CN103763369A - 一种基于san存储系统的多重权限分配方法 - Google Patents

Abstract

本发明提供一种基于SAN存储系统的多重权限分配方法，其具体分配过程为：分配多重角色，即在系统管理任务中设立帐号维护员、审计员、管理员、用户共四种角色并赋予相应权限及管理范围，该四个角色间相互制约，根据特定安全原则实现对存储系统权限分离，所述安全原则是指最小特权原则，上述分离的权限包括对存储系统的管理权限及数据访问权限两部分，当攻击者获取某个或两个管理角色的口令时不会得到对存储系统的完全控制。该一种基于SAN存储系统的多重权限分配方法和现有技术相比，通过对用户角色资源分配，实现指定用户对指定资源的访问和控制，保证存储系统操作访问的安全可控；实用性强，易于推广。

Description

一种基于SAN存储系统的多重权限分配方法

技术领域

本发明涉及计算机数据存储技术领域，具体的说是一种基于SAN存储系统的多重权限分配方法。

背景技术

随着进入到信息消费时代后，数字信息量呈爆炸性增长态势，对存储系统不断提出更高要求，随着信息技术的普及，社会活动越来越依赖信息系统。随着信息技术的迅速发展，云计算、大数据等新兴产业逐渐成形，存储系统在信息领域所起到的关键作用越来越受到军事、金融、政务等各界、各领域的关注。由于存储是整个信息技术的基础，因此，存储产业与电子政务、互联网、教育、卫生等多个行业及产业都有密切关联。 

长期以来，普通的存储系统用户特权划分只有两级：超级用户和普通用户。超级用户具有所有特权，普通用户没有特权。在频繁的使用过程中，出现了大量超级管理员误操作、被冒认的安全事故，给用户带来了不可估量的损失。事实上这种做法完全不符合安全系统的“最小特权”原则：“最小特权”要求，将其所有特权分解成一组细料度的特权子集，定义成不同的“角色”，分别赋予不同的用户，每个用户仅拥有完成其工作所必须的最小特权，这样完全避免了超级用户的误操作或其身份被假冒而带来的安全隐患。

发明内容

本发明的技术任务是解决现有技术的不足，提供一种基于SAN存储系统的多重权限分配方法。

本发明的技术方案是按以下方式实现的，该一种基于SAN存储系统的多重权限分配方法，其具体分配过程为：

分配多重角色，即在系统管理任务中设立帐号维护员、审计员、管理员、用户共四种角色并赋予相应权限及管理范围，该四个角色间相互制约，根据特定安全原则实现对存储系统权限分离，所述安全原则是指最小特权原则，上述分离的权限包括对存储系统的管理权限及数据访问权限两部分，当攻击者获取某个或两个管理角色的口令时不会得到对存储系统的完全控制。

所述帐号维护员权限包括系统状态、帐号管理两部分内容：系统状态，实现对存储系统基本状态信息查看；帐号管理实现对所有帐号管理和维护，包括列表获取、添加帐号、删除帐号、编辑帐号、重置密码、修改密码功能，其中列表获取用于实现对所有用户帐号信息获取；添加帐号用于实现对用户帐号添加；删除帐号用于实现对所有帐号删除；编辑帐号用于实现对所有帐号信息编辑；重置密码用于实现对所有帐号密码重置；修改密码用于实现对所有帐号密码修改。

所述管理员分为只读管理员和配置管理员两种，只读管理员只有查阅存储资源及配置情况；配置管理员不仅有读的权限，同时可对存储资源进行灵活配置；该管理员的权限包括资源管理、主机管理、网络管理、系统管理及帐号管理五部分：

资源管理实现对存储系统磁盘、存储池、逻辑卷资源模块管理；主机管理实现映射协议及由资源到映射lun转换管理，配置管理员角色赋予资源到指定用户角色，具体的lun映射和资源访问控制是由用户角色控制；网络管理实现对存储系统网络设备及网络连接管理；系统管理实现对存储系统系统模块管理；帐号管理包括可对所有用户帐号信息获取的列表获取、只能对自身登录帐号进行密码修改的修改密码功能。

