CN100396002C - 一种利用关联查询进行鉴权的系统及其方法 - Google Patents

Abstract

本发明提供一种利用关联查询进行鉴权的系统，包括有可接收查询要求的查询管理器、存储有被管对象的数据的数据库系统，鉴权服务器可接受来自客户端的鉴权请求信息，并将该鉴权请求信息传送给查询管理器；查询管理器可解析该鉴权请求信息，生成查询语句，向数据库系统进行查询；对象管理器存储有被管理对象的关联关系图；图迭代器中存储有预定的算法，用来求解所述关联关系图中的路径，并将求解的最优结果返回给查询管理器。本发明还提供一种利用关联查询进行鉴权的方法。本发明采用关联关系图及根对象进行鉴权，具有鉴权效率高、修改关联关系容易等优点。

Description

一种利用关联查询进行鉴权的系统及其方法

技术领域

本发明涉及网络管理领域的权限控制和管理，尤其涉及一种在下一代网络(Next Generation Networking，NGN)管理中的利用关联查询进行鉴权的系统及其方法。

背景技术

由于软交换实现了控制与接入分离，而且具有容量大的特点，所以软交换系统在部署时经常会采用跨多个区域开展业务。当跨区域开展业务时，对业务受理、运行维护带来了新的要求，常会采用分权分域管理。

另外，目前电信网络管理系统(尤其是NGN网络管理系统)中的被管对象的功能越来越强、配置数据越来越多、配置数据之间的关系越来越复杂，对权限控制的要求也越来越精细，而用户对系统性能和安全性的要求却越来越高。这样，就对网管的权限管理提出很高的要求。

但是目前的网管系统在对具有大数据量、数据关系复杂、用户权限变化频繁、权限划分和控制细化等特点的网络系统管理上尚没有非常好的方法。例如，现有的一种方法是直接对这种网络系统中所有的被管对象进行权限设置。当有用户请求到其中某一或某些被管对象时，则根据该被管对象的权限进行鉴权(此处所说的鉴权是指：根据某个用户的权限设置，判断该用户对哪些对象或数据有权限)。但是在这种方法中，因为需要对每个被管对象的权限均进行设置，故鉴权的数据量大、占用内存空间大；且在进行权限设置或修改时的工作量大，鉴权效率低。

另外，在其他一些方法中，可采用包容关系(例如，采用如树或表的结构)对被管对象进行权限设置。但是这种方法也存在不足之处：由于被管对象间关系错综复杂，很难完全用包容的关系进行描述(例如，对于多根归属的问题，较难仅用包容关系描述清楚)；且当需要增加、修改被管对象的权限时，较难调整包容关系。

发明内容

本发明要解决的技术问题在于，为克服现有技术的不足，提供一种利用关联查询进行鉴权的系统及方法，可提高鉴权的效率、且可很容易地调整对象间的关联关系。

本发明解决其技术问题所采用的技术方案在于，提供一种利用关联查询进行鉴权的系统，包括有可接收查询要求的查询管理器及存储有被管对象的数据的数据库系统，进一步包括：鉴权服务器可接受来自客户端的鉴权请求信息，并将该鉴权请求信息传送给查询管理器；查询管理器可解析该鉴权请求信息，生成查询语句，向数据库系统进行查询；对象管理器存储有根据被管对象间的关联关系配置信息而生成的被管理对象的关联关系图，该关联关系图中包括至少一个根对象及非根对象；图迭代器中存储有预定的算法，用来求解所述对象管理器中关联关系图中的路径，该对象管理器将求解的最优结果返回给查询管理器；数据库系统中存储有与根对象相关的鉴权配置信息，该数据库系统可向查询管理器返回所查询的经鉴权后的信息。

在本发明的利用关联查询进行鉴权的系统中，所述关联关系图中包括有两个或两个以上的节点，每一节点包括节点数据和边数据，其中节点数据中存储被管理对象的信息，边数据中存储有对象间关联关系信息，所述关联关系图中的节点可以被增加、删除或修改。

在本发明的利用关联查询进行鉴权的系统中，所述与根对象相关的鉴权配置信息存放在一个权限配置表，所述与根对象相关的鉴权配置信息包括该根对象的相关用户、权限配置信息及其相互关系。

