CN101478398A - 一种面向资源管理的授权管理系统及其建立方法 - Google Patents

Abstract

本发明提供一种面向资源管理的授权管理系统及其建立方法，该系统包括授权管理子系统和至少一个与授权管理子系统相连的资源管理子系统，所述授权管理子系统，用于设置本子系统内的角色，并将角色传递给资源管理子系统；根据用户信息将具有访问权限的角色授予用户；所述资源管理子系统，用于收集并管理资源；依据资源为所述授权管理子系统传递来的角色授予访问权限，将授权结果返回授权管理子系统。通过资源管理子系统进行资源管理和授权，将资源管理功能从授权管理中抽取出来，实现了资源拥有者对资源进行授权控制，并通过面向资源管理的授权管理系统的物理分级和逻辑分级，实现了访问权限的分散管理，提高了资源配置和管理效率，通过合理授权，增强了信息系统的安全性。

Description

一种面向资源管理的授权管理系统及其建立方法

技术领域

本发明涉及信息技术领域，尤其涉及一种面向资源管理的授权管理系统及其建立方法。

背景技术

随着计算机技术和网络技术的迅速发展，越来越多的公司企业、政府、校园等开始建立自己的信息系统，并通过相连到互联网来实现信息的交流和共享。

然而，有些信息系统所提供的资源是为目标用户来提供服务的，而且不同用户对信息系统资源的访问权限也应该是不同的，尤其在大规模网络环境中，随着访问主体和被访问客体的数目变得越来越巨大，如何对用户进行合理而有效的授权管理对于信息系统的安全变得越来越重要。

在授权管理方面，目前，PMI(Privilege Management Infrastructure，授权管理基础设施)是解决授权管理问题比较成熟，应用比较广泛的解决方案。现有的PMI体系结构包括授权源点和由授权源点管理的授权管理系统，授权管理系统划分为属性权威和属性权威代理点，其中，授权源点是整个PMI体系的最终信任源和最高管理机构，主要用来管理授权策略、属性权威的设立审核及管理、生成属性权威的属性证书，并负责证书的撤销、更新、恢复等管理工作、授权管理系统业务的规范化等；属性权威，主要用于应用授权受理、属性证书的发放和管理以及属性权威代理点的设立审核和管理；属性权威代理点，主要用于应用授权服务代理和应用授权审核代理，负责对具体的用户应用资源进行授权审核，并将属性证书的操作请求提交到授权服务中心处理。因此，在给用户授予访问权限时，首先由属性权威对系统内的角色授予访问权限，然后将角色授予用户。

PMI体系中授权管理系统的缺陷在于，对资源的管理，对角色授予访问权限和对用户授予具有访问权限的角色，全部由属性权威完成，但是属性权威通常并非资源的拥有者，无法了解所有资源的授权要求，因此不能直接根据资源的属性或要求，给角色授予恰当的访问权限，不仅授权效率低，而且给信息系统带来安全隐患。

发明内容

本发明解决的技术问题在于提供一种面向资源管理的授权管理系统及其建立方法，能直接根据资源的属性或要求，给角色授予恰当的访问权限，提高授权的效率以及信息系统的安全性。

为了解决上述技术问题，本发明提供了一种面向资源管理的授权管理系统，包括授权管理子系统和至少一个与所述授权管理子系统相连的资源管理子系统，

所述授权管理子系统，用于设置本子系统内的角色，并将所述角色传递给所述资源管理子系统；根据用户信息将具有访问权限的角色授予用户；

所述资源管理子系统，用于收集并管理资源；依据所述资源为所述授权管理子系统传递来的角色授予访问权限，并将授权结果返回所述授权管理子系统。

进一步，所述授权管理子系统包括角色管理单元、用户管理单元、至少一个用户授权单元、用户属性证书管理单元和资源管理子系统注册单元：

所述角色管理单元，用于设置本子系统内的角色，将角色组成角色树，并依据角色树在预先设置的角色编码空间中对所述角色进行编码，并将编码后的角色传递给所述资源管理子系统；

