CN100386990C

CN100386990C - 一种智能网灵活权限管理的实现方法

Info

Publication number: CN100386990C
Application number: CNB2004100041173A
Authority: CN
Inventors: 曾建峰; 梅少杰
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2004-02-07
Filing date: 2004-02-07
Publication date: 2008-05-07
Anticipated expiration: 2024-02-07
Also published as: CN1652509A

Abstract

本发明公开了一种智能网灵活权限管理的实现方法，该方法为：被管理对象向业务管理服务器发起操作权限请求；业务服务器根据所述请求中的操作员和操作信息查询操作员授权定义，判断该操作员请求的操作是否被授权，如果未被授权则向被管理对象返回“无权操作”结果并拒绝操作；否则根据请求中的操作信息从操作属性定义中获取执行该操作需要被检查的操作属性信息；根据操作员和所述需要被检查的操作属性信息，从操作员的属性定义中获取对应的属性值，并将该属性值与操作发生条件中的信息进行匹配，如果能够匹配则向被管理对象返回“有权操作”结果并允许操作；否则返回“无权操作”结果并拒绝操作。

Description

一种智能网灵活权限管理的实现方法

技术领域

本发明涉及通信领域的智能网技术，尤其涉及一种智能网灵活权限管理的实现方法。

背景技术

目前主要有如下几种方法来实现权限管理：

方法一：根据管理对象分配权限。首先给出对象，然后在增加操作员时，对相应的对象都分配权限(通常是创建，读，修改，删除)，如文件的管理，版本管理(VSS，一种版本管理工具)等。

方法二：把操作分配为一个操作集，操作集有级别，然后在增加操作员时，给该操作员分配几个操作集和操作权限级别。如Window 2000的权限管理，有管理员，普通用户，客人，受限用户。

方法三：将操作划分为操作集，为用户分配某些操作集的权限。关于地区权限的功能，为用户分配某些地区的权限；根据这两个条件来判断用户是否有权限进行操作。该方法为目前智能网的采用的一种管理方式。

以上三种方法存在不灵活、不可重用和不易于扩展的缺点：

对于方法一而言，因为在智能网管理对象很多，每个账号就可以是一个管理对象，所以不适用。根据管理对象分配权限的缺点：对象可能非常多，有的对象可能可以有别的特别操作，而有的操作可能不是针对某个对象的。

对于方法二而言，因为在智能网不同操作员对不同的管理对象的操作集是不同的，假设账号操作为一个操作集，操作员A对广州的账号可以进行账号操作，对深圳的账号可能就不能进行账号操作。

对于方法三而言，智能产品通常是面向用户需求而开发的，和用户的需求联系很密切。时常要根据用户的需求和现场的应用环境进行更改和适应，比如运营商A可能希望把操作员按照用户的地区分类分配权限，而运营商B希望根据应用服务器或者子系统管理的用户或者业务的用户分类进行管理和分配权限。另外有时候希望两个子系统使用同样的权限管理，而不必重新登陆。很难做到，因为不同系统的属性不同。比如说固定智能网和移动智能网使用同样系统，这样当操作员已经登陆固定智能网，如果要登陆移动智能网要再输入密码。目前智能网实现方式中判断条件是固定的，例如只能根据操作集和地区属性来判断用户权限，如果今后增加一种判断条件，则需要重新编码。

发明内容

本发明的目的在于提供一种智能网灵活权限管理的实现方法，以解决现有智能网的权限管理中存在不灵活、不易扩展的问题。

实现本发明的技术方案：

一种智能网灵活权限管理的实现方法，所述智能网中具有用于权限管理的业务管理服务器；该方法包括步骤：

A、被管理对象向业务管理服务器发起操作权限请求，该请求中包含操作员、操作和该操作发生条件的信息；

B、业务服务器根据所述请求中的操作员和操作信息查询操作员授权定义，判断该操作员请求的操作是否被授权，如果未被授权则向被管理对象返回“无权操作”结果并进行步骤E；否则进行步骤C；

C、根据请求中的操作信息从操作属性定义中获取执行该操作需要被检查的操作属性信息；

D、根据操作员和所述需要被检查的操作属性信息，从操作员的属性定义中获取对应的属性值，并将该属性值与操作发生条件中的信息进行匹配，如果能够匹配则向被管理对象返回“有权操作”结果；否则返回“无权操作”结果；

E、被管理对象根据业务管理服务器返回结果，允许或拒绝操作员进行业务操作。

B、业务管理服务器分别查询请求中的操作员和操作所属的操作员集合和操作集合，其中，由具有相同权限的操作员组成该操作员集合，由一系列相关操作组成该操作集；

C、根据步骤B中得到的操作员集合和操作集合查询操作员集合的授权定义，判断步骤A中的操作员请求的操作是否被授权，如果未被授权则向被管理对象返回“无权操作”结果并进行步骤F；否则进行步骤D；

