CN101282233B - 网元管理安全系统及方法 - Google Patents

Abstract

本发明公开了一种网元管理安全系统，包括：数据库，用于存储管理数据；至少一个管理单元，用于提供面向用户的管理功能，并在用户的信息发生变化后，修改所述数据库中对应该用户的管理数据；至少一个服务单元，用于根据所述数据库中的管理数据向网络系统中的其他应用提供安全服务；消息代理单元，用于接收到所述管理单元已修改数据的通知消息后，根据预先设定的策略通知所述服务单元从所述数据库中获取修改后的数据。本发明还公开了一种网元管理安全方法。利用本发明，可以实现系统各单元间的松耦合和多实例分布部署，提高系统的扩展性能。

Description

网元管理安全系统及方法

技术领域

本发明涉及网络安全技术领域，具体涉及一种网元管理安全系统及方法。

背景技术

目前，在网络管理中大都采用EMS(网元管理系统)，以实现对网络中的各种网元设备的统一管理。通常，EMS提供系统的管理、监测、控制、统计、设备版本升级等功能，负责对业务平台、网关等设备进行管理，包括设备配置、路由配置、设备软件升级、监控与告警、安全管理等功能。

为了保证EMS的安全，在大规模网络管理的情况下，还需要在EMS中设置安全管理子系统，以提供面向用户的管理功能，例如帐号管理、日志管理、权限管理等，统称为SMC(Security Management Component，安全管理功能组件)，以及面向其他应用(比如，网络接入、文件下载、呼叫处理等应用)的各种安全服务，例如认证、鉴权、审核等，统称为SSC(Security ServiceComponent，安全服务功能组件)。

在现有技术中，大多数EMS的安全管理子系统被设计为一个不可拆卸的结构，各种功能从逻辑上是分离的，但在物理上通过直接的方法调用与EMS紧密耦合在一起，并且模块之间存在直接的数据依赖。在这种方式中，作为关键性能的服务和功能不能单独分布或多实例，因而，当某个功能出现异常时会导致其他模块也无法正常工作；而且在和外部系统集成、对接时，需要做较大的改动，不仅会破坏系统的稳定性，而且不利于系统的扩展。

随着运营商网络规模的扩大及管理的集中化趋势，单个EMS管理的网元数也在迅速增长，因此EMS管理规模的可扩展性及性能问题成为了设备厂商关注的重点。同时，运营商期望运营成本降低，在大运营商中EMS更多的是被集成到运营商的OSS(运营支撑系统)中统一管理，这就要求EMS使用集中的帐号管理、认证和审核。因此，要求EMS安全管理子系统中已有的这些功能能够被替代或集成。另外，网元的安全管理和EMS的安全管理也逐渐开始集成在一起，以实现统一的帐号管理、权限管理和单点登录等。为此，业界一些安全产品定位在更高层面的网络管理或OSS管理上，其架构直接基于分布式的事件服务，实现了可拆卸和分布式。

如图1所示为现有技术中基于远程事件服务的分布式安全服务架构：安全服务模块11、安全服务模块12独立于其他服务模块13存在，通过远程事件服务模块10的调用为EMS系统提供安全保障。

但在这种架构中，各模块的调用直接依赖特定的分布式事件服务，例如CORBA(通用对象请求代理体系)事件服务，并且要求集成的其他子系统也使用该服务，因此很难和其他基于不同的事件服务子系统集成，例如JMS(JAVA消息服务)。另外，在与其他子系统采用相同进程部署时，安全系统中的子模块之间的消息也是通过分布式事件服务的，比如直接调用CORBA或JMS服务，因而会影响安全系统的性能。

发明内容

本发明提供一种网元管理安全系统及方法，以实现系统中各单元间的松耦合和多实例分布部署，使系统方便地应用于不同的环境中，并提高系统的扩展性能。

为此，本发明提供的技术方案的实施例如下：

一种网元管理安全系统，所述网元管理安全系统包括：

数据库，用于存储管理数据；

至少一个管理单元，用于提供面向用户的管理功能，并在用户的信息发生变化后，修改所述数据库中对应该用户的管理数据；

至少一个服务单元，用于根据所述数据库中的管理数据向网络系统中的其他应用提供安全服务，所述服务单元包括同一进程内的服务单元和/或不同进程内的服务单元；

消息代理单元，用于接收到所述管理单元已修改数据的通知消息后，根据预先设定的策略通知所述服务单元和/或本系统外的其他子系统从所述数据库中获取修改后的数据；所述消息代理单元包括：

