王昉, 姜恩波, 張曉雁

(1. 中國科學(xué)院文獻(xiàn)情報中心，北京 100190；2. 中國科學(xué)院成都文獻(xiàn)情報中心，成都 610041；3. 北京大學(xué)外國語學(xué)院圖書分館，北京 100871)

數(shù)字圖書館用戶單點登錄機(jī)制與技術(shù)研究

王昉1, 姜恩波2, 張曉雁3

(1. 中國科學(xué)院文獻(xiàn)情報中心，北京 100190；2. 中國科學(xué)院成都文獻(xiàn)情報中心，成都 610041；3. 北京大學(xué)外國語學(xué)院圖書分館，北京 100871)

總結(jié)分析了用戶統(tǒng)一認(rèn)證技術(shù)在數(shù)字圖書館應(yīng)用的需求與現(xiàn)狀，討論了應(yīng)用系統(tǒng)設(shè)計中涉及的關(guān)鍵技術(shù)解決方案和管理政策需求，以及國內(nèi)外數(shù)字圖書館對統(tǒng)一認(rèn)證和授權(quán)實現(xiàn)的模式，并在最后討論了我國實踐中存在的問題與未來的發(fā)展方向。

分布移動用戶；統(tǒng)一認(rèn)證和授權(quán)；單點登錄

1 前言

用戶單點登錄是指認(rèn)證系統(tǒng)通過技術(shù)和管理機(jī)制等手段對物理上分散的用戶進(jìn)行統(tǒng)一、可信任的身份識別，進(jìn)而根據(jù)用戶身份和相關(guān)資料提供有差別的資源授權(quán)和服務(wù)。該技術(shù)在互聯(lián)網(wǎng)有著廣泛的應(yīng)用，目標(biāo)在于解決在不同用戶環(huán)境下用戶身份認(rèn)證和信息安全、隱私保護(hù)（如云環(huán)境下用戶統(tǒng)一認(rèn)證技術(shù)與應(yīng)用[1]）、多個系統(tǒng)間的單點登錄和無縫跳轉(zhuǎn)，以及對用戶環(huán)境和設(shè)備的自適應(yīng)（如有線網(wǎng)絡(luò)與無線網(wǎng)絡(luò)之間，計算機(jī)與手機(jī)、平板電腦等移動設(shè)備之間[2,3]）等，并被用于電子數(shù)據(jù)交換（如eTrust電子信任聯(lián)盟[4]）、網(wǎng)上銀行、目錄訪問服務(wù)等。而數(shù)字圖書館的用戶統(tǒng)一認(rèn)證主要用于解決分散、移動用戶對圖書館購買電子資源的IP地址限制、圖書館多個網(wǎng)絡(luò)服務(wù)的集成認(rèn)證和訪問等問題。

與其他系統(tǒng)提供認(rèn)證和訪問的目標(biāo)資源多為自主知識產(chǎn)權(quán)資源相區(qū)別，數(shù)字圖書館面臨的主要困境是對購買商業(yè)電子資源的認(rèn)證和訪問服務(wù)需要得到資源提供商的許可和支持。就相關(guān)問題國內(nèi)外數(shù)字圖書館界已進(jìn)行了長期的探索和實踐，并形成了許多實施框架和建設(shè)標(biāo)準(zhǔn)、應(yīng)用成果，影響較大的單點登錄系統(tǒng)如Athens訪問管理系統(tǒng)[5]、InCommon（美國）[6]、中科院國家科學(xué)圖書館隨易通[7]、CALIS統(tǒng)一認(rèn)證系統(tǒng)等，以及知名開源項目及工具如Shibboleth[8]、CAS[9]（耶魯大學(xué)）、JOSSO單點登錄開源項目（Java Open Single Sign-On）[10]、SourceID開源聯(lián)合身份認(rèn)證管理（Open Source Federated Identity Management）[11]等。國內(nèi)許多圖書館也通過購買成熟軟件如OCLC EZproxy[12]或基于OpenID、CAS、SSL VPN等技術(shù)自行研發(fā)并在本館或機(jī)構(gòu)服務(wù)中應(yīng)用[13-15]。國內(nèi)版權(quán)和知識產(chǎn)權(quán)保護(hù)的環(huán)境的現(xiàn)實使得相關(guān)正式合作與國外相比存在很大差距。本文旨在應(yīng)對上述矛盾，通過對國內(nèi)外數(shù)字圖書館界該技術(shù)的研究與應(yīng)用現(xiàn)狀進(jìn)行分析，總結(jié)實踐中需解決的關(guān)鍵技術(shù)與管理問題，探索其未來發(fā)展方向。

