CN110971566A - 帐户统一管理方法、系统及计算机可读存储介质 - Google Patents

Abstract

本发明提供一种帐户统一管理方法,所述帐户统一管理方法包括：获取认认证请求，所述认证请求包括认证信息；根据所述认证请求生成认证策略；根据所述认证策略对所述认证请求进行AD认证；返回认证结果。本发明通过域服务器来集中管理域内用户的帐号，帐号信息保存在域服务器内，域服务器中包含由这个域的帐号、密码、属于这个域的计算机等信息构成的数据库，通过接入AD，企业可以实现邮箱系统、办公系统、管理系统等多应用系统统一身份管理，用户只需使用域账户名和密码即可登录以上所有系统，提高了工作效率。

Description

帐户统一管理方法、系统及计算机可读存储介质

技术领域

本发明涉及信息技术领域，特别是涉及一种帐户统一管理方法、系统及计算机可读存储介质。

背景技术

随着信息化的不断深入，企业的IT环境变得越来越复杂，为了访问信息和完成相应工作，业务系统用户需要在不同的系统上完成业务工作，企业一方面需要对不用业务系统的用户、权限进行统一动态管理，另一方面也需要对所有系统实现统一的安全策略。

信息系统中有大量的业务系统，分别属于不同的部门和不同的应用。各系统都有一套独立的账户、认证、授权和审计系统，员工使用不同的业务系统时，需要访问不同的地址、记住多个业务系统的复杂密码；当维护人员同时对多个系统进行维护时，工作复杂度也会成倍增加。

各系统分别管理所属的系统资源，缺乏集中统一的资源授权管理平台，无法严格按照最小权限原则分配权限。另外，随着用户数量的增加，权限管理任务越来越重，系统的安全性无法得到充分保证。

用户经常需要在各个信息系统之间切换，每次从一个系统切换到另一个系统时，都需要输入用户名和口令进行登录，给用户的工作带来不便，影响了工作效率。用户为便于记忆，会采用较简单的口令或采用相同的口令，危害到系统的安全性。

发明内容

鉴于以上所述现有技术的缺点，本发明的目的在于提供一种帐户统一管理方法、系统及计算机可读存储介质，用于解决现有技术中不能对帐户进行统一管理的问题。

为实现上述目的及其他相关目的，本发明提供一种账户统一管理方法，所述帐户统一管理方法包括：

获取认认证请求，所述认证请求包括认证信息；

根据所述认证请求生成认证策略；

根据所述认证策略对所述认证请求进行AD认证；

返回认证结果。

可选地，该方法还包括在对所述认证请求进行认证后下发相关认证提示信息。

可选地，对所述认证请求进行AD认证具体包括：

通过解析所述认证请求，获取所述认证请求中的认证信息，并与预存储的用户列表中的认证信息进行比较，以判断是否为合法用户；若匹配到一致的，则为合法用户；反之，则为非法用户。

可选地，该方法还包括：

认证成功后，发送认证通过信息；

生成与认证信息相对应的验证请求；

根据所述验证请求生成第一验证信息并将所述第一验证信息发送给与认证信息相对应的终端；

接收输入的第二验证信息，若所述第一验证信息与所述第二验证信息相同，则登陆相应客户端。

可选地，所述帐户统一管理方法包括以下步骤：

在AD服务器上创建OpenVPN认证的用户和组；

在OpenVPN服务器上安装AD认证插件；

修改所述AD认证插件的配置文件，并添加所述AD服务器认证的内容；

修改OpenVPN配置文件，并启用AD认证选项。

为实现上述目的及其他相关目的，本发明还提供一种账户统一管理系统，所述帐户统一管理系统包括AD服务器和OpenVPN服务器，

所述OpenVPN服务器用于接收客户端的认证请求，并将所述认证请求发送至所述AD服务器进行认证；所述认证请求包括认证信息；

所述AD服务器用于根据所述认证请求获得认证策略，根据所述认证策略对所述认证请求进行AD认证，并将认证结果返回至所述OpenVPN服务器。

可选地，所述AD服务器还包括下发单元，用于在对所述认证请求进行认证后下发相关认证提示信息。

可选地，对所述认证请求进行AD认证具体包括：

通过解析所述认证请求，获取所述认证请求中的认证信息，并与预存储的用户列表中的认证信息进行比较，以判断是否为合法用户；若匹配到一致的，则为合法用户；反之，则为非法用户。

