基于LDAP的统一用户管理及单点登录

基于LDAP的统一用户管理及单点登录

基于LDAP的单点登录是以LDAP为中心，通过标准的LDAP协议实现用户数据的同步。LDAP系统的建立有很多种方式，最简单的方式就是采用WINDOWS系统自带的AD域。

协同管理平台邮件系统档案系统各系统监听AD系统数据变化，同步用户数据AD域（LDAP）。。。。

(1) 用户账号统一管理

首先通过AD(LDAP)统一管理各系统中的用户账号，所有系统中的用户账号以AD(LDAP)中的数据为准，自动监听AD(LDAP)中的数据变化，对自己的用户表进行新增或删除。

各系统要开发实时监听程序，监听AD(LDAP)系统的用户数据变化，实时更新自己的用户数据。各系统不允许自行单独维护账号信息。

具体实现方法为：可以在ezOFFICE中设置用户账号开通和删除审批流程，对用户需要开通和删除那些系统账号等信息进行审批，审批结束后，由AD(LDAP)管理员根据审批结果在AD(LDAP)中增加或删除用户账号。各业务系统通过监听程序实时监测AD(LDAP)中的数据变化，自动在自己的用户表中增加或删除该用户账号。

下图为新增一个用户的实例：

部门领导/人事在ezOFFICE中发起帐号开通申请经过领导审批后确定该用户能访问那些系统（ezOFFICE\\邮件\\档案等)AD管理员根据审批结果在AD中增加用户帐号（同时标记在那些系统中增加帐号）流程同时通知各业务系统管理员ezOFFICE系统监听程序根据监听结果自动增加用户帐号邮件系统监听程序根据监听结果自动增加用户帐号档案ezOFFICE管理员在系统中给该用户分配权限邮件管理员在系统中给该用户分配权限档案管理员给该用户分配权限

(2) 用户身份认证，实现单点登录

ezOFFICE系统作为统一门户平台，用户登录ezOFFICE后，可以直接访问自己权限范围内的其它业务系统。ezOFFICE系统将用户账号和随机产生的验证码提交到业务系统中，业务系统将接收到的数据通过ezOFFICE系统提供的接口进行验证，验证通过后就认为用户身份合法。这一切都在系统后台完成，用户在前台无需重复输入用户账号和密码，从而实现单点登录。

用户身份认证方式如下图：

各系统原有的认证方式依然保留，用户还可以单独登录各个业务系统。

(3) 各系统对应改动说明

基于LDAP的单点登录方式各业务系统对应要作如下相应要求：

改动说明 LDAP监听程序：用于实时监听LDAP数据变化，对自己的系统用户信息进行相应维护。 用户管理方式改动：配置LDAP监听程序后自动禁止新增用户和修改用户帐号及删除用户功能。 增加一种用户认证方式：用于接收协同管理 平台系统传递的用户信息。 用户验证接口：协同管理平台提供给各业务√ 系统进行用户数据验证的接口。

√ √ √ √ √ 协同管理平台 其它需要单点登录的系统 调用ezOFFICE提供的接口对用户帐号和随机验证码进行验证用户通过ezOFFICE系统的身份认证后，可直接访问其它业务系统。帐号密码ezOFFICE系统ezOFFICE将用户帐号+随机验证码传递1给其它业务系统2档案系统ERP系统LDAP。。。。