CN110602123A - 一种基于微服务的单点证书认证系统及方法 - Google Patents

Abstract

本申请公开了一种基于微服务的单点证书认证系统及方法，该系统包括证书管理模块和token管理模块，且都提供restful API接口。证书管理模块用于生成证书、下载证书、对证书进行认证、删除证书以及存储证书文件；token管理模块用于根据证书信息生成token、对token进行认证以及存储token。该方法包括：获取来自客户端的证书生成请求；根据该请求生成相应的证书发送至客户端并存储；判断证书生成请求中是否存在token信息；如果是，对token信息进行认证；否则对证书进行认证，证书认证通过后生成一加密的token信息返回至客户端，并存储加密的token信息，客户端携带加密的token信息再次访问服务端；对加密的token信息进行认证。通过本申请能够提高对系统的管理效率，提高证书认证的安全性。

Description

一种基于微服务的单点证书认证系统及方法

技术领域

本申请涉及计算机安全认证技术领域，特别是涉及一种基于微服务的单点证书认证系统及方法。

背景技术

业务系统的证书认证，是计算机安全认证技术领域的一个重要问题。例如，在Web应用系统中通常用到证书认证，以确保系统运行的安全性。

目前常用的证书认证系统通常是：每一套业务系统部署一套证书服务器，用于进行数字证书的管理，每个业务系统的数字证书认证过程在业务系统内部完成，为一对一的认证过程。具体地，目前的证书认证系统包括三部分：多个客户端、多个证书服务器和多个服务端，其中一套业务系统匹配一个客户端、一个证书服务器和一个服务端，其部署结构可以参见图1，由图1可知，以三套业务系统为例，三套业务系统匹配三个客户端，需要部署三个证书服务器，三个证书服务器分别进行数字证书认证，认证通过后，分别发送给相应的服务端。

然而，目前的证书认证系统中，由于每个业务系统的数字证书认证过程需要在其自身内部完成，多个业务系统需要配置多个证书服务器，操作繁琐，不利于证书认证的管理。

发明内容

本申请提供了基于微服务的单点证书认证系统及方法，以解决现有技术中证书认证系统不便于管理的问题。

为了解决上述技术问题，本申请实施例公开了如下技术方案：

一种基于微服务的单点证书认证系统，所述系统的一端分别与多个客户端连接，所述系统的另一端分别与多个服务端连接，且所述系统以微服务方式部署，所述系统包括：证书管理模块和token管理模块，且所述证书管理模块和token管理模块均提供对外通信的restful API接口；

所述证书管理模块，用于根据所获取的外部请求生成证书、下载所述证书、对所述证书进行认证、删除所述证书以及存储与证书认证相关的文件；

所述token管理模块，用于证书认证通过后，根据所述证书生成token信息、存储token信息以及对所述token信息进行认证。

可选地，所述证书管理模块包括：

证书生成单元，用于根据所获取的证书生成请求生成相应的证书；

证书下载单元，用于根据所获取的证书下载请求，从单点证书认证系统中下载所述证书；

证书删除单元，用于根据所获取的证书删除请求，对所述证书进行删除；

证书认证单元，用于根据所获取的证书认证请求，对所述证书进行合法性验证；

第一存储单元，用于存储所述证书及证书认证相关的文件。

可选地，所述第一存储单元包括：单点证书认证系统指定的存储文件或者keystore。

可选地，所述token管理模块包括：

Token生成单元，用于证书认证通过后，根据设定的规则生成一加密的token信息，并将所述加密的token信息发送至客户端；

Token认证单元，用于根据服务端的token认证请求，对所述加密的token信息进行合法性验证；

第二存储单元，用于存储所述加密的token信息。

可选地，所述第二存储单元包括：memcache数据库或者Redis数据库。

可选地，所述restful API接口包括：证书生成接口、证书下载接口、证书认证接口、证书删除接口、token生成接口或者token认证接口。

一种基于微服务的单点证书认证方法，所述方法应用于一单点证书认证系统，所述系统的一端分别与多个客户端连接，所述系统的另一端分别与多个服务端连接，所述系统以微服务方式部署，且所述系统包括：证书管理模块和token管理模块，且所述证书管理模块和token管理模块均提供对外通信的restful API接口，所述restful API接口包括：证书生成接口、证书下载接口、证书认证接口、证书删除接口、token生成接口或者token认证接口，所述方法包括：

