CN116032645A - 一种基于终端的鉴权方法 - Google Patents

Abstract

本发明属于网络管理技术领域，尤其为一种基于终端的鉴权方法，该基于终端的鉴权方法设置统一门户，用于供用户终端登录后访问各业务系统，并在整个集团层面以及下级单位均设置认证系统，用于对本级单位用户终端的登录身份进行校验。用户终端登录时，支持通过设置的统一门户登录，来访问整个集团层面及下级单位的不同的业务系统；也支持从集团层面直接访问下级单位的业务系统；还支持从一个下级单位访问位另一份下级单位的业务系统；登录入口多样，登录方式更加灵活，登录体验更好，使用起来更加方便。

Description

一种基于终端的鉴权方法

技术领域

本发明属于网络管理技术领域，具体涉及一种基于终端的鉴权方法。

背景技术

对于大型电力公司来说，企业的数字化、网络化建设，对提升工作效率、改进管理模式有很大促进作用，随着整个集团应用系统的生态体系不断成长，应用系统种类众多，这些应用系统涵盖了供应链管理、项目管理、财务管理、人力资源管理、客户服务管理等各种工作场景，各种应用系统的出现，同时也就伴随着系统用户终端的登录，对登录行为进行鉴权是网络安全的重要保障，这里的鉴权是指验证用户终端是否拥有访问系统的权利，通过注册账号、密码登录的方式就是一种鉴权方式。

由于集团中不同的应用系统太多，如果用户终端在每一个应用系统均注册账号，导致用户终端登录系统太不方便，登录体验很不友好。

单点登录是解决多应用系统如何实现一键登录的方式，通过单点登录，大幅提升了用户终端登录多个应用系统的使用体验。

由于本集团各种应用系统不统一，既有集团统筹建设的系统，也有二级公司、基层单位建设的系统，甚至单位部门自己开发的小型系统，既有支持LDAP、radius标准认证协议的系统，也有大量自行开发的非标准认证协议的系统，传统的单点登录技术通过统一门户、统一登录认证的方式实现，这种技术无法应用于本集团杂多样的应用系统群，并且这种登录方式的易用性不足，不能满足目前的使用要求。

