張家峁礦業(yè)公司數(shù)字化礦井資源訪問授權(quán)實現(xiàn)

韓培強(qiáng)，王 鈞

(陜煤集團(tuán)神木張家峁礦業(yè)有限公司，719300)

0 引言

張家峁礦業(yè)公司作為一座新建的國有大型煤礦企業(yè)，建設(shè)規(guī)劃以高起點規(guī)劃、高標(biāo)準(zhǔn)要求的思路進(jìn)行施工，具體要求基礎(chǔ)信息數(shù)字化、生產(chǎn)過程數(shù)字化、管理過程數(shù)字化三者相互支持，相互依存，而且都可以進(jìn)行可視化展示。

1 張家峁礦業(yè)公司數(shù)字化礦井建設(shè)現(xiàn)狀

數(shù)字化礦井建設(shè)是一個動態(tài)的需要不斷完善的建設(shè)過程。張家峁礦業(yè)公司自試生產(chǎn)以來，堅持“以數(shù)字信息化帶動工業(yè)化”、“走新型工業(yè)化道路”的發(fā)展方針，按照“打破常規(guī)，形成合力，壯大規(guī)模，加快發(fā)展”的總體工作思路，在數(shù)字信息化建設(shè)方面，高點定位，提出了“創(chuàng)建國內(nèi)一流信息化礦井”的宏偉目標(biāo)，先后制定了信息化建設(shè)總體規(guī)劃和總體方案，通過了專家的評審，僅僅用了一年半的時間，先后建成了，井下移動通信系統(tǒng)、井下供電集控系統(tǒng)，井上下一體的全數(shù)字通信網(wǎng)絡(luò)及井下、地面工業(yè)監(jiān)控網(wǎng)絡(luò)平臺，為信息技術(shù)的發(fā)展和應(yīng)用奠定了基礎(chǔ)；率先建成了神南公司第一個涵蓋井下工業(yè)以礦井綜合自動化平臺，實現(xiàn)了井下皮帶運輸、排水、供電、通風(fēng)、的地面遠(yuǎn)程集中控制；開發(fā)完成了包括辦公自動化系統(tǒng)、安全生產(chǎn)管理信息系統(tǒng)、煤炭銷售管理信息系統(tǒng)、地測管理信息系統(tǒng)、黨群、工會系統(tǒng)、物資管理系統(tǒng)等18 個在內(nèi)的信息流通平臺，全面實現(xiàn)了各領(lǐng)域的信息化管理，實現(xiàn)了網(wǎng)上辦公，在應(yīng)用方面達(dá)到了神南公司領(lǐng)先水平；建成了包括安全生產(chǎn)監(jiān)測監(jiān)控系統(tǒng)、束管監(jiān)測系統(tǒng)、井下人員定位系統(tǒng)、瓦檢員巡檢管理系統(tǒng)、工業(yè)電視監(jiān)視系統(tǒng)、大屏幕顯示系統(tǒng)、工作面頂板壓力監(jiān)測系統(tǒng)在內(nèi)的監(jiān)測監(jiān)控平臺，等多項國內(nèi)先進(jìn)技術(shù)，實現(xiàn)了對煤礦環(huán)境、設(shè)備、人員的全方位實時監(jiān)測。為實現(xiàn)真正意義上的數(shù)字化礦井建設(shè)，實現(xiàn)信息化管理系統(tǒng)、監(jiān)測監(jiān)控系統(tǒng)以及自動化控制三者之間的互聯(lián)和信息共享，迫切需要建立一個統(tǒng)一的信息獲取平臺（portal 門戶），對網(wǎng)絡(luò)內(nèi)的所有系統(tǒng)進(jìn)行有效的管理，為全礦的管理、服務(wù)與決策、預(yù)警支持等提供高效的科學(xué)化依據(jù)(如圖1）。

2 protal 門戶

2.1 protal 門戶概述

Portal 門戶就是將來自不同應(yīng)用系統(tǒng)、不同數(shù)據(jù)源、不同平臺的各種類型的數(shù)據(jù)和資源進(jìn)行內(nèi)容聚集的信息集成平臺，它為用戶提供統(tǒng)一的網(wǎng)絡(luò)入口，訪問不同的WEB 應(yīng)用，強(qiáng)調(diào)以用戶為中心，提供個性化的服務(wù)、單點登錄、不同來源的內(nèi)容整合功能，從而實現(xiàn)了信息系統(tǒng)的集中訪問。Portal 的集成畫面如下圖2所示：

2.2 portal 帶來的益處

Portal 門戶的建立，在一定程度上可以解決好網(wǎng)絡(luò)實際運行中所涉及到的“多個應(yīng)用、多重管理”的問題。為企業(yè)相關(guān)的管理者、供應(yīng)商、用戶、分銷商等提供一個唯一的企業(yè)信息接入點。通過系統(tǒng)的集成形成廣泛的，相互關(guān)聯(lián)的企業(yè)應(yīng)用環(huán)境。它不但能降低企業(yè)的運營成本，通過豐富的企業(yè)信息資源吸引新客戶，密切老客戶的關(guān)系，更重要的是縮短企業(yè)響應(yīng)市場時間。使企業(yè)在激烈的市場競爭中占據(jù)最有利的地位。

