CN102262751A - 一种基于面向服务架构获取业务应用的方法及系统 - Google Patents

Abstract

本发明公开了一种基于面向服务架构获取业务应用的方法及系统，包括：分别设置用户认证中心、用户资源中心以及应用中心；用户认证中心根据存储的用户认证资源信息对发送业务应用请求的用户进行认证，认证通过后转发业务应用请求；用户资源中心根据存储的用户组织信息源信息查询获取该用户的用户组织信息，携带在业务应用请求中，向应用中心发送；应用中心根据存储的映射关系信息，获取该用户请求的业务应用对应的业务应用系统信息，将业务应用请求向获取的业务应用系统发送；根据业务应用请求获取业务应用系统的业务应用。应用本发明，可以减少系统资源开销、提高获取业务应用效率。

Description

一种基于面向服务架构获取业务应用的方法及系统

技术领域

本发明涉及业务支撑安全管控技术，特别涉及一种基于面向服务架构(SOA，Service-Oriented Architecture)获取业务应用的方法及系统。

背景技术

目前大型企事业单位基于业务应用的拓展，利用SOA架构建立的业务应用系统繁多，各业务应用系统根据各自预先设置的业务应用规则，向外或内提供相应的业务应用，其中，业务应用系统对用户信息的管理大多采用分散存储、独立维护的方式，即各业务应用系统存储和维护各自的包括用户名称、用户所能访问的业务应用等权限信息的用户和组织信息。

图1为现有技术用户获取业务应用的方法流程示意图。参见图1，该流程包括：

步骤101，用户向业务应用系统管理中心发送业务应用请求；

本步骤中，业务应用系统管理中心负责其所属的业务应用系统的管理和维护，例如，维护各业务应用系统所能提供的业务应用信息。

步骤102，业务应用系统管理中心根据接收的业务应用请求中包含的业务应用标识，将业务应用请求发送至该业务标识对应的业务应用系统；

本步骤中，如果有多个业务应用系统能够提供业务应用请求中业务应用标识对应的业务应用，则分别向该多个业务应用系统发送业务应用请求。

步骤103，业务应用系统接收业务应用请求，对用户进行认证，认证通过后向用户提供相应的业务应用。

本步骤中，各业务应用系统分别根据各自预设的认证策略对用户进行认证，如果通过，则提供相应的业务应用，否则，拒绝用户的业务应用请求。

随着大型单位对各业务应用系统间业务流程整合以及统一化管理的需求，以便有效降低维护成本、提高各业务应用系统协同工作效率、降低业务应用系统的资源开销，但由于现有技术用户获取业务应用的过程中，各业务应用系统都需要独立地对用户进行认证，造成业务应用系统资源的浪费，获取业务应用效率较低；进一步地，业务应用系统分别独立管理用户信息，在用户信息发生改变时，业务应用系统管理中心需要将所有发生改变的用户信息向所有业务应用系统发送，各业务应用系统根据自身存储的相关用户信息对发生改变的用户信息进行同步、更新，使得由于同步过多冗余用户信息而增加业务应用系统的负荷，以及业务应用系统管理中心与业务应用系统之间传输资源的浪费。

发明内容

有鉴于此，本发明的主要目的在于提出一种基于面向服务架构获取业务应用的方法，减少系统资源开销、提高获取业务应用效率。

本发明的另一目的在于提出一种基于面向服务架构获取业务应用的系统，减少系统资源开销、提高获取业务应用效率。

为达到上述目的，本发明提供了一种基于面向服务架构获取业务应用的方法，该方法包括：

分别设置存储用户认证资源信息的用户认证中心、存储用户组织信息源信息的用户资源中心以及存储不同业务应用系统与用户的映射关系信息的应用中心；

用户认证中心根据存储的用户认证资源信息对发送业务应用请求的用户进行认证，认证通过后转发业务应用请求；

用户资源中心根据存储的用户组织信息源信息查询获取该用户的用户组织信息，携带在业务应用请求中，向应用中心发送；

应用中心根据存储的映射关系信息，获取该用户请求的业务应用对应的业务应用系统信息，将业务应用请求向获取的业务应用系统发送；

根据业务应用请求获取业务应用系统的业务应用。

所述用户认证资源信息包括用户的用户名信息和密码信息。

采用数据库表或者轻量目录访问协议的方式存储用户组织信息源。

所述用户组织信息源包括：用户登录名信息、用户编号信息、组织信息、用户所属的组织信息、用户所属的业务应用系统信息、用户岗位信息、虚拟组织信息以及外部业务应用系统信息。

