DB44-T 2660-2025 粤基座平台认证中心公众用户认证服务接入规范

ICS01.040.01CCSA0044AccessspecificationforpublicuserscertificationserviceofYueJiZuoplatformIDB44/T2660—2025前言 12规范性引用文件 13术语和定义 14缩略语 15粤基座平台认证中心公众用户认证服务能力要求 26政务信息系统接入要求 37接入流程及对接内容 5 参考文献 DB44/T2660—2025本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。请注意本文件的某些内容可能涉及专利，本文件的发布机构不承担识别专利的责任。本文件由广东省政务服务和数据管理局提出、归口，并组织实施。本文件起草单位：数字广东网络建设有限公司、广东省标准化研究院。本文件主要起草人：刘亚单、李祖金、王波、吴绍灯、冯渺、杨应飚、卢江泽、王威、刘长财。DB44/T2660—20251粤基座平台认证中心公众用户认证服务接入规范本文件规定了粤基座平台认证中心公众用户统一身份认证服务（以下简称“公众用户认证服务”）与政务信息系统对接的能力要求、政务信息系统接入要求、接入流程及对接内容等。本文件适用于广东省政务信息系统与公众用户认证服务的对接。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB17859—1999计算机信息系统安全保护等级划分准则GB/T22239—2019信息安全技术网络安全等级保护基本要求3术语和定义下列术语和定义适用于本文件。3.1登录认证loginauthentication自然人或法人账号登录时，对其进行身份鉴别的过程。3.2登出logout用户主动操作结束所有已建立的业务会话。3.3二次校验secondaryverification一种用于加强用户身份认证的安全措施，在办理一些重要业务时，需要在办理前加强用户的身份核验，如自然人人脸识别认证、法人电子营业执照认证和数字证书认证等。3.4身份认证identityauthentication联机验证某实体所声称的身份的过程，包含实名核验和登录认证。3.5实名核验realnameverification对实体身份信息核实并确认真实性的过程。4缩略语DB44/T2660—20252下列缩略语适用于本文件。API：应用程序接口（ApplicationProgrammingInterface）HTTPS：超文本传输安全协议（HypertextTransferProtocolSecure）OAuth2.0：开放标准的授权协议（OpenAuthorization2.0）uid：用户身份证明（UserIdentification）5粤基座平台认证中心公众用户认证服务能力要求粤基座平台是广东数字政府新型基础设施智能管理平台，可提供认证中心（政务人员/公众用户认证服务）、电子印章服务、云资源服务、小微应用服务等基础设施服务，实现了基础设施能力的线上服务、管理、运营、运维。政务信息系统需要接入公众用户/政务人员统一身份认证服务时，需通过粤基座平台提出申请，并经平台审批授权后方可接入。其中公众用户认证服务构建了全省自然人和法人账号库，具备统一的用户注册、登录认证、身份核验等基础能力，支持对接权威第三方的身份认证服务。政务信息系统可通过OAuth2.0协议对接公众用户认证服务，可依托平台能力实现用户在政务信息系统的统一登录、统一登出、二次核验等功能。公众用户认证服务接入如图1所示。图1公众用户认证服务接入5.2提供的登录方式5.2.1自然人用户可由以下方式登录：a)账号密码；b)数字证书；c)粤省事扫码；d)粤信签人脸识别；e)微警认证；DB44/T2660—202535.2.2法人用户可由以下方式登录：a)账号密码；b)数字证书；5.3二次校验能力政务信息系统可结合自身业务需要，根据用户当前登录认证方式、实名等级、业务场景，在进行重要业务操作时可发起二次校验请求，对当前登录用户身份进行即时性检验，返回结果为成功或失败。二次校验只对当前请求一次性有效，不修改用户当前实名等级，不更改登录信息中的用户实名等级。二次校验可使用以下认证方式中的一种或组合：a)自然人人脸识别认证；b)法人电子营业执照认证；c)数字证书认证。5.4提供的核验方式公众用户认证服务提供多种核验方式，具体如下：a)公安人口库身份核验；b)电子社保卡核验；c)粤信签人脸识别核验；d)粤省事人脸识别核验；e)微警认证核验；g)法人账户核验；h)法人库核验；k)数字证书认证；l)线下窗口现场核验。6政务信息系统接入要求政务信息系统原则上应使用公众用户身份认证服务的入口登录，如确实需要保留自身的登录界面，则登录入口按钮宜命名为“广东省统一身份认证平台登录”。6.2账户实名等级判断要求政务信息系统应对用户账户的账户等级进行判断，涉及敏感信息查看或业务实名办理时，用户账户等级应达到自然人实名等级规定四级及以上（见附录A）。DB44/T2660—202546.3自然人用户隐私保护要求政务信息系统应对自然人二级以上隐私数据（隐私数据分级规定见附录B）进行脱敏，如需查看应进行二次校验。6,4安全访问及传输要求接入或调用公众用户认证服务的政务信息系统应使用HTTPS协议。6.5统一登录用户在政务信息系统登录时，应使用公众用户认证服务进行统一登录，通过登录认证后方可登入政务信息系统，政务信息系统可为该用户创建本地登录会话。6.6统一登出用户在政务信息系统请求统一登出时，应由政务信息系统注销该用户的本地登录会话，并调用公众用户认证服务登出能力，完成用户登出。