DB44-T 2563-2024 粤基座平台认证中心政务人员认证服务接入规范

ICSCCS01.040.01A0044AccessSpecificationforGovernmentPersonnelCertPlatformCertificatioIDB44/T2563—2024前言 12规范性引用文件 13术语和定义 14缩略语 15粤基座平台认证中心政务人员认证服务能力要求 26政务信息系统接入要求 27接入流程及对接内容 3附录A 参考文献 7DB44/T2563—2024本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。请注意本文件的某些内容可能涉及专利，本文件的发布机构不承担识别专利的责任。本文件由广东省政务服务和数据管理局提出、归口，并组织实施。本文件起草单位：数字广东网络建设有限公司、广东省标准化研究院。本文件主要起草人：谭峻峰、王波、吴绍灯、李祖金、郭上贵、卢江泽、邓光金。本文件为首次发布。DB44/T2563—20241粤基座平台认证中心政务人员认证服务接入规范本文件规定了粤基座平台认证中心政务人员统一身份认证服务（以下简称“政务人员认证服务”）与政务信息系统对接的能力要求，政务信息系统接入要求，接入流程及对接内容等。本文件适用于广东省政务信息系统与政务人员认证服务的对接。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB17859—1999计算机信息系统安全保护等级划分准则GB/T22239—2019信息安全技术网络安全等级保护基本要求3术语和定义下列术语和定义适用于本文件。3.1登录认证loginauthentication自然人或法人账号登录时，对其进行身份鉴别的过程。3.2登出logout用户主动操作结束所有已建立的业务会话。3.3身份认证identityauthentication联机验证某实体所声称的身份的过程，包含实名核验和登录认证。3.4实名核验realnameverification对实体身份信息核实并确认真实性的过程。4缩略语下列缩略语适用于本文件。API：应用程序接口（ApplicationProgrammingInterface）ID：标识号码（IdentityDocument）OAuth2.0：开放标准的授权协议（OpenAuthorization2.0）DB44/T2563—20242HTTPS：超文本传输安全协议（HypertextTransferProtocolSecure）5粤基座平台认证中心政务人员认证服务能力要求粤基座平台是广东数字政府新型基础设施智能管理平台，可提供认证中心（政务人员/公众用户认证服务）、电子印章服务、云资源服务、小微应用服务等基础设施服务，实现了基础设施能力的线上服务、管理、运营、运维。政务信息系统需要接入政务人员/公众用户统一身份认证服务时，需通过粤基座平台提出申请，并经平台审批授权后方可接入。其中政务人员认证服务构建了全省政务人员账号信息库，提供政务人员账号管理、登录、登出等政务人员身份认证服务，支持账号密码登录、扫码登录、数字证书登录等登录方式。政务信息系统可通过OAuth2.0协议对接政务人员认证服务，可依托平台的服务实现账号登录和登出。政务人员认证服务接入如图1所示。图1政务人员认证服务接入6政务信息系统接入要求6.1安全访问及传输要求接入或调用政务人员认证服务的政务信息系统应使用HTTPS协议。6.2统一登录用户在政务信息系统登录时，应使用政务人员认证服务进行统一登录，通过登录认证后方可登入政务信息系统，政务信息系统可为该用户创建本地登录会话。6.3统一登出用户在政务信息系统请求统一登出时，应由政务信息系统注销该用户的本地登录会话，并调用政务人员认证服务登出能力，完成用户登出。6,4安全要求6.4.1信息安全等级保护要求DB44/T2563—20243政务信息系统应具备完善的信息安全防护措施,接入申请时应提供具备信息安全风险评估服务资质的安全评测机构出具的符合性测评报告或者符合GB/T22239信息安全等级保护三级要求及以上。政务信息系统应按规定时间间隔实施年审并持续提供具备信息安全风险评估服务资质的安全评测机构出具的符合性测评报告或保持三级要求及以上等保资质。6.4.2用户信息安全政务信息系统接入方（以下简称接入方）应承担获取用户账户信息后的信息安全责任，具体要求如a)接入方对于留存在本地用户中心的个人信息，应按相关规定做好安全防护，避免个人隐私泄露；b)政务信息系统应使用政务人员认证服务给其分配的对接参数获取登录用户信息，严禁泄露对接参数。6.4.3异常情况报备政务信息系统运行、测试等过程中可预见对政务人员认证服务的正常运行产生影响时，应提前向政务信息系统管理方（以下简称管理方）报备。