CN100502298C - 一种在网络管理系统中实现管理授权的方法 - Google Patents

Abstract

本发明提供一种在网络管理系统中实现授权的方法，包括：确定需要进行管理授权的网络设备的类型及附属属性；根据所述的类型及附属属性确定相应的网络设备，并显示；在显示的网络设备中进一步确定需要进行管理授权的网络设备，并分别对各网络设备进行相应的操作权限的授予。通过本发明可方便灵活的确定网管用户的网络设备管理权限，并根据网络设备管理权限对网管用户进行操作权限的授权，使整个授权过程灵活、简单、清晰、合理，降低了授权过程中的不安全因素，从而实现了提高网络管理的工作效率、网络管理的安全性的目的。

Description

一种在网络管理系统中实现管理授权的方法

技术领域

本发明涉及网络通讯技术领域，具体涉及一种在网络管理系统中实现管理授权的方法。

背景技术

网络管理系统，即网管系统，主要用于电信、企业等网络中。人们可通过网管系统对网络中的各种网络设备进行管理。

在网管系统中，安全管理一直是一个重要的话题。

安全管理的主要职责就是提供一种为网管用户分配合适权限、为网管用户操作进行鉴权的方法。通过网管系统中的安全管理可使网管用户有足够的权限可以完成既定的管理操作，而又无法执行超出其职权范围的操作，从而在技术上提供了网管系统的安全保障。

在安全管理各种功能中，授权功能是最引人注目的。授权功能是把针对具体某个操作对象的操作权限授予某个网管用户。一般而言，这个权限记录是一个<网管用户、操作对象、操作>的三元体。

在如今的网络系统中，一个网络有可能包含很多台网络设备，尤其在电信系统中，一个网络有可能包含上千台网络设备，这些网络设备的类型日益丰富，不同类型的网络设备的操作差异很大。面对如此庞大复杂大型网络，如何快速、清晰地把网络设备的操作权限授予相应的网管用户，已成为一个很大的挑战。

目前现有的一些网管系统中的安全管理的授权模式模仿操作系统的做法，操作系统以微软的Windows操作系统为例，微软的Windows操作系统的安全管理的授权方式如附图1所示：把可分配的操作权限简化为可读、可写、完全控制等少数几种。操作系统提供若干缺省用户组，并为用户组预定义了系统默认权限。这样可以方便授权，网管用户加入该组后就可以拥有该组的操作权限。新用户组创建后拥有基本的操作权限。为了使其拥有更大权限，可以把他加入操作系统建立的用户组中。但是为用户新增的操作权限仍然限制为可读、可写、完全控制等有限的几种操作权限。

操作系统的这种简化的安全管理模式可以大大减低授权的繁琐。但是这种过于简洁的安全管理模式往往为网络管理人员带来另一种烦恼：无法对网管用户进行有针对性的权限控制。因为操作权限只包含可读、可写、完全控制等几种，网络管理人员如果还希望有其他的操作权限，是不能够通过权限设置来实现的，真正的权限设置隐藏在操作系统中，网络管理人员即使想更改也毫无办法。从而使得权限设置没有发挥作用。

目前现有的另外一些网管系统的安全管理都对操作权限进行了细化，这种操作权限的细化是和业务紧密联系在一起的，从而使得操作权限的划分有了真正的意义。

其具体的授权模式如附图2所示。在图2中，网管用户、操作对象、操作权限紧密地联系在一起了。如对于网管用户guest，他当前可以管理的设备是管理设备列表中的NE1、kongkong1，对这两个设备拥有查询交换机告警、配置路由器业务、更新单板软件三种权限。如果需要增加guest可管理的设备，可以通过选中NE2，再点击中间的左箭头，NE2就会出现在管理设备列表中，guest就要肩负起在NE2上查询交换机告警等管理工作了。如果需要增加guest管理的设备的性能数据报表打印权限，只需要选中右下方的“性能数据报表打印”的权限操作，再点击中间的左箭头，就可以让他承担在NE1、NE2、kongkong1上进行性能数据报表打印的工作了。