6.7安全要求6.7.1信息安全等级保护要求政务信息系统应具备完善的信息安全防护措施，接入申请时应提供具备信息安全风险评估服务资质的安全评测机构出具的符合性测评报告或者符合GB/T22239信息安全等级保护三级要求及以上。政务信息系统应按规定时间间隔实施年审并持续提供具备信息安全风险评估服务资质的安全评测机构出具的符合性测评报告或保持三级要求及以上等保资质。6.7.2用户信息安全政务信息系统接入方（以下简称接入方）应承担获取用户账户信息后的信息安全责任，具体要求如a)接入方对于留存在本地用户中心的个人信息，应按相关规定做好安全防护，避免个人隐私泄露；b)政务信息系统应使用公众用户认证服务给其分配的对接参数获取登录用户信息，严禁泄露对接参数。6.7.3异常情况报备政务信息系统运行、测试等过程中可预见对公众用户认证服务的正常运行产生影响时，应提前向身份认证服务管理方（以下简称管理方）报备。6.7.4其他安全要求政务信息系统应按照公众用户认证服务的本文件规定的要求实施对接，不应出现下列情况：a)未经报备，对公众用户认证服务进行漏洞扫描、渗透扫描等系统扫描行为；b)在政务信息系统运行过程中非法私自截取、留存、泄漏用户账号相关数据信息；c)泄露或暴露接入密钥给到其它政务信息系统或第三方系统；d)利用系统差错、故障及其他原因导致的漏洞，损害公众用户认证服务及任何第三方的合法权益；e)危害公众用户认证服务的安全性、稳定性，或以其他任何方式妨碍公众用户认证服务的正常运DB44/T2660—202556.8巡检要求管理方定期对接入认证服务的政务信息系统进行抽查巡检，接入方应予以配合，检查项目参照附录C所示。7接入流程及对接内容7.1接入过程相关方接入过程涉及的相关方包括：管理方、接入方、身份认证服务运营方（以下简称运营方）以及用户。7.2认证信息公众用户认证服务为政务信息系统提供用户账户认证及登录的服务，用户登录成功后将返回登录账户的认证信息，主要包含信息字段如表1、表2所示。政务信息系统从公众用户认证服务获取到认证信息后的使用、管理、共享等，由政务信息系统所属接入方负责。表1自然人用户信息表1uid2345678usertype9useridcodeDB44/T2660—20256表2法人用户信息表1uid23456789useridcode7.3接入流程接入工作流程包括接入准备、接入申请、申请审批、分配授权的接入参数、系统改造、系统对接等过程，具体要求如下：a)接入准备：接入方应提前了解公众用户认证服务相关接入要求，明确申请流程和申请材料，约定接入各方的工作职责后提出接入申请；b)接入申请：接入方提出接入申请并提供相关信息，接入方应确保所提供信息准确无误；c)申请审批：管理方对接入申请进行审核，确认信息无误后予以批准，并通知运营方配合接入方实施接入；d)分配授权的接入参数：审批完成后，运营方应授权政务信息系统接入，分配接入参数，政务信息系统使用这些信息对接公众用户认证服务；e)系统改造：接入方应遵从公众用户认证服务相关操作指引及国家有关信息安全的要求完成政务信息系统改造；f)系统对接：接入方获取接入参数后，由接入方指定技术人员进行对接联调、测试，运营方提供技术支持。7,4系统对接内容7.4.1用户登录过程公众用户认证服务用户登录过程如图2所示。DB44/T2660—20257图2公众用户认证服务用户登录过程登录过程说明如下：a)用户登录政务信息系统时，政务信息系统将请求跳转到公众用户认证服务的登录页面，同时带上回调地址；b)用户登录成功后，公众用户认证服务将登录授权码重定向到政务信息系统回调地址；c)政务信息系统获取登录授权码后，其后端调用公众用户认证服务的获取访问令牌接口；d)公众用户认证服务返回访问令牌到政务信息系统；e)政务信息系统使用上一步获取的访问令牌发起请求到公众用户认证服务的获取用户信息接口，获取用户信息；f)政务信息系统对用户信息进行处理，提示用户登录成功。7.4.2用户信息修改用户如需修改用户信息，政务信息系统应按照粤基座平台认证中心的相关操作指引，跳转到公众用户认证服务的用户中心进行用户信息的修改。修改完成后，需重新登录，方可获取更新后的用户信息。7.4.3账户关联关系统一身份认证服务帐户、帐户登录名、法人、自然人、经办人帐号、父子账号的关系如图3所示，系统间关联字段宜使用uid。DB44/T2660—20258图3账户关联关系7.4.4登出流程用户在政务信息系统使用公众用户认证服务账号登录后，在政务信息系统点击退出，政务信息系统需要调用公众用户认证服务的账号登出接口。DB44/T2660—20259自然人实名等级A.1自然人实名等级分类见表A.1。表A.1自然人实名等级2、社保核验（公民身份证号码、姓名、社在四级基础上，使用身份证专用识别设备或具有射频功能的手机配合DB44/T2660—2025自然人身份信息隐私数据定级B.1隐私数据定级要求见表B.1。表B.1隐私数据定级表可用于标识自然人实体的身份信息，且较公B.2自然人身份信息隐私判定要求见表B.2。表B.2自然人身份信息隐私判定表DB44/T2660—2025巡检记录表C.1巡检记录表见表C.1。表C.1巡检记录表123456789DB44/T2660—2025表C.1巡检记录表（续）DB44/T2660—2025参考文献[1]C0110—2018国家政务服务平台统一身份认证系统接入要求[2]C0111—2018国家政务服务平台统一身份认证系统身份认证技术要求[3]C0112—2018国家政务服务平台统一身份认证系统信任传递要求[4]C0113—2018国家政务服务平台统一信任服务平台接口要求[5]C0114—2018国家政务服务平台可信身份等级定级要求[6]C0131—2018国家政务服务平台统一身份认证隐私保护要求[7]GDZW0011—2019广东省统一身份认证平台接入规