所述审计员实现对帐号维护员新创建的帐号赋予权限，同时可对系统自身行为、操作行为、访问行为等进行审计与跟踪，识别系统状态，以便风险评估，重新调整策略，保障系统安全；该审计员权限包括系统状态、日志审计、帐号管理三部分内容，其中系统状态可实现对存储系统基本状态信息查看；日志审计，系统会将所有角色操作日志记录并由审计员进行日志审计，实现对系统自身行为、操作行为、访问行为等进行审计与跟踪，实现对问题定位和风险评估；帐号管理包括列表获取、修改密码、权限分配功能：列表获取实现对所有用户帐号信息获取；修改密码对自身登录帐号进行密码修改；权限分配对新创建的帐号进行角色分配，可分配为帐号维护员、审计员、管理员、用户共四种角色。

    所述用户角色，实现对存储系统数据网络访问权限控制，通过审计员对用户角色权限指派，达到指定用户可实现对指定资源访问控制的目的，该用户角色权限包括系统状态、账号管理、访问控制三部分，其中系统状态实现对存储系统基本状态信息查看；帐号管理包括实现对所有用户帐号信息获取的列表获取、只能对自身登录帐号进行密码修改的修改密码功能；访问控制用于对被分配的资源使用控制，达到对客户端访问存储设备指定资源控制的目的。

所述管理员及用户账号为使用者创建或删除的的，其创建过程为：

a) 登录帐号维护员帐号，添加新帐号；

b) 登录审计员帐号，为新添加帐号赋予权限；

c) 对新帐号权限判断，如果是帐号维护员或审计员则进入i，如果是管理员则进入d，如果是用户则进入e；

d) 分配管理员类型，为只读或配置权限，进入i；

e) 判断是否为用户分配资源，是则进入f，否则进入i；

f) 判断是否存在配置管理员帐号，是则进入h，否则进入g；

g) 提示创建配置管理员帐号，进入i；

h) 登录配置管理员帐号，为该用户分配可访问资源，进入i；

i) 结束；

其删除过程为：

a) 登录帐号维护员帐号；

b) 执行帐号删除操作；

c) 判断是否是最后一个帐号维护员或审计员帐号，是则进入d，否则进入e；

d) 提示最后一个帐号维护员或审计员帐号不能被删除，进入h；

e) 删除配置中帐号信息，进入f；

f) 判断要被删除帐号是否正在使用，是则进入g，否则进入h；

g) 强制登出被删除帐号，进入h；

h) 结束。

本发明与现有技术相比所产生的有益效果是：

本发明的一种基于SAN存储系统的多重权限分配方法实现对管理网络、数据网络访问权限控制和分配；帮助客户实现对存储系统的安全访问，避免出现超级用户的误操作或其身份被假冒而带来的安全隐患；通过对用户角色资源分配，实现指定用户对指定资源的访问和控制，保证存储系统操作访问的安全可控；实用性强，易于推广。

附图说明

附图1是本发明的多重角色分配示意图。

附图2是本发明中创建帐号过程流程图。

附图3是本发明中删除帐号过程流程图。

具体实施方式

下面结合附图对本发明的一种基于SAN存储系统的多重权限分配方法作以下详细说明。

如附图1所示，一种基于SAN存储系统的多重权限分配方法,其具体分配过程为：

分配多重角色，即在系统管理任务中设立帐号维护员、审计员、管理员、用户共四种角色并赋予相应权限及管理范围，该四个角色间相互制约，根据特定安全原则实现对存储系统权限分离，所述安全原则是指最小特权原则，上述分离的权限包括对存储系统的管理权限及数据访问权限两部分，当攻击者获取某个或两个管理角色的口令时不会得到对存储系统的完全控制。

所述帐号维护员权限包括系统状态、帐号管理两部分内容：系统状态，实现对存储系统基本状态信息查看；帐号管理实现对所有帐号管理和维护，包括列表获取、添加帐号、删除帐号、编辑帐号、重置密码、修改密码功能，其中列表获取用于实现对所有用户帐号信息获取；添加帐号用于实现对用户帐号添加；删除帐号用于实现对所有帐号删除；编辑帐号用于实现对所有帐号信息编辑；重置密码用于实现对所有帐号密码重置；修改密码用于实现对所有帐号密码修改。

所述管理员分为只读管理员和配置管理员两种，只读管理员只有查阅存储资源及配置情况；配置管理员不仅有读的权限，同时可对存储资源进行灵活配置；该管理员的权限包括资源管理、主机管理、网络管理、系统管理及帐号管理五部分：

资源管理实现对存储系统磁盘、存储池、逻辑卷资源模块管理；主机管理实现映射协议及由资源到映射lun转换管理，配置管理员角色赋予资源到指定用户角色，具体的lun映射和资源访问控制是由用户角色控制；网络管理实现对存储系统网络设备及网络连接管理；系统管理实现对存储系统系统模块管理；帐号管理包括可对所有用户帐号信息获取的列表获取、只能对自身登录帐号进行密码修改的修改密码功能。