2 應(yīng)用需求與現(xiàn)狀

數(shù)字圖書館應(yīng)用單點登錄的原因可歸納如下：

（1）為購買電子資源的遠(yuǎn)程訪問提供安全、靈活的用戶身份認(rèn)證和授權(quán)

圖書館購買的電子資源（如文獻(xiàn)數(shù)據(jù)庫、科研工具等）由于知識產(chǎn)權(quán)和出版商權(quán)益保護(hù)等原因，往往并非向所有公眾開放，而是將獲取范圍限制在特定地域的特定用戶群，如購買某電子資源的大學(xué)所在校園園區(qū)的學(xué)生和教師、職員?；贗P地址認(rèn)證用戶身份是一種簡單有效的辦法，也是目前最常用的用戶訪問控制方式。它的弊端在于限制了合法用戶獲取電子資源和服務(wù)的地理范圍，一旦用戶離開了該資源或服務(wù)授權(quán)的IP地址范圍，訪問則被視為非法訪問而無法獲取服務(wù)。圖書館通常的解決方案是通過用戶名/密碼對、數(shù)字證書等用戶身份認(rèn)證+遠(yuǎn)程網(wǎng)絡(luò)資源代理訪問的方式，提供對基于用戶網(wǎng)絡(luò)地址進(jìn)行身份認(rèn)證的有效補(bǔ)充，使用戶在外地、野外和休假時等也能獲取相應(yīng)的服務(wù)。而用戶單點登錄系統(tǒng)可以根據(jù)不同用戶的身份（所屬機(jī)構(gòu)、院系等）、類別（學(xué)生、教師、研究人員、訪問學(xué)者等）、學(xué)科性質(zhì)、認(rèn)證方式（如強(qiáng)用戶認(rèn)證、弱用戶認(rèn)證）等為用戶授予不同資源、不同深度的訪問權(quán)限。以某高校學(xué)位論文數(shù)據(jù)庫的訪問控制為例，通過分布移動用戶認(rèn)證和單點登錄服務(wù)可根據(jù)用戶身份定義論文獲取權(quán)限為：該校所有用戶檢索并獲取論文文摘、前16頁，教師和同系別學(xué)生可獲取論文全文。

國外圖書館利用代理為用戶提供遠(yuǎn)程訪問訂購的電子資源非常普遍（如EZproxy在全球的用戶包括60多個國家的400多個機(jī)構(gòu)[12]），但在我國由于知識產(chǎn)權(quán)和版權(quán)保護(hù)等現(xiàn)實原因，代理軟件通常并不得到電子資源出版商的許可，需要拿出有力的證據(jù)證明用戶賬號只分發(fā)給授權(quán)用戶使用而不被散發(fā)，以及對用戶批量下載行為的有效防止和管理。

（2）提供多種服務(wù)的集成認(rèn)證和單點登錄

（3）網(wǎng)絡(luò)訪問代理

當(dāng)用戶受所在網(wǎng)絡(luò)訪問限制無法訪問廣域網(wǎng)、或某特定網(wǎng)絡(luò)由于安全、管理策略等因素只針對特定用戶群開放時，用戶單點登錄服務(wù)可作為代理網(wǎng)關(guān)，為用戶提供萬維網(wǎng)（WWW）或虛擬專用網(wǎng)（VPN）訪問代理。當(dāng)用戶暫時離開校園或所在機(jī)構(gòu)時，可通過分布移動用戶認(rèn)證和單點登錄服務(wù)實現(xiàn)系統(tǒng)的遠(yuǎn)程登錄。它區(qū)別于普通代理網(wǎng)關(guān)之處在于可實現(xiàn)基于用戶身份的訪問授權(quán)和控制、用戶行為管理和審計。