发明内容

本发明的目的在于提供一种基于终端的鉴权方法，以解决现有技术中对于大型集团的复杂多样的应用系统，登录不方便的技术问题。

为解决上述技术问题，本发明采用以下技术方案：

提供一种基于终端的鉴权方法，包括：

整个集团层面及下级单位均具有不同的业务系统，设置统一门户，用于供用户终端登录后访问各业务系统；

在整个集团层面以及下级单位均设置认证系统，用于对本级单位用户终端的登录身份进行校验；

所述下级单位包括第一下级单位，所述第一下级单位具有第一业务系统，当集团层面的第一用户终端不通过所述统一门户登录，而是直接访问所述第一业务系统，登录鉴权方式如下：

(1.1)所述第一用户终端直接登录所述第一业务系统；

(1.2)所述第一业务系统重定向到所述第一下级单位的第一认证系统；

(1.3)所述第一认证系统中不存在所述第一用户终端的认证信息，所述第一认证系统漫游到集团层面的一级认证系统，所述一级认证系统进行所述第一用户终端的认证；

(1.4)所述一级认证系统对所述第一用户终端进行身份认证，若所述第一用户终端身份认证不通过，则禁止所述第一用户终端登录；

若所述第一用户终端身份认证通过，则执行以下步骤：

(1.5)所述第一认证系统生成第一票据；

(1.6)所述第一认证系统传送所述第一票据到所述第一业务系统，同时在所述第一用户终端的终端设备缓存所述第一票据；

(1.7)所述第一业务系统携带所述第一票据到所述第一认证系统进行所述第一票据的校验，所述第一票据校验通过，则所述第一用户终端成功登录所述第一业务系统。

优选的，所述第一下级单位具有第二业务系统，当所述第一用户终端在登录所述第一业务系统之后，还需要登录所述第二业务系统，登录鉴权方式如下：

(1.8)所述第一用户终端的终端设备携带所述第一票据访问所述第二业务系统；

(1.9)所述第二业务系统重定向到所述第一认证系统，所述第一认证系统判断所述第一用户终端已登录，直接生成第二票据；

(1.10)所述第一认证系统传送所述第二票据到所述第二业务系统；

(1.11)所述第二业务系统到所述第一认证系统校验所述第二票据，所述第二票据校验通过，所述第一用户终端成功登录所述第二业务系统。

优选的，所述下级单位还包括第二下级单位，所述第二下级单位具有第三业务系统；

当所述第一下级单位的第二用户终端不通过统一门户登录，而是直接访问所述第三业务系统，登录鉴权方式如下：

(2.1)所述第二用户终端直接登录所述第三业务系统；

(2.2)所述第三业务系统重定向到所述第二下级单位的第二认证系统；

(2.3)所述第二认证系统中不存在所述第二用户终端的认证信息，所述第二认证系统漫游到所述第一下级单位进行所述第二用户终端的认证；

(2.4)所述第一下级单位的第一认证系统对所述第二用户终端进行身份认证，若所述第二用户终端身份认证不通过，则禁止所述第二用户终端登录所述第三业务系统；

若所述第二用户终端身份认证通过，则执行以下步骤：

(2.5)所述第二认证系统生成第三票据；

(2.6)所述第二认证系统传送所述第三票据到所述第三业务系统，同时在所述第二用户终端的终端设备缓存所述第三票据；

(2.7)所述第三业务系统携带所述第三票据到所述第二认证系统进行所述第三票据的校验，所述第三票据校验通过，则所述第二用户终端成功登录所述第三业务系统。

优选的，所述第二下级单位具有第四业务系统，当所述第二用户终端在登录所述第三业务系统之后，还需要登录所述第四业务系统，登录鉴权方式如下：

(2.8)所述第二用户终端的终端设备携带所述第三票据访问所述第四业务系统；

(2.9)所述第四业务系统重定向到所述第二认证系统，所述第二认证系统判断所述第二用户终端已登录，直接生成第四票据；

(2.10)所述第二认证系统传送所述第四票据到所述第四业务系统；

(2.11)所述第四业务系统到所述第二认证系统校验所述第四票据，所述第四票据校验通过，所述第二用户终端成功登录所述第四业务系统。

优选的，所述认证系统包括账号管理单元、认证管理单元和审计管理单元；

所述账号管理单元用于管理本级用户终端注册的账号信息；用户终端登录某业务系统后，该业务系统所在单位的认证系统中的审计管理单元生成登录日志并进行审查，然后将发现的异常登录行为记录在所述账号管理单元中对应的账号目录中，所述认证管理单元根据所述账号管理单元中的账号信息对用户终端登录时进行验证。

优选的，所述账号管理单元设置管理员，所述管理员能够对本级单位的用户终端的账号进行冻结和解禁管理。

优选的，若某用户终端在任一认证系统连续认证5次失败，相应认证系统自动对该用户终端的账号进行冻结，在设定时间段内，该用户终端在任何认证系统将不会被认证通过。

优选的，若某用户终端连续1个月未登录任何认证系统，则对该用户终端的账号进行冻结，该用户终端在任何认证系统将不会认证通过。

优选的，所述登录日志记录的信息包括登录日期、日志类型、用户终端名称、用户终端登录IP地址、用户终端操作状态、用户终端操作名称、用户终端操作对象以及用户终端操作结果。

