楊斌

[摘要] 隨著企業(yè)信息化發(fā)展水平的不斷提高，企業(yè)管理的信息系統(tǒng)也是越做越大，用戶數(shù)量也是不斷增加，如何精確地控制系統(tǒng)用戶的訪問權(quán)限，不越權(quán)操作，滿足企業(yè)內(nèi)控管理要求，降低企業(yè)管理風(fēng)險(xiǎn)，是大型管理信息系統(tǒng)建設(shè)需要考慮的重要問題。本文簡(jiǎn)要介紹大型管理信息系統(tǒng)權(quán)限控制的策略。

[關(guān)鍵詞] 信息系統(tǒng)； 權(quán)限控制； 策略

[中圖分類號(hào)] F272.7 [文獻(xiàn)標(biāo)識(shí)碼] A [文章編號(hào)] 1673 - 0194（2013）06- 0071- 02

1 什么是權(quán)限

權(quán)限對(duì)于一個(gè)信息系統(tǒng)來說，就是用戶在系統(tǒng)中能夠做哪些操作。說來簡(jiǎn)單，但是系統(tǒng)實(shí)現(xiàn)起來并不是一件容易的事，這要涉及到系統(tǒng)的用戶管理、角色管理、權(quán)限對(duì)象管理、權(quán)限分配管理、內(nèi)控互斥檢查等。要求系統(tǒng)在最初設(shè)計(jì)時(shí)就要考慮每個(gè)系統(tǒng)功能都要關(guān)聯(lián)權(quán)限控制的問題。

2 權(quán)限控制的設(shè)計(jì)

2.1 明確權(quán)限控制的精度

對(duì)于一個(gè)大型管理信息系統(tǒng)，在系統(tǒng)建設(shè)的最初設(shè)計(jì)時(shí)要考慮系統(tǒng)的權(quán)限要控制到什么程度才能滿足管理需求，一般從低到高會(huì)分為3個(gè)級(jí)別：用戶級(jí)、程序級(jí)、權(quán)限對(duì)象級(jí)。用戶級(jí)就是只要系統(tǒng)中設(shè)定了用戶，用戶就可以使用系統(tǒng)的所有功能，這樣的權(quán)限控制一般會(huì)在比較小的系統(tǒng)中應(yīng)用。程序級(jí)就是在系統(tǒng)中給用戶分配可以訪問具體的哪些程序，可以利用角色定義一組程序來管理用戶權(quán)限。這樣的權(quán)限控制一般會(huì)在中型規(guī)模的信息系統(tǒng)中應(yīng)用。權(quán)限對(duì)象級(jí)就是系統(tǒng)中給用戶分配可以訪問某一個(gè)程序中的某個(gè)給定的權(quán)限對(duì)象，如操作對(duì)象的“創(chuàng)建”、“修改”、“刪除”、“瀏覽”，組織架構(gòu)對(duì)象中的某些單位信息等等，這是大型管理信息系統(tǒng)建設(shè)應(yīng)該采用的權(quán)限控制模式。

2.2 權(quán)限控制設(shè)計(jì)的功能

（1） 用戶管理：系統(tǒng)用戶基本信息的添加、刪除、修改、查詢、鎖定、重置密碼等功能。

（2） 程序管理：程序信息的添加、刪除、修改、查詢功能，以及在程序中應(yīng)用的權(quán)限對(duì)象的添加、刪除、修改、查詢和分配功能。

（3） 權(quán)限對(duì)象管理：權(quán)限對(duì)象的添加、刪除、修改、查詢功能。

（4） 角色管理：角色的添加、刪除、修改、查詢功能。

（5） 角色-權(quán)限對(duì)象“1對(duì)多”關(guān)系分配：包括在角色中添加、刪除、修改、查詢程序和程序中要訪問的權(quán)限對(duì)象。