本地事件服务单元，用于传递同一进程内的消息；

远程事件服务单元，用于传递不同进程及不同系统之间的消息；

服务调用单元，接收所述已修改数据的通知消息，根据所述预先设定的策略，调用所述本地事件服务单元通知所述同一进程内的服务单元从所述数据库中获取修改后的数据；和/或调用所述远程事件服务单元通知所述不同进程的服务单元或本系统外的其他子系统从所述数据库中获取修改后的数据。

一种网元管理安全方法，所述方法包括步骤：

将系统管理数据存储到数据库中；

当用户的信息发生变化后，由提供面向用户的管理功能的管理单元修改所述数据库中对应该用户的管理数据，并通过消息代理按照设置的消息代理策略通知向网络系统中的其他应用提供安全服务的服务单元；所述消息代理策略包括：如果所述消息代理需要在同一进程中接收和发送消息，则通过本地事件消息接收消息，通过本地事件消息和/或远程事件消息发送消息；如果所述消息代理需要在不同进程之间接收和发送消息，则通过远程事件消息接收和发送消息；

所述服务单元从所述数据库中获取修改后的数据。

由以上本发明实施例提供的技术方案可以看出，本发明基于数据库和本地消息代理的方式实现系统中各单元之间的松耦合及多实例分布，因而各单元之间能够按照需要方便地进行拆分，并且在和其他系统集成时可以很容易地替换其中某个功能单元而不影响其他部分，以满足不同应用的需求。

附图说明

图1是现有技术中基于远程事件服务的分布式安全服务架构示意图；

图2是本发明实施例的系统的一种原理框图；

图3是本发明系统实施例中管理单元和服务单元通过消息代理单元交互的流程图；

图4是本发明实施例系统中的消息代理单元的一种原理框图；

图5是本发明实施例的系统的另一种原理框图；

图6是本发明系统实施例与其它系统的组网示意图；

图7是本发明方法的一个实施例的流程图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面结合附图和实施方式对本发明作进一步的详细说明。

首先，参照图2所示本发明系统第一实施例的原理框图：

在该实施例中，网元管理安全系统包括：数据库20、管理单元21、服务单元22和消息代理单元23。其中，数据库20用于存储系统中的管理数据；管理单元21用于提供面向用户的管理功能，在实际应用中，所述网元管理安全系统可以包括一个或多个管理单元，比如，账号管理、组管理、权限管理、日志管理、会话管理等，可以有多个独个的管理单元，分别完成某项管理功能，也可以将所有管理功能集成在一个管理单元上。管理单元21在用户的信息发生变化后，需要修改数据库20中对应该用户的管理数据，以使数据库的数据与用户实际的数据保持一致。服务单元22用于根据数据库20中的管理数据向其他应用(比如，网络接入、文件下载、呼叫处理等应用)提供安全服务，同样，在实际应用中，所述网元管理安全系统可以包括一个或多个服务单元，比如，认证服务、鉴权服务、日志服务等，也可以将不同服务功能集成在一个服务单元上。而且，所述的服务单元包括同一进程内的服务单元和/或不同进程内的服务单元。服务单元22不仅可以面向其它子系统提供服务，而且还可以向网络系统内部其他功能单元提供服务，例如，向网络系统内的配置单元、故障管理单元等提供服务。同样，可以有多个独立的服务单元，分别完成某项服务功能，也可以将所有服务功能集成在一个服务单元上。

在本实施例中，管理单元21和服务单元22均直接与数据库20交互，服务单元22直接从数据库中读取数据，而不是从管理单元21中获取数据，从而实现了系统内管理功能和服务功能的松耦合。