D、根据步骤B中得到的操作集合从操作集合属性定义中获取执行该操作集合中的操作需要被检查的操作属性；

E、根据所述需要被检查的操作属性和步骤B中得到的操作员集合，从操作员集合的属性定义中获取对应的属性值，并将该属性值与操作发生条件中的信息进行匹配，如果能够匹配则向被管理对象返回“有权操作”结果；否则返回“无权操作”结果；

F、被管理对象根据业务管理服务器返回结果，允许或拒绝操作员进行业务操作。

本发明具有以下优点：

1、不涉及具体管理对象。操作不涉及管理对象，操作员的权限分配不涉及管理对象，因此，具有适应性强和可重用的特点。

2、操作可以动态增加。在安装业务之后，把相关的操作属性记录增加到数据库中，操作员可以配置对这些操作的权限。

3、操作员的属性名是可配置的，因此对不同的智能网产品，可以配置不同的属性名和属性值，进而多个智能网产品可以使用一个权限管理系统。

4、配置可以动态修改，操作员的属性名可以依据需求而变动，因此整个系统可以根据用户需求配置操作员的属性名和属性值，甚至修改定义，非常灵活，适应性强，也易于扩展。

附图说明

图1为本发明的组网结构示意图；

图2、图3为本发明的流程图。

具体实施方式

实施例一

参阅图1所示，业务管理服务器(Service Management Server，SMS)采用商用的计算机服务器作为硬件平台，既可以管理传统智能网的业务控制点(IN-SCP)，也可以管理下一代智能网应用服务器(NGIN-APP Server)。SMS同时可以管理多个SCP或者APP Server节点。SMS中的灵活权限管理模块是业务管理服务器的一个重要模块，负责对IN-SCP或者NGIN-APP Server的权限管理。

在本发明中，将操作员的属性和待执行操作的关键参数提取出来，并定义和配置后保存于SMS的数据库中，由SMS根据待执行操作的参数和操作员的具体属性来判断操作员的权限。

1、操作员的属性定义

将操作员属性和操作员属性值抽象出来作数据表的字段，操作员的“具体属性名”作为“操作员属性”的值而存在，操作员的“具体属性值”作为“操作员属性值”的值而存在，可灵活配置。

操作员的属性定义：OperatorProfile(Operator，AttributeName，AttributeValue)

即：操作员(Operator)的属性AttributeName可以为AttributeValue

对于操作员可以根据需要灵活定义多条属性，例如：

OperatorProfile(张三，地区，北京)。//张三对北京的对象(如用户/应用服务器)具有权限

OperatorProfile(张三，地区，深圳)。//张三对深圳的对象(如用户/应用服务器)具有权限

OperatorProfile(张三，业务，200卡号)。//张三对200卡号业务具有权限操作员的属性定义的数据库表结构如下：

操作员	属性名	属性值
操作员	属性名	属性值	张三	地区	北京
张三	地区	深圳	张三	地区	北京
张三	地区	深圳	张三	业务	200卡号

2、操作的属性定义

将每个操作的参数中与权限有关的参数提取出来作为字段，可灵活配置。

操作的属性定义：OperationParameter(Operation，ParameterName)

表示：操作Operation的参数ParameterName需要被检查

对于操作可以根据需要灵活定义多条属性，例如：

OperationParameter(安装业务，地区)

表示：在操作员实行“安装业务”操作时，要检查操作地区参数是否符合操作员的地区属性。如，对北京没有权限的用户，不能安装北京地区的业务。

OperationParameter(安装业务，业务)

表示：在操作员进行“安装业务”操作时，要检查操作的业务参数是否符合操作员的业务属性。如，对200卡号业务没有权限的用户，不能安装该业务。

操作的属性定义的数据库表结构如下：

操作	参数名
操作	参数名	安装业务	地区
安装业务	业务	安装业务	地区

3、操作员的授权定义

对每个操作员授权可执行的操作，可灵活配置。

AuthorizedOperation(Operator，Operation)

表示：操作员Operator可以执行操作Operation

可以根据需要灵活定义多条属性，例如：

AuthorizedOperation(张三，安装业务)//张三可执行“安装业务”操作

AuthorizedOperation(张三，批量增加200卡)//张三可执行“批量增加200卡”操作

操作员的授权定义的数据库表结构如下：

操作员	操作
操作员	操作	张三	安装业务
张三	批量增加200卡	张三	安装业务

4、权限判断过程

当需要判断某操作员(用户)对某操作是否有权限时，可调用如下接口：

IsAccessibleOperation(Operator，Operation，ParameterNameValuePairList)