与现有技术相比，本发明至少具有如下有益的技术效果：本发明提供的基于终端的鉴权方法在整个集团层面及下级单位均具有不同的业务系统，并设置统一门户，用于供用户终端登录后访问各业务系统；并在整个集团层面以及下级单位均设置认证系统，用于对本级单位用户终端的登录身份进行校验；由于本发明提供的基于终端的鉴权方法支持通过设置的统一门户登录来访问整个集团层面及下级单位的不同的业务系统；也支持从集团层面直接访问下级单位的业务系统；还支持从一个下级单位访问位另一份下级单位的业务系统；登录入口多样，登录方式更加灵活，登录体验更好，使用起来更加方便。

附图说明

图1为本发明基于终端的鉴权方法一实施例中各级认证系统的架构图。

图2为本发明基于终端的鉴权方法一实施例中隶属于集团层面的第一用户终端直接访问第一下级单位的第一业务系统、第二业务系统的原理图。

图3为本发明基于终端的鉴权方法一实施例中隶属于第一下级单位的第二用户终端直接访问第二下级单位的第三业务系统、第四业务系统的原理图。

图4为本发明基于终端的鉴权方法一实施例中认证系统的架构图。

图5为本发明基于终端的鉴权方法一实施例中登录日志的数据图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

一种基于终端的鉴权方法，请参阅图1至图4。

集团的应用系统群包括整个集团层面及下级单位的不同的业务系统，比如，整个集团层面设置财务管理系统、人力资源管理系统，下级单位设置相应的项目管理系统等。

整个集团设置统一门户，用于供用户终端登录后访问各业务系统，比如，可通过设计APP的方式，将集团的各应用系统纳入APP进行统一管理，APP上设置统一门户，用于各用户终端注册账号登录访问各业务系统。

如果用户终端仅能够通过统一门户登录，则不够方便，并且容易出现拥挤宕机、反应速度缓慢等情况，导致使用体验不佳；并且很多情况下，用户终端有从业务系统直接登录的需求，比如，用户终端手机没有安装统一门户的APP，而安装了具体的业务系统的APP，或者某业务系统支持直接从浏览器登录，这样，如果用户终端能够从各业务系统直接登录后，还能够访问整个集团的其他业务系统，则使用起来就更加方便，使用体验更好。

为此，该基于终端的鉴权方法在整个集团层面以及下级单位均设置认证系统，用于对本级单位用户终端的登录身份进行校验。

比如，在图1中，集团层面为一级认证系统，第一下级单位、第二下级单位为二级单位，第一下级单位的第一认证系统和第二下级单位的第二认证系统为二级认证系统。

集团层面、第一下级单位、第二下级单位各自有多个自己的业务系统。

当隶属于集团层面的用户终端通过统一门户登录，则通过集团层面的一级认证系统对该用户终端的登录进行验证；当隶属于第一下级单位的用户终端通过统一门户登录时，通过第一认证系统进行登录认证；隶属于第二下级单位的用户终端通过统一门户登录时，通过第二认证系统进行登录认证。

一级认证系统、第一认证系统和第二认证系统可互动。在图1中有两个二级单位(第一下级单位和第二下级单位)，实际还可以有更多的二级单位，以及有三级单位等更低一级的单位，下级单位的架构根据集团架构而定，各级单位的认证系统之间均可互动。

该基于终端的鉴权方法，支持以下登录鉴权方式：

如图2所示，第一下级单位具有第一业务系统12，当隶属于集团层面的第一用户终端11不通过统一门户登录，而是直接访问第一业务系统12，登录鉴权方式如下：

(1.1)第一用户终端11直接登录第一业务系统12。

(1.2)第一业务系统12重定向到第一下级单位的第一认证系统13。

(1.3)第一认证系统13中不存在第一用户终端11的认证信息，第一认证系统13漫游到集团层面的一级认证系统14，一级认证系统14进行第一用户终端11的认证。

在该步骤中，由于第一用户终端11隶属于集团层面，第一用户终端11的认证信息存储在集团的一级认证系统14中，所以第一认证系统13中不存在第一用户终端11的认证信息。