这种授权模式流程清晰，可以方便地针对具体的网管用户进行个性化的权限配置。

现有的这种广泛应用于网管系统的授权模式，在网络容量小、设备类型多的情况下，显得游刃有余。但是它有两大缺点：

1、对网络设备没有分类控制：运营商的大型网络中，可能达到上千的设备，这时在图二所示的设备列表中，就会出现长长的队伍。而在大型网络的管理中，一般的管理模式是让一个网管用户管理一个子网下的网络设备，于是为了查找在某个子网中的网络设备，管理人员不得不在设备列表众多的设备中逐个查找，使产生错误的几率增加，从而增加了网络管理中的不安全因素。

2、操作权限没有分类。在图二中，右下角的方框为操作列表，操作列表中包含了所有类型的操作，如果管理设备列表中可以管理的网络设备是一个交换机，但是把路由器的一个操作权限授予用户，这也是合法的，但却是不合理的。

目前一些网管系统对此也有所改进，如：在设备列表上增加网络设备类型的下拉列表框，可根据网络设备的类型过滤查找网络设备。同时操作列表中也可以只列出对应于选择的网络设备类型的操作，操作列表中的操作可根据选择的网络设备的类型进行显示刷新。但当需要把同一区域内或同一子网中的不同类型的网络设备的操作权限授予一个网管用户时，管理人员需要在不同的网络设备类型中查询，在网络设备数目庞大时授权过程仍然十分繁琐。而且在查看某个网管用户的权限时，不同类型的网络设备、不同类型的操作权限是混杂在一起的，不易于理解。

发明内容

本发明的目的在于，提供一种在网络管理系统中实现管理授权的方法，以降低授权过程中的不安全因素，实现提高网络管理的安全性的目的。

为达到上述目的，本发明提供的一种在网络管理系统中实现管理授权的方法，包括：

a、确定需要为网管用户进行管理授权的网络设备的类型及附属属性；

b、根据所述类型及附属属性确定相应的网络设备，并显示；

c、在所述显示的网络设备中进一步选取，以确定需要为网管用户进行管理授权的网络设备，并分别将所述进一步选取确定的各网络设备的相应的操作权限授予网管用户。

所述的网络设备类型还包括网络设备子类型；

所述的附属属性包括：网络设备名称信息、网络设备网络地址信息、子图路径、网络设备产地信息、维护管理信息、网络设备位置信息中的一个或多个。

所述的步骤b包括：

在用于操作权限授权的拓扑界面上输入所述的类型及附属属性；

根据所述的类型及附属属性调用相应的网络设备，并显示在所述的用于操作权限授权的拓扑界面上。

所述的步骤c包括：

c1、在所述的拓扑界面上显示的网络设备中选择需要进行管理授权的网络设备，即将所述的需要进行管理授权的网络设备的状态设置为可管理状态；

c2、将所选择的网络设备根据网络设备类型进行分类，并显示；

c3、根据需要分别调用各类型网络设备对应的可授予的操作权限，并显示；

c4、根据所述显示的各类型网络设备对应的可授予的操作权限将网络设备相应的操作权限授予网管用户。

所述的步骤c2包括：

将所述选择的网络设备根据网络设备类型进行分类，并以树形结构图的形式显示；

所述的树形结构图中的节点为网络设备的类型，所述网络设备类型节点的子节点为网络设备的子类型，树形结构图中的叶子为网络设备。

当所述的方法还包括授予相应的安全管理权限，拓扑管理权限，性能管理权限，故障管理权限中的一个或多个时，所述的树的节点还包括：安全管理节点、拓扑管理节点、性能管理节点、故障管理节点中的一个或多个。