3 單點登錄模式分析

實現(xiàn)安全、可信賴的單點登錄服務(wù)涉及兩個問題：用戶身份認(rèn)證和基于用戶角色的資源訪問授權(quán)。其中用戶身份認(rèn)證方式除了常見的用戶名/密碼方式，根據(jù)系統(tǒng)對安全強(qiáng)度要求不同可在此基礎(chǔ)上增加不同的驗證手段如動態(tài)口令、數(shù)字證書等；對于基于用戶角色的資源訪問授權(quán)，業(yè)界面臨的主要問題是非自有知識產(chǎn)權(quán)的遠(yuǎn)程資源，其主流方案主要有以下兩種：

（1）基于IP地址身份認(rèn)證（如VPN、HTTP代理）方式，即采用目標(biāo)服務(wù)端認(rèn)可的IP地址對遠(yuǎn)程資源進(jìn)行訪問或訪問代理。這種方式適用于單個圖書館獨立部署的單點登錄服務(wù)，其優(yōu)點在于無需與遠(yuǎn)程資源就單個使用用戶的身份認(rèn)證進(jìn)行交互，同時也帶來一些弊端，包括本地代理負(fù)擔(dān)重、訪問速度比直接訪問慢；用戶訪問授權(quán)和行為管理由資源提供服務(wù)者轉(zhuǎn)為代理服務(wù)提供者控制，需要制定妥善的用戶訪問行為控制策略以保證對資源的合理使用，等等。

（2）與遠(yuǎn)程資源建立基于通用標(biāo)準(zhǔn)（如SAML、SSL、LDAP等）的合作身份認(rèn)證和授權(quán)，通過傳遞用戶的身份屬性等信息，由目標(biāo)服務(wù)端根據(jù)用戶角色對用戶的訪問進(jìn)行授權(quán)。其優(yōu)點在于對遠(yuǎn)程資源的訪問授權(quán)由目標(biāo)服務(wù)直接提供，本地管理壓力小、用戶訪問速度快。其問題在于需要逐一與眾多的商業(yè)資源提供商協(xié)商談判以取得其許可和授權(quán)、并支持不同的提供商遵循的認(rèn)證方式，對于單個圖書館而言實現(xiàn)難度較大，更適用于認(rèn)證資源授權(quán)和角色復(fù)雜、用戶類別和數(shù)量較多的信任機(jī)構(gòu)聯(lián)盟（如高校圖書館聯(lián)盟）。

我國多采用前一種方式實現(xiàn)用戶的單點登錄，而后一種方式在歐美等發(fā)達(dá)國家多通過聯(lián)盟或政府組織的方式實現(xiàn)。實際應(yīng)用中根據(jù)對用戶認(rèn)證方式和服務(wù)授權(quán)的管理模式不同，可將它們分為以下兩種模式：

（1）集中式用戶認(rèn)證和授權(quán)

12月4日，國家發(fā)改委等38個部門聯(lián)合印發(fā)《關(guān)于對知識產(chǎn)權(quán) （專利） 領(lǐng)域嚴(yán)重失信主體開展聯(lián)合懲戒的合作備忘錄》。《備忘錄》 指出，聯(lián)合懲戒對象為知識產(chǎn)權(quán)（專利）領(lǐng)域嚴(yán)重失信行為的主體實施者?？绮块T聯(lián)合懲戒措施則包括：限制政府性資金支持，對政府性資金申請從嚴(yán)審核，或降低支持力度；限制補(bǔ)貼性資金和社會保障資金支持；依法限制其作為供應(yīng)商參與政府采購活動等33條。