(1.4)一级认证系统14对第一用户终端11进行身份认证，若第一用户终端11身份认证不通过，则禁止第一用户终端11登录；

若第一用户终端11身份认证通过，则执行以下步骤：

(1.5)第一认证系统13生成第一票据。

本步骤中，这里的第一票据是一个令牌，属于第一用户终端11的身份标志。

(1.6)第一认证系统13传送第一票据到第一业务系统12，同时在第一用户终端11的终端设备缓存第一票据。

本步骤中，对第一票据进行缓存的目的是表明该第一用户终端11被验证通过过，便于该第一用户终端11据此登录其他的业务系统。

(1.7)第一业务系统12携带第一票据到第一认证系统13进行第一票据的校验，第一票据校验通过，则第一用户终端11成功登录第一业务系统12。

通过上面这种方式，使得集团的第一用户终端11能够直接登录第一下级单位的第一业务系统12，登录方式更加自由、便捷。

进一步的，如图2所示，第一下级单位还具有第二业务系统15，当第一用户终端11在登录第一业务系统12之后，还需要登录第二业务系统15，则登录鉴权方式如下：

(1.8)第一用户终端11的终端设备携带第一票据访问第二业务系统15。

(1.9)第二业务系统15重定向到第一认证系统13，第一认证系统13判断第一用户终端11已登录，直接生成第二票据。

本步骤中，由于第一用户终端11携带了第一票据，所以第一认证系统13不再需要漫游到一级认证系统14，可以直接生产第二票据。这里的第二票据也是一个令牌，属于第一用户终端11的另外一个身份标志，第一票据、第二票据数据性质相同的数据，但二者是不同的标志，可被区分。

(1.10)第一认证系统13传送第二票据到第二业务系统15。

(1.11)第二业务系统15到第一认证系统13校验第二票据，第二票据校验通过，第一用户终端11成功登录第二业务系统15。

通过上面这种方式，使得集团的第一用户终端11在登录第一业务系统12后，能够顺利、快捷的登录第一下级单位的另外一个业务系统。

进一步的，在第二下级单位具有第三业务系统17，当第一下级单位的第二用户终端16不通过统一门户登录，而是直接访问第三业务系统17情况下，登录鉴权方式如下：

(2.1)第二用户终端16直接登录第三业务系统17。

(2.2)第三业务系统17重定向到第二下级单位的第二认证系统19。

(2.3)第二认证系统19中不存在第二用户终端16的认证信息，第二认证系统19漫游到第一下级单位进行第二用户终端16的认证。

本步骤中，由于第二用户终端16隶属于第一下级单位，第二用户终端16的登录信息存储在第一下级单位的第一认证系统13中，所以第二认证系统19需要漫游到第一认证系统对第二用户终端16的登录身份进行认证。

(2.4)第一下级单位的第一认证系统13对第二用户终端16进行身份认证，若第二用户终端16身份认证不通过，则禁止第二用户终端16登录第三业务系统17；

若第二用户终端16身份认证通过，则执行以下步骤：

(2.5)第二认证系统19生成第三票据。

(2.6)第二认证系统19传送第三票据到第三业务系统17，同时在第二用户终端16的终端设备缓存第三票据。

(2.7)第三业务系统17携带第三票据到第二认证系统19进行第三票据的校验，第三票据校验通过，则第二用户终端16成功登录第三业务系统17。

通过上面这种方式，使得第一下级单位的第二用户终端16能够直接登录第二下级单位的第三业务系统17，登录方式十分自由、便捷。

进一步的，如图3所示，第二下级单位具有第四业务系统18，当第二用户终端16在登录第三业务系统17之后，还需要登录第四业务系统18，则登录鉴权方式如下：

(2.8)第二用户终端16的终端设备携带第三票据访问第四业务系统18。

(2.9)第四业务系统18重定向到第二认证系统19，第二认证系统19判断第二用户终端16已登录，直接生成第四票据。

(2.10)第二认证系统19传送第四票据到第四业务系统18。

(2.11)第四业务系统18到第二认证系统19校验第四票据，第四票据校验通过，第二用户终端16成功登录第四业务系统18。

通过上面这种方式，使得第一下级单位的第二用户终端16在登录第三业务系统17后，能够顺利、快捷的登录第二下级单位的另外一个业务系统。

进一步的，如图4所示，认证系统包括账号管理单元21、认证管理单元22和审计管理单元23，账号管理单元21用于管理本级用户终端注册的账号信息；认证管理单元22用于在本级用户终端登录时进行验证；审计管理单元23是对本级用户终端的登录行为进行审计。

