CN100563176C - 一种权限关系数据的生成和调整方法及管理系统 - Google Patents

Abstract

本发明公开了一种权限关系数据的生成和调整方法及管理系统，通过在每个固定级别基础上增加定义若干子级别，从而增加权限细分的灵活性。其中，主级别高的命令集合包括所有比其主级别低的命令集合中的命令；子级别高的命令集合包括所有比其子级别低的命令集合中的命令。进一步的可以在子级别下增加组，从属于同一子级别的组的命令集合间的命令不重叠，从而增加了互斥权限管理。进一步的可以增设权限继承关系裁减表，实现了高低级别权限之间的互斥。

Description

一种权限关系数据的生成和调整方法及管理系统

技术领域

本发明涉及通信领域，尤其是一种权限关系数据的生成和调整方法及管理系统。

背景技术

用户权限是计算机系统的重要数据之一，用户权限的管理主要完成对用户访问设备的控制。具体地：设备命令被赋予权限属性，用户登陆时被赋予一定的权限，该用户只能执行与其权限相符合的命令，这样用户对设备的操作就被限制在一定范围之内了。

现有技术中，对用户权限的管理存在多种方案，例如：

有的方案一共有16个级别，设备的命令可以被动态指定为16个级别中的一个，也可以指定用户的级别。0到15级别之间的关系是由小到大的偏序关系，某级别的用户可以执行低级别或本级别的所有命令，但是比自己级别高的命令不可以执行。在实际的应用中，一般缺省地把命令分布到16个级别中到0、1、15的3个级别上。

有的方案实现为命令可以属于多个类型，类型可以包括多条命令，每个用户登陆时被赋予类型属性，可以执行该类型中的所有命令，之外的命令不能执行。

还有的方案实现为将命令被分布到4个级别上，设备的命令可以被动态指定为4个级别的一个，可以指定用户的级别。1到4级别之间的关系是由小到大的偏序关系，某级别的用户可以执行低级别或本级别的所有命令，但是比自己级别高的命令不可以执行。

在微软实现的基本组权限模型，定义了基本的管理员(administrator)、backup Operators(备份操作员)、访客(Guests)等几个基本命令集合，新创建的组可以包含这几个命令集合的一个或多个，用户属于某个组，实现用户的权限授权，命令集合不能灵活地细分，这与PC机命令本身就很少有关系，不需要更多的细分。组间权限是包含关系和并列关系。微软本地还实现了基于某个资源的权限控制，主要是其PC应用场景决定的(个人在设备上独占某些资源完成一些工作，同其他人独占的资源一般没有关系；同时具有对其他人授权的功能，但是缺省为其他无关系的人无权限)；而网络设备一般各个资源间是相互协同完成工作的，所以授权一般是基于命令操作能力的，对资源访问的控制可以通过滤器对包含某些资源名字的命令执行进行限制完成。

在实现本发明的过程中，发明人发现现有技术至少存在如下问题：

1、细分权限不灵活。在级别数量确定的情况下，例如，级别划分为15级，其中15级为最高级，包含全部的命令集合，而此时需要一权限级别，该权限基本包含的命令比14级多又比15级少，针对此种情况，只能将15级中的部分命令加入到14级中，而这样操作改变了原有的14级的内容，很不方便，而在原有的14级的内容不允许调整的情况下，就没有权限调整和细分权限的空间。如果级别数量允许增减，可以将级别数量增加为16级，此时，将原有15级的内容调整到16级上，根据需要重新设置15级的命令集合，但这种方式，命令调整量很大，尤其在低级别处进行细分时。

2、权限关系模型简单，维护复杂。对于命令级别的权限模型，只维护了级别之间的权限包含关系，导致2个级别的用户权限无叠加成为不可能。而基于类型定义的权限模型因为没有继承关系，不同用户之间的可执行的命令集合很难相互支持，因为增加一个命令的授权，需要改两个用户的类型定义，需要人为地维护2类型之间的权限包含关系。而微软的基本组权限模型也不能灵活地细分权限，只有几个基本权限的包含组合，而且不能将包含的组权限中去掉一些无用的权限的功能。

