1 概述

西北油田分公司信息化经过长期建设，在各个业务点上，逐步搭建了适应业务管理的信息化系统，为分公司经营管理提供了强大的信息化辅助管理支撑。 但是，分公司前期建设的信息化系统都是基于传统办公自动化OA，目前逐步形成了多个单独业务系统组成的OA，如公文、合同、招投标、预结算等系统，这些系统之间没有统一的技术和数据标准，数据不能自动传递和共享，流程控制和标准多样化，从而形成了一个个彼此隔离的信息孤岛。

    在此背景上，西北油田分公司搭建了一套整合分公司各种信息资源库的协同工作平台，形成统一、综合、开放的办公应用平台。

本文档为西北油田分公司内部应用系统接入统一的协同工作平台提供指导，提供应用系统接入统一用户管理平台、实现单点登录和统一任务集成的接口说明。

2 单点登录实现

2.1 原理概述

单点登录系统提供统一的认证页面、统一的当前用户加密和解密服务。

用户通过统一认证页面登录系统，当用户需要访问企业内部应用系统时，单点登录加密当前用户身份跳转至指定的应用系统，指定应用系统获取到当前加密身份后，通过调用单点登录服务进行解密，获取到用户真实身份进行认证。

当统一认证页面采用Windows认证模式时，那么同样采用Windows认证模式的应用系统，必须部署在同一应用程序池下，对于其他非Windows认证的系统，将采取上述加密跳转的方式。

2.2 统一认证页面

由单点登录系统提供，使用统一用户管理平台的账号和密码进行验证。用户访问企业内网门户或应用系统时，如果检测到未登录，则跳转至统一认证页面，用户登录后，再跳转至用户访问的页面。

统一认证页面地址：http://10.16.0.168/Portal/Login.aspx

统一认证页面输入输出参数如下

应用系统未认证时，跳转至统一认证页面，输入参数：

统一认证完成后，跳转至应用系统指定URL，输出参数：

2.3 单点认证服务

单点认证服务是提供给企业应用系统进行登录验证的服务，企业应用系统获取到Token后，以自己对应单点登录的SystemCode和Secret值，进行调用单点登录服务，解析得到统一平台的用户登录信息。

服务地址：http://10.16.0.168/SSO.asmx

单点认证服务提供2个WebService服务接口：

ü 获取统一认证平台用户账号接口

ü 更改Secret接口

3 应用系统单点登录接入

3.1 获取系统编码

系统编码是由单点登录服务提供的系统编码和解密秘钥。

以下是各应用系统编码，Secret可调用接口(参考3.4.4章节)自行修改：

3.2 统一登录页面

注：该功能为预留使用，本期项目可以不实现，应用系统只需要做好单点登录，仍然可保留已有的登录界面，让用户即可从统一平台登录界面进行登录系统，也可以从已有的系统登录界面进行登录系统。

统一单点登录页面URL：http://10.16.0.168/Portal/Login.aspx

当用户请求页面，并且未登录时，统一跳转至单点登录服务提供的登录页面地址，

http://10.16.0.168/Portal/Login.aspx?q={URL}&SystemCode={SystemCode}

参数说明

示例：当前应用系统编码是SCJY，用户请求的页面URL为：http://192.0.0.1/Default.aspx，

则跳转至：

3.3 系统间单点登录跳转

系统之家的单点登录实现，都需要通过统一登录页面进行实现，例如A系统访问B系统的 Default.aspx页面，则需要使用：http://10.16.0.168/Portal/Login.aspx?q=http://B/Default.aspx。