为了保证服务单元22本地内存中缓存的数据与数据库20中存储的数据的一致性，由与管理单元21和服务单元22耦接的消息代理单元23监听数据库中数据的变化情况，在数据发生变化时，及时通知服务单元22更新其内存中缓存的数据。为此，在用户修改数据时，管理单元21先更新数据库20中的相应数据，然后发送消息，通知消息代理单元23。消息代理单元23在接收到通知后，向服务单元22发送消息，通知其更新相应的数据。服务单元22收到该通知后，从数据库20中重新获取相应数据，并保存到其缓存中。

服务单元22可以预先向消息代理单元23注册监听数据变化的事件，当消息代理单元23监听到数据变化后，将该事件通知向其注册了的服务单元。也可以不进行注册，当消息代理单元23监听到数据变化后，将该事件通知系统内所有的服务单元。如果实际应用需要，消息代理单元23还可以将该事件通知本系统外的其他子系统。

消息代理单元23与管理单元21和服务单元22可以通过与通讯方式无关的消息进行交互，也就是说，消息代理单元23发送和接收的消息可以采用与通讯方式无关的消息，比如，采用自定义的和通讯方式无关的消息，以便于使用不同协议的功能单元的集成，满足不同应用的需求。

图3是本发明系统中管理单元和服务单元通过消息代理单元的一种交互流程，包括以下步骤：

1.管理单元修改数据库中的数据；

2.管理单元向消息代理单元发送消息，通知消息代理单元数据已修改；

3.消息代理单元收到消息后，根据预先设定的策略向服务单元发送消息通知；

4.服务单元收到该通知后，从数据库中获取相应的数据。

图2所示实施例框图中的消息代理单元23可以直接完成管理单元21与服务单元22之间的消息传递，以及本系统与本系统外的其他子系统之间的消息传递，也可以通过调用事件服务功能单元的方式来完成这些消息的传递。前面提到，本发明实施例网元管理安全系统中可以有多个管理单元和服务单元，在通过消息代理单元进行消息通知的传递时，其中需要通知的服务单元中有些可能与发送已修改数据的通知消息的管理单元处于同一进程，而还有一些可能与该管理单元处于不同的进程。针对这种情况，图4示出了本发明实施例中消息代理单元23的一种框图，包括：

服务调用单元230、本地事件服务单元231和远程事件服务单元232。其中，本地事件服务单元231用于传递同一进程内的消息；远程事件服务单元232用于提供不同进程之间消息代理单元与管理单元和服务单元的消息传递，以及本系统与本系统外的其他子系统(比如，故障管理子系统、配置子系统等)之间的消息传递。服务调用单元230通过调用本地事件服务单元231和远程事件服务单元232来完成本系统内管理单元与服务单元之间，以及本系统与本系统之外的其他子系统之间的消息传递。也就是说，服务调用单元230接收来自管理单元已修改数据的通知消息，根据预先设定的策略，调用本地事件服务单元231通知同一进程内的服务单元从所述数据库中获取修改后的数据；和/或调用远程事件服务单元232通知不同进程的服务单元或本系统外的其他子系统从所述数据库中获取修改后的数据。

结合图2和图4，管理单元和服务单元通过消息代理单元进行交互的流程如下：

1.管理单元修改数据库中的数据；

2.管理单元向消息代理单元发送消息，通知消息代理单元数据已修改；

3.消息代理单元收到消息后，根据预定策略需要向本地服务单元和远程服务单元发送消息通知，于是由服务调用单元调用本地事件服务单元向服务单元发送消息通知；并由服务调用单元调用远程事件服务单元向远程服务单元发送消息通知；

4.本地服务单元和远程服务单元收到该通知后，分别从数据库中获取相应的数据。

当然，如果系统的应用只需在同一进程内进行消息传递，则可以只设置本地事件服务单元231，如果系统的应用只需在不同进程内进行消息传递，则可以只设置远程事件服务单元232。

可见，在本发明具体实施例中，当系统中的管理单元和服务单元运行在同一进程时，只需通过本地事件服务单元基于本地消息进行交互，从而提高了系统性能。

在一个网元管理安全系统中可以只设置一个远程事件服务单元，在需要和其它系统集成的环境中，可以设置多个不同的远程事件服务单元，以适应不同系统的需求。比如，CORBA(通用对象请求代理体系结构)消息代理、或者JMS(Java Message Service，Java消息服务)消息代理、或者其它的远程消息代理。

