CN101060407A

CN101060407A - 用户访问权限的管理方法及系统

Info

Publication number: CN101060407A
Application number: CN 200710041019
Authority: CN
Inventors: 王伟; 高建强; 王占宏; 李绍锟
Original assignee: SHANGHAI ZHONGHENG INFORMATION TECHNOLOGY Co Ltd
Current assignee: SHANGHAI ZHONGHENG INFORMATION TECHNOLOGY Co Ltd
Priority date: 2007-05-22
Filing date: 2007-05-22
Publication date: 2007-10-24

Abstract

本发明揭示了一种用户访问权限的管理方法，包括：根据用户的基本属性，设定用户的基本访问权限、身份识别信息和验证信息；建立基本访问权限数据库保存每一用户的基本访问权限；根据特定的应用设定用户的特定访问权限，该特定访问权限与该特定的应用中该用户的分类有关；接收用户的登陆请求；验证用户身份识别信息和验证信息；获取该用户对于该特定的应用的分类，结合用户的基本访问权限和用户的特定访问权限确定给与该用户的访问授权策略；基于该访问授权策略确定用户的最终访问权限。本发明提供的用户访问权限的管理方法及系统能根据不同的应用为一个用户提供不同的访问权限，以适应具有复杂业务的应用。

Description

用户访问权限的管理方法及系统

技术领域

本发明涉及用户访问权限的管理技术，跟具体地说，涉及一种用户访问权限的管理方法及系统。

背景技术

用户对于一个系统的访问权限的管理对于任何一个计算机系统来说都是十分重要的。在传统的用户访问权限的管理方式中，都是通过单一的账号方式来进行管理，即对于一个账号，给与一固定的权限，只要该帐号能够通过一定的验证手续，比如数字证书或者密码之类，就能顺利登陆并且获得相应的权限。但是，这种方式在具有复杂业务和复杂数据的系统中存在一定的缺陷。因为，对于具有复杂业务和复杂数据的系统来说，同一个用户在不同的业务应用中可能是享有不同的权限的，但是，传统技术中，并没有对这种情况加以区分，使得用户只能以单一的账号登陆并享受单一的权限，这对于具有复杂业务的系统来说并不是最佳的方案。

发明内容

本发明旨在提供一种新型的用户访问权限的管理方法及系统，以根据不同的应用为一个用户提供不同的访问权限。

本发明提供一种用户访问权限的管理方法，包括：

根据用户的基本属性，设定用户的基本访问权限、身份识别信息和验证信息；

建立基本访问权限数据库保存每一用户的基本访问权限；

根据一特定的应用，设定用户的特定访问权限，其中，具有特定访问权限的用户是用户基本访问权限数据库中保存的用户，而该特定访问权限与该特定的应用中该用户的分类有关；

接收用户的登陆请求，该登陆请求中包括用户的身份识别信息和验证信息；

验证用户身份识别信息和验证信息，如果通过验证，则查找用户的基本属性并确定用户的基本访问权限；如果没有通过用户身份识别信息和验证信息的验证，则拒绝用户的登陆请求；

获取该用户对于该特定的应用的分类，结合用户的基本访问权限和用户的特定访问权限确定给与该用户的访问授权策略；

基于该访问授权策略确定用户的最终访问权限。

该验证信息包括用户数字证书和密码，而用户的基本属性包括名称、职位、职级、辖地。

根据一实施例，根据用户的基本属性，设定用户的基本访问权限、身份识别信息和验证信息是分级进行，每一级的用户的基本访问权限、身份识别信息和验证信息是分级由其上一级的用户确定。

对于用户的分类，本发明提供一访问控制列表，针对每一个特定的应用，记录对于该特定的应用中对于用户的分类。

本发明还提供一种用户访问权限的管理系统，包括：

基本访问权限设定装置，根据用户的基本属性设定用户的基本访问权限、身份识别信息和验证信息；

基本访问权限数据库，保存每一用户的基本访问权限；

特定访问权限设定装置，根据一特定的应用，设定用户的特定访问权限，其中，具有特定访问权限的用户是用户基本访问权限数据库中保存的用户，而该特定访问权限与该特定的应用中该用户的分类有关；