所述用户管理单元，用于接收用户申请，验证用户信息，并对所述用户信息进行存储；

所述用户授权单元，用于根据所述用户管理单元中的用户信息及所述资源管理子系统返回的授权结果，为用户授予具有访问权限的角色；

所述用户属性证书管理单元，用于对所述拥有访问权限角色的用户签发用户属性证书，并对所述用户属性证书进行管理；

所述资源管理子系统注册单元，用于接收所述资源管理子系统的注册，并为所述资源管理子系统划分资源编码空间。

进一步，所述资源管理子系统包括以下单元：

资源管理单元，用于收集资源，将所述资源组成资源树，并依据所述资源树在所述资源编码空间中对所述资源进行编码；

角色授权单元，用于根据所述资源的编码，为所述角色管理单元传递来的编码后的角色授予访问权限，并将授权结果返回所述用户授权单元。

进一步，所述角色的编码为全局唯一编码；所述资源的编码为全局唯一编码。

进一步，所述面向资源管理的授权管理系统包括多个所述授权管理子系统，且授权管理子系统之间存在上下级关系，依据所述上下级关系，授权管理子系统形成树形结构。

进一步，所述授权管理子系统形成的树形结构包括，一级授权管理子系统和所述一级授权管理子系统的下级授权管理子系统。

进一步，所述面向资源管理的授权管理系统进一步包括授权源点，为所述树形结构的根节点，

所述授权源点用于接收并审查所述一级授权管理子系统的注册，并为所述一级授权管理子系统制定授权策略，签发一级授权管理子系统属性证书。

进一步，所述授权策略包括设置所述角色的个数和设置所述下级授权管理子系统的个数，以及资源编码空间和角色编码空间。

进一步，所述授权管理子系统还包括：

下级子系统管理单元，用于接受并审查所述下级的授权管理子系统的注册，并为所述下级授权管理子系统制定下级授权策略，签发下级授权管理子系统属性证书。

本发明还提供了一种面向资源管理的授权管理系统的建立方法，所述面向资源管理的授权管理系统包括授权管理子系统和至少一个与所述授权管理子系统相连的资源管理子系统，该方法包括以下步骤：

设置所述授权管理子系统内的角色，并将所述角色传递给所述资源管理子系统；

收集并管理资源；依据所述资源为由所述授权管理子系统传递来的角色授予访问权限，并将授权结果返回所述授权管理子系统；

对所述授权管理子系统进行逻辑分级，并根据所述授权结果和用户信息将具有访问权限的角色授予用户。

优选的，在将所述角色传递给所述资源管理子系统之前，还包括，

将所述角色组成角色树；

依据所述角色树，在预先设置的角色编码空间中对角色进行全局唯一编码。

优选的，在为所述授权管理子系统传递来的角色授予访问权限之前，还包括，

将所述资源组成资源树；

依据所述资源树，在资源编码空间中对资源进行全局唯一编码。

进一步，所述根据用户信息将具有访问权限的角色授予用户，包括，

接收用户申请，验证用户信息；

根据所述用户信息及所述资源管理子系统返回的授权结果，为用户授予具有访问权限的角色；

对所述拥有访问权限角色的用户签发用户属性证书。

进一步，所述授权管理子系统为多个，且授权管理子系统之间存在上下级关系，该方法还包括，

建立授权源点；

以所述授权源点为根节点，依据所述授权管理子系统的上下级关系，将授权管理子系统组成树形结构。

进一步，所述将授权管理子系统组成树形结构，包括，

设立一级授权管理子系统；

所述一级授权管理子系统接受并审查下级授权管理子系统的注册，并为所述下级授权管理子系统制定下级授权策略，签发下级授权管理子系统属性证书。

进一步，所述建立授权源点，进一步包括，

所述授权源点接收并审查所述一级授权管理子系统的注册，并为所述一级授权管理子系统制定授权策略，签发一级授权管理子系统的属性证书。

与现有技术相比，本发明的有益效果是：

首先，通过资源管理子系统对资源进行管理和对角色授予访问权限，将资源管理功能从授权管理中抽取出来，真正实现了资源的拥有者来进行资源的授权控制，大大提高了资源的配置和管理效率，而且通过合理恰当的授予访问权限，提高了授权的效率，增强了信息系统的安全性。

