IB-SAP1000的功能体系架构由四个层次组成，分别是系统层、核心数据层、核心安全层以及应用层。各层之间相互联系，紧密协调配合，共同构成IB-SAP1000的功能体系架构。
IB-SAP1000的功能体系架构如下图所示：
系统层，也即操作系统层，是上层各功能模块的底层支撑，对操作系统的可靠性、安全性、负载性有较高的要求。
IB-SAP1000的核心数据层包括：网络应用资源库、资源访问策略库、用户数据库、审计数据库以及证书LDAP数据库。
核心安全层是IB-SAP1000实现深度整合、全面安全服务的核心。
IB-SAP1000的应用层为管理员提供Web管理操作界面，并提供安全应用工具和第三方扩展服务，并可以与OA办公系统、邮件服务系统、Web服务系统、数据库系统等应用系统无缝整合，从而将所有资源纳入IB-SAP1000的管理范围之中。
应用系统关系模型如下
需求分析
以某市电子政务统一认证安全平台项目为例，其总体建设包括规模上，服务体系上和管理体系上的三大需求，以下分别描述；
规模上的需求
能适应电子政务的整体业务发展，用户数量的不断增加，需解决万级用户性能瓶颈问题。
服务体系上的需求
服务体系上的需求主要包括统一的身份认证服务需求、统一的数字签名与验签服务需求、统一的数据加解密服务需求。
对进入电子政务网应用系统的所有用户（机关单位、公务员等）能够进行基于数字证书的统一的身份认证，并提供对电子政务重要数据进行数字签名和验签的服务，防止抵赖，并利用加密设备对传输数据进行加密，通过加密手段，对数据传输过程中的完整性、真实性进行鉴别并保证数据的保密性、完整性及可靠性。
管理体系上的需求
管理体系上的需求主要包括统一证书用户管理、统一的资源管理、统一的授权管理和统一安全审计管理，同时，随着电子政务应用的不断发展以及证书发放规模的不断扩充，该平台还可以提供其它一些管理功能，例如一体化数字证书网络化业务管理（包括证书的申请、冻结/解冻、撤销、更新等的网上受理和结果反馈）及单点登录SSO门户等功能。
统一证书用户管理系统要求可高效无缝地与某市国家密码管理局RA/LRA系统对接，可将江苏省电子政务证书认证系统颁发的证书信息，形成一个具有权威性的统一用户身份信息来源。统一证书用户管理功能模块相对独立，可通过对数字证书信息的目录式集中管理和查询服务，方便分布式环境下各应用系统根据自己的权限将属于本系统中的数字证书与用户名称进行匹配。统一证书用户管理模块是实现电子政务网络各个应用系统之间单点登录的基础。
另外，为了降低证书应用的门槛，保证用户进入省电子政务网访问资源时进行深度访问控制，提升安全管理的灵活度和减少管理的成本等，可为政务应用系统提供统一资源管理和统一的授权管理。
统一的安全审计管理能够收集并管理服务及管理体系中的日志信息，实现整个平台操作、监控、管理的统一性。
设计方案
统一认证安全平台建设目标是为某市电子政务系统用户计算机网络系统上各种应用的保密性、完整性、抗抵赖性和可用性提供服务；实现全网的可控、可管、可监督和可追溯；提高应用系统按强度和灵活应用水平。
如图中所示，统一认证安全平台是连接应用提供者和用户的桥梁。
因此，统一认证安全平台整体设计考虑了以下几个方面：
1、安全服务与应用、具体业务相分离
便于安全策略的统一设定和调整
便于实现信任和安全的快速部署
便于新业务开发和老业务的整合
2、充分体现以人为本
人在网络身份的唯一性是可识别的
人在网络权限的有效性是可鉴别的
人在网络行为的责任性是可认定的
3、消除信任孤岛，建立统一信任授权
全程全网的互联互通需要统一的信任授权
全程全网的实时交互需要统一的信任授权
全程全网的应用整合需要统一的信任授权
统一的信任授权要求有统一的安全策略
统一的信任授权要求有统一的信任体系
统一的信任授权要求有统一的授权体系
统一的信任授权要求有统一的用户管理
另一方面，为更好的进行数字证书在省电子政务网发放和推广、应用，更好的推动安全的电子政务应用平台，统一认证安全平台综合设计了以下几个功能：
1、一体化证书申请业务受理
2、一体化证书与账户同步
3、一体化证书在线更新
4、一体化证书状态提醒