所述用户认证资源信息和用户组织信息源以虚拟用户统一视图界面形式存储，包括：用于提供业务应用系统信息，描述当前有多少个业务应用系统的系统查询服务界面、用于根据指定的业务应用系统，查询该业务应用系统所定义的角色信息的业务角色查询服务界面、用于根据指定的业务应用系统，查询可以使用该业务应用系统的用户的业务用户查询服务界面、以及用于根据指定的用户信息，查询该用户具有哪些权限的用户权限查询服务界面。

所述根据业务应用请求获取业务应用系统的业务应用的步骤包括：

调用统一用户视图界面中的“用户权限查询服务”，根据业务应用请求中包含的用户名信息从用户权限查询服务对应的资源与角色列表中，获取该用户的资源和权限列表信息；

根据资源和权限列表信息获取业务应用系统的业务应用。

所述业务应用请求中携带用户名信息、密码信息以及业务应用信息。

所述用户认证中心根据存储的用户认证资源信息对发送业务应用请求的用户进行认证的步骤包括：

用户认证中心将业务应用请求中包含的用户名信息和密码信息与存储的用户名信息和密码信息对用户进行匹配，如果匹配成功，则认证通过，否则，认证失败。

一种基于面向服务架构获取业务应用的系统，该系统包括：用户认证中心单元、用户资源中心单元、应用中心单元以及业务应用系统单元，其中，

用户认证中心单元，用于存储用户认证资源信息，接收业务应用请求，对用户进行认证，认证通过后向用户资源中心单元发送业务应用请求；

用户资源中心单元，用于存储用户组织信息源信息，根据接收的业务应用请求查询获取用户的用户组织信息，携带在业务应用请求中，向应用中心单元发送；

应用中心单元，用于存储不同业务应用系统与用户的映射关系信息，接收业务应用请求，获取业务应用请求对应的业务应用系统信息，将业务应用请求向获取的业务应用系统单元发送；

业务应用系统单元，用于根据接收的业务应用请求，向用户提供对应的业务应用。

所述业务应用系统单元包括：单点登录认证模块、资源和权限列表存储模块以及业务应用处理模块，其中，

单点登录认证模块，用于根据接收的业务应用请求以及存储的单点登录认证算法，对用户进行单点登录认证，在单点登录认证通过后，将业务应用请求发送至资源和权限列表存储模块；

资源和权限列表存储模块，用于根据接收的业务应用请求中包含的用户名信息获取该用户的资源和权限列表信息并发送至业务应用处理模块；

业务应用处理模块，用于根据接收的资源和权限列表信息获取相应的业务应用，并向用户发送。

由上述的技术方案可见，本发明提供的一种基于面向服务架构获取业务应用的方法及系统，分别设置存储用户认证资源信息的用户认证中心、存储用户组织信息源信息的用户资源中心以及存储不同业务应用系统与用户的映射关系信息的应用中心；用户认证中心根据存储的用户认证资源信息对发送业务应用请求的用户进行认证，认证通过后转发业务应用请求；用户资源中心根据存储的用户组织信息源信息查询获取该用户的用户组织信息，携带在业务应用请求中，向应用中心发送；应用中心根据存储的映射关系信息，获取该用户请求的业务应用对应的业务应用系统信息，将业务应用请求向获取的业务应用系统发送；根据业务应用请求获取业务应用系统的业务应用。这样，通过将各业务应用系统分别独立管理的用户信息进行集中管理，集中对用户进行认证，减少了系统间信息同步的资源消耗，降低了系统资源开销，简化了管理流程，提高了获取业务应用的效率。

附图说明

图1为现有技术用户获取业务应用的方法流程示意图。

图2为本发明实施例基于面向服务架构获取业务应用的方法流程示意图。

图3为本发明实施例虚拟用户统一视图界面结构示意图。

图4为本发明实施例图2所示流程的另一示意图。

图5为本发明实施例图2所示流程的再一示意图。

图6为本发明实施例基于面向服务架构获取业务应用的系统结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图及具体实施例对本发明作进一步地详细描述。