其特點是用戶認(rèn)證所需的身份信息、訪問授權(quán)策略和信息集中保存在集成認(rèn)證中心，用戶從集成認(rèn)證中心登錄獲取授權(quán)訪問的資源和服務(wù)。典型的代表有Athens、隨易通。它們都采用了分級式管理，服務(wù)的訪問授權(quán)由認(rèn)證中心根據(jù)內(nèi)容提供商提供的一份訂閱該服務(wù)的機(jī)構(gòu)清單為相關(guān)機(jī)構(gòu)授權(quán)，注冊的機(jī)構(gòu)可自動獲得本機(jī)構(gòu)訂閱的網(wǎng)絡(luò)資源的訪問權(quán)限，而無需與內(nèi)容提供商交涉訪問控制的細(xì)節(jié)；注冊機(jī)構(gòu)自行維護(hù)本機(jī)構(gòu)用戶帳號和資源授權(quán)，機(jī)構(gòu)管理員可通過建立資源訪問控制策略，為不同身份用戶設(shè)置不同的資源訪問權(quán)限。Athens與隨易通相比，由于Athens與英國教育部與衛(wèi)生部官方長期合作，對服務(wù)提供商而言可信任度高，因此集成認(rèn)證的網(wǎng)絡(luò)服務(wù)數(shù)量、服務(wù)種類多，如電子全文數(shù)據(jù)庫（如Ebrary、Ebsco、IEEE、Elsevier ScienceDirect等）、電子期刊（如Cambridge Journals Online、Oxford Journals）、遠(yuǎn)程教育資源（如Proquest Learning、Education Media OnLine等）、在線數(shù)據(jù)服務(wù)（如Census Interaction Data Service、Economic and Social Data Service等）、數(shù)字圖書館網(wǎng)站（如NHS National Library for Health）、網(wǎng)絡(luò)服務(wù)（如Oxford Reference Online）等。Athens提供了網(wǎng)絡(luò)服務(wù)器插件、各類開發(fā)接口等方式，可方便網(wǎng)絡(luò)服務(wù)提供商將Athens認(rèn)證集成到他們的系統(tǒng)；隨易通目前只提供對中國科學(xué)院集團(tuán)購買的電子文獻(xiàn)資源遠(yuǎn)程訪問的統(tǒng)一認(rèn)證和授權(quán)，以及部分其他數(shù)字圖書館服務(wù)的統(tǒng)一認(rèn)證和單點登錄（如中科院跨庫集成檢索）。其遠(yuǎn)程訪問方式目前已開放SSL VPN代理方式的測試并與中科院統(tǒng)一認(rèn)證登錄集成（之前采用反向代理技術(shù)），與Authens相比需認(rèn)證中心維護(hù)資源訪問控制，配置較復(fù)雜、維護(hù)成本較高。其用戶認(rèn)證與授權(quán)模塊目前基于SSL的用戶名/密碼、用戶名/密碼＋隨易通E-key或SSL VPN的兩級強(qiáng)度的用戶認(rèn)證方式，資源授權(quán)方式靈活、支持用戶訪問在線預(yù)警、離線分析安全策略等。