其中，集团层面的一级认证系统，第一下级单位、第二下级单位的第一认证系统和第二认证系统的架构图均与图4一致。

若某用户终端在任一认证系统连续认证5次失败，相应认证系统自动对该用户终端的账号进行冻结，在5天内，该用户终端在任何认证系统将不会被认证通过。

而若某用户终端连续1个月未登录任何认证系统，则对该用户终端的账号进行冻结，该用户终端在任何认证系统将不会认证通过。

账号管理单元21设置管理员，管理员可对本级单位的用户终端的账号进行冻结和解禁管理，比如，前述被冻结的用户终端账号可联系管理员解禁。

进一步的，某用户终端登录某业务系统后，该业务系统所在单位的认证系统中的审计管理单元生成登录日志并进行审查，然后将发现的异常登录行为记录在账号管理单元中对应的账号目录中，认证管理单元根据账号管理单元中的账号信息对用户终端登录时进行验证。

如图5所示，获得的登录日志记录的信息包括登录日期(图5中“生成时间”一栏)、日志类型(图5中显示日志类型为“用户终端登录”)、用户终端名称(图5中“用户终端”一栏)、用户终端登录IP地址、用户终端操作状态、用户终端操作名称(显示用户终端进行了什么操作)、用户终端操作对象(显示用户终端对业务系统的什么内容进行操作)、用户终端操作结果(显示用户终端是否操作成功)。

审计管理单元23对登录日志进行审计，可及时发现异常登录行为。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。

尽管已经示出和描述了本发明的实施例，对于本领域的普通技术人员而言，可以理解，在不脱离本发明的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由所附权利要求及其等同物限定。

Claims (9)

1.一种基于终端的鉴权方法，其特征在于，包括：

整个集团层面及下级单位均具有不同的业务系统，设置统一门户，用于供用户终端登录后访问各业务系统；

在整个集团层面以及下级单位均设置认证系统，用于对本级单位用户终端的登录身份进行校验；

所述下级单位包括第一下级单位，所述第一下级单位具有第一业务系统，当集团层面的第一用户终端不通过所述统一门户登录，而是直接访问所述第一业务系统，登录鉴权方式如下：

(1.1)所述第一用户终端直接登录所述第一业务系统；

(1.2)所述第一业务系统重定向到所述第一下级单位的第一认证系统；

(1.3)所述第一认证系统中不存在所述第一用户终端的认证信息，所述第一认证系统漫游到集团层面的一级认证系统，所述一级认证系统进行所述第一用户终端的认证；

(1.4)所述一级认证系统对所述第一用户终端进行身份认证，若所述第一用户终端身份认证不通过，则禁止所述第一用户终端登录；

若所述第一用户终端身份认证通过，则执行以下步骤：

(1.5)所述第一认证系统生成第一票据；

(1.6)所述第一认证系统传送所述第一票据到所述第一业务系统，同时在所述第一用户终端的终端设备缓存所述第一票据；

(1.7)所述第一业务系统携带所述第一票据到所述第一认证系统进行所述第一票据的校验，所述第一票据校验通过，则所述第一用户终端成功登录所述第一业务系统。

2.根据权利要求1所述的基于终端的鉴权方法，其特征在于，所述第一下级单位具有第二业务系统，当所述第一用户终端在登录所述第一业务系统之后，还需要登录所述第二业务系统，登录鉴权方式如下：