现有技术中，由于各业务应用系统分别独立管理用户信息，这种分散式的管理使得各业务应用系统需要对用户分别进行认证，从而降低了用户获取业务应用的效率，同时浪费了各业务应用系统的资源，而且，由于各业务应用系统存储的同一用户的有关用户信息并不一致，使得在进行用户信息同步时存在缺陷。因而，本发明实施例中，通过将各业务应用系统分别独立管理的用户信息进行集中管理，集中对用户进行认证。

图2为本发明实施例基于面向服务架构获取业务应用的方法流程示意图。参见图2，该流程包括：

步骤201，设置用户认证中心，存储用户认证资源信息；

本步骤中，通过设置用户认证中心以实现用户身份的统一认证，用户认证中心以安全的方式存储各用户认证资源信息，包括用户的用户名信息和密码信息等。这样，用户在向用户认证中心发送业务应用请求时，携带用户名信息和密码信息，用户认证中心将其与存储的用户名和密码进行校验，校验一致则通过认证，避免了由每个业务应用系统分别进行认证而导致的资源开销。

步骤202，设置用户资源中心，存储用户组织信息源信息；

本步骤中，用户组织结构是系统间认证的基础，因而，建立统一的用户组织信息源可利于统一的用户管理。

实际应用中，可以采用数据库表或者轻量目录访问协议(LDAP，Lightweight Directory Access Protocol)的方式存储用户组织信息源，用户资源中心用于保存所有用户的用户组织信息源(身份信息)，包括用户登录名信息、用户编号信息、组织信息、用户所属的组织信息(用户组信息)、用户所属的业务应用系统信息、用户岗位(用户职务)信息、虚拟组织信息、外部业务应用系统信息等。具体存储的信息可根据实际需要确定，用户通过用户认证中心的认证后，用户认证中心将业务应用请求传递给用户资源中心，用户资源中心根据业务应用请求中包含的用户名信息，提取该用户的用户组织信息源并传输。

在用户组织信息源信息发生变化时，用户资源中心将包含变化的用户名信息的通知信息PUSH到各业务应用系统，业务应用系统匹配自身存储的用户名信息以及接收的用户名，获取变化的用户名信息，定时到该用户资源中心PULL更新变化的用户数据，实现系统间信息同步，从而有效地节约了传输资源，保证各业务应用系统用户信息的统一。

以采用LDAP为例，采用统一用户目录信息树存储用户组织信息源，统一用户目录信息树使用dc＝unit作为后缀，即统一用户目录信息树的根节点是dc＝unit。在根节点dc＝unit目录下是单位(数据)节点dc＝sub_unit目录，可能为一个或多个。

在dc＝unit节点下存在多个单位节点，可以分别表示为：

存放用户的节点ou＝users：用于存放全部用户信息；

存放组织信息的节点ou＝organizations：用于存放组织信息；

存放用户组信息的节点ou＝groups：用于存放用户组信息；

存放职务信息的节点ou＝duties：用于存放职务信息；

存放外部系统访问统一用户目录的用户信息的节点ou＝admin：用于存放外部系统访问统一用户目录的用户信息；

存放虚拟组织信息的节点ou＝virtual-organizations：用于存放虚拟组织信息，虚拟组织信息是全局的、通用的组织信息，区别与业务应用系统中的组织信息，它没有任何私有的属性，并且通过用户登录名与各个业务应用系统中的组织信息保持对应关系；

存放外部公司信息的节点ou＝external-companies：用于存放外部公司信息。

这样，以统一用户目录的目录信息树方式存储各数据节点，从统一管理的角度定义用户组织信息源，将现有在独立业务应用系统中分别定义用户组织信息源的模式调整为集中定义、统一服务，与集中的用户信息结合，为系统集中管理提供了保障。