（2）聯(lián)盟式管理

其特點是共享資源的機(jī)構(gòu)間建立聯(lián)盟和信任度網(wǎng)絡(luò)，由請求資源的機(jī)構(gòu)自行負(fù)責(zé)本機(jī)構(gòu)用戶身份的認(rèn)證，向目標(biāo)機(jī)構(gòu)發(fā)送的用戶信息為用戶屬性的斷言，基于用戶屬性進(jìn)行訪問控制，并根據(jù)目標(biāo)資源要求由請求機(jī)構(gòu)提供關(guān)于用戶屬性的斷言，而用戶屬性由用戶所在機(jī)構(gòu)注冊信息生成。這種認(rèn)證授權(quán)方式有較好的用戶隱私管理，由發(fā)送請求機(jī)構(gòu)和用戶決定關(guān)于用戶自身信息的哪些部分可以提供給目標(biāo)機(jī)構(gòu)。往往需要提供給目標(biāo)機(jī)構(gòu)的并非用戶姓名、年齡等確切信息，而是關(guān)于用戶身份屬性的斷言，如對請求某一課程資源時提供用戶的屬性斷言為某專業(yè)二年級學(xué)生。同時，基于SAML、SSL、LDAP等標(biāo)準(zhǔn)的開發(fā)，使認(rèn)證系統(tǒng)易于與同樣采用了這些標(biāo)準(zhǔn)的應(yīng)用之間進(jìn)行互操作。Shibbloleth、SourceID同屬這類模式。以Shibbloleth為例，它主要被應(yīng)用在大學(xué)、圖書館及其聯(lián)盟共享遠(yuǎn)程教育資源、圖書館電子資源、機(jī)構(gòu)學(xué)術(shù)資源和公共信息等提供用戶的集成認(rèn)證和單點登錄，如俄亥俄州立大學(xué)用于建立訪問該校所有網(wǎng)絡(luò)應(yīng)用的統(tǒng)一認(rèn)證入口，包括學(xué)生服務(wù)網(wǎng)站、課程管理系統(tǒng)、人力資源、員工研究資源門戶等；馬里蘭大學(xué)及其附屬機(jī)構(gòu)聯(lián)盟用于共享圖書館資源和服務(wù)，如Metalib、用戶目錄服務(wù)、SFX等。在世界范圍內(nèi)建立基于Shibbloleth框架的聯(lián)盟有美國的InCommon、英國的SDSS[16]、瑞士的SWITCH[17]、法國的éducation-Recherche[18]和芬蘭的HAKA。支持Shibbloleth的網(wǎng)絡(luò)應(yīng)用和服務(wù)包括CSA（劍橋科學(xué)文摘）、ExLibris-SFX、Elsevier ScienceDirect、OCLC的EZproxy、NSDL（美國國家科學(xué)數(shù)字圖書館）等。

4 關(guān)鍵技術(shù)解決方案和相關(guān)管理機(jī)制

根據(jù)上述應(yīng)用需求在我國的實踐需要，單點登錄系統(tǒng)在設(shè)計中需要考慮以下三個主要問題：

4.1 提供安全、可信的認(rèn)證和授權(quán)機(jī)制

用戶單點登錄服務(wù)的工作模式是：認(rèn)證中心對注冊用戶提交的登錄信息進(jìn)行驗證，確認(rèn)用戶聲稱的身份信息真實有效后，為用戶分配可訪問資源或服務(wù)的授權(quán)，并將必要的用戶資料（資料詳細(xì)程度根據(jù)不同系統(tǒng)需求而有區(qū)別）提交給用戶訪問的資源，為用戶提供個性化服務(wù)。這個流程中可能出現(xiàn)的問題包括：由于在互聯(lián)網(wǎng)上傳輸?shù)臄?shù)據(jù)對公眾是可見的，可能產(chǎn)生傳輸數(shù)據(jù)被惡意截獲、修改或延遲；用戶口令被盜、散發(fā)；用戶對資源和服務(wù)的惡意使用（如批量下載），等等。為保證統(tǒng)一認(rèn)證和單點登錄服務(wù)的安全性和可靠性，目前各類系統(tǒng)采取的解決方案主要有：

（1）提供不同的認(rèn)證強(qiáng)度支持安全、可靠的用戶訪問控制

單點登錄服務(wù)系統(tǒng)可根據(jù)應(yīng)用對安全性能所需的不同級別提供不同強(qiáng)度的認(rèn)證。如網(wǎng)上銀行對普通用戶進(jìn)行帳務(wù)查詢等操作采用用戶通行詞（如身份證號/查詢密碼）的簡單認(rèn)證方式，而進(jìn)行轉(zhuǎn)帳、網(wǎng)上交易等對安全性要求高的操作則采用數(shù)字證書認(rèn)證的強(qiáng)認(rèn)證方式。