其次，通过采用多个授权管理子系统构成的树形授权管理系统以及设置用户授权单元，实现了集中与分散相结合的授权管理方式，既适用于单域网络环境，也适用于大规模的多域网络环境。

附图说明

图1是本发明实施例面向资源管理的授权管理系统的一种结构框图；

图2是本发明实施例面向资源管理的授权管理系统的另一种结构框图；

图3是本发明实施例面向资源管理的授权管理系统的建立方法流程图；

图4是本发明实施例中角色编码示意图。

具体实施方式

为了使本领域技术人员能进一步了解本发明的特征及技术内容，请参阅以下有关本发明的详细说明与附图，附图仅提供参考与说明，并非用来限制本发明。

下面结合附图，对本发明的实施方式进行描述。

参照图1，为本发明实施例面向资源管理的授权管理系统的一种结构框图。该面向资源管理的授权管理系统包括一个授权管理子系统100和一个与授权管理子系统相连的资源管理子系统200。

所述授权管理子系统100，用于设置本子系统内的角色，并将所述角色传递给所述资源管理子系统200；根据用户信息将具有访问权限的角色授予用户。

所述资源管理子系统200，用于收集并管理资源；依据所述资源为由所述授权管理子系统100传递来的角色授予访问权限，并将授权结果返回所述授权管理子系统100。

授权管理子系统100，具体包括以下单元，角色管理单元101、用户管理单元102、至少一个用户授权单元103、用户属性证书管理单元104、资源管理子系统注册单元105。

角色管理单元101，用于设置本子系统内的角色，将角色组成角色树，并依据角色树在预先设置的角色编码空间中对所述角色进行编码，并将编码后的角色传递给所述资源管理子系统200。所述传递给资源管理子系统200的可以是编码后的一个角色集。

角色管理单元101可以根据本子系统内的需求设置本子系统内的角色，角色可以包括多种类型，如单位角色、管理角色、普通角色、虚角色。

在本实施例中组织角色时，为了避免角色的网状结构，按照上述四种类型将授权管理子系统内的角色组织成树形结构，并对角色进行全局唯一编码。

角色管理单元101还可以包括角色修改模块，用于对角色进行添加、删除和修改。

用户管理单元102，用于接收用户申请，验证用户信息，并对所述用户信息进行存储。

用户授权单元103，用于根据所述用户管理单元102中的用户信息及所述资源管理子系统200返回的授权结果，为用户授予具有访问权限的角色。本单元可以设置多个，以对不同用户分别授予不同的具有访问权限的角色。

优选的，此处也可以根据系统的需要设置多个用户授权单元，即实现了授权管理系统的逻辑分级，以实现访问权限的分散管理，避免因部分高级用户权限过于集中而出现的安全漏洞。

用户属性证书管理单元104，用于对所述拥有访问权限角色的用户签发用户属性证书，并对所述用户属性证书进行管理。

用户属性证书管理单元104还可以包括证书管理模块，用于属性证书的生成、撤销、更新，并维护属性证书的生命周期。

证书查询模块，用于提供对所述属性证书的查询。

资源管理子系统注册单元105，用于接收所述资源管理子系统200的注册，并为所述资源管理子系统200划分资源编码空间。

本实施例中授权管理子系统100还可以设置系统安全模块，用于负责授权管理子系统的安全保护，如数据的备份与恢复、安全审计等。

资源管理子系统200，具体包括以下单元，资源管理单元201和角色授权单元202。

资源管理单元201，用于收集资源，将所述资源组成资源树，并依据所述资源树在所述资源编码空间中对所述资源进行编码。

资源的组织方式可以采用以应用系统为源点按照文件目录组织成的树形结构。并依据资源树对资源进行编码，编码方式可以采用全局唯一编码。

对资源的组织方式采用树形结构，通过资源树上资源之间的上下级关系体现资源实体之间的逻辑包含关系，利用资源实体之间的逻辑包含关系能够简化授权操作，通过资源树能够向下延伸的特点满足对不同粒度资源的管理需求。

本发明实施例采用同一种编码方法来对角色和资源进行全局编码。这种编码方式可以使角色和资源的编码具有全局唯一性，同时也具有很强的扩展性和灵活性。

角色授权单元202，用于根据所述资源的编码，为所述角色管理单元101传递来的编码后的角色授予访问权限，并将授权结果返回所述用户授权单元103。在本实施例中，给角色授予访问权限，其中的访问权限还包括用户可以对资源执行的操作类型，如只读权限、修改权限等。所述的授权结果可以只包括该角色是否授予访问权限的信息。