6.4.4其他安全要求政务信息系统应按照政务人员认证服务的相关要求进行实施对接，不应出现下列情况：a)未经报备，对政务人员认证服务进行漏洞扫描、渗透扫描等系统扫描行为；b)在政务信息系统运行过程中非法私自截取、留存、泄漏用户账号相关数据信息；c)泄露或暴露平台的接入密钥给到其它政务信息系统或第三方系统；d)利用系统差错、故障及其他原因导致的漏洞，损害政务人员认证服务及任何第三方的合法权益；e)危害政务人员认证服务的安全性、稳定性，或以其他任何方式妨碍政务人员认证服务的正常运6.5巡检要求管理方定期对接入政务人员认证服务的政务信息系统进行抽查巡检，接入方应予以配合，检查项目参照附录A所示。7接入流程及对接内容7.1接入过程相关方接入过程涉及的相关方包括：管理方、接入方、身份认证服务运营方（以下简称运营方）以及用户。7.2认证信息7.2.1用户登录成功后，政务人员认证服务可给政务信息系统返回的认证信息如下：a)用户姓名；b)证件类型；c)证件号码；d)账号唯一标识；e)手机号码；f)用户头像；DB44/T2563—20244h)社保工作单位信息；i)工作单位及任职信息（含历史信息）；j)挂职单位及任职信息（含历史信息）；k)借调单位及任职信息（含历史信息）；l)驻场单位及任职信息（含历史信息）。7.2.2政务人员认证服务不提供批量获取用户认证信息的相关接口，政务信息系统可建立本地用户中心，可保存政务人员认证服务认证后的登录用户信息，并对用户在本系统的使用进行权限管控。7.2.3政务信息系统从政务人员认证服务获取到认证信息后的使用、管理、共享等，由政务信息系统所属接入方负责。7.3接入流程接入工作流程包括接入准备、接入申请、申请审批、分配授权的接入参数、系统改造、系统对接等过程，具体要求如下：a)接入准备：接入方应提前了解政务人员认证服务相关接入要求，明确申请流程和申请材料，约定接入各方的工作职责后方提出接入申请；b)接入申请：接入方按相关接入要求提出接入申请并提供相关信息，接入方应确保所提供信息准确无误；c)申请审批：管理方对接入申请进行审核，确认信息无误后予以批准并通知运营方配合接入方实施接入；d)分配授权的接入参数：审批完成后，运营方应授权政务信息系统接入，分配接入参数，政务信息系统使用这些信息对接政务人员认证服务相关服务；e)系统改造：接入方应遵从政务人员认证服务相关操作指引及国家有关信息安全的要求完成政务信息系统改造；f)系统对接：接入方获取参数接入授权后，由接入方指定技术人员进行对接联调、测试，运营方提供技术支持。7,4系统对接内容7.4.1登录过程政务人员认证服务用户登录流程如图2所示。DB44/T2563—20245图2政务人员认证服务用户登录过程登录过程说明如下：a)用户登录政务信息系统时，政务信息系统将请求跳转到政务人员认证服务的登录页面，同时带上回调地址；b)用户登录成功后，政务人员认证服务将登录授权码重定向到政务信息系统回调地址；c)政务信息系统获取登录授权码后，其后端调用政务人员认证服务的获取访问令牌接口；d)政务人员认证服务返回访问令牌到政务信息系统；e)政务信息系统使用上一步获取的访问令牌发起请求到政务人员认证服务的获取用户信息接口，获取用户信息；f)政务信息系统对用户信息进行处理，提示用户登录成功。7.4.2用户信息修改用户如需修改用户信息，政务信息系统应按照粤基座平台认证中心的相关操作指引，跳转到政务人员认证服务的用户中心进行用户信息的修改。修改完成后，需重新登录，方可获取更新后用户信息。7.4.3登出流程用户在政务信息系统使用政务人员认证服务账号登录后，在政务信息系统点击退出，政务信息系统需要调用政务人员认证服务的账号登出接口。DB44/T2563—20246巡检记录表A.1巡检记录见表A.1。表A.1巡检记录表123456789DB44/T2563—20247参考文献[1]C0110—2018国家政务服务平台统一身份认证系统接入要求[2]C0111—2018国家政务服务平台统一身份认证系统身份认证技术要求[3]C0112—2018国家政务服务平台统一身份认证系统信任传递要求[4]C0113—2018国家政务服务平台统一信任服务平台接口要求[5]C0114—2018国家政务服务平台可信身份等级定级要求[6]GDZW0011—2019广东省统一身份认证平台接入规范（公众侧）[7]GDZW0010—2019广东省统一身份认证平台接入规范（政务侧）[8]中华人民共和国主席令（2010年第二十八号）中华人民共和国保守国家秘密法[9]中华人民共和国主席令（2017年第五十三号）中华人民共和国网络安全法[10]中华人民共和国主席令（2021年第八十四号）中华人民共和国数据安全法[11]中华人民共和国主席令（2021年第九十一号）中华人民共和国个人信息保护法[12]国务院令第716号国务院关于在线政务服务的若干规定[13]国标委工二联〔2017〕98号国家标准委、发展改革委、中央网信办关于印发的《政务信息系统定义和范围》国家标准草案[14]国办发〔2020〕35号国务院办公厅关于加快推进政务服务“跨省通办”的指导意见[15]国办发〔2018〕45号国务院办公厅关于