1、中国移动MIS、OA和员工信息门户集成架构及流程接口的详细设计,项目简介,项目名称：中国移动MIS、OA和员工信息门户集成架构及流程接口的详细设计,研究内容主要包括： MIS、OA和员工信息门户系统之间集成策略、流程接口的详细设计及分阶段实施计划。 总部及各省公司两级系统的统一用户管理和身份认证系统的技术实现方案、业务管理模式及分阶段实施计划。 在集团公司进行实施验证，初步形成可向全国推广的基本模板。,项目交付件：,1.中国移动MIS、OA和员工信息门户集成架构及流程接口的详细设计报告 2.中国移动统一用户管理和身份认证详细方案设计报告 3.集团公司MIS、OA和统一信息平台的集成以及统一用户
2、管理的具体实现，初步形成向全国推广的基本模板。,全国推广的基本模板。,目录,总论 中国移动MIS、OA和员工信息门户集成架构及流程接口的设计目标 中国移动MIS、OA和员工信息门户集成架构及流程接口的设计范围 中国移动MIS、OA和员工信息门户集成架构及流程接口的设计方法 集成MIS、OA和员工信息门户的数据交换技术简介 数据交换的层次划分 表现层数据交换 应用层数据交换 数据层数据交换 基于EAI的业务逻辑交换 集成MIS、OA和员工信息门户的架构设计和流程接口 逻辑架构 通讯协议及相关格式 交换中心的数据格式 集成MIS、OA和员工信息门户的架构设计在中国移动知识管理平台一期中的应用,全国
3、推广的基本模板。,目录续,中国移动统一用户管理和身份认证简介 中国移动统一用户管理和身份认证的目的 中国移动统一用户管理和身份认证总述 中国移动统一用户管理和身份认证的总体规划 中国移动统一用户管理和身份认证的模式（Schema）定义 模式设计原则 模式设计要求 关键对象类定义 主要对象类定义 中国移动统一用户管理和身份认证的目录信息树（DIT）定义 中国移动统一用户管理和身份认证的目录管理及目录集成 中国移动统一用户管理和身份认证的用户同步设计 中国移动知识管理平台中统一用户管理的设计,全国推广的基本模板。,中国移动MIS、OA和员工信息门户集成架构及流程接口的设计,全国推广的基本模板。,中
4、国移动MIS、OA和员工信息门户集成架构及流程接口的设计目标,按照中国移动企业信息化三年规划的要求，进行MIS、OA和员工信息门户集成架构及流程接口的详细设计是中国移动信息化建设的重要组成部分。 在总体规划下，进一步细化架构，建立统一的信息共享、信息交换平台，支持各系统间的互联互通、信息共享。 针对中国移动企业信息化系统，包含OA系统、MIS系统和统一信息平台系统，定义系统之间的数据交换标准，并针对重点应用进行实例化分析以验证规范的正确性。其目的是：统一中国移动企业信息化系统数据交换的基本框架规范中国移动企业企业信息化系统数据交换中关键技术的使用规范企业数据交换中使用的格式,全国推广的基本模板
5、。,中国移动MIS、OA和员工信息门户集成架构及流程接口的设计范围,中国移动MIS、OA和员工信息门户集成架构及流程接口的设计包含的主要内容包括：描述一般指导原则描述数据交换的层次及模型描述各层次数据交换需要使用的关键技术分析描述数据交换的基本格式定义中国移动MIS、OA和员工信息门户集成架构及流程接口的设计详细设计。,全国推广的基本模板。,中国移动MIS、OA和员工信息门户集成架构及流程接口的设计方法,制定技术规范报告的工作是在国际最佳实践对统一信息平台数据交换进行划分的基础上，结合在实际项目实施过程中积累的丰富经验，细化得出了一套完整的数据交换技术体系框架。通过对技术层次体系框架每个切入点
6、所涵盖的相关规范标准进行定义、分类和分析描述，结合中国移动自身的实际情况，给出了相应建议来指导中国移动今后的企业员工信息门户设计和实施规划工作。,全国推广的基本模板。,集成MIS、OA和员工信息门户的数据交换技术简介,按照中国移动企业信息化三年规划的要求，数据交换技术必须满足以下一些原则：可靠性：系统需要保证数据在交换过程中的完整性，做到不丢失，不冗余；安全性：保证移动内部的关键和敏感信息在数据交换的过程中不被更改和窃取；一致性：保证用户从各个角度看到的数据是一致的开放性：由于中国移动内部的IT环境十分复杂，OA，MIS及其他统一信息平台的相关系统运行在不同的软硬件平台下，本文档提交的规范需要
