CN101945108A

CN101945108A - 一种在ldap服务器中进行权限控制的方法及系统

Info

Publication number: CN101945108A
Application number: CN2010102825053A
Authority: CN
Inventors: 沈健
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2010-09-14
Filing date: 2010-09-14
Publication date: 2011-01-12
Anticipated expiration: 2030-09-14
Also published as: CN101945108B

Abstract

本发明公开了一种在LDAP服务器中进行权限控制的方法及系统，所述系统包括：简化目录访问协议(LDAP)服务器及LDAP客户端；所述方法包括：在LDAP服务器侧设置以下信息的对应关系，该信息包括：管理者标识信息、该管理者可操作的用户的标识信息及该用户可被操作的属性的信息；所述LDAP服务器在收到一用户通过LDAP客户端发来的携带该用户标识信息及被操作用户的标识信息的访问请求后，将根据上述对应关系得到的对应的被操作用户的可被操作的属性的信息发送给所述LDAP客户端进行显示。本发明在不影响原有LDAP服务器权限控制功能的情况下，避免了业务逻辑上的无效操作，增强了数据安全性。

Description

一种在LDAP服务器中进行权限控制的方法及系统

技术领域

本发明涉及通讯领域，尤其涉及一种在LDAP(Lightweight DirectoryAccess Protocol，简化目录访问协议)服务器中实进行权限控制的方法及系统。

背景技术

LDAP服务器以树状结构存储签约用户数据。对于各个签约用户来说，LDAP服务器中保存的数据是相同的，均为统一的树状结构。在正常情况下，可以使用LDAP权限控制功能对签约用户数据的访问进行限制(如在文档《Internet-Draft：Access Control Model for LDAPv3》中记载的方法)，但该LDAP权限控制功能的一个限制是：只能允许或者不允许用户访问签约用户数据，而无法按照签约用户的标识来区分哪些记录可以被该用户访问。

一个典型的应用场景，当LDAP服务器保存有多个地区的签约用户信息时，理想情况下应保证每个地区的客户端只能访问本地区的签约用户信息，不是本地区的客户端则无法访问，也就是说某个地区的操作人员只能操作本地区的签约用户数据。但是现有LDAP服务器只能根据用户标识区分该用户是否可访问签约用户数据，而无法做到控制该用户只能操作其所在地区的签约数据。

发明内容

本发明要解决的技术问题是提供一种在LDAP服务器中进行权限控制的方法及系统，以克服现有LDAP服务器无法做到控制哪些签约数据可以被操作的缺陷。

为解决上述问题，本发明提供了一种在简化目录访问协议服务器中进行权限控制的方法，包括：

在简化目录访问协议(LDAP)服务器侧设置以下信息的对应关系，该信息包括：管理者标识信息、该管理者可操作的用户的标识信息及该用户可被操作的属性的信息；所述LDAP服务器在收到一用户通过LDAP客户端发来的携带该用户标识信息及被操作用户的标识信息的访问请求后，将根据上述对应关系得到的对应的被操作用户的可被操作的属性的信息发送给所述LDAP客户端进行显示。

进一步地，上述方法还可具有以下特征：

所述对应关系采用正则表达式的形式进行设置。

进一步地，上述方法还可具有以下特征：

具有对应关系的所述信息中还包括：与所述用户可被操作的属性的信息对应的操作动作的信息；

则所述LDAP服务器将根据所述对应关系得到的对应的被操作用户的可被操作的属性的信息及操作动作的信息一同发送给所述LDAP客户端进行显示。

进一步地，上述方法还可具有以下特征：

所述LDAP客户端在获知管理者从其显示的信息中选择一个操作动作后，将该操作动作的信息及对应的被操作用户的可被操作的属性的信息发送给所述LDAP服务器，由所述LDAP服务器对该操作用户的相应属性执行相应的操作动作。

进一步地，上述方法还可具有以下特征：

所述操作动作包括：添加、删除和/或修改。

本发明还提供了一种在简化目录服务器中进行权限控制的系统，包括：简化目录访问协议(LDAP)服务器及LDAP客户端；

所述LDAP客户端用于提供界面供工户输入该用户标识信息及被操作用户的标识信息，还用于在获知用户输入完毕后，将所述输入的用户标识信息及被操作用户的标识信息通过访问请求发送给所述LDAP服务器；还用于显示所述LDAP服务器发来的被操作用户的可被操作的属性的信息；

所述LDAP服务器中设置有以下信息的对应关系，该信息包括：管理者标识信息、该管理者可操作的用户的标识信息及该用户可被操作的属性的信息；所述LDAP服务器用于在收到所述LDAP客户端发来的所述访问请求后，将根据所述对应关系得到的对应的被操作用户的可被操作的属性的信息发送给所述LDAP客户端。

