吳 昊,徐致遠

(交通部天津水運工程科學研究院,天津 300456)

活動目錄在GIS用戶管理中的應用

吳 昊,徐致遠

(交通部天津水運工程科學研究院,天津 300456)

GIS用戶的普通數(shù)據(jù)庫管理模式會造成系統(tǒng)維護復雜、用戶管理分散、平臺間協(xié)同性差和用戶信息安全性差等問題。為了安全統(tǒng)一地管理 GIS用戶,便捷地分配和控制各級用戶的操作權(quán)限,嚴格認證登錄系統(tǒng)用戶的合法性,將微軟的活動目錄技術(shù)應用于 GIS的用戶管理中,根據(jù)活動目錄的內(nèi)部機制、使用方法以及 GIS系統(tǒng)的需求,提出2種解決方案。闡述各種方案的系統(tǒng)架構(gòu),并對比2種方案的優(yōu)點和缺點,為GIS的用戶管理提供一種新的思路。關(guān)鍵詞:活動目錄;GIS;用戶管理

地理信息系統(tǒng)(GIS)的建設(shè)涉及多個部門或地區(qū),功能復雜、接口眾多,且其中含有大量、高精度,甚至涉密的基礎(chǔ)地理數(shù)據(jù),容易出現(xiàn)網(wǎng)絡(luò)被入侵、信息丟失、機密泄露等安全隱患。隨著科技的不斷進步,GIS的計算機硬件和軟件方面的安全體系越來越完善,而相比之下,用戶管理、自定義的訪問控制等卻還是薄弱環(huán)節(jié),是目前安全隱患的主要所在之一。

活動目錄(Active Directory,簡稱 AD)是一種存儲網(wǎng)絡(luò)資源信息的目錄,它優(yōu)化了讀取、瀏覽和搜索操作,可以保存描述性的信息,并且支持復雜的過濾搜索能力,是管理用戶信息非常有效的一種方式[1]。本文研究了如何將活動目錄應用于 GIS的用戶管理,提出2種解決方案,并對比這2種方案的優(yōu)點和缺點。

1 通常的 GIS用戶管理

用戶管理涉及2個重要方面,首先是用戶身份管理,為用戶的身份認證服務(wù);其次是用戶權(quán)限管理,為用戶的訪問控制服務(wù)。在通常的 GIS開發(fā)中,用戶的信息管理、認證授權(quán)多采用數(shù)據(jù)庫來完成。配置一個用戶數(shù)據(jù)庫,將用戶的用戶名、密碼、個人信息、系統(tǒng)訪問權(quán)限信息等都存儲到數(shù)據(jù)表中。用戶登錄系統(tǒng)時,首先要驗證輸入的用戶名和密碼與數(shù)據(jù)庫中存儲的是否完全匹配;完全匹配后,再從數(shù)據(jù)庫中提取出該用戶的個人信息、享有的操作權(quán)限信息等反饋給系統(tǒng);系統(tǒng)再根據(jù)反饋結(jié)果來確定對該用戶開放哪些功能和加載哪些模塊。這種解決方案雖然簡便易用,但卻存在著很多缺陷:

1)每個 GIS平臺都有自己的用戶系統(tǒng),在平臺混合使用情況下,用戶需要單獨的賬戶來訪問每個平臺。由于身份和存取政策不一致,可能會導致單用戶多登錄名、多密碼的情況。既增加了用戶操作的復雜度,又不利于異構(gòu) GIS平臺間的協(xié)同合作和將來的統(tǒng)一整合。

2)當同一地區(qū)或部門擁有多個 GIS平臺時,可能存在用戶重疊。用戶信息也就需要被重復輸入,既增加了用戶管理的難度,還會造成平臺間的用戶信息不統(tǒng)一、人員變動時難以及時同步更新等問題。

3)存儲用戶信息所使用的數(shù)據(jù)庫多為關(guān)系數(shù)據(jù)庫,由于關(guān)系數(shù)據(jù)庫的結(jié)構(gòu)無法在邏輯上對不同等級的用戶進行分層、分組,從而較難實現(xiàn)對用戶集中授權(quán)、注銷等高級管理。

4)用戶的用戶名、密碼、個人信息、系統(tǒng)操作權(quán)限信息等均以字符串等明文形式存儲在數(shù)據(jù)庫中,數(shù)據(jù)庫服務(wù)器容易被攻擊;且傳輸通訊過程中沒有審核,用戶信息容易被中途竊取,安全性存在很大隱患。