可选地，所述AD服务器，还用于向所述OpenVPN服务器发送AD认证通过信息；

所述OpenVPN服务器，还用于在接收所述AD服务器发送的AD认证通过信息时生成与所述认证信息所对应的验证请求；所述OpenVPN服务器根据所述验证请求生成第一验证信息并将所述第一验证信息发送给所述认证信息对应的终端；

所述OpenVPN服务器，还用于接收用户输入的第二验证信息，并将所述第一验证信息与所述第二验证信息进行比较，若所述第一验证信息与所述第二验证信息相同时，则登陆相应的客户端。

为实现上述目的及其他相关目的，本发明还提供一种计算机可读存储介质，存储计算机程序，其特征在于，所述计算机程序被处理器运行时执行所述的管理方法。

如上所述，本发明的一种帐户统一管理方法、系统及可读存储介质，具有以下有益效果：

本发明通过使用统一的AD认证方式实现对帐户的统一管理，极大提高了工作效率，增强了系统整体安全性，也便于系统管理员实施更有效的管理，减轻维护时的负担。

附图说明

图1为一种帐户统一管理方法其中一实施例的流程图；

图2为一种帐户统一管理方法另一实施例的的流程图；

图3为一种对AD服务器与OpenVPN服务器进行配置的方法的流程图；

图4为一种帐户统一管理系统的原理框图。

具体实施方式

以下通过特定的具体实例说明本发明的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本发明的其他优点与功效。本发明还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本发明的精神下进行各种修饰或改变。需说明的是，在不冲突的情况下，以下实施例及实施例中的特征可以相互组合。

注意，在实施例的对应附图中，用线来表示信号，一些线比较粗，以表示更多的构成信号路径和/或一些线的一个或多个末端具有箭头，以表示主要信息流向，这些标识不是想要进行限制，事实上，结合一个或多个事例性实施例使用这些线有助于更容易地接电路或逻辑单元，任何所代表的信号(由设计需求或偏好所决定)实际上可以包括可以在任意一个方向传送的并且可以以任何适当类型的信号方案实现的一个或多个信号。

除非另外规定，否则使用序数形容词“第一”、“第二”等来描述共同的对象，仅表示指代相同对象的不同实例，而并不是要暗示这样描述的对象必须采用给定的顺序，无论是时间地、空间地、排序地或任何其他方式。

说明书对“实施例”、“一个实施例”、“一些实施例”、或“其他实施例”的提及表示结合实施例说明的特定特征、结构或特性包括在至少一些实施例中，但不必是全部实施例。“实施例”、“一个实施例”、“一些实施例”的多次出现不一定全部都指代相同的实施例。如果说明书描述了部件、特征、结构或特性“可以”、“或许”或“能够”被包括，则该特定部件、特征、结构或特性“可以”、“或许”或“能够”被包括，则该特定部件、特征、结构或特性不是必须被包括的。如果说明书或权利要求提及“一”元件，并非表示仅有一个元件。如果说明书或权利要求提及“一另外的”元件，并不排除存在多于一个的另外的元件。

尽管已经结合了本发明的具体实施例对本发明进行了描述，但是根据前面的描述，这些实施例的很多替换、修改和变形对本领域普通技术人员来说将是显而易见的。例如，其他存储结构(例如，动态RAM(DRAM))可以使用所讨论的实施例。本发明的实施例旨在涵盖落入所附权利要求的宽泛范围之内的所有这样的替换、修改和变型。

实施例一

如图1所示，一种账户统一管理方法，所述帐户统一管理方法包括：

步骤S11.获取认证请求，所述认证请求包括认证信息。

于本实施例中，所述的认证信息可以是用户的用户名和密码。

步骤S12.根据所述认证请求生成认证策略。

于本实施例中，所述的认证策略是指认证方式通过与、或、非等逻辑关系组合后的认证方式。管理员可以根据认证策略对认证方式进行增、删或组合，以满足各种认证的要求。比如，某集团用户多人共用一个账户，用户通过用户名密码访问系统，该认证策略可表示为：用户名/密码。

