CN100428690C - 用于确定对it资源的访问权的方法 - Google Patents

Abstract

公开了一种控制对IT系统内的资源的访问的操作防火墙。该IT系统从一请求实体接收多个命令，并且每个命令请求对一资源的访问以便完成一功能，如由一过程所定义的那样。该操作防火墙对于每个接收到的命令确定在该接收到的命令、该接收到的命令的识别出的特征和所请求的资源之间的关系。响应于确定了所述关系，向该命令分配一状态，并确定该请求实体是否具有适当的授权级别以便在该资源上执行该命令。如果该请求实体不具有适当的授权级别，则拒绝对该请求资源的访问，并建议可执行的另一可选择的命令。

Description

用于确定对IT资源的访问权的方法

技术领域

本发明涉及信息技术管理系统领域，并尤其涉及用于确定对IT资源的访问权的方法和系统。

背景技术

很大一部分IT系统失败是由操作者错误造成的。操作者错误经常由于操作者向系统中输入了不正确的命令而发生。由于IT系统正变得更为复杂，常常具有数百个部件要管理，而使这一问题更为严重了。这些部件可包括网络部件、服务器、外围设备、软件应用、桌面计算机和很多其他设备。随着企业对IT系统的依赖的增长，IT系统的故障会对企业完成其业务功能的方式造成重大影响。

随着IT系统变得更为可靠，操作者更少地卷入到任何一个特定的系统中，并且操作者的活动更经常地分布到很多IT系统。因此，操作者不能够发展出对任何一个特定IT系统的知识。此外，在企业环境中维持可能不经常使用的对一个特定IT系统的深入的知识是不可行的。对企业成本的增长的压力导致这样的工作环境，其中共享的操作者组管理大量和复杂的IT系统，这又转而增加了操作者输入错误的可能性。

今天，上述问题是通过精心培训的职员和在操作程序上的投资的组合来管理的。每当可能时就使用自动化的响应来消除对操作员干预的需要。然而当需要操作员干预时，上述技术都不是很令人满意，因为对企业来说，它们增加了成本。

另一个问题是由例如FDA的管理规章框架产生的，所述管理规章框架要求在受规章管理的系统上工作的每个操作职员经过培训并被认证为能够胜任地使用该受规章管理的系统。

欧洲专利申请EP1 381 199A1公开了一种用于动态准许和拒绝网络资源的防火墙。EP1 381 199A1涉及一种根据用户的准许和根据已经访问的资源的个人化的访问策略服务器。公开了一种用于提供动态定义的受限制的从用户的终端进行的因特网访问的方法，其中一门户服务器提供了一具有标识一组可访问资源的门户信息的门户网站。

EP1 381 199A1的一缺点是虽然EP1 381 199A1动态控制对网络资源的访问，它并未解决一旦已给予对一网络资源的访问时对特定命令的访问权的问题。

因此，需要提供一种减轻上述问题的方法和系统。

发明内容

从第一方面来看，本发明提供了一种用于控制对IT系统内的资源的访问的方法，该IT系统从一请求实体接收多个命令，每个命令请求对一资源的访问以便执行一功能，该方法包括以下步骤：识别用于该请求实体的授权级别；确定用于每个所接收到的命令的至少一个特征；对于每个接收到的命令，确定在该接收到的命令、其被确定的特征和所请求的资源之间的关系，以确定在该资源上执行所接收到的命令的效果；根据所确定的在该请求的资源上执行所接收到的命令的效果，向所接收到的命令分配一状态；比较所识别的授权级别与该命令的所分配的状态，以确定该请求实体是否具有适当的授权级别来执行由所接收到的命令所请求的功能；并取决于该比较步骤，比较或拒绝对所请求的资源的访问。

本发明通过在资源和操作控制台之间提供一动态安全性抽象层而改进了限制用户对资源的访问的现有硬编码机制，借此操作者的安全性级别和执行动作的权利将根据若干参数而变化，并将在所请求的过程的不同阶段变化。