3.4 应用系统单点登录实现过程

3.4.1 单点登录过程

本章节描述了应用系统对于单点登录需要做的事情和过程。

应用系统从URL中获取到Token值，通过SystemCode和Secret调用单点登录服务，解析得到用户的统一用户管理平台中的账号，在本系统实现登录验证。

单点登录需要支持的页面：所有在统一平台中需要加上链接的页面和表单界面。

以上页面中，在判断当前系统用户登录认证之前，按照以下步骤进行：

1. 如果URL中有Token值，则进入3，否则进入2

2. 跳转至本系统的登录界面；

3. 调用单点登录服务进行解密，得到用户的真实账号；

4. 使用解密得到的账号自动进行本系统登录认证，完成单点登录；

3.4.2 单点登录界面说明

本期项目以下功能需要实现单点登录：

注：请各应用系统将以上功能的测试环境和正式环境的URL访问地址，提供给信息化管理中心董小诗。

3.4.3 获取Token

从统一认证平台跳转至应用系统时，统一认证平台会将当前的用户加密信息以Get方式进行发送至应用系统。

例如：应用系统URL地址http://192.0.0.1/Default.aspx，统一认证平台返回的URL地址为

http://192.0.0.1/Default.aspx?Token={Token}

参数说明

注：每次登录Token值只一次有效。

3.4.4 获取应用系统用户账号

应用系统获取Token后，调用单点登录服务提供的解密服务，得到真实账号，单点登录服务以WebService方式提供。

 应用系统获取到返回当前应用系统的用户账号后，需要进行本系统的登录操作。

3.4.5 更改Secret信息

为了安全考虑，Secret值可以根据应用系统需要进行请求修改。修改过程调用统一单点登录服务进行完成。

单点登录系统提供接口如下：

3.4.6 提供系统用户表

如果应用系统不是使用AD域账号，并且本系统用户没有与AD用户对应的用户关系映射表，那么需要做2个事情：

1. 对于已有的系统用户，导出系统用户清单提供给统一平台，导出格式为：

2. 对于新增用户（不在系统用户清单的用户），严格使用AD账号，否则不能正常单点登录。

3.5 统一用户管理集成

注：如果应用系统组织和用户不需要从AD做同步，仍然可以采取已有的方式进行维护，可以忽略此章节。

企业应用系统用户管理必须以统一用户管理平台提供数据为基础，系统定时或者管理员手动从统一用户管理平台进行同步。

使用统一用户管理后，应用系统不需要再从本系统进行维护组织和系统账号，所有系统账号创建、删除权在统一用户管理平台，应用系统需要实现从该平台进行组织同步。

统一用户管理平台提供组织、用户的数据接口，企业应用系统可以通过接口进行同步数据。

3.5.1 统一用户管理数据结构

ü 组织数据结构(OrganizationUnit)

ü 用户数据结构

3.5.2 统一用户管理平台接口

ü GetCompany()

方法说明：获取根目录的组织架构信息

ü GetAllOrganizationUnit()

方法说明：获取所有组织数据

ü GetAllUser()

方法说明：获取所有用户数据

4 统一任务集成

4.1 集成说明

统一任务集成平台是西北油田分公司所有应用系统的待办任务综合处理平台，所有应用系统待办都接入统一任务集成平台处理。用户可以直接登录该平台，处理分散在所有系统中的任务。

所以我们需要所有应用系统将用户待办/待阅任务能即时推送至统一任务集成平台，并且和统一任务集成平台实现单点登录，方便用户进行操作。

基于移动扩展考虑，并且展示统一移动模式表单，应用系统还需要提供表单数据接口和表单操作接口，方便统一任务集成平台实现移动扩展。

统一任务集成过程如下图所示：

4.2 统一任务集成接口说明

接口服务地址：http://10.16.0.168/Portal/WorkItemService.asmx

ü 接口名称：AddUnFinishedWorkItem

方法说明：应用系统推送待办任务至统一任务集成平台

参数说明：

ü 接口名称：FinishWorkItem(string SystemCode,string Secret,string ID)

方法说明：应用系统任务完成时，通知统一任务平台

参数说明：

4.3 应用系统需要提供接口说明

在PC端，统一任务集成平台通过单点登录直接打开应用系统表单URL，所有操作均由应用系统完成。

在移动端，统一任务集成平台通过获取应用系统表单数据，统一转换成移动办公模式表单进行展示，用户直接使用转换后的移动办公表单进行任务操作，所以应用系统需要向统一任务集成平台提供表单数据接口和表单操作接口。

4.3.1 移动端表单数据集成接口

应用系统需要构造接口返回数据结构，以WebService形式提供给统一任务集成平台进行调用。也就是说，以统一任务集成平台的提供数据结构，构造SheetData[]数组，返回给统一任务集成平台使用。

接口说明：统一使用名称 LoadSheetData

输入参数

SheetData定义示例：

返回数据示例：

应用系统必须提供2个接口方法给统一任务集成平台调用，方便统一平台在移动端审批时，能实现应用系统的提交、驳回操作，接口提供推荐使用WebServices模式。4.3.2 移动端表单操作接口

接口一：提交任务接口，统一使用名称 SubmitItem

接口需要接收3个参数：

接口二：驳回任务接口，统一使用名称 RejectItem

接口需要接收3个参数：