软件平台支撑组件设计

1.1. 软件平台支撑组件设计软件支撑平台是为本期信息化平台提供安全保障和基础运行功能支撑的功能组件，主要包括资源目录管理，自动化流程引擎，消息中心，接口中心等功能。

详细设计如下：1.1.1.资源目录管理1.1.1.1. 业务描述权限和资源管理系统可应用于各单位的信息化建设及基础资源整合，对已有应用系统进行统一身份整合，可以为跨部门的多个应用子系统的帐号整合和分级授权管理提供基础的应用平台。

权限和资源管理系统是以目录服务为基础，提供组织身份、应用服务和信息资源的三大目录服务体系。

在此基础之上实现认证服务、授权服务、身份管理、资源管理、配置管理、权限管理等应用服务，并可以与CA身份认证结合，为平台提供统一的基础资源配置服务。

实现对机构的特定资源（组织、身份、岗位、角色、服务）进行统一的配置和管理。

主要解决用户统一身份管理、统一身份认证、统一权限配置、统一访问控制、统一访问审计和分布式账号整合等问题，支持与CA产品的整合。

设计规范、体系结构开放、支持通用标准协议、支撑各种应用系统的整合。

1.1.1.2. 提供组织模型管理1)组织模型的地位和作用审批系统组织模型就是对入驻中心的部门、科技组织结构进行建模，是利用抽象的模型或者元素，构造出的一系列关系，用于表达中心组织机构中的实体间的层次和隶属。

组织模型是用来定义中心的组织形式的模型，它以职责、权限的形式定义了中心成员、各个部门的作用与任务，同时提供灵活的结构以适应不同的部门或不同的组织结构。

组织模型是大部份电子政务应用系统构建的基础。

几乎所有的电子政务应用系统都涉及到组织机构模型的建设，一个组织机构模型的好坏直接影响到基于它构建的其它应用系统。

组织机构模型对现实中的机构进行了抽象建模，提供了统一的概念和语义。

通过组织模型的建设能很好的解决电子政务应用中人员调动、权限变化、职位变迁、部门合并、分级授权管理等各种业务问题组织模型提供了一个统一的抽象，对用户统一集中管理，可管理多级用户，支持用户分类分组、多种用户接口、用户权限安全等方面的管理。

组织模型为单点登录、统一授权提供基础，它为灵活授权、统一管理提供了基础。

2)组织模型的实体定义●实体定义本规范共定义了六个实体，分别是机构、部门、人员、角色、用户组、岗位。

➢机构：指在社会生活中，人们为实现某种职能所建立的，由人、财物和信息若干因素有序地联结起来的，相对稳定的社会实体单位。

通常指机关、团体或其他工作单位及其内部组织,例如：某区政务服务中心。

➢部门：是对根据行政划分而实际存在的实体部门的抽象，例如：中心办公室。

➢人员：是对部门内的实体人员及类似实体的抽象，例如：张三。

➢角色：在处理特定业务时设定的具有特定工作范围或工作职责，用于解决特定业务问题的属性，例如：办公室文件管理员。

➢用户组：是为满足特定业务需求而组建的，不受机构或部门限制的人员集合，可以是临时的或长期的，如：XXX领导小组。

➢岗位：根据部门的职能不同进行更为细致的业务划分而抽象出来的工作岗位，如中心主任就是一个岗位。

●实体关系的定义机构模型实体关系是机构模型中各个实体之间的关联关系的统称。

1.1.1.3. 提供访问控制服务权限和资源管理系统提供对用户身份的统一权限配置和统一访问控制等服务。

能够针对各类业务、栏目等资源授于相应的权限范围，将用户实体与其角色、岗位、部门等权限属性相分离，使每个人员都具备不同的应用权限，实现每级或每个用户只能在自身的权限范围之内访问相应的业务、栏目等资源。

1.1.1.3.1.访问控制的地位和作用访问控制是针对越权使用资源的防御措施。

基本目标是为了限制访问主体（用户、进程、服务等）对访问客体（文件、系统等）的访问权限，从而使计算机系统在合法范围内使用，决定用户能做什么，也决定代表一定用户利益的程序能做什么。

访问控制决定了谁能够访问系统，能访问系统的何种资源以及如何使用这些资源。

适当的访问控制能够阻止未经允许的用户有意或无意地获取数据。

1.1.1.3.2.权限管理模型通过建立统一的访问控制模型，提供统一的权限访问接口和管理接口。

通过权限访问接口，为各个业务逻辑模块提供统一的访问策略和权限控制。

通过管理接口，使各个业务逻辑模块能够创建自己的访问控制资源和权限分配。

同时提供相应的统计、日志、事件、审计的建立、查询等附加功能。

最终达到实现各个业务逻辑模块权限管理的一致性、易管理和易维护。

我们在RBAC的基础上进行了扩展：增加Actor对象，用户（User）和Role （角色）的集合；增加了域（Domain）对象，授权或者操作的范围；增加用户（User）和权限（Permission）的关系，单个用户（User）可以直接授权,从而实现电子政务的访问控制目标。

为了对数据资源进行授权，参照目前国际上比较流行的ACL权限模型，对资源进行了扩展：参照数据权限模型，为了对数据权限进行授权和校验，将数据映射为Resource，对数据的操作映射为Operation，整个授权过程将等同于普通的Resource对象。

扩展了数据资源：单条数据资源（DataRowResource），数据范围资源（DataScopeResource），表数据资源（TableResource），字段数据资源（TableColumnResource）。