在本发明的利用关联查询进行鉴权的系统中，在所述对象管理器中设置有一辅助权限配置表，该辅助权限配置表用来配置非根对象与根对象的关联关系，所述非根对象至少和一个根对象相关联。

本发明还提供一种利用关联查询进行鉴权的方法，该方法包括：(a)将被管对象分成根对象与非根对象，其中根对象对应有权限配置信息，且根据被管理对象间的关联关系建立关联关系图，该关联关系图存储于对象管理器中；(b)鉴权管理器接收来自客户端的鉴权请求信息，并将该鉴权请求信息传送给查询管理器；(c)对象管理器根据该鉴权请求信息中的被管对象，得出与该被管对象相关的根对象的鉴权配置信息回送给查询服务器；(d)查询管理器根据来自鉴权管理器的鉴权请求信息及所述对象管理器回复的鉴权配置信息，生成关联查询语句，并传给数据库系统；(e)数据库系统根据所述关联查询语句进行查询，并将查询结果传回给查询管理器。

在本发明的利用关联查询进行鉴权的方法中，所述步骤(c)进一步包括：(c1)如果所述被管对象为根对象，则直接返回该根对象的鉴权配置信息。

在本发明的利用关联查询进行鉴权的方法中，所述步骤(c)进一步包括：(c2)如果所述被管对象为非根对象，则找出与关系对象图中与该被管对象关联的根对象，返回该与被管对象关联的根对象的鉴权配置信息。

在本发明的利用关联查询进行鉴权的方法中，所述步骤(c2)进一步包括：

调用图迭代器中的算法求取该请求鉴权的被管理对象与根对象之间的路径，如果该所对应的根对象为一个以上，则分别求取与所述每一个根对象对应的路径；

对象管理器将该多条路径按照一定的规则生成最终路径；

对象管理器将该最终路径传送给查询服务器。

在本发明的利用关联查询进行鉴权的方法中，所述最终路径为多条路径中的“最短最优”路径，或是经过多路径合并后所生成的路径，多路径合并包括对所述多条路径进行“与”、“或”、“非”计算或“与”、“或”、“非”的组合计算。

在本发明的利用关联查询进行鉴权的方法中，所述被管对象之间的关系可以存储在一个关联关系映射表中；步骤(c)中可以通过查找所述关联关系映射表得到非根对象到根对象的关联路径，并获得与所述非根对象对应的根对象的鉴权配置信息。

实施本发明的利用关联查询进行鉴权的系统及方法，具有如下有益效果：在本发明中，根据网络管理系统的被管对象之间的关联关系建立了对象关联关系图，将对具有复杂关联关系的对象的鉴权简化为图的求解。可以直观地描述电信网络管理系统中的被管对象，并可以直观地对图的数据结构进行增加、删除、修改来管理被管对象的关联关系；图迭代器为一单独的实体，可以非常方便地替换不同的算法以满足不同的要求；

在本发明中，将被管对象分成根对象与非根对象，用户通过控制少数的根对象的权限即可达到控制其他下游大量的非根对象，减少了分配权限的工作量，提高权限分配的效率；

对象管理器中只需存放根对象的权限配置信息，这样大大减少数据量，提高鉴权的效率，提高鉴权的响应速度。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1是本发明利用关联查询进行鉴权的系统的结构示意图；

图2是本发明中对象关联关系图的示意图；

图3是本发明利用关联查询进行鉴权的方法的流程图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚明白，下面结合实施例和附图，对本发明进一步详细说明：

图1是本发明利用关联查询进行鉴权的系统的结构示意图；该系统包括有鉴权服务器、查询管理器(以下可称为“查询服务器”)、数据库系统、对象管理器及图迭代器。

其中，鉴权服务器是集中处理鉴权业务逻辑的后台服务程序，其可以接受来自客户端(鉴权请求方)的鉴权请求信息，并可以进行诸如登录访问控制、迭加操作权限控制等操作，同时还可以在多客户端大量请求的情况下进行负载均衡等。其中，来自客户端的鉴权请求信息包含对象名、当前用户名、请求时间、请求类型等等鉴权需要的信息(也即需要权限控制的相关信息)。鉴权服务器可将该鉴权请求信息传送给查询管理器。