高效、无缝地和某市电子政务RA中心已建设的证书发放、管理系统结合，利用原有PKI体系更好的为各个电子政务应用系统服务。
为了实现整个平台操作、监控、管理的统一性，遵循国际先进安全平台设计思想，在以下几个方面做了整体设计：
1、以搭载有专用固化的最小化安全操作系统（IdeaBank Linux 2.0）及容灾热备模块，并支持集群部署的专用服务器（AAAA核心服务引擎）为核心安全服务硬件引擎；
2、以统一身份认证服务、统一数字签名与验证服务、统一数据加解密服务三大核心安全服务为重点；
3、以统一集中管理平台为中心，实现三大核心安全服务的管理配置、集中日志审计服务、日志管理与审计策略、安全事件管理、直观图形事件分析、用户单点登录与自助管理等平台整体操作、监控与管理。
总体来说，统一认证安全平台是从用户的应用安全和安全管理需求出发，基于PKI/PMI技术构建可信身份体系、鉴权体系及行为追溯体系，实现信息系统可信、可控、可管理，满足用户自身信息化建设发展要求和相关法规政策要求的网络信任体系基础设施。
平台体系架构
统一认证安全平台设计方案由后台安全基础设施系统和前台安全应用系统共同构成。其中后台安全基础设施系统以AAAA核心服务引擎为中心，将策略库、安全库、用户库进行有效联动，保证前台应用管理系统相互协调管理，多层次、全方位的整合资源，从而使统一认证安全平台为用户打造一个安全有序的网络世界，有效规范不同角色用户的访问和操作行为。
本方案的平台体系构架图如下图所示：
图中可以看出，统一认证安全平台借助于数字证书权威颁发机构，引入PKI技术，将证书用户管理、多应用授权管理、安全审计功能集成，并由统一安全管理平台对多种业务系统、服务器、数据库等资源进行集中管理，旨在为用户提供一个安全可靠、合理有序、灵活易用的统一认证安全平台。
权威颁发机构发布的数字证书，可以自动同步到统一用户目录数据库，并实现同步更新管理。通过统一证书用户管理和统一资源策略授权管理等集成管理手段以及多应用、多账户映射安全认证技术，实现用户的SSO单点登录，即用户登录任何一个业务系统之后不必再次登录就可进入其它有权限的系统。
同时，在统一认证安全平台体系架构中，平台管理员可以根据需要为下级管理员授权，实行分级管理。下级管理员可以在本资源域内的用户进行分级用户管理、分级授权管理、分级安全审计等管理，保护本资源域内的安全。从而形成一个合理有序、权限明确的树形分级管理结构，进行最细粒度的管理。原应用系统中的策略管理和审计管理可以统一整合到一个平台中，进行统一的资源授权管理与集中审计管理。
平台功能体系
统一认证安全平台功能体系主要包括安全管理子平台、安全服务子平台和安全审计子平台。
其中安全管理子平台主要包括：
1、统一证书用户管理
2、统一资源管理
3、统一授权管理
安全服务子平台主要包括：
1、统一身份认证服务
2、统一数字签名与验证服务
3、统一数据加解密服务
安全审计子平台主要包括
1、安全审计服务
平台网络拓扑
统一认证安全平台的网络拓扑如下图所示：
由上图看出：平台设计配置防火墙、交换机、专用服务器和审计日志数据库服务器，在需要增加信道加密的应用系统中配置可信SSL认证网关。其中专用服务器（AAAA核心服务引擎）为统一认证安全平台提供核心安全服务的高性能硬件引擎；并集成了经国家密码管理局鉴定通过的加密卡设备，保障服务器设备证书私钥的安全、管理和加速安全服务的密码运算。审计日志数据库服务器用于存储平台及第三方应用系统审计日志、认证日志、授权日志的数据。
考虑到平台服务集群功能，并支持双线路接入负载，需要增配防火墙和专用服务器设备，其中专用服务器（AAAA核心服务引擎）支持集群部署的同步复制功能，并为关键流量提供带宽保证和高优先级响应，最大限度地利用网络带宽。
平台全景图
构建统一认证安全平台可为各类应用提供统一的身份认证服务（双向身份认证）、统一数字签名与验证服务（交易签名）、统一的数据加解密服务（信源加密）三大核心安全服务，并可通过增设SSL可信认证网关实现信道加密的，并实现单点登录SSO门户功能，并能紧密结合CA认证中心的CA/RA系统，实现统一证书用户管理，配合桌面级安全产品充分利用数字签名和加密技术为用户终端安全提供全面保护。
平台全景如下图所示：
