CN103888409A - 分布式统一认证方法及系统 - Google Patents

Abstract

本发明涉及一种分布式统一认证方法及系统，方法包括：应用服务器接收身份验证信息，并发送给对应的身份认证子模块；身份认证子模块检查本地是否存有验证数据，有则根据验证数据对身份验证信息进行认证，否则将身份验证信息等发送给统一身份认证服务器进行认证；应用服务器根据获得的认证结果以及对应的用户权限执行对应的服务。本发明利用统一身份认证服务器进行用户身份的集中管理，并利用分布式的多个身份认证子模块分别为对应的应用服务器提供验证数据，以便应用服务器可以直接在身份认证子模块中进行身份认证，只有身份认证子模块缺少对应的验证数据时，才由统一身份认证服务器来进行认证过程，这样可以解决单点故障和性能瓶颈的问题。

Description

分布式统一认证方法及系统

技术领域

本发明涉及安全认证技术，尤其涉及一种分布式统一认证方法及系统。

背景技术

在IT系统中，认证服务是保障客户利益和系统安全的重要服务，目前较常见的认证服务通常是采用单一的集中系统来实现用户身份的统一认证。如图1所示，为现有的单一系统的统一身份认证过程示意图。该认证过程包括以下步骤：

步骤101、用户USER希望登录应用服务器AppServer，因此通过用户终端向应用服务器AppServer发送身份账号和密码（id，password）；

步骤102、应用服务器AppServer自身并不进行身份账号和密码（id，password）的校验认证，而是将接收到的身份账号和密码（id，password）传送给认证服务器AuServer；

步骤103、认证服务器AuServer对接收到的身份账号和密码（id，password）进行校验认证，并将认证结果返回给应用服务器AppServer；

步骤104、应用服务器AppServer根据返回结果以及该用户USER的权限执行相应的服务，并将结果返回给用户USER的用户终端。

上述的身份认证方案存在两方面的问题：

1、存在单点故障和性能瓶颈风险，一旦提供集中认证服务的认证服务器出现了故障，则导致所有与其交互的应用服务器均无法实现身份认证功能，进而无法为用户提供服务，另外当出现高并发的身份认证请求，也会造成认证服务器的性能瓶颈压力；

2、对于现有的本地系统来说，如果希望纳入现有的单一身份认证系统，则需要对本地系统进行改造，但由于现有的本地系统的应用服务与身份认证功能模块通常为紧耦合关系，因此改造量比较大。

发明内容

本发明的目的是提出一种分布式统一认证方法及系统，能够实现对身份认证的统一管理，并且克服单点故障和性能瓶颈的不利影响。

为实现上述目的，本发明提供了一种分布式统一认证方法，包括：

应用服务器接收通过应用界面输入的身份验证信息，并将所述身份验证信息发送给对应的身份认证子模块；

所述身份认证子模块检查本地是否存有与所述身份验证信息对应的验证数据，如果存有所述验证数据，则根据所述验证数据对所述身份验证信息进行认证，并将认证结果返回给所述应用服务器，否则将所述身份验证信息以及所述身份认证子模块的标识发送给统一身份认证服务器，所述统一身份认证服务器对所述身份验证信息进行认证，并将认证结果经由所述身份认证子模块返回给所述应用服务器；