3 portal 中的安全問題

由于portal 中數(shù)據(jù)變得越來越大，系統(tǒng)之間的關(guān)系越來越復(fù)雜，這就要求對不同系統(tǒng)進(jìn)行安全劃分，有層次的劃分，對某些數(shù)據(jù)進(jìn)行重點保護(hù)。由于系統(tǒng)間數(shù)據(jù)流的需要，自然要考慮訪問控制的安全策略，以便從整體考慮信息系統(tǒng)的安全問題。Portal的安全問題主要涉及三個方面的內(nèi)容，一是對用戶的認(rèn)證，二是對用戶或用戶組的授權(quán)，三是對用戶或用戶組的管理。

3.1 portal 的訪問控制模型

3.1.1 基于PKI 的訪問控制

張家峁礦業(yè)公司的protal 門戶由Oracle HTTP Server、Oracle 數(shù)據(jù)庫和 .NET Framework 開發(fā)工具等組成。其中Oracle HTTP Server 中采用PKI（公鑰基礎(chǔ)設(shè)施）認(rèn)證，可以配置成根據(jù)客戶機(jī)X. 509 證書中的信息來限制對文件和服務(wù)的訪問。在通信雙方建起了嚴(yán)格的信任鏈，解決了可信的身份問題。

3.1.2 基于RBAC 的訪問控制

張家峁礦業(yè)公司protal 門戶采用RBAC（基于角色的訪問控制）的基本思想，將訪問權(quán)限與角色相關(guān)聯(lián)，通過給每一個用戶分配一個或多個適當(dāng)角色，每個角色都具有相應(yīng)的權(quán)限，從而讓用戶與訪問權(quán)限關(guān)聯(lián)起來。提供用戶身份到應(yīng)用授權(quán)的映射功能，實現(xiàn)了與實際應(yīng)用的對應(yīng)的、與具體應(yīng)用系統(tǒng)和管理無關(guān)的訪問控制機(jī)制，極大的簡化應(yīng)用中訪問控制和權(quán)限管理系統(tǒng)的開發(fā)與維護(hù)。角色是安全控制的核心，根據(jù)公司內(nèi)為完成不同的任務(wù)需要而設(shè)置，極大的簡化了安全管理。解決了相同安全域中在可信身份的基礎(chǔ)上的授權(quán)管理和訪問控制問題，特別適合大規(guī)模的授權(quán)應(yīng)用。減少了授權(quán)管理的復(fù)雜性，降低了管理開銷；同時靈活的支持公司的安全策略，對公司的變化有很大的伸縮性。

RBAC 模型如圖3 所示：在RBAC 中，權(quán)限被賦予角色，而不是用戶，當(dāng)一個角色被制定給一個用戶時，此用戶就擁有了該角色所包含的權(quán)限。

3.1.3 采用Spring MVC 技術(shù)作為RBAC 的實現(xiàn)

在傳統(tǒng)的WEB 系統(tǒng)中，所有的權(quán)限驗證邏輯都混雜在業(yè)務(wù)邏輯中，用戶的每一個操作可能都需要對用戶是否有進(jìn)行該項操作的權(quán)限進(jìn)行判斷，來達(dá)到認(rèn)證授權(quán)的目的。本系統(tǒng)采用Spring MVC 框架，提供具有AOP（面向切面編程）的能力，擁有完善的Controller（控制器）繼承架構(gòu)，能夠根據(jù)需求使用適當(dāng)?shù)目刂破?。在整個Spring MVC 架構(gòu)中，使用者并不是直接連接到所需的資源，而是先連接到前端控制器，再由前端控制器判斷使用者的請求，然后分派給合適的控制器對象來處理請求，另外Spring MVC 架構(gòu)將系統(tǒng)的控制器、模型對象、分派器以及處理程序?qū)ο蟮慕巧葟臉I(yè)務(wù)系統(tǒng)中分離出來，達(dá)到不同技術(shù)層級間松散耦合的效果，提高系統(tǒng)靈活性、復(fù)用性和可維護(hù)性，通過策略接口，Spring 框架是高度可配置的，這種分離讓它們更容易進(jìn)行定制。

3.2 規(guī)劃portal 的安全性

Portal 是將Web 技術(shù)與企業(yè)運作過程相結(jié)合的解決方案，讓用戶隨時、隨地、安全、方便的訪問完成他們?nèi)蝿?wù)所需要的東西。保證portal 門戶內(nèi)部信息的安全存取，就必須解決不同安全域之間訪問控制所涉及到的問題。