将数据抽象成授权资源对象，通过相同的权限分配和权限判断进行数据的权限校验。

1.1.1.3.3.访问控制接口及规则访问控制接口分为权限访问接口、管理接口、数据权限接口三大类。

在审批系统中，根据不同的业务需求，部门人员会担任不同的角色，执行不同的业务功能，同时考虑到安全性，对不同资源的访问会设置不同的安全级别，相应的由于人员变更、角色变更、调离而产生的权限变动在权限管理中都需要进行详细的设置。

因此需要设置不同的访问控制规则，实现权限统一性和可管理性。

业务系统庞大，涉及到的机构、地域、人员繁多，需要不断的调整权限控制系统，所以对权限管理模块的易维护和易扩展性提出很高要求。

同时为了保证操作安全和判断权限是否合理，需要增加对权限的统计、审计功能和日志功能。

考虑到政府部门树状、多层次、多级别的分支结构以及人员的角色分级，需要实现权限的集中控制，分级管理。

1.1.1.4. 提供身份服务权限和资源管理系统提供身份服务。

1.1.1.4.1.身份服务的地位和作用通过对组织模型的各种操作来实现现实中组织的各种变化，使模型和现实中的组织保持一致。

所以它必须拥有一套管理维护的接口，包括实体信息的维护和实体间关系的维护。

模型最终的目的是为其它应用系统提供组织身份信息，所以组织模型必须向外提供一致的操作接口。

1.1.1.4.2.身份服务接口（包含统一认证服务）身份服务接口包括四大类：身份认证接口（统一认证）、模型管理接口、模型信息接口、同步信息接口。

身份认证接口指对用户身份进行认证的接口。

其中模型管理接口指实体及实体属性的管理接口。

实体增、删、改操作，当然根据需要，还包括一些特殊的操作如：移除。

模型信息接口指对模型信息进行读取的操作接口。

同步信息接口指把模型的变动数据同步给外部系统的接口。

1.1.2.自动化流程引擎1.1.2.1. 业务描述工作流管理系统是统一技术支撑模块的重要组成，是审批系统的核心。

工作流管理系统应遵循工作流相关规范（WFMC等），支持多种接口、工作流控制模式和资源分配模式，支持LDAP目录服务，支持第三方对象开发。

满足用户所需的流程定义、运转和管理等功能。

工作流管理系统包括工作流定义、工作流运转和工作流管理等功能。

工作流系统应支持顺序、并发、发散、多路分支等标准模式，能够实现高级用户的复杂业务流程。

1.1.2.2. 逻辑结构图工作流系统是针对中心事项审批、以及其他业务的办理情况而开发的基于Web的工作流管理系统。

产品主要包括工作流定义、工作流运转和工作流管理等功能。

工作流系统的核心工作流引擎具有自主知识产权，支持顺序、并发路由方式，实现了发散、多路分支等标准模式，能够实现高级用户的复杂业务流程。

授权角色可监控全部流程，提供审计日志，支持自动催办，手动催办。

产品参考了WFMC工作流参考模型，完全基于J2EE规范设计开发。

1.1.2.3. 提供流程服务1)流程服务的作用工作流系统为平台的各种业务提供流程服务。

通过工作流系统的构建为提供各类业务流程定制及管理的平台，支持行政审批、督查督办、请销假批复等相关业务流程的定制和管理，能够支持各类复杂流程的灵活定制。

2)流程服务支持的业务应用示例工作流服务必须具备以下业务分析所涉及的功能特点。

●审批业务流程服务是实现业务审批的主要核心技术。

采用流程服务完成业务网上流转是为了达到以下目的：✓一是简化办事程序。

通过流程再造，尽量简化审批程序。

✓二是优化工作流程。

科学地排布审批流程中的各个环节，保证运转协调。

✓三是规范审批权限。

在依法依规的前提下，尽量下放审批权限，便于权力监督制约。

✓四是完善电子政务。

建立健全审批网络的硬、软件，逐步实现网上审批。

✓五是强化中心窗口作用。

更多的赋予窗口组织、协调的职能，对复杂事项实施窗口指令性作业。

✓六是杜绝后台运行。

停止各部门内部审批，切实杜绝“双轨运行”现象。

✓七是加强监督。

建立完善中心监督检查制度，实施对服务态度、方式、质量和效率的全方位监管。

●电子监查业务电子监查主要是用于对实现各部门督查事项的公开监督、查询、统计、通报，促进重大决策事项有效落实。

督查事项目的是有效处理、协调各部门之间的工作，提高数据处理的准确性、及时性和科学性，改进督察管理水平，全面提高办公效率。

通过流程服务的数据监听技术可实现对各个业务流程实例的数据抽取，最终形成督查数据中心。

●行政管理业务在审批项目建设中，行政管理是不可或缺的重要部分。

作为政府机关来说，行政管理是否科学、有效，直接影响着整个机构的工作成效。

本项目的行政管理包括请销假管理、出差管理等业务。

1.1.3.消息中心由于本次项目对接系统多、涉及终端分散、跨业务类型较广，业务节点多，因此平台设计统一的消息中心来管控所有的消息发送渠道是及其有必要的。

1.1.3.1. 消息发送渠道梳理根据本次项目涉及到的消息发送、通知功能，结合本地已有的电子政务建设成果，我们梳理了以下消息发送渠道：●电子邮箱对接省电子邮箱网关实现对内部工作人员、外部客户发送相关电子邮件。

●短信对接省短信网关实现对内部工作人员、外部客户发送相关短信。

●平台站内信对接云平台-站内信，实现对工作人员发送业务提醒信息。

1.1.3.2. 统一消息服务接口综合所有消息发送渠道，对外提供统一的消息发送接口，通过对入参的定义实现一次调用对不同渠道、不同用户的消息发送。

1.1.3.3. 运行管理配置基于web可视化管理后台实现消息中心运行管理的相关操作。