摘要:安全目录服务是以密码技术作为安全保障的目录服务产品，它基于数据加密和签名技术，从系统的访问、存储和通信等方面对目录服务访问协议进行了增强，让用户安全地运用目录服务的高效数据管理和数据快速查询服务。本文从目录服务技术的应用背景，方案架构、系统安全、功能特色、技术指标、应用领域等方面，详细的阐述了安全目录服务解决方案。

关键词：电子政务、目录服务、国密应用、分布式、数据安全

1.  概述

随着大数据、云计算、移动互联、5G等新一代信息技术的飞速发展，地理分散、系统异构的信息资源正以指数级爆发式增长。目录服务作为一种高效、通用、简洁的资源管理技术，为统一身份认证、证书发布管理、基础信息资源管理等信息安全领域基础支撑应用系统提供了重要保障。为满足国家高安全性、自主可控的发展战略需要，目录服务系统自身的安全性需求愈发明显。目录数据明文传输、目录被篡改、敏感数据泄露、目录非法访问、无法追责等安全问题可能导致应用系统产生巨大安全隐患。因此，迫切需要建设高安全性的目录服务系统，以保证业务应用系统的安全。

启航安全目录服务解决方案遵循LDAP v3目录访问协议，符合GB/T 37092-2018《信息安全技术密码模块安全要求》，解决了目录服务系统在为业务应用系统提供数据管理过程中所面临的安全问题，可广泛应用于党政、军工、医疗卫生、教育、金融、证券、保险、能源、交通、电信、互联网等各领域各业务应用集成系统建设中。

2.  需求分析

目录服务作为应用系统的基础数据服务，应保证在数据通信、密钥管理、访问控制、系统运行等方面的安全性，同时还应具有一定的易用性与扩展性。其具体需求如下：

安全需求：

提供基于数字证书的用户登录功能，阻止未经授权用户身份的非法访问；

采用TLS加密通信，保证通信双方信息的私密性与完整性，以防止敏感信息泄露，传输信息被篡改；

使用SM2/SM3/SM4等加密算法，采用国家密码主管部门鉴定的密码设备以保证密码运算高安全性。

提供灵活的访问控制策略，防止不同权限用户越权访问；

保证系统的连续性运行，以及出现不可抗力因素导致系统故障时的数据恢复；

对管理员操作做签名以及审计，以防止非法操作的抵赖行为。

其它需求：

提供友好的用户界面，提供丰富的业务应用标准接口；

支持国产软硬件平台下运行；

支持数据集中或分布式存储管理，提供主从数据高安全性同步。

提供快速的数据访问，并支持高并发访问，具有高吞吐量，低延迟等优异性能。

支持分布式部署以提高系统的可用性；

支持云平台部署访问。

3.方案架构技术架构

3.1技术构架

图 1目录服务技术架构图

    如图1所示，安全目录服务从技术上可以分为用户层（Web管理层）、接口层、应用层（LDAP前后端）和数据持久层（数据存储）。

用户层主要实现系统的配置管理。通过用户的数字证书实现对用户的身份验证和角色权限控制，通过对用户操作日志的签名和审计，保证用户行为不可抵赖。

接口层为业务应用系统提供安全的目录访问，支持C/C++、JAVA API接口，支持符合《GMT 0024-2014 SSL VPN 技术规范》规范的TLS加密协议。

应用层提供了系统的主要业务，包括对目录访问者的身份认证，访问权限控制，调用密码设备提供的SM2/SM3/SM4算法，采用TLS协议对通信数据进行加解密等。

数据持久层主要完成目录数据与二进制文件的转换，保证了目录的持久化存储。

安全目录服务支持国内外主流的操作系统，包括Windows、Unix、Linux和国产麒麟V10、UOS等。

3.2 部署说明

安全目录服务系统常用的部署方式分为主从模式部署与镜像模式部署。服务器之间的数据同步支持TLS加密，并且密码运算由商用密码设备完成。

图 2主从模式部署

如图2所示，中心应用服务器产生数据交由主目录服务器进行管理（基于安全考虑，中心也采用主从服务模式，数据单向流动），从目录服务器部署在异地，通过主从复制技术，主目录将其数据推送给从目录服务，异地的应用服务即可共享中心的数据资源。

一个主服务器可以配置多个从服务器。从服务器只维护主服务器的副本，因此从服务器只允许客户端查询，而不允许更新（增删改）。更新只能在主服务器上进行，并通过主从同步机制传递到从服器，以降低主服务器负载。当然，目录服务也支持反向数据同步，即多个下级目录服务通过授权将数据资源同步给上级目录服务，形成数据汇总，在下级分中心分别维护组织架构管理时可以采用。

