项目背景
随着中国移动的业务网发展，其内部用户数量持续增加，网络规模迅速扩大，安全问题不断出现。而每个业务网系统分别维护一套用户信息数据，管理本系统内的账号和口令，孤立的以日志形式审计操作者在系统内的操作行为。现有的这种账号口令管理、访问控制及审计措施已远远不能满足自身业务发展需求。
基于TongWeb构建的B/S架构的4A统一安全管理平台解决方案能够解决运营商当前在账号口令管理、访问控制及审计措施方面所面临的主要问题，将不同应用、业务过程、后端系统、服务和信息、知识等内容集成到一个软件系统平台内。
连接多种应用系统为不同角色的用户提供快捷服务的门户系统，其核心的基础就是用户身份的管控，包括用户身份管理、角色和权限管理、网络行为管控、统一用户信息管理这几个部分，即通常所说的4A：统一用户帐号(Account)管理、统一认证(Authentication)管理、统一授权(Authorization)管理和统一安全审计(Audit)四要素。
项目部署及解决方案
J2EE应用服务器TongWeb部署在4A认证系统的应用服务器上集群。当应用服务器集群正常运行时，所有主机上的的TongWeb都可以分担请求，实现处理压力的负载均衡；当某一应用服务器出现故障，其他服务器上的TongWeb将接替其工作以保证业务的延续，提高了系统的可用性，这一系列工作对前台的用户是透明的，没有任何的影响。
针对安全管理TongWeb支持JAAS方式的认证和授权，TongWeb应用服务器提供灵活的、可扩展的安全框架，支持可插拔的使用第三方的认证模块（Login Module），随产品附带的Login Module有：
◆文件方式
◆LDAP服务器方式
◆证书方式
TongWeb支持JACC架构，提供完整的授权解决方案。TongWeb应用服务器默认提供一个符合JACC 规范的，基于policy文件的授权引擎，还可以配置使用第三方的JACC提供者来执行授权。
4A认证系统接口主要应用于服务端提供功能调用、数据响应等服务。接口的实现主要采用TongWeb的WEB SERVICE功能。TongWeb应用服务器支持对服务实现而言至关重要的关键高性能WEB SERVICE标准。支持MTOM和XOP，使SOAP消息中的XML内容能进行***化的二进制编码，减少对网络带宽的占用。
TongWeb除基于传输层的安全（如SSL）来保证端到端的安全外，TongWeb应用服务器还通过支持WS-Security来提供可互操作的消息内容的完整性、机密性保护，保证消息在传输过程中的安全。
使用TongWeb应用服务器可以轻松创建、部署和测试Web服务。开发人员可以采用JSR-181 Web服务注释开发Web服务,然后用命令行工具将Web服务发布。使用这种方式，开发人员可以很轻松的开发Web服务，并迅速的交付，与传统的开发模式相比，这种方法降低了开发的复杂度，生产效率高。
通过TongWeb的管理控制台，可以快速的部署Web服务，并且在部署完成后的页面上还提供了测试功能，不需要开发人员单独写调用Web服务的程序，就可以方便的测试Web服务的功能，进一步的提高了Web服务的开发效率。
项目意义
在大型的4A认证系统中采用中间件技术产品来构建业务应用系统十分重要。因为中间件产品为应用的开发、运行和管理维护提供了良好的体系结构、应用系统框架。在这一体系结构中不但解决了大型分布式应用所带来的异构应用环境问题，更提供了必要的扩展性、可靠性、可用性、伸缩性、分布式事务管理、资源调度控制等等系统级服务支撑。这些要求是分布式应用系统需要面对的，但与应用业务有没有直接的关系（但缺之不可）。
应用系统框架的概念也符合软件系统的层次化、整体化要求。在中间件之上用户得以专注于业务逻辑开发，而应用系统框架负责整合应用系统，负责在不同的技术之上共享资源、管理计算资源和网络通讯，为应用确保数据传输的正确性、可靠性、安全性和传输效率。在这个架构之上来构建应用，开发简单方便、保障应用系统运行效率和伸缩性、健壮性、安全、管理维护方便，不但可以满足当前的应用需求还可以满足未来业务的发展。
中国移动项目经理表示，以TongWeb为基础的4A认证系统，提供包括帐号管理、统一认证、命令授权和集中审计服务的集中安全管理平台。在该系统支撑下，将用户帐号、命令授权管理将纳入统一、可控的框架内；并提供安全认证入口，实现IT基础资源的单点登录；同时，该方案提供灵活多样的审计功能。把企业里各分散的信息系统资源有效的组织起来，以清晰灵活的管理流程来实现集中安全管理。相信，随着企业门户对安全管控需求的不断细化，随着技术的发展，以TongWeb为基础4A认证系统对企业门户安全的贡献将越来越突出。
