FAST科學(xué)數(shù)據(jù)管理平臺統(tǒng)一身份認(rèn)證的研究與實現(xiàn)

姜家濤 謝曉堯 張輝

摘要：隨著網(wǎng)絡(luò)信息化技術(shù)高速發(fā)展，業(yè)務(wù)系統(tǒng)膨脹式增加，管理多個系統(tǒng)認(rèn)證安全和記住多個系統(tǒng)賬戶密碼，讓系統(tǒng)管理員和用戶們備受困擾，集中對多形式、多樣化信息端統(tǒng)一授權(quán)認(rèn)證亟待解決。當(dāng)前通用技術(shù)標(biāo)準(zhǔn)為采用微服務(wù)與實現(xiàn)OAuth2開放統(tǒng)一認(rèn)證標(biāo)準(zhǔn)協(xié)議架構(gòu)。500米口徑球面射電望遠(yuǎn)鏡FAST作為我國自主研發(fā)的世界上最大口徑天文望遠(yuǎn)鏡，在天文研究上取得令人矚目的科研成果。FAST早期科學(xué)數(shù)據(jù)中心為加強(qiáng)數(shù)據(jù)管理與科普工作，研發(fā)了大量多形式的數(shù)字化信息系統(tǒng)。基于資源安全訪問控制管理和簡化管理工作的需要，F(xiàn)AST科學(xué)數(shù)據(jù)平臺系統(tǒng)必須實現(xiàn)統(tǒng)一授權(quán)認(rèn)證。論文研究開放認(rèn)證授權(quán)標(biāo)準(zhǔn)協(xié)議OAuth2和身份驗證標(biāo)準(zhǔn)Open lD Connect工作原理，探討可行方案Identity Server關(guān)鍵技術(shù)。分析了當(dāng)前Fast數(shù)據(jù)管理平臺管理存在的多樣的信息系統(tǒng)狀況，設(shè)計統(tǒng)一身份認(rèn)證系統(tǒng)架構(gòu)，并采用IdentityServer4構(gòu)建統(tǒng)一認(rèn)證中心，使用.NET微服務(wù)實現(xiàn)認(rèn)證功能，完成各類Web軟件系統(tǒng)、App軟件和桌面應(yīng)用軟件的統(tǒng)一身份認(rèn)證接入。

關(guān)鍵詞：OAuth2; OIDC; FAST數(shù)據(jù)管理平臺;統(tǒng)一身份認(rèn)證

中圖分類號：TP315.69 文獻(xiàn)標(biāo)識碼：A

文章編號：1009-3044（2020）29-0013-04

1 引言

隨著當(dāng)前網(wǎng)絡(luò)信息化技術(shù)高速的發(fā)展，多種多樣的信息終端，如網(wǎng)站、App和小程序等給人們生活帶來了便利，也加速了數(shù)字化時代的到來。為了滿足人民日益增長的需要，適應(yīng)快速變化的客戶需求，信息業(yè)界提出微服務(wù)架構(gòu)。如何既完成迅速增加的微服務(wù)和多樣的信息終端的關(guān)聯(lián)管理，又能夠保障信息的安全，還能避免給用戶帶來重復(fù)的認(rèn)證和授權(quán)任務(wù)，這是給信息化研發(fā)管理提出的嚴(yán)峻考驗?；贠pen ID Connect和OAuth2的標(biāo)準(zhǔn)，給各個業(yè)界研發(fā)提供了統(tǒng)一開放標(biāo)準(zhǔn)，實現(xiàn)了授權(quán)信息的共享，可以完成多信息系統(tǒng)的單點登錄和統(tǒng)一授權(quán)認(rèn)證。