Operator为操作员名称，Operation为操作名称，ParameterNameValuePairList为该操作发生的条件。权限判断将结合上面提到的操作员的授权定义，操作属性定义，操作员的属性定义进行判断。

调用该接口的例子如下：

IsAccessibleOperation(张三，安装业务，((地区，北京)，(业务，200卡号)))//判断张三是否可以安装北京地区的200卡号业务？

IsAccessibleOperation(张三，安装业务，((地区，上海)，(业务，VPN业务)))//判断张三是否可以安装上海地区的VPN业务？

参阅图2所示，具体的权限管理流程如下：

步骤10：被管理对象向业务管理服务器发起操作权限请求，该请求中包含操作员、操作和该操作发生条件的信息。

步骤20：业务服务器根据所述请求中的操作员和操作信息查询操作员授权定义，判断该操作员请求的操作是否被授权，如果未被授权则向被管理对象返回“无权操作”结果并进行步骤90；否则进行步骤30。

步骤30：根据请求中的操作信息查询操作属性定义，判断是否有该操作的属性定义，如果有则进行步骤40，否则进行步骤80。

步骤40：获取一条操作的属性定义，即获取执行该操作需要被检查的操作属性信息。

步骤50：根据操作员和所述需要被检查的操作属性信息，从操作员的属性定义中获取对应的属性值。

步骤60：将该属性值在操作发生条件中进行匹配，如果能够匹配则进行步骤70；否则进行步骤90。

步骤70：判断操作的属性是否取完；如果是则进行步骤80，否则进行步骤40。

对于操作可能会有多条属性定义，因此，对每一条属性均要进行相同的处理。

步骤80：向被管理对象返回“有权操作”结果，被管理者允许操作员进行操作。

步骤90：向被管理对象返回“无权操作”结果，不允许操作员进行操作。

属性定义及权限判断过程的例子：

A、属性定义

OperatorProfile(张三，地区，北京).

OperatorProfile(张三，地区，深圳).

OperatorProfile(张三，业务，200卡号).

OperatorProfile(张三，业务，800业务).

OperationParameter(安装业务，地区).

OperationParameter(安装业务，业务).

AuthorizedOperation(张三，安装业务).

B、权限判断

-IsAccessibleOperation(张三，安装业务，((地区，北京)，(业务，200卡号)))

判断结果：“有权操作”，即张三可以安装北京地区的200卡号业务

-IsAccessibleOperation(张三，安装业务，((地区，上海)，(业务，200卡号)))

判断结果：“无权操作”，即张三不可以安装上海地区的200卡号

-IsAccessibleOperation(张三，安装业务，((地区，北京)，(业务，VPN业务)))

判断结果：“无权操作”，即张三不可以安装北京地区的VPN业务

实施例二

本实施例的方法是在实施例一所述方法的扩展，智能网组网结构参阅图1所示。

在权限管理时，为了配置数据简便起见，通常是把一系列相关操作组合为一个操作集，将相同权限的操作员组合为一个操作员集合。在这种方式下，操作员的属性定义，操作的属性定义，操作员的授权定义变成了操作员集合的属性定义，操作集合的属性定义，操作员集合的授权定义。同时增加操作集合的定义，操作员集合定义。权限判断接口一致，但权限判断过程略有扩展。

1、操作员集合的属性定义

OperatorGroupProfile(OperatorGroup，AttributeName，AttributeValue)

表示：操作员集合OperatorGroup的属性AttributeName可以为AttributeValue

对于操作员集合可以根据需要灵活定义多条属性，例如：

OperatorGroupProfile(操作员集合1，地区，北京)//操作员集合1对北京的对象(如用户/应用服务器)具有权限

OperatorGroupProfile(操作员集合1，地区，深圳)//操作员集合1对深圳的对象(如用户/应用服务器)具有权限

OperatorGroupProfile(操作员集合1，业务，200卡号)//操作员集合1对200卡号业务具有权限

2、操作集合的属性定义

OperationGroupParameter(OperationGroup，ParameterName)

表示：操作集合OperationGroup的参数ParameterName需要被检查

对于操作结合可以根据需要灵活定义多条属性，例如：

OperationGr0upParameter(操作集合1，地区)

在操作员实行操作集合1中的操作时，要检查操作的地区参数是否符合操作员的地区属性。对北京没有权限的用户，不能安装北京地区的业务

OperationGroupParameter(操作集合1，业务)

在操作员实行操作集合1中的操作时，要检查操作的业务参数是否符合操作员的业务属性。对200卡号业务没有权限的用户，不能安装该业务。

3、操作员集合的授权定义

AuthorizedGroupOperation(OperatorGroup，OperationGroup)

