一種云計算企業(yè)信息系統(tǒng)及該系統(tǒng)的用戶權(quán)限設定方法
【專利摘要】本發(fā)明涉及權(quán)限管理領域，特別涉及一種對云計算企業(yè)的操作權(quán)限進行管理的信息系統(tǒng)及方法，包括一管理模塊、一交互模塊以及一數(shù)據(jù)庫。本發(fā)明具有以下優(yōu)點：使云服務系統(tǒng)按照企業(yè)用戶要求靈活地定義各種文檔和數(shù)據(jù)權(quán)限保護策略，通過對象訪問規(guī)則的設置可以滿足企業(yè)按業(yè)務規(guī)則設定數(shù)據(jù)權(quán)限的要求，通過對象布局的設置可以滿足企業(yè)對敏感數(shù)據(jù)的保護要求，減少企業(yè)的數(shù)據(jù)安全顧慮，從而減少或者從根本上避免企業(yè)在信息化過程中大量軟硬件基礎設施的投入，加速企業(yè)信息化進程。
【專利說明】 一種云計算企業(yè)信息系統(tǒng)及該系統(tǒng)的用戶權(quán)限設定方法

【技術(shù)領域】
[0001]本發(fā)明涉及權(quán)限管理領域，特別涉及一種對云計算企業(yè)的操作權(quán)限進行管理的信息系統(tǒng)及方法。

【背景技術(shù)】
[0002]在企業(yè)的系統(tǒng)中，對用戶進行身份驗證和鑒權(quán)是應用系統(tǒng)的基本功能，鑒權(quán)就是解決用戶對不同資源的訪問權(quán)限問題。為了解決用戶的權(quán)限管理問題，目前業(yè)界已經(jīng)提出了一些權(quán)限管理模型，其中，角色訪問控制(Role Based Access Control, RBAC)模型是目前應用較為廣泛的模型之一。
[0003]基于RBAC模型的權(quán)限管理，是指應用RBAC模型的權(quán)限管理單元配置資源訪問權(quán)限和為用戶提供資源訪問權(quán)限的查詢，其中為用戶提供資源訪問權(quán)限的查詢是權(quán)限管理的主要內(nèi)容。目前，企業(yè)系統(tǒng)對用戶權(quán)限管理的方式主要有以下幾種方式:
[0004]1、按照文件和數(shù)據(jù)歸屬的組織機構(gòu)歸納用戶權(quán)限。首先定義組織機構(gòu)，在組織機構(gòu)內(nèi)創(chuàng)建文檔和數(shù)據(jù)，并定義文檔和數(shù)據(jù)歸屬職能范圍；同時創(chuàng)建用戶，定義用戶組織機構(gòu)數(shù)據(jù)權(quán)限，并定義用戶職能權(quán)限。當用戶訪問系統(tǒng)時，比較用戶權(quán)限和數(shù)據(jù)歸屬，從而確定用戶的訪問權(quán)限。
[0005]但是，按照組織機構(gòu)和職能定義用戶數(shù)據(jù)訪問權(quán)限不能體現(xiàn)數(shù)據(jù)共享形式的多樣化。
[0006]2、按照文件和數(shù)據(jù)的所有人和所有人在組織內(nèi)的網(wǎng)絡關(guān)系歸納用戶權(quán)限。首先創(chuàng)建用戶，并定義用戶在組織內(nèi)的網(wǎng)絡關(guān)系；同時用戶創(chuàng)建文檔，并定義文檔在網(wǎng)絡中的共享范圍。當用戶訪問系統(tǒng)時，比較訪問用戶在網(wǎng)絡中的低位和數(shù)據(jù)共享范圍，從而確定用戶的訪問權(quán)限。