7、基于业界开放标准，满足不同平台下数据交换的要求。系统独立性：各系统不允许直接访问其他生产系统的数据层,全国推广的基本模板。,数据交换的层次划分,全国推广的基本模板。,表现层数据交换,全国推广的基本模板。,表现层数据交换,表现集成是最简单的方法之一，其主要用途有以下几种： 帮助用户快速的从员工信息门户导航到需要访问的其他后台系统如OA系统和MIS系统； 跨系统的切换需要花费超过当前预算时采用的折中方案。,本层次的集成由三个基本技术来完成，即WEB启动的应用URL集成、Web Clipping技术和IFrame技术。,Web启动的应用URL集成 是最简单的方法，并且用过简单的URL插入或WEB链接
8、到员工信息门户网页就可实现。在点击web启动应用集成时，这些链接将提呈一个单个的结构或网页来提供接入根本应用。事实上，并没有真正集成应用，而仅仅是增加了一条导航路径，把应用提呈出来。,Web Clipping 是中等复杂度的表现集成方法，其假定在员工信息门户框架内或作为单个应用的一些后台抓取/解析的功能的存在。本质上，应用具有从另一个web内容环境中提取部分或全部web网页或生成新的网页内容的能力，从而更好的遵循门户环境的个人化和/或外观因素。可以在portlet网页关联中随意呈递新的内容或者作为分开的网页关联。,IFrame集成是因为后台应用屏幕导航通常包括大量的习惯性编程，特别是如果没有可
9、以使用的明确的从应用到Web网页的端口工具时，后台应用屏幕导航是最复杂的表现集成方法。此时，企业应用内部的屏幕被修改为具有相似功能和体验的基于WEB的网页。尽管模仿了企业应用功能，但此方法通常不提供同水平的灵活性，余下的门户框架也不符合原配的应用信息量的可升级性期望不同。,全国推广的基本模板。,应用层数据交换,全国推广的基本模板。,应用层数据交换,应用层数据交换是将后台应用逻辑部分或全部的集成入员工信息门户的一种手段，主要特点如下：通过Request/Response模式获得与后台系统之间快速的响应；后台系统只提供相关的API，由门户系统决定和用户交互的形式，从而更容易保持用户体验的一致性；本
10、层的数据交换多基于Request/Response的模式，员工信息门户通过后台系统提供的API发出请求，后台系统对API调用作出反应并返回相关数据。应用层数据交换应该基于当前业界的开放标准，例如Http，Https, WebService，Socket，JMS等，但是不推荐使用后台服务程序的专有API，例如Tuxedo Client，CICS Client等。,全国推广的基本模板。,应用层数据交换,全国推广的基本模板。,数据层数据交换,全国推广的基本模板。,数据层数据交换,数据层数据交换是将其他系统的数据直接整合入门户系统可以访问的数据源，这些数据源可以是数据库，消息中间件，文件系统，LDAP
11、，Http Cookie等。主要特点如下：大批量的数据迁移，使用Request/Response无法达到所需系统性能；其他系统无法提供基于开放标准的API时使用的折中模式；处理某些特殊应用数据交换（例如登录验证字）时采取的手段。,全国推广的基本模板。,基于EAI的业务逻辑交换,全国推广的基本模板。,基于EAI的业务逻辑交换,应用层和数据层的数据交换同样可以使用EAI的架构来实现。业务逻辑集成可能是最复杂的但却是最有价值的集成形式，其是解决分布在几个企业应用环境之间的业务逻辑的形式。在此种情况下，员工信息门户数据申请（回复）会立即影响多个位置的信息或者一系列定义的步骤的信息或流程工作流信息。此等