查询管理器用于接收来自鉴权服务器的鉴权请求，并将其鉴权请求信息转换为相应的多级关联查询请求(解析鉴权请求过程)，得到查询的条件和查询的对象，根据不同对象生成不同的查询语句，向数据库系统进行查询。该查询管理器可适配不同的数据库系统，其屏蔽不同数据库系统的差异，使上层调用者(如鉴权服务器)不用关心数据库系统的细节(如该数据数据库系统的类型、被管对象如何存放等)；查询管理器可根据不同的调用者所需的协议封装查询后的结果集，不同的客户端(鉴权请求方)所对应的结果集不同，例如，通过网络浏览器(IE)进行鉴权的客户端需要的是封装成HTTP协议的结果集；通过电信网管客户端进行鉴权的需要的是封装成抽象语法记法1(Abstract SyntaxNotation1，ASN1)协议结果集；通过其他特定设备进行鉴权的需要的是以特定私有协议进行封装的结果集，等等。

对象管理器用于以关联关系图的形式保存和管理被管对象的各种关系配置；可管理对象关系策略(如针对何种业务模型使用何种查询策略等)；及管理调度图迭代器的策略。其存储有根据被管对象间的关联关系配置信息而生成的被管理对象的关联关系图。另外，对象管理器中的被管对象间的关联关系配置信息也可以通过手工编写或者通过可视化工具生成。

图迭代器可以是一个独立的服务或进程，也可以是一个函数库。图迭代器存储有多种算法，可用来求解所述对象管理器中关联关系图中的路径，并将结果返回给对象管理器。在本发明中，图迭代器通过一组接口独立出来，这样可以方便使自定义的算法包，也可以使用专业的算法包，或者可以不断添加算法，可提高灵活性和扩展性。

数据库系统中存储有与根对象相关的鉴权配置信息，该鉴权配置信息包括：所有被管对象的数据表、权限配置表、用户表(包括根对象的相关用户)等数据。其可以接收来自查询管理器的查询，向查询管理器返回查询结果。

上述所说的各种服务器不一定就是硬件上独立的一台计算机，也可以是一个独立的服务进程。不同的服务进程可运行在同一台计算机上也可以分别运行在不同的计算机上，例如，在数据量非常大、管理对象非常多的情形下，就可以将每个服务进程分别运行在独立的计算机上。

图2是本发明中的利用对象关联关系图(即关系对象图)进行鉴权的示意图。本发明以具有图2中所示对象关联关系图结构的网络管理系统为实施例，也可以将图2所示简单的对象关联关系图视为整个网络管理系统对象关系图上的一个子图。该图中包括有多个不同的对象节点(如根对象1、非根对象1 1等)，图中的节点数据中存储实际需要的有关的对象信息，图中的边数据中存储对象间关联关系信息及其他相关信息(如遍历控制信息)。而不同的对象节点之间存在有关联关系以连接线的形式表示。在该图中，如果要新增一个对象(如新增非根对象)，只需创建一个节点数据，然后将关联关系信息填入节点的边信息中，同时再更新一下相邻的节点的边信息即可，对其他的节点没有任何影响。同理，可以对节点进行删除或修改等操作。

在本发明中，是按照一定的规则将网络管理系统中的被管对象分成“根对象”和“非根对象”两类，例如，将被管设备中区域性特征明显(如号首集0755表示A市，局向10表示A市的B区等)，且在关联关系中处于较上层的被管对象(其他的被管对象数据至少部分索引或引用该被管对象)作为根对象。由于区域性明显的被管对象在权限划分时与用户的区域管理结构相符，故在设置权限的时候就能很好地与用户管理模型中的角色相匹配，如B区的管理人员就只能管理B区的路由，而所有与B区路由相关的设备也同时归其管理。当然也可以结合其他特征(如所涉及的数据量大小)来区分根对象与非根对象。

