CN101395632A

CN101395632A - 权利的管理和应用

Info

Publication number: CN101395632A
Application number: CNA2007800081134A
Authority: CN
Inventors: N·K·考兰德; G·叶; H·J·曼; B·T·克雷斯; J·H·奇布拉
Original assignee: Microsoft Corp
Current assignee: Microsoft Corp
Priority date: 2006-03-06
Filing date: 2007-02-06
Publication date: 2009-03-25
Also published as: US7703667B2; JP2009529182A; EP1999714A1; WO2007102966A1; KR20080106220A; US20070215683A1

Abstract

此处描述了一种用于管理和应用权利的方法和系统。身份集成服务器集中地管理与对应于多个身份的权利相关联的数据。该集成服务器可以选择多个工作流中的一个。选择将在工作流中使用的多个权利中的一个或多个，并且选择该工作流所适用的一组身份。做出关于该工作流是否应该在该身份上运行的判断。如果是，则启动该工作流。该一个或多个权利然后被添加到授予的权利列表。然后，可以启动将该一个或多个权利应用于该一个或多个身份的独立过程。

Description

权利的管理和应用

背景

权利描述能够对在给定应用程序或系统上的给定身份启用或禁用的能力。通常基于业务流程而被授予各身份。例如，如果经理批准则可以将电子邮件帐户给予每个全职员工。在该示例中，如果该员工具有全职的状态，则电子邮件通知将被发送到经理以备批准。一旦接收到经理批准，就可以为该员工创建电子邮件帐户。

在典型的供应应用程序中，与业务流程一起内联地应用权利。如果将权利直接应用于应用程序，则需要业务流程的执行者具有对正对其应用权利的应用程序的许可。此外，取决于诸如网络通信量和系统负荷等因素，在应用程序上启用权利可能是昂贵的。不同的业务流程也可以应用相同的权利。在这种情况下，系统可能以对该应用程序的冗余调用而告终。此外，系统可以按不一致的方式来将权利应用于应用程序。

概述

下面提供本发明的简化的概要以便为读者提供基本的理解。本概要不是本发明的详尽概观，并且既不标识本发明的关键/决定性要素也不描绘本发明的范围。其唯一目的是以简化形式提供在此公开一些概念作为稍后提供的更详细描述的序言。

此处所描述的是涉及用于管理和应用权利的各种方法和系统的各种技术和方法。根据所描述的技术的一个实现，身份集成服务器集中地管理与对应于多个身份的权利相关联的数据。该集成服务器可以选择多个工作流中的一个。选择将在工作流中使用的多个权利中的一个或多个，并且选择该工作流所适用的一组身份。做出关于该工作流是否应该在该身份上运行的判断。如果是，则启动该工作流。该一个或多个权利然后被添加到授予的权利列表。然后，可以启动将该一个或多个权利应用于该一个或多个身份的独立过程。

在所描述的技术的另一个实现中，集成服务器接收将权利授予身份的请求。该集成服务器确定该权利是否已经存在。如果是，则不必做任何事。如果不是，则可以授予该权利。可以启动将该权利应用于该身份的另一个过程。

许多附带特征将随着参考下面的详细描述并结合附图进行理解而得到更好的认识。

附图说明

从结合附图的下列详细描述中将更好地理解本说明书，在附图中：

图1是示出用于管理和应用权利的示例性系统的框图。

图2是示出用于选择权利并将其应用于所选身份的示例性过程的流程图。

图3是示出用于在请求时将权利应用于身份的示例性过程的流程图。

图4是示出用于管理权利的示例性用户界面的屏幕截图。

图5是示出用于定义身份规则的示例性用户界面的屏幕截图。

图6是示出用于定义工作流的示例性用户界面的屏幕截图。

图7示出了在其中可以实现本发明的某些方面的示例性计算环境。

相同的标号用于指示附图中相同的部分。

详细描述

下面结合附图提供的详细描述旨在作为对本示例的描述，而非表示用于解释或利用本示例的唯一形式。该描述阐述本示例的功能以及用于构造和操作本示例的步骤序列。然而，相同或等价的功能与序列可由不同的示例来完成。

图1是示出用于管理和应用权利的示例性系统100的框图。权利描述了能够对给定用户和应用程序启用或禁用的能力。权利的示例包括但不限于诸如用户帐户、电子邮件帐户等帐户、或邮箱、或诸如远程系统访问或对共享站点的访问等访问权限。可以基于业务流程或工作流来授予或撤销。例如，可以在员工的经理批准帐户后将电子邮件帐户授予员工。

在系统100中，业务流程是与权利的应用分离的。在系统100中全局地定义权利。每个权利都具有唯一标识符(ID)。权利ID对应于描述如何对应用程序启用或禁用权利的权利定义。权利ID和定义可被存储在数据存储110中。定义用于批准权利的授予或用于撤销权利的业务流程或工作流的业务规则可被存储在数据存储112中。

