CN101471939A

CN101471939A - Soa架构的融合业务***中的多次用户认证鉴权方法

Info

Publication number: CN101471939A
Application number: CNA2008100889918A
Authority: CN
Inventors: 王劲林; 白鹤; 李晔; 汤迪斌
Original assignee: Institute of Acoustics CAS
Current assignee: Institute of Acoustics CAS
Priority date: 2007-12-28
Filing date: 2008-04-11
Publication date: 2009-07-01
Anticipated expiration: 2028-04-11
Also published as: CN101471939B

Abstract

本发明涉及一种SOA架构的融合业务***中多次用户认证鉴权方法，所述认证鉴权方法，包括以下步骤：(1)初访注册过程，是指不同终端用户初次启动适配安装的客户端软件，在鉴权中心进行注册，并初始化客户端的过程；(2)确认终端属性寻类过程，是指用户在具体服务域发起请求，鉴权中心对用户初步认证，并根据体现的终端特性进行初步鉴权，优化选择提供服务的业务模块；(3)映射用户过程，是指请求具体服务过程中，鉴权中心通过CSI获取客户端用户具体信息，与其它源的用户关联的过程；(4)统一用户过程，是指鉴权中心将服务请求和用户信息，传递给适用的细粒度业务层，在具体的业务模块不同源的用户得到统一的服务。

Description

SOA架构的融合业务***中的多次用户认证鉴权方法

技术领域

本发明涉及融合业务***，特别涉及到SOA架构的融合***用户管理中的认证鉴权方法。

背景技术

网络融合的大趋势下，跨网络、跨终端、提供多媒体信息的融合业务***在各方面需求下应运而生，它的最终目标是基于统一综合的网络进行各种信息的通信，使得用户可以通过不同终端在任何时间、任何地点都可以享受无缝统一的融合业务。融合业务的提供***主要是四类技术：综合智能网技术、SIP业务提供技术、Parlay/OSA/OMA开放业务接口技术、面向业务的体系架构(SOA)技术(包括WebServices中间件)。

前三种技术主要应用在电信领域，或者已经部署、或者作为下一代网络(NGN)的重点研究课题，都具备相对成熟的用户管理方法。面向业务的体系架构(Service-Oriented Architecture，SOA)主要应用于企业应用和IT领域，这是一种架构模型，它可以根据需求通过网络对松散耦合的粗粒度应用组件进行分布式部署、组合和使用。业务层是SOA的基础，可以直接被应用调用，从而有效控制***中与软件代理交互的人为依赖性。SOA的几个关键特性：一种粗粒度、松耦合服务架构，服务之间通过简单、精确定义接口进行通讯，不涉及底层编程接口和通讯模型。SOA在这种架构中所有相关的业务能力被标准化为服务模块，通过定义组合顺序(包括控制流和数据流)、动态的模块发现和获取机制，并通过中间件进行信息交互，可自动和即时地生成新的应用业务，并快速部署和运行。SOA架构的融合业务***由于其开放性的业务结构，用户管理数据模型难以确定，至今并没有一种成型统一的用户认证鉴权方法。

当前IT领域多业务***广泛使用的认证方法是单点登录(Single Sign-On SSO)，就是一次登录即可完成整个业务***里面的身份验证，主要用于客户端服务器模式，并不能适应跨终端的***需求；另外存在一种Web服务安全性(WS-Security)规范，提供了一套帮助Web Services开发者保护SOAP消息交换的机制，主要用于WebServices中通讯消息的加密，并不能提出针对SOA平台***的用户认证鉴权方法；针对SOA架构的融和业务***，可以看出，上述认证鉴权方法暴露出多方面不足：难以解决多终端的差异性需求，不能满足不同业务提供商对终端用户身份验证，不能进行统一的用户权限管理。

发明内容

本发明为了解决SOA架构的融合业务***中面临的各种终端的用户属性不同，用户访问形式不同所造成的用户鉴权问题，提出了一种多步用户认证鉴权方法，以实现SOA架构的融合业务的透明的统一用户认证鉴权。该方法包括以下步骤：