本发明允许操作者在操作控制台中输入命令以便执行明确表达出在一个或多个资源上的一过程的若干任务。本发明提供了一种安全环境，其中操作者只能执行该操作者被授权的任务。例如，如果接收到关闭一服务器的命令，则进行确定以识别该操作者的授权级别，命令的类别即所述关闭服务器的命令是否具有与之关联的高级别的风险，以及以前已尝试过什么命令。一旦确定了这些变量之间的关系，就向该命令分配一状态。该状态是仅为了此实例向该命令分配的。例如，当接收到另一命令时，将以前的命令和它们的特征纳入考虑，这样每次接收到一命令，可向其分配一不同的状态，这转而影响到是否准许或拒绝对资源的访问。

优选地，该方法包括当拒绝对资源的访问时，产生一警示，该警示通知请求实体用于在该资源上执行的另一个命令。有利的是，系统引导请求实体通过在其授权级别内的一过程。如果一过程要求执行在请求实体的授权级别之外的命令，则或者通知该请求实体另一个命令以供尝试，或者，将该命令传送给一工作队列，以便由具有适当授权级别的另一请求实体考虑。

有利的是，该方法包括在接收到来自请求实体的命令时启动一用户会话，并将每个从请求实体接收到的命令记入一数据存储库(data store)。这样，跟踪和存储由请求实体输入到系统中的每个命令，从而可执行进一步的分析，以持续地最优化最合适的命令，该最适合的命令将被通知给请求实体以便输入到系统中。

从第二方面来看，本发明提供了一种用于控制对IT系统内的资源的访问的防火墙，该IT系统从请求实体接收多个命令，每个命令请求访问一资源以便执行一功能，该安全性防火墙包括：用于识别用于该请求实体的授权级别的情境(context)管理器，以及用于为每个接收到的命令确定至少一个特征的确定装置；用于确定所接收到的命令、该所确定的特征或每个所确定的特征、以及所请求的资源之间的关系的控制器部件，以及用于对于每个所接收到的命令确定在资源上执行该接收到的命令的效果的装置；该控制器部件根据所确定的在所请求的资源上执行所接收的命令的效果，向所接收到的命令分配一状态；该控制器部件比较所识别的授权级别与该命令的所分配的状态，以确定该请求实体是否具有适当的授权级别来执行由所接收到的命令所请求的功能；并且取决于该比较步骤，情境管理器准许或拒绝对所请求的资源的访问。

从第三个方面来看，本发明提供了一种可装载到数字计算机的内部存储器中的计算机程序产品，其包括用于当所述产品在计算机上运行时执行以实现如以上所述的本发明的软件代码部分。

附图说明

下面，仅作为示例，参照附图详细说明本发明的实施例，在附图中：

图1示出了体现很多企业的IT基础设施的一IT基础设施的现有技术的示意图；

图2示出了其中可实现本发明的、图1的IT基础设施的示意图；

图3的部件图示出了本发明的安全防火墙的个别部件；

图4的流程图详细示出了安全防火墙当提供对若干IT资源的访问时的操作步骤；以及

图5的流程图详细示出了安全防火墙当限制对若干IT资源的访问时的操作步骤。

具体实施方式

图1示出了现有技术的IT系统的示意图。一IT系统包括若干资源，即，但不限于，客户设备135、网络130、应用服务器125、关键系统105、内联网应用110、网络防火墙115和因特网应用120。如在本技术领域中已知的，部署一操作控制台100以监视、管理和维护被确定为该IT系统的一部分的若干资源中的任何一个。例如，如果一应用服务器发生故障，则在离开应用服务器125的物理位置处远程工作的操作者可通过经由该操作控制台登录到该应用服务器125而访问该发生故障的应用服务器125。一旦操作者登录到操作控制台100并通过访问各种软件应用，操作者就能够查看构成该IT系统的资源并执行若干操作，以便在一资源上执行必要的功能，例如确定发生故障的应用服务器125的故障。这些功能可以简单到查看一资源的当前状态，或执行若干任务以便纠正故障。