12、级的集成通常包括企业应用集成（EAI）服务。员工信息门户支持对EAI服务的数据连接器，并依赖其来管理实时数据接入基本应用。事实上，员工信息门户把公布/订阅参数传递给EAI，就像任何其他企业应用所作的那样。其降低了在工作流/业务逻辑服务上进行员工信息门户环境变更所带来的风险。,全国推广的基本模板。,集成MIS、OA和员工信息门户的架构设计和流程接口-逻辑架构,全国推广的基本模板。,集成MIS、OA和员工信息门户的架构设计和流程接口-逻辑架构,全国推广的基本模板。,集成MIS、OA和员工信息门户的架构设计和流程接口-逻辑架构,为了规范未来中国移动内部应用之间数据交换的方式，数据交换中心数据交换的规
13、范需要满足以下特性：支持WebService，JMS，DB，Socket，Http/Https以及文件系统为输入输出的接口（Adapter）；2. 应用之间的调用必须通过数据交换中心进行；3. 支持将本地应用向外省市调用的转发，路由为本地应用-本地数据交换中-外省市数据交换中心-外省市应用；4. 请求发起端，请求接受端与数据交换中心之间使用的协议不需要保持一致；5. 数据交换中心需要支持文本格式和二进制两种数据传输模式；6. 数据交换中心可以比较方便的扩展为支持其他数据通讯协议；,全国推广的基本模板。,集成MIS、OA和员工信息门户的架构设计和流程接口-逻辑架构,全国推广的基本模板。,通讯协议
14、及相关格式,数据交换中心应该支持WebService，JMS, Sockets, Http/Https, DB以及文件系统作为和应用系统通讯的方式，为了支持逻辑结构中所述特性，客户端请求通讯包中至少应该具有以下特征： 1. 包含目标应用系统地址信息，遵循LDAP中应用系统的命名规范； 2. 包含源应用系统地址信息，遵循LDAP中用于系统的命名规范； 3. 包含返回地址，一般和源应用系统地址一致，遵循LDAP中用于系统的命名规范； 4. 命令字编号，数据转换接口用命令字来标识需要访问的最终接口； 5. 本数据包的编号，用来在访问过程中唯一标识本数据包； 6. 有选择性的包含所请求服务的版本号；
15、7. 标明本数据包为请求数据包；服务器端返回通讯包需要具备以下特征： 必须包含返回码； 必须包含返回码说明； 包含请求数据包中的编号； 包含请求端的系统编号； 包含服务器端的系统编号； 包含目前服务端目前所支持的服务的最高版本号；,全国推广的基本模板。,通讯协议及相关格式,通讯协议及相关格式,全国推广的基本模板。,交换中心的数据格式,当使用数据交换中心进行数据交换时，所有文本类型的数据都使用XML的格式进行传递，二进制数据的封装规范则参照基于Socket接口中规定的数据格式。,二进制的数据格式说明如下： 底层的分包以及字段和记录的组织形式请参照基于Socket接口中描述的格式，无论是客户端还是
16、服务器端的第一个数据包都包括至少两条记录，第一个记录为头记录，描述类似XML格式中之间的数据，第二个记录开始才是数据记录，数据记录中的字段就是简单的Name/Value组合。 请求数据包头记录图示如下：,回复数据包头记录图示如下：,全国推广的基本模板。,集成MIS、OA和员工信息门户的架构设计在中国移动知识管理平台一期中的应用,中国移动知识管理平台中的信息交换中心是基于JMS、Web Services、LDAP技术的综合信息交换的业务软件模块，具有统一的信息格式规范、灵活路由策略、可靠的信息交换、信息的安全管理、维护、统一的跨平台的、语言的开发接口，不同类型的集成Adapter等特点，其特点为
17、： 规范性 统一定义机构、应用、队列的命名规范；信息的组织规范、使用规则、展现模板； 可靠性 提供信息的可靠发送与接收、不丢失、不重发； 可扩展性 提供动态的机构、应用系统的接入，应用系统的改变相互无影响；灵活的部署分布、集中； 集成性 提供应用系统的数据层集成。提供Adapter与应用系统无缝集成； 安全性 平台保证数据存储的安全、数据传输的安全、访问安全。 跨平台、语言的统一接口 通过跨不同硬件平台、不同协议、不同的开发软件平台、不同的开发语言的IDK，快速开发部署；,全国推广的基本模板。,集成MIS、OA和员工信息门户的架构设计在中国移动知识管理平台一期中的应用,全国推广的基本模板。,集
