王 怡

(福建师范大学 网络与数据中心，福州 350117)

在《国家教育信息化十年发展规划(2011-2020)》《教育信息化“十三五”规划》《教育信息化2.0行动计划》对高校信息化建设的发展要求指导下，伴随着大数据、人工智能、云计算、物联网等新技术的持续发展与应用，高校信息化建设更关注于支撑以人为本的教育理念、满足师生个性化发展的需求，将信息技术高度融合、信息化应用深度整合，使得多方位资源及其业务的融合和共享，实现无所不在的信息服务综合化和智慧化[1]。

大数据时代下的智慧校园应能够实现数据的统一标准和规范管理，围绕着师生全生命周期的活动，认证授权每个自然人相应的角色和权限，解决多身份、多组织、多应用的问题，提供多场景的业务服务，从而达到智慧校园“业务共融、数据互通、移动集成、服务感知”的目标[23]。因此，本文提出一种开放式的身份认证策略，采用多级实名认证的方式对用户进行身份管理，通过身份标签来统一管理用户访问系统资源的权限，实现高效的智慧校园数据服务管理。

1 大数据时代下的智慧校园现状

当前我国大部分高校已经拥有成熟的基础网络环境、网络架构规范和稳定运行的应用系统，基本上能够支撑智慧校园的数据平台和相关业务系统的服务器集群。校园内部已形成统一的信息化管理体系，拥有支撑智慧校园运行的数字化平台，能够提供基础性服务，并且有部分高校已实现数据共享。信息化模式已融入学校日常办公、学习、生活的方方面面，改变着学校行政、教学、科研、服务等业务管理形态，业务部门对信息化的依赖性日益增强，已经形成常态化工作[4]。校园服务的边界也越来越模糊，服务的空间和时间已逐渐超越了校园区域和工作时段的局限。

智慧校园作为高校信息化的创新阶段，也是数字校园的服务扩展和提升阶段，其特点表现为用户需求多元化、应用服务精细化、服务模式智能化，更关注用户的行为、位置、时间、工具的感知和用户服务的体验[5-6]。大数据是智慧校园建设的核心驱动力，高校信息化发展已经从IT(Information Technology)时代走向DT(Data Technology)时代，由集中提供IT应用和基础架构到通过DT驱动业务管理服务。在大数据时代，数据信息的重要性已经超越了流程本身，智慧校园建设应致力于促进DT支持的服务延伸和提高，依托数据、整合流程，形成创新性的服务体验信息化。

目前，各个高校建设智慧校园的情况存在很大差异，不同的建校背景和基础，使得不同学校对智慧校园建设的内容、侧重点都不尽相同。很多高校在建设的过程中面临信息孤岛、信息安全隐患等方面的挑战[7]。从智慧校园顶层设计的角度来看，大部分高校欠缺经验，在建设过程中常常与学校实际需求相分离，导致信息化工作只是停留在表面建设，没有真正实现智能化。从智慧校园的应用与管理角度来看，高校难以打破现有应用系统各自为政的现状，忽略了业务系统之间的独立性和关联性，应用未覆盖到学校各个业务层面以及各类使用人群，无法实现统一的事务流程化管理。从智慧校园相关技术设计的角度来看， 没有从广大师生的感受出发来考虑，没有把智慧校园的建设与用户的身份管理、应用授权等方面结合起来，因而无法从大数据层面实现真正意义上的“智慧校园”。目前，绝大多数高校处于智慧校园的建设阶段或规划立项中，我们应该探索更为开放的模式，构建新型智慧校园来适应大数据时代。

2 身份认证的重要性及存在的问题

多年来，高校信息系统累积的数量众多，大部分缺乏标准化、规范化的设计，数据无法共享，互联互通困难，存在“数据孤岛”与 “数据栅栏”并存等现象，无法发挥统一管理效能。近几年，高校陆续投入部署统一身份认证系统，将校内各个信息系统接入统一身份认证平台，实现用户单点登录全网通行、系统管理员统一授权控制管理的目的。统一身份认证在智慧校园建设中起到关键性作用，一方面为用户访问校内信息系统带来了便捷，也为信息系统管理节约了资源，避免分散的用户管理带来数据冗余，另一方面为新的信息系统开发提供统一的用户认证接口，在降低开发成本的同时又能够提高系统的安全性[8]。