或者，某集团用户多人共用一个户，用户通过用户密码访问系统，访问必须限制在某个IP地址段上，则该认证策略可表示为：用户名/密码“与”IP地址认证。

步骤S13.根据所述认证策略对所述认证请求进行AD认证。

所述AD(Active Directory，活动目录)认证最大的优点是实现了集中式管理。整合现有的AD用户到统一身份管理中心，以后用户登录只需要到统一身份管理中心验证用户即可，而身份管理中心直接到AD服务器上去验证相应的用户信息。

以前在无数客户端要重复多次的设置，只要在域控制器上做一次设置就可以了。减少了管理员的工作量，降低了总体拥有成本，方便了管理员。

通过AD认证，用户只要在登录时验证了身份，这个域林中所有允许访问资源都可以直接访问，不用再做身份验证，也提高的效率减少了维护成本。

于本实施例中，所述的认证类型为AD认证，当然除了AD认主以外，还可以选择数据库认证、NIS认证、LDPA认证等中的一种。

NIS(Network Information Service，网络信息服务)为NIS认证，其是一项目录服务技术(Directory Service)，用来集中控制几个系统管理数据库的网络用品，NIS简化了UNIX和LINUX桌面客户的管理工作，客户端利用它可以使用中心服务器的管理文件，桌面系统的用户无需建立他们自己的/etc/passwd(passwd是一用于设置用户的认证信息的命令)，他们只简单的使用维护在NIS服务器的文件即可。

LDAP(Lightweight Directory Access Protocol，轻量目录访问协议)为LDAP认证，其是一个得到关于人或者资源的集中、静态数据的快速方式，其也是一个用来发布目录信息到许多不同资源的协议，通常它都作为一个集中的地址本使用。

当然，上述每一种认证的服务器和属性都可以在配置文件中配置。

步骤S14.返回认证结果。所述认证结果包括认证失败和认证成功。

对所述认证请求进行认证，可以通过解析认证请求，获取其中的客户端的用户名与密码等信息，并与预存储的用户列表中的用户名和密码进行比对，以判断该客户端是否为合法用户。若匹配到一致的，则说明该客户端为合法用户；反之，说明该客户端为非法用户。

在本实施例中，在对客户端进行身份认证之后，直接向客户端下发相关认证提示信息，以便于根据相关认证提示信息进行相应操作。当然在本实施例中，返回的认证结果并不限定是否认证成功，只要对客户端进行了身份认证就可以向客户端下发相关认证提示信息。而当认证失败后，该相关认证提示信息还可包含认证失败原因信息，例如：密码错误、帐号错误。

如图2所示，所述一种账户统一管理方法还包括：

步骤131.在认证结果为认证成功，发送认证通过信息；

在用户身份被验证为合法用户时即通过AD认证，此时显示一验证信息输入界面；

步骤132.生成与认证信息相对应的验证请求，此处的认证信息包括用户名；

步骤133.根据所述验证请求生成第一验证信息并将所述第一验证信息发送给与认证信息相对应的终端。

此处的终端为能够接收所述第一验证信息的装置，可以为一手机，该手机帐号的使用者与所述认证信息中的用户名相关联，即可以通过用户名搜索到手机帐号，也可以直接使用手机帐号作为用户名。除了使用手机对第一验证信息进行接收外，也可以通过邮件的方式对第一验证信息进行接收；若采用邮件的方式接收第一验证信息，那么终端可以为所述的客户端。其中，所述的验证信息可以为验证码。

步骤134.接收输入的第二验证信息，若所述第一验证信息与所述第二验证信息相同，登陆相应客户端。在此步骤中，通过验证信息输入界面输入第二验证信息。

本发明通过域服务器来集中管理域内用户的帐号和权限，帐号信息保存在域服务器内，域服务器中包含由这个域的帐号、密码、属于这个域的计算机等信息构成的数据库，通过接入AD，企业可以实现邮箱系统、办公系统、管理系统等多应用系统统一身份管理，用户只需使用域账户名和密码即可登录以上所有系统，提高了工作效率。