比如，可以进行以下设置：

#定义了一个本地事件服务单元0

event.agent.0＝com.xxx.eventagent.LightLocalEventAgent

#定义了一个远程基于CORBA的事件服务单元1

event.agent.1＝com.xxx.eventagent.CORBAEventAgent

#还可以定义一个远程基于JMS的事件服务单元2

event.agent.2＝com.xxx.eventagent.JMSventAgent

在系统的应用既需要在同一进程内进行消息传递，又需要在不同进程内进行消息传递时，就需要使消息代理单元区分哪些事件需要通知给本地的服务单元，哪些事件需要通知给其他外部系统。

参照图5所示本发明系统第二实施例的原理框图：

与图2所示本发明实施例的系统不同的是，在该实施例中，还设置了一个消息策略单元24，与消息代理单元23耦接，为其提供发送和接收消息的策略。也就是说，定义哪种消息发送到本地事件服务单元、或者远程事件服务单元、或者两者；以及定义从本地事件服务单元还是远程事件服务单元接收哪种消息；并定义连接哪一种远程事件服务单元等。可以采用以下的策略：

如果所述消息代理需要在同一进程中接收和发送消息，则定义通过所述本地事件消息接收消息，通过所述本地事件消息和/或所述远程事件消息发送消息；

如果所述消息代理需要在不同进程之间接收和发送消息，则定义通过所述远程事件消息接收和发送消息。

消息策略单元通过读取配置的策略信息了解哪些消息需要本地事件服务单元发送/接收，哪些消息需要远程事件服务单元发送/接收。例如：

event_send_0＝delete_sogroup，delete_opgroup，delete_usergroup

event_send_1＝delete_sogroup

event_send_2＝delete_sogroup

event_receive_0＝delete_sogroup，delete_opgroup，delete_usergroup

定义了delete_sogroup消息既要通过本地事件服务单元0(对应event_send_0)发送、也要通过远程事件服务单元1(对应event_send_1)和远程事件服务单元2(对应event_send_2)发送，而只需要通过本地事件服务单元0(对应event_receive_0)接收该消息。

可见，本发明系统不依赖任何特定的分布式事件服务，可以针对不同的应用环境定制相应的策略，使用不同的事件服务。

参照图6，图6示出了本发明实施例系统与其它系统的组网结构：

包括：网元管理安全子系统201、301，其它拓扑子系统401。其中，网元管理安全子系统201、301直接从数据库20中获取数据，当网元管理安全子系统201中的本地管理单元21和本地服务单元22需要消息传送时，通过消息代理单元23中的服务调用单元230调用本地事件服务单元231接收和发送本地消息，同样，网元管理安全子系统301中的本地管理单元31和本地服务单元32需要消息传送时，通过消息代理单元33接收和发送本地消息。当网元管理安全子系统201中的本地管理单元21与网元管理安全子系统301中的服务单元32、或者网元管理安全子系统301中的本地管理单元31与网元管理安全子系统201中的服务单元22需要消息传送时，通过消息代理单元23中的服务调用单元230调用远程事件服务单元232接收和发送远程消息。同样，网元管理安全子系统201和网元管理安全301与其它拓扑子系统401之间传送消息时，也需要通过消息代理单元23中的服务调用单元230调用远程事件服务单元232来接收和发送远程消息。消息策略单元24为消息代理单元23提供发送和接收消息的策略。

可见，本发明系统实施例内各单元采用这种松耦合的方式进行通讯，在和其它系统集成时可以根据应用需求很容易地替换其中某个功能单元而不影响其它部分，比如使用运营商提供的鉴权服务功能单元取代本发明系统内的鉴权服务单元(服务单元之一)，或者是直接使用操作系统的用户管理功能等，而且当非重要单元出现问题时不会影响其它单元的正常工作。

参照图7，图7示出了本发明网元管理安全方法的一个实施例的流程，包括以下步骤：

步骤701：将网络系统管理数据存储到数据库中。

比如，可以在网络系统启动时，通过配置终端或其它方式将用户的管理数据存储到数据库中，当然，也可以在管理单元中设置用户接口，通过该用户接口将用户的管理数据存储到数据库中。