所述审计员实现对帐号维护员新创建的帐号赋予权限，同时可对系统自身行为、操作行为、访问行为等进行审计与跟踪，识别系统状态，以便风险评估，重新调整策略，保障系统安全；该审计员权限包括系统状态、日志审计、帐号管理三部分内容，其中系统状态可实现对存储系统基本状态信息查看；日志审计，系统会将所有角色操作日志记录并由审计员进行日志审计，实现对系统自身行为、操作行为、访问行为等进行审计与跟踪，实现对问题定位和风险评估；帐号管理包括列表获取、修改密码、权限分配功能：列表获取实现对所有用户帐号信息获取；修改密码对自身登录帐号进行密码修改；权限分配对新创建的帐号进行角色分配，可分配为帐号维护员、审计员、管理员、用户共四种角色。

    所述用户角色，实现对存储系统数据网络访问权限控制，通过审计员对用户角色权限指派，达到指定用户可实现对指定资源访问控制的目的，该用户角色权限包括系统状态、账号管理、访问控制三部分，其中系统状态实现对存储系统基本状态信息查看；帐号管理包括实现对所有用户帐号信息获取的列表获取、只能对自身登录帐号进行密码修改的修改密码功能；访问控制用于对被分配的资源使用控制，达到对客户端访问存储设备指定资源控制的目的。

如附图2、图3所示，存储系统出厂时，默认有且只有一个帐号维护员和一个审计员，出厂时无管理员及用户帐号，客户必须通过帐号维护员创建新的帐号，并通过审计员赋予新帐号权限，如果赋予新帐号的权限是管理员角色，则可通过新赋予的管理员角色帐号登录存储系统，并实现对存储系统管理；如果赋予新帐号权限是用户角色，则可登录配置管理员帐号，并对新赋予的用户角色帐号分配资源，实现指定用户角色对存储设备指定资源访问的控制和分配。

存储系统可添加多个帐号维护员或审计员，在删除过程中必须保证系统中有一个帐号维护员和一个审计员存在，管理员和用户角色可都删除。

对于帐号维护员、审计员角色来说，相同角色的权限是一致的(即所有的帐号维护员权限是相同的)。

管理员可分为只读管理员和配置管理员，只读管理员对资源只有只读权限，配置管理员可对资源进行配置管理维护。

每个用户角色对资源的访问控制范围不同，具体范围是由配置管理员分配。

帐号维护员可对所有帐号密码重置、修改，其它角色登录后只能对自身登录的帐号密码进行修改。

所有角色操作都会记录到日志中，日志审计只能由审计员角色来管理，识别系统状态，以便风险评估，重新调整安全策略，保障系统安全。

事件流程。

1)创建帐号。

a) 登录(帐号维护员)帐号，添加新帐号；

b) 登录(审计员)帐号，为新添加帐号赋予权限；

c) 对新帐号权限判断，如果是帐号维护员或审计员则进入i，如果是管理员则进入d，如果是用户则进入e；

d) 分配管理员类型，为只读或配置权限，进入i；

e) 判断是否为用户分配资源，是则进入f，否则进入i；

f) 判断是否存在(配置管理员)帐号，是则进入h，否则进入g；

g) 提示创建(配置管理员)帐号，进入i；

h) 登录(配置管理员)帐号，为该用户分配可访问资源，进入i；

i) 结束。

 2）删除帐号。

a) 登录(帐号维护员)帐号；

b) 执行帐号删除操作；

c) 判断是否是最后一个(帐号维护员|审计员)帐号，是则进入d，否则进入e；

d) 提示最后一个(帐号维护员|审计员)帐号不能被删除，进入h；

e) 删除配置中帐号信息，进入f；

f) 判断要被删除帐号是否正在使用(即被登录)，是则进入g，否则进入h；

g) 强制登出被删除帐号，进入h；

h) 结束。

以上所述仅为本发明的实施例而已，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种基于SAN存储系统的多重权限分配方法，其特征在于其具体分配过程为：分配多重角色，即在系统管理任务中设立帐号维护员、审计员、管理员、用户共四种角色并赋予相应权限及管理范围，该四个角色间相互制约，根据特定安全原则实现对存储系统权限分离，所述安全原则是指最小特权原则，上述分离的权限包括对存储系统的管理权限及数据访问权限两部分，当攻击者获取某个或两个管理角色的口令时不会得到对存储系统的完全控制。