(1)初访注册过程，该步骤是指不同终端用户初次启动适配安装的客户端软件，在鉴权中心进行注册，并初始化客户端的过程，如果用户通过Web门户访问，则直接申请用户名进行注册；如果不是，则该步骤包括：

11)终端用户首次启动适配安装的客户端软件，客户端检查软件自身固化的串码CSC，如果CSC位数不对则获取***信息重新生成；

12)客户端基于XML的消息封装协议，打包初始化服务请求，其中包含终端CSC，并将该请求发送到***鉴权中心AUC；

13)AUC接受服务请求，检查串码位，如果为空则是错误请求，丢弃；如果大于16位，转入21)寻类过程；如果是16位，AUC则对此终端用户提供注册服务，生成确定位数n的唯一用户名和密码，n可以根据***预计容量来设计；

14)AUC将CSC和用户名叠加，生成请求服务的用户客户端的唯一标识符CSI，将用户信息存入用户数据库，完成了初访的注册过程。

(2)确认终端属性寻类过程，该步骤是指用户在具体服务域发起请求，AUC对用户初步认证，并根据体现的终端特性进行初步鉴权，优化选择提供服务的业务模块：

21)用户发起具体服务请求，AUC在接受到包含16+n位的串码服务请求时，可以初步确定此串码是合法的CSI，按照叠加规则逆向拆分，可以获得CSC和用户名；

22)AUC通过分析CSC，可以得到终端类型、型号和***的信息，基于此可以聚类同种终端；

23)AUC根据终端特性在特定服务域中优化选择服务提供者，缩小服务提供者范围，为下一步映射做准备；

(3)映射用户过程，该步骤是指请求具体服务过程中，AUC通过CSI获取客户端用户具体信息，与其它源的用户关联的过程：

31)AUC利用SCI-用户名对，向数据库发起请求，如果没有获得信息，则舍弃请求；如果获得请求用户具体信息，则最终认证是合法用户，并且获得基于此用户扩展的安全性令牌；

32)AUC检查寻类过程优化后的每一个业务模块的策略，检查是否有附加的安全性令牌要求，根据得到的用户令牌精确确定业务提供者；

(4)统一用户过程，该步骤是指AUC将服务请求和用户信息，传递给适用的细粒度业务层，在具体的业务模块不同源的用户得到统一的服务：

41)AUC把终端发起的服务请求，连同之前步骤获得的用户信息和附加令牌，发送到具体的业务模块；

42)业务模块根据用户信息和附件加全性令牌的输入，实现对终端用户无差别的服务，完成最终的鉴权。

所述12)步骤，还可以包括，根据***业务性质不同，采用安全性高或低的安全措施，将包含终端CSC的初始化服务请求，发送到***鉴权中心AUC。

所述13)步骤，还包括AUC先利用rand算法生成一个随机数，然后把随机数做为种子赋值给md5算法，最后得出确定位数n的唯一用户名和密码。

所述CSC，是Client Serial Code，CSC是16位按照协议定义的，代表终端特性的字符，包括设备、型号和***信息。

所述客户端，是指安装适配的软件的用户终端，用于负责保存一定的用户信息和业务信息，代替用户向服务器端发起服务请求，并将结果展示给用户。

所述终端，是指用户与业务***的接口设备，主要指用户使用的硬件平台，包括多种网络终端：手机、电视机顶盒、个人PC等。

所述鉴权中心AUC，是指融合业务***中负责响应用户请求，处理用户业务的软件实体，用于对用户进行认证和鉴权。

本发明的优点在于：针对SOA架构的融和业务***，解决多终端的差异性需求，满足不同业务提供商对终端用户身份验证，进行统一的用户权限管理。

附图说明

图1是本发明的总体流程图；

图2是本发明总体框架图；

图3是本发明初访注册过程流程图；

图4是本发明确认终端属性寻类过程流程图；

图5是本发明客户端初始化一次握手过程流程图；

图6是本发明映射用户过程流程图；

图7是本发明统一用户过程流程图；

图8是本发明客户端请求具体业务模块二次握手流程图；

具体实施方式

本发明提供的一种SOA架构融合业务***相对成熟的应用是Web Services，其服务器主要位于因特网上，而其客户端可以安装在不同网络的终端上，这样客户端与服务器端可能需要通过异种网络(GPRS CATV因特网...)之间互通的网关进行跨网络连接，交换信息。