500米口徑球面射電望遠(yuǎn)鏡FAST（Five-hundred-meter Ap-erture Spherical radio Telescope）[1]，是目前世界上最大的單口徑天文射電望遠(yuǎn)鏡，于2016年9月在我國貴州落成。截至目前，已發(fā)現(xiàn)脈沖星后選題80顆，得到認(rèn)證60顆，并于2018年4月首次發(fā)現(xiàn)毫秒級脈沖星[2]。FAST脈沖星搜索過程中產(chǎn)生了大量的巡天數(shù)據(jù)，F(xiàn)AST早期數(shù)據(jù)中心一直承擔(dān)數(shù)據(jù)管理、分析和加速搜索等任務(wù)工作。FAST早期數(shù)據(jù)中心要管理海量的數(shù)據(jù)，如基礎(chǔ)脈沖星數(shù)據(jù)、文獻(xiàn)數(shù)據(jù)、設(shè)備管理數(shù)據(jù)和巡天原始數(shù)據(jù)，為了有效管理數(shù)據(jù)，提供數(shù)據(jù)處理能力，實現(xiàn)科研信息共享，提高科研效率，信息化團(tuán)隊不斷地研發(fā)推出數(shù)字化信息系統(tǒng)。不斷增長的信息業(yè)務(wù)服務(wù)和信息系統(tǒng)對信息安全數(shù)據(jù)和統(tǒng)一管理提出新的要求，即保障信息安全，信息只有授權(quán)用戶才能訪問[3];減少多系統(tǒng)重復(fù)登錄驗證;這些任務(wù)都亟待在FAST數(shù)據(jù)平臺實現(xiàn)統(tǒng)一認(rèn)證。

當(dāng)前已經(jīng)存在一些實現(xiàn)OAuth2標(biāo)準(zhǔn)的開源開發(fā)框架，主流的框架為微軟的Identity Server和耶魯大學(xué)的CAS[4]微軟的AspNetCore與windows的天然無縫融合，提供了快速業(yè)務(wù)開發(fā)利器。AspnetCore可以實現(xiàn)微服務(wù)業(yè)務(wù)Webapi，提供網(wǎng)站客戶端MVC、單頁面SPA客戶前端與Identity Server統(tǒng)一認(rèn)證服務(wù)，完成信息業(yè)務(wù)系統(tǒng)快速研發(fā)，是技術(shù)框架的不二選擇。本文將從業(yè)界認(rèn)證授權(quán)協(xié)議標(biāo)準(zhǔn)介紹，陳述基于Identity Server的微服務(wù)與多信息客戶端的統(tǒng)一認(rèn)證系統(tǒng)的設(shè)計，并為FAST數(shù)據(jù)管理平臺系統(tǒng)實現(xiàn)統(tǒng)一認(rèn)證。

2 相關(guān)技術(shù)標(biāo)準(zhǔn)

2.1 OAuth2

OAuth是一個開放授權(quán)標(biāo)準(zhǔn)，允許用戶授權(quán)第三方移動應(yīng)用訪問他們存儲在另外的服務(wù)提供者上的信息，而不需要將用戶名和密碼提供給第三方移動應(yīng)用或分享他們數(shù)據(jù)的所有內(nèi)容，OAuth2是OAuth協(xié)議的版本[5]。

OAuth2定義了參與完整的授權(quán)系統(tǒng)的角色。

（1） Third-part Application：第三方應(yīng)用程序或客戶端（Cli-ent），用于消費授權(quán)資源的第三方應(yīng)用。

（2）HTTP Service：HTTP服務(wù)提供商，外部第三方服務(wù)提供者，如騰訊、阿里。

（3） Resource Owner：資源所有者，我們的登錄用戶。

（4） User Agent：用戶代理，可以說瀏覽器或者客戶端App。

（5） Authorization Server：認(rèn)證服務(wù)器，即服務(wù)提供商專門用來處理認(rèn)證的服務(wù)器。

（6） Resource Server：資源服務(wù)器，即服務(wù)提供商存放用戶生成資源的服務(wù)器。

授權(quán)認(rèn)證流程，OAuth框架根據(jù)應(yīng)用場景的不同，包含4種授權(quán)模式。

（1）授權(quán)碼模式

用戶使用客戶端訪問需授權(quán)驗證資源必須擁有訪問令牌。未認(rèn)證用戶被重定向到認(rèn)證服務(wù)器登錄，登錄成功返回授權(quán)碼和重定向URL，客戶端帶著授權(quán)碼和參數(shù)（客戶端標(biāo)識和重定向URL）從認(rèn)證服務(wù)器獲取訪問令牌和URL?？蛻舳丝梢詾榇藨{證訪問資源。

（2）隱式許可

省略頒發(fā)授權(quán)碼過程。登錄成功用戶直接獲取訪問令牌等，客戶端以訪問令牌重定向訪問資源。

（3）資源所有者密碼憑據(jù)