所述应用服务器根据获得的认证结果以及对应的用户权限执行对应的服务。

进一步的，在所述统一身份认证服务器将认证结果经由所述身份认证子模块返回给所述应用服务器时，所述身份认证子模块根据所述认证结果在本地保存对应的验证数据。

进一步的，还包括身份验证信息的同步更新操作，具体包括：

所述身份认证子模块接收通过应用界面输入的新旧身份验证信息，并将所述新旧身份验证信息重定向到所述统一身份认证服务器；

所述统一身份认证服务器根据所述新旧身份验证信息进行对应验证数据的更新，并向所述身份认证子模块同步修改后的验证数据；

所述统一身份认证服务器定期向关联的身份认证子模块同步修改后的验证数据。

进一步的，还包括身份验证信息的同步更新操作，具体包括：

所述身份认证子模块接收通过应用界面输入的身份信息同步请求，并将所述身份信息同步请求重定向到所述统一身份认证服务器；

所述统一身份认证服务器根据所述身份信息同步请求将对应的验证数据同步到所述身份认证子模块。

进一步的，还包括身份验证信息的同步更新操作，具体包括：

所述统一身份认证服务器在修改或新增验证数据后，从多个身份认证子模块选择希望进行同步更新的身份认证子模块，并将所述验证数据同步到选择的所述身份认证子模块。

进一步的，还包括身份验证信息的同步更新操作，具体包括：

所述统一身份认证服务器在修改或新增验证数据后，以预设周期将所述验证数据同步到多个身份认证子模块。

进一步的，所述身份认证子模块仅接受所述统一身份认证服务器的用户管理进程对验证数据的修改操作。

为实现上述目的，本发明提供了一种分布式统一认证系统，包括：

统一身份认证服务器，用于保存与用户的身份验证信息对应的验证数据，提供统一的用户管理功能及身份验证功能；

多个身份认证子模块，均与所述统一身份认证服务器连接，用于提供关联的应用服务器接收的身份验证信息的本地身份认证，并在本地缺少与身份验证信息对应的验证数据时，向所述统一身份认证服务器发送所述身份验证信息以及所述身份认证子模块的标识，由所述统一身份认证服务器进行认证；

多个应用服务器，分别与对应的多个身份认证子模块连接，用于提供接收身份验证信息的应用界面，并根据获得的认证结果以及对应的用户权限执行对应的服务。

进一步的，所述身份认证子模块还包括：

验证数据保存单元，用于在所述统一身份认证服务器将认证结果经由所述身份认证子模块返回给所述应用服务器时，根据所述认证结果在本地保存对应的验证数据。

进一步的，所述身份认证子模块还用于接收通过应用界面输入的新旧身份验证信息，并将所述新旧身份验证信息重定向到所述统一身份认证服务器；所述统一身份认证服务器还用于根据所述新旧身份验证信息进行对应验证数据的更新，并向所述身份认证子模块同步修改后的验证数据，以及定期向关联的身份认证子模块同步修改后的验证数据。

进一步的，所述身份认证子模块还用于接收通过应用界面输入的身份信息同步请求，并将所述身份信息同步请求重定向到所述统一身份认证服务器；所述统一身份认证服务器还用于根据所述身份信息同步请求将对应的验证数据同步到所述身份认证子模块。

进一步的，所述统一身份认证服务器还用于在修改或新增验证数据后，从多个身份认证子模块选择希望进行同步更新的身份认证子模块，并将所述验证数据同步到选择的所述身份认证子模块。

进一步的，在修改或新增验证数据后，以预设周期将所述验证数据同步到多个身份认证子模块。

进一步的，所述身份认证子模块仅接受所述统一身份认证服务器的用户管理进程对验证数据的修改操作。

基于上述技术方案，本发明利用统一身份认证服务器进行用户身份的集中管理，并利用分布式的多个身份认证子模块分别为对应的应用服务器提供验证数据，以便应用服务器可以直接在身份认证子模块中进行身份认证，只有身份认证子模块缺少对应的验证数据时，才由统一身份认证服务器来进行认证过程，这样可以解决单点故障和性能瓶颈的问题。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1为现有的单一系统的统一身份认证过程示意图。

图2为本发明分布式统一认证系统的一实施例的结构示意图。

图3为本发明分布式统一认证方法的一实施例的流程示意图。

图4为本发明分布式统一认证方法实施例中一种身份验证信息的同步更新操作的流程示意图。

图5为本发明分布式统一认证方法实施例中另一种身份验证信息的同步更新操作的流程示意图。

具体实施方式

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

如图2所示，为本发明分布式统一认证系统的一实施例的结构示意图。在本实施例中，分布式统一认证系统包括统一身份认证服务器AuServer、多个身份认证子模块auServer-X、auServer-Y等和多个应用服务器AppServer-X、AppServer-Y。统一身份认证服务器AuServer负责保存与用户的身份验证信息对应的验证数据，提供统一的用户管理功能及身份验证功能。

多个身份认证子模块auServer-X、auServer-Y均与统一身份认证服务器AuServer连接，多个身份认证子模块auServer-X、auServer-Y分别与多个应用服务器AppServer-X、AppServer-Y关联，负责其关联的应用服务器AppServer-X、AppServer-Y的本地身份认证，当本地缺少验证数据时，可以向统一身份认证服务器AuServer提出请求，该请求中可以包括身份验证信息以及所述身份认证子模块的标识，由统一身份认证服务器AuServer进行认证。身份认证子模块auServer-X与应用服务器AppServer-X连接，身份认证子模块auServer-X可以为专用设备，或者是设置在应用服务器AppServer-X内的功能模块。为了验证数据的安全性，身份认证子模块可以仅接受所述统一身份认证服务器的用户管理进程对验证数据的修改操作。