所述的步骤c3包括：

根据需要分别调用各类型网络设备对应的可授予的操作权限，并以图表的形式显示或树形结构图的形式显示；

其中树形结构图中的节点为网络设备类型，叶子为网络设备类型对应的可授权的操作权限；

所述可授权的操作权限可根据网络设备类型的切换进行相应的刷新；

将选中的操作权限添加至操作权限授予列表中；

所述操作权限授予列表中的记录为授权的操作权限；

所述的操作权限授予列表包括；操作权限表项、操作对象表项、网络设备类型表项和网络设备子类型表项。

所述的步骤c3还包括：

可删除操作权限授予列表中的记录。

所述的方法还包括：可根据预定条件查询已授予网管用户的操作权限；

查询已授予网管用户的操作权限的结果以操作权限授予列表的形式显示。

所述的方法还包括：

在查询已授予网管用户的操作权限时，如果需要继续进行管理授权，则直接切换至步骤a。

利用本发明，可根据需要进行管理授权的网络设备所属的类型和附属属性方便灵活的确定网管用户的网络设备管理权限，并根据网络设备管理权限对网管用户进行操作权限的授权，使整个授权过程灵活、简单、清晰、合理，同时加上条理清晰的操作权限查询功能，使网络管理系统可准确、清晰、迅速的满足管理人员的要求，降低了授权过程中的不安全因素，从而实现了提高网络管理系统的工作效率、提高网络管理的安全性的目的。

附图说明

图1是现有技术的在操作系统安全管理中的授权方式示意图；

图2是现有技术的另外一种授权方式示意图；

图3是本发明的在网络管理系统中实现管理授权的流程图；

图4是本发明的授予管理权限的显示示意图；

图5是本发明的基于管理权限的操作权限授权的显示示意图；

图6是本发明的查询网管用户操作权限的显示示意图。

具体实施方式

本发明的核心思想为：确定需要进行管理授权的网络设备并确定所述网络设备的类型及附属属性；确定符合所述类型及附属属性的网络设备，并将其显示，在显示的、符合所述类型及附属属性的网络设备中进一步确定需要进行管理授权的网络设备，并将需要进行管理授权的网络设备根据网络设备类型分别进行相应的操作权限的授予。

下面结合附图与具体实施方式对本发明作进一步详细说明。

在网络管理系统中，一般需要将相应的网络设备的一些操作权限授予相应的网管用户，使网管用户可根据其具有的操作权限可对相应的网络设备进行管理。本发明的核心思想可以通过确定网管用户对网络设备的管理权限，在确定的管理权限的基础上对网管用户进行相应的网络设备操作权限的授予来实现。

网络设备的管理权限是本发明引入的对网络设备进行安全管理的一个新概念，表示对网络设备的一种可查询、可继续分配操作权限的基础权限。确定一个网管用户对网络设备的管理权限可以理解为确定网管用户可以管理的网络设备。例如，需要将网络设备a的一些操作权限授予网管用户a，那么首先需要确定网管用户a对网络设备a可以管理、有管理权限，然后，允许将网络设备a的一些操作权限授予网管用户a。允许将网络设备a的一些操作权限授予网管用户a的表现形式可以为：在对该网管用户a进行操作权限授权的拓扑界面上可以看到网络设备a的拓扑图标，这样才可能继续对该网管用户进行网络设备a相应的操作权限的授权；如果在对该网管用户a进行操作权限授权的拓扑界面上看不到网络设备a的拓扑图标，则不能对该网管用户a进行网络设备a相应的操作权限的授权。

通过上述描述，可明显得知，在需要对一个网管用户进行预定网络设备的相应操作权限的授权时，首先需要确定该网管用户对网络设备的管理权限。如何准确、快速的确定网管用户对网络设备的管理权限是本发明的一个重点。

本发明通过设置多重过滤条件来实现准确、快速的确定网管用户对网络设备的管理权限。其实现过程为：首先，确定网管用户需要进行管理的网络设备，并设置多重过滤条件，根据这些设置的多重过滤条件在所有的网络设备中确定符合多重过滤条件的网络设备，并将这些符合多重过滤条件的网络设备显示在对该网管用户进行操作权限授予的拓扑界面上。在本发明中多重过滤条件为网络设备类型和网络设备附属属性。