发明内容

本发明实施例的目的是提供一种权限关系数据的生成和调整方法及管理系统，以实现更加灵活的权限细分。

为实现上述目的，本发明实施例提供了一种权限关系数据的生成方法，包括如下步骤：

设置主级别、子级别以及各级别间的优先级关系，其中子级别从属于主级别；

设置命令集合，各个主级别和子级别分别与一命令集合对应；

将所有命令划分到各个主级别的命令集合中，其中，主级别高的命令集合包括所有比其主级别低的命令集合中的命令；

将主级别的命令集合中的命令，划分到该主级别包含的子级别中，其中，子级别高的命令集合包括所有比其子级别低的命令集合中的命令；

设置组及组对应的命令集合，将所述子级别的命令集合中的命令划分到所述组的命令集合中，所述组从属于所述子级别，从属于同一子级别的组的命令集合间的命令不重叠。

本发明实施例还提供了一种权限关系数据的调整方法，包括：当需要进行权限细分调整时，确定包含权限细分调整所涉及的全部命令的级别中最低的主级别对应的命令集合，调整该主级别所包含的子级别及子级别对应的命令集合；

所述调整该主级别所包含的子级别及子级别对应的命令集合，包括：

保持原有各子级别的命令集合不变，增设包含所述权限细分调整所涉及的全部命令的命令集合，按照命令集合间的包含关系重新设定各子级别的高低顺序。

本发明实施例还提供了一种权限关系数据管理系统，包括：

主级别记录模块，用于记录主级别的优先级关系，并记录各主级别与主级别的命令集合的对应关系；

主级别命令集合存储模块，与所述主级别记录模块连接，用于存储各主级别的命令集合；

子级别记录模块，与所述主级别记录模块连接，用于记录各主级别对应的各子级别的优先级关系，并记录各子级别与主级别以及各子级别与子级别的命令集合的对应关系；

子级别命令集合存储模块，用于存储各子级别的命令集合；

组记录模块，与所述子级别记录模块连接，用于记录各子级别的对应组；

组命令集合存储模块，与所述组记录模块连接，用于存储各组的命令集合。

由上述技术方案可知，本发明实施例通过在主级别下进一步划分子级别使得权限细分更加灵活。

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

附图说明

图1为本发明实施例一的权限关系数据的生成流程图；

图2为本发明实施例三的权限关系数据的管理系统示意图。

具体实施方式

本发明的实施例通过在每个固定级别基础上增加定义若干子级别，从而增加权限细分的灵活性。其中，主级别高的命令集合包括所有比其主级别低的命令集合中的命令；主级别相同时，子级别高的命令集合包括所有比其子级别低的命令集合中的命令。进一步的可以在子级别下增加组，从属于同一子级别的组的命令集合间的命令不重叠。

权限管理模型可以采用如下方式定义：

级别标识定义为：主级别标识.子级别标识；该级别标识唯一确定一子级别。

在进一步划分组的情况下，可以采用如下方式定义：

级别标识定义为：主级别标识.子级别标识.组标识；该级别标识唯一确定一组

为了更好的进行命令集合的划分，可以增设权限继承关系裁减表，所述权限继承关系裁减表中包括第一关系项和第二关系项，在所述第一关系项和第二关系项中写入组(具体可以通过写入级别标识来唯一确定组)，所述第一关系项中的组的子级别或主级别高于所述第二关系项中的组，每个第一关系项中的组对应一个或多个第二关系项中的组，所述第一关系项中的组无法执行与其对应的一个或或多个第二关系项中的组的命令集合中的命令。

下面通过一个具体实例来进一步说明本发明实施例的权限关系模型，为了简化描述，仅以3个主级别的情况为例，每个主级别下划分2个子级别，每个子级别下进一步划分2个组，其中级别的高低关系(优先关系)按数字大小排列，所涉及的命令为12条(a-1)，具体如下表：