18、成MIS、OA和员工信息门户的架构设计在中国移动知识管理平台一期中的应用,集成MIS、OA和员工信息门户的架构设计在中国移动知识管理平台一期中的应用,全国推广的基本模板。,集成MIS、OA和员工信息门户的架构设计在中国移动知识管理平台一期中的应用,信息交换中心作为中国移动知识管理平台中的一个核心组件，完成与外部应用系统的信息交换，保障信息交换的可靠性、安全性；易于集成；同时具有很强的扩展性。信息交换中心由以下几部分组成：交换信息格式规范： 统一命名、编码规范、信息的格式规范。其中信息规则、展现模板，数据格式规范采用XML实现；保存在LDAP中进行统一的资源存储、查询。信息路由： 实现信息的自动
19、转发，发送方无须知道接收方的具体位置（这里指队列名称），只需要知道接收方的单位名称就可以直接通过Router把信息发送到指定的单位。路由器的策略： 确定普通路由，中继路由和默认路由适配器： 适配器实现与应用系统无缝集成，实现自动化的信息交互，对最终用户、业务开发者全部透明；功能包括： 系统间信息的发送、接收、信息交换的自动化；支持同步、异步信息交换方式； 信息交换采用可靠机制，保证信息一次发送成功； 具有信息压缩功能，提高信息传输的效率； 具有交换信息的过虑、校验功能，保证信息的正确性、可靠性； 可以对交换的信息进行路由跟踪； 系统管理； 统计查询； 服务监控、告警。,全国推广的基本模板。,集
20、成MIS、OA和员工信息门户的架构设计在中国移动知识管理平台一期中的应用,集成MIS、OA和员工信息门户的架构设计在中国移动知识管理平台一期中的应用,全国推广的基本模板。,集成MIS、OA和员工信息门户的架构设计在中国移动知识管理平台一期中的应用,全国推广的基本模板。,总论 -中国移动统一用户管理和身份认证的目的,按照中国移动企业信息化三年规划的要求，进行MIS、OA和员工信息门户集成架构及流程接口的详细设计是中国移动信息化建设的重要组成部分。在总体规划下，进一步细化架构，建立统一的信息共享、信息交换平台，支持各系统间的互联互通、信息共享 。MIS系统、OA和员工信息门户集成中一项重要基础工作
21、是统一用户管理和身份认证，对此需要提出总部及各省两级系统的统一用户管理和身份认证系统的技术实现方案、业务管理模式及分阶段实施计划，使从统一信息平台向员工信息门户发展能以规范化方式进行 。在MIS全国统一建设，统一信息平台和OA也将逐步走向统一规范的大趋势下，为了保证全国建设的规范化，还需要在制定标准规范的基础上，通过试点开发实施，产生标准统一的模板，直接作为各省公司开发实施的基础 。 中国移动在信息系统建设的过程中，逐步确立了以集中化、集成化和标准化作为信息化系统建设的指导原则。作为集成化的一个重要方面，统一的目录服务是实现中国移动企业信息化战略目标的重要推动力,全国推广的基本模板。,中国移动
22、统一用户管理和身份认证简介,总论 -中国移动统一用户管理和身份认证总述,中国移动企业信息化系统需要明确的目录服务的规划，并从横向和纵向两个维度定义信息化系统之间的资源的集成和同步要求,中国移动统一用户管理和身份认证的总体规划,中国移动企业信息化系统目录服务虽然分为两级，并且物理上部署在公司总部和省公司，但从逻辑上看，公司总部和省公司的目录服务应能构成一个整体，满足中国移动用户对企业信息化系统访问的需求。,对于统一信息平台目录服务的功能以及统一信息平台之间的资源同步要求，将从组织、人员、级别、岗位、业务五个主要方面进行描述,中国移动统一用户管理和身份认证的总体规划,中国移动企业信息化系统采用两级
23、结构设计，公司总部和省公司都部署有目录服务器。为了有效地对目录中的资源进行分类 。,本地（Local）资源,本地资源服务于目录服务器所在地（公司总部或省公司）的应用系统，专为本地应用系统定义的公共基本信息。,发送的（To-remote）资源,本地用户若要访问中国移动其它地域统一信息平台中的应用，在本地目录服务器中定义需要访问的用户的信息及相关资源信息，通过目录集成技术将资源信息发送到目标统一信息平台的目录服务器之中,接收的（From-remote）资源,对于本地统一信息平台中开放给其它地域的应用，需在本地目录服务器中定义外部的用户。这类外部用户是通过目录集成的方式从中国移动其它地域统一信息平台