进一步地，上述系统还可具有以下特征：

所述对应关系采用正则表达式的形式进行设置。

进一步地，上述系统还可具有以下特征：

所述具有对应关系的信息中还包括：与所述用户可被操作的属性的信息对应的操作动作的信息；

所述LDAP服务器还用于将根据所述对应关系得到的对应的被操作用户的可被操作的属性的信息及操作动作的信息一同发送给所述LDAP客户端；

所述LDAP客户端除用于显示所述LDAP服务器发来的被操作用户的可被操作的属性的信息外，还用于显示对应的操作动作信息。

进一步地，上述系统还可具有以下特征：

所述LDAP客户端还用于在获知用户从其显示的信息中选择一个操作动作后，将该操作动作的信息及对应的被操作用户的可被操作的属性的信息发送给所述LDAP服务器；

所述LDAP服务器还用于根据LDAP服务器发来的所述操作动作的信息及对应的被操作用户的可被操作的属性的信息，对该操作用户的相应属性执行相应的操作动作。

进一步地，上述系统还可具有以下特征：

所述操作动作包括：添加、删除和/或修改。

本发明在不影响原有LDAP服务器权限控制功能的情况下，解决了签约用户的操作视图问题，可以实现为不同的客户端呈现不同的视图，将客户端可以操作的签约用户限定在视图范围内，防止超出视图范围外意外的数据修改，因此避免了业务逻辑上的无效操作，增强了数据安全性。使用了LDAP权限控制的扩展，对原有LDAP服务器的逻辑改动较小，且具有在LDAP服务器间良好的移植性。而且，可以由LDAP客户端动态查询、修改用户签约数据，减小了维护成本。

附图说明

图1是本发明实施例中实现LDAP视图控制功能的流程图；

图2是本发明实施例中采用本发明所述方法进行权限控制规则的改动说明图。

具体实施方式

下面结合附图对技术方案的实施作进一步的详细描述。

本发明所述方法包括：在LDAP服务器侧设置管理者标识信息、该管理者可操作的用户的标识信息(如用户的IMSI(International Mobile SubscriberIdentity，国际移动用户识别码)或IMPU(IP Multimedia Public Identity，多媒体公共标识)等)及该用户可被操作的属性的信息；该LDAP服务器在收到一用户通过LDAP客户端发来的携带该用户标识信息及被操作用户的标识信息的访问请求后，将根据上述对应关系得到的对应的被操作用户的可被操作的属性的信息发送给LDAP客户端，由LDAP客户端显示给用户。其中，上述对应关系可采用正则表达式的形式进行设置，以实现更为精细的视图控制功能。而该对应关系的存储方式可以是文件、数据库或者其他永久存储介质。

此外，上述对应关系中还可包括：与该用户可被操作的属性的信息对应的操作动作的信息，其中，操作动作可以但不限于包括：添加、删除和/或修改；则LDAP服务器将根据对应关系得到的对应的被操作用户的可被操作的属性的信息及操作动作的信息一同发送给LDAP客户端进行显示。

在后续操作中，当LDAP客户端在获知管理者从其显示的信息中选择一个操作动作后，将该操作动作的信息及对应的被操作用户的可被操作的属性的信息发送给LDAP服务器，由LDAP服务器对该操作用户的相应属性执行相应的操作动作。

此外，如果LDAP服务器在收到访问请求后，无法根据上述对应关系得到对应的被操作用户的可被操作的属性的信息，则LDAP服务器拒绝处理此请求，并向LDAP客户端返回明确的错误信息。

下面用两个实例对采用正则表达式的方式设置上述对应关系进行进一步说明。

例如，为了赋予用户甲访问WCDMA(Wideband Code Division MultipleAccess，宽带码分多址)的用户数据的权限，那么可以定义ACL((AccessControl List，访问控制列表)为：

entryACI:grant:wo#[all]#authnLevel:strong:authz-ID-dn:cn＝ellen，dc＝tivoli，dc＝com″用户甲的登录DN″

这样，为强认证方式登录的用户甲赋予了此条目下所有属性的修改-增加权限和修改-删除权限。

如若想赋予用户甲访问WCDMA部分用户数据的权限，那么可以定义ACL为：

entryACIRegex：dn：cn＝wbaseinfo，serv＝wcdma，imsi＝46000*，cn＝u_wImsiDom，dc＝zte，dc＝com#grant:wo#[all]#authnLevel:strong:authz-ID-dn:cn＝ellen，dc＝tivoli，dc＝com