下面结合附图和具体实施例，对本发明提供的多次用户认证鉴权方法作进一步阐述。

如图1和图2所示，本发明提供SOA架构的融合业务***多次用户认证鉴权方法包括：初访注册过程、确认终端属性寻类过程、映射用户过程和统一用户过程；

(1)初访注册过程，如图3所示，该步骤是指不同终端用户初次启动适配安装的客户端软件，在鉴权中心进行注册，并初始化客户端的过程，如果用户通过Web门户访问，则直接申请用户名进行注册；如果不是，则该步骤包括：

13)AUC接受服务请求，检查串码位，如果为空则是错误请求，丢弃；如果大于16位，转入21)寻类过程；如果是16位，AUC则对此终端用户提供注册服务，按照一定算法生成确定位数n的唯一用户名和密码，n可以根据***预计容量来设计；

14)AUC串叠CSC和用户名，生成请求服务的用户客户端的唯一标识符CSI，将用户信息存入用户数据库，完成了初访的注册过程；

(2)确认终端属性寻类过程，是指用户在具体服务域发起请求，AUC对用户初步认证，并根据体现的终端特性进行初步鉴权，优化选择提供服务的业务模块，如图4所示：

22)通过分析CSC，可以得到终端类型、型号和***的信息，基于此可以聚类同种终端；

23)根据终端特性在特定服务域中优化选择服务提供者，缩小服务提供者范围，为下一步映射做准备；

例如：一个在线旅游的融合业务***中，***预定义的的服务域组有订房、订机票、租车、景点、旅游视频五大类；现有Nokia的N70手机终端，同样处于GPRS网络和使用Symbian S60***，这样可以划分为同一类。根据其***网络终端特性，适配订房、订机票、租车、景点四大类的服务域，因为GPRS网络带宽，旅游视频服务并不适用此类；划为同类的终端就可接受同样的服务域组合。将域组标记和CSI标示符返回客户端，完成初始化一次握手过程，如图5。

以提过的在线旅游的融合业务***为例，电视机顶盒终端的用户提交订房的请求，AUC检查***订房的业务域可以有多个后台运营者，同时机顶盒终端自身的约束，其中需要进行语音交互的业务提供者就必须被剔除，优化了提供业务的运营商范围。

(3)映射用户过程，该步骤是指请求具体服务过程中，AUC通过CSI获取客户端用户具体信息，与其它源的用户关联的过程，如图6所示：

本实施例中在线旅游的融合业务***，优化后的提供订房服务仍有三家服务提供商，其中前两家需要用户提供***方面的信息，而AUC得到的用户信息未包含***方面的安全性令牌，此时定位由第三家订房服务商提供服务。

(4)统一用户过程，该步骤是指AUC将服务请求和用户信息，传递给适用的细粒度业务层，在具体的业务模块不同源的用户得到统一的服务，如图7所示：

42)业务模块根据用户信息和附加安全性令牌的输入，实现对终端用户无差别的服务，如图8所示，完成最终的鉴权。

所述13)步骤，是指AUC先利用rand算法生成一个随机数，然后把随机数做为种子赋值给md5算法，最后得出确定位数n的唯一用户名和密码。

所述CSC，是Client Serial Code，CSC是16位按照协议定义的，代表终端特性的字符，包括设备、型号和***，此串码为确定的16位代表终端特性，作为寻类过程初次鉴权的依据，其中头两位代表终端设备类型，继而六位代表终端品牌，接着四位代表终端所用***，最后四位代表终端所在的网络。