在数据库系统中设置有一个权限配置表，存放有各根对象相关的用户与权限配置信息，该权限配置表中记录有根对象、用户、用户权限这样的三元组信息，该权限配置表中不存放非根对象的权限配置信息。权限配置数据只有在鉴权的时候才会被利用到，故可以单独对权限配置表中的数据进行管理或维护。在本发明中，可以通过权限配置表对根对象进行直接鉴权；而对非根对象只能进行间接鉴权，其是通过非根对象与某一或某些根对象之间的关联关系，上溯到对应的根对象，通过对应的根对象的权限配置信息对该非根对象进行鉴权。如图2中的非根对象23可以通过“鉴权路径1”与根对象1相关联、通过“鉴权路径2”与根对象2相关联、通过“新增鉴权路径”与新根对象相关联，并分别通过根对象1、根对象2及新根对象进行鉴权。本发明就是采用对不同的对象进行不同类型的鉴权方式，来减少权限配置表中的权限配置信息的数据量，从而提高鉴权的效率，提高鉴权的响应速度，同时也减少了管理人员授权的工作量。

在图2所描述的关联关系图中，所有需要进行权限控制的被管对象在鉴权时都必须直接或间接地指向一个辅助权限配置表，否则没有相关的用户和权限配置信息，无法进行鉴权。本发明中，将非根对象与根对象的关联关系转化成了非根对象与根对象之间的路径求解，其中带箭头的粗线条表示非根对象与根对象之间的查询路径，及根对象与权限配置表的鉴权路径。该辅助权限配置表存放在对象管理器中。该辅助权限配置表用来配置非根对象如何通过根对象鉴权的相关信息，如依赖的根、与根之间的关联关系等等，所述非根对象至少和一个根对象相关联。它并没有记录根对象、用户、用户权限这样的三元组信息。因为非根对象与根对象之间的关联关系是稳定的，而根对象的权限配置却是不断在变的，故采用分开处理的方式。将根对象、用户、用户权限这样的三无组信息另外存放在上述提到的资料库系统的权限配置表中，在鉴权时再实时进行关联查询。

在其他的实施例中，可以根据被管对象的数据或信息的特点使用自动分析的方法产生一个权限配置信息。

本发明首先要通过被管对象(根对象及非根对象)间的关联关系，建立对象的关联关系图结构，其中关联关系也可以是配置文件、配置表、配置图等，或者可以是其他专门的工具产生的数据。当建立起图2的根数据与非根数据的关联关系图结构后，就可以对被管对象进行鉴权了。如图3所示，是本发明的一个实施例的对用户进行鉴权的流程图。具体说明如下：

步骤一：鉴权服务器接收来自客户端的鉴权请求消息后，将该鉴权请求消息发送给查询服务器，该鉴权请求消息中至少包含有请求鉴权的被管对象(下称鉴权对象)名称、当前用户名称、当前请求时间及鉴权请求类型等鉴权所需要的信息(或称鉴权请求信息)。

步骤二：查询服务器根据该鉴权请求消息中的鉴权对象名称，向对象管理器查询，以判断该被管对象是否为根对象。

步骤三：对象管理器向查询服务器返回其查询的结果(该结果中包括有指示该鉴权是否为根对象的信息、该鉴权对象的附加配置信息，如对象类别，对象优先级等等)。

如果步骤三返回的结果表示该鉴权对象为根对象，则进行直接鉴权的流程，直接根据权限配置数据进行鉴权；

在步骤四中：查询服务器根据来自鉴权服务器的鉴权请求消息结合权限配置数据中该用户的权限信息，生成查询语句，并把该查询语句发送给数据库系统。

步骤五：数据库系统根据该查询语句中的查询条件，查询与该鉴权对象相关的信息生成查询结果，并把该查询结果传回给查询服务器。例如，所述查询结果可以是经过权限过滤后当前用户(下发请求时会包含当前请求者的用户的权限信息)有权限的某被管对象的数据，如：在整个A市的网络中有100个路由，但是甲用户只能管理其中属于B区的3个路由a1、a2、a3，如果用“超级用户”的身份查询路由信息，其可以获得所有的100个路由的信息；如果用“甲”的身份查询路由信息，其只能获得a1、a2、a3三个路由的信息。