获取来自客户端的证书生成请求；

根据所述证书生成请求生成相应的证书，将所述证书发送至客户端，并对所述证书进行存储；

当用户通过客户端访问服务端时，服务端判断所述证书生成请求中是否存在token信息；

如果是，服务端调用单点认证证书服务器的token验证接口，对所述token信息进行认证；

如果否，调用所述证书认证接口，对所述证书进行认证；

当证书认证通过后，通过调用token生成接口生成一加密的token信息，将所述加密的token信息返回至客户端，并存储所述加密的token信息；

客户端携带所述加密的token信息再次访问服务端；

服务端调用token验证接口，对所述加密的token信息进行认证。

可选地，所述方法还包括：

根据所获取的证书删除请求，调用证书删除接口对所述证书进行删除。

可选地，所述单点证书认证方法适用于数字证书认证或Usbkey认证。

本申请的实施例提供的技术方案可以包括以下有益效果：

本申请提供一种基于微服务的单点证书认证系统，该系统以微服务方式部署，该系统中主要包括证书管理模块和token管理模块，且两个模块都提供对外通信的restfulAPI接口。通过证书管理模块，根据所获取的外部请求生成相应的证书、下载证书、对证书进行认证、删除证书以及存储与证书认证相关的文件；通过token管理模块，当证书认证通过后，根据证书生成token信息、对token信息进行认证以及存储与token认证相关的信息。本实施例通过设置一单点证书认证系统，将证书认证过程打包成docker镜像，封装为微服务方式，且通过对外的restful API接口，第三方Web应用系统可以很方便地集成本实施例中的系统，便于管理，从而大大提高证书认证系统的管理效率。而且本实施例中的系统在用户名+密码认证方式的基础上，增加证书认证过程，有利于提高整个系统的安全性。本实施例中证书管理模块和token管理模块的设置，使得证书认证过程中包括证书认证和token信息认证双重认证，有利于进一步提高系统的安全性。本实施例的token信息可以存储于memcache数据库或者Redis数据库中，实现分布式部署，采用一个单点证书认证系统可以部署多套证书认证服务，有利于提高证书认证的效率。另外，由于本实施例中的系统功能比较简单，可以在系统服务里面集成各种认证过程，如数字证书认证或Usbkey认证，实现多因子认证操作，系统兼容性高，有利于系统的推广应用。

本申请还提供一种基于微服务的单点证书认证方法，该方法应用于如上所述的系统中，该方法首先获取来自客户端的证书生成请求，然后根据证书生成请求生成相应证书，发送至客户端，并存储该证书，当用户端访问服务端时，如果证书生成请求中存储token信息，则服务端调用单点认证证书服务器的token验证接口，对token信息进行认证；否则调用证书认证接口对证书进行认证，证书认证通过后通过token生成接口生成一加密的token信息，对其进行存储并返回客户端，客户端携带该加密的token信息访问服务端，服务端调用token验证接口，对加密的token信息进行认证。本实施例中的方法通过证书认证和token信息认证双重认证，能够大大提高系统的安全性。而且本实施例中的方法采用微服务方式打包认证过程，采用单点认证的方法，在多个应用系统中用户只需要认证依次证书就可以访问所有相互信任的应用系统，便于对证书认证过程的管理，能够大大提高对证书认证过程的管理效率。而且本实施例中的方法兼容性高，适用于多种认证，包括数字证书认证或Usbkey认证，有利于实现多因子认证，提高认证效率。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本申请。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本申请的实施例，并与说明书一起用于解释本申请的原理。