资源管理子系统200也可以设置访问权限管理模块，用于管理所述访问权限的类型，并对访问权限进行添加、修改、删除、合并。

资源管理子系统200中还可以包括，安全通信管理模块，用于本资源管理子系统内的数据恢复和安全审计。

由资源管理子系统200对资源进行管理和对角色授予访问权限，将资源管理功能从授权管理中抽取出来，真正实现了资源的拥有者来进行资源的授权控制，大大提高了资源的配置和管理效率，而且通过合理恰当的授予访问权限，提高了授权的效率，增强了信息系统的安全性。

一个授权管理子系统100可以相连多个资源管理子系统200，以分别对不同应用系统中的资源进行管理和为角色授予访问权限。面向资源管理的授权管理系统中还可以包含多个授权管理子系统，每个授权管理子系统都相连有至少一个资源管理子系统。

参照图2，为本发明实施例面向资源管理的授权管理系统的另一种结构框图。

该面向资源管理的授权管理系统包括多个授权管理子系统，且授权管理子系统之间存在上下级关系，并依据所述上下级关系，授权管理子系统形成树形结构。每一个授权管理子系统都相连有一个或多个资源管理子系统。

将形成树形结构的授权管理子系统依据上下级关系分为，一级授权管理子系统、二级授权管理子系统、三级授权管理子系统，依次类推。可以根据系统的实际需要设定授权管理子系统的个数。

该面向资源管理的授权管理系统中包括授权源点220，为所述树形结构的根节点。当授权管理子系统只有一个时，不需要建立授权源点，当授权管理子系统为多个时，需要设立所有授权管理子系统共同信任的授权源点，以保证授权的安全性。

所述授权源点用于接收并审查所述一级授权管理子系统的注册，并为所述一级授权管理子系统制定授权策略，签发一级授权管理子系统属性证书。授权策略包括设置所述角色的个数和设置下级授权管理子系统的个数，以及资源编码空间和角色编码空间。

形成树形结构的面向资源管理的授权管理系统中，每一个授权管理子系统都连有一个或多个资源管理子系统。当然，各级的授权管理子系统可以有多个，在本实施例中包含了一级授权管理子系统1001和一级授权管理子系统1011，在一级授权管理子系统1001下设置有二级授权管理子系统1002和二级授权管理子系统1003，在一级授权管理子系统1011下设置由二级授权管理子系统1012。

进一步，每一个授权管理子系统还包括：

下级子系统管理单元，用于接受并审查所述下级的授权管理子系统的注册，并为所述下级授权管理子系统制定授权策略，签发下级授权管理子系统属性证书。所述的授权策略也包括下级授权管理子系统设置角色的个数和设置下级授权管理子系统的个数，以及下级授权管理子系统的资源编码空间和角色编码空间。

例如，一级授权管理子系统1001中设置的下级子系统管理单元，用于接受并审查与其具有上下级关系的二级授权管理子系统1002和二级授权管理子系统1003的注册，并为其制定授权策略，签发下级授权管理子系统属性证书；一级授权管理子系统1011中设置的下级子系统管理单元，用于接受并审查与其具有上下级关系的二级授权管理子系统1012的注册，并为其制定授权策略，签发下级授权管理子系统属性证书。

每一个授权管理子系统中的单元设置以及资源管理子系统中的单元设置，请参照实施例1中所述，此处不再赘述。

本实施例采用多个授权管理子系统，实现了授权管理系统物理上的分级，同时可以通过在各授权管理子系统中设置各功能单元，如设置至少一个用户授权单元，以对用户进行分别授权，实现了对授权管理系统的逻辑分级。该系统结构采用集中与分散相结合的授权管理方式，灵活的解决了分布式网络环境下的授权管理问题，集易用性和安全性于一体，这种结构具有较强的可扩展性，可以应用于较大规模的信息系统中，满足了大规模网络环境下对用户、角色、资源等各系统要素的有效管理，并且能灵活高效的为用户授权。通过物理分级和逻辑分级相结合的授权分级方式，建立了灵活的访问权限管理模式，有效实现了访问权限的分散管理，避免了因部分高级用户权限过于集中而出现的安全漏洞。