[0007]這種技術(shù)是以文檔的創(chuàng)建用戶為關(guān)鍵控制點，通過創(chuàng)建人在組織內(nèi)的歸屬部門和上下級關(guān)系來確定文檔的訪問權(quán)限，因此無法將文檔創(chuàng)建人(文檔的錄入人)和歸屬人(文檔的管理者)分開。而且當所有人在組織內(nèi)的關(guān)系發(fā)生變化時(比如工作職責變化，離職，或有多頭上級關(guān)系)往往造成權(quán)限管理的混亂。比如:王某先為銷售部業(yè)務員，在系統(tǒng)中負責部分銷售數(shù)據(jù)的錄入，該技術(shù)在權(quán)限控制時會根據(jù)王某的職務和部門將這部分數(shù)據(jù)劃分為銷售部數(shù)據(jù)，當王某調(diào)到生產(chǎn)部時這部分數(shù)據(jù)將會被劃分為生產(chǎn)部數(shù)據(jù)。
[0008]綜上所述，現(xiàn)有的企業(yè)系統(tǒng)對用戶權(quán)限管理的方式存在缺乏多樣性、容易造成權(quán)限管理混亂的問題。


【發(fā)明內(nèi)容】

[0009]本發(fā)明的目的是提供一種云計算企業(yè)信息系統(tǒng)，以解決現(xiàn)有的企業(yè)系統(tǒng)對用戶權(quán)限管理的方式容易造成權(quán)限管理混亂，安全性差的問題。
[0010]本發(fā)明的另一目的是提供一種云計算企業(yè)信息系統(tǒng)的用戶權(quán)限設定方法，以解決現(xiàn)有的企業(yè)系統(tǒng)對用戶權(quán)限管理的方式容易造成權(quán)限管理混亂，安全性差的問題。
[0011]為解決以上問題，本發(fā)明提出一種云計算企業(yè)信息系統(tǒng)，包括管理模塊、交互模塊以及數(shù)據(jù)庫，交互模塊用于根據(jù)用戶發(fā)送的請求，向管理模塊發(fā)送數(shù)據(jù)訪問信息，管理模塊分別與交互模塊及數(shù)據(jù)庫相連，用于查詢及調(diào)用數(shù)據(jù)。其中，數(shù)據(jù)庫又進一步包括用戶模塊、對象模塊、角色模塊及對象布局模塊。用戶模塊，用于存儲用戶信息，對象模塊用于存儲需要進行控制的對象，以及每個對象對應的功能，角色模塊用于存儲用戶對對象的訪問權(quán)限規(guī)則信息，對象布局模塊用于存儲各個對象中的字段的訪問規(guī)則信息。
[0012]進一步的，對象布局模塊又進一步包括對象字段表和用戶和對象字段布局表。對象字段表用于存儲每個對象所包含的字段信息，用戶和對象字段布局表用于存儲用戶與對象的字段之間的訪問權(quán)限信息。
[0013]進一步的，用戶模塊又進一步包括用戶表、用戶組表和用戶和組對應表。用戶表，用于存儲用戶信息，用戶組表用于存儲按照特定區(qū)域或類別劃分的組信息，用戶和組對應表用于存儲單個用戶與組之間的對應關(guān)系信息。
[0014]進一步的,角色模塊又進一步包括用戶角色對應表和角色權(quán)限表。用戶角色對應表用于存儲用戶與角色之間的對應關(guān)系信息，一角色權(quán)限表用于存儲角色與對象之間的對應關(guān)系信息。
[0015]進一步的，對象模塊又進一步包括對象表和功能表。對象表用于存儲需要進行控制的對象信息，功能表用于存儲每個對象對應的操作功能信息。
[0016]本發(fā)明還提出一種云計算企業(yè)信息系統(tǒng)的用戶權(quán)限設定方法，包括數(shù)據(jù)庫創(chuàng)建過程和權(quán)限驗證過程。數(shù)據(jù)庫創(chuàng)建過程包括以下步驟:(I)定義并存儲需要進行數(shù)據(jù)控制的對象。(2)存儲用戶對對象的訪問權(quán)限規(guī)則信息。(3)存儲各個對象中的字段的訪問規(guī)則信息。
[0017]權(quán)限驗證過程包括以下步驟:(I)根據(jù)用戶發(fā)送的訪問請求信息，查詢其有權(quán)限控制的對象。(2)查詢用戶有權(quán)控制的對象中其有權(quán)限訪問的字段信息，并反饋給用戶。
[0018]進一步的，數(shù)據(jù)庫創(chuàng)建過程還包括步驟:存儲用戶信息。