表一：

在上述表项中，括号中的内容为主级别、子级别或组所对应的命令集合所包含的命令。

在实际的应用中，级别的表示方法应该包含完整的主级别、子级别和组，组对应的位置为0时，表示包含整个子级别的命令集合，例如：3.2.0对应的命令集合为(a-1)。

级别高的主级别或子级别对应的命令集合包含级别低的主级别或子级别对应的命令集合，例如：组3.1.0对应的命令集合包含组2.2.0，组2.1.0对应的命令集合。从属于同一子级别的组间的命令集合不重叠，例如：3.1.2和3.1.1之间的命令集合不重叠。

进一步的，可以设置权限继承关系裁减表，如下表所示：

表二

第一关系项	第二关系项
		3.1.2	1.1.2
3.1.1	1.1.1

表二中所包含的信息为：在组3.1.2所对应的命令集合中去除组1.1.2对应的命令集合中的命令，在组3.1.1所对应的命令集合中去除组1.1.1对应的命令集合中的命令。

当某个用户被指定的级别为3.1.2后，原本可以执行的命令集合为(a-f)，而由于存在权限继承关系裁减表，其可以执行的命令集合为(c-f)，通过设置权限继承关系裁减表，可以更加灵活的分配权限。

对于组网的设备来说，网络中的各个设备的权限级别一般是由网络中的主服务器统一分配或从主服务器中获取的(例如：验证服务器下载的权限级别)，而对于某个具体设备来说，无法根据实际需要去灵活分配权限，针对上述情况，可以在每个网络设备中建立外部权限级别和内部权限级别的映射关系，将网络中的主服务器统一分配的权限级别(即外部权限级别)根据需要映射到每个网络设备自身设定的权限级别(即内部权限级别)上。

例如，网络中的主服务器只能分配1-15的权限级别，某个网络设备分配的级别为4，通过在该设备中建立映射关系，将外部级别4映射为内部级别3.1.1。当该设备的使用需求发生变化时，再修改该映射关系，重新建立与内部级别的映射。

实施例一

下面介绍一下权限关系数据的生成流程，如图1所示，包括如下步骤：

步骤1、设置主级别、子级别以及各级别间的优先级关系，其中子级别从属于主级别；

步骤2、设置命令集合，各个主级别和子级别分别与一命令集合对应；

步骤3、将所有命令划分到各个主级别的命令集合中，其中，主级别高的命令集合包括所有比其主级别低的命令集合中的命令；

步骤4、将主级别的命令集合中的命令，划分到该主级别包含的子级别中，其中，子级别高的命令集合包括所有比其子级别低的命令集合中的命令。

步骤5、设置组及组对应的命令集合，将所述子级别的命令集合中的命令划分到所述组的命令集合中，所述组从属于所述子级别，从属于同一子级别的组的命令集合间的命令不重叠。

步骤6、设置权限继承关系裁减表，所述权限继承关系裁减表中包括第一关系项和第二关系项，在所述第一关系项和第二关系项中写入组，所述第一关系项中的组的子级别或主级别高于所述第二关系项中的组，每个第一关系项中的组对应一个或多个第二关系项中的组，所述第一关系项中的组无法执行与其对应的一个或或多个第二关系项中的组的命令集合中的命令。

上述步骤5和步骤6是根据实际需要而定，即可以只设置主级别和子级别，也可以只设置主级别、子级别和组，或者设置主级别、子级别、组和权限继承关系裁减表。

另外，如果应用应用权限关系数据设备为组网设备，可以进一步的设置外部权限级别和内部权限级别的映射关系，即建立设备外部权限级别与所述主级别或子级别或组的映射关系。

实施例二

在权限数据建立后，可以根据实际需要的变化，进行数据调整，下面介绍一下权限关系数据的调整的流程，包括如下步骤：

当需要进行权限细分调整时，确定包含权限细分调整所涉及的全部命令的级别最低的主级别对应的命令集合，调整该主级别所包含的子级别及子级别对应的命令集合。

其中，所述调整该主级别所包含的子级别及子级别对应的命令集合可以具体为：保持原有各子级别的命令集合所包含的命令不变，增设包含所述权限细分调整所涉及的全部命令的命令集合，按照命令集合间的包含关系重新设定各子级别的高低顺序。