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为背景技术中证书认证系统的结构示意图；

图2为本申请实施例所提供的一种基于微服务的单点证书认证系统的流结构示意图；

图3为本申请实施例中证书认证微服务调用流关系示意图；

图4为本申请实施例所提供的一种基于微服务的单点证书认证方法的流程示意图。

具体实施方式

为了使本技术领域的人员更好地理解本申请中的技术方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。

为了更好地理解本申请，下面结合附图来详细解释本申请的实施方式。

实施例一

参见图2，图2为本申请实施例所提供的一种基于微服务的单点证书认证系统的流结构示意图。由图2可知，本实施例中的单点证书认证系统主要包括：证书管理模块和token管理模块，且证书管理模块和token管理模块均提供对外通信的restful API接口。该系统的一端分别与多个客户端连接，系统的另一端分别与多个服务端连接。任一客户端与任一服务端相匹配。其中，证书管理模块用于根据所获取的外部请求生成证书、下载证书、对证书进行认证、删除证书以及存储与证书认证相关的文件；token管理模块用于证书认证通过后，根据证书生成token信息、存储token信息以及对token信息进行认证。

本实施例中的客户端包括：移动终端或浏览器，移动终端如：手机。服务端包括：Web第三方应用系统。

本实施例中的restful API接口包括：证书生成接口、证书下载接口、证书认证接口、证书删除接口、token生成接口或者token认证接口，这些接口用于实现单点证书认证系统与外部的通信连接。

具体地，证书管理模块主要用于用户证书的管理，token管理模块主要用于证书认证通过后，生成token信息和后续的token信息认证。其中，证书管理模块包括：证书生成单元、证书下载单元、证书删除单元、证书认证单元和第一存储单元。其中，证书生成单元，用于根据所获取的证书生成请求生成相应的证书；证书下载单元，用于根据所获取的证书下载请求，从单点证书认证系统中下载所述证书；证书删除单元，用于根据所获取的证书删除请求，对所述证书进行删除；证书认证单元，用于根据所获取的证书认证请求，对所述证书进行合法性验证；第一存储单元，用于存储所述证书及证书认证相关的文件。

其中，证书生成单元、证书下载单元、证书删除单元以及第一存储单元，主要由管理员用户使用，而证书认证单元主要是普通用户使用。一个单点证书认证系统中通常包括前端界面和后台服务端。

进一步地，第一存储单元包括：单点证书认证系统指定的存储文件或者keystore。也就是证书生成后，对证书进行存储，可以存储到单点证书认证系统指定的存储文件中，也可以存储到keystore中。

具体地，证书生成单元的工作过程如下：

(1)单点证书认证系统的Web前端界面，输入证书用户信息，点击“生成证书”按钮，接收到证书生成请求后，调用证书生成接口，实时发送请求到单点证书认证系统的后台服务端；

(2)单点证书认证系统的后台服务端收到证书生成请求，调用用户证书生成脚本；

(3)用户证书生成脚本调用OpenSSL或Keytool等工具及密钥，根据所获取的用户信息，生成用户数字证书；

(4)将生成的用户数字证书存放到Web端下载地址的路径下，供管理员用户或普通用户下载；同时，保存一份用户数字证书到单点证书认证系统的后台服务端的文件中或者keystore中，用于后续证书认证过程做。

(5)管理员用户下载用户数字证书，分发给用户，用户将证书导入到自己的浏览器中。

证书认证单元的工作过程如下：

(1)用户通过浏览器访问Web第三方应用系统时，第三方系统首先检测登录用户端的证书认证请求中是否带有token，如果存在token，则调用单点证书认证系统的token认证接口，进行token合法性的验证；如果不存在token，则调用单点证书认证系统的证书认证接口，进行证书合法性的验证。

(2)浏览器与Web服务器交互过程中，通过Web服务服务器自动发送用户数字证书到单点证书认证系统中，调用证书认证接口，实时发送用户数字证书到单点证书认证系统的后台服务端。

(3)单点证书认证系统的后台服务端用公钥解密用户数字证书，获取用户信息；根据用户信息，获取认证服务存储在文件、memcache或Redis中的用户信息，比对用户信息的准确性，从而完成证书的认证。

本实施例中token管理模块包括：token生成单元、token认证单元以及第二存储单元。其中，token生成单元用于证书认证通过后，根据设定的规则生成一加密的token信息，并将加密的token信息发送至客户端；token认证单元用于根据服务端的token认证请求，对加密的token信息进行合法性验证；第二存储单元用于存储加密的token信息。