在图1的示例性实施例中，操作者将命令输入到操作控制台100的应用界面中。该应用界面可以是图形用户界面，或者是命令行界面。操作控制台100可包括用于访问和管理若干IT资源的多个应用。操作控制台100可以是任何类型的设备，并且不限于传统的独立控制台，而是也可包括个人数字助理(PDA)、专用设备(application specific device)或其他手持式设备或移动设备。操作控制台100通过网络130与资源通信。网络130可构成局域网、广域网、或者诸如公司专用的内联网或因特网的网络。操作控制台100可通过使用一协议例如HTTP通过网络130与资源通信，或优选地使用一安全通信协议例如安全HTTP与资源通信以便确保IT系统的完整性。

操作者可将多种命令输入到操作控制台100的界面中以请求访问资源，以便执行若干功能。资源可采取的形式有例如访问关键系统105、请求访问应用服务器125、访问公司内联网应用110、或访问防火墙115以获得对因特网120的访问。这些资源中的每一个都可具有与之相关联的其他硬件和软件资源，例如服务器具有多个硬盘驱动器、网络适配器和路由器等。每个资源可具有多个可由适当授权的操作者使用的命令。根据所采用的粒度级别，可通过操作控制台100的应用和图形用户界面查看、访问和维护这些资源中的每一个。

在接收到输入的命令时，操作控制台100显示可执行的与所请求访问的资源有关的过程，以及若干提示，以通知操作者下一步应当执行什么任务。响应于所显示的提示或基于其自己的知识，操作者可将进一步的命令输入到操作控制台100中并查看进一步的响应等。

为了确定操作者访问权并将其动态绑定到资源，并转而仅允许操作者执行其具有所要求的授权级别的任务，提供了一操作防火墙200。现参照图2对此进行讨论。

操作防火墙200截取由操作者输入到操作控制台100的命令。在接收到一命令时，操作防火墙200通过访问简档和规则以将该命令映射到一资源并确定该操作者是否具有适当的访问权以便执行所请求的功能，来截取该命令。图2中的安全性防火墙200被示为位于两个操作控制台100和若干资源105至130之间。本领域的技术人员将理解也可寻求其他位置安排而不脱离本发明的范围。可通过网络130访问操作防火墙200。取决于所部署的特定IT系统基础设施，网络130可以是安全网络或不安全网络。网络130可包括局域网、广域网或任何其他这种类型的适当网络130。可使用任何适当的编程语言来开发操作防火墙200。例如，可使用适合于构建用于管理和操作简档和规则的系统的例如Java的、以及操作存储在若干数据存储库例如诸如IBM的DB2的数据库产品中的数据的任何编程语言。安全性防火墙可在中间件平台例如部署了例如IBM e-Server的Linux上实现。

转到图3，其示出了操作防火墙200的部件。操作防火墙200包括用于处理由操作者输入到操作控制台100中的命令的过程管理器300，用于控制对资源的访问的控制器305，用于维护操作者会话的状态和在一过程中执行的任务的历史的情境管理器315，和用于转换由操作防火墙200从操作控制台100接收到的命令并也提供用于管理资源的适当接口的系统驱动器。

过程管理器300接收、管理并处理从操作控制台100接收到的命令。操作者通过操作控制台100登录到过程管理器300。过程管理器300提供了用于允许具有适当访问权的操作者执行用于形成过程的工作管理任务的图形用户界面，所述工作管理任务例如启动新过程的开始，暂停当前过程，将当前过程分配给另一个工作队列，和查看工作队列等。

过程可被定义为需要以特定顺序执行以使得能够正确完成任务的若干任务。这可被表征为通过一过程的工作流。例如，为了完成任务D，一过程可规定必须相继地执行子任务A、然后是子任务B和子任务C。如果以任何其他顺序执行这些任务，则结果将是不能令人满意的，或可能具有灾难性后果。取决于来自子任务B的响应，可能需要转换到一不同的过程。