于本实施例中，在使用AD服务器与OpenVPN服务器之前还需要对AD服务器与OpenVPN服务器进行配置，因此，如图3所示，账户统一管理方法还包括：

步骤21.在AD服务器上创建OpenVPN认证的用户和组；

步骤22.在OpenVPN服务器上安装AD认证插件，所述AD认证插件可以为openvpn-auth-ldap。

步骤23.修改所述AD认证插件的配置文件，并添加所述AD服务器认证的内容；

步骤24.修改OpenVPN配置文件，并启用AD认证选项。

在完成上述配置/修改后，重启OpenVPN服务器，客户端连接测试。

于本实施例中，在配置过程中，特别注意需要同步所述AD服务器与所述OpenVPN服务器的时间。

实施例二

如图4所示，本发明提供一种账户统一管理系统，所述帐户统一管理系统包括AD服务器和OpenVPN服务器。

OpenVPN是一个用于创建虚拟专用网络(Virtual Private Network)加密通道的免费开源软件。使用OpenVPN可以方便地在家庭、办公场所、住宿酒店等不同网络访问场所之间搭建类似于局域网的专用网络通道。OpenVPN服务器是指安装了OpenVPN软年的服务器。

AD是微软公司面向Windows Server的活动目录服务(Active Directory)。活动目录服务用于分层存储用户帐号、打印机、域、应用程序等需要管理的网络对象，方便管理员快速查找和使用相关信息，提供活动目录服务的服务器就叫AD服务器。

所述OpenVPN服务器，用于接收客户端1的认证信息和认证请求，并将所述认证信息和认证请求发送至所述AD服务器进行认证，所述认证信息包括用户帐号及用户密码；

所述AD服务器3，用于根据所述请认证信息和所述认证请求获得认证策略，根据所述认证策略对所述认证请求进行AD认证，并将认证结果返回至所述OpenVPN服务器2。所述认证结果包括认证失败和认证成功。

所述AD认证最大的优点是实现了集中式管理。整合现有的AD用户到统一身份管理中心，以后用户登录只需要到统一身份管理中心验证用户即可，而身份管理中心直接到AD服务器上去验证相应的用户信息。

以前在无数客户端要重复多次的设置，只要在域控制器上做一次设置就可以了。减少了管理员的工作量，降低了总体拥有成本，方便了管理员。

通过AD认证，用户只要在登录时验证了身份，这个域林中所有允许访问资源都可以直接访问，不用再做身份验证，也提高的效率减少了维护成本。

于本实施例中，对所述认证请求进行认证，可以通过解析认证请求，获取其中的客户端的用户名与密码等信息，并与预存储的用户列表中的用户名和密码进行比对，以判断该客户端是否为合法用户。若匹配到一致的，则说明该客户端为合法用户；反之，说明该客户端为非法用户。

于本实施例中，在对客户端进行身份认证之后，直接向客户端下发上述相关认证提示信息，以便于根据上述相关认证提示信息进行相应操作。当然在本实施例中，返回的认证结果并不限定是否认证成功，只要对客户端进行了身份认证就可以向客户端下发上述相关认证提示信息。而当认证失败后，该相关认证提示信息还可包含认证失败原因信息，例如：密码错误、帐号错误。

于本实施例中，所述AD服务器，还用于向所述OpenVPN服务器发送AD认证通过信息。

在用户身份被验证为合法用户时即通过AD认证，此时显示一验证信息输入界面。

所述OpenVPN服务器，还用于在接收所述AD服务器发送的AD认证通过信息时生成与所述认证信息所对应的验证请求；所述OpenVPN服务器根据所述验证请求生成第一验证信息并将所述第一验证信息发送给所述认证信息对应的终端。此处的认证信息包括用户名。

此处的终端为能够接收所述第一验证信息的装置，可以为一手机，该手机帐号的使用者与所述认证信息中的用户名相关联，即可以通过用户名搜索到手机帐号，也可以直接使用手机帐号作为用户名。除了使用手机对第一验证信息进行接收外，也可以通过邮件的方式对第一验证信息进行接收；若采用邮件的方式接收第一验证信息，那么终端可以为所述的客户端。其中，所述的验证信息可以为一验证码。

所述OpenVPN服务器，还用于接收用户输入的第二验证信息，并将所述第一验证信息与所述第二验证信息进行比较，若所述第一验证信息与所述第二验证信息相同时，登陆相应的客户端。在此步骤中，通过验证信息输入界面输入第二验证信息。

本发明通过域服务器来集中管理域内用户的帐号和权限，帐号信息保存在域服务器内，域服务器中包含由这个域的帐号、密码、属于这个域的计算机等信息构成的数据库，通过接入AD，企业可以实现邮箱系统、办公系统、管理系统等多应用系统统一身份管理，用户只需使用域账户名和密码即可登录以上所有系统，提高了工作效率。

