建設數字化校園的目標是消除校園網中的信息孤島，整合校園網中的各種應用系統并實現統一的身份認證服務機制。運用SOA構建統一身份認證服務架構，一方面它實現了平臺無關性，另一方面實現了分布式部署、組合和使用的服務。

　　隨著近幾年高校對校園網絡基礎硬件設施擴建的完成，很多高校已開始建設數字化校園，而統一身份認證服務作為數字化校園建設的基礎部分，它是每個高校建設數字化校園所面臨的一個問題。筆者以在數字化校園建設方面具有特色的部分高校為例，研究其校園網的統一身份認證服務后，發現它們都別具一格，各有所長，但在總體架構上沒有一套統一、完善的理論與方法。本文運用SOA(Service—Oriented Architecture)模型，設計并實現了一個基于SOA的統一身份認證服務架構的方案。

　　1 統一身份認證服務架構

　　1.1面向服務的架構SOA

　　SOA(Service—Oriented Architecture)是一種軟件架構模型，它可以根據需要對松耦合的粗粒度應用組件進行分布式部署、組合和使用。服務之間采用松耦合有兩大好處，第一是各種服務能夠靈活組合，第二是每個服務的內部結構和實現發生改變時，其構成的整個應用程序無需改變。反之，緊耦合意味著應用程序的不同組件之間的接口與其功能和結構是緊密相連的，因而當需要對部分或整個應用程序進行某種形式的更改時，不易對其進行重構。SOA的關鍵是“服務”的概念，在該架構中，定義了兩個角色，服務提供者和服務使用者。

　　目前支持SOA架構概念的軟件體系有好幾種。使用基于SOAP協議的Web服務技術來構建統一身份認證服務架構，這種技術正快速發展。是未來的發展方向，它提供了一個系統架構以及一系列的技術標準與規范。

　　1.2基于SOA的統一身份認證架構

　　統一身份認證服務主要實現用戶管理、身份認證、分級權限管理和單點登錄等功能。以解決校園數字化建設過程中用戶定義模糊、用戶身份組織零亂、交叉權限管理定義和應用系統入口多樣性等棘手的問題。

　　本系統架構以北京大學和重慶大學等已建設或正在建設的統一身份認證服務為研究基礎，結合SOA等技術對統一身份認證服務進行了進一步定義。在基于SOA的統一身份認證服務架構中，依據SOA定義的服務提供者和服務使用者角色，將統一身份認證服務所要實現的功能封裝成為服務提供者，作為服務使用者的各應用系統必須依據統一服務接口所定義的調用方法才能調用服務。服務提供者按三層結構來設計，分別為統一認證中心數據庫、統一信息管理和統一服務接口。對統一認證中心數據庫的訪問操作經過封裝后。只有經過統一服務接口才能進行訪問，同時在統一服務接口處設置相應的安全性檢查和訪問控制的策略匹配來提高對中心數據庫的訪問安全。

　　服務使用者調用一次服務的過程為：1)服務使用者依據認證語言及語法構造認證指令。21使用與服務提供者約定的加密算法對認證指令進行加密。3)將加密后的密文封裝成SOAP消息，并將消息發送到服務提供者。4)服務提供者收到SOAP消息后拆封并提取消息。5)使用與服務使用者約定的加密算法解密密文。 6)對明文進行語法、語義進行有效性驗證，通過驗證后執行認證指令。71將執行的結果加密、封裝為SOAP消息并再發送給服務使用者。8)服務使用者收到 SOAP消息后拆封、解密并提取執行的結果。在上面所提到的認證指令是基于XML格式的，所以構造與解析認證指令實際上是對XML的序列化與反序列化的過程，同時執行結果也是XML格式的，所以提取執行結果實際上也是對XML的處理，認證指令的描述見下節。對認證指令及執行結果的加密與否在這里是可選的。當返回的執行結果的信息量很大而對安全性要求不高的內容可以不進行加密而直接返回明文，從而減少加密與解密所花的時間。