过程管理器300向操作者呈现要由操作者遵循的工作指令；当操作者在一过程中从头至尾地工作时，允许输入与过程相关的数据并显示先前任务的结果，以允许向操作者呈现进一步的选项。

每个操作者可具有与不同级别的专门知识例如取决于IT系统的类型的不同级别的技能相关的不同级别的资格。因为每个操作者可具有不同级别的资格和不同的专门知识领域，例如不同的系统类型和不同的授权级别(取决于风险的级别和业务关键程度)，每个操作者查看不同的工作队列。过程管理器300跟踪每个工作项目，并提供用于在高优先级工作项目未在指定时间界限内被处理时进行升级的装置。

过程管理器300与情境管理器320通信以向情境管理器320传送操作者命令、用于处理的与过程相关的数据、以及从操作控制台接收到的指向将被管理的资源的命令。

情境管理器315从过程管理器300接收到操作者命令、与过程相关的数据和用于将被管理的资源的命令。当操作者在一过程中从头至尾地工作时，维护操作者的登录会话的当前状态。操作者的状态包括当前正被执行的当前过程的位置和历史，所给予的授权，当前正被管理的资源的配置细节，以及与被该管理的资源相关的任何配置数据，例如相关的服务器、硬盘驱动器、网络节点和该被管理的资源的业务关键程度分类，例如高、中或低。

当确定和管理操作者的当前登录会话的状态时，确定以下信息：

●登录用户的授权级别。

●操作者在该过程中达到的当前步骤。

●在当前过程中执行的先前步骤，以及从来自操作者的命令接收到的过程数据。

●由过程管理器300接收到的先前命令，所访问的资源的名称和类型，以及所返回的结果。

所确定的信息用于支持由所述控制器进行的访问控制决定。

情境管理器315与若干数据存储库合作以检索以下存储的信息：

●检索用户简档和授权

●从多个工作队列检索工作项目，将工作项目入队到其他工作队列，标记进行中的工作项目，或标记工作项目为已完成。

●检索过程以及相关的工作指令和所要求的授权。

●将操作者的活动以及情境信息、来自所访问资源的响应(例如，在超时期间没有接收到来自资源的响应)和来自控制器305的决定一起记入日志。

●检索与被访问的资源相关的信息以将名称映射到资源类型和授权级别，并识别相互依赖的资源(例如在一服务器上运行的应用，由一服务器使用的外围设备)。

上述信息是根据正被访问和管理的资源的类型过滤的。例如，如果存在几个不同类型的用于重新启动服务器的命令指令，则只有用于正被访问的服务器类型的相关命令指令才被传递到过程管理器300。

也进行确定以确保两个操作者不在同一系统资源上同时地执行相似的过程，因为可能产生干扰。如果发生了这样的情况，则建议一个操作者暂停工作项目，直到一后来的时间段，因为所访问的资源当前正由另一个操作者使用。

情境管理器315将操作者命令与情境信息一起传送给控制器305，以便决定是否允许该命令。控制器305从情境管理器315接收到命令和情境，并确定是否允许该命令。决定根据以下标准做出：

●操作者的授权级别(操作者是否具有执行该命令的特定授权)。

●资源分类(操作者是否具有在此类型的资源上执行此类型的命令的授权)。

●命令类型(风险分类或所需要的其他授权。)

●过程历史(前提步骤是否成功执行，以及结果是什么？)

●其他全系统范围的参数(例如：可能逐日改变的可接收的风险级别，作为工作负荷的指示的工作队列大小，性能对目标服务级别，使用中的任何特定的超越(override))

如果允许该命令，则将其转发到相关的系统驱动器310，并且将结果发回到情境管理器315。如果不允许该命令，则将所推荐的下一步骤返回给情境管理器315，该所推荐的下一步骤可包括：