步骤六：该查询服务器将该查询结果(如步骤五中的100个路由的信息或a1、a2、a3三个路由的信息)回传给鉴权服务器。

如果步骤三返回的结果表示该鉴权对象为非根对象，则需要进行间接鉴权的流程，找出与该非根对象关联的根对象，通过该根对象的权限配置数据进行鉴权，具体步骤如下：

在步骤七中：查询服务器向对象管理器查询该被管对象所对应的根对象；

步骤八：对象管理器判断与其对应的根对象是否有多根；与一个非根对象相关的根对象可以为多个。如图1所示，图1中的非根对象23分别沿“鉴权路径1”、“鉴权路径2”和“新增鉴权路径”与根对象1、根对象2和新根对象相关联。该步骤可以通过配置数据得到，也可以是通过图迭代器中的算法结合自定义标识遍历关联关系图求解得到。

步骤九：如果与该请求鉴权的被管理对象对应的根对象为多个，则调用图迭代器中的算法求取该请求鉴权的被管理对象与某个根对象之间的路径。

步骤十：该对象管理器根据步骤九中的方法，分别得到与所述每一个根对象对应的路径。

步骤十一：对象管理器将该多条路径按照一定的规则生成最终路径；该最终路径可以是多条路径中的“最短最优”路径，也可以是经过多路径合并后所生成的路径，多路径合并是指按照“与”、“或”、“非”计算或“与”、“或”、“非”的组合计算所生成的路径。

步骤十二：对象管理器将该合并后的路径(最终路径)传送给查询服务器；权限配置信息已经包含在路径生成和合并逻辑中了(比如是否多根，非根对象所关联的根对象是什么等等)；

步骤十三：查询管理器根据该合并后的路径(最终路径)、来自鉴权服务器的鉴权请求信息及对应的权限配置信息，生成多级关联查询语句；

步骤十四：查询服务器将该查询语句发送给数据库系统；

步骤十五：数据库系统根据该查询语句中的查询条件，查询与该鉴权对象相关的信息生成查询结果，并把该查询结果传回给查询服务器。例如，所述查询结果可以是经过权限过滤后当前用户(下发请求时会包含当前请求者的用户的权限信息)有权限的某被管对象的数据，如：在整个A市的网络中有100个路由，但是甲用户只能管理其中属于B区的3个路由a1、a2、a3，如果用“超级用户”的身份查询路由信息，其可以获得所有的100个路由的信息；如果用“甲”的身份查询路由信息，其只能获得a1、a2、a3三个路由的信息。

步骤十六：该查询服务器将该查询结果(如步骤十五中的100个路由的信息或a1、a2、a3三个路由的信息)回传给鉴权服务器。

以上所述，仅为本发明的一个实施例而已，并非用于限定本发明的保护范围。

其中步骤七到步骤十二也可以采用其他的方法来实现，例如，将被管对象的关联关系利用独立的工具求解出来，形成被管对象间关联关系映射表；然后通过查找这个映射表得到非根对象到根对象的关联路径；最后通过根对象进行鉴权，这种方法可以避免动态求解关联路径的运算开销，提高鉴权速度。

且在求解非根对象到根对象之间的鉴权路径时，可在关联关系图结构上，引入加权，加控制标志等，图迭代器根据这些标志按不同的算法求解关联路径，实现按不同需求控制得到的关联路径，从而可以使鉴权过程可以方便地叠加业务逻辑，使鉴权的控制更加灵活和贴近应用。

实施本发明的利用关联查询进行鉴权的系统及其方法，具有如下优点：

在本发明中，对网络管理系统的被管对象之间的关联关系建立了对象关联关系图，将对具有复杂关联关系的对象的鉴权简化为图的求解。可以直观地描述电信网络管理系统中的被管对象，并可以直观地对图的数据结构进行增加、删除、修改来管理被管对象的关联关系；利用关联关系图的形式来管理对象间的关联关系，甚至可以通过设置图中的元素的权重和标志，将特殊的应用逻辑叠加到关联关系中，从而支持个性化的查询需求，提高用户满意度；且图迭代器为一单独的实体，可以非常方便地替换不同的算法以满足不同的要求；

且本发明中将被管对象分成根对象与非根对象，用户通过控制少数的根对象的权限即可达到控制其他下游大量的非根对象，减少了分配权限的工作量，提高权限分配的效率；

资料库系统中只需存放根对象的权限配置信息，这样可减少数据量，提高鉴权的效率，提高鉴权的响应速度。

Claims (10)