随着大数据对智慧校园建设的影响日趋深入，现有的身份认证模式已逐渐不适应智慧校园的发展，主要存在以下一些问题：

(1)身份认证接口存在通信安全风险

绝大多数统一身份认证系统使用LDAP接口来完成数据通信[9]，随着接入的信息系统增多，开发技术不统一，数据标准不一致，而且认证的用户群体身份繁杂，可能造成连接账号及其通信安全，如果接入身份认证的系统被非法用户恶意控制，很可能会篡改LDAP中的用户信息。

(2)管理账号存在滥用风险

接入统一身份认证的系统有各自的管理账号，这些账号有着系统最高的管理权限。随着系统管理人员发生变动，很可能出现多人共用管理账号的现象，或在移交账号时并未及时更换密码，管理账号因缺乏规范化管理容易存在账号密码外泄的风险，一旦系统数据发生差错，我们也无法定位到使用人身份。

(3)无法确保所有认证账号的权威性

学校信息系统的使用人员包括系统管理人员、教职工、校内外学生、系统服务商以及临时人员等。学校人事系统、教务系统是只有校内在编在籍师生账号的数据库，而其他人员并没有统一的归口管理单位，这些人员无法通过用户身份管理模块进行统一管理，这就造成了应用系统临时增加账号带来的数据不完整、不规范，数据冗余等安全隐患。

(4)存在身份数据混乱、授权分散的缺陷

现有业务系统身份数据缺乏标准化与一致性，用户在不同系统中可能存在多种身份信息，这就造成了身份数据混乱的情况，无法为访问控制提供统一接口与角色权限，无法为认证授权提供集中又可靠的身份数据，不利于应用系统之间的数据传递和共享。

3 开放式智慧校园身份认证策略

传统的身份认证和数据管理服务模式已严重制约了高校信息化发展以及智慧校园的应用需求，本文提出一种开放式智慧校园身份认证策略，基于统一用户中心实现用户身份管理，采用多级实名认证方式将多系统多身份进行认证融合，通过身份标签来统一管理用户访问系统资源的权限，让用户只需要使用一个身份账号就能访问校园内所有授权的服务。

3.1 统一用户中心

图1 统一用户中心功能结构图

统一用户中心是对学校应用平台所有用户信息的集中管理。统一用户中心实现组织与组织的连接、组织与人的连接、人与人的连接、人与业务的连接，构建标准化的校园用户体系和组织管理平台。用户按照来源分为已有用户和自注册用户。已有用户指的是基础数据中心的用户，包括了人事库、教师库、学生库等同步的用户数据，能够实现对这类用户的基本信息管理、用户组设置、组织归属、身份设定、权限分配等。对于从其他平台自注册的用户，支持在统一用户中心进行用户审核、分类归属、权限分配等，并定期同步用户数据到其他应用系统中。统一用户中心基本功能结构如图1所示。

用户管理子系统：实现用户的集中管理，包括新添用户、编辑用户、删除用户、修改密码、查询用户、账号冻结等。新增用户包括了导入用户、同步用户、自注册用户审核。该子系统将分散在各个应用系统中的用户，按照实际情况进行整合汇聚，并按照统一标准对用户基本信息进行编辑和维护。

用户身份管理子系统：用户身份包括了校领导、管理者、教职工、学生、校友、服务组织、游客等类型，随着业务需求的扩展，用户身份类型也随之增加。用户身份管理子系统实现统一信息门户、移动App、网上办事服务大厅、业务系统等应用平台上的多身份定制化展示。除此之外，用户的服务模块资源授权和操作权限分配也是依赖于用户身份。

职务管理子系统：包括创建职务、职务与组织关系、编辑职务、删除职务等。不同身份的用户可配置不同类型的职务。如教职工身份用户可配置职务：教授、副教授、讲师、辅导员、行政人员等。

权限管理子系统：包括访问权限设置、管理权限设置、数据权限设置等，根据用户身份为用户分配权限。访问权限指的是用户对某个应用系统及功能模块的访问权限。管理权限指的是用户对某个应用系统及功能模块设置管理员的权限。数据权限是指用户对某个应用系统及功能模块的数据操作权限。

3.2 统一身份认证平台

图2 统一身份认证平台总体架构图

统一身份认证平台是提供给各个应用系统进行身份验证和服务授权的基础平台。通过统一的认证服务、授权服务、管理服务等有效地解决智慧校园中身份认证安全、用户访问安全和服务安全等问题，从而构建统一标准、安全可靠、互联互通、方便友好的身份认证平台[10]。统一身份认证平台总体架构如图2所示。

统一身份认证平台包括用户注册模块、统一用户登录模块、数据对接模块、单点登录模块、与CA对接模块、个人中心模块、兼容性支持模块等。同时，通过对接公安、运营商和银行等机构建立实名认证服务体系，加强用户身份信息的核实，确保用户身份的真实性和准确性，为具有高安全性访问需求的业务操作提供可靠的用户身份认证。