[0019]權(quán)限驗證過程還包括步驟:根據(jù)用戶發(fā)送的訪問請求信息查詢用戶信息，并根據(jù)用戶信息查詢用戶有權(quán)限控制的對象。
[0020]進一步的，查詢用戶有權(quán)限訪問的字段信息包括以下步驟:(I)查詢對象包含的字段信息。(2)查詢用戶有權(quán)限訪問的字段信息。(3)向用戶反饋其有權(quán)限訪問的對象的字段信息。
[0021]進一步的，所述的云計算企業(yè)信息系統(tǒng)的用戶權(quán)限設定方法，反饋給用戶的信息為圖像信息或語音信息。
[0022]進一步的，所述的云計算企業(yè)信息系統(tǒng)的用戶權(quán)限設定方法，還包括以下步驟:查詢用戶對其所訪問對象可操作的功能信息，并反饋給用戶。
[0023]相對于現(xiàn)有技術(shù)，本發(fā)明具有以下優(yōu)點:本發(fā)明可以使云服務系統(tǒng)按照企業(yè)用戶要求靈活地定義各種文檔和數(shù)據(jù)權(quán)限保護策略，通過對象訪問規(guī)則的設置可以滿足企業(yè)按業(yè)務規(guī)則設定數(shù)據(jù)權(quán)限的要求，通過對象布局的設置可以滿足企業(yè)對敏感數(shù)據(jù)的保護要求，減少企業(yè)的數(shù)據(jù)安全顧慮，從而減少或者從根本上避免企業(yè)在信息化過程中大量軟硬件基礎設施的投入，加速企業(yè)信息化進程。

【具體實施方式】
[0024]云計算的應用都是展現(xiàn)為Web服務，Web服務普遍采用的是三層架構(gòu)，即表現(xiàn)層(Π)、業(yè)務邏輯層(BLL)、數(shù)據(jù)訪問層(DAL)。對云應用生成Web頁面(表現(xiàn)層)的控制可以實現(xiàn)對用戶關(guān)鍵字段(列數(shù)據(jù))訪問權(quán)限的控制，如:用戶賬戶，身份證號等。業(yè)務數(shù)據(jù)是在數(shù)據(jù)庫訪問層中獲取并轉(zhuǎn)化為簡單JAVA對象(POJO)。用戶的資源在系統(tǒng)中是通過數(shù)據(jù)的形式保存在數(shù)據(jù)庫中的，通過在數(shù)據(jù)訪問層中增加對數(shù)據(jù)訪問范圍的控制。就可以實現(xiàn)對用戶特定資源的控制(行數(shù)據(jù))，例如:系統(tǒng)中客戶信用額度是保存在數(shù)據(jù)庫客戶信息表中的，我們通過對該表中信用額度大于500萬元的數(shù)據(jù)的訪問控制，就可以實現(xiàn)對客戶資源中信用額度大于500萬的優(yōu)質(zhì)客戶的控制。
[0025]本發(fā)明中，所述的“用戶”是已在系統(tǒng)中定義了使用功能、資源的單個身份(平臺用戶)，用戶可以通過終端以網(wǎng)絡連接的方式與本發(fā)明的云計算企業(yè)信息系統(tǒng)進行交互，也可以直接從本發(fā)明的云計算企業(yè)信息系統(tǒng)訪問內(nèi)部數(shù)據(jù)。本發(fā)明所述的“角色”定義了用戶可以訪問哪些功能模塊，并定義用戶的可控數(shù)據(jù)范圍，也就是說，角色決定用戶的授權(quán)訪問級別。本發(fā)明所述的“對象”是用戶可訪問的業(yè)務對象及其數(shù)據(jù)范圍，如:采購單、合同、供應商等。本發(fā)明所采用的數(shù)據(jù)查詢方式可以是遍歷數(shù)據(jù)查詢或其它任意形式。
[0026]本發(fā)明可以使云服務系統(tǒng)按照企業(yè)用戶要求靈活地定義各種文檔和數(shù)據(jù)權(quán)限保護策略，通過對象訪問規(guī)則的設置可以滿足企業(yè)按業(yè)務規(guī)則設定數(shù)據(jù)權(quán)限的要求，通過對象布局的設置可以滿足企業(yè)對敏感數(shù)據(jù)的保護要求，減少企業(yè)的數(shù)據(jù)安全顧慮，從而減少或者從根本上避免企業(yè)在信息化過程中大量軟硬件基礎設施的投入，加速企業(yè)信息化進程。