●寻求帮助

●返回到前一步骤

●将该工作项目入队，以由另一(获得更高授权的)操作者使用。

控制器部件305通过根据若干规则构建、维护和分析一矩阵来操作。该矩阵可包括以下变量：

●用户角色

●动作或过程步骤

●用于该系统或系统部件的资源关键程度(这提供了一种加权，其中操作者拥有某些加权级别)。

●设备类别(节点类型)

●操作者授权

●用于给定动作的任何前提

该矩阵由控制器部件305填充，例如，对于特定角色，基于正被访问的设备的业务关键程度和设备类别(例如，AIX服务器、Windows服务器)，只可执行命令的一子集。下面示出了一已填充矩阵的示例。

如该已填充矩阵中所示，存在若干列，第一列详述了动作的名称，第二列是资源关键程度，第三列是在授权该动作之前必须完成的动作。可增加代表特定测试和前提的其他列。

每一列都填充以与一动作相关的所需信息。以“查验服务器”的动作为例，该动作在其中具有相关联的若干资源关键程度状态，即低、中、高和业务关键的。每一资源关键程度具有相关联的操作者授权和前提动作的定义。例如，如果资源关键程度是低或中，则具有任何授权的操作者可查验该资源。此外，在此示例中，不存在必须完成的前提动作。另一方面，如果资源关键程度是高或关键的，则只有具有中级授权的操作者可查验该资源。

取自上述矩阵的另一个示例是重新启动一应用。如果该应用具有业务关键的资源关键程度，例如如果一银行业务应用需要在银行的最忙时间被重新启动，则只有具有高级别授权的操作者可执行该动作。其次，为了能够执行该功能，规定了若干前提。例如，先前对该应用运行于其上的服务器的不成功的查验，或者先前对该应用的不成功的登录尝试，和/或该应用正工作反常的统计证据。

当操作者通过该过程的每一个步骤时，将来自已填充矩阵的与所访问的资源相关的可用动作的列表传送回操作控制台100，并且将结果显示给操作者。

系统驱动器部件310检索配置数据以便将操作者命令转换为用于特定IT资源的合法命令，并将该命令路由到合适的资源以便执行。系统驱动器部件310还检索登录信息从而在需要时系统驱动器部件310可登录到该被管理的资源。

系统驱动器部件310向被管理的IT资源提供系统命令的转换、响应和接口处理。系统驱动器是为特定资源族(例如Linux系统)编写的，并封装了由该资源族使用的特定协议、语法和语义。系统驱动器310将命令不加改变地通过，并处理对被管理资源的通信协议。或者，系统驱动器310将其从一般格式转换为特定于设备的模式。或者，该转换可在一直接运行在被管理的资源上的脚本或代理中执行。例如，一内部命令ENABLESYS35/DISK20E可被转换成被路由到系统SYS35的MVS命令“v u，20E，，，online”。

系统驱动器310部件还处理操作防火墙200向被管理资源的认证。或者，其他方法可包括登录到用于来自所有操作者的所有命令的单个永不结束的会话，或对于每个需要在特定资源上执行命令的操作者登录一次。可由系统驱动器部件310管理一登录ID池。系统驱动器部件310以被访问资源可接受的协议和语言发送命令和接收响应。

操作防火墙200还访问多个用于存储目录和配置信息、审计日志、用户分类和过程和规则的存储设备。每个数据存储库将解释如下：

第一数据存储库320包括与情境管理器320所使用的过程和规则相关的数据。该数据包括完成一过程所需要的各步骤的细节以及工作指示。一过程的每一步骤都被分配了一授权级别，并且操作者必须被分配此授权级别才能被允许执行该步骤。这与显示在什么前提下可执行一特定过程步骤的规则相结合。例如，一过程可具有三个步骤：两个诊断步骤(例如测试应用是否响应一命令，或列出一资源的状态)，之后是一干预步骤(例如重新启动该应用)。干预步骤将具有基于这两个诊断步骤的成功执行以及可能地诊断步骤的结果的前提条件。