于本实施例中，所述一种账户统一管理系统还包括：

创建单元，用于在AD服务器上创建OpenVPN认证的用户和组；所述创建单元还用于在OpenVPN服务器上安装AD认证插件；所述AD认证插件可以为openvpn-auth-ldap。

配置单元，用于修改所述AD认证插件的配置文件，并添加所述AD服务器认证的内容；所述配置单元还用于修改OpenVPN配置文件，并启用AD认证选项。

在完成上述配置/修改后，重启OpenVPN服务器，客户端连接测试。

特别需要注意的是，所述帐户统一管理系统还包括时间同步单元，用于同步所述AD服务器与所述OpenVPN服务器的时间。

上述实施例仅例示性说明本发明的原理及其功效，而非用于限制本发明。任何熟悉此技术的人士皆可在不违背本发明的精神及范畴下，对上述实施例进行修饰或改变。因此，举凡所属技术领域中具有通常知识者在未脱离本发明所揭示的精神与技术思想下所完成的一切等效修饰或改变，仍应由本发明的权利要求所涵盖。

Claims (10)

1.一种账户统一管理方法，其特征在于，所述帐户统一管理方法包括：

获取认认证请求，所述认证请求包括认证信息；

根据所述认证请求生成认证策略；

根据所述认证策略对所述认证请求进行AD认证；

返回认证结果。

2.根据权利要求1所述的一种账户统一管理方法，其特征在于，该方法还包括在对所述认证请求进行认证后下发相关认证提示信息。

3.根据权利要求1所述的一种账户统一管理方法，其特征在于，对所述认证请求进行AD认证具体包括：

通过解析所述认证请求，获取所述认证请求中的认证信息，并与预存储的用户列表中的认证信息进行比较，以判断是否为合法用户；若匹配到一致的，则为合法用户；反之，则为非法用户。

4.根据权利要求1所述的一种帐户统一管理方法，其特征在于，该方法还包括：

认证成功，发送认证通过信息；

生成与认证信息相对应的验证请求；

根据所述验证请求生成第一验证信息并将所述第一验证信息发送给与认证信息相对应的终端；

接收输入的第二验证信息，若所述第一验证信息与所述第二验证信息相同，则登陆相应客户端。

5.根据权利要求1所述的帐户统一管理方法，其特征在于，所述帐户统一管理方法包括以下步骤：

在AD服务器上创建OpenVPN认证的用户和组；

在OpenVPN服务器上安装AD认证插件；

修改所述AD认证插件的配置文件，并添加所述AD服务器认证的内容；

修改OpenVPN配置文件，并启用AD认证选项。

6.一种账户统一管理系统，其特征在于，所述帐户统一管理系统包括AD服务器和OpenVPN服务器；

所述OpenVPN服务器，用于接收客户端的认证请求，并将所述认证请求发送至所述AD服务器进行认证；所述认证请求包括认证信息；

所述AD服务器，用于根据所述认证请求获得认证策略，根据所述认证策略对所述认证请求进行AD认证，并将认证结果返回至所述OpenVPN服务器。

7.根据权利要求6所述的一种帐户统一管理系统，其特征在于，该AD服务器还包括下发单元，用于在对所述认证请求进行认证后下发相关认证提示信息。

8.根据权利要求6所述的一种帐户统一管理系统，其特征在于，所述AD服务器对所述认证请求进行AD认证具体包括：

通过解析所述认证请求，获取所述认证请求中的认证信息，并与预存储的用户列表中的认证信息进行比较，以判断是否为合法用户；若匹配到一致的，则为合法用户；反之，则为非法用户。

9.根据权利要求6所述的一种帐户统一管理系统，其特征在于，

所述AD服务器还用于向所述OpenVPN服务器发送AD认证通过信息；

所述OpenVPN服务器还用于在接收所述AD服务器发送的AD认证通过信息时生成与所述认证信息所对应的验证请求；所述OpenVPN服务器根据所述验证请求生成第一验证信息并将所述第一验证信息发送给所述认证信息对应的终端；

所述OpenVPN服务器还用于接收用户输入的第二验证信息，并将所述第一验证信息与所述第二验证信息进行比较，若所述第一验证信息与所述第二验证信息相同时，则登陆相应的客户端。

10.一种计算机可读存储介质，存储计算机程序，其特征在于，所述计算机程序被处理器运行时执行如权利要求1～5任意一项所述的管理方法。

Images