对于身份认证子模块来说，其还可包括验证数据保存单元，用来在统一身份认证服务器将认证结果经由身份认证子模块返回给应用服务器时，根据认证结果在本地保存对应的验证数据。

应用服务器可以为用户提供接收身份验证信息的应用界面，当从身份认证子模块返回的认证结果后，根据对应的用户权限执行对应的服务。

在另一系统实施例中，而身份认证子模块可以接收通过应用界面输入的负责修改身份验证信息的新旧身份验证信息，并将所述新旧身份验证信息重定向到统一身份认证服务器；统一身份认证服务器可以根据所述新旧身份验证信息进行对应验证数据的更新，并向所述身份认证子模块同步修改后的验证数据，以及定期向关联的身份认证子模块同步修改后的验证数据。身份认证子模块如果设在应用服务器中，可以利用应用服务器中的应用界面来接收用户输入。

在又一系统实施例中身份认证子模块可以接收通过应用界面输入的身份信息同步请求，并将身份信息同步请求重定向到统一身份认证服务器，而统一身份认证服务器可以根据所述身份信息同步请求将对应的验证数据同步到所述身份认证子模块。身份认证子模块如果设在应用服务器中，可以利用应用服务器中的应用界面来接收用户输入。

在另一系统实施例中，统一身份认证服务器可以在修改或新增验证数据后，主动地从多个身份认证子模块选择希望进行同步更新的身份认证子模块，并将所述验证数据同步到选择的所述身份认证子模块。

在又一个系统实施例中，统一身份认证服务器可以在修改或新增验证数据后，以预设周期主动将所述验证数据同步到注册到统一身份认证服务器的多个身份认证子模块。

本发明分布式统一认证系统实施例利用统一身份认证服务器进行用户身份的集中管理，并可以要求身份认证子模块仅能接受统一身份认证服务器的用户管理进程对验证数据的修改操作，这样所有用于用户身份认证的验证数据均由统一身份认证服务器进行统一管理，从而保证了身份信息管理的安全性。

在身份认证过程中，利用分布式的多个身份认证子模块分别为对应的应用服务器提供验证数据，以便应用服务器可以直接在身份认证子模块中进行身份认证，只有身份认证子模块缺少对应的验证数据时，才由统一身份认证服务器来进行认证过程，这样即便某个身份认证子模块出现单点故障，也不会影响到其它身份认证子模块和统一身份认证服务器的正常工作。当某个身份认证子模块在某个时刻的并发请求较多时，也不会导致统一身份认证服务器出现性能瓶颈。这样本发明实施例就解决了单点故障和性能瓶颈的问题。

对于现有的本地系统来说，如果希望纳入本发明的分布式统一认证系统，则可以保留现有的应用服务器和本地认证功能，只需为本地认证功能提供与统一身份认证服务器联系，可以从统一身份认证服务器获取验证数据等功能，这并不会改变本地系统的应用服务与身份认证功能模块的紧耦合关系，改造量比较小。

基于分布式统一认证系统，图3给出了本发明分布式统一认证方法的一实施例的流程示意图。在本实施例中，分布式统一认证方法包括：

步骤201、应用服务器接收通过应用界面输入的身份验证信息，并将所述身份验证信息发送给对应的身份认证子模块；

步骤202、身份认证子模块检查本地是否存有与所述身份验证信息对应的验证数据，如果存有所述验证数据，则执行步骤203，否则执行步骤204；

步骤203、身份认证子模块根据所述验证数据对所述身份验证信息进行认证，并将认证结果返回给所述应用服务器；

步骤204、身份认证子模块将所述身份验证信息以及所述身份认证子模块的标识发送给统一身份认证服务器；

步骤205、统一身份认证服务器对所述身份验证信息进行认证，并将认证结果经由所述身份认证子模块返回给所述应用服务器；

步骤206、所述应用服务器根据获得的认证结果以及对应的用户权限执行对应的服务。

在步骤205中，统一身份认证服务器在将认证结果发送给身份认证子模块时，身份认证子模块可以根据该认证结果在本地保存对应的验证数据，这样在后续操作中，如果该用户在此需要进行身份认证时，就可以利用这次保存的验证数据进行身份认证了，而省去统一身份认证服务器的认证操作所花费的时间和占用的网络资源。