登陆装置，接收用户的登陆请求，该登陆请求中包括用户的身份识别信息和验证信息；

验证装置，验证用户身份识别信息和验证信息，如果通过验证，则查找用户的基本属性并确定用户的基本访问权限；如果没有通过用户身份识别信息和验证信息的验证，则拒绝用户的登陆请求；

分类确定装置，获取该用户对于该特定的应用的分类，结合用户的基本访问权限和用户的特定访问权限确定给与该用户的访问授权策略；

最终访问权限确定装置，基于该访问授权策略确定用户的最终访问权限。

其中，该验证信息包括用户数字证书和密码，而该用户的基本属性包括名称、职位、职级、辖地。

在本发明中，基本访问权限设定装置进行分级设定，每一级的用户的基本访问权限、身份识别信息和验证信息是分级由其上一级的用户确定。

在本发明的方法中，为了对用户进行分类，提供访问控制列表，针对每一个特定的应用，记录对于该特定的应用中对于用户的分类。

本发明提供的用户访问权限的管理方法及系统能根据不同的应用为一个用户提供不同的访问权限，以适应具有复杂业务的应用。

附图说明

图1示出了根据本发明的一实施例的用户访问权限的管理方法的流程图；

图2示出了根据本发明的一实施例的用户访问权限的管理系统的结构图。

具体实施方式

本发明提供一种用户访问权限的管理方法，参考图1，使出了该方法的一实例100的流程图，该方法100包括：

102.根据用户的基本属性，设定用户的基本访问权限、身份识别信息和验证信息。根据本发明的一实施例，该方法应用于公共安全系统，此时，用户的基本属性包括名称、职位、职级、辖地。该验证信息包括用户数字证书和密码。根据一实现中的要求，用户被同时要求提交用户数字证书和密码，该用户数字证书应符合国家有关部门的要求。

104.建立基本访问权限数据库保存每一用户的基本访问权限。该基本访问权限数据库中保存每一个用户的基本访问权限，并且可以进行添加或者删除。

106.根据一特定的应用，设定用户的特定访问权限，其中，具有特定访问权限的用户是用户基本访问权限数据库中保存的用户，而该特定访问权限与该特定的应用中该用户的分类有关。如上面所介绍的，本发明的一实施例是应用于公共安全系统，对于公共安全系统来说，时常会出现不同的任务，这些不同的任务可以被视为是不同的特定应用。同一个工作人员在不同的任务中的角色是不同的，因此希望他们在不同的任务中被赋予不同的访问权限。在传统技术中，由于对于单一账号的登陆只给与单一的访问权限，因此无法满足上面的这种应用的要求。本发明设计的用户的特定访问权限，该特定访问权限是基于不同的特定应用而设定。在一个特定应用中，可以对用户进行分类，因此同一个用户在不同的应用中可能被分到不同的类中，于是，针对不同的应用，同一个用户就能被赋予不同的特定访问权限。根据本发明的一实现，还提供一访问控制列表，针对每一个特定的应用，记录对于该特定的应用中对于用户的分类。

回到图1，该方法100还包括：

108.接收用户的登陆请求，该登陆请求中包括用户的身份识别信息和验证信息。

110.验证用户身份识别信息和验证信息，如果通过验证，则查找用户的基本属性并确定用户的基本访问权限；如果没有通过用户身份识别信息和验证信息的验证，则拒绝用户的登陆请求。根据本发明的一实施例，该验证步骤110可通过CA服务器和目录服务器对用户进行身份认证。

112.获取该用户对于该特定的应用的分类，结合用户的基本访问权限和用户的特定访问权限确定给与该用户的访问授权策略。例如，对于公共安全系统的应用，通过认证后CA服务器和目录服务器向访问控制模块发回用户的名称、职位、职级、辖地等权限信息。访问控制模块通过查询访问控制列表，判别用户的类别，执行不同的授权策略。

114.基于该访问授权策略确定用户的最终访问权限。

同样，对于公共安全系统的应用，上述的步骤102，根据用户的基本属性，设定用户的基本访问权限、身份识别信息和验证信息是分级进行，每一级的用户的基本访问权限、身份识别信息和验证信息是分级由其上一级的用户确定。比如，上级部门给下级部门授权，下级部门给再下一级机构授权，各级机关内部设置职位(角色)，给一个工作人员设置权限的过程是，相应机关管理员或领导，只要从工作人员库中选出要授权的工作人员，赋予相应的职位(角色)即可。