24、目录服务器中获取的。,特殊（Special）定义的资源,一些特殊的应用，如Internet VPN接入，需要采用特殊的模式方式来定义其用户，对于这类特殊的用户，在目录服务器中使用专门的节点来组织。,模式设计原则,根据目录管理的标准和建议以及实际项目中的实际经验，Schema设计应该遵循下面一些原则：各地目录服务器中定义的objectclass以mobile+“-”为前缀。在一个objectclass的定义中，必需的属性应该尽可能的少。对于扩展的或自定义的Objectclass的OID，其格式定义规则统一为objectclass-name-oid。例如：公司总部扩展objectlass为mobi
25、le-person，则其OID为mobile-person-oid。用标准的全局唯一属性“uid”被用来唯一标识一个员工类型Entry，即uid与企业具体用户是一一对应关系。分支节点的命名尽可能采用传统的属性（如c, o, ou, dc等）。用静态的固定的属性来标示分支节点下面子节点的命名。,模式设计要求,对于模式的设计，应考虑如下几个方面的内容：应满足本地统一信息平台用户登录的要求应满足其它地区访问本地统一信息平台应用的要求满足应用系统通过访问目录服务以获取足够的资源信息而完成应用系统的功能满足两级统一信息平台目录服务资源同步的要求满足单一统一信息平台内部系统之间用户同步的需求,关键对象类定
26、义,关键对象类用于描述中国移动目录服务系统中必须包含的对象类及每个对象类所必须包含的属性，这些类可以看成是核心对象类基类。基于对目录服务数据访问的分析，定义如下六个objectclass：mobile-organization。 定义企业的组织架构描述，其中mobile为中国移动的代码。mobile-person 定义企业的人员描述，其中mobile为中国移动的代码。mobile-duty 定义企业中包含的职务，其中mobile为中国移动的代码。mobile-position 定义企业中包含的职位，其中mobile为中国移动的代码。mobile-group 定义企业的用户组描述，其中mobil
27、e为中国移动的代码。mobile-Application 定义企业的应用描述，其中mobile为中国移动的代码。,主要对象类定义,组织,主要对象类定义,员工,主要对象类定义,员工,主要对象类定义,职务,主要对象类定义,职位,主要对象类定义,业务,主要对象类定义,组织单元,主要对象类定义,用户组,主要对象类定义,应用,中国移动统一用户管理和身份认证的目录信息树（DIT）定义,中国移动统一用户管理和身份认证的目录信息树（DIT）定义,简要说明描述 上图是以公司总部统一信息平台目录信息树作为示例，对于省公司统一信息平台目录信息树，其原理一致。 dc=hq，dc=cmcc节点为公司总部的资源节点，存放
28、访问本地统一信息平台的用户及其相关属性的信息，dc=remote，dc=cmcc节点保存公司总部访问其它地域统一信息平台的用户及其相关属性的信息，包含有用户、组织、职务、职位、业务和应用等信息，该部分内容也是未来同步到其它地域目录服务器的资源内容。 ou=groups，dc=cmcc为存储包含跨机构用户的用户组。 若未来目录服务器中的用户、组织、职务、职位、业务和应用的所有信息都需要同步到其它地域目录服务器，则可以删除dc=remote，dc=cmcc节点。 dc=bj节点下保存着北京公司访问公司总部统一信息平台应用的用户及其所在的部门。dc=tj、dc=xz等节点下面保存的内容与dc=bj节
29、点下保存的内容一致。 公司总部访问集团应用的人员信息都组织在ou=users，dc=hq，dc=cmcc节点下。 公司总部部门信息都组织在ou=organizations，dc=hq，dc=cmcc节点下。 公司总部职务信息都组织在ou=duties，dc=hq，dc=cmcc节点下。 公司总部职位信息都组织在ou=positions，dc=hq，dc=cmcc节点下。 公司总部业务信息都组织在ou=functions，dc=hq，dc=cmcc节点下。 公司总部群组信息都组织在ou=groups，dc=hq，dc=cmcc节点下。 公司总部应用系统信息都组织在ou=applications，