步骤203，设置应用中心，存储不同业务应用系统与用户的映射关系信息；

本步骤中，映射关系信息包括不同业务应用系统中具有权限的用户信息，也就是每个用户可以访问的业务应用系统信息。

实际应用中，也根据步骤201至步骤203所描述的内容生成虚拟用户统一视图界面，以便于用户进行业务应用操作。即在用户组织信息源中，定义用户在企业内的通用的、全局的标识，例如用户登录名，使用该标识进行映射，并将各业务应用系统的使用角色细分为公共角色和私有角色，通过服务的方式，在企业服务总线(ESB，Enterprise Service Bus)进行组装，对外统一开放成为虚拟用户统一视图，其他业务应用系统可以通过访问该虚拟用户统一视图来获取用户角色/权限信息，从而实现统一的权限管理。

图3为本发明实施例虚拟用户统一视图界面结构示意图。参见图3，业务流程管理(BPM，Business Process Management)平台分别与虚拟统一用户视图以及业务业务应用系统相连，业务应用通过用户映射与UAM或EIP相连。

客户统一认证(UAM)即用户资源中心建立用户组织信息源，定义用户组织信息，包括用户登录名、员工编号、所属的组织、岗位信息，以及所有的角色资源信息。利用企业服务总线(ESB)，对UAM用户组织信息源进行封装，提供几种通用的服务，包括系统查询服务、业务角色查询服务、业务用户查询服务、用户权限查询服务。这样，各业务应用系统可以通过这些服务获取相应的信息。几种通用的服务界面定义如下：

系统查询服务界面：用于提供业务应用系统信息，描述当前有多少个业务应用系统，与BPM平台的系统注册相连；

业务角色查询服务界面：用于根据指定的业务应用系统，查询该业务应用系统所定义的角色信息；

业务用户查询服务界面：用于根据指定的业务应用系统，查询可以使用该业务应用系统的用户；

用户权限查询服务界面：用于根据指定的用户信息，查询该用户具有哪些权限。

图3中，业务应用包括公共角色和似有角色，公共角色是全局的、通用的权限模型，定义了全局的角色，包括角色名称、角色所能访问的业务应用系统等权限信息，结合组织信息源中定义的组织信息，可以明确的描述出每个用户对企业内部所有业务应用系统的访问权限。私有角色是每个业务应用系统定义的私有的角色，这些角色描述了用户在该系统中的权限信息，是不被其他业务应用系统所识别的。

所应说明的是，步骤201至步骤203并没有先后顺序之分。

步骤204，用户向用户认证中心发送业务应用请求；

本步骤中，业务应用请求中携带用户名信息、密码信息以及业务应用信息。

步骤205，用户认证中心根据存储的用户认证资源信息对用户进行认证，认证通过后向用户资源中心发送业务应用请求；

本步骤中，用户认证中心将业务应用请求中包含的用户名信息和密码信息与存储的用户名信息和密码信息对用户进行匹配，如果匹配成功，则认证通过，否则，认证失败，向用户返回拒绝业务应用请求信息。

实际应用中，向用户资源中心发送的业务应用请求中也可以不包括密码信息。

步骤206，用户资源中心根据存储的用户组织信息源信息查询获取该用户的用户组织信息，携带在业务应用请求中，向应用中心发送；

本步骤中，用户资源中心根据接收的业务应用请求中包含的用户名信息，查询得到该用户的用户组织信息。

实际应用中，可以根据实际需要，获取相关的用户组织信息，例如，对于业务应用系统以组织结构形式提供业务应用，则获取该用户所属的组织信息；如果业务应用系统以岗位形式提供业务应用，则获取该用户所属的用户岗位信息。

步骤207，应用中心根据存储的映射关系信息，获取该用户请求的业务应用对应的业务应用系统信息，将业务应用请求向获取的业务应用系统发送；

本步骤中，应用中心根据接收的业务应用请求中包含的用户名信息和业务应用信息，结合存储的映射关系信息，获取该用户请求的业务应用对应的业务应用系统信息，向相应的业务应用系统发送。

步骤208，获取业务应用系统中用户的资源和权限列表信息；

本步骤中，通过调用统一用户视图界面中的“用户权限查询服务”，根据用户名信息从用户权限查询服务对应的资源与角色列表中，获取该用户的资源和权限列表信息。

进一步地，在该业务应用系统中，预先存储有单点登录(SSO，Single SignOn)认证算法，用于保证信息传输的安全性，如果用户通过该验证，则可以判定业务应用请求来自于应用中心，而非其他应用程序伪造的业务应用请求，以此来保证统一认证过程中的信息安全以及不可伪造性。