本发明还提供一种用户访问权限的管理系统200，参考图2示出了其实施例，该系统200包括：

基本访问权限设定装置202，根据用户的基本属性设定用户的基本访问权限、身份识别信息和验证信息。根据本发明的一实施例，该系统应用于公共安全系统，此时，用户的基本属性包括名称、职位、职级、辖地。该验证信息包括用户数字证书和密码。根据一实现中的要求，用户被同时要求提交用户数字证书和密码，该用户数字证书应符合公安部的要求。

基本访问权限数据库204，保存每一用户的基本访问权限。该基本访问权限数据库中保存每一个用户的基本访问权限，并且可以进行添加或者删除。

特定访问权限设定装置206，根据一特定的应用，设定用户的特定访问权限，其中，具有特定访问权限的用户是用户基本访问权限数据库中保存的用户，而该特定访问权限与该特定的应用中该用户的分类有关。本发明设计的用户的特定访问权限，该特定访问权限是基于不同的特定应用而设定。在一个特定应用中，可以对用户进行分类，因此同一个用户在不同的应用中可能被分到不同的类中，于是，针对不同的应用，同一个用户就能被赋予不同的特定访问权限。根据本发明的一实现，还提供一访问控制列表，针对每一个特定的应用，记录对于该特定的应用中对于用户的分类。较佳的，如图2所示的实施例200中，还包括访问控制列表207，针对每一个特定的应用，记录对于该特定的应用中对于用户的分类。

登陆装置208，接收用户的登陆请求，该登陆请求中包括用户的身份识别信息和验证信息。

验证装置210，验证用户身份识别信息和验证信息，如果通过验证，则查找用户的基本属性并确定用户的基本访问权限；如果没有通过用户身份识别信息和验证信息的验证，则拒绝用户的登陆请求。根据本发明的一实施例，该验证装置210利用CA服务器和目录服务器对用户进行身份认证。

分类确定装置212，获取该用户对于该特定的应用的分类，结合用户的基本访问权限和用户的特定访问权限确定给与该用户的访问授权策略。例如，对于公共安全系统的应用，分类确定装置212利用在用户通过认证后，借助CA服务器和目录服务器向访问控制模块发回用户的名称、职位、职级、辖地等权限信息。访问控制模块通过查询访问控制列表，判别用户的类别，执行不同的授权策略。

最终访问权限确定装置214，基于该访问授权策略确定用户的最终访问权限。

Claims

1.一种用户访问权限的管理方法，包括：

建立基本访问权限数据库保存每一用户的基本访问权限；

基于该访问授权策略确定用户的最终访问权限。

2.如权利要求1所述的用户访问权限的管理方法，其特征在于，

所述验证信息包括用户数字证书和密码。

3.如权利要求2所述的用户访问权限的管理方法，其特征在于，

所述用户的基本属性包括名称、职位、职级、辖地。

4.如权利要求2所述的用户访问权限的管理方法，其特征在于，

所述根据用户的基本属性，设定用户的基本访问权限、身份识别信息和验证信息是分级进行，每一级的用户的基本访问权限、身份识别信息和验证信息是分级由其上一级的用户确定。

5.如权利要求1至4中任一项所述的用户访问权限的管理方法，其特征在于，

提供一访问控制列表，针对每一个特定的应用，记录对于该特定的应用中对于用户的分类。

6.一种用户访问权限的管理系统，其特征在于，包括：

基本访问权限数据库，保存每一用户的基本访问权限；

7.如权利要求6所述的用户访问权限的管理系统，其特征在于，

所述验证信息包括用户数字证书和密码。

8.如权利要求7所述的用户访问权限的管理系统，其特征在于，

所述用户的基本属性包括名称、职位、职级、辖地。

9.如权利要求8所述的用户访问权限的管理系统，其特征在于，

所述基本访问权限设定装置进行分级设定，每一级的用户的基本访问权限、身份识别信息和验证信息是分级由其上一级的用户确定。

10.如权利要求6至9中任一项所述的用户访问权限的管理系统，其特征在于，还包括

访问控制列表，针对每一个特定的应用，记录对于该特定的应用中对于用户的分类。