由于在对网管用户进行授权的过程中，经常需要将同一区域内或同一子网中的不同类型的网络设备的操作权限授予一个网管用户，所以可根据实际需要灵活设定网络设备的类型和网络设备的附属属性所包含的具体内容。

在本具体实施方式中，网络设备的类型可包括固定网络设备、移动网络设备等类型；网络设备的类型还可包括网络设备子类型，网络设备子类型可对应于网络设备类型中对网络设备再细分的类型，如当网络设备的类型为固定网络设备时，对应的网络设备子类型可以为：MA5100、MA5200等。

网络设备附属属性可根据需要包括：网络设备名称信息、网络设备网络地址信息、子图路径、网络设备产地信息、维护管理信息、网络设备位置信息等。

网络设备名称信息可包括网络设备名称、网络设备型号等信息；网络设备网络地址信息可包括网络设备的IP地址等信息；子图路径为网络设备在网管拓扑中所属的子图，所谓子图是为了方便管理设备而定义的网络设备集合容器；网络设备产地信息可包括网络设备生产的国家、城市、生产厂家等信息；维护管理信息可包括网络设备的维护人员、网络设备的维护单位等信息；网络设备位置信息可包括网络设备所在的城市、单位等信息。

通过上述的多重过滤条件可灵活、准确的确定一个网络设备的范围，在该范围中挑选网管用户需要管理的网络设备，挑选出的网络设备即为网管用户有管理权限的网络设备。然后在挑选出的、网管用户有管理权限的网络设备中将相应的操作权限授予该网管用户。

为使操作权限授予的过程清晰简洁，本发明将网络设备对应的操作权限根据网络设备的类型分别显示。下面结合流程图对本发明提供的方法具体说明。

本发明的在网络管理系统中实现管理授权的流程图如附图3所示。

在图3中，步骤300，确定网管用户需要管理的网络设备，即确定需要显示在对网管用户进行操作权限授予的拓扑界面上的网络设备。

到步骤310，根据上述确定的网管用户需要管理的网络设备，确定其对应的网络设备的类型和附属属性，以便可以准确的包含网管用户有管理权限的所有的网络设备。在用于操作权限授予的拓扑界面上输入网络设备的类型和附属属性的方式可采用图4所示的界面实现，图4中的上半部分用于输入某网管用户有管理权限的网络设备的各过滤条件，设置好各过滤条件后，按查找按扭，开始根据各过滤条件对所有的网络设备进行过滤。

到步骤320，确定并显示符合上述网络设备类型和附属属性的网络设备，显示的方式可采取图4下半部分的列表方式。

到步骤330，从上述确定并显示的网络设备中挑选网管用户需要管理的网络设备，即挑选网管用户有管理权限的网络设备，将挑选出的有管理权限的网络设备设置为可管理状态。至此，确定网管用户的管理权限的处理过程结束。

将挑选出的有管理权限的网络设备设置为可管理状态可采取在图4所示的显示界面的下半部分的列表中挑选网管用户需要管理的网络设备，将选中的网络设备的状态通过相应的链接设置为可管理状态，如将列表中的NE1、NE2、NE3的管理状态更改为可管理状态。在全部挑选、更改管理状态后，点击添加按扭，设置为可管理状态的网络设备为网管用户可以管理的网络设备，从而确定了网管用户具有管理权限的网络设备。这些网络设备是可以对网管用户进行相应的操作权限授予的网络设备。下面将进入在确定的管理权限的基础上对网管用户进行网络设备的操作权限授权的过程。