客戶端直接使用資源所有者提供的用戶名和密碼箱認(rèn)證服務(wù)器請求訪問令牌。這種模式適合資源服務(wù)器高度信任客戶端。

（4）客戶端憑據(jù)

客戶端使用自己的ID向認(rèn)證服務(wù)器發(fā)起受保護(hù)資源訪問請求，返回訪問令牌。常用于集群中服務(wù)器之間通信。

2.2 0pen ID Connect

Open id connect簡稱OIDC，是構(gòu)建在OAuth2上的一個身份層，一個局域OAuth2協(xié)議的身份認(rèn)證標(biāo)準(zhǔn)協(xié)議。OIDC的作用是使用OAuth2授權(quán)服務(wù)器為第三方客戶端提供用戶身份認(rèn)證，并把對應(yīng)的身份認(rèn)證信息傳遞給客戶端[6]。

OIDC工作過程為身份認(rèn)證過程，目標(biāo)是從授權(quán)服務(wù)器獲取包含用戶信息的安全令牌ID Token.ID Token包含用戶身份信息，存儲為是JWT格式的數(shù)據(jù)結(jié)構(gòu)，并且使用JWS進(jìn)行簽名和JWE加密后的字符串。

OIDC身份認(rèn)證流程包含3種授權(quán)模式：授權(quán)碼流程、隱式流程和混合授權(quán)碼和隱式流程。區(qū)別的是認(rèn)證請求過程需要提交請求的參數(shù)不同。

2.3 Identity Server

Identity Server是.NET框架下實現(xiàn)了Open IDConnet和OAuth2協(xié)議的身份認(rèn)證和訪問控制的開源解決方案[7]?；贗dentitv Server可以完成單點登錄、身份管理、授權(quán)認(rèn)證和資源安全保護(hù)功能。

Identity Server框架結(jié)構(gòu)如圖l，包含用戶、客戶端、Identity-Server和受保護(hù)資源4種角色。其中客戶端可以是網(wǎng)站、手機(jī)App、桌面應(yīng)用程序、單頁面應(yīng)用程序SPA和服務(wù)器進(jìn)程等;受保護(hù)資源可以是用戶身份信息和Web API微服務(wù);IdentityServ-er實現(xiàn)了對用戶身份的認(rèn)證，驗證用戶訪問受保護(hù)資源授權(quán)。

3 FAST科學(xué)數(shù)據(jù)平臺統(tǒng)一認(rèn)證的設(shè)計

在國家天文臺和澳大利亞脈沖星研究小組的業(yè)務(wù)支持和指導(dǎo)下，依托貴州師范大學(xué)與中科院國家天文臺共同建立的“FAST早期科學(xué)數(shù)據(jù)中心”的存儲資源、計算資源、巡天數(shù)據(jù)資源。中心科研人員利用已有巡天數(shù)據(jù)和數(shù)據(jù)庫技術(shù)，構(gòu)建了面向FAST大規(guī)模數(shù)據(jù)的脈沖星數(shù)據(jù)管理系統(tǒng)，實現(xiàn)射電天文中脈沖星數(shù)據(jù)的統(tǒng)一規(guī)范管理。FAST數(shù)據(jù)管理平臺維護(hù)著大量的基礎(chǔ)信息，如已知脈沖星資料、文獻(xiàn)資料、天文望遠(yuǎn)鏡設(shè)施設(shè)備資料、巡天項目資料等，海量的巡天基礎(chǔ)數(shù)據(jù)。FAST數(shù)據(jù)管理平臺服務(wù)對象包括科學(xué)家、學(xué)者、學(xué)生、天文愛好者，甚至是系統(tǒng)對接接口。針對平臺面臨的不同服務(wù)對象，不同角色要求系統(tǒng)能夠承擔(dān)的業(yè)務(wù)功能，不同任務(wù)適合的場景要求，中心科研人員分散業(yè)務(wù)管理粒度，建立大量微服務(wù)，依托信息化技術(shù)開發(fā)能適應(yīng)不同設(shè)備終端的信息系統(tǒng)，如服務(wù)器對接進(jìn)程、桌面應(yīng)用程序、網(wǎng)站系統(tǒng)和手機(jī)App用戶與微服務(wù)之間基于角色權(quán)限架構(gòu)管理CRBAC），實現(xiàn)安全的訪問控制，同時基于Identi-tv Server建立統(tǒng)一認(rèn)證中心、多系統(tǒng)單點登錄和資源安全保護(hù)。