系统100包括集中地管理权利的应用的身份集成服务器102。诸如114或116等一个或多个目录通过诸如104或106等相应的管理代理被耦合到身份集成服务器102。身份集成服务器102维护存储元空间(metaverse)对象的数据存储108。每个元空间对象都可以具有与由系统100管理的身份相关联的数据。例如，公司可以维护与其员工相关联的元空间对象。身份的其他示例包括但不限于用户、组、组织角色、应用程序、或系统。

每个元空间对象可以具有授予的权利列表(GEL)以及当前权利列表(CEL)。授予的权利列表是根据业务规则元空间对象应具有的权利的列表。授予的权利列表上的条目可包括但不限于对权利定义的引用、对创建该条目的进程的引用、和/或诸如添加或移除权利等要完成的操作。当前权利列表是基于在身份集成服务器中配置的权利定义元空间对象当前所具有的权利的列表。

当对由系统100管理的身份添加或移除权利时，添加或移除权利的请求可被发送到身份集成服务器102。确定并启动与授予或撤销权利相关联的业务流程或工作流。当完成该业务流程或工作流时，可以在与身份相关联的元空间对象的授予的权利列表上设置权利的引用。一旦完成业务流程或工作流，就可以启动通过管理代理连接器空间将权利应用于正确连接的目录的独立过程。因为权利的应用是与业务流程分离的，所以业务流程不必知道如何定义和应用权利。系统可以批量处理权利请求。此外，可以并行执行业务流程的评估以及权利引用的应用。

图2-3是示出用于应用权利的各示例性过程的流程图。虽然可以参考其他附图来做出对图2-3的描述，但应理解，图2-3所示出的各示例性过程并不旨在限于与任何特定的一张或多张附图的系统或其他内容相关联。另外还应理解，尽管图2-3的各示例性过程指示操作执行的特定次序，但在一个或多个替换实现中可以按不同的次序来对这些操作进行排序。此外，图2-3的各示例性过程中所示出的某些步骤和数据可能是不必要的并且可以在某些实现中省略。最后，虽然图2-3的各示例性过程包含多个离散的步骤，但应认识到，在某些实施例中这些操作中的某一些可被组合并同时执行。

图2是示出用于选择权利并将其应用于所选身份的示例性过程的流程图。在210处，选择工作流。在220处，选择将在工作流中使用的多个权利中的一个或多个。在230处，选择该工作流所适用的一组身份。在240处，做出关于该工作流是否应该在该身份上运行的判断。如果不是，则在280处，该过程可以完成。如果是，则在250处，启动该工作流。在260处，该一个或多个权利被添加到在其上运行该工作流的身份的GEL。如果存在该工作流的批准过程，则在权利的应用之前启动该过程。然后，在270处，选择下一个工作流并且该过程从步骤220处重复。

图3是示出用于在请求时应用权利的示例性过程的流程图。在310处，接收将权利授予身份的请求。该身份可以与存储的元空间对象相关联。在320处，做出关于所请求的权利是否已经存在的判断。如果所请求的权利已经存在，则在350处，该过程可以完成。如果所请求的权利不存在，则在330处，授予所请求的权利。然后在340处，可以启动将所请求的权利应用于该身份的过程。

可以对撤销权利的请求执行类似的过程。如果该权利不存在，则不必做任何事。如果该权利确实存在，则撤销该权利。

图4是示出用于管理权利的示例性用户界面400的屏幕截图。该界面包括如402处所示的身份规则、诸如404处所示的工作流、以及诸如406处所示的权利的标识和管理。身份规则定义用于标识为应用由身份集成服务器管理的一个或多个权利所选的多个身份中的一个或多个的准则。例如，身份规则可指定诸如全职员工、工程部门的员工、和/或在8号楼工作的员工的准则。

每条身份规则都可具有与之相关联的优先级。例如，在工程部门工作可以具有比成为全职员工更高的优先级。可以使用优先级指示符来根据身份规则解决对于各身份组所批准的权利之间的冲突。例如，假设成为全职员工将电子邮件帐户授权给你，但是没有远程系统访问。假设在工程部门将远程系统访问授权给你。如果员工是全职的并且在工程部门，则在执行相应工作流之后，该员工可具有包含因成为全职员工而获得的权利(诸如电子邮件帐户等，而没有远程系统访问)以及因在工程部门而获得的权利(诸如远程系统访问)的授予的权利列表。因为在工程部门具有比成为全职员工更高的优先级，所以给予该员工电子邮件帐户和远程系统访问。假设同一员工然后转到了人力资源部门并且假设在人力资源部门不具有与之相关联的任何额外的权利。则，该员工将只具有电子邮件帐户并且将不再具有远程系统访问。以此方式，管理员可以为基础身份规则设置标准权利集并且将更特定权利授予特定身份规则。

