财政管理一体化-统一门户管理系统建设方案

统一门户管理系统建设方案
目录
1 统一门户管理 (3)
1.1 功能描述 (3)
1.2 统一门户架构 (3)
1.3 功能需求与初步设计 (4)
1.3.1 统一用户及权限管理 (4)
1.3.2 统一单点登录管理 (4)
1.3.3 统一待办事项管理 (5)
1.3.4 集中部署配置管理 (5)
1.3.5 衔接业务模块的接口服务 (5)
1.4 统一门户与CA的服务 (7)
1.4.1 CA系统组成 (7)
1.4.2 统一门户与CA的服务需求 (8)
1.5 统一门户对项目相关业务的支持和准备 (8)
1统一门户管理
1.1功能描述
随着财政办公信息化水平不断提高，业务系统也越来越多，一个用户可能要使用多个系统，办公过程中需要在不同系统之间切换，而且每个系统都有自己的用户名和密码，这样势必给工作带来不便。

基于平台的统一门户管理，要对纳入一体化系统的各业务子系统的账户和权限实行统一分配、分级管理；实现单点登录，系统内的每个操作人员，采用统一的登录方式和界面进入各业务子系统，并且实现统一的业务事务提醒功能，门户要有CA认证接口，能够方便与财政部统一研发的CA系统进行衔接。

1.2统一门户架构
通过门户实现单点登录和待办事项提醒，用户只需要一次登录门户，就可以访问自己拥有权限操作的业务模块，从而解决用户之前使用多个模块需要在不同模块之间切换时多次登陆，而且每个模块都有自己的用户名和密码，从而给工作带来操作不便的问题。

统一门户管理总体架构如下：
省、设区市、县、乡各级财政及预算单位等用户
图 1.2-1：门户管理总体构架
1.3功能需求与初步设计
1.3.1统一用户及权限管理
统一用户及权限管理的建设是应用整合中的基础，可以说决定了应用整合建设的成败，是应用整合建设关键的一步。

目前业务系统建设不是统一的技术平台，用户管理、系统登录等自成体系，每套系统都有独立的用户管理，带来了系统使用和管理的复杂度和成本增加。

统一用户管理作为用户的认证、用户信息统一修改、用户密码修改的入口，包含用户、应用分配、同步等管理。

首先要对一个人员在不同业务系统中的的账号进行统一和合并，统一合并后的用户表存放在平台，日常中的用户维护由平台管理，业务系统根据平台同步用户。

平台用户数据只维护各业务系统的共有属性，业务系统的用户特殊属性有业务系统维护。

目前如员工岗位变更，业务系统就要做很多用户及用户权限的重建和调整等繁琐的工作，解决这个问题的办法就是使员工账号和岗位分离，岗位调整时只需要修改员工和岗位的关系就可以了，改变的只是岗位上的人员信息，岗位信息是相对固定的。

用户维护时要建立门户用户，建立岗位，建立门户用户和岗位的关系，建立岗位和业务系统的关系，这样员工和岗位的关系就可以脱离绑定。

门户用户可以理解为人员，岗位可以理解为统一后的业务系统账号。

同时还需要用户的版本管理，什么时间段哪个员工和哪个岗位绑定。

业务系统需要同步岗位信息，以及当前岗位的员工有效在岗时间段，岗位对于业务系统即为用户。

一个人员在同一个业务系统拥有多个岗位时，业务系统在自身系统做标识处理，这种情况登录系统时登录页面除了年度、账套、数据库外还需要用户的岗位角色供选择。

具体功能要求如下：
➢统一用户维护；
➢统一岗位管理；
➢用户版本管理；
➢用户业务模块维护：新建，去除用户有权限访问的业务系统。

1.3.2统一单点登录管理
构建统一用户管理和单点登录是一个信息化建设必不可少的重大举措。

通过建设统一的信息门户，并把各种业务系统进行统一授权进入，可以降低风险，降低使用和管理的复杂度。

单点登录在多个应用系统中，用户只需要登录一次就可以访问所有拥有权限，相互信任的应用系统，是业务整合的解决方案之一。

登录流程：
用户通过浏览器登录门户，登录成功后根据用户获得待办事项和业务系统。

启动业务系统后，业务系统弹出供用户选择的参数信息页面，如账套、年度、数据库信息等等，用户选择这些参数后进入到业务系统操作区。

1.3.3统一待办事项管理
业务系统实时向平台待办任务表中更新待办事项，当成功登录门户后，可以看到自己的待办事项，可以清楚的了解要处理的工作，然后登录业务系统进行处理。