系統(tǒng)設(shè)計核心為認(rèn)證授權(quán)中心（Authorize Server）、受保護(hù)資源（Resource WebApi）、對三種基本類型客戶端分別采用OAuth2協(xié)議的不同驗證授權(quán)模式構(gòu)建統(tǒng)一認(rèn)證，同時支持天文愛好者以微信、百度云等第三方身份提供商注冊接人登錄。

3.1 統(tǒng)一認(rèn)證中心

FAST數(shù)據(jù)平臺的認(rèn)證中心服務(wù)器采用Identity Server，實現(xiàn)強(qiáng)大的身份驗證和資源訪問控制功能。其核心保護(hù)訪問資源，通過調(diào)用身份Web api訪問驗證登錄用戶信息和第三方接人身份信息;提供了會話管理和單點登錄功能;管理授權(quán)訪問的客戶端，包括客戶端ID、認(rèn)證授權(quán)模式和客戶端能夠訪問資源范圍;返回認(rèn)證用戶身份信息和授權(quán)訪問令牌.驗證令牌功能。

認(rèn)證系統(tǒng)的配置采用了身份認(rèn)證和客戶端配置靈活的模式，支持后期不斷擴(kuò)張的微服務(wù)功能增加和客戶端要求變更。系統(tǒng)未采用Identity Server默認(rèn)本地身份存儲模式，對身份系統(tǒng)使用Web api進(jìn)行擴(kuò)展，同時增加了角色信息，完成RABC功能。系統(tǒng)還將客戶端配置和客戶端訪問資源范圍配置信息持久化存儲在數(shù)據(jù)庫中，使得配置靈活，每次新增或修改客戶端配置，功能激活無須重啟認(rèn)證服務(wù)。

3.2 基于微服務(wù)認(rèn)證功能

為了應(yīng)對業(yè)務(wù)工作中隨時可變的，隨時可能增加需求，信息系統(tǒng)必須擁有高度靈活的可擴(kuò)展性，將大的業(yè)務(wù)功能分解成了粒度小的微服務(wù)[8]是當(dāng)今流行的框架。微服務(wù)使用Web api實現(xiàn)對受保護(hù)資源的訪問與操作。在統(tǒng)一認(rèn)證體系中，只需要為每一個服務(wù)啟用認(rèn)證授權(quán)功能，配置授權(quán)認(rèn)證服務(wù)器URL，設(shè)置唯一的微服務(wù)ID。本系統(tǒng)中已經(jīng)將用戶身份認(rèn)證使用Web api實現(xiàn)，實現(xiàn)角色權(quán)限控制功能。

3.3 接入系統(tǒng)授權(quán)認(rèn)證

為了更好地構(gòu)建了面向FAST大規(guī)模數(shù)據(jù)的脈沖星數(shù)據(jù)平臺，有效管理數(shù)據(jù)，提供數(shù)據(jù)處理能力，實現(xiàn)科研信息共享，加速科研效率，早期數(shù)據(jù)中心信息化團(tuán)隊不斷地研發(fā)推出數(shù)字化信息系統(tǒng)。其中信息系統(tǒng)呈現(xiàn)形式也多樣性.有基于瀏覽器的B/S軟件系統(tǒng)、手機(jī)App和傳統(tǒng)C/S桌面級軟件系統(tǒng)。為了實現(xiàn)全部信息系統(tǒng)的統(tǒng)一認(rèn)證管理，以下闡述各類型軟件實現(xiàn)關(guān)鍵技術(shù)。