第二数据存储库325包括用户简档和授权信息。该信息进一步包括与操作者的身份例如用户ID和口令的信息以及用于每一操作者的特定授权级别，该授权级别设定了该操作者具有的用于特定命令类型和系统类型的访问级别。例如，一操作者可有权访问在任何系统上的所有低风险命令，在所有服务器类型(而不是网络设备)上的中等风险命令，和在特定域中的Unix服务器(例如电子邮件服务器)上的高风险命令。

第三数据存储库300包括在操作防火墙200上的所有活动的日志，所述活动包括系统命令和响应、操作者对话、在过程中做出的选择、和操作者或控制器做出决定时的情境。

第四数据存储库335包括系统分类和配置数据。该数据包括所有被管理的资源以及其类型和其配置细节的字典。例如，一被称为x1234的UNIX服务器被显示为IBM e-Server型号xyz，其运行Linux操作系统版本2.5以及任何其他运行在该服务器上的软件。为所有的应用、所连接的外围设备和网络连接存储名称和授权级别。该信息用于验证特定网络连接由特定服务器管理，或某一命令对该特定级别的操作系统是合法的。

第五数据存储库包括与用于单个资源的工作队列有关的信息。工作队列包括等待由操作者执行的任务，分配给工作队列的任务取决于执行该工作项目所需的授权级别。该工作项目可能还没有开始(例如来自最终用户请求)或者可能已开始但未完成(因为操作者未被授权，或被具有更高优先级的工作项目所中断)，在这种情况下，信息也被存储以允许由安全性防火墙检索历史和情境。

转到图4和图5，其示出了操作防火墙200的操作步骤。在步骤400，防火墙在操作者的指令下登录到所请求的资源，并且该被访问的资源在步骤405认证该防火墙。在步骤410，在确认了在步骤415中操作者登录到防火墙时，过程管理器300从用户简档数据库检索包含用于特定命令类型的授权级别的用户简档、以及相关工作队列信息。

在启动了一过程(步骤420)例如与不响应的应用相关的过程时，在步骤425中过程管理器300检索适当的过程并提示用户将执行的命令。在接收到该命令(步骤430)时，控制器部件确定对于所请求的资源所需的授权级别和该指定资源的任何所识别的依赖(如在配置数据库中指定的)。在接收到所提示的命令时，控制传到控制器305，并且在步骤445中控制器305确定在该过程的此特定阶段对于该操作者和该资源是否允许该命令。如果该确定是肯定的，则控制转到步骤450，并且将该命令发送给被访问的资源，并且在步骤455，该被访问的资源执行所接收的命令。在步骤460，将该命令及其结果记入审计日志，并且在步骤465通过操作控制台向操作者显示被执行命令的结果。

转回控制445，如果该确定步骤是否定的，则控制转到图5的步骤500，并且控制器请求分析命令、资源、操作者授权级别和过程数据的组合以分析为什么该命令不能执行。如果步骤500中的确定确定是命令或资源被拒绝，则控制转到步骤505，并拒绝命令输入，并且在步骤520做出请求以请求具有更高技能的操作者的输入。转回控制500，如果所述确定确定是该命令在该过程中的特定阶段未被允许，则在步骤510控制器305建议另一个适当的可由操作者采取的过程步骤。

为了更好地理解图4和图5，下面给出图4和图5在操作中的示例。

一操作者使用从用户简档数据库访问到的单次登录简档登录到操作防火墙200。

在过程数据库320和工作项目队列340中执行查找以确定哪些过程被授权给该操作者并可由该操作者使用。通过操作控制台100的图形用户界面将所确定的过程和工作项目的菜单选项显示给用户。