如图4所示，为本发明分布式统一认证方法实施例中一种身份验证信息的同步更新操作的流程示意图。与上一实施例相比，本实施例中还包括身份验证信息的同步更新操作，而且本实施例中的身份认证子模块设置在应用服务器中，需要利用应用服务器所提供的应用界面；

同步更新操作具体包括：

步骤301、应用服务器AppServer-X接收通过应用界面输入的新旧身份验证信息；

步骤302、应用服务器AppServer-X通过其关联的身份认证子模块auServer-X将所述新旧身份验证信息重定向到所述统一身份认证服务器AuServer；

步骤303、统一身份认证服务器AuServer根据所述新旧身份验证信息进行对应验证数据的更新，并向所述身份认证子模块auServer-X同步修改后的验证数据；

步骤304、统一身份认证服务器AuServer定期向关联的其它身份认证子模块auServer-Y同步修改后的验证数据。

在本实施例中，统一身份认证服务器可以接收其管理的身份认证子模块所提出的身份验证信息的修改要求，这种修改要求包括了新旧身份验证信息，其中旧身份验证信息是用来验证提出要求的用户是否合法，而新身份验证信息是以后进行身份认证的依据，将会被保存在统一身份认证服务器中。在这个过程中，身份认证子模块不能直接根据应用服务器所提供的新身份验证信息来更新本地的验证数据，而必须由统一身份认证服务器提供同步更新，这样来保证身份验证信息的高度安全性。统一身份认证服务器还会定期（例如每日晚上）向其关联的其它身份认证子模块来同步修改验证数据，以便该用户以后在其它应用服务器进行身份认证时仍然可以非常方便和及时的完成认证操作，获得相应的服务。

在统一身份认证服务器修改身份认证信息完毕后，可以通过应用服务器向提出修改要求的用户发出成功通知消息；如果因旧身份验证信息错误或者其它原因等导致修改操作失败时，也可以通过应用服务器向提出修改要求的用户发出失败通知消息。

如果身份认证子模块独立设置在应用服务器之外，可以在身份认证子模块中设置应用界面来接收用户输入的新旧身份验证信息。

如图5所示，为本发明分布式统一认证方法实施例中另一种身份验证信息的同步更新操作的流程示意图。在本实施例中，身份认证子模块设置在应用服务器中，需要利用应用服务器所提供的应用界面；

身份验证信息的同步更新操作具体包括：

步骤401、应用服务器AppServer-Y接收通过应用界面输入的身份信息同步请求；

步骤402、应用服务器AppServer-Y通过其关联的身份认证子模块auServer-Y将身份信息同步请求重定向到统一身份认证服务器AuServer；

步骤403、统一身份认证服务器AuServer根据该身份信息同步请求将对应的验证数据同步到该身份认证子模块auServer-Y。

在本实施例中，应用服务器所关联的身份认证子模块可以根据用户的要求主动的向统一身份认证服务器要求验证数据的同步更新，而无需等待统一身份认证服务器的定时更新。通过前面介绍的多种身份认证子模块的同步更新方式，可以满足各种情况下的身份验证需要。

在身份认证子模块身份认证信息完毕后，可以通过应用服务器向用户发出成功通知消息。

如果身份认证子模块独立设置在应用服务器之外，可以在身份认证子模块中设置应用界面来接收用户输入的新旧身份验证信息。

除了身份认证子模块请求更新的同步更新操作外，还包括了统一身份认证服务器的主动同步更新操作，例如统一身份认证服务器在修改或新增验证数据后，从多个身份认证子模块选择希望进行同步更新的身份认证子模块，并将所述验证数据同步到选择的所述身份认证子模块。又例如所述统一身份认证服务器在修改或新增验证数据后，以预设周期将所述验证数据同步到多个身份认证子模块。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

最后应当说明的是:以上实施例仅用以说明本发明的技术方案而非对其限制；尽管参照较佳实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者对部分技术特征进行等同替换；而不脱离本发明技术方案的精神，其均应涵盖在本发明请求保护的技术方案范围当中。

Claims (14)

1.一种分布式统一认证方法，包括：

应用服务器接收通过应用界面输入的身份验证信息，并将所述身份验证信息发送给对应的身份认证子模块；

所述身份认证子模块检查本地是否存有与所述身份验证信息对应的验证数据，如果存有所述验证数据，则根据所述验证数据对所述身份验证信息进行认证，并将认证结果返回给所述应用服务器，否则将所述身份验证信息以及所述身份认证子模块的标识发送给统一身份认证服务器，所述统一身份认证服务器对所述身份验证信息进行认证，并将认证结果经由所述身份认证子模块返回给所述应用服务器；