图3中，步骤330下面的步骤是对网管用户进行其有管理权限的网络设备的操作权限授予的流程。

到步骤340，将设置为可管理状态的网络设备根据其各自所属的网络设备的类型显示。其显示方式可以采用树形等方式，当采用树形方式显示时，网络设备的类型可作为树的节点，具体的网络设备可作为树的叶子。以树形方式显示可管理状态的网络设备可如附图5中的左上图所示。图5的左上图中树的节点是固定网络设备管理类型，其子节点为网络设备子类型如MA5100、MA5200，树的叶子是网管用户可管理的网络设备，如NE1、NE2、NE3、KONGKONG1、KONGKONG2。本发明将网管用户没有管理权限的网络设备不显示在图5的树形结构图中。本发明还把一些可以授权的对象抽象为和网络设备类型同一等级的节点，如在图5的树形结构图中，这些抽象为节点的对象包括：安全管理、拓扑管理、性能管理、故障管理等。

将网管用户有管理权限的网络设备采用树形结构图的形式显示，可以有层次地组织好设备列表，同时在切换不同类型的网络设备时比现有技术中再根据类型进行重新查询方便。

到步骤350，当需要对某一网络设备进行操作权限的授予时，提供并显示该网络设备对应的网络设备类型对应的所有操作权限。如在图5左上树形图中，展开网络设备类型节点、子节点后，叶子是网管用户有管理权限的网络设备。当需要将具体的网络设备的操作权限进行授予时，点击该网络设备，在图5的右上部分列表中提供并显示该网络设备对应的网络设备类型对应的操作权限。如点击NE1，由于NE1的网络设备类型为固定网络设备中的MA5200，所以管理权限模块将MA5200对应的操作权限列表显示在图5右上边的图表窗口中。这样杜绝了现有技术中把不同网络设备类型的操作权限混淆在一起的现象。同理，也可将安全管理等节点打开，本发明将图5中的操作权限列表中的内容更新为相应的操作权限。

到步骤360，从上述显示的网络设备类型对应的操作权限中挑选需要授予网管用户的操作权限，将挑选的操作权限授予网管用户。如在图5中，在右上列表中选中需要授予权限的操作权限后，点击添加按扭，本发明可将选中的操作权限添加至图5下半部分的操作权限授予列表中，如选取MA5200业务配置操作1、MA5200业务配置操作2、MA5200业务配置操作3，这3个操作权项就出现在图5下半部分的操作权限授予列表中。当选取了所有的操作权限后，点击图5界面上的确定按钮，选取的操作权限提交，本发明将图5下半部分的操作权限授予列表中的操作权限授予该网管用户。至此，对网管用户进行了网络设备操作权限的授予，本发明的在网络管理系统中实现管理授权的过程结束。

为方便操作，如果操作权限已添加至图5的操作权限授予列表中，因选错或其他原因又希望将操作权限授予列表中的操作权限删除，本发明还提供删减功能，具体表现形式为：可在操作权限授予列表中选中该操作权限，点击删除按扭，本发明将选中的操作权限删除，不将其显示在操作权限授予列表中。如在图5的下半部分列表中，希望将MA5200业务配置操作1不授予网管用户，点击MA5200业务配置操作1，再点击删除按钮，MA5200业务配置操作1将不出现在操作权限授予列表中。

在上述实现操作权限授予过程的描述中，本实施例将网络设备的操作权限采用图表的形式显示，该图表中的表项可以根据需要设置，表中的记录可以根据需要进行排序。本发明也可以将该表以树形结构图的形式显示，将网络设备类型作为节点，网络设备子类型作为相应的节点的子节点，叶子为操作权限。

本发明还提供操作权限的查询功能，在日常的对网络设备的安全维护过程中，提供网管用户的相关信息，本发明可提供并显示该网管用户的操作权限。在查询过程中如果还需要对该网管用户继续授予操作权限，本发明还提供继续对该网管用户进行上述确定管理权限和操作权限授权的功能。本发明可以将查询到的该网管用户的操作权限以操作权限授予列表的形式显示，显示查询到的结果可采用附图5所示的界面实现。本发明继续对该网管用户进行上述确定管理权限和操作权限授权的功能可采用在图5中提供添加按钮来实现。如在查询过程中点击添加按扭，则说明需要继续对该网管用户进行管理权限授予，本发明可实现在查询的过程中继续对该网管用户进行管理权限授予的功能，如采用直接切换至图4的界面，通过在图4中设置多重过滤条件确定该网管用户的管理权限，继续对该网管用户进行管理权限的授予。