参照图3，为本发明实施例面向资源管理的授权管理系统的建立方法流程图，该方法包括以下步骤：

步骤301，设置所述授权管理子系统内的角色，并将所述角色传递给所述资源管理子系统；

在将所述角色传递给所述资源管理子系统之前，还包括，

将所述角色组成角色树；

依据所述角色树，在预先设置的角色编码空间中对角色进行全局唯一编码。

步骤302，收集并管理资源；依据所述资源为由所述授权管理子系统传递来的角色授予访问权限，并将授权结果返回所述授权管理子系统；

在为由所述授权管理子系统传递来的角色授予访问权限之前，还包括，

将所述资源组成资源树；

依据所述资源树，在资源编码空间中对资源进行全局唯一编码。

步骤303，对所述授权管理子系统进行逻辑分级，并根据所述授权结果和用户信息将具有访问权限的角色授予用户。所述逻辑分级即在所述授权管理子系统中设置至少一个用户授权单元，以分别对用户授予不同的具有访问权限的角色。

所述根据用户信息将具有访问权限的角色授予用户，具体包括，

接收用户申请，验证用户信息；

根据所述用户信息及所述资源管理子系统返回的授权结果，为用户授予具有访问权限的角色；

对所述拥有访问权限角色的用户签发用户属性证书。

当建立的面向资源管理的授权管理系统包含多个授权管理子系统，且授权管理子系统之间存在上下级关系时，该方法还包括，

建立授权源点；

以所述授权源点为根节点，依据所述授权管理子系统的上下级关系，授权管理子系统形成树形结构。

所述将授权管理子系统组成树形结构，包括，

设立一级授权管理子系统；

所述一级授权管理子系统接受并审查下级授权管理子系统的注册，并为所述下级授权管理子系统制定下级授权策略，签发下级授权管理子系统属性证书。

所述建立授权源点，进一步包括，

所述授权源点接收并审查所述一级授权管理子系统的注册，并为所述一级授权管理子系统制定授权策略，签发一级授权管理子系统的属性证书。

在本实施例中，将角色和资源按照统一的编码方案进行编码，在该编码方案下，所述授权管理系统中各角色、资源的编码均保持唯一性。而且将角色、资源划分成树形结构，根据树中节点的深度，由根开始编码对每一个节点进行编码。在此以角色的编码为例进行说明，资源的编码方式与角色相同。

参照图4，为本发明实施例中角色树的编码示意图。

设根节点A的编号为1，根据编码方案，每一个节点的编号都是由根节点到该节点的整数点分序列构成，整数的个数代表了该节点的深度，例如节点J的编号为1.1.2.2。

这种编码方式可以使角色和资源的编码具有全局唯一性，同时也具有很强的扩展性和灵活性。

以上所述的本发明实施方式，并不构成对本发明保护范围的限定。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明的权利要求保护范围之内。

Claims (16)

1、一种面向资源管理的授权管理系统，其特征在于，包括授权管理子系统和至少一个与所述授权管理子系统相连的资源管理子系统，

所述授权管理子系统，用于设置本子系统内的角色，并将所述角色传递给所述资源管理子系统；根据用户信息将具有访问权限的角色授予用户；

所述资源管理子系统，用于收集并管理资源；依据所述资源为所述授权管理子系统传递来的角色授予访问权限，并将授权结果返回所述授权管理子系统。

2、根据权利要求1所述的系统，其特征在于，所述授权管理子系统包括角色管理单元、用户管理单元、至少一个用户授权单元、用户属性证书管理单元和资源管理子系统注册单元：

所述角色管理单元，用于设置本子系统内的角色，将角色组成角色树，并依据角色树在预先设置的角色编码空间中对所述角色进行编码，并将编码后的角色传递给所述资源管理子系统；

