HID PIV解决方案手册

获取对场所、应用程序和网络的安全访问权限 您的组织受益于一种安全可靠的凭证，即智能卡，可用于视觉识别、保护设施和IT系统的访问权限。其他形态选项也均可提供，包括USB密钥、虚拟智能卡以及适用于移动设备的衍生凭证。 希望确保其场所、应用程序和网络访问权限的组织面临着重大挑战： 密码既不安全，管理起来又成本高昂。 HID PIV解决方案 可信身份全面安全简化用户体验更便捷的部署与管理完整解决方案 物理访问和IT访问通常各自为政。 HID PIV解决方案提供： 用户数字身份往往无法注销。 可信身份 - HID PIV 为您的用户提供了一个在您的组织内受信任的身份，并且可选择自动被您业务往来的其他组织信任。 离组织时登船 组织通常拥有多个具有不同需求的用户群体 政府和受监管行业正感受到安全指令和法规的收紧，同时，安全事件的报告数量也在增加。不幸的是，用于解决这些问题的技术有时需要从多达12家不同的供应商处获取产品。 全面安全 – HID PIV 利用该现有标准的既定优势，并将其扩展到系统、网络和应用程序中，从而为您的组织带来更优越的安全态势。 一套全面的解决方案，满足您的身份与访问需求 简化用户体验——通过将更多功能集成到一张智能卡或一个USB密钥中，用户需要记住或管理以完成工作所需访问的凭证更少，也较不容易绕过您的控制。 该HID PIV（个人身份验证）解决方案通过利用已在全球为超过七百万人部署的同等政府级安全解决方案，来解决所有这些挑战。该庞大的用户基础所构建的生态系统使组织受益，许多应用程序、操作系统和设备都原生支持PIV凭证。 更便捷的部署和管理——HID PIV 的组件设计为无缝协同工作，因此启动运行更快，长期管理也更简便。 客户可实施HID PIV解决方案，以完全符合PIV或PIV互操作（PIV-I）等严格规定。如果无需严格遵守政府规定，HID还提供一种更轻量级的部署模式，该模式仍能提供PIV生态系统所带来的增强安全性和互操作性。 一套完整的系统——HID PIV 企业解决方案涵盖了从建立身份、创建和签发凭证、同步连接系统到凭证吊销的整个 PIV 管理流程。 建立和管理凭证 凭证签发与生命周期管理 建立身份——信任的根基 提供强大的身份验证始于确认将接收安全凭证的人员身份。 什么是 PIV / PIV-I / HSPD-12 / FIPS 201合规？ 一旦申请人获得凭证批准，HID PIV解决方案将安全地签发该凭证并管理其生命周期。该凭证本身可以是符合FIPS 140-2标准的智能卡或内置安全元件的USB密钥。智能卡可以是仅接触式或双接口式（接触式和非接触式），可以使用HIDFargo打印机打印，以包含面部图像、个人信息和/或组织标志。除了签发和管理智能卡和USB密钥外，HID PIV还可以管理虚拟凭证和软件凭证，这些凭证更适合平板电脑和智能手机等移动计算设备。凭证通常包含数字证书和相应的私钥、用户数据，以及可选的用于传统应用程序的一次性密码生成器。 美国联邦政府依据《国土安全总统指令12》（HSPD-12）的规定，要求所有联邦雇员和现场承包商持有标准、安全、可靠的身份证件。这种身份证件是《个人身份验证卡》（PIV卡）。《可互操作的PIV卡》（PIV-I）是该标准的变体，适用于非美国联邦组织，并且仍受到美国联邦政府的信任。FIPS 201是涵盖获取此类卡片的流程以及该卡片互操作性的技术标准，包括认证流程以及列明美国联邦政府批准的产品。派生凭证（Derived Credentials）也将PIV/PIV-I身份扩展到移动设备上，因为在某些情况下使用实体卡片可能并不切实际。 HID PIV解决方案可以通过以下方式简化此流程： 1.与人力资源或承包商管理系统等权威信息源集成，以实现自动化的赞助申请 2.进行身份验证（验证并采集经批准的州或国家身份证件） 3.注册用户的指纹或虹膜数据，以便后续与系统的交互可以通过电子方式验证，而无需申请人提供身份证件。 4.连接到外部背景调查系统，包括美国人事管理办公室联邦调查服务 5.审理申请，确定申请人是否应获得该资格认证 HID PIV的另一个组成部分是ActivID®凭证管理系统，该系统安全地管理凭证的生命周期，包括PIN解锁、证书更新、凭证丢失/被盗/替换以及终止。所有更新都可以以高度安全的方式远程完成，因此无需分支机构、远程或出差员工和合作伙伴亲自到场即可为他们提供服务。 