工作流定义定义了将一个或多个权利授予所选身份要遵循的业务流程。例如，工作流可包括将电子邮件发送给经理或呼叫管理员。或者，公司的业务规则可以是使得身份规则已足够并因此在工作流中不需要额外的批准。例如，可以将电子邮件帐户给予所有全职员工。因此，如果员工的状态是全职的，则工作流会将电子邮件帐户给予该员工。

权利定义描述如何对应用程序启用或禁用权利。权利定义包括断言和流程规则。断言是由身份集成服务器用来标识权利的准则。使用断言来匹配对象权利。断言可用于确定在连接器空间中是否已经存在对象。如果对象不存在，则可以在连接器中创建对象。对于属性权利，使用断言来确定属性是否已经存在并且填充当前权利列表。使用流程规则来填充权利的属性。对象权利可具有初始化和永久流程规则，而属性权利只可具有永久流程规则。此外，属性权利可具有依赖对象，该依赖对象具有该属性权利所依赖的对象权利的ID。例如，作为对象权利的现用目录(AD)权利可具有断言PrimaryObjectClass＝“user”、初始化流程规则Password＝“foobar”、以及永久流程规则{DisplayName}＝Metaverse.DisplayName、PrimaryObjectClass＝“user”、以及Dn＝{DisplayName}+ou＝Users、dc＝Redmond、dc＝Microsoft、dc＝com。作为属性权利的远程访问系统(RAS)权利可具有依赖对象AD用户权利的ID、断言RAS＝“true”、以及永久流程规则RAS＝＂true＂。

图5是示出用于定义身份规则的示例性用户界面500的屏幕截图。身份规则定义用于标识为应用由身份集成服务器管理的一个或多个权利所选的多个身份中的一个或多个的准则。在该示例中，身份规则502定义具有属性员工状态等于全职员工(FTE)的一组身份。因此，该身份规则所涉及的该组身份是公司的全职员工。

图6是示出用于定义工作流的示例性用户界面600的屏幕截图。工作流定义定义了对于所选身份授予或撤销所选权利要遵循的业务流程。在该示例中，工作流602定义业务流程中的各步骤，包括将电子邮件发送给经理。在已经执行了在该示例业务流程中的各步骤之后，批准或不批准权利。如果对于该身份批准了该权利，则可以启动将该权利应用于该身份的独立过程。

图7示出了在其中可以实现本发明的某些方面的示例性计算环境。应该理解，计算环境700只是在其中可以利用此处所描述的各种技术的合适的计算环境的一个示例，并且并非对此处所描述各种技术的使用范围或功能提出任何限制。计算环境700也不应被解释为必定需要此处所示出的所有组件。

此处所描述的各种技术可以用众多其它通用或专用计算系统环境或配置来操作。适用于此处所描述的各种技术的公知的计算系统、环境和/或配置的示例包括，但不限于，个人计算机、服务器计算机、手持式或膝上型设备、多处理器系统、基于微处理器的系统、机顶盒、可编程消费者电子产品、网络PC、小型机、大型机、包括上述系统或设备中的任一个的分布式计算机环境等。

参考图7，计算环境700包括通用计算设备710。计算设备710的组件可包括但不限于处理单元712、存储器714、存储设备716、输入设备718、输出设备720、以及通信连接722。

处理单元712可包括一个或多个通用或专用处理器、ASIC、或可编程逻辑芯片。取决于计算设备的配置和类型，存储器714可以是易失性的(诸如RAM)、非易失性的(诸如ROM、闪存等)或是两者的某种组合。计算设备710还可包括其它存储(可移动和/或不可移动)，其中包括但不限于磁盘、光盘或磁带。这样的其它存储在图7中由存储716示出。计算机存储介质包括以用于存储诸如计算机可读指令、数据结构、程序模块或其它数据这样的信息的任意方法或技术来实现的易失性和非易失性、可移动和不可移动介质。存储器714和存储716都是计算机存储介质的示例。计算机存储介质包括但不限于，RAM、ROM、EEPROM、闪存或其它存储器技术，CD-ROM、数字多功能盘(DVD)或其它光存储，磁带盒、磁带、磁盘存储或其它磁存储设备，或者可用于存储所需信息并且可由计算设备710访问的任何其它介质。任何这样的计算机存储介质可以是计算设备710的一部分。