根據(jù)認(rèn)證方式的認(rèn)證強(qiáng)度可分為：①簡單認(rèn)證，即用戶向系統(tǒng)提交用戶名/密碼對的方式，它的缺陷在于容易破解，而系統(tǒng)無需向用戶證明自己的身份；②受保護(hù)的認(rèn)證，即用戶和認(rèn)證中心共有秘密，但不依賴于秘密的明文交換，例如X.509受保護(hù)密碼、Kerberos認(rèn)證、一次性生成口令等；③強(qiáng)認(rèn)證，即采用公鑰和數(shù)字證書的加密技術(shù)，例如X.509數(shù)字證書、PEM信任模型、PGP信任模型等[19]。隨易通系統(tǒng)即采用了簡單認(rèn)證與強(qiáng)認(rèn)證結(jié)合的方式以應(yīng)對用戶對二次文獻(xiàn)數(shù)據(jù)庫與全文數(shù)據(jù)庫的訪問需求，并結(jié)合隨易通E-key與用戶使用綁定、用戶行為的在線監(jiān)測與離線分析等方法，防止用戶賬號散發(fā)。

（2）采用加密技術(shù)保證通信的機(jī)密性

機(jī)密性是指通信時確保只有信息發(fā)送者預(yù)定的信息接收者能夠理解發(fā)送信息的內(nèi)容。在分布移動用戶認(rèn)證系統(tǒng)中要求用戶認(rèn)證信息的數(shù)據(jù)加密傳輸，如通過SSL（Secure Socket Layer）對通訊內(nèi)容進(jìn)行高強(qiáng)度的加密，以防止黑客監(jiān)聽通訊內(nèi)容甚至是用戶密碼。

（3）采用數(shù)字簽名保證數(shù)據(jù)一致性和防抵賴

數(shù)字簽名是指用戶用自己的私鑰對原始數(shù)據(jù)的哈希摘要進(jìn)行加密所得的數(shù)據(jù)。信息接收者使用信息發(fā)送者的公鑰對附在原始信息后的數(shù)字簽名進(jìn)行解密后獲得哈希摘要，并通過與自己用收到的原始數(shù)據(jù)產(chǎn)生的哈希摘要對照，便可確信原始信息是否被篡改，并保證了數(shù)據(jù)傳送的不可抵賴性[20]。在統(tǒng)一認(rèn)證系統(tǒng)中通常對用戶傳輸?shù)恼J(rèn)證信息進(jìn)行數(shù)字簽名。

（4）跟蹤和分析用戶日志對用戶行為進(jìn)行管理

根據(jù)預(yù)定義的規(guī)則通過實時或離線的方式對用戶活動記錄進(jìn)行的跟蹤和分析，發(fā)現(xiàn)用戶違規(guī)行為，如用戶口令散發(fā)、過量下載等。同時通過對用戶訪問資源的日志的統(tǒng)計分析可得到關(guān)于資源和服務(wù)使用情況等數(shù)據(jù)，幫助圖書館員更好地改進(jìn)服務(wù)。