本发明针对SOA架构的融和业务***，解决多终端的差异性需求，满足不同业务提供商对终端用户身份验证，进行统一的用户权限管理。

Claims

1、一种SOA架构的融合业务***中的多次用户认证鉴权方法，所述认证鉴权方法，包括以下步骤：

11)终端用户首次启动适配安装的客户端软件，客户端检查软件自身固化的终端串码，如果该串码位数不对则获取***信息重新生成；

12)客户端基于XML的消息封装协议，打包初始化服务请求，其中包括终端的串码，并将该请求发送到***鉴权中心；

13)鉴权中心接受服务请求，检查串码位，如果为空则是错误请求，丢弃；如果大于16位，转入21)寻类过程；如果是16位，鉴权中心则对此终端用户提供注册服务，并生成确定位数n的唯一用户名和密码，n可以根据***预计容量来设计；

14)鉴权中心叠加终端串码和用户名，生成请求服务的用户客户端的唯一标识符CSI，并将用户信息存入用户数据库，完成了初访的注册过程；

(2)确认终端属性寻类过程，该步骤是指用户在具体服务域发起请求，鉴权中心对用户初步认证，并根据体现的终端特性进行初步鉴权，优化选择提供服务的业务模块，其步骤包括：

21)用户发起具体服务请求，鉴权中心在接受到包含16+n位的串码服务请求时，可以初步确定此串码是合法的CSI，按照叠加规则逆向拆分，可以获得终端串码和用户名；

22)鉴权中心通过分析终端串码，可以得到终端类型、型号和***的信息，基于此可以聚类同种终端；

23)鉴权中心根据终端特性在特定服务域中优化选择服务提供者，缩小服务提供者范围，为下一步映射做准备；

(3)映射用户过程，该步骤是指用户请求具体服务过程中，鉴权中心通过CSI获取客户端用户具体信息，与其它源的用户关联的过程，其步骤包括：

31)鉴权中心利用SCI-用户名对，向数据库发起请求，如果没有获得信息，则舍弃请求；如果获得请求用户具体信息，则最终认证是合法用户，并且获得基于此用户扩展的安全性令牌；

32)鉴权中心检查寻类过程优化后的每一个业务模块的策略，检查是否有附加的安全性令牌要求，根据得到的用户令牌精确确定业务提供者；

(4)统一用户过程，该步骤是指鉴权中心将服务请求和用户信息，传递给适用的细粒度业务层，在具体的业务模块不同源的用户得到统一的服务，其步骤包括：

41)鉴权中心把终端发起的服务请求，连同之前步骤获得的用户信息和附加令牌，发送到具体的业务模块；

42)业务模块根据用户信息和附加安全性令牌的输入，实现对终端用户无差别的服务，完成最终的鉴权。

2、根据权利要求1所述的用户认证鉴权方法，其特征在于，所述12)步骤，还可以包括，根据***业务性质不同，采用安全性高或低的安全措施，将包含终端串码的初始化服务请求，发送到***鉴权中心。

3、根据权利要求1所述的户认证鉴权方法，其特征在于，所述13)步骤，是指鉴权中心先利用随机算法生成一个随机数，然后把随机数做为种子赋值给md5算法，最后得出确定位数n的唯一用户名和密码。

4、根据权利要求1或2所述的用户认证鉴权方法，其特征在于，所述终端串码，是16位按照协议定义的，代表终端特性的字符，包括设备、型号和***信息。

5、根据权利要求1所述的用户认证鉴权方法，其特征在于，所述客户端，是指安装适配的软件的用户终端，用于负责保存一定的用户信息和业务信息，代替用户向服务器端发起服务请求，并将结果展示给用户。

6、根据权利要求1所述的用户认证鉴权方法，其特征在于，所述终端，是指用户与业务***的接口设备。

7、根据权利要求1所述的认证鉴权方法，其特征在于，所述鉴权中心，是指融合业务***中负责响应用户请求，处理用户业务的软件实体，用于对用户进行认证和鉴权。