3.3 认证服务管理

认证服务是统一身份认证平台最重要的功能模块，包括了自然人认证、组织认证、资源认证和应用认证。本文提出的智慧校园身份认证采用了多级实名的认证服务管理策略。

多级实名的认证方式是根据用户提供的身份证、银行卡、人脸等凭证，对比该数据在数据库中的信息，校验凭证的有效性。通过有效性校验后，根据不同的凭证和提供方式赋予用户不同的实名认证等级。采用用户分级认证的管理思想，可根据用户使用服务的级别做相对应的认证，并能根据不同用户自动判别需要用户认证的等级，高级别认证用户使用低级别的服务时无须再进行认证。

表1 多级实名信息认证列表

表1列出了L1～L4级认证需要采集的数据、检验方式以及用户的身份和权限。L1级认证用户通过手机短信校验的方式即可浏览对外开放的信息资源。校内师生用户通过姓名和身份证信息进行L2级认证，系统将用户提交的信息与统一用户中心的师生用户信息库进行核验，校验成功后即可成为实名用户，实名用户认证是支持用户网上办事服务的基础。L2级用户实名认证流程如图3所示。如果认证用户不在统一用户中心的用户信息库中，那么用户提交的信息将对接公安库，公安库作为信任的数据源进行用户姓名和身份证的合法性校验，验证审核通过后则认证成功，并更新实名用户信息库。

图3 用户实名认证流程图

图4 用户访问系统资源流程图

L3级认证是更高级别的实名认证，在用户使用支付功能，涉及财产安全、资金安全的操作时，系统的鉴证级别会提升到L3级。该级别包括了人脸识别认证和银行卡四要素认证，将对接公安库和银行库进行信息比对审核，认证通过后用户可获得相应的事务申请和支付权限等。L4级认证是系统管理人员需要认证的级别，用户必须到学校的信息中心采集身份证和活体照片信息，通过现场人工校验后获得系统管理员的权限。

3.4 统一授权管理

权限管理是实现用户访问系统的控制，按照安全策略控制用户能够访问且只能访问授权的系统资源。统一身份认证平台通过实名的认证方式验证了用户身份的合法性，用户就可以访问学校的信息资源。但是，不同身份的用户可访问的资源权限各不相同，这就需要对用户进行统一的授权管理。本文提出的用户权限管理采用了赋予“身份标签”的方式，即系统根据用户认证的级别、身份信息、岗位信息等给其贴上相应的标签，如游客、教师、学生、校友、系统管理员等标签。每个用户可拥有多个身份标签，标签会随着用户身份或岗位的变换而改变，用户也可以根据需求向系统申请权限来获得标签。用户访问系统资源的流程如图4所示，用户在访问系统资源时，首先需要通过身份认证，认证成功后系统根据其拥有的身份标签来判断是否具有访问权限。

传统的角色管理方式往往是基于业务管理需求而预先在系统中设定好固定的角色标签，每个角色对应明确的系统权限，其所拥有的系统权限一般不会随意更改。角色管理的方式能够满足单一系统权限控制的需要，但不适用于智慧校园建设中多系统、多应用、多身份的统一授权管理，本文采用的身份标签则更为灵活，用户在身份认证后即可获得相应的身份标签，根据身份标签来识别用户访问系统资源的权限，并且身份标签会随着用户身份的变化发生相应的改变，确保基础数据的统一性、准确性和联动性。

3.5 数据服务管理

数据服务管理是数据中心和业务系统之间双向服务和管理过程。需要定义统一的数据接口和标准，数据中心一方面向业务系统提供身份数据和基础数据服务；另一方面回收业务系统中产生的用户数据流，形成动态用户数据库。数据服务是一个静态管理和动态回溯的管理过程，其最重要的环节是制定数据交换标准和业务数据回写标准，以保证数据输入输出的有效性和准确性。该服务实现了用户身份数据与应用数据的关联与回收，这些数据也将定期汇入智慧校园大数据中心，为智慧校园的数据共享、挖掘和分析提供保证。

4 结语

在高校信息化建设与管理模式的变革下，“以人为本、面向服务”已经成为智慧校园建设的根本要求，开放式的统一身份认证和授权管理方式能够更加有效地整合校内数据资源，实现更高程度上的智能化和个性化，使得每个自然人都能成为校园资源应用与服务的受益者，从而建立良好的用户全生命周期信息化生态环境，为大数据分析与决策优化提供有力的支撑。