虽然通过实施例描绘了本发明，本领域普通技术人员知道，本发明有许多变形和变化而不脱离本发明的精神，希望所附的权利要求包括这些变形和变化。

Claims (10)

1、一种在网络管理系统中实现管理授权的方法，其特征在于包括：

a、确定需要为网管用户进行管理授权的网络设备的类型及附属属性；

b、根据所述类型及附属属性确定相应的网络设备，并显示；

c、在所述显示的网络设备中进一步选取，以确定需要为网管用户进行管理授权的网络设备，并分别将所述进一步选取确定的各网络设备的相应的操作权限授予网管用户。

2、如权利要求1所述的一种在网络管理系统中实现管理授权的方法，其特征在于：

所述的网络设备类型还包括网络设备子类型；

所述的附属属性包括：网络设备名称信息、网络设备网络地址信息、子图路径、网络设备产地信息、维护管理信息、网络设备位置信息中的一个或多个。

3、如权利要求1或2所述的一种在网络管理系统中实现管理授权的方法，其特征在于所述的步骤b包括：

在用于操作权限授权的拓扑界面上输入所述的类型及附属属性；

根据所述的输入的类型及附属属性调用相应的网络设备，并显示在所述的用于操作权限授权的拓扑界面上。

4、如权利要求3所述的一种在网络管理系统中实现管理授权的方法，其特征在于所述的步骤c包括：

c1、在所述的拓扑界面上显示的网络设备中选择需要进行管理授权的网络设备，即将所述的需要进行管理授权的网络设备的状态设置为可管理状态；

c2、将所选择的网络设备根据网络设备类型进行分类，并显示；

c3、根据需要分别调用各类型网络设备对应的可授予的操作权限，并显示；

c4、根据所述显示的各类型网络设备对应的可授予的操作权限将网络设备相应的操作权限授予网管用户。

5、如权利要求4所述的一种在网络管理系统中实现管理授权的方法，其特征在于所述的步骤c2包括：

将所述选择的网络设备根据网络设备类型进行分类，并以树形结构图的形式显示；

所述的树形结构图中的节点为网络设备的类型，所述网络设备类型节点的子节点为网络设备的子类型，树形结构图中的叶子为网络设备。

6、如权利要求5所述的一种在网络管理系统中实现管理授权的方法，其特征在于当所述的方法还包括授予相应的安全管理权限，拓扑管理权限，性能管理权限，故障管理权限中的一个或多个时，所述的树的节点还包括：安全管理节点、拓扑管理节点、性能管理节点、故障管理节点中的一个或多个。

7、如权利要求4所述的一种在网络管理系统中实现管理授权的方法，其特征在于所述的步骤c3包括：

根据需要分别调用各类型网络设备对应的可授予的操作权限，并以图表的形式显示或树形结构图的形式显示；

其中树形结构图中的节点为网络设备类型，叶子为网络设备类型对应的可授权的操作权限；

所述可授权的操作权限根据网络设备类型的切换进行相应的刷新；

将选中的操作权限添加至操作权限授予列表中；

所述操作权限授予列表中的记录为授权的操作权限；

所述的操作权限授予列表包括：操作权限表项、操作对象表项、网络设备类型表项和网络设备子类型表项。

8、如权利要求7所述的一种在网络管理系统中实现管理授权的方法，其特征在于所述的步骤c3还包括：

删除操作权限授予列表中的记录。

9、如权利要求7所述的一种在网络管理系统中实现管理授权的方法，其特征在于所述的方法还包括：

根据预定条件查询已授予网管用户的操作权限；

查询已授予网管用户的操作权限的结果以操作权限授予列表的形式显示。

10、如权利要求9所述的一种在网络管理系统中实现管理授权的方法，其特征在于所述的方法还包括：

在查询已授予网管用户的操作权限时，如果需要继续进行管理授权，则直接切换至步骤a。

Images