步骤209，根据资源和权限列表信息获取业务应用系统的业务应用。

本步骤中，业务应用系统根据获取的用户资源和权限列表信息，向用户提供相应的业务应用。

至此，用户已经完成了统一认证，顺利进入业务应用系统中，并可使用该业务应用系统授权的业务应用。

进一步地，如果用户需要修改用户认证资源信息，或者，业务应用系统需要更改用户组织信息源信息，则向用户认证中心或用户资源中心发送请求，用户认证中心或用户资源中心统一对用户的相关信息进行同步，使得同步效率高、同步资源开销小。

图4为本发明实施例图2所示流程的另一示意图。参见图4，图中，App1SSO～App3SSO为业务应用系统中的单点登录认证，App1RES&ROLE～App3RES&ROLE为业务应用系统中的资源与角色列表，App1～App3为业务应用系统中的业务应用；①～⑥对应图2中步骤204～步骤209。

实际应用中，由于也可以不需要进行单点登录认证，图5为本发明实施例图2所示流程的再一示意图。参见图5，图中，RES&ROLE为业务应用系统中的资源与角色列表，App1～App3为业务应用系统中的业务应用；①～③对应图2中步骤204～步骤206，④对应图2中步骤208，⑤对应图2中步骤209。

由上述可见，本发明的实施例，首先解决了大型集中管理建设的单位对用户组织和角色资源统一存储的问题，是企业主题数据库中重要的基础信息，减少了系统间信息同步的消耗，减少了系统资源开销，使企业各系统的基础信息规范化，减少维护成本；其次、从SOA的架构设计出发，给企业提供统一的服务，将原来多系统多帐号的同步模式调整为给多系统提高统一服务，降低业务应用系统整合的难度，简化了管理流程，提高了获取业务应用效率。

图6为本发明实施例基于面向服务架构获取业务应用的系统结构示意图。参见图6，该系统包括：用户认证中心单元、用户资源中心单元、应用中心单元以及业务应用系统单元，其中，

用户认证中心单元，用于存储用户认证资源信息，接收业务应用请求，对用户进行认证，认证通过后向用户资源中心单元发送业务应用请求；

本实施例中，用户认证资源信息包括用户名信息和密码信息等。

用户在向用户认证中心发送业务应用请求时，携带用户名信息和密码信息，用户认证中心单元将其与存储的用户名和密码进行校验，校验一致则通过认证。

用户资源中心单元，用于存储用户组织信息源信息，根据接收的业务应用请求查询获取用户的用户组织信息，携带在业务应用请求中，向应用中心单元发送；

本实施例中，用户组织信息源包括：用户登录名信息、用户编号信息、组织信息、用户所属的组织信息、用户所属的业务应用系统信息、用户岗位信息、虚拟组织信息、外部业务应用系统信息等。

应用中心单元，用于存储不同业务应用系统与用户的映射关系信息，接收业务应用请求，获取业务应用请求对应的业务应用系统信息，将业务应用请求向获取的业务应用系统单元发送；

本实施例中，映射关系信息包括不同业务应用系统中具有权限的用户信息。

业务应用系统单元，用于根据接收的业务应用请求，向用户提供对应的业务应用。

本实施例中，业务应用系统单元包括：单点登录认证模块、资源和权限列表存储模块以及业务应用处理模块，其中，

单点登录认证模块，用于根据接收的业务应用请求以及存储的单点登录认证算法，对用户进行单点登录认证，在单点登录认证通过后，将业务应用请求发送至资源和权限列表存储模块；

本实施例中，进行单点登录认证属于现有技术，具体可参见相关技术文献，在此不再赘述。

如果用户不能通过单点登录认证，则拒绝该用户的业务应用请求。

资源和权限列表存储模块，用于根据接收的业务应用请求中包含的用户名信息获取该用户的资源和权限列表信息并发送至业务应用处理模块；

业务应用处理模块，用于根据接收的资源和权限列表信息获取相应的业务应用，并向用户发送。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换以及改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种基于面向服务架构获取业务应用的方法，其特征在于，该方法包括：

