一、需求分析

       目前贵单位的服务器除总部信息中心集中部署，另有各分支机构单独部署大量服务器，所有服务器通过光纤与中心交换机连接。需要使用一套管理平台将服务器资源进行整合，实现统一认证安全管理。

       1）所有的用户可以通过TCP/IP 功能进行登录管理。

       2）在登录之前需要经过严格的认证管理，按照不同的管理权限访问其权限内的服务器。而且带有严格的日志审计功能，对于登录人员的操作做全程记录。

       3）部署简单，在原有的网络结构上灵活部署，不需要破坏原有网络结构，在进行安装部署时原网络正常运行。

       4）良好的拓展性，能够兼顾之后由于业务需要新增的IT 硬件设备。

       由于以上几点，本方案充分考虑了贵单位及所有分支机构服务器设备的管理的集中性，管理者使用的安全性，系统的稳定及性，实用性以及之后的可扩张性设计而成。

二、方案系统配置

       AVK-901、P-1001IP、ADS-810、联想A4000R、USB指纹认证终端

三、方案实施

       3.1系统设计原则

       稳定性及安全性

       开放性和标准化

       可扩充性

       实用性，适应用户实际应用环境

       3.2 方案总体设计拓扑图

       3.3 方案说明

       3.3.1 方案概述

       由于贵单位信息中心机房及各分支机构服务器数量众多，各个支点及总部的服务器需要纳入集中认证管理平台，我们计划每台需要纳入统一认证管理的平台的服务器单独配置KV-901T 音影KVM设备及P-1001IP 一口远程电源管理设备，在中心监测室布置2 台AV-901R 音影KVM 接收端，以实现对所有服务器的集中管理。使用2 台KS-S104 设备连接扩展，在中心交换机的节点部署1 台ADS-810设备，将所有的服务器的管理及IP 电源管理进行集中控制，通过ADS-810 建立完善的用户权限管理，认证体系及日志审计。

       3.3.2 方案实现

       1）每台服务器通过VGA 接口都连接一根VGA 转接线连接KV-901T，KV-901T 通过普通5 类线连接到网络交换机端口纳入局域网体系中，另服务器电源直接连P-1001IP 设备，P-1001IP 通过普通5 类线连接网络交换机，这样既能够实现通过访问IP 进行服务器电源管理。

       2）监控室通过网络交换机连接普通5 类线连接AV-901R 接收端，可以实现通过接收端集中管理部署有KV-901T 服务器，每台AV-901R 直接连键盘，鼠标，显示器。部署2 台AV-901R接收端可以实现2 个管理用户并发管理不同的服务器。

       3）中心网络交换机之后任一交换机节点普通5 类线连接ADS-810 设备，之后部署联想A4000R指纹认证服务器进行登录的指纹认证管理，通过ADS-810 设备将IP power 设备及音影KVM设备进行集中统一管理，远程IP 用户只需要在IE 浏览器输入IP 地址就可以连接ADS-810设备，经过指纹认证及帐号密码复合认证系统登录之后，即可通过对得到管理授权的服务器及网络设备进行集中统一管理。为实现管理的安全性与方便性，我们设计单独将所有需要进行集中管理的服务器及对应的远程的电源管理设备进行单独设置，这样可以实现BIOS 级别服务器控制与应用层面的控制进行用户权限的不同设定。并且，ADS-810 自带详细的审计日志功能，对于所有操作人员的操作会做全程记录以备审核。

       3.3.3 方案功能

       控制用户：提供多个远程IP用户基于应用层面的操作管理，2 个远程IP 用于并发基于BIOS 级别的用户操作管理，每个远程IP 用户可以根据不同的使用权限控制不同的服务器。

       可管理性：所有的部署在集中认证管理系统之下的服务器均可单独命名，可以根据用户的不同身份，给予不同的访问权限，细致的用户锁定策略,支持时段锁定和管理员解锁两种方式，还可以对每个访问人员进行数字签名，每笔数据的不可否认性，为事后追踪提供了依据，而且web 界面操作更加简单、直观。

       安全性：通过指纹认证服务器对使用者采取指纹认证及帐号密码复合认证确保使用安全，而且在登录ADS-810 设备之后，所有的数据传输SSL 数据全程加密，所有的操作全程记录以备审核。用户认证：本地用户认证，证书认证，WINDOWS AD，RADIUS，LDAP，USB-KEY，动态令牌，短信认证等多因子多因素强认证功能，支持硬件绑定认证，支持第三方数据库认证（SQL，SYBASE，ORACLE），支持指纹认证，支持邮箱账号认证，支持多种认证混合使用，极大的提高了远程用户可信度和安全性

       连接线缆：本方案全部采用普通五类线连接，而且支持不同品牌的CAT5、CAT5e 和CAT6，支持机房原有线缆的利用，远程IP 用户通过TCP/IP 操作访问没有时间、距离、空间的限制。

       扩展性：可满足将来服务器的扩展性，每台服务器配置KV-901T传送端及P-1001IP，直接通过ADS-810 可以把新增加的服务器整合到原有的系统中，实现新老系统的完美结合，配置简单，配置好后即可投入正常应用。

       跨平台特性：通过本方案，用户可以使用浏览器直接访问公司总部的基于IBM和SUN的小型机器上的UNIX、LIUNIX 的应用。

       细致的访问权限控制：RETON ADS通过独特的角色管理功能，提供了细致到每个URL和不同应用的权限划分。通过给不同用户设置不同角色来分配访问授权，一个用户可以赋予多个角色以适合各种复杂的组织结构。基于角色的访问限制为企业网络提供了较强的安全性。通过行为跟踪引擎，管理员还可以查看远程接入用户的所有访问记录。

四、方案优点

       方案简洁、直观：实现规范化五类线布线，简化工程施工，布线整齐，美观，减少传统布线的复杂与繁琐。

       支持多平台多系统：如HP、IBM、SUN、COMPAQ、DELL、小型机以及串口等硬件，多平台的服务器。

       整套系统内的设备都是即插即用：可随时根据用户的需求增加或删减服务器，而不会影响到整个系统的正常运行。