認證授權(quán)與密碼服務(wù)地方建設(shè)任務(wù)書

PAGE6認證授權(quán)與密碼服務(wù)地方建設(shè)任務(wù)書一、總體設(shè)計（一）總體架構(gòu)。應急管理部認證授權(quán)與密碼服務(wù)，是應急管理信息網(wǎng)絡(luò)安全運維體系的重要組成部分。采用統(tǒng)一架構(gòu)、統(tǒng)一管理、分級建設(shè)的模式，為全國各級應急管理機構(gòu)訪問部級數(shù)據(jù)中心業(yè)務(wù)應用，提供統(tǒng)一身份管理、統(tǒng)一認證、統(tǒng)一密碼管理以及權(quán)限管理。具備為全國各級應急管理機構(gòu)，統(tǒng)一簽發(fā)數(shù)字證書、同步身份和機構(gòu)信息、分發(fā)密鑰等管理能力。省級應急管理機構(gòu)，依托部CA中心、身份管理系統(tǒng)、密碼管理系統(tǒng)、權(quán)限管理系統(tǒng)，以指揮信息網(wǎng)作為傳輸通道，構(gòu)建省級RA中心、身份、密碼和權(quán)限管理系統(tǒng)，形成全國應急管理統(tǒng)一的PKI系統(tǒng)，實現(xiàn)身份與密碼的統(tǒng)一管理，并提供XX權(quán)限同步服務(wù)?？傮w架構(gòu)如下圖所示：圖11-1認證授權(quán)與密碼服務(wù)總體架構(gòu)

（二）技術(shù)架構(gòu)。認證授權(quán)與密碼服務(wù)由身份管理系統(tǒng)、PKI/CA系統(tǒng)（數(shù)字證書管理系統(tǒng)）、密碼管理系統(tǒng)、權(quán)限管理系統(tǒng)四部分組成，各部分遵循統(tǒng)一管理平臺、統(tǒng)一接口和統(tǒng)一調(diào)用的原則，技術(shù)架構(gòu)如下圖所示：圖11-2認證授權(quán)與密碼服務(wù)技術(shù)架構(gòu)1.身份管理系統(tǒng)：為各級用戶、機構(gòu)、設(shè)備、應用和服務(wù)等XX信息提供統(tǒng)一數(shù)字化身份的管理，為業(yè)務(wù)系統(tǒng)提供基于多因素的統(tǒng)一認證服務(wù)。2.PKI/CA系統(tǒng)：為各級用戶、機構(gòu)、設(shè)備、應用和服務(wù)提供數(shù)字證書全生命周期服務(wù)的管理，為各類實體提供可信身份標識和身份認證的基礎(chǔ)因素。3.密碼管理系統(tǒng)：為各級機構(gòu)提供統(tǒng)一的對稱、非對稱密鑰和密碼設(shè)備管理，為業(yè)務(wù)應用和數(shù)據(jù)提供統(tǒng)一的密碼服務(wù)。4.權(quán)限管理系統(tǒng)：為各級機構(gòu)提供XX屬性管理、權(quán)限策略管理和授權(quán)服務(wù)。（三）與其他系統(tǒng)的關(guān)系。1.與指揮信息網(wǎng)的關(guān)系：依托指揮信息網(wǎng)，完成部省兩級認證授權(quán)與密碼服務(wù)的數(shù)據(jù)同步與安全管理。2.與應用系統(tǒng)關(guān)系：認證授權(quán)與密碼服務(wù)對接部省兩級建設(shè)的業(yè)務(wù)應用系統(tǒng)。3.與其他證書體系的關(guān)系：PKI/CA系統(tǒng)由應急管理部統(tǒng)一規(guī)劃，與地方政府證書體系實現(xiàn)互認互信。二、地方主要建設(shè)內(nèi)容（一）身份管理系統(tǒng)。省級建設(shè)身份管理系統(tǒng)，為本省應用提供統(tǒng)一身份認證。并將身份數(shù)據(jù)同步至部級身份管理系統(tǒng)，實現(xiàn)訪問部級業(yè)務(wù)應用的統(tǒng)一身份認證。（二）PKI/CA系統(tǒng)。省級建設(shè)RA中心（證書注冊管理中心）及向下延伸的LRA（證書注冊受理點），為本省提供證書的注冊、審核、發(fā)放、更新、延期等服務(wù)。（三）密碼管理系統(tǒng)。省級建設(shè)密鑰與密碼設(shè)備的管理系統(tǒng)，為本省應用提供統(tǒng)一密碼服務(wù)。與部級密碼管理系統(tǒng)對接，實現(xiàn)國密算法密鑰和密碼設(shè)備的統(tǒng)一監(jiān)管。（四）權(quán)限管理系統(tǒng)。本期建設(shè)任務(wù)暫不包含省級權(quán)限管理系統(tǒng)，建設(shè)任務(wù)書將另行下達。2019年各地建設(shè)任務(wù)見下表。表11-12019年建設(shè)任務(wù)清單序號任務(wù)名稱地方建設(shè)內(nèi)容1身份管理系統(tǒng)建設(shè)身份信息管理、單點登錄、多因素認證管理、身份信息同步等功能模塊，與部級系統(tǒng)完成對接，并同步本地相關(guān)身份數(shù)據(jù)。2PKI/CA系統(tǒng)建設(shè)支持國密SM2算法的RA中心和配套LRA、目錄服務(wù)、證書狀態(tài)查詢等系統(tǒng)，與部級系統(tǒng)完成對接，并同步本地數(shù)字證書數(shù)據(jù)。3密碼管理系統(tǒng)建設(shè)密碼設(shè)備管理、密碼服務(wù)管理、密鑰管理和監(jiān)管服務(wù)等功能模塊，與部級系統(tǒng)完成對接，并上傳密碼應用監(jiān)控日志。4系統(tǒng)自身安全建設(shè)針對身份管理系統(tǒng)、PKI/CA系統(tǒng)、密碼管理系統(tǒng)自身的安全性，主要從系統(tǒng)的三員管理、運行環(huán)境安全、應用安全、接口安全、安全審計等方面進行設(shè)計與建設(shè)，并建立本地系統(tǒng)容災備份機制，能夠?qū)ο到y(tǒng)數(shù)據(jù)、審計信息進行全面?zhèn)浞菖c恢復。三、主要技術(shù)指標（一）身份管理系統(tǒng)。用戶身份管理能力不少于10萬條目、本地機構(gòu)編碼管理能力不少于1萬條目、應用系統(tǒng)身份管理能力不少于150個、設(shè)備XX身份管理能力不少于2000X；雙因素身份鑒別能力不低于300次/TPS（每秒事務(wù)處理能力）；日志存儲不少于6個月。（二）PKI/CA系統(tǒng)。RA系統(tǒng)、商用密碼機等產(chǎn)品應具備國家密碼管理局頒發(fā)的商用密碼產(chǎn)品型號證書。支持國密SM2算法，RA系統(tǒng)最大用戶并發(fā)數(shù)目不少于200個，每秒簽發(fā)證書的速度不少于70張，完成一次證書申請并下載時間不高于2秒。（三）密碼管理系統(tǒng)。密碼設(shè)備必須支持SM1/SM2/SM3/SM4密碼算法。四、實施進度2019年5月31日前，完成省級身份管理系統(tǒng)、PKI/CA系統(tǒng)、密碼管理系統(tǒng)建設(shè)的整體設(shè)計。2