产品概述
金达 SafePMI授权系统，是金达公司开发的通用权限管理和访问控制平台。它可以为应用系统建立一个高安全强度，更易维护管理，扩展能力极强的访问控制环境和实施开发平台。作为强大的访问控制总体解决方案，它提供总体安全方面完整的策略约束，为应用提供一致和标准的权限服务，强有力地支持与应用的集成，使用户建立的访问控制体系能支持大量的用户和访问控制应用，并能够有效的控制管理的复杂性，提供标准化和可以随应用不断延伸的授权平台。SafePMI主要应用在权限管理，访问控制领域。为进行资源管理的二次开发人员提供了一个方便，安全，高效的决策平台。
产品功能
SafePMI系统如下图所示，由三部分组件构成：授权管理器、授权服务器、访问控制器。
其功能如下
1） 授权管理器
授权管理器实现了 PMI的属性证书签发功能。它具有维护应用系统的用户和资源信息；制定授权策略；分配用户权限的功能。授权管理器使用JAVA语言开发，具有跨平台的优势。
Ø 用户管理：用户管理定义了用户的范围 ,说明应用中支持哪些用户。授权管理器为管理员提供了方便的用户管理方式；按照地理、组织结构以及用户类型进行分类管理。提供用户的添加，修改，删除功能；对用户的各种操作提供审计接口。
Ø 资源管理：资源管理定义受保护的资源的范围，它说明策略要保护的是哪些目标。授权管理器为管理员提供了方便的资源管理方式。提供资源的添加、删除和修改功能；对资源的管理采用集中方式，并按照资源的组织形式对资源进行管理；对资源的各种操作提供审计接口。
Ø 策略定制：策略包含着应用系统中的所有用户和资源信息以及用户和信息的组织管理方式；用户和资源之间的权限关系；保证安全的管理授权约束；保证系统安全的其他约束。授权管理器为管理员提供了方便的策略定制方式。提供策略的添加，删除和修改功能；生成包含策略的属性证书并将其保存到 LDAP目录服务中。
Ø 角色分配管理：角色分配管理负责为用户分配权限，和维护权限信息。授权管理器为管理员提供了方便的角色分配管理方式。提供用户角色的添加，删除和修改功能；生成包含角色的属性证书并将其保存到 LDAP目录服务中。
2） 授权服务器
授权服务器实现了 PMI的访问控制决策（ADF）功能。它接受访问控制器发来的决策请求，根据制定的策略进行决策，并把决策结果返回给访问控制器。授权服务器是作为硬件“黑匣子”提供给用户的。管理员对它的配置和管理都是通过web方式进行的。
Ø 授权决策：授权服务器以 web service接口，向应用系统提供访问控制决策功能（ADF）。这使的对访问控制器的实现最大限度地独立于具体应用平台和使用的编程语言。另外，由于web service使用HTTP协议，这使得应用实现的访问控制器甚至可以穿过防火墙向授权服务器发出决策请求。
Ø 系统管理：系统管理是指通过 web方式对授权服务器本身的管理。具体功能有
3） 访问控制器
访问控制器实现了 PMI的访问控制执行功能（AEF）。访问者提出对目标的访问请求，被访问控制器截获，访问控制器将请求信息和目标信息以决策请求的方式提交给授权服务器，授权服务器根据相关信息返回决策结果（结果是允许或拒绝），访问控制器根据决策结果决定是否执行访问。一般使用3种方式实现访问控制器：
Ø 基于应用的方式（ Application Based）：在应用程序中使用进行访问控制的代码，在应用程序内部对访问请求进行直接的控制和处理。
Ø 服务器插件方式（ Plug-In Based）：针对应用服务器（如Web）建立服务器的安全插件，在服务器上对请求进行处理，可以与具体的应用服务器紧密集成，插件可以在相同的应用服务平台上重复使用。
Ø 代理方式（ Proxy Based）：在用户和应用服务器之间建立访问控制代理服务器，对访问请求进行处理后，允许的访问被转发到应用服务器。
产品特点
1）基于 PKI标准
金达 SafePMI是一种遵循标准的权限管理平台，它是为各种应用提供安全权限管理服务的一种属性证书管理体系。同时，SafePMI使应用能够方便地和一致地使用权限服务。
2）清晰的管理模式
统一的在总体策略约束下的权限管理能力和访问控制的约束能力，角色发放者和资源保护者更加清晰、专业的业务流程，更加明确的职责范围和更强的越权防范及定位能力。
3）安全性
与身份认证强度一致的授权和访问控制解决能力；总体策略保障下访问控制体系的整体安全性；有效防止授权中内、外部的越权和攻击；支持多种硬件加密设备及加密算法；支持基于数字证书的身份验证机制；完善的审计手段。
4）易用性
快速的应用部署能力；可以方便与应用系统集成的访问控制支持系统；直观易用的图形用户界面。各模块界面及操作方法统一，便于学习和使用。
5）灵活性
灵活的证书种类，支持自定义的属性类型；灵活的引入新的权限类型，角色，动作；不改变应用系统结构条件下，仅通过改变策略支持同类应用；采用分布式、可配置的模块化设计，确保系统的灵活性和适用性。它能使用户已建立的访问控制体系不断满足演化的应用权限需求，如支持新应用、支持新的权限、增加用户数量、增加用户类型、增加策略数量等。
6）可扩展性
作为访问控制体系的基础设施，系统可以随着应用的发展而发展，同时，能够满足不断呈现的各类需求，实现与各类应用系统的整合和扩展。采用模块化设计，可替换、可重组的系统构架，支持与其它应用系统互操作。
7）标准性
系统遵循当前的属性证书相关标准： [x509-2001]、[rfc3281]。
8）互操作性
在设计和开发过程中完全遵循国际开放标准，所选择的加密模块也符合开放标准。因此它能够很方便地与第三方产品进行集成、与其它系统互操作。
成功案例
1）山东省人口和计划生育委员会
2）天津人口和计划生育委员会
3）新疆乒团人口和计划生育委员会
4）济南市安全生产监督管理局
5）东营市安全生产监督管理局