3.2.1 portal 中訪問控制的動態(tài)機(jī)制

本公司考慮到不同域間的訪問控制的關(guān)鍵在于不同域之間角色的映射問題，通過跨域授權(quán)中介系統(tǒng)維護(hù)一個角色和組映射策略表，表中有一系列映射策略，一個映射策略定義了一個授權(quán)域中角色、組到另一個授權(quán)域中角色、組的映射關(guān)系。當(dāng)一個授權(quán)域的用戶訪問另一個授權(quán)域時，跨域授權(quán)中介系統(tǒng)基于角色和組映射策略將用戶在其原授權(quán)域中的角色、組映射對應(yīng)到其要訪問的目標(biāo)授權(quán)域中的角色、組，從而將用戶在一個域中的權(quán)限轉(zhuǎn)換和對應(yīng)到另外一個域，據(jù)此實現(xiàn)基于RBAC 或ACL 的跨域訪問控制。

3.2.2 角色、策略、及授權(quán)信息

張家峁礦業(yè)公司RBAC 訪問控制按照用戶到目標(biāo)的次序分為基本訪問控制和跨域控制兩部分，其中基本訪問控制系統(tǒng)位于一個授權(quán)域內(nèi)，定義用戶角色、用戶組及訪問控制策略，從而對本域的用戶身份、訪問控制權(quán)限進(jìn)行管理；用戶身份信息以及本地的訪問控制策略對用戶的在線資源訪問與操作請求做出“允許”或“拒絕”的決定；通過一定的方式與應(yīng)用服務(wù)系統(tǒng)集成，負(fù)責(zé)攔截、檢查用戶的資源訪問請求，獲取用戶身份信息，通過一定的服務(wù)狀態(tài)（Session）機(jī)制跟蹤用戶及在Session 對象中保存用戶的身份信息，并依據(jù)授權(quán)決策引擎的在線授權(quán)決策結(jié)果，對用戶的服務(wù)請求進(jìn)行控制。而跨域授權(quán)控制：通過角色和組映射實現(xiàn)不同授權(quán)域中權(quán)限的轉(zhuǎn)換，跨域授權(quán)控制中配置有如下兩個表：1)、角色和組映射策略表，該表定義了將一個授權(quán)域中的角色、組集合映射到另一個授權(quán)域中的角色、組集合的映射策略；2)授權(quán)域權(quán)限與授權(quán)策略管理地址表，表中有與授權(quán)相連的、各個授權(quán)域中的權(quán)限與授權(quán)策略管理的用戶信息查詢服務(wù)地址和端口號，通過對策略進(jìn)行分類劃分有利于在增加或減少策略需求時，可具體設(shè)置，形成一個完整的流程化設(shè)置。

4 結(jié)論

張家峁礦業(yè)公司在信息系統(tǒng)的開發(fā)與應(yīng)用中，采用了protal 門戶建立一個統(tǒng)一的信息獲取平臺，對網(wǎng)絡(luò)內(nèi)的所有應(yīng)用系統(tǒng)進(jìn)行有效的管理。同時為人們提供了網(wǎng)絡(luò)中個性化的服務(wù)。人們獲得授權(quán)后，按一定的條件要求去訪問相應(yīng)的信息，從而提高了整個網(wǎng)絡(luò)應(yīng)用的效率及網(wǎng)絡(luò)運行的安全性和可靠性。在Portal 中采用基于RBAC 安全管理，由于角色與權(quán)限之間的變化比角色與用戶之間的變化要慢的多，減少了授權(quán)管理的復(fù)雜性，降低了管理開銷，在操作上，權(quán)限分配直觀、容易理解、便于使用。在RBAC 的實現(xiàn)方式上采用Spring MVC 技術(shù)架構(gòu)，提供了一種不同技術(shù)層級間松散耦合和面向切面編程（AOP）來保護(hù)用戶的應(yīng)用程序，采用Spring MVC 技術(shù)不需要在你的應(yīng)用程序中編寫任何安全代碼，及達(dá)到保護(hù)應(yīng)用系統(tǒng)的目的。最后設(shè)計了不同安全域之間的資源訪問控制動態(tài)機(jī)制，實現(xiàn)了基于RBAC 或ACL 的不同安全域之間的訪問控制。提供與實際應(yīng)用處理模式相應(yīng)的、與具體業(yè)務(wù)系統(tǒng)開發(fā)和管理無關(guān)的訪問控制機(jī)制，極大的簡化了安全管理，進(jìn)而增加了系統(tǒng)的靈活性和擴(kuò)展性。

[1] 馮學(xué)斌，鄭峰，洪帆. IRBA2000 角色轉(zhuǎn)換沖突處理策略[J] . 計算機(jī)工程與科學(xué)， 2007.Vol29

[2] 李真，史清華，魏峰 .PMI 系統(tǒng)中訪問控制策略的分析與設(shè)計[J]. 計算機(jī)工程與設(shè)計，2006（3）.

[3] 蘇紅，曾德超. 基于xml 的安全域間訪問控制策略設(shè)計. 信息網(wǎng)絡(luò)安全，2005.05