30、 dc=hq，dc=cmcc节点下。 其它需要扩充的信息继续保存在dc=hq，dc=cmcc节点下。,中国移动统一用户管理和身份认证的目录管理及目录集成,中国移动的目录服务器在横向上要实现和人力资源系统、统一信息平台等应用系统的资源整合，在纵向上要实现两级统一信息平台的资源整合。同时，目录服务器应提供良好的维护界面供目录管理员维护目录信息。对于一般用户，应提供维护界面修改自助的一些信息，如：密码、手机号、地址等。,中国移动统一用户管理和身份认证的目录管理及目录集成,中国移动统一用户管理和身份认证的用户同步设计,中国移动统一用户管理和身份认证的用户同步设计,中国移动统一用户管理和身份认证的用户同
31、步设计涉及到的流程主要是为了规范在MIS中新增员工数据后如何设定相关的用户登录名和密码，登录名一旦设定就不能再更改，只能删除或禁用。1、MIS系统将更改后的数据导入接口表；2、数据交换中心的服务程序将新增用户信息导入到LDAP的某个临时分支，更改和删除的用户信息则更加用户工号直接更改LDAP；3、LDAP维护人员通过特定的界面查看有多少新增用户信息因为缺少用户登录名而存放在临时分支中；4、维护人员手工输入用户登录名和密码，将新增的用户信息加入正式使用的LDAP入口中。,中国移动统一用户管理和身份认证的用户同步设计,一数据管理中的数据交换接口被分为两类，描述如下：,统一数据管理中的数据交换接口被
32、分为两类，描述如下：,中国移动知识管理平台中统一用户管理的设计,中国移动知识管理平台的目录管理是通过Web方式提供集团公司、省公司维护目录的方法，其中包括：组织的节点的增加、删除、修改；组织具有层次；（从MIS同步）人员节点的增加、删除、修改；（从MIS同步）用户组节点的增加、删除、修改；职位节点的增加、删除、修改；（从MIS同步）职务节点的增加、删除、修改；（从MIS同步）应用节点的增加、删除、修改；应用节点可以动态建立消息队列、XML存储的节点； 节点维护的授权，维护省公司访问节点的权限；MIS数据的人员注册管理；LDIf、Excel、XML文件的导入，其中Excel、XML文件要求遵守目
33、录维护中定义的格式规范（详细设计定义）；查询接口。,中国移动知识管理平台中统一用户管理的设计,目录维护的管理页面如图：,中国移动知识管理平台中统一用户管理的设计,目录维护基于SunONE LDAP管理；一次开发，可重复使用；同时作为其他组件，如互访内容、文档管理等组件的公用组织、用户、角色、应用保存、查询的组件。,中国移动知识管理平台中统一用户管理的设计,目录同步是指动态同步MIS系统的人员、组织、职位、职务信息，MIS的组织、人员、职位、职务信息维护时，触发LDAP信息的同步。,中国移动知识管理平台中统一用户管理的设计,目录同步的流程将如图所示：,中国移动知识管理平台中统一用户管理的设计,中
34、国移动知识管理平台的单点登陆提供了与Portal、OA、刊物和统计查询系统的统一认证，无论先登录任何一个应用系统，再访问其他应用系统时，无需登录。单点登陆采用SunONE Identity Server实现。统一认证的接口详见Identity Server Java API。 单点登陆的机制如图所示：,中国移动知识管理平台中统一用户管理的设计,中国移动知识管理平台中所有子系统的认证统一交由Identity Server管理，实现功能为： 截获用户登录请求，Redirect到Identity Server认证； 通过Identity Server认证后，校验Token的有效性，实现相同Token的缓存管理； 满足SunONE Application Server的应用； 其中中国移动知识管理平台的SSO Agent的具体实现如图所示：,中国移动知识管理平台中统一用户管理的设计,中国移动知识管理平台单点登陆的基本流程如图所示：,