在上述调整过程中还可以包括：对所述子级别包含的组及各组对应的命令集合中的命令进行调整的操作。该操作可以具体为：增加或减少组，重新划分各组对应的命令集合；或保持组的个数不变，重新划分各组对应的命令集合。

在上述调整过程中还可以包括：修改权限继承关系裁减表的操作，所述权限继承关系裁减表中包括第一关系项和第二关系项，在所述第一关系项和第二关系项中写入组，所述第一关系项中的组的子级别或主级别高于所述第二关系项中的组，每个第一关系项中的组对应一个或多个第二关系项中的组，所述第一关系项中的组无法执行与其对应的一个或或多个第二关系项中的组的命令集合中的命令。

对于联网设备来说，还可以包括：修改设备外部权限与所述主级别或子级别或组之间的映射关系的操作。

实施例三

如图2所示，其为本发明实施例3的权限关系数据管理系统示意图，包括：

主级别记录模块1，用于记录主级别的优先级关系，并记录各主级别与主级别的命令集合的对应关系；

主级别命令集合存储模块2，与所述主级别记录模块连接，用于存储各主级别的命令集合；

子级别记录模块3，与所述主级别记录模块连接，用于记录各主级别对应的各子级别的优先级关系，并记录各子级别与子级别的命令集合的对应关系；

子级别命令集合存储模块4，用于存储各子级别的命令集合。

该系统还可以进一步包括：

组记录模块5，与所述子级别记录模块连接，用于记录各子级别的对应组；

组命令集合存储模块6，与所述组记录模块连接，用于存储各组的命令集合。

该系统还可以进一步包括：

权限继承关系裁减模块7，与所述主级别记录模块和/或子级别记录模块和/或组记录模块连接，用于存储权限继承关系裁减表，所述权限继承关系裁减表中包括第一关系项和第二关系项，在所述第一关系项和第二关系项中写入组，所述第一关系项中的组的子级别或主级别高于所述第二关系项中的组，每个第一关系项中的组对应一个或多个第二关系项中的组，所述第一关系项中的组无法执行与其对应的一个或多个第二关系项中的组的命令集合中的命令。

该系统还可以进一步包括：

映射关系模块8，与所述主级别记录模块和/或子级别记录模块和/或组记录模块连接，用于记录设备外部权限与所述主级别或子级别或组之间的映射关系。

基于本发明实施例提供的权限数据模型及权限关系数据的生成方法及、调整方法、及权限关系数据管理系统，使得权限调整更加方便，权限细分更加灵活，权限维护功能更强大：

通过引入子级别，减少了权限调整时的命令调整量，在权限调整时，可以采用将少数命令调整在同级别的子级别上完成，而不用将多数的命令调整到低级别上，或者增加级别个数，并对整个级别顺序及命令集合进行调整，减少了命令调整的数量。

通过引入组增加互斥权限管理，使得2个用户权限无交叉成为可能，通过引入权限关系继承裁减表，实现了高低级别权限之间的互斥；

通过与外部权限级别建立映射关系，灵活的与其它设备权限管理方案兼容。例如，当各个厂商的权限属性定义不兼容时，有的方案的15级是最高级，有的方案则3级是最高级别，在共同组网使用一个服务器对用户授权时，现有技术便无法解决上述问题，从而导致级别定义不能为2个系统同时正确理解，而利用本发明实施例的外部权限级别和内部权限级别的映射机制，便可以灵活的解决上述问题，

最后应说明的是：以上实施例仅用以说明本发明的技术方案而非对其进行限制，尽管参照较佳实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对本发明的技术方案进行修改或者等同替换，而这些修改或者等同替换亦不能使修改后的技术方案脱离本发明技术方案的精神和范围。

Claims (12)