所述应用服务器根据获得的认证结果以及对应的用户权限执行对应的服务。

2.根据权利要求1所述的分布式统一认证方法，其中在所述统一身份认证服务器将认证结果经由所述身份认证子模块返回给所述应用服务器时，所述身份认证子模块根据所述认证结果在本地保存对应的验证数据。

3.根据权利要求1所述的分布式统一认证方法，其中还包括身份验证信息的同步更新操作，具体包括：

所述身份认证子模块接收通过应用界面输入的新旧身份验证信息，并将所述新旧身份验证信息重定向到所述统一身份认证服务器；

所述统一身份认证服务器根据所述新旧身份验证信息进行对应验证数据的更新，并向所述身份认证子模块同步修改后的验证数据；

所述统一身份认证服务器定期向关联的身份认证子模块同步修改后的验证数据。

4.根据权利要求1所述的分布式统一认证方法，其中还包括身份验证信息的同步更新操作，具体包括：

所述身份认证子模块接收通过应用界面输入的身份信息同步请求，并将所述身份信息同步请求重定向到所述统一身份认证服务器；

所述统一身份认证服务器根据所述身份信息同步请求将对应的验证数据同步到所述身份认证子模块。

5.根据权利要求1所述的分布式统一认证方法，其中还包括身份验证信息的同步更新操作，具体包括：

所述统一身份认证服务器在修改或新增验证数据后，从多个身份认证子模块选择希望进行同步更新的身份认证子模块，并将所述验证数据同步到选择的所述身份认证子模块。

6.根据权利要求1所述的分布式统一认证方法，其中还包括身份验证信息的同步更新操作，具体包括：

所述统一身份认证服务器在修改或新增验证数据后，以预设周期将所述验证数据同步到多个身份认证子模块。

7.根据权利要求1~6任一所述的分布式统一认证方法，其中所述身份认证子模块仅接受所述统一身份认证服务器的用户管理进程对验证数据的修改操作。

8.一种分布式统一认证系统，包括：

统一身份认证服务器，用于保存与用户的身份验证信息对应的验证数据，提供统一的用户管理功能及身份验证功能；

多个身份认证子模块，均与所述统一身份认证服务器连接，用于提供关联的应用服务器接收的身份验证信息的本地身份认证，并在本地缺少与身份验证信息对应的验证数据时，向所述统一身份认证服务器发送所述身份验证信息以及所述身份认证子模块的标识，由所述统一身份认证服务器进行认证；

多个应用服务器，分别与对应的多个身份认证子模块连接，用于提供接收身份验证信息的应用界面，并根据获得的认证结果以及对应的用户权限执行对应的服务。

9.根据权利要求8所述的分布式统一认证系统，其中所述身份认证子模块还包括：

验证数据保存单元，用于在所述统一身份认证服务器将认证结果经由所述身份认证子模块返回给所述应用服务器时，根据所述认证结果在本地保存对应的验证数据。

10.根据权利要求8所述的分布式统一认证系统，其中所述身份认证子模块还用于接收通过应用界面输入的新旧身份验证信息，并将所述新旧身份验证信息重定向到所述统一身份认证服务器；所述统一身份认证服务器还用于根据所述新旧身份验证信息进行对应验证数据的更新，并向所述身份认证子模块同步修改后的验证数据，以及定期向关联的身份认证子模块同步修改后的验证数据。

11.根据权利要求8所述的分布式统一认证系统，其中所述身份认证子模块还用于接收通过应用界面输入的身份信息同步请求，并将所述身份信息同步请求重定向到所述统一身份认证服务器；所述统一身份认证服务器还用于根据所述身份信息同步请求将对应的验证数据同步到所述身份认证子模块。

12.根据权利要求8所述的分布式统一认证系统，其中所述统一身份认证服务器还用于在修改或新增验证数据后，从多个身份认证子模块选择希望进行同步更新的身份认证子模块，并将所述验证数据同步到选择的所述身份认证子模块。

13.根据权利要求8所述的分布式统一认证系统，其中在修改或新增验证数据后，以预设周期将所述验证数据同步到多个身份认证子模块。

14.根据权利要求8~13任一所述的分布式统一认证方法，其中所述身份认证子模块仅接受所述统一身份认证服务器的用户管理进程对验证数据的修改操作。

Images