① 项目背景
东河区政务服务大厅，一个窗口要登七个系统：一窗受理、不动产、社保、市场监管、税务、好差评、电子证照，每个系统一套账号，密码贴显示器边框上。上个月暗访通报弱口令，中心主任脸都挂不住。更麻烦的是一窗受理调不动产接口，跨专网，每天上午十点必掉一次登录，群众排着队等。
② 咨询设计
方案是CAS 6.6做统一身份认证，后端挂OpenLDAP目录，七个系统能改协议的接CAS或OAuth2，改不了的老系统用应用虚拟化做密码代填，凭据存加密库。跨专网的部分不走NAT硬穿，在前置区放两台反向代理，只放行一窗受理到不动产接口的443，其余全拒。双因子用政务微信扫码，窗口人员工牌上的二维码扫一下就行，不增加操作负担。时间同步必须做，CAS票据校验对时间敏感，偏差超过一分钟就登不上，全部指到北斗NTP服务器。
③ 施工规划
CAS做两节点集群，会话存Redis，一台挂了另一台接管，窗口无感。证书不用自签，走政务CA签发，浏览器不报红。老系统的IE依赖用Edge的IE模式加载，统一发快捷方式。大厅三十台窗口机逐台改Hosts指向CAS域名，避免DNS没生效时登不上。密码代填库上线前做了一轮弱口令扫描，一百多个账号里揪出十九个符合「姓名拼音加123」的，全部强制改。
④ 安全补丁
代填库用国密SM4加密，密钥放硬件密码卡里，不落配置文件。运维全部走堡垒机，操作录屏保存六个月。登录日志、授权日志、管理员操作日志三份分开存，等保要看。窗口账号禁止共享，一人一账号，离岗自动锁屏三分钟。大厅的Wi-Fi和业务网物理隔离，群众连的那个SSID连不到任何业务系统。
⑤ 验收交付
七个系统全部打通，窗口人员从登录到能办件，时间从平均四十秒降到三秒。两百并发压测，认证响应小于1.5秒，CPU占用不到四成。模拟一套业务系统宕机，CAS正常降级，其他系统不受影响。给中心做了两场培训，一场给窗口人员讲扫码登录和锁屏，一场给运维讲证书到期更换和日志查询。
⑥ 售后承诺
政务系统不能在工作时间出问题，我们承诺2小时到场，重大事项提前驻场。大年三十电话不关机，17704868686。CAS和LDAP的配置文档、证书清单终身免费维护，人员换了几茬也能接得上。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）