Ｌ　 ７９ 23 Ｙ０ 6- 中华 人 民共和 国通 信 行 业 标 准 8- 08 15 -1 丫Ｄ／ Ｔ　 ２７０６－２０１４ -0 园区网间用户标识与属性互通技术要求 电话：82054513 http://www.ptsn.net.cn Ｉ ＣＳ　 ３３． ０４０． ４０ C C S A 20 22 Ｕｓｅｒ 　 ｉ ｄｅｎｔ ｉ ｆ ｉ ｅｒ 　 ａｎｄ　 ａｔ ｔ ｒ ｉ ｂｕｔ ｅｓ　 ｉ ｎｔ ｅｒ ｏｐｅｒ ａｔ ｉ ｏｎ　 ｓｐｅｃｉ ｆ ｉ ｃａｔ ｉ ｏｎ ｂｅｔ ｗｅｅｎ　 ｃａｍｐｕｓ　 ｎｅｔ ｗｏｒ ｋｓ 　　　　　　　 ２０１ ４－１ ０－１４发布 ２０１４－１０－１４实施 中华 人 民共 和 国工 业和 信 息化 部 发 布 次 23 目 6- 前 言・ ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ．． Ｉ Ｉ １ 范围・ ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． ． １ ２ 规范性引用文件・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ……１ -1 ３ 术语、定义和缩略语・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ……１ ４ 园区网间用户标识与属性互通技术框架・ ・ ・ ・ 。 ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ……１ 15 ５ 园区网间身份联盟中用户标识与属性・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ……３ C C S A 20 22 -0 8- 08 附录 Ａ（ 资料性附录）用户标识与属性举例・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ……７ 电话：82054513 http://www.ptsn.net.cn 丫Ｄ厅 ２７０６－２０１４ 本标准按照 ＧＢ／ Ｔ　 １ ． １ － ２ ００ ９给出的规则起草。 23 胃 　　　　 本标准由中国通信标准化协会提出并归口。　　　　 6- 月Ｉ Ｊ 份有限公司、北京聚宝网络科技有限公司、公安部第三研究所。 -1 本标准起草单位：北京大学、清华大学、北京邮电大学、工业和信息化部电信研究院、中兴通信股 　　　　 本标准主要起草人：陈 萍、吕 洁、王继龙、黄小红、武 　　　　 静、刘尚众、高 峰、朱红儒、杨明慧、 15 羽。 C S A 20 22 -0 8- 08 丰 、裘 C 石 电话：82054513 http://www.ptsn.net.cn 丫Ｄ厅 ２７０６－２０１４ 23 园区网间用户标识与属性互通技术要求 6- １ 范围 本标准规定了园区网间用户标识与属性互通技术框架和用户标识与属性描述方法。 -1 本标准适用于组成身份认证联盟的园区网。 ２ 规范性引用文件 15 下列文件对于本文件的应用是必不可少的。 　　　　 凡是注 日期的引用文件，仅注 日期的版本适用于本文件。 凡是不注日期的引用文件，其最新版本 （ 包括所有的修改单）适用于本文件。 ＹＤ／ Ｔ　 ２０ ９ ４一２ ０１ ０ 安全断言标记语一 言（ 所有部分） 08 ３ 术语、定义和缩略语 　　　　 ３． １ 术语和定义 8- 下列术语和定义适用于本文件。 　　　　 ３． １． １ -0 园区网 　　　　 Ｃａｍｐ ｕｓ　 Ｎｅｔ ｗｏｒ ｋ 在某地理区域内、由多个相互连接的局域网组成的计算机网络。园区网内的网络设备 　　　　 （ 如交换机、 22 路由器等）、传输媒介 （ 光纤、铜线等）及应用系统由园区所属机构 （ 如公司、大学）拥有并管理。 ３． １． ２ 园区网间身份联盟 　　　　 Ｉ ｄｅｎ ｔ ｉ ｔ ｙ　 Ｆｅｄｅｒ ａｔ ｉ ｏｎ　 ｏ ｖｅｒ 　 Ｃａｍｐｕｓ　 Ｎｅ ｔ ｗｏｒ ｋ ｓ 20 使用公共软件框架用来交换和使用身份标识和属性，支持园区网间互通互访的一个协作组织。 　　　　 ３． ２ 缩略语 下列缩略语适用于本文件。 　　　　 电话：82054513 http://www.ptsn.net.cn 丫Ｄ／ Ｔ　 ２７０６－２０１４ S A ＨＴＴ Ｐ　　　 Ｈｙ ｐ ｅ ｒ Ｔ ｅ ｘ ｔ 　 Ｔ ｒ ａ ｎ ｓ ｆ 　　　　 ｅ ｒ Ｐ 　 ｒ ｏ ｔ ｏ ｃ ｏ ｌ 超文本传输协议 ＨＴ Ｔ ＰＳ 　　 Ｈｙ ｐ ｅ ｒ ｔ ｅ ｘ ｔ 　 Ｔ ｒ ａ ｎ ｓ ｆ ｅ ｒ 　 Ｐ ｒ ｏ ｔ ｏ ｃ ｏ ｌ 　 ｏ ｖ ｅ ｒ 　 Ｓ ｅ ｃ ｕ ｒ ｅ 　 Ｓ ｏ ｃ ｋ ｅ ｔ 　 Ｌ ａ ｙ ｅ ｒ基于安全套接层的 　　　　 超文本传输协议 ＨＴ ＭＬ　　　 Ｈｙ ｐ ｅ ｒ Ｔｅ ｘ ｔ 　 Ｍａ ｒ ｋ ｕ ｐ 　 Ｌａ ｎ ｇ ｕ ａ ｇ ｅ 超文本标记语言 　　　　 ＬＤＡＰ　　　 Ｌ ｉ ｇ ｈ ｔ ｗｅ ｉ ｇ ｈ ｔ Ｄｉ 　 ｒ ｅ ｃ ｔ ｏ ｒ ｙ　 Ａｃ ｃ ｅ ｓ ｓ 　 Ｐ ｒ ｏ ｔ ｏ ｃ ｏ ｌ 轻量级目录访问协 　　　　 议 Ｓ ＡＭＬ　　　 Ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｙ　 Ａｓ ｓ ｅ ｒ ｔ ｉ ｏ ｎ　 Ｍａ ｒ ｋ ｕ ｐ　 Ｌａ ｎ ｇ ｕ ａ ｇ ｅ 安全断言标记语言 　　　　 C ＵＲＬ　　　　 Ｕｎ ｉ ｆ ｏ ｒ ｍ　 Ｒｅ ｓ ｏ ｕｒ ｃ ｅ　 Ｌｏ ｃ ａ ｔ ｏ ｒ 统一资源定位符 　　　　　　 C ４ 园区网间用户标识与属性互通技术框架 ４． １ 园区网间身份联盟 本标准指定的用户标识与属性互通技术要求主要应用于园区网间身份联盟。 　　　　 园区网间身份联盟为一种指定结构的身份联盟，它在各个园区之间共享用户园区内身份信息。联盟 　　　　 的基本组成要素是园区网。园区网内部参与网间身份联盟的主要组件有：园区网身份提供者Ｉ ｄ Ｐ和园区网 服务提供者ＳＰ。从身份联盟的角度看，一个园区网可以配置０或１ 个身份提供者，身份提供者具备两项功 能：一是该园区网用户的身份认证功能；二是该园区网用户的身份信息发布功能。一个园区网可配置多 23 个服务提供者，每个服务提供者可支持一个或多个应用系统被身份联盟中来自本园区网或者是其他园区 网的用户访问。园区网间身份联盟同时支持应用系统以独立的服务提供者身份加入联盟，支持联盟中各 个园区用户的访问。园区网间身份联盟基于安全断言标记语一 言 （Ｓ ＡＭＬ， 　Ｓ ｅ ｃ ｕｒ ｉ ｙ　 Ａｓ ｓ ｅ ｒ ｔ ｉ ｏ ｎ　 Ｍａ ｒ ｋ ｕ ｐ 6- Ｌａ ｎｇ ｕ ａ ｇ ｅ）而建立。身份提供者、服务提供者和用户浏览器之间采用ＳＡＭＬ协议传输身份相关信息。安 全断言标记语言相关标准见ＹＤ／ Ｔ　 ２ ０９ ４－２ ０１ ０ -1 园区网间身份联盟的基本组成结构如图１ 　　　　 所示。 15 ．睿。 勘‘ Ｌｏｃａｌ　 ＡＡＩ 豁 １ ０ 翻， ｓＰ＋应用系统 ； 08 Ｐ＋Ｊ ＶＪ Ｉ Ｊ 系统 ｓＰ＋） ＇ Ｙｌ ４ ｌ系统 8- ｓＰ＋应用系统 联盟资源 目录 　　　　 联ｎ ｝成员符理 ｓＰ＋应用系统 ｓ Ｐ ＋ ， ｌ ｝ Ｔ ｌ／ 万岁 夕 22 厂 -0 递燕 ｓＰ十应用系统 Ｌｏｃａｌ　 ＡＭ 　　　　　　　　 Ｉ ｄＰ Ｉ ｄＰ　　　　　　　　 Ｌｏｃａｌ　 ＡＡＩ 20 ｓＰ＋应川系统 图１ 园区网间身份联盟 组成 结构 　　　　　　　　　　　 园区网间身份联盟包括客户端 （ 用户浏览器）、身份提供者Ｉ ｄ Ｐ 　　　　 和服务提供者ＳＰ三种逻辑组件：。这 A 三种组件分别为运行于不同的操作系统和主机之上，按照ＯＳ Ｉ 七层网络协议划分，这些组件均运行于应 用层，正常运行的基础是上述组件软件所在主机已经通过网络层认证，获取网络访问权限。 S ４． ２ 用户跨园区访问 典型的园区间访问场景是Ａ园区中的一位用户通过浏览器试图访问Ｂ 　　　　 园区中的应用系统，从而触发联 C 盟系统的