其中，token生成单元和第二存储单元主要由管理员用户使用，而token认证单元主要是普通用户使用。

进一步地，第二存储单元包括：memcache数据库或者Redis数据库。

具体地，token生成单元的工作流程如下：

当证书认证通过后，调用token生成接口，根据设定的规则生成一个加密的token信息，将该加密的token信息返回给第三方Web应用系统。

token验证单元的工作流程如下：

第三方web应用系统获取到token信息后，调用单点证书认证系统的token认证接口，进行token的验证，如果验证通过，则继续进行用户名+密码等其他方式的安全认证。如果验证失败，则抛出证书验证失败错误的提示，用户进行修订后重新进行token认证。

对于用户失效或到期等原因，需要进行用户证书的删除。本实施例的单点证书认证系统提供证书删除接口。管理员用户通过浏览器访问单点证书认证系统的Web前端界面，输入证书用户信息，点击“查询证书”按钮。如果查询到该证书，点击证书删除按钮，证书删除请求经Web服务器，调用证书删除接口，实时发送到单点证书认证系统的后台服务端进行证书删除操作。

本实施例中证书删除单元的工作流程如下：

(1)用户通过浏览器访问第三方Web应用系统。

(2)第三方Web应用系统接收到用户的访问请求后，查看用户请求信息中是否存在token信息，如果存在，跳到步骤(6)，如果不存在，第三方Web应用系统返回错误码302，重定向单点证书认证服务系统的地址给浏览器。

(3)浏览器接收到302错误码和重定向地址后，向单点证书认证服务系统发送数字证书，进行证书认证，其中，证书认证过程在单点证书认证服务系统的证书管理模块进行认证。

(4)如果证书认证通过，单点证书认证服务系统的token管理模块生成token信息，返回给用户，同时返回给用户错误码302和重定向第三方web服务系统的地址。

(5)浏览器接收到302错误码和重定向地址后，发送携带token信息的请求到第三方Web应用系统，进行重新登录。

(6)第三方Web应用系统接收到token信息后，进入单点证书认证微服务系统的token管理模块进行token认证。

(7)单点证书认证微服务系统返回token认证结果。

(8)进行其他认证，如用户名密码认证等。

本实施例中证书认证微服务调用流关系示意图可以参见图3。

综上所述，本实施例的单点证书认证系统中，在常规的用户名+密码认证方式的基础上，通过设置证书管理模块增加证书认证过程，有利于提高系统的安全性。且设置有token管理模块，实现证书认证和token信息认证的双认证，有利于进一步提高系统的安全性。本实施例中的单点证书认证系统采用微服务的方式，将认证过程打包成docker镜像，并对外提供restful接口，第三方Web应用系统可以在不修改或者做很少的相应修改的情况下集成，有利于系统的管理，从而提高单点证书认证的效率。另外，本实施例中的token信息可以存储在memcache数据库或者Redis数据库中，使得整个系统可以实现可分布式部署，从而可以部署多套证书认证微服务，无性能瓶颈，有利于提高用户体验，提高证书认证效率。由于本实施例中采用单点证书认证，用户只需要认证一次证书，就可以访问所有相互信任的应用系统。

实施例二

在图2和图3所示实施例的基础之上参见图4，图4为本申请实施例所提供的一种基于微服务的单点证书认证方法的流程示意图。由图4可知，本实施例中基于微服务的单点证书认证方法，主要包括如下过程：

S1：获取来自客户端的证书生成请求。

S2：根据证书生成请求生成相应的证书，将证书发送至客户端，并对证书进行存储。

S3：当用户通过客户端访问服务端时，服务端判断证书生成请求中是否存在token信息。

如果证书生成请求中存在token信息，执行步骤S4：服务端调用单点认证证书服务器的token验证接口，对token信息进行认证。

如果证书生成请求中不存在token信息，执行步骤S5：调用证书认证接口，对证书进行认证。即：客户端通过调用证书认证接口对证书进行认证。

S6：当证书认证通过后，通过调用token生成接口生成一加密的token信息，将加密的token信息返回至客户端，并存储加密的token信息。

S7：客户端携带加密的token信息再次访问服务端。

此时服务端通常会检测到客户端请求信息中存在的token信息，然后执行步骤S8：服务端调用token验证接口，对加密的token信息进行认证。

如果服务端没有检测到客户端请求信息中存在的token信息，则返回步骤S5。

进一步地，本实施例中的方法还包括：

S9：根据所获取的证书删除请求，调用证书删除接口对证书进行删除。

本实施例中的单点证书认证方法适用于数字证书认证或Usbkey认证，能够实现多因子认证操作，扩展性强，兼容性强，有利于该方法的推广。

该实施例中未详细描述的部分可以参照图2和图3所示的实施例一，两个实施例之间可以互相参照，在此不再赘述。

以上所述仅是本申请的具体实施方式，使本领域技术人员能够理解或实现本申请。对这些实施例的多种修改对本领域的技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (9)