[0027]—種云計算企業(yè)信息系統(tǒng)，包括管理模塊、交互模塊以及數(shù)據(jù)庫，交互模塊用于根據(jù)用戶發(fā)送的請求，向管理模塊發(fā)送數(shù)據(jù)訪問信息，管理模塊分別與交互模塊及數(shù)據(jù)庫相連，用于查詢及調(diào)用數(shù)據(jù)。其中，數(shù)據(jù)庫又進一步包括用戶模塊、對象模塊、角色模塊及對象布局模塊。用戶模塊，用于存儲用戶信息，對象模塊用于存儲需要進行控制的對象，以及每個對象對應的功能，角色模塊用于存儲用戶對對象的訪問權(quán)限規(guī)則信息，對象布局模塊用于存儲各個對象中的字段的訪問規(guī)則信息。
[0028]進一步的，對象布局模塊又進一步包括對象字段表和用戶和對象字段布局表。對象字段表用于存儲每個對象所包含的字段信息，用戶和對象字段布局表用于存儲用戶與對象的字段之間的訪問權(quán)限信息。
[0029]進一步的，用戶模塊又進一步包括用戶表、用戶組表和用戶和組對應表。用戶表，用于存儲用戶信息，用戶組表用于存儲按照特定區(qū)域或類別劃分的組信息，用戶和組對應表用于存儲單個用戶與組之間的對應關(guān)系信息。
[0030]進一步的,角色模塊又進一步包括用戶角色對應表和角色權(quán)限表。用戶角色對應表用于存儲用戶與角色之間的對應關(guān)系信息，一角色權(quán)限表用于存儲角色與對象之間的對應關(guān)系信息。
[0031]進一步的，對象模塊又進一步包括對象表和功能表。對象表用于存儲需要進行控制的對象信息，功能表用于存儲每個對象對應的操作功能信息。
[0032]本發(fā)明還提出一種云計算企業(yè)信息系統(tǒng)的用戶權(quán)限設定方法，包括數(shù)據(jù)庫創(chuàng)建過程和權(quán)限驗證過程。數(shù)據(jù)庫創(chuàng)建過程包括以下步驟:(I)定義并存儲需要進行數(shù)據(jù)控制的對象。(2)存儲用戶對對象的訪問權(quán)限規(guī)則信息。(3)存儲各個對象中的字段的訪問規(guī)則信息。
[0033]權(quán)限驗證過程包括以下步驟:(I)根據(jù)用戶發(fā)送的訪問請求信息，查詢其有權(quán)限控制的對象。(2)查詢用戶有權(quán)控制的對象中其有權(quán)限訪問的字段信息，并反饋給用戶。
[0034]進一步的，數(shù)據(jù)庫創(chuàng)建過程還包括步驟:存儲用戶信息。
[0035]權(quán)限驗證過程還包括步驟:根據(jù)用戶發(fā)送的訪問請求信息查詢用戶信息，并根據(jù)用戶信息查詢用戶有權(quán)限控制的對象。
[0036]進一步的，查詢用戶有權(quán)限訪問的字段信息包括以下步驟:(I)查詢對象包含的字段信息。(2)查詢用戶有權(quán)限訪問的字段信息。(3)向用戶反饋其有權(quán)限訪問的對象的字段信息。
[0037]進一步的，所述的云計算企業(yè)信息系統(tǒng)的用戶權(quán)限設定方法，反饋給用戶的信息為圖像信息或語音信息。
[0038]進一步的，所述的云計算企業(yè)信息系統(tǒng)的用戶權(quán)限設定方法，還包括以下步驟:查詢用戶對其所訪問對象可操作的功能信息，并反饋給用戶。
[0039]以上公開的僅為本申請的幾個具體實施例，但本申請并非局限于此，任何本領域的技術(shù)人員能思之的變化，都應落在本申請的保護范圍內(nèi)。
【權(quán)利要求】