计算设备710还可包含允许计算设备710通过网络730与其他计算设备等其他设备进行通信的通信连接722。通信连接722是通信介质的一个示例。通信介质通常以诸如载波或其它传输机制等已调制数据信号来体现计算机可读指令、数据结构、程序模块或其它数据，且包含任何信息传递介质。术语‘已调制数据信号’指的是其一个或多个特征以在信号中编码信息的方式被设定或更改的信号。作为示例而非限制，通信介质包括有线介质，如有线网络或直接连线连接，以及无线介质，如声学、RF、红外和其它无线介质。此处所使用的术语计算机可读介质包括存储介质。

计算设备710还可具有诸如键盘、鼠标、笔、语音输入设备、触摸输入设备、和/或任何其他输入设备等的输入设备718。还可包括诸如一个或多个显示器、扬声器、打印机、和/或任何其他输出设备等的输出设备720。

虽然已经按照若干示例性实施例来描述本发明，但本领域的普通技术人员将认识到本发明并不限于所描述的各实施例，而是能够在所附权利要求书的精神和范围之内以修改和改变来实施。本说明书因此被认为是说明性而非限制性的。

Claims

1.一种方法，包括：

选择多个工作流中的一个；

选择将在所选工作流中使用的多个权利中的一个或多个。

选择所述工作流所适用的多个身份中的一个或多个；

在所述一个或多个所选身份上启动所述工作流以便将所述一个或多个权利授予所述一个或多个所选身份；以及

启动将所述一个或多个所选权利应用于所述一个或多个所选身份的过程。

2.如权利要求1所述的方法，其特征在于，每个身份都与一存储的元空间对象相关联。

3.如权利要求1所述的方法，其特征在于，还包括确定所选身份是否具有所选权利。

4.如权利要求3所述的方法，其特征在于，还包括当所述所选身份不具有所述所选权利时启动所述工作流。

5.如权利要求1所述的方法，其特征在于，还包括确定用于撤销所选权利的工作流。

6.如权利要求5所述的方法，其特征在于，还包括确定所述所选身份是否具有应被撤销的所选权利。

7.如权利要求6所述的方法，其特征在于，还包括当所述所选身份具有应被撤销的所选权利时启动用于撤销所选权利的所述工作流。

8.如权利要求1所述的方法，其特征在于，所述多个权利中的一个或多个是帐户。

9.如权利要求1所述的方法，其特征在于，所述多个权利中的一个或多个是访问权限。

10.一种系统，包括：

用于存储元空间对象的数据存储，每个元空间对象都与一身份相关联；

耦合到一个或多个目录以发送对权利的请求以及将权利应用于相应目录的一个或多个管理代理；以及

耦合到所述数据存储和所述一个或多个管理代理以集中地管理与对应于多个身份的权利相关联的数据的集成服务器，所述集成服务器从所述管理代理接收对权利的请求，启动对应于所述请求的相应工作流，以及启动通过所述相应的管理代理将所述权利应用于所述相应目录的过程。

11.如权利要求10所述的系统，其特征在于，所述集成服务器为每一元控件对象维护指示已通过所述相应工作流被授予所述元空间对象的一个或多个权利的授予的权利列表。

12.如权利要求10所述的系统，其特征在于，所述集成服务器为每一元控件对象维护指示所述元空间对象当前具有的一个或多个权利的当前权利列表。

13.如权利要求10所述的系统，其特征在于，还包括耦合到所述集成服务器以存储工作流的数据存储，每个工作流都与一业务流程相关联以便对于由所述集成服务器管理的所述身份中的至少一个授予或撤销所述权利中的至少一个。

14.如权利要求10所述的系统，其特征在于，还包括耦合到所述集成服务器以存储由所述集成服务器管理的所述权利的定义的数据存储。

15.一种或多种具有用于执行以下步骤的设备可执行指令的设备可读介质，所述步骤包括：

接收将权利授予身份的请求，所述身份与元空间对象相关联；

确定与将所请求的权利授予所述身份相关联的业务流程；

启动所述将所请求的权利授予所述身份的业务流程；以及

启动将所请求的权利应用于所述身份的独立过程。

16.如权利要求15所述的一种或多种设备可读介质，其特征在于，所述步骤还包括将所请求的权利添加到与所述身份相关联的授予的权利列表。

17.如权利要求15所述的一种或多种设备可读介质，其特征在于，启动将所请求的权利应用于所述身份的独立过程包括向管理代理发送将所请求的权利应用于所述身份的请求。

18.如权利要求17所述的一种或多种设备可读介质，其特征在于，所述步骤还包括当所请求的权利已被应用于所述身份时将所请求的权利添加到与所述身份相关联的当前权利列表。

19.如权利要求15所述的一种或多种设备可读介质，其特征在于，所请求的权利是帐户。

20.如权利要求15所述的一种或多种设备可读介质，其特征在于，所请求的权利是访问权限。