1.一种基于微服务的单点证书认证系统，其特征在于，所述系统的一端分别与多个客户端连接，所述系统的另一端分别与多个服务端连接，且所述系统以微服务方式部署，所述系统包括：证书管理模块和token管理模块，且所述证书管理模块和token管理模块均提供对外通信的restful API接口；

所述证书管理模块，用于根据所获取的外部请求生成证书、下载所述证书、对所述证书进行认证、删除所述证书以及存储与证书认证相关的文件；

所述token管理模块，用于证书认证通过后，根据所述证书生成token信息、存储token信息以及对所述token信息进行认证。

2.根据权利要求1所述的一种基于微服务的单点证书认证系统，其特征在于，所述证书管理模块包括：

证书生成单元，用于根据所获取的证书生成请求生成相应的证书；

证书下载单元，用于根据所获取的证书下载请求，从单点证书认证系统中下载所述证书；

证书删除单元，用于根据所获取的证书删除请求，对所述证书进行删除；

证书认证单元，用于根据所获取的证书认证请求，对所述证书进行合法性验证；

第一存储单元，用于存储所述证书及证书认证相关的文件。

3.根据权利要求2所述的一种基于微服务的单点证书认证系统，其特征在于，所述第一存储单元包括：单点证书认证系统指定的存储文件或者keystore。

4.根据权利要求1所述的一种基于微服务的单点证书认证系统，其特征在于，所述token管理模块包括：

Token生成单元，用于证书认证通过后，根据设定的规则生成一加密的token信息，并将所述加密的token信息发送至客户端；

Token认证单元，用于根据服务端的token认证请求，对所述加密的token信息进行合法性验证；

第二存储单元，用于存储所述加密的token信息。

5.根据权利要求4所述的一种基于微服务的单点证书认证系统，其特征在于，所述第二存储单元包括：memcache数据库或者Redi s数据库。

6.根据权利要求1-5中任一所述的一种基于微服务的单点证书认证系统，其特征在于，所述restful API接口包括：证书生成接口、证书下载接口、证书认证接口、证书删除接口、token生成接口或者token认证接口。

7.一种基于微服务的单点证书认证方法，其特征在于，所述方法应用于一单点证书认证系统，所述系统的一端分别与多个客户端连接，所述系统的另一端分别与多个服务端连接，所述系统以微服务方式部署，且所述系统包括：证书管理模块和token管理模块，且所述证书管理模块和token管理模块均提供对外通信的restful API接口，所述restful API接口包括：证书生成接口、证书下载接口、证书认证接口、证书删除接口、token生成接口或者token认证接口，所述方法包括：

获取来自客户端的证书生成请求；

根据所述证书生成请求生成相应的证书，将所述证书发送至客户端，并对所述证书进行存储；

当用户通过客户端访问服务端时，服务端判断所述证书生成请求中是否存在token信息；

如果是，服务端调用单点认证证书服务器的token验证接口，对所述token信息进行认证；

如果否，调用所述证书认证接口，对所述证书进行认证；

当证书认证通过后，通过调用token生成接口生成一加密的token信息，将所述加密的token信息返回至客户端，并存储所述加密的token信息；

客户端携带所述加密的token信息再次访问服务端；

服务端调用token验证接口，对所述加密的token信息进行认证。

8.根据权利要求7所述的一种基于微服务的单点证书认证方法，其特征在于，所述方法还包括：

根据所获取的证书删除请求，调用证书删除接口对所述证书进行删除。

9.根据权利要求7或8所述的一种基于微服务的单点证书认证方法，其特征在于，所述单点证书认证方法适用于数字证书认证或Usbkey认证。