(1.8)所述第一用户终端的终端设备携带所述第一票据访问所述第二业务系统；

(1.9)所述第二业务系统重定向到所述第一认证系统，所述第一认证系统判断所述第一用户终端已登录，直接生成第二票据；

(1.10)所述第一认证系统传送所述第二票据到所述第二业务系统；

(1.11)所述第二业务系统到所述第一认证系统校验所述第二票据，所述第二票据校验通过，所述第一用户终端成功登录所述第二业务系统。

3.根据权利要求1所述的基于终端的鉴权方法，其特征在于，所述下级单位还包括第二下级单位，所述第二下级单位具有第三业务系统；

当所述第一下级单位的第二用户终端不通过统一门户登录，而是直接访问所述第三业务系统，登录鉴权方式如下：

(2.1)所述第二用户终端直接登录所述第三业务系统；

(2.2)所述第三业务系统重定向到所述第二下级单位的第二认证系统；

(2.3)所述第二认证系统中不存在所述第二用户终端的认证信息，所述第二认证系统漫游到所述第一下级单位进行所述第二用户终端的认证；

(2.4)所述第一下级单位的第一认证系统对所述第二用户终端进行身份认证，若所述第二用户终端身份认证不通过，则禁止所述第二用户终端登录所述第三业务系统；

若所述第二用户终端身份认证通过，则执行以下步骤：

(2.5)所述第二认证系统生成第三票据；

(2.6)所述第二认证系统传送所述第三票据到所述第三业务系统，同时在所述第二用户终端的终端设备缓存所述第三票据；

(2.7)所述第三业务系统携带所述第三票据到所述第二认证系统进行所述第三票据的校验，所述第三票据校验通过，则所述第二用户终端成功登录所述第三业务系统。

4.根据权利要求3所述的基于终端的鉴权方法，其特征在于，

所述第二下级单位具有第四业务系统，当所述第二用户终端在登录所述第三业务系统之后，还需要登录所述第四业务系统，登录鉴权方式如下：

(2.8)所述第二用户终端的终端设备携带所述第三票据访问所述第四业务系统；

(2.9)所述第四业务系统重定向到所述第二认证系统，所述第二认证系统判断所述第二用户终端已登录，直接生成第四票据；

(2.10)所述第二认证系统传送所述第四票据到所述第四业务系统；

(2.11)所述第四业务系统到所述第二认证系统校验所述第四票据，所述第四票据校验通过，所述第二用户终端成功登录所述第四业务系统。

5.根据权利要求1所述的基于终端的鉴权方法，其特征在于，所述认证系统包括账号管理单元、认证管理单元和审计管理单元；

所述账号管理单元用于管理本级用户终端注册的账号信息；用户终端登录某业务系统后，该业务系统所在单位的认证系统中的审计管理单元生成登录日志并进行审查，然后将发现的异常登录行为记录在所述账号管理单元中对应的账号目录中，所述认证管理单元根据所述账号管理单元中的账号信息对用户终端登录时进行验证。

6.根据权利要求5所述的基于终端的鉴权方法，其特征在于，所述账号管理单元设置管理员，所述管理员能够对本级单位的用户终端的账号进行冻结和解禁管理。

7.根据权利要求6所述的基于终端的鉴权方法，其特征在于，若某用户终端在任一认证系统连续认证5次失败，相应认证系统自动对该用户终端的账号进行冻结，在设定时间段内，该用户终端在任何认证系统将不会被认证通过。

8.根据权利要求6所述的基于终端的鉴权方法，其特征在于，若某用户终端连续1个月未登录任何认证系统，则对该用户终端的账号进行冻结，该用户终端在任何认证系统将不会认证通过。

9.根据权利要求6所述的基于终端的鉴权方法，其特征在于，所述登录日志记录的信息包括登录日期、日志类型、用户终端名称、用户终端登录IP地址、用户终端操作状态、用户终端操作名称、用户终端操作对象以及用户终端操作结果。

Images