步骤702：当用户的信息发生变化后，由管理单元修改数据库中对应该用户的管理数据，并通过消息代理方式通知服务单元。

由于管理单元和服务单元有可能位于同一进程中，也可能位于不同的进程中，因此，可以将所述消息代理方式划分为：本地事件消息代理方式、远程事件消息代理方式。当管理单元和服务单元在同一进程时，通过本地事件消息发送和接收消息通知；当管理单元和服务单元在不同进程时，通过远程事件消息发送和接收消息通知，而且所述本地事件消息和所述远程事件消息可以采用与通讯方式无关的消息。其中，远程事件消息可以是：CORBA消息、或者JMS消息、或者其它协议的消息等。

可以预先设置相应的消息代理策略，使消息代理根据消息代理策略接收和发送消息。比如，可以采用以下的策略：

当管理单元和服务单元部署在同一进程时，也就是说，消息的发送和接收在同一进程内，消息代理策略可以定义消息的发送和接收都是本地消息；当同时还有其它外部子系统也需要接收该消息时，则还需要定义该消息同时发送到远程。

当管理单元和服务单元部署在不同进程时，也就是说，消息的发送和接收在多个进程之间，则消息代理策略可以定义消息的发送和接收都是远程消息。

步骤703：服务单元从数据库中获取修改后的数据。

可见，本发明的具体实施例，可以使EMS(网元管理系统)中的面向用户的管理单元与面向其它子系统和/或本系统内部其他功能单元提供服务的服务单元之间基于数据库通过消息代理方式进行交互，从而方便地实现了系统内各单元之间的松耦合及多实例分布部署。

以上对本发明实施例所提供的系统及方法进行了详细介绍，本文中应用了具体实施方式对本发明进行了阐述，以上实施例的说明只是用于帮助理解本发明的系统及方法；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (4)

1.一种网元管理安全系统，其特征在于，所述网元管理安全系统包括：

数据库，用于存储管理数据；

至少一个管理单元，用于提供面向用户的管理功能，并在用户的信息发生变化后，修改所述数据库中对应该用户的管理数据；

至少一个服务单元，用于根据所述数据库中的管理数据向网络系统中的其他应用提供安全服务，所述服务单元包括同一进程内的服务单元和/或不同进程内的服务单元；

消息代理单元，用于接收到所述管理单元已修改数据的通知消息后，根据预先设定的策略通知所述服务单元和/或本系统外的其他子系统从所述数据库中获取修改后的数据；所述消息代理单元包括：

本地事件服务单元，用于传递同一进程内的消息；

远程事件服务单元，用于传递不同进程及不同系统之间的消息；

服务调用单元，接收所述已修改数据的通知消息，根据所述预先设定的策略，调用所述本地事件服务单元通知所述同一进程内的服务单元从所述数据库中获取修改后的数据；和/或调用所述远程事件服务单元通知所述不同进程的服务单元或本系统外的其他子系统从所述数据库中获取修改后的数据。

2.根据权利要求1所述的系统，其特征在于，所述远程事件服务单元具体为：

通用对象请求代理体系CORBA消息代理、或者JAVA消息服务消息代理。

3.根据权利要求1或2所述的系统，其特征在于，所述系统还包括：

消息策略单元，与所述消息代理单元耦接，用于提供所述消息代理单元发送和接收消息的策略。

4.一种网元管理安全方法，其特征在于，所述方法包括步骤：

将网络系统管理数据存储到数据库中；

当用户的信息发生变化后，由用于提供面向用户的管理功能的管理单元修改所述数据库中对应该用户的管理数据，并通过消息代理按照设置的消息代理策略通知用于向所述网络系统中的其他应用提供安全服务的服务单元；所述消息代理策略包括：如果所述消息代理需要在同一进程中接收和发送消息，则通过本地事件消息接收消息，通过本地事件消息和/或远程事件消息发送消息；如果所述消息代理需要在不同进程之间接收和发送消息，则通过远程事件消息接收和发送消息；

所述服务单元从所述数据库中获取修改后的数据。

Images