待办事项类别即为业务系统名称。

待办事项状态：待审核，待打印等。

待办事项显示信息样式如：待审核2条，待打印3条，点击待办事项业务系统名称进入到业务系统登录界面；对于B/S系统点击待办事项进入到业务系统相应的操作界面，C/S 系统点击待办事项进入到业务系统首页面。

1.3.4集中部署配置管理
业务系统配置：增加/删除集成的业务系统，配置业务系统信息，便于日后的扩展。

可配置的业务系统信息：系统名称、编码、架构类型、B/S应用的URL，显示先后顺序。

待办事项配置：待办事项状态定义。

业务系统参数配置：如当前年度。

系统的套账参数，系统的数据库参数等。

1.3.5衔接业务模块的接口服务
门户向业务模块提供的接口包括：
判断用户是否登录门户的接口：
表格 1.3-1：定义应用系统接口
➢B/S应用系统需要实现的接口：
表格 1.3-2：实现接口
➢C/S应用系统需要实现的接口：
表格 1.3-3：实现接口
1.4统一门户与CA的服务
1.4.1CA系统组成
CA系统由以下部分组成：
USB智能卡：负责客户端的数字签名和加解密，也是用户数字证书和私钥的载体，同时私钥不出卡，不可复制。

客户端安全认证组件：负责提供客户端应用程序接口，完成对USB智能卡的驱动和访问，从而产生客户端用户认证请求。

对于B/S结构的应用系统，提供浏览器安全插件，与浏览器无缝结合；对于C/S结构的应用系统，提供COM组件。

认证服务器：负责提供服务器端应用程序接口，并对客户端提交的用户认证请求进行认证，鉴别用户身份，控制用户对应用系统的访问。

管理服务器：包括用户管理、证书管理和USB智能卡管理等模块，完成用户授权、证书申请和USBKey制作，并提供全面的系统管理和审计功能。

1.4.2统一门户与CA的服务需求
一体化项目通过财政部统推的CA系统，加强对系统的安全性控制，保证数据安全访问。

平台与CA之间要有两类接口：
●第一类是访问用户的身份认证。

用户在通过门户登录时，利用插在计算机上的密钥盘，访问CA服务器，取得身份认证后，系统再向门户检查用户的权限等事项。

该接口涉及的处理流程如下：
1）用户在计算机USB接口上插入包含自己证书和私钥的SecurSecureKey，访问系统登录页面；
2）服务器接受登录请求，并产生一个临时随机数，发送到客户端；
3）用户输入SecurSecureKey访问口令，点击“登录”按钮；
4）客户端对服务器发来的随机数以及用户的身份信息利用SecurSecureKey硬件进行加密，并对加密结果做数字签名，将结果发送到服务器；
5）应用服务器接收到客户端发来的数据后，执行如下验证过程：
a)验证用户的数字证书的有效性，包括签发者证书链、时间期限等；
b)证书验证通过后，调用认证服务器验证接收数据的数字签名信息；
c)再调用认证服务器加解密功能模块对接收的数据进行解密,得到随机数和
用户身份信息；
d)验证用户身份信息，并比较随机数是否与开始发送时相同；
e)根据以上验证步骤，决定是否验证成功；
6）应用服务器根据认证服务器的返回结果决定登录是否成功。

●第二类使用数字证书对关键操作的数据进行数字签名。

这些关键操作包括：直接支付凭证、授权支付凭证等，可在具体实施根据业务系统的需要来确定。

数字签名主要的功能是保证信息传输的完整性、发送者的身份认证、防止交易中的抵赖发生。

如在支付系统中，可调用CA提供的数字签名接口程序对支付凭证进行数字签名，发送银行后，银行再调用CA提供的数字签名验证接口程序对支付凭证进行签名验证。

1.5统一门户对项目相关业务的支持和准备
统一门户建立了统一的用户管理、权限处理、单点登录和待办事项提醒机制，并提供了与业务系统的接口程序。

如支付系统、工资系统等等，进入到统一门户系统需要做以下工
作：
●梳理其相关的信息项，如预算单位等，统一部署到平台；
●梳理其用户及用户编码，部署到统一门户；
●梳理其相关的权限，部署到统一门户；
●改造其登录程序，调用统一门户提供的接口，实现从统一门户登录的用户自动获
取到该业务系统的相关权限，自动进入到该系统。

这里面可能还会涉及到补充和
完善统一门户的相关接口程序。