封装系统如何做自己的网站,罗湖附近公司做网站建设哪家便宜,静安制作企业网站,广州东圃网站建设公司随着信创国产化改造持续推进#xff0c;越来越多的金融机构不断采购信创服务器、PC、办公软件等#xff0c;其 IT 基础设施逐渐迁移至国产化 IT 架构下。为支撑国产化 IT 基础设施的正常使用和集中管理运维#xff0c;某金融机构数据中心的微软Active Directory#xff08;…随着信创国产化改造持续推进越来越多的金融机构不断采购信创服务器、PC、办公软件等其 IT 基础设施逐渐迁移至国产化 IT 架构下。为支撑国产化 IT 基础设施的正常使用和集中管理运维某金融机构数据中心的微软Active DirectoryAD微软活动目录也面临着迁移和替代需要建设国产化的活动目录来满足这一需求。 作为 IT 基础设施的重要组成部分国产活动目录需要具备以下能力才能满足替代AD需求
1. 能够复制和迁移 AD 身份数据确保账号密码与原先保持一致避免重复建设 LDAP 身份数据
2. 能够无缝接管 AD 原有的应用场景即先前对接 AD 的应用系统无缝对接到国产目录上为用户提供无摩擦的接入认证切换体验
3. 提供高可用性方案确保 LDAP 服务不中断。 项目背景
当前该金融数据中心有多台 AD一主多辅共同提供服务。AD 主要对接了几个应用/设备如上网行为管理网络认证服务、Exchange 邮箱等。这几个场景后续将由国产活动目录接管。 一期建设目标
1. 国产活动目录接管网络认证服务及其他应用的身份认证和权限校验
2. 通过 LDAP 认证转发学习 AD 域用户的密码
3. 双机热备部署确保系统高可用。 搭建国产化身份域管迁移AD数据并接管应用 在本项目中引入了宁盾国产化身份域管用于迁移及替代 AD 位并建立国产化的统一身份认证体系。国产化身份域管高度兼容 AD、IBM、ApacheDS等目录服务的 schema使得同步后的数据能够与原有目录结构保持完全一致支持灵活的创建组织架构、支持单层和多层组织。 在接管应用系统时应用能够通过 LDAP 协议从宁盾国产化身份域管同步用户账号密码及权限能够用宁盾身份域管的用户信息登录应用。应用迁移无需二开无缝对接。当 LDAP 应用在认证时静态密码实际由 AD 验证验证成功后宁盾国产化身份域管学习密码到对应账号并缓存为将来平滑过渡到宁盾身份域管做准备。 前后架构如下 nbsp;当前架构 nbsp;国产活动目录方案架构 密码策略及自服务能力保障安全及多方体验
在使用国产化身份域管时IT 管理人员可根据安全需要可基于用户组用户的角色来设置密码有效期、密码复杂度、历史密码个数、密码长度等这一功能特性与 AD 的密码策略也保持了一致。
此外针对用户不能自主修改/找回密码的运维痛点国产化身份域管提供了用户自服务能力。有了自服务功能用户可以在 web 页面自助修改基本信息、解锁账号及找回密码如添加/修改手机号、绑定/解绑动态令牌。当然用户在自助修改密码时也必须按照密码策略来进行如密码复杂度、长度等。
国产身份域管的扩展能力不仅让企业的安全需求得到满足还大幅减少了 IT 管理员为用户解锁账号、找回/重置密码的工作量让 IT 得以集中精力专注于安全运维上让终端用户体验得以优化。 通过高强度压测认真践行高可用承诺
金融机构每天要处理数以千万、亿计的业务数据对系统的高可用性能有着严格要求。为满足该金融数据中心及上级监管部门的性能要求宁盾对国产化身份域管的产品功能、服务性能、可靠性、可管理性等方面进行压测模拟客户的真实办公场景在工作日早上 9 点前后的早高峰时期基于办公场景高强度压力测试。最终宁盾国产化身份域管经受住了高强度性能压力的考验所有测试项均测试通过达到了预期效果。宁盾国产化身份域管可以平滑地接管和替代 AD并为用户提供无感知的切换体验。
除迁移及替代 AD 的需求该金融数据中心数万台信创电脑宁盾国产化身份域管提供了端侧的网络访问控制服务。它可以针对信创电脑实现 802.1X 账密、证书等形式的入网认证并结合准入 Agent 对入网终端进行资产识别、合规检测、灵活管控等。
国产化身份域管作为传统国外身份管理系统如AD、IBM、ApacheDS…的替代方案已在金融、央国企等信创用户中得到切实验证并逐步上线使用。本次针对金融数据中心的解决方案将为金融信创的深入推进提供借鉴助力全行业信创建设实现真替真用。