鑒于此,需要尋找一種能實現(xiàn)用戶集中管理、統(tǒng)一認證授權(quán)、安全性高的解決方案。

2 活動目錄

活動目錄是面向 Window s Standard Server、Window s Enterp rise Server以及 Window s Datacenter Server的目錄服務(wù)[2]。它是一種存儲網(wǎng)絡(luò)資源信息的目錄,類似于分布式數(shù)據(jù)庫,可以將分散在各計算機上的信息統(tǒng)一集中管理,存儲的信息包括用戶賬戶、文件數(shù)據(jù)、打印機、計算機等[3]。它使用了一種結(jié)構(gòu)化的數(shù)據(jù)存儲方式,可以方便地對用戶賬戶等目錄信息進行分層和分組,從而可以對用戶進行統(tǒng)一刪除、授權(quán)等高級管理。每個活動目錄中的對象都有一個訪問控制列表,其中包含有資源列表和訪問權(quán)限列表[4],可以使存儲信息不被盜取或越權(quán)訪問,從而保證信息的安全?；顒幽夸浭褂幂p量目錄訪問協(xié)議(Lightw eight Directo ry Access Protocol,簡稱LDAP)來對目錄信息進行組織、管理和訪問[5]。LDAP提供了嚴格的用戶認證機制和數(shù)據(jù)傳輸加密機制[6],從而可以保證通訊傳輸中信息的完整性和私密性。

利用微軟提供的活動目錄服務(wù)接口技術(shù)[7](A ctive Directo ry Service Interfaces,簡稱 ADSI),可以開發(fā)應用程序訪問活動目錄。ADSI提供的System.DirectoryServices命名空間中封裝了DirectoryEntry和DirectorySearcher兩個組件類[8],使用這兩個類可以從托管代碼簡便的訪問活動目錄,而無須關(guān)心后臺機制如何運行。

3 解決方案

3.1 輕量級用戶管理方案

在AD中創(chuàng)建域賬戶代表 GIS系統(tǒng)的用戶,將用戶的相關(guān)信息存儲到域賬戶中。用戶登錄系統(tǒng)時,系統(tǒng)向AD發(fā)出用戶驗證請求,在AD中查詢用戶是否合法,將驗證結(jié)果返回給 GIS系統(tǒng),系統(tǒng)根據(jù)返回的結(jié)果確定該用戶的操作權(quán)限。

本方案僅僅把活動目錄當作存儲用戶賬戶和用戶信息的數(shù)據(jù)庫,GIS系統(tǒng)根據(jù)用戶輸入的用戶名和密碼連接到活動目錄服務(wù)器,通過查詢AD服務(wù)器來判斷是否與AD中存儲的賬戶信息匹配。如果匹配成功,則登錄成功,同時用戶的操作權(quán)限由各個GIS系統(tǒng)自己來定義,簡單明了,易于實現(xiàn)。由于活動目錄中只存儲了用戶的基本信息,各個 GIS系統(tǒng)需要開發(fā)自己的權(quán)限管理模塊,所以在子系統(tǒng)較多或多系統(tǒng)配合的情況下,重復的開發(fā)量會較大。并且如果各個 GIS系統(tǒng)是異構(gòu)系統(tǒng),如有的基于JAVA、有的基于.NET,那么在這種模式下用戶認證會變得更復雜。因此,本解決方案適于在單個系統(tǒng)或子系統(tǒng)較少時采用,其管理流程如圖1所示。

圖1 輕量級用戶管理方案流程

3.2 通用中間件用戶管理方案

該方案是開發(fā)一個單獨的用戶管理系統(tǒng),作為第三方管理中間件來實現(xiàn) GIS系統(tǒng)的用戶權(quán)限分配、用戶身份認證、用戶信息提取、用戶權(quán)限提取等功能。在AD中創(chuàng)建域賬戶代表 GIS系統(tǒng)的用戶,將用戶的個人信息存儲到域賬戶中;通用中間件用戶管理系統(tǒng)對AD中的 GIS用戶進行自定義的權(quán)限分配,將該用戶的權(quán)限信息保存到授權(quán)數(shù)據(jù)庫中;將用戶認證、權(quán)限提取等功能通過功能接口對外發(fā)布;GIS系統(tǒng)調(diào)用這些功能接口,通過通用中間件用戶管理系統(tǒng)來訪問AD,進行用戶身份認證、用戶信息提取、用戶權(quán)限提取等操作。

該方案的用戶認證流程如下:

