2、认证过程设计

权限管理是建立在可信的身份认证的基础上，一般连接到SSO、应用系统、权限系统：

应用系统：用户通过一个应用系统登录，应用系统会分别与SSO和权限系统交互，获取用户信息和数据权限信息，并将有权限的数据内容返回给用户。

SSO：单点登录系统的加密存储用户信息数据库，主要存储用户的账号密码等用户信息。

权限系统：用于查看申请数据内容的用户是否有请求该数据内容的权限，会给应用系统返回鉴定结果。

在实践中，可以通过合理设置SSO实现“0信任”的方式，来解决例如第三方BD需登录商家后台去帮助商家处理问题存在的潜在安全问题。

3、权限管理设计

权限管控模型先后经历了三个时期：ACL模型、RBAC模型、ABAC模型：

ACL模型：即AccessControlList，直接维护列表中用户与资源的关系从而达到权限管控的目的。缺点是随着业务体量的增加，职级岗位复杂度提高，数据量增加，该模型的效率低下。

RBAC模型：即Role-BasedAccessControl，基于角色的访问控制，将用户添加到角色列表从而间接获得对应的权限。将角色和权限建立权限关系，用户和权限形成间接的关系，在ACL模型的基础上，提高了效率。

ABAC模型：即Attribute-BasedAccessControl，基于属性的授权，通过事先定义好的规则属性来控制用户的权限范围。与RBAC模型相比，其定义空间更大，可以抽象出更具体和差异化的控制条件，建立属性与权限的权限关系。

四、数据安全的实践

新疆数字证书认证中心（以下简称新疆CA）多年来从事第三方电子认证业务和网络信息安全建设工作，具有丰富的数据安全建设、维护经验，具备完善的数据安全分析、数据安全治理、数据安全建设所需的技术、资质和团队。在多年的工作中通过自主研发建设完成了以下平台和系统服务于数据安全建设和治理。

1、数字证书综合管理系统

通过将传统的数字证书注册、发放、密钥管理、证书发布等系统充分整合，打造符合移动互联网时代的数字证书业务平台。将传统介质证书、移动端数字证书、电子签章、授权管理等业务系统进行整合，形成线上、线下、窗口、自助相结合的数字证书业务办理模式，根据业务类型、应用领域、信息系统安全要求采用合规、便捷的途径开展电子认证业务，保证数字证书在身份认证、数据加密、签名验证等工作中的快速应用。