即：属于操作员集合OperatorGroup中操作员可以执行属于操作集合OperationGroup中的操作。

可以根据需要灵活定义多条属性，例如：

AuthorizedGroupOperation(操作员集合1，操作集合1)

AuthorizedGroupOperation(操作员集合1，操作集合2)

4、操作员集合的定义

OperatorGroupDefine(Operator，OperatorGroup)

即：定义某操作员属于哪个操作员集合。

例如：

OperatorGroupDefine(张三，操作员集合1)

OperatorGroupDefine(李四，操作员集合1)

5、操作集合的定义

OperatorGroupDefine(Operation，OperationGroup)

即：定义某操作属于哪个操作集合。

例如：

OperationGroupDefine(业务管理，操作集合1)

OperationGroupDefine(系统管理，操作集合1)

6、权限判断过程

当需要判断某用户是否对某操作是否有权限时，可调用如下接口：

IsAccessibleOperation(Operator，Operation，ParameterNameValuePairList)

这个调用接口与实施例一中的方式相同。

参阅图3所示，具体的权限管理流程如下：

步骤100：被管理对象向业务管理服务器发起操作权限请求，该请求中包含操作员、操作和该操作发生条件的信息。

步骤110：业务服务器根据请求中的操作员信息查找该操作员所属的操作员集合。

步骤120：根据请求中的操作信息查找该操作所属的操作集合。

步骤130：根据查到的操作员集合和操作集合查询授权定义，判断该操作员集合中的操作员是否被授权执行该操作集合中的操作，如果未被授权则向被管理对象返回“无权操作”结果并进行步骤200；否则进行步骤140。

步骤140：判断是否有该操作集合的属性定义，如果有则进行步骤150，否则进行步骤190。

步骤150：获取一条操作集合的属性定义，即获取执行该操作集合中的操作需要被检查的操作属性信息。

步骤160：根据操作员集合和所述需要被检查的操作属性信息，从操作员集合的属性定义中获取对应的属性值。

步骤170：将该属性值在操作发生条件中进行匹配，如果能够匹配则进行步骤180；否则进行步骤200。

步骤180：判断操作集合的属性是否取完；如果是则进行步骤190，否则进行步骤150。

对于操作集合可能会有多条属性定义，因此，对每一条属性均要进行相同的处理。

步骤190：向被管理对象返回“有权操作”结果，被管理者允许操作员进行操作。

步骤200：向被管理对象返回“无权操作”结果，不允许操作员进行操作。

从实施例一和二可知，本发明将操作员的属性和操作的参数抽取出来，根据对操作员和操作的属性配置来判断操作权限，完全适用于智能网权限管理，并且具有如下优点：

(1)不涉及具体管理对象。操作不涉及管理对象，操作员的权限分配不涉及管理对象。

(2)操作可以动态增加。在安装业务之后，把相关的操作属性记录增加到数据库中，操作员可以配置对这些操作的权限。

(3)操作员的属性名是可配置的，因此对不同的智能网产品，可以配置不同的属性名和属性值，进而多个智能网产品可以使用一个权限管理系统。

(4)配置可以动态修改，操作员的属性名可以依据需求而变动，因此整个系统可以根据用户需求配置操作员的属性名和属性值，非常灵活。

Claims

1.一种智能网灵活权限管理的实现方法，所述智能网中具有用于权限管理的业务管理服务器；其特征在于该方法包括步骤：

2.如权利要求1所述的方法，其特征在于，当操作属性定义中对所述请求的操作有多条属性定义时，获取每一条属性定义的操作属性信息，并分别从操作员属性定义中获取对应的属性值，如果其中任意一个属性值不能与操作发生条件中的信息匹配，则向被管理对象返回“无权操作”结果。

3.如权利要求1或2所述的方法，其特征在于，在步骤C，当所述请求的操作在操作属性定义中没有被定义时，则向被管理对象返回“有权操作”结果并进行步骤E。

4.一种智能网灵活权限管理的实现方法，所述智能网中具有用于权限管理的业务管理服务器；其特征在于该方法包括步骤：

B、业务服务器分别查询请求中的操作员和操作所属的操作员集合和操作集合，其中，由具有相同权限的操作员组成该操作员集合，由一系列相关操作组成该操作集；

5.如权利要求4所述的方法，其特征在于，当操作属性定义中对步骤B中得到的操作集合有多条属性定义时，获取每一条属性定义的操作属性信息，并分别从操作员集合的属性定义中获取对应的属性值，如果其中任意一个属性值不能与操作发生条件中的信息匹配，则向被管理对象返回“无权操作”结果。

6.如权利要求4或5所述的方法，其特征在于，在步骤D，当步骤B中得到的操作集合没有属性定义时，则向被管理对象返回“有权操作”结果并进行步骤F。