3.3.1 Web軟件系統(tǒng)

基于B/S的Web網(wǎng)站實現(xiàn)信息系統(tǒng)是當(dāng)前流行的系統(tǒng)框架模式，訪問設(shè)備基本為PC，其擁有更新部署簡單，無須安裝客戶端軟件、只有用戶瀏覽器就能夠訪問的特點。MVC Web客戶端安全認(rèn)證配置包含兩個方面：（1）在認(rèn)證服務(wù)授權(quán)網(wǎng)站客戶端ID，指定認(rèn)證完成后回調(diào)URL和注銷登錄回調(diào)URL，指定網(wǎng)站授權(quán)用戶可以訪問資源范圍;（2）為網(wǎng)站指定認(rèn)證服務(wù)器，指定網(wǎng)站授權(quán)認(rèn)證模式，添加支持open ID Connect功能的認(rèn)證擴(kuò)展，指定認(rèn)證信息本地存儲模式。FAST數(shù)據(jù)管理平臺包含的基礎(chǔ)數(shù)據(jù)管理系統(tǒng)，脈沖星候選體標(biāo)注系統(tǒng)，信息發(fā)布系統(tǒng)都是可以為MVC Web客戶端，為其配置認(rèn)證模式為授權(quán)碼模式。

3.3.2 App接入實現(xiàn)

隨著智能手機(jī)在中國的普及，人們的工作生活是越來越離不開手機(jī)，使用手機(jī)App支持天文工作者上網(wǎng)辦公，信息交流，為天文愛好者提供手機(jī)承載的科普信息已經(jīng)成為現(xiàn)實。越來越多的App基于H5開發(fā)，稱為Web App，歸屬于單頁面應(yīng)用程序SPA。

單頁面應(yīng)用程序SPA使用oidc-client.js庫，實現(xiàn)與認(rèn)證服務(wù)器的通信，完成登錄驗證，并返回訪問令牌ACCESS- TO-KEN。授權(quán)用戶接下來訪問資源只需攜帶訪問令牌就可以。攜帶方式ACCESS_TOKEN有三種：路徑請求參數(shù)、授權(quán)請求頭和Post表單數(shù)據(jù)。

3.3.3桌面應(yīng)用程序接入

FAST巡天數(shù)據(jù)文件是海量的大文件，傳輸遷移必須在安全可靠的網(wǎng)絡(luò)環(huán)境下進(jìn)行，基于Http網(wǎng)絡(luò)協(xié)議方式的已經(jīng)不合適。當(dāng)前租用SG網(wǎng)絡(luò)帶寬，建立從平塘天文觀測臺到FAST早期科學(xué)數(shù)據(jù)中心通信專網(wǎng)。運行在單一安全網(wǎng)絡(luò)環(huán)境下，數(shù)據(jù)管理系統(tǒng)，可以使用桌面應(yīng)用程序或?qū)ｉT的服務(wù)進(jìn)程。認(rèn)證授權(quán)模式可以采用資源所有者密碼憑證，甚至客戶端憑證。

3.3.4第三方認(rèn)證接入

FAST數(shù)據(jù)平臺是一個開放平臺，能夠接收來自全球的脈沖星科學(xué)家及學(xué)者的新數(shù)據(jù)及文獻(xiàn)資料，能夠共享科學(xué)資源，同時也是科普基地板塊，普及天體科學(xué)知識，分享天文教育資源。為了減少不必要的注冊，平臺支持第三方身份認(rèn)證提供商的接人，如微信、微博等主流社交平臺賬號登錄。

4 FAST數(shù)據(jù)平臺統(tǒng)一認(rèn)證的實現(xiàn)

部署的項目包括：認(rèn)證授權(quán)服務(wù)器系統(tǒng)、2個Web api項目（自定義身份認(rèn)證Web api， App后臺服務(wù)api）、一個基于ASPNET MVC技術(shù)的Pulsar數(shù)據(jù)網(wǎng)站系統(tǒng)。系統(tǒng)部署在私有云平臺，3臺虛擬主機(jī)服務(wù)器，每臺主機(jī)CPU 16核，內(nèi)存16G，硬盤500G，操作系統(tǒng)為Windows server2012，基礎(chǔ)軟件ns和dot-netcore runtime。

（1）服務(wù)器serverl：IP地址172.24.1.150，部署認(rèn)證授權(quán)服務(wù)器項目，端口80;自定義身份認(rèn)證Web api項目，端口8080。