1)用戶登錄 GIS系統(tǒng)時輸入用戶名和密碼,GIS系統(tǒng)將該用戶名和密碼通過功能接口提交給通用中間件用戶管理系統(tǒng)。通用中間件用戶管理系統(tǒng)訪問AD,在AD中驗證該用戶名和密碼是否合法,如非法則直接返回“用戶非法”提示,停止 GIS系統(tǒng)登錄。

2)用戶驗證合法后,通用中間件用戶管理系統(tǒng)從授權(quán)數(shù)據(jù)庫中提取該用戶的 GIS系統(tǒng)自定義的操作權(quán)限,并從AD中獲取所需要的用戶個人信息、組織結(jié)構(gòu)信息等,一并返回給 GIS系統(tǒng)。

3)GIS系統(tǒng)根據(jù)返回的用戶操作權(quán)限加載功能模塊,設(shè)置相應的用戶信息,系統(tǒng)啟動。

本解決方案將所有的用戶管理工作都交給通用中間件用戶管理系統(tǒng)來完成,實現(xiàn)了用戶信息和權(quán)限的集中管理,各個 GIS系統(tǒng)不需再關(guān)注自己的用戶管理問題。通用中間件用戶管理系統(tǒng)對外提供功能發(fā)布接口供 GIS系統(tǒng)使用,避免了各 GIS系統(tǒng)直接訪問AD,所有的需求完全通過調(diào)用中間件中的方法訪問AD完成,適合在各種異構(gòu)環(huán)境下部署和使用。由于本方案設(shè)計的通用中間件用戶管理系統(tǒng)既需要訪問AD,又需要操作授權(quán)數(shù)據(jù)庫,還需要提供供外部調(diào)用的功能接口,所以開發(fā)設(shè)計工作較復雜,難度較大。因此,本方案適于在 GIS系統(tǒng)較多、異構(gòu)環(huán)境下采用,其管理方案流程如圖2所示。

圖2 通用中間件用戶管理方案流程

4 結(jié)束語

GIS的多源數(shù)據(jù)集成能力,對海量數(shù)據(jù)的管理、處理、查詢能力,強大的空間分析能力和輔助決策能力,使得它在國土、資源、規(guī)劃等眾多領(lǐng)域得到了廣泛應用。地理信息的安全又直接關(guān)系到國家和地區(qū)的安全、社會的穩(wěn)定。因此,GIS用戶的安全管理問題不容忽視。將活動目錄技術(shù)應用于 GIS的用戶管理,解決了數(shù)據(jù)庫用戶管理模式下的系統(tǒng)維護復雜、用戶管理分散、系統(tǒng)間協(xié)同性差、用戶信息安全性差等問題,是 GIS用戶管理及認證授權(quán)的一個良好的選擇。

[1]張冠東,王緒本.基于活動目錄的域用戶認證系統(tǒng)的研究與設(shè)計[J].微型電腦應用,2005,21(5):5-6.

[2]楊上影.Window s 2003活動目錄實現(xiàn)校園網(wǎng)信息化管理[J].廣西師范學院學報:自然科學版,2005,22(1):82-85.

[3]李志民.基于活動目錄的訪問控制系統(tǒng)[J].中原工學院學報,2004,15(2):33-35.

[4]吳曉斌,張月琳.基于LDAP的校園網(wǎng)統(tǒng)一身份認證系統(tǒng)設(shè)計[J].華中科技大學學報:自然科學版,2003,31(S):332-334.

[5]李瀾,王峰,錢華林.LDAP目錄服務(wù)安全及研究現(xiàn)狀[J].微電子學與計算機,2005,22(6):48-56.

[6]龔強.地理空間信息格網(wǎng)安全問題解析安全體系結(jié)構(gòu)研究[J].地理信息世界,2007(3):64-69.

Application of active directory in user management for GIS

WU Hao,XU Zhi-yuan
(Tianjin Research Institute of Water Transport Engineering,Tianjin 300456,China)

There ism uch trouble in the Databasemode of GISU ser M anagement,fo r examp le,the comp lex system maintenance,the dispersion user management,the difficult cooperation among p latfo rm s,the bad security of user’s info rmation.In o rder to safely manage GIS users,conveniently distribute and control user’s power,strictly authenticate users,this paper puts active directory from M icrosoft in use of GIS user management.Combined w ith the active directory’s mechanism,app lication and the needs of GIS user management,this paper p romotes two solutions,expatiates the logo of every solution,and compares the advantages and disadvantagesw ith each other.This paper offers a new idea fo r GIS user management.

active directory;GIS;user management

TP31

A

1006-7949(2010)06-0070-03

2009-11-15

吳 昊(1984-),男,助理工程師,碩士.

[責任編輯張德福]