分别设置存储用户认证资源信息的用户认证中心、存储用户组织信息源信息的用户资源中心以及存储不同业务应用系统与用户的映射关系信息的应用中心；

用户认证中心根据存储的用户认证资源信息对发送业务应用请求的用户进行认证，认证通过后转发业务应用请求；

用户资源中心根据存储的用户组织信息源信息查询获取该用户的用户组织信息，携带在业务应用请求中，向应用中心发送；

应用中心根据存储的映射关系信息，获取该用户请求的业务应用对应的业务应用系统信息，将业务应用请求向获取的业务应用系统发送；

根据业务应用请求获取业务应用系统的业务应用。

2.如权利要求1所述的方法，其特征在于，所述用户认证资源信息包括用户的用户名信息和密码信息。

3.如权利要求2所述的方法，其特征在于，采用数据库表或者轻量目录访问协议的方式存储用户组织信息源。

4.如权利要求3所述的方法，其特征在于，所述用户组织信息源包括：用户登录名信息、用户编号信息、组织信息、用户所属的组织信息、用户所属的业务应用系统信息、用户岗位信息、虚拟组织信息以及外部业务应用系统信息。

5.如权利要求1所述的方法，其特征在于，所述用户认证资源信息和用户组织信息源以虚拟用户统一视图界面形式存储，包括：用于提供业务应用系统信息，描述当前有多少个业务应用系统的系统查询服务界面、用于根据指定的业务应用系统，查询该业务应用系统所定义的角色信息的业务角色查询服务界面、用于根据指定的业务应用系统，查询可以使用该业务应用系统的用户的业务用户查询服务界面、以及用于根据指定的用户信息，查询该用户具有哪些权限的用户权限查询服务界面。

6.如权利要求5所述的方法，其特征在于，所述根据业务应用请求获取业务应用系统的业务应用的步骤包括：

调用统一用户视图界面中的“用户权限查询服务”，根据业务应用请求中包含的用户名信息从用户权限查询服务对应的资源与角色列表中，获取该用户的资源和权限列表信息；

根据资源和权限列表信息获取业务应用系统的业务应用。

7.如权利要求1所述的方法，其特征在于，所述业务应用请求中携带用户名信息、密码信息以及业务应用信息。

8.如权利要求7所述的方法，其特征在于，所述用户认证中心根据存储的用户认证资源信息对发送业务应用请求的用户进行认证的步骤包括：

用户认证中心将业务应用请求中包含的用户名信息和密码信息与存储的用户名信息和密码信息对用户进行匹配，如果匹配成功，则认证通过，否则，认证失败。

9.一种基于面向服务架构获取业务应用的系统，其特征在于，该系统包括：用户认证中心单元、用户资源中心单元、应用中心单元以及业务应用系统单元，其中，

用户认证中心单元，用于存储用户认证资源信息，接收业务应用请求，对用户进行认证，认证通过后向用户资源中心单元发送业务应用请求；

用户资源中心单元，用于存储用户组织信息源信息，根据接收的业务应用请求查询获取用户的用户组织信息，携带在业务应用请求中，向应用中心单元发送；

应用中心单元，用于存储不同业务应用系统与用户的映射关系信息，接收业务应用请求，获取业务应用请求对应的业务应用系统信息，将业务应用请求向获取的业务应用系统单元发送；

业务应用系统单元，用于根据接收的业务应用请求，向用户提供对应的业务应用。

10.如权利要求9所述的系统，其特征在于，所述业务应用系统单元包括：单点登录认证模块、资源和权限列表存储模块以及业务应用处理模块，其中，

单点登录认证模块，用于根据接收的业务应用请求以及存储的单点登录认证算法，对用户进行单点登录认证，在单点登录认证通过后，将业务应用请求发送至资源和权限列表存储模块；

资源和权限列表存储模块，用于根据接收的业务应用请求中包含的用户名信息获取该用户的资源和权限列表信息并发送至业务应用处理模块；

业务应用处理模块，用于根据接收的资源和权限列表信息获取相应的业务应用，并向用户发送。

Images