（2）服務(wù)器Server2：IP地址172.24.1.151，部署App后臺服務(wù)WebApi項目，端口80。

（3）服務(wù)器Server3：IP地址172.24.1.152，部署Pulsar數(shù)據(jù)管理網(wǎng)站項目，端口80。

桌面數(shù)據(jù)管理軟件運行在用戶的PC端，App運行在用戶的手機(jī)、Pad等移動設(shè)備中。項目部署方案如圖3所示。

匿名用戶使用App或網(wǎng)站處理業(yè)務(wù)，訪問操作受保護(hù)資源，系統(tǒng)自動定向到統(tǒng)一認(rèn)證中心登錄頁面，登錄成功返回認(rèn)證ID Token和訪問令牌Acccess Token，跳轉(zhuǎn)請求頁面或數(shù)據(jù);當(dāng)請求的資源超出認(rèn)證用戶訪問授權(quán)范圍，跳轉(zhuǎn)到受限權(quán)限提醒頁面;認(rèn)證成功用戶，攜帶ID Token和Access Token，請求訪問其他網(wǎng)站無須重復(fù)登錄，從而完成整個統(tǒng)一認(rèn)證流程。

5 結(jié)論

為了應(yīng)對快速增長、多變信息化業(yè)務(wù)需求和多樣信息客戶端對授權(quán)資源訪問需求，科學(xué)有效管理FAST工程產(chǎn)生的海量數(shù)據(jù)，提高數(shù)據(jù)處理能力，實現(xiàn)科研信息共享，提高科研效率，文章基于Open ID Connect和OAuth2的開放協(xié)議標(biāo)準(zhǔn)，在FAST數(shù)據(jù)管理平臺中引入Identity Server開源統(tǒng)一認(rèn)證系統(tǒng)方案。文章簡述了OAuth2與Open ID Connect專業(yè)術(shù)語，分別適應(yīng)不同應(yīng)用場景的授權(quán)認(rèn)證工作模式流程，分析了FAST數(shù)據(jù)管理平臺業(yè)務(wù)系統(tǒng)組成，基于Identity Server設(shè)計整個平臺的認(rèn)證架構(gòu)，采用云服務(wù)器虛擬主機(jī)認(rèn)證系統(tǒng)實踐部署。解決了不斷增長的信息業(yè)務(wù)需求微服務(wù)與信息資源安全統(tǒng)籌管理之間的矛盾，即實現(xiàn)了訪問控制，保障了信息安全，受限資源只有授權(quán)用戶才能訪問;同時解決了多系統(tǒng)之間必須多次登錄驗證的問題。

參考文獻(xiàn)：

[1]許余云，李菂，劉志杰，等.人工智能在脈沖星候選體篩選中的應(yīng)用[J].天文學(xué)進(jìn)展，2017，35（3）：304-315.

[2] Wang Hongfeng，ZhuWeiwei，GuoPing，etaI.Pulsar Candidate Se-lection with Ensemble Nets for FAST Drift-scan Suvery[J].SCl-ENCE CHINA，2016（59）.

[3]姜家濤，郭靜.基于RBAC的權(quán)限管理在實驗室信息管理中的研究[J].計算機(jī)技術(shù)與發(fā)展，2017（27）：79-82.

[4]鄭健，基于CAS的校園統(tǒng)一身份認(rèn)證系統(tǒng)部署[J].電腦知識與技術(shù)，2019，15（23）：61-63.

[5]胡貞華，陳雪花，何創(chuàng)新.基于OAUTH2.0高校統(tǒng)一身份認(rèn)證的應(yīng)用研究[J].電腦知識與技術(shù)，2019，15（6）：265-267.

[6] Eddy，Nathan.OpenDNS，ConnectWise Partner on Web Security，lT Management[Jl.Eweek，2013，Nov.

[7]IdentityServer[E B/OLl. https：//identityserver4. readthedocs. io/en/latest/.

[8]方圓，鄭衛(wèi)勝.一種.Net框架下微服務(wù)框架設(shè)計研究[J].通信電源技術(shù)，2019，36（4）：87-88.

[9]馮志勇，徐硯偉，薛霄，等，微服務(wù)技術(shù)發(fā)展的現(xiàn)狀與展望[J].計算機(jī)研究與發(fā)展，2020，57（5）：1103-1122.

[10]李娜.基于Spring Cloud微服務(wù)架構(gòu)的應(yīng)用[J].電子技術(shù)與軟件工程，2019（12）：142.

【通聯(lián)編輯：代影】

作者簡介：姜家濤，男，博士生，研究方向：信息安全、數(shù)據(jù)壓縮;謝曉堯，男，博士生導(dǎo)師;張輝，男，博士生。