（6） 用戶-角色“1對(duì)多”關(guān)系分配：給用戶分配定義好的角色，達(dá)到用戶權(quán)限控制的目的。

3 權(quán)限分配的原則

3.1 滿足內(nèi)控的權(quán)限互斥要求

大型管理信息系統(tǒng)的管理功能一定要符合內(nèi)控管理的要求，權(quán)限的分配要滿足權(quán)限互斥的要求，一般系統(tǒng)在上線前都要按系統(tǒng)的特點(diǎn)和管理的要求，制定權(quán)限職責(zé)分離矩陣，明確互斥權(quán)限關(guān)系，矩陣中定義了哪些功能在應(yīng)用時(shí)與其他功能是互斥的，一個(gè)人不能擁有具有互斥關(guān)系的功能。用戶權(quán)限互斥關(guān)系要定期檢查，避免管理員在賦權(quán)是給予了用戶更大的權(quán)限或是賦權(quán)時(shí)出現(xiàn)了權(quán)限疊加。權(quán)限的檢查可以人工按照互斥矩陣檢查，也可以開發(fā)一套權(quán)限管理系統(tǒng)，在系統(tǒng)中定義用戶權(quán)限互斥矩陣，系統(tǒng)自動(dòng)判斷權(quán)限互斥。

3.2 滿足系統(tǒng)應(yīng)用的需求

大型管理信息系統(tǒng)的權(quán)限賦值既要滿足內(nèi)控管理要求，還要滿足企業(yè)的管理需求，有時(shí)這是一對(duì)矛盾，解決這個(gè)問題需要系統(tǒng)在實(shí)施時(shí)要合理地調(diào)整管理人員的崗位設(shè)置，必要時(shí)要按內(nèi)控管理要求增設(shè)崗位以滿足企業(yè)的管理需求。對(duì)于確實(shí)無法避免用戶權(quán)限互斥的問題，在管理上要對(duì)這些崗位人員的操作加強(qiáng)監(jiān)控，定期檢查，避免出現(xiàn)管理風(fēng)險(xiǎn)，給企業(yè)造成不必要的損失。

4 系統(tǒng)的實(shí)現(xiàn)邏輯

4.1 數(shù)據(jù)結(jié)構(gòu)設(shè)計(jì)

用戶：用戶ID、賬號(hào)、用戶名、密碼。

角色：角色I(xiàn)D、角色描述。

程序：程序ID、程序描述。

權(quán)限對(duì)象：權(quán)限對(duì)象ID、權(quán)限對(duì)象描述。

程序-權(quán)限對(duì)象：程序-權(quán)限對(duì)象ID，程序ID，權(quán)限對(duì)象ID。

角色-程序：角色-程序ID，角色I(xiàn)D，程序ID。

用戶-角色：用戶-角色I(xiàn)D，用戶ID，角色I(xiàn)D。

4.2 程序控制設(shè)計(jì)

登錄程序：用戶登錄時(shí)，比較用戶名和密碼，成功后將用戶名和登錄狀態(tài)放在相應(yīng)的變量中，BS模式可以將用戶和登錄狀態(tài)保存在session中。

應(yīng)用程序：在程序的入口處，判斷用戶登錄狀態(tài)，成功后，在使用權(quán)限對(duì)象對(duì)應(yīng)的功能時(shí)，判斷用戶在這個(gè)程序擁有的權(quán)限對(duì)象和權(quán)限對(duì)象賦值，如果有，執(zhí)行該功能；如果沒有，提示退出。

5 結(jié) 語

大型管理信息系統(tǒng)的權(quán)限控制策略，決定了系統(tǒng)能否安全可靠地使用，系統(tǒng)的開發(fā)人員在系統(tǒng)設(shè)計(jì)時(shí)就要考慮系統(tǒng)權(quán)限的控制，本文所提到信息系統(tǒng)的權(quán)限控制策略，適用于大型管理信息系統(tǒng)的權(quán)限控制，對(duì)于一般信息規(guī)模系統(tǒng)來說，可以在這個(gè)策略的基礎(chǔ)上進(jìn)行必要的簡(jiǎn)化。

主要參考文獻(xiàn)

[1] [德]薩斯喀-亞歷山大·拜爾. SAP權(quán)限系統(tǒng)[M]. 陳躍東，譯. 北京：東方出版社，2006.