在从操作控制台100中接收到一命令例如接收到一问题报告时，过程管理器300显示该操作者可用的过程的列表。如果该过程是用于一资源的过程的第一次启动，则要求操作者输入将被管理的资源的名称，并且情境管理器315在配置数据库中执行查找以识别用于该将被管理的资源的数据。

使用中的响应于关于一资源的问题报告例如一应用未响应时的操作防火墙200的示例如下：

一操作者使用一单次登录(唯一用于该操作者但允许访问所有适当授权的IT资源)登录到过程管理器300，所述单次登录是在用户简档数据库中访问到的。向该操作者呈现具有相关授权级别的过程的菜单。在接收到一问题报告例如陈述一应用未响应的问题报告时，操作者遵循用于不响应的应用的所定义的过程。该过程可以如下：

该过程规定操作者必须首先将一查验命令输入操作控制台100。操作者输入应用名称，并且情境管理器315执行查找以将输入的应用名称映射到资源即该应用驻留于其上的应用服务器的逻辑名称。向操作者显示用于执行查验命令的一组指令。该组命令将根据被管理的资源的类型而不同。

过程管理器300显示工作指令，并允许操作者输入命令。该命令被记入活动历史数据库，并被情境管理器315(与情境一起)转发给控制器305，并且做出是否允许该命令的决定。在该示例中，该命令被评级为非打扰命令，并且该服务器被评级为中等风险资源，因此，控制器305允许该命令，并将其传给适当的系统驱动器。系统驱动器登录到服务器。(或者用于该命令，或者使用在本日/月开始时登录的现有长期会话)。

在该示例中，服务器响应该命令，并且将其结果记录在审计日志数据存储库中，并更新数据。然后将结果显示给操作者。

接下来，尝试登录到该应用。从过程数据库为该相关应用例如LotusNotes提供过程指令。过程管理器300提示操作者登录，并且情境管事器315使用由操作防火墙200提供的来自用户分类数据存储库325的数据来提供登录。

在该示例中，所输入的命令(登录)在过程数据存储库320中被评级为中等风险，并且该应用被确定为业务关键的应用。响应于该信息，控制器部件305识别操作者的授权级别，并确定该操作者是否可执行该命令。执行进一步的查找以确定操作者的当前会话的历史，以发现任何先前的命令，以及先前的命令是否成功。在该例中，确定发生了先前的查验命令，并且它是成功的。响应于以上确定的信息，控制器305确定该操作者确实具有正确的授权级别，并且登录命令可以前进。响应于先前的查验命令，向该操作者显示进一步的一组过程任务。

一旦该操作者已登录到该应用，则确定该应用仍未响应。系统驱动器310在预定的时间段中等待响应，并且如果该应用未在该超时期间响应，则在审计日志330中记录该结果，并在情境管理器315中更新数据。该结果被传回过程管理器300，以便显示给操作者。

该过程现在规定应当重新启动该应用，但根据控制器305，该应用被分类为业务关键的。控制器检查已执行任何先前的过程步骤，以及先前过程步骤的结果是什么。控制器305进一步确定操作者的授权级别。在该情况中，确定该操作者不具有执行该重新启动命令所需的授权级别。因此控制器305建议一推荐动作，这可能涉及基于过程数据库的要求、问题的类型、和资源的类型而调用其他过程步骤。由过程管理器300向操作者呈现这些推荐，以便其随后采取适当的动作。在该情况中，可能的动作将是暂停该过程，并将其添加到用于适当授权的操作者的队列。

在具有适当授权级别的操作者重新启动该应用时，并且控制器305确相对于该资源满足了在过程、操作者授权和先前结果方面的所有前提：则准许访问，并且系统驱动器提供对该资源的特定命令和访问。

如果在重复尝试登录到应用时该应用仍不响应，则再次记录该结果，并记入日志以用于未来的问题分析，以应对假使在过程中存在错误的情况。

如果该过程现在请求重新启动操作系统，则由情境管理器315使用来自配置数据存储库335的数据来提供系统名称，但是，在该情况中，系统重新启动命令超出了当前操作者的授权级别，并且必须被入队以由另一个用户执行。