2.根据权利要求1所述的一种基于SAN存储系统的多重权限分配方法，其特征在于：所述帐号维护员权限包括系统状态、帐号管理两部分内容：系统状态，实现对存储系统基本状态信息查看；帐号管理实现对所有帐号管理和维护，包括列表获取、添加帐号、删除帐号、编辑帐号、重置密码、修改密码功能，其中列表获取用于实现对所有用户帐号信息获取；添加帐号用于实现对用户帐号添加；删除帐号用于实现对所有帐号删除；编辑帐号用于实现对所有帐号信息编辑；重置密码用于实现对所有帐号密码重置；修改密码用于实现对所有帐号密码修改。

3.根据权利要求2所述的一种基于SAN存储系统的多重权限分配方法，其特征在于：所述管理员分为只读管理员和配置管理员两种，只读管理员只有查阅存储资源及配置情况；配置管理员不仅有读的权限，同时可对存储资源进行灵活配置；该管理员的权限包括资源管理、主机管理、网络管理、系统管理及帐号管理五部分：

资源管理实现对存储系统磁盘、存储池、逻辑卷资源模块管理；主机管理实现映射协议及由资源到映射lun转换管理，配置管理员角色赋予资源到指定用户角色，具体的lun映射和资源访问控制是由用户角色控制；网络管理实现对存储系统网络设备及网络连接管理；系统管理实现对存储系统系统模块管理；帐号管理包括可对所有用户帐号信息获取的列表获取、只能对自身登录帐号进行密码修改的修改密码功能。

4.根据权利要求3所述的一种基于SAN存储系统的多重权限分配方法，其特征在于：所述审计员实现对帐号维护员新创建的帐号赋予权限，同时可对系统自身行为、操作行为、访问行为等进行审计与跟踪，识别系统状态，以便风险评估，重新调整策略，保障系统安全；该审计员权限包括系统状态、日志审计、帐号管理三部分内容，其中系统状态可实现对存储系统基本状态信息查看；日志审计，系统会将所有角色操作日志记录并由审计员进行日志审计，实现对系统自身行为、操作行为、访问行为等进行审计与跟踪，实现对问题定位和风险评估；帐号管理包括列表获取、修改密码、权限分配功能：列表获取实现对所有用户帐号信息获取；修改密码对自身登录帐号进行密码修改；权限分配对新创建的帐号进行角色分配，可分配为帐号维护员、审计员、管理员、用户共四种角色。

5.根据权利要求4所述的一种基于SAN存储系统的多重权限分配方法，其特征在于：所述用户角色，实现对存储系统数据网络访问权限控制，通过审计员对用户角色权限指派，达到指定用户可实现对指定资源访问控制的目的，该用户角色权限包括系统状态、账号管理、访问控制三部分，其中系统状态实现对存储系统基本状态信息查看；帐号管理包括实现对所有用户帐号信息获取的列表获取、只能对自身登录帐号进行密码修改的修改密码功能；访问控制用于对被分配的资源使用控制，达到对客户端访问存储设备指定资源控制的目的。

6.根据权利要求5所述的一种基于SAN存储系统的多重权限分配方法，其特征在于：所述管理员及用户账号为使用者创建或删除的的，其创建过程为：

a) 登录帐号维护员帐号，添加新帐号；

b) 登录审计员帐号，为新添加帐号赋予权限；

c) 对新帐号权限判断，如果是帐号维护员或审计员则进入i，如果是管理员则进入d，如果是用户则进入e；

d) 分配管理员类型，为只读或配置权限，进入i；

e) 判断是否为用户分配资源，是则进入f，否则进入i；

f) 判断是否存在配置管理员帐号，是则进入h，否则进入g；

g) 提示创建配置管理员帐号，进入i；

h) 登录配置管理员帐号，为该用户分配可访问资源，进入i；

i) 结束；

其删除过程为：

a) 登录帐号维护员帐号；

b) 执行帐号删除操作；

c) 判断是否是最后一个帐号维护员或审计员帐号，是则进入d，否则进入e；

d) 提示最后一个帐号维护员或审计员帐号不能被删除，进入h；

e) 删除配置中帐号信息，进入f；

f) 判断要被删除帐号是否正在使用，是则进入g，否则进入h；

g) 强制登出被删除帐号，进入h；

h) 结束。

Images