同的应用系统间的统一，避免了多应用系统分散的身份管理、认证或者授权过程造成的管理重复建设、管理混乱等问题，有效地减少了应用系统重复开发安全机制和服务，使得应用系统能够更加集中力量进行专业化的开发，提高了应用系统开发专业化程度，有利于规范身份管理、访问管理的机制和流程，降低了接入过程的复杂度。

此外，本发明实施例所提供的系统通过对认证强度和应用系统安全级别的比较，在实现统一身份管理、认证和授权的基础上，还实现了多重安全级别的接入控制，进一步增强了整个系统的安全性。

本发明可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本发明，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (11)

1.一种统一身份管理、认证和授权的系统，其特征在于，包括：

统一管理服务器、轻量级目录访问协议LDAP服务器、统一认证服务器、访问管理服务器、统一登录服务器和应用服务器，其中，

所述统一管理服务器，用于对统一身份信息进行管理，数据存储于数据库，并将统一身份信息同步入LDAP服务器中；所述统一身份信息包括用户信息、认证信息和权限信息；

所述轻量级目录访问协议LDAP服务器，用于存储、并向应用服务器提供统一身份信息；

所述访问管理服务器，用于完成权限控制，当用户第一次登录时通过在应用服务器获取用户输入的登录信息并转发给统一认证服务器，所述登录信息包括用户统一登录名、用户所选择的认证方式和认证参数；获取所述统一认证服务器对当前用户的认证结果，并对所述认证结果进行保存；并根据用户的权限信息进行访问控制，或者将当前用户的权限信息返回给应用服务器进行判定；当用户在访问应用系统功能时，访问管理服务器判定用户的权限信息和用户意欲访问的系统功能是否符合要求，符合则允许访问该功能，不符合则拒绝访问该功能；

所述统一认证服务器，用于根据所述登录信息对当前用户进行认证、获取认证结果，并将所述认证结果返回给所述访问管理服务器；

所述统一登录服务器，用于为应用提供统一的登录页面，便于实现认证功能在用户界面的扩展，方便接入系统的登录页面的统一管理；

所述应用服务器，向用户提供某类具体应用功能。

2.根据权利要求1所述的系统，其特征在于，所述用户信息包括用户统一登录名、该统一登录名在各个应用系统中对应的账号和用户基本信息；所述认证信息包括用户可使用的认证方式、认证凭证和验证用户认证的认证内容；所述权限信息包括用户全局角色以及用户在各个应用系统的数据权限。

3.一种统一认证和授权的方法，其特征在于，应用于包括多个应用服务器的系统中，该方法包括：

访问管理服务器通过所述多个应用服务器中的第一应用服务器上的访问代理截取用户访问应用系统的请求，当用户为未通过认证的情况下，转发用户请求至统一登录服务器；

统一登录服务器向用户提供预先制定的用户登录界面，获取用户输入的登录信息，将所述登录信息提交到访问管理服务器并转发给统一认证服务器，所述登录信息包括用户统一登录名、用户所选择的认证方式和认证参数；

所述统一认证服务器根据所述登录信息对当前用户进行认证策略的实现、完成认证、获取认证结果，并将所述认证结果返回给所述访问管理服务器；

所述访问管理服务器对所述认证结果进行保存，并将当前用户的统一身份信息根据预先的配置返回给所述应用服务器上的访问代理，所述返回的统一身份信息包括：用户基本信息、用户在应用中的账号信息、数据权限及全局角色信息；

所述应用服务器上的访问代理在认证结果为认证通过时，允许当前用户访问应用服务器，并根据当前用户在应用服务器的账号、数据权限和全局角色信息进行访问控制。

4.根据权利要求3所述的方法，其特征在于，还包括：

访问管理服务器通过所述多个应用服务器中的第二应用服务器上的访问代理截取用户访问应用系统的请求，如果所述访问代理确定当前用户符合访问策略时，则不再对当前用户进行重新认证。

5.根据权利要求3所述的方法，其特征在于，所述统一认证服务器根据所述登录信息对当前用户进行认证、获取认证结果包括：

所述统一认证服务器根据认证策略配置，通过认证策略引擎进行认证策略的判定和执行；

在认证策略判定执行后，所述统一认证服务器根据所述认证方式将认证参数发送给对应的子认证服务器进行认证；

所述统一认证服务器接收所述子认证服务器返回的认证结果。

6.根据权利要求4所述的方法，其特征在于，所述访问策略包括：

单点登录域策略或者会话管理策略，其中，

所述单点登录域策略为：配置多个应用系统属于一个单点登录域，在该域中，当所述用户访问第二应用服务器时，所述第二应用服务器通过所述访问管理服务器确认当前用户的认证结果为认证通过后，则不需要用户再次认证，用户依据自身的权限访问第二应用系统的服务，当所述用户访问单点登录域外的应用系统时，重新进行认证；

所述会话管理策略为当所述统一认证服务器对当前用户进行认证的认证结果为认证通过时，在所述访问管理服务器对所获认证结果进行保存的同时开始计时；当所述认证结果存在的时间达到预设的安全时间阈值时，将所述管理服务器中保存的所述认证结果改为认证未通过。

7.根据权利要求6所述的方法，其特征在于，在实施所述单点登录域策略时，所述访问管理服务器将其所保存的当前用户的认证方式对应的安全级别与所述第二应用服务器所属的第二应用系统的安全级别进行比较，当第二应用系统的安全级别高于其所保存的当前用户的认证方式对应的安全级别时，返回登录失败的登录结果，并要求用户选择高级别的认证方式重新登录第二应用服务器。

8.根据权利要求5所述的方法，其特征在于，通过认证策略引擎进行认证策略的判定和执行包括：

从登录信息中获取当前用户的统一登录名以及认证方式；

认证引擎根据所述用户的统一登录名以及认证方式确定对当前用户的认证策略；

执行所述认证策略，并给出认证策略执行结果。

9.根据权利要求8所述的方法，其特征在于，所述认证策略主要为：对用户认证行为的认证次数、认证时间及次数和时间的组合判定；所述认证策略执行结果包括：允许用户进行认证或拒绝用户认证并冻结、锁定用户或用户的认证凭征。

10.根据权利要求8所述的方法，其特征在于，当所述认证方式为静态口令认证时，在生成用户口令或者用户自行修改口令时进行策略判定，所述认证策略包括口令长度、大小写要求以及口令不许重复。

11.一种统一身份管理的系统，其特征在于，包括：

统一管理服务器，用于为系统中的每个用户设置一个统一身份信息，并对统一身份信息进行管理，将所述统一身份信息的数据存储于数据库，所述统一身份信息包括用户信息、认证信息和权限信息。用户信息为用户统一登录名、该统一登录名在各个应用系统中对应的账号和用户基本信息；认证信息为该用户可使用的认证方式、认证凭证和验证用户认证的认证内容；权限信息为用户全局角色、用户在各个应用系统的数据权限；

所述数据库用于在数据发生变化时根据配置，将需要的信息同步写入轻量级目录访问协议LDAP主服务器中；

所述LDAP服务器用于存储、并向各个应用服务器供给统一身份信息。

Images