图 3镜像模式部署

如图3所示， 镜像模式是指两个主服务器除了可以配置多个从服务器，还能配置为彼此镜像复制数据。从目录服务数据资源更新操作可以在两个服务器中任意一个中进行。当一个主服务器崩溃时，可以在另一个主服务器上提交更新。当崩溃的主服务器被修复并重新启动时，它将自动同步正在运行的另一个主服务器上的所有更新。镜像模式为目录更新提供了高可用性（HA）解决方案。

3.3 主要功能

安全目录服务系统的功能主要包含两大部分。一是系统自身配置管理服务，主要包括系统参数配置、系统状态监控、系统备份恢复、管理员权限管理、管理员数字证书登录、日志安全审计、监管上报等。二是对业务应用提供的数据管理服务及接口，主要包括目录服务数据的添加、删除、修改、查询（精确查询和复杂条件查询）、数据同步、分布式目录服务、访问控制、TLS加密传输以及 C/C++、JAVA API接口。

3.4 技术指标

（1）数据容量：单台服务器可支持TB级数据容量；

（2）吞吐量：100万条目下，每秒处理查询数最高可达30000次/秒；

（3）响应时间：单次查询最快响应时间可达0.0002秒；

（4）并发量：支持并发访问连接≥4096个。

4. 方案特色

（1）安全合规性

方案从多个维度保证了系统的安全性，符合商用密码相关规范的安全要求。系统管理人员角色采用三权分立，支持数字证书认证登录、支持安全审计、审计日志签名，保证运维安全。系统服务支持通过有效的IP、认证码、资源标识等自定义访问控制策略来控制应用系统的接入，支持用TLS对传输过程中的数据进行保护，系统中涉及的密码运算采用国家密码主管部门鉴定通过的密码设备进行，全面采用SM2/SM3/SM4等商用密码算法。

（2）查询性能高

安全目录服务支持TB级数据存储，支持用户自定义索引项对数据进行精确查询和模糊查询，从设计架构对高并发访问进行了优化，能够快速处理大量查询操作，并具有高吞吐、低延迟，能满足大部分业务应用系统的访问需求。

（3）数据同步灵活

系统支持主从模式和镜像模式进行数据同步，可以实现分布式服务、负载均衡、数据热备以及资源的权限访问分割，满足应用系统灵活多变的部署需求。

（4）可维护性高

系统界面友好，维护人员可以从多维度对系统运行状态和和服务器运行环境进行实时监控。系统支持异常状态进行告警，便于运维人员能及时快速响应，保证系统安全稳定不间断提供服务。

（5）扩展性强

系统支持多维度扩展，包括通过用户自定义Schema语法扩展系统支持的对象类、属性、语法和匹配规则；通过自定义数据索引项扩展，能实现对特定属性的查询性能优化；通过提供JAVA和C的接口，使系统具备良好的二次开发和系统整合能力。

（6）平台兼容性强

系统支持多种软硬件平台（X86、龙芯、飞腾、兆芯、申威、鲲鹏、海光）、国内外主流操作系统（Windows、Unix、Linux、麒麟、UOS等）、多家商用密码设备、多种密码算法。

5. 适用领域

安全目录服务提供各种类型的数据管理服务，尤其是在对公共资源的快速查询上较关系型数据库有明显优势，同时，提供分布式数据管理服务以及独特的数据权限访问控制。可广泛应用于党政、军工、医疗卫生、教育、金融、证券、保险、能源、交通、电信、互联网等各领域各业务应用集成系统中，实现对共享资源、标识信息、数字证书、设备信息、知识库等信息资源的管理。

6.企业分工

本方案产品清单主要涉及的软硬设备包括安全目录服务软件、软件承载平台（国产服务器或云平台，）、操作系统（支持多种操作系统, Windows、Unix、Linux、麒麟、UOS等）、密码设备（支持密码卡或云密码机，卫士通服务器密码机SHJ0901-B/C，北京三未信安SJK1967-G、SJK1828-G和山东渔翁SJK1917-GS密码卡）。其中安全目录服务软件由公司自主设计研发，其它集成第三方厂商产品。

7.应用案例

安全目录服务产品解决方案已经广泛应用于党政行业、大型企事业单位PKI建设项目中的证书管理、电子政务网络信任体系建设项目中资源管理。

成都启航信息技术有限公司

联系人：陈娇

联系电话：028-85564869