1.一种利用关联查询进行鉴权的系统，包括有可接收查询要求的查询管理器及存储有被管对象的数据的数据库系统，其特征在于，进一步包括：

鉴权服务器接收来自客户端的鉴权请求信息，并将该鉴权请求信息传送给查询管理器；

查询管理器可解析该鉴权请求信息，根据不同对象生成查询语句，向数据库系统进行查询；

对象管理器存储有根据被管对象间的关联关系配置信息而生成的被管理对象的关联关系图，该关联关系图中包括至少一个根对象及非根对象；

图迭代器中存储有预定的算法，用来求解所述对象管理器中关联关系图中的路径，该对象管理器将求解的最优结果返回给查询管理器；

数据库系统中存储有与根对象相关的鉴权配置信息，该数据库系统可向查询管理器返回所查询的经鉴权后的信息。

2.如权利要求1所述的利用关联查询进行鉴权的系统，其特征在于，所述关联关系图中包括有两个或两个以上的节点，每一节点包括节点数据和边数据，其中节点数据中存储被管理对象的信息，边数据中存储有对象间关联关系信息，所述关联关系图中的节点可以被增加、删除或修改。

3.如权利要求1或2所述的利用关联查询进行鉴权的系统，其特征在于，所述与根对象相关的鉴权配置信息存放在一个权限配置表，所述与根对象相关的鉴权配置信息包括该根对象的相关用户、权限配置信息及其相互关系。

4.如权利要求3所述的利用关联查询进行鉴权的系统，其特征在于，在对象管理器中设置有一辅助权限配置表，该辅助权限配置表用来配置非根对象与根对象的关联关系，所述非根对象至少和一个根对象相关联。

5.一种利用关联查询进行鉴权的方法，其特征在于，该方法包括：

(a)将被管对象分成根对象与非根对象，其中根对象对应有权限配置信息，且根据被管理对象间的关联关系建立关联关系图，该关联关系图存储于对象管理器中；

(b)鉴权管理器接收来自客户端的鉴权请求信息，并将该鉴权请求信息传送给查询管理器；

(c)查询管理器根据该鉴权请求消息向对象管理器查询，对象管理器根据该鉴权请求信息中的被管对象，得出与该被管对象的鉴权配置信息并回送给查询管理器；(d)查询管理器根据来自鉴权管理器的鉴权请求信息及所述对象管理器回复的鉴权配置信息，生成关联查询语句，并传给数据库系统；

(e)数据库系统根据所述关联查询语句进行查询，并将查询结果传回给查询管理器。

6.如权利要求5所述的利用关联查询进行鉴权的方法，其特征在于，所述步骤(c)进一步包括：

(c1)如果所述被管对象为根对象，则直接返回该根对象的鉴权配置信息。

7.如权利要求5所述的利用关联查询进行鉴权的方法，其特征在于，所述步骤(c)进一步包括：

(c2)如果所述被管对象为非根对象，则找出与关系对象图中与该被管对象关联的根对象，返回该与被管对象关联的根对象的鉴权配置信息。

8.如权利要求7所述的利用关联查询进行鉴权的方法，其特征在于，所述步骤(c2)进一步包括：

调用图迭代器中的算法求取该请求鉴权的被管理对象与根对象之间的路径，如果该所对应的根对象为一个以上，则分别求取与所述每一个根对象对应的路径；

对象管理器将该多条路径按照一定的规则生成最终路径；

对象管理器将该最终路径传送给查询管理器。

9.如权利要求8所述的利用关联查询进行鉴权的方法，其特征在于，所述最终路径为多条路径中的“最短最优”路径，或是经过多路径合并后所生成的路径，多路径合并包括对所述多条路径进行“与”、“或”、“非”计算或“与”、“或”、“非”的组合计算。

10.如权利要求5所述的利用关联查询进行鉴权的方法，其特征在于，所述被管对象之间的关系可以存储在一个关联关系映射表中；步骤(c)中可以通过查找所述关联关系映射表得到非根对象到根对象的关联路径，并获得与所述非根对象对应的根对象的鉴权配置信息。

Images