所述用户管理单元，用于接收用户申请，验证用户信息，并对所述用户信息进行存储；

所述用户授权单元，用于根据所述用户管理单元中的用户信息及所述资源管理子系统返回的授权结果，为用户授予具有访问权限的角色；

所述用户属性证书管理单元，用于对所述拥有访问权限角色的用户签发用户属性证书，并对所述用户属性证书进行管理；

所述资源管理子系统注册单元，用于接收所述资源管理子系统的注册，并为所述资源管理子系统划分资源编码空间。

3、根据权利要求2所述的系统，其特征在于，所述资源管理子系统包括以下单元：

资源管理单元，用于收集资源，将所述资源组成资源树，并依据所述资源树在所述资源编码空间中对所述资源进行编码；

角色授权单元，用于根据所述资源的编码，为所述角色管理单元传递来的编码后的角色授予访问权限，并将授权结果返回所述用户授权单元。

4、根据权利要求3所述的系统，其特征在于，所述角色的编码为全局唯一编码；所述资源的编码为全局唯一编码。

5、根据权利要求1至4中任意一项所述的系统，其特征在于，包括多个所述授权管理子系统，且授权管理子系统之间存在上下级关系，依据所述上下级关系，授权管理子系统形成树形结构。

6、根据权利要求5所述的系统，其特征在于，所述授权管理子系统形成的树形结构包括，一级授权管理子系统和所述一级授权管理子系统的下级授权管理子系统。

7、根据权利要求6所述的系统，其特征在于，进一步包括授权源点，为所述树形结构的根节点，

所述授权源点用于接收并审查所述一级授权管理子系统的注册，并为所述一级授权管理子系统制定授权策略，签发一级授权管理子系统属性证书。

8、根据权利要求7所述的系统，其特征在于，所述授权策略包括设置所述角色的个数和设置所述下级授权管理子系统的个数，以及资源编码空间和角色编码空间。

9、根据权利要求5所述的系统，其特征在于，所述授权管理子系统还包括：

下级子系统管理单元，用于接受并审查所述下级的授权管理子系统的注册，并为所述下级授权管理子系统制定下级授权策略，签发下级授权管理子系统属性证书。

10、一种面向资源管理的授权管理系统的建立方法，其特征在于，所述面向资源管理的授权管理系统包括授权管理子系统和至少一个与所述授权管理子系统相连的资源管理子系统，该方法包括以下步骤：

设置所述授权管理子系统内的角色，并将所述角色传递给所述资源管理子系统；

收集并管理资源；依据所述资源为由所述授权管理子系统传递来的角色授予访问权限，并将授权结果返回所述授权管理子系统；

对所述授权管理子系统进行逻辑分级，并根据所述授权结果和用户信息将具有访问权限的角色授予用户。

11、根据权利要求10所述的方法，其特征在于，在将所述角色传递给所述资源管理子系统之前，还包括，

将所述角色组成角色树；

依据所述角色树，在预先设置的角色编码空间中对角色进行全局唯一编码。

12、根据权利要求10所述的方法，其特征在于，在为由所述授权管理子系统传递来的角色授予访问权限之前，还包括，

将所述资源组成资源树；

依据所述资源树，在资源编码空间中对资源进行全局唯一编码。

13、根据权利要求10所述的方法，其特征在于，所述根据用户信息将具有访问权限的角色授予用户，包括，

接收用户申请，验证用户信息；

根据所述用户信息及所述资源管理子系统返回的授权结果，为用户授予具有访问权限的角色；

对所述拥有访问权限角色的用户签发用户属性证书。

14、根据权利要求10所述的方法，其特征在于，所述授权管理子系统为多个，且授权管理子系统之间存在上下级关系，该方法还包括，

建立授权源点；

以所述授权源点为根节点，依据所述授权管理子系统的上下级关系，将授权管理子系统组成树形结构。

15、根据权利要求14所述的方法，其特征在于，所述将授权管理子系统组成树形结构，包括，

设立一级授权管理子系统；

所述一级授权管理子系统接受并审查下级授权管理子系统的注册，并为所述下级授权管理子系统制定下级授权策略，签发下级授权管理子系统属性证书。

16、根据权利要求15所述的方法，其特征在于，所述建立授权源点，进一步包括，

所述授权源点接收并审查所述一级授权管理子系统的注册，并为所述一级授权管理子系统制定授权策略，签发一级授权管理子系统的属性证书。

Images