1、一种权限关系数据的生成方法，其特征在于，包括：

设置主级别、子级别以及各级别间的优先级关系，其中子级别从属于主级别；

设置命令集合，各个主级别和子级别分别与一命令集合对应；

将所有命令划分到各个主级别的命令集合中，其中，主级别高的命令集合包括所有比其主级别低的命令集合中的命令；

将主级别的命令集合中的命令，划分到该主级别包含的子级别中，其中，子级别高的命令集合包括所有比其子级别低的命令集合中的命令；

设置组及组对应的命令集合，将所述子级别的命令集合中的命令划分到所述组的命令集合中，所述组从属于所述子级别，从属于同一子级别的组的命令集合间的命令不重叠。

2、根据权利要求1所述的方法，其特征在于，还包括：

设置权限继承关系裁减表，所述权限继承关系裁减表中包括第一关系项和第二关系项，在所述第一关系项和第二关系项中写入组，所述第一关系项中的组的子级别或主级别高于所述第二关系项中的组，每个第一关系项中的组对应一个或多个第二关系项中的组，所述第一关系项中的组无法执行与其对应的一个或多个第二关系项中的组的命令集合中的命令。

3、根据权利要求1或2所述的方法，其特征在于，还包括：

将设备外部权限级别与所述主级别或子级别或组建立映射关系。

4、一种权限关系数据的调整方法，其特征在于，当需要进行权限细分调整时，确定包含权限细分调整所涉及的全部命令的级别中最低的主级别对应的命令集合，调整该主级别所包含的子级别及子级别对应的命令集合；

所述调整该主级别所包含的子级别及子级别对应的命令集合，包括：

保持原有各子级别的命令集合不变，增设包含所述权限细分调整所涉及的全部命令的命令集合，按照命令集合间的包含关系重新设定各子级别的高低顺序。

5、根据权利要求4所述的方法，其特征在于，还包括：对所述子级别包含的组及各组对应的命令集合进行调整。

6、根据权利要求5所述的方法，其特征在于，所述对所述子级别包含的组及各组对应的命令集合进行调整，包括：

增加或减少组，并重新划分各组对应的命令集合；或保持组的个数不变，并重新划分各组对应的命令集合。

7、根据权利要求4所述的方法，其特征在于，还包括：修改权限继承关系裁减表，所述权限继承关系裁减表中包括第一关系项和第二关系项，在所述第一关系项和第二关系项中写入组，所述第一关系项中的组的子级别或主级别高于所述第二关系项中的组，每个第一关系项中的组对应一个或多个第二关系项中的组，所述第一关系项中的组无法执行与其对应的一个或多个第二关系项中的组的命令集合中的命令。

8、根据权利要求5所述的方法，其特征在于，还包括：修改权限继承关系裁减表的操作。

9、根据权利要求4所述的方法，其特征在于，还包括：修改设备外部权限与所述主级别或子级别或组之间的映射关系的操作。

10、一种权限关系数据管理系统，其特征在于，包括：

主级别记录模块，用于记录主级别的优先级关系，并记录各主级别与主级别的命令集合的对应关系；

主级别命令集合存储模块，与所述主级别记录模块连接，用于存储各主级别的命令集合；

子级别记录模块，与所述主级别记录模块连接，用于记录各主级别对应的各子级别的优先级关系，并记录各子级别与子级别的命令集合的对应关系；

子级别命令集合存储模块，用于存储各子级别的命令集合；

组记录模块，与所述子级别记录模块连接，用于记录各子级别的对应组；

组命令集合存储模块，与所述组记录模块连接，用于存储各组的命令集合。

11、根据权利要求10所述的系统，其特征在于，还包括：

权限继承关系裁减模块，与所述主级别记录模块和/或子级别记录模块和/或组记录模块连接，用于存储权限继承关系裁减表，所述权限继承关系裁减表中包括第一关系项和第二关系项，在所述第一关系项和第二关系项中写入组，所述第一关系项中的组的子级别或主级别高于所述第二关系项中的组，每个第一关系项中的组对应一个或多个第二关系项中的组，所述第一关系项中的组无法执行与其对应的一个或多个第二关系项中的组的命令集合中的命令。

12、根据权利要求10或11所述的系统，其特征在于，还包括：

映射关系模块，与所述主级别记录模块和/或子级别记录模块和/或组记录模块连接，用于记录设备外部权限与所述主级别或子级别或组之间的映射关系。