4.2 提供穩(wěn)定、可靠的網(wǎng)絡(luò)資源的遠(yuǎn)程訪問和管理

為分布用戶提供遠(yuǎn)程訪問圖書館購買的電子資源的方式通常有四種：正向代理（Forward Proxy）、反向代理（Reverse Proxy）、IPsec VPN 和SSL VPN。其中反向代理的典型代表是EZproxy。這4種方式的區(qū)別與特點本文歸納總結(jié)如下（見表1）。由分析可見，正向代理、反向代理和SSL VPN 3種方式訪問權(quán)限控制細(xì)粒度較高，能滿足基于URL的規(guī)則過濾，當(dāng)遇到類似同一電子資源采購集團(tuán)中不同機(jī)構(gòu)對同一數(shù)據(jù)庫中選訂的期刊不同（同一網(wǎng)絡(luò)地址、URL不同）時顯得尤為必要；正向代理和IPsec VPN都需要客戶端進(jìn)行一定配置或安裝軟件，對客戶端設(shè)備適應(yīng)性而言，除IPsec VPN外其他3種訪問方式都支持不同操作系統(tǒng)及上網(wǎng)設(shè)備，用戶端維護(hù)成本較低。而反向代理由于采取了URL重寫技術(shù)，對與URL變化無關(guān)的網(wǎng)頁腳本（如JS）支持較差，代理維護(hù)成本高。筆者認(rèn)為SSL VPN是將來遠(yuǎn)程訪問代理的發(fā)展方向，已有圖書館及企業(yè)嘗試該種方式在本領(lǐng)域的應(yīng)用[21]。

表1 4種遠(yuǎn)程訪問代理方式的特點

4.3 制定有效的管理政策保證系統(tǒng)的可靠性

用戶單點登錄的安全、可信并不僅僅是技術(shù)問題，更是政策問題。制定完善可執(zhí)行的管理政策，并保證管理政策的可靠實施才能實現(xiàn)系統(tǒng)真正的可信賴。其對認(rèn)證和授權(quán)系統(tǒng)的要求包括：①保證正確的用戶得到正確的資源授權(quán)，如用戶身份的真實有效性、授權(quán)的準(zhǔn)確性等，并可通過相應(yīng)的用戶注冊信息驗證、用戶管理和維護(hù)、認(rèn)證中心注冊資源和服務(wù)的授權(quán)管理和維護(hù)等措施保證，如高校通過校園一卡通、中科院通過E-key與用戶賬號綁定，可有效防止用戶賬號的散發(fā)；②保證用戶的違規(guī)行為得到有效的防止和管理，可通過制定用戶違規(guī)行為監(jiān)控方法、相關(guān)責(zé)任追蹤措施（如停止相關(guān)賬號、通報）等。

5 結(jié)語

我國數(shù)字圖書館中用戶單點登錄技術(shù)的應(yīng)用與國外同行比較，標(biāo)準(zhǔn)規(guī)范應(yīng)用程度及應(yīng)用推廣規(guī)模仍有較大差距，體現(xiàn)在：①對資源的集成訪問多采用代理方式，缺乏與資源提供商的合作，增加了資源的訪問和控制的實現(xiàn)難度和維護(hù)成本，難以實現(xiàn)在不同資源之間的無縫轉(zhuǎn)移；②對圖書館服務(wù)系統(tǒng)的集成認(rèn)證和單點登錄多采用在集團(tuán)內(nèi)自定義的集中用戶認(rèn)證和授權(quán)模式，系統(tǒng)之間耦合度高，不支持開放的身份認(rèn)證和授權(quán)協(xié)議，不利于與其他支持開放標(biāo)準(zhǔn)的資源與服務(wù)的互聯(lián)。上述問題的解決不僅僅依賴于技術(shù)的更新，除在系統(tǒng)框架上進(jìn)一步向開放標(biāo)準(zhǔn)靠攏外，更需要建立完善的服務(wù)政策和管理機(jī)制，增強(qiáng)資源提供商對系統(tǒng)的認(rèn)證和授權(quán)機(jī)制的信任度；在更大范圍內(nèi)建立圖書館之間聯(lián)盟和認(rèn)證信息交換機(jī)制，在增進(jìn)不同認(rèn)證與授權(quán)系統(tǒng)之間互操作的同時，也能增加我們與資源提供商進(jìn)行相關(guān)談判的話語權(quán)。

[1] 季一木,康家邦,等.一種云計算環(huán)境下的用戶統(tǒng)一認(rèn)證方法:中國,CN103259663 A [P/OL]. (2013-08-21) [2014-03-07].http://www.google.com/patents/CN103259663A?cl=zh.