1.一種云計算企業(yè)信息系統(tǒng)，包括一管理模塊、一交互模塊以及一數(shù)據(jù)庫，該交互模塊用于根據(jù)用戶發(fā)送的請求，向該管理模塊發(fā)送數(shù)據(jù)訪問信息，該管理模塊分別與該交互模塊及該數(shù)據(jù)庫相連，用于查詢及調(diào)用數(shù)據(jù)，其特征在于，該數(shù)據(jù)庫又進一步包括:一用戶模塊，用于存儲用戶信息；一對象模塊，用于存儲需要進行控制的對象，以及每個對象對應的功能；一角色模塊，用于存儲用戶對對象的訪問權(quán)限規(guī)則信息；一對象布局模塊，用于存儲各個對象中的字段的訪問規(guī)則信息。
2.如權(quán)利要求1所述的云計算企業(yè)信息系統(tǒng)，其特征在于，該對象布局模塊又進一步包括:一對象字段表，用于存儲每個對象所包含的字段信息；一用戶和對象字段布局表，用于存儲用戶與對象的字段之間的訪問權(quán)限信息。
3.如權(quán)利要求1所述的云計算企業(yè)信息系統(tǒng)，其特征在于，該用戶模塊又進一步包括:一用戶表，用于存儲用戶信息；一用戶組表，用于存儲按照特定區(qū)域或類別劃分的組信息；一用戶和組對應表，用于存儲單個用戶與組之間的對應關(guān)系信息。
4.如權(quán)利要求1所述的云計算企業(yè)信息系統(tǒng)，其特征在于，該角色模塊又進一步包括:一用戶角色對應表，用于存儲用戶與角色之間的對應關(guān)系信息；一角色權(quán)限表，用于存儲角色與對象之間的對應關(guān)系信息。
5.如權(quán)利要求1所述的云計算企業(yè)信息系統(tǒng)，其特征在于，該對象模塊又進一步包括:一對象表，用于存儲需要進行控制的對象信息；一功能表，用于存儲每個對象對應的操作功能信息。
6.一種云計算企業(yè)信息系統(tǒng)的用戶權(quán)限設定方法，其特征在于，包括數(shù)據(jù)庫創(chuàng)建過程和權(quán)限驗證過程，數(shù)據(jù)庫創(chuàng)建過程包括以下步驟:定義并存儲需要進行數(shù)據(jù)控制的對象；存儲用戶對對象的訪問權(quán)限規(guī)則信息；存儲各個對象中的字段的訪問規(guī)則信息；權(quán)限驗證過程包括以下步驟:根據(jù)用戶發(fā)送的訪問請求信息，查詢其有權(quán)限控制的對象；查詢用戶有權(quán)控制的對象中其有權(quán)限訪問的字段信息，并反饋給用戶。
7.如權(quán)利要求6所述的云計算企業(yè)信息系統(tǒng)的用戶權(quán)限設定方法，其特征在于，數(shù)據(jù)庫創(chuàng)建過程還包括步驟:存儲用戶信息；權(quán)限驗證過程還包括步驟:根據(jù)用戶發(fā)送的訪問請求信息查詢用戶信息，并根據(jù)用戶信息查詢用戶有權(quán)限控制的對象。
8.如權(quán)利要求6所述的云計算企業(yè)信息系統(tǒng)的用戶權(quán)限設定方法，其特征在于，查詢用戶有權(quán)限訪問的字段信息包括以下步驟:查詢對象包含的字段信息；查詢用戶有權(quán)限訪問的字段信息；向用戶反饋其有權(quán)限訪問的對象的字段信息。
9.如權(quán)利要求6所述的云計算企業(yè)信息系統(tǒng)的用戶權(quán)限設定方法，其特征在于，反饋給用戶的信息為圖像信息或語音信息。
10.如權(quán)利要求6-9任一項所述的云計算企業(yè)信息系統(tǒng)的用戶權(quán)限設定方法，其特征在于，還包括以下步驟:查詢用戶對其所訪問對象可操作的功能信息，并反饋給用戶。
【文檔編號】G06F21/62GK104376272SQ201410641939
【公開日】2015年2月25日 申請日期:2014年11月13日 優(yōu)先權(quán)日:2014年11月13日
【發(fā)明者】陳迎東 申請人:青島龍?zhí)┨煜柰ㄐ趴萍加邢薰?br>