这样，为强认证方式登录的用户甲赋予此条目所有属性的修改-增加权限和修改-删除权限，但仅限于IMSI为46000开始的用户号码。

如图1所示，采用本发明所述方法对LDAP服务器中用户签约数据进行操作的方法，包括以下步骤：

步骤101：LDAP客户端启动，开始登录LDAP服务器；

步骤102：LDAP客户端发送绑定请求；

步骤103：LDAP服务器处理绑定请求，返回绑定响应；

步骤104：LDAP客户端已接入系统，开始业务操作；

步骤105：LDAP客户端发送访问请求，其中携带用户标识信息及被操作用户的标识信息；

步骤106：LDAP服务器进行权限判断，将根据上述对应关系得到的对应的被操作用户的可被操作的属性的信息通过访问响应发送给LDAP客户端；

步骤107：LDAP客户端查看完成后，开始注销；

步骤108：LDAP客户端发送去绑定请求；

步骤109：LDAP服务器处理去绑定请求，直接断开客户端连接。

图2是本发明中有关权限控制规则的改动说明图。

图左边显示的是完整的DIT树，管理员可以针对其中的某个子树进行权限控制，例如可限制应用程序只能访问路径为“IMSI＝*”子树上的数据。如果将权限控制范围改为“IMSI＝46000*”，即访问为一个正则表达式时，就可以限制应用程序只能访问以46000开头的部分用户数据。从而实现视图的功能。

此外，本发明所述在简化目录服务器中进行权限控制的系统，包括：LDAP服务器及LDAP客户端；

LDAP客户端用于提供界面供工户输入该用户标识信息及被操作用户的标识信息，还用于在获知用户输入完毕后，将输入的用户标识信息及被操作用户的标识信息通过访问请求发送给LDAP服务器；还用于显示LDAP服务器发来的被操作用户的可被操作的属性的信息；

LDAP服务器中设置有以下信息的对应关系，该信息包括：管理者标识信息、该管理者可操作的用户的标识信息及该用户可被操作的属性的信息；LDAP服务器用于在收到LDAP客户端发来的所述访问请求后，将根据上述对应关系得到的对应的被操作用户的可被操作的属性的信息发送给LDAP客户端。其中，上述对应关系可以但不限于采用正则表达式的形式进行设置。

该具有对应关系的信息中还可包括：与用户可被操作的属性的信息对应的操作动作的信息；则LDAP服务器还可用于将根据上述对应关系得到的对应的被操作用户的可被操作的属性的信息及操作动作的信息一同发送给、LDAP客户端；而LDAP客户端除用于显示LDAP服务器发来的被操作用户的可被操作的属性的信息外，还可用于显示对应的操作动作信息。

优选地，LDAP客户端还可用于在获知用户从其显示的信息中选择一个操作动作后，将该操作动作的信息及对应的被操作用户的可被操作的属性的信息发送给LDAP服务器；相应地，LDAP服务器还可用于根据LDAP服务器发来的上述操作动作的信息及对应的被操作用户的可被操作的属性的信息，对该操作用户的相应属性执行相应的操作动作。其中，操作动作包括：添加、删除和/或修改。

综上所述，本发明在对已有系统改动及影响最小的情况下实现了LDAP操作的视图功能，使得操作权限控制的依据不仅局限于登录的操作员，也取决于所操作的签约用户，增加了数据安全性。

本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序来指令相关硬件完成，所述程序可以存储于计算机可读存储介质中，如只读存储器、磁盘或光盘等。可选地，上述实施例的全部或部分步骤也可以使用一个或多个集成电路来实现。相应地，上述实施例中的各模块/单元可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。本发明不限制于任何特定形式的硬件和软件的结合。

Claims

1.一种在简化目录访问协议服务器中进行权限控制的方法，包括：

2.如权利要求1所述的方法，其特征在于：

所述对应关系采用正则表达式的形式进行设置。

3.如权利要求1或2所述的方法，其特征在于：

4.如权利要求3所述的方法，其特征在于，所述方法还包括：

5.如权利要求3所述的方法，其特征在于：

所述操作动作包括：添加、删除和/或修改。

6.一种在简化目录服务器中进行权限控制的系统，包括：简化目录访问协议(LDAP)服务器及LDAP客户端；

7.如权利要求6所述的系统，其特征在于：

所述对应关系采用正则表达式的形式进行设置。

8.如权利要求6或7所述的系统，其特征在于：

9.如权利要求8所述的系统，其特征在于：

10.如权利要求8所述的系统，其特征在于：

所述操作动作包括：添加、删除和/或修改。