HID PIV解决方案提供可定制的HID PIV IDMS（身份管理系统），该系统符合FIPS 201标准。对于不需要遵守PIV或PIV-I标准的组织，可以配置HID PIV解决方案以跳过上述任何步骤。 物理系统和IT系统访问权限凭证 来自众多主流供应商的系统，以便拥有多个场所的大型组织能够管理用户在整个组织中的身份和访问权限的开通与停用。 物理访问 当凭证以卡片形式存在时，可用于进入该组织场所。 组织通常有两种选择： IT系统访问 需要完全符合PIV或PIV-I指令的：该卡芯片可通过接触式和非接触式接口（也称为双界面）访问，并支持在门口进行PKI认证 同一凭证可用于在许多IT应用中用更强的身份验证方式替换密码，包括Microsoft Windows活动目录、大多数VPN产品、网站、云应用等。 对于那些不需要完全符合PIV或PIV-I标准，但希望利用其现有的物理访问系统（PACS），并且不计划在门口部署PKI认证的组织：这些组织可以使用一种组合卡，该卡使用智能卡接触式芯片进行IT认证，并使用PACS非接触式芯片进行物理访问。 用户只需将卡插入智能读卡器（或USB密钥），输入个人识别码（PIN码）即可登录，以进行多因素身份验证。如果连续输入错误次数过多，系统会自动锁定。这样既能提高安全性，又能提升用户便利性，无需记忆复杂且不断变化的密码。 组织也可以通过要求双因素或多因素认证来提高特定门的安全性，包括：刷卡、刷卡加输入PIN码，或刷卡加输入PIN码加指纹验证。 移动设备也能从虚拟智能卡和派生凭证带来的无缝、增强型安全性中获益。对于未启用PKI的遗留应用程序，通常可以使用由智能卡生成的一次性密码，并通过ActivID设备进行验证，然后利用RADIUS或SAML等协议将其集成到应用程序中。 HID PIV 企业版可以为您的组织 PACS 提供物理身份与访问管理 (PIAM)，以自动配置和解除配置用户访问权限。HID PIV 企业版支持 部署选项 为最大限度地简化采购、部署和维护，客户可以选择采用完整的HID解决方案，或利用现有的第三方组件以最大化现有投资。 HID PIV 有两个版本： HID PIV Express™ 是一种可定制、易于部署且符合 PIV 标准的解决方案，无需在各个独立产品之间进行复杂的集成。 HID PIV解决方案有助于组织提升安全防护能力、遵守相关法规、改善用户体验，并且采购、部署和维护更加便捷。 HID PIV Enterprise™拥有HID PIV Express的所有功能，并增加了物理身份与访问管理（PIAM）功能。这些高级功能允许用户创建中央PIV身份存储库，根据在您的PACS系统中强制执行的策略规则自动管理访问要求。此外，HID PIV Enterprise™还包括增强的流程报告，用于监控和管理您的凭证工作流。 有关HID PIV Express和企业版的更多信息，请访问： hidglobal.com/hidpiv 高级应用场景 用户还可以使用相同的凭证对电子邮件或文档进行数字签名，解密电子邮件或文件，使用全盘加密和启动保护来保护他们的笔记本电脑，使用安全打印来保护打印作业，以及执行许多其他功能。 组织可选择使用IdenTrust®数字证书，以便其用户的凭证能被几乎任何拥有电脑或移动设备的人自动信任。 北美：+1 512 776 9000 • 免费电话：1 800 237 7769欧洲、中东、非洲：+44 1440 714 850亚太：+852 3160 9800 • 拉丁美洲：+52 55 5081 1650 © 2017 HID Global Corporation/ASSA ABLOY AB。所有权利均予保留。HID、HID Global、HID Blue Brick 商标、Chain Design、Genuine HID、iCLASS、PIV Enterprise 和 PIV Express 是 HID Global 或其在美国及其他国家或许可人/供应商的注册商标，未经许可不得使用。所有其他商标、服务标志以及产品或服务名称均为其各自所有者的商标或注册商标。 2017-10-22-iam-hidpiv-solutions-br-enPLT-03132 ASSA ABLOY集团品牌 hidglobal.com