[2] 高飛.西安交大推出“云計算”統(tǒng)一認(rèn)證平臺學(xué)生手機(jī)可查空閑教室[N/OL].人民網(wǎng),2012-12-29 [2013-08-21]. http://sn.people.com.cn/n/2012/1229/c226647-17941090-1.html.

[3] lightRadioWiFi [EB/OL]. [2014-03-07]. http://www.alcatellucent.com/solutions/carrier-wifi.

[4] The Electronic Trust foundation [EB/OL]. [2014-03-07].http://www.etrust.org/.

[5] Eduserv - OpenAthens [EB/OL]. [2014-03-07]. http://www.athensams.net/.

[6] InCommon [EB/OL]. [2014-03-07]. http://www.incommon.org/.

[7] 中科院國家科學(xué)圖書館隨易通[EB/OL]. [2014-03-07]. https://ras.csdl.ac.cn/.

[8] Shibboleth [EB/OL]. [2014-03-07]. https://shibboleth.net/.

[9] Central Authentication Service project.

[10] Java Open Single Sign-On [EB/OL]. [2014-03-07]. http://www.josso.org/.

[11] SourceID [EB/OL]. [2014-03-07]. http://www.sourceid.org/.

[12] EZproxy [EB/OL]. [2014-03-07]. http://www.oclc.org/ezproxy.en.html.

[13] 許雁冬,李宇.國家科學(xué)圖書館單點登錄系統(tǒng)設(shè)計與實現(xiàn)[J].現(xiàn)代圖書情報技術(shù),2009(10):28-33.

[14] 黃婋.基于OpenID的數(shù)字圖書館身份認(rèn)證技術(shù)[J].科技情報開發(fā)與經(jīng)濟(jì),2011,21(20).

[15] 申飛駒.基于SSL-VPN的數(shù)字圖書館資源共享服務(wù)平臺研究[J].圖書館理論與實踐,2010(8).

[16] Shibboleth Development and Support Services (SDSS) [EB/OL]. [2014-03-07]. http://edina.ac.uk/projects/sdss/.

[17] SWITCH [EB/OL]. [2014-03-07]. https://www.switch.ch/aai/about/shibboleth/.

[18] éducation-Recherche [EB/OL]. [2014-03-07]. https://services.renater.fr/federation/en/index.

[19] YOUNG A, et al. Technologies to Support Authentication in Higher Education [EB/OL]. [2014-03-07]. http://www.ukoln.ac.uk/services/elib/papers/other/scoping/.

[20] Digital Signature & PKI Assessment Guidelines [EB/OL].[2014-03-07]. http://www.abanet.org/scitech/ec/isc/dsgtutorial.html.

[21] VPN的原理及SSL VPN方案的優(yōu)勢[EB/OL]. [2014-03-07].http://www.60vpn.com/post/102.html.

Application Research on Single Sign-On in Digital Library

WANG Fang1, JIANG EnBo2, ZHANG XiaoYan3
(1. National Science Library, Chinese Academy of Science, Beijing 100190, China; 2. Chengdu Library, Chinese Academy of Sciences, Chengdu 610041, China;3. The Branch Library of School of Foreign Languages at Peking University, Beijing 100871, China)

This paper deals with the applications for technology of user unified authentication and single sign-on in digital library. Technology and policy problems concerning on system design and application examples on digital library at home and abroad are discussed and analyzed. Finally, the problems in practice and future direction are explored.

Distributed and transferred user; Authentication and authorization; Single sign-on

2014-03-10）

G250

10.3772/j.issn.1673—2286.2014.07.006

王昉，女，1977年生，碩士，中國科學(xué)院文獻(xiàn)情報中心副研究館員，研究方向：開放資源的利用、互操作，E-mail：wangfang@mail.las.ac.cn。

姜恩波，男，1972年生，碩士，中國科學(xué)院成都文獻(xiàn)情報中心副研究館員，研究方向：信息組織。

張曉雁，女，1978年生，北京大學(xué)外國語學(xué)院圖書分館館員，研究方向：圖書館理論與實踐。