将情境保存在工作队列数据库中以便随后由新的操作者查看，并且可将问题报告重新路由到不同的操作者以便解决。

该操作者返回到过程管理器300的主菜单，并且重置其在情境管理器315中的个人情境和访问权。

Claims (13)

1.一种用于控制对IT系统内的资源的访问的方法，该IT系统从请求实体接收多个命令，每个命令请求对资源的访问以便执行由一过程所定义的功能，该方法包括以下步骤：

识别用于该请求实体的授权级别；

为每个所接收到的命令确定至少一个特征；

对于每个接收到的命令，确定在该接收到的命令、每个所确定的特征和所请求的资源之间的关系，以确定在该资源上执行该接收到的命令的效果；

根据所确定的在该请求的资源上执行该接收到的命令的效果，向该接收到的命令分配一状态；

比较所述识别的授权级别与该命令的所述分配的状态，以确定该请求实体是否具有适当的授权级别来执行由该接收到的命令所请求的功能；以及

根据该比较步骤，准许或拒绝对该请求的资源的访问。

2.根据权利要求1的方法，其中当拒绝对所述资源的访问时，产生警示，该警示通知所述请求实体用于在该资源上执行的另一命令。

3.根据权利要求2的方法，其中所述另一命令是根据所述请求实体的授权级别的、由一过程定义应当在资源上执行的下一个命令确定的。

4.根据权利要求1的方法，其中在拒绝对所述资源的访问时，将所述接收到的命令传送给另一工作队列，以便由具有比所述请求实体的授权级别更高的授权级别的实体考虑。

5.根据权利要求1的方法，其中接收到的命令的特征包括与该命令的关键程度类别相关的数据。

6.根据权利要求1的方法，还包括在数据存储库中记入所述请求实体的与一过程有关的当前用户会话的历史和当前状态的步骤。

7.根据权利要求1的方法，还包括在接收到来自所述请求实体的命令时启动用户会话并将每个接收到命令记入数据存储库中的步骤。

8.一种用于控制对IT系统内的资源的访问的操作防火墙，该IT系统从请求实体接收多个命令，每个命令请求对资源的访问以便执行功能，该操作防火墙包括：

用于识别用于该请求实体的授权级别的情境管理器，以及用于为每个所述接收到的命令确定至少一个特征的确定装置；

用于确定所接收到的命令、每个所确定的特征、和所请求的资源之间的关系的控制器部件，以及用于对于每个所接收到的命令确定在该资源上执行该接收到的命令的效果的装置；

该控制器部件根据所确定的在所请求的资源上执行所接收到的命令的效果，向所接收到的命令分配一状态；

该控制器部件比较所述识别的授权级别与该命令的所述分配的状态，以确定该请求实体是否具有适当的授权级别来执行由该接收到的命令所请求的功能；以及

根据所述比较步骤，情境管理器准许或拒绝对所请求的资源的访问。

9.根据权利要求8的操作防火墙，其中所述关系的确定进一步包括所述控制器部件确定所述请求实体是否在该系统中输入了与所述接收到的命令相关的先前命令，以确定用于在所述资源上执行的适当的另一命令。

10.根据权利要求8的操作防火墙，其中在准许或拒绝对所述资源的访问时，所述过程管理器生成警示，该警示通知所述请求实体用于在该资源上执行的适当的命令。

11.根据权利要求8的操作防火墙，其中在拒绝对所述资源的访问时，所述情境管理器将所述接收到的命令传送给另一工作队列，以便由具有比该请求实体的授权级别更高的授权级别的实体考虑。

12.根据权利要求8的操作防火墙，其中接收到的命令的特征包括与该命令的关键程度类别有关的数据。

13.根据权利要求8的操作防火墙，还包括所述过程管理器在接收到来自所述请求实体的命令时启动用户会话，并将每个接收到的命令记入数据存储库。

Images