大型管理信息系統(tǒng)權(quán)限控制策略

楊斌

[摘要] 隨著企業(yè)信息化發(fā)展水平的不斷提高，企業(yè)管理的信息系統(tǒng)也是越做越大，用戶數(shù)量也是不斷增加，如何精確地控制系統(tǒng)用戶的訪問權(quán)限，不越權(quán)操作，滿足企業(yè)內(nèi)控管理要求，降低企業(yè)管理風(fēng)險，是大型管理信息系統(tǒng)建設(shè)需要考慮的重要問題。本文簡要介紹大型管理信息系統(tǒng)權(quán)限控制的策略。

[關(guān)鍵詞] 信息系統(tǒng)； 權(quán)限控制； 策略

[中圖分類號] F272.7 [文獻(xiàn)標(biāo)識碼] A [文章編號] 1673 - 0194（2013）06- 0071- 02

1 什么是權(quán)限

權(quán)限對于一個信息系統(tǒng)來說，就是用戶在系統(tǒng)中能夠做哪些操作。說來簡單，但是系統(tǒng)實現(xiàn)起來并不是一件容易的事，這要涉及到系統(tǒng)的用戶管理、角色管理、權(quán)限對象管理、權(quán)限分配管理、內(nèi)控互斥檢查等。要求系統(tǒng)在最初設(shè)計時就要考慮每個系統(tǒng)功能都要關(guān)聯(lián)權(quán)限控制的問題。

2 權(quán)限控制的設(shè)計

2.1 明確權(quán)限控制的精度

對于一個大型管理信息系統(tǒng)，在系統(tǒng)建設(shè)的最初設(shè)計時要考慮系統(tǒng)的權(quán)限要控制到什么程度才能滿足管理需求，一般從低到高會分為3個級別：用戶級、程序級、權(quán)限對象級。用戶級就是只要系統(tǒng)中設(shè)定了用戶，用戶就可以使用系統(tǒng)的所有功能，這樣的權(quán)限控制一般會在比較小的系統(tǒng)中應(yīng)用。程序級就是在系統(tǒng)中給用戶分配可以訪問具體的哪些程序，可以利用角色定義一組程序來管理用戶權(quán)限。這樣的權(quán)限控制一般會在中型規(guī)模的信息系統(tǒng)中應(yīng)用。權(quán)限對象級就是系統(tǒng)中給用戶分配可以訪問某一個程序中的某個給定的權(quán)限對象，如操作對象的“創(chuàng)建”、“修改”、“刪除”、“瀏覽”，組織架構(gòu)對象中的某些單位信息等等，這是大型管理信息系統(tǒng)建設(shè)應(yīng)該采用的權(quán)限控制模式。

2.2 權(quán)限控制設(shè)計的功能

（1） 用戶管理：系統(tǒng)用戶基本信息的添加、刪除、修改、查詢、鎖定、重置密碼等功能。

（2） 程序管理：程序信息的添加、刪除、修改、查詢功能，以及在程序中應(yīng)用的權(quán)限對象的添加、刪除、修改、查詢和分配功能。

（3） 權(quán)限對象管理：權(quán)限對象的添加、刪除、修改、查詢功能。

（4） 角色管理：角色的添加、刪除、修改、查詢功能。

（5） 角色-權(quán)限對象“1對多”關(guān)系分配：包括在角色中添加、刪除、修改、查詢程序和程序中要訪問的權(quán)限對象。

（6） 用戶-角色“1對多”關(guān)系分配：給用戶分配定義好的角色，達(dá)到用戶權(quán)限控制的目的。

3 權(quán)限分配的原則

3.1 滿足內(nèi)控的權(quán)限互斥要求

大型管理信息系統(tǒng)的管理功能一定要符合內(nèi)控管理的要求，權(quán)限的分配要滿足權(quán)限互斥的要求，一般系統(tǒng)在上線前都要按系統(tǒng)的特點和管理的要求，制定權(quán)限職責(zé)分離矩陣，明確互斥權(quán)限關(guān)系，矩陣中定義了哪些功能在應(yīng)用時與其他功能是互斥的，一個人不能擁有具有互斥關(guān)系的功能。用戶權(quán)限互斥關(guān)系要定期檢查，避免管理員在賦權(quán)是給予了用戶更大的權(quán)限或是賦權(quán)時出現(xiàn)了權(quán)限疊加。權(quán)限的檢查可以人工按照互斥矩陣檢查，也可以開發(fā)一套權(quán)限管理系統(tǒng)，在系統(tǒng)中定義用戶權(quán)限互斥矩陣，系統(tǒng)自動判斷權(quán)限互斥。

3.2 滿足系統(tǒng)應(yīng)用的需求

大型管理信息系統(tǒng)的權(quán)限賦值既要滿足內(nèi)控管理要求，還要滿足企業(yè)的管理需求，有時這是一對矛盾，解決這個問題需要系統(tǒng)在實施時要合理地調(diào)整管理人員的崗位設(shè)置，必要時要按內(nèi)控管理要求增設(shè)崗位以滿足企業(yè)的管理需求。對于確實無法避免用戶權(quán)限互斥的問題，在管理上要對這些崗位人員的操作加強監(jiān)控，定期檢查，避免出現(xiàn)管理風(fēng)險，給企業(yè)造成不必要的損失。

4 系統(tǒng)的實現(xiàn)邏輯

4.1 數(shù)據(jù)結(jié)構(gòu)設(shè)計

用戶：用戶ID、賬號、用戶名、密碼。

角色：角色I(xiàn)D、角色描述。

程序：程序ID、程序描述。

權(quán)限對象：權(quán)限對象ID、權(quán)限對象描述。

程序-權(quán)限對象：程序-權(quán)限對象ID，程序ID，權(quán)限對象ID。

角色-程序：角色-程序ID，角色I(xiàn)D，程序ID。

用戶-角色：用戶-角色I(xiàn)D，用戶ID，角色I(xiàn)D。

4.2 程序控制設(shè)計

登錄程序：用戶登錄時，比較用戶名和密碼，成功后將用戶名和登錄狀態(tài)放在相應(yīng)的變量中，BS模式可以將用戶和登錄狀態(tài)保存在session中。

應(yīng)用程序：在程序的入口處，判斷用戶登錄狀態(tài)，成功后，在使用權(quán)限對象對應(yīng)的功能時，判斷用戶在這個程序擁有的權(quán)限對象和權(quán)限對象賦值，如果有，執(zhí)行該功能；如果沒有，提示退出。

5 結(jié) 語

大型管理信息系統(tǒng)的權(quán)限控制策略，決定了系統(tǒng)能否安全可靠地使用，系統(tǒng)的開發(fā)人員在系統(tǒng)設(shè)計時就要考慮系統(tǒng)權(quán)限的控制，本文所提到信息系統(tǒng)的權(quán)限控制策略，適用于大型管理信息系統(tǒng)的權(quán)限控制，對于一般信息規(guī)模系統(tǒng)來說，可以在這個策略的基礎(chǔ)上進(jìn)行必要的簡化。

主要參考文獻(xiàn)

[1] [德]薩斯喀-亞歷山大·拜爾. SAP權(quán)限系統(tǒng)[M]. 陳躍東，譯. 北京：東方出版社，2006.