CN103984600B

CN103984600B - 一种基于云计算的财务数据处理方法

Info

Publication number: CN103984600B
Application number: CN201410188990.6A
Authority: CN
Inventors: 江国健
Original assignee: Fujian Jinri Tejia Network Co Ltd
Current assignee: Fujian Jinri Tejia Network Co Ltd
Priority date: 2014-05-07
Filing date: 2014-05-07
Publication date: 2017-06-06
Anticipated expiration: 2034-05-07
Also published as: CN103984600A

Abstract

本发明提供了一种基于云计算的财务数据处理方法，包括：在云集群服务器上基于相同的应用程序代码运行多个应用服务器实例；通过负载均衡来动态分配租户的服务器运行实例，采用可配置的方式支持租户的定制化需求；根据租户对不同平台服务的安全控制机制和权限管理要求，对租户进行统一认证和权限管理。本发明提出了基于PaaS的云计算系统和方法，并改进了的数据库存储和统一的安全认证与权限管理方式，适用于各种业务领域下的PaaS平台。

Description

一种基于云计算的财务数据处理方法

技术领域

本发明涉及云计算技术，特别涉及一种基于云计算的财务数据处理方法。

背景技术

云计算具有超大规模和虚拟化特点。对于网络运营商而言，可以使得运营成本和操作维护成本大大下降，达到节能减排的目的。在云计算环境下，一切资源都是可以运营的，都可以作为服务提供，包括应用程序、软件、平台、处理能力、存储、网络、计算资源以及其他基础设施等。PaaS(平台即服务)作为高度开放，多应用的一个云计算平台，集成了大量的应用系统。在互联网金融、财务等领域，PaaS平台被数以千万计的用户所使用，必须具有高度的安全和稳定性来做支撑。PaaS平台的应用场景中，需要由客户端将应用程序上传到PaaS平台的应用程序节点中运行。应用程序节点即为真实的服务器主机或者IaaS层提供的虚拟主机。对于PaaS平台而言，PaaS平台的应用程序节点通常是多租户形式的，也就是说，PaaS平台的应用程序节点会接收到来自于各种各样的客户端上传的应用程序，这些上传的应用程序不仅有可能对PaaS平台上运行这些应用程序的应用程序节点造成安全问题，而且还会对部署在应用程序节点上的其它应用程序造成安全问题。面向众多财务方面的企业级用户，用户数量多，角色繁杂，给身份认证和访问控制造成了很大的困难，服务需要支持多种角色和多类用户的资源访问控制；其次，PaaS服务提供商向租户提供的平台服务众多，不同租户对不同平台服务的访问控制权限各不相同。

因此，针对相关技术中所存在的上述问题，目前尚未提出有效的解决方案。

发明内容

为解决上述现有技术所存在的问题，本发明提出了一种基于云计算的财务数据处理方法，包括：

在云集群服务器上基于相同的应用程序代码运行多个应用服务器实例；

通过负载均衡来动态分配租户的服务器运行实例，采用可配置的方式支持租户的定制化需求；

根据租户对不同平台服务的安全控制机制和权限管理要求，对租户进行统一认证和权限管理。

优选地，进一步包括：

将云计算系统的用户认证、功能访问权限信息统一放在公共数据库中，以进行统一的用户认证、功能权限控制；

对于租户的业务数据信息实现业务数据的逻辑隔离，存放在不同的各自的独立数据库中。

优选地，所述对租户进行统一认证和权限管理，进一步包括：

在用户登录时，验证用户身份并根据服务权限信息构造该用户有权访问的服务集合，并将该用户的服务集合和身份信息传入系统动态分配的应用服务器实例，再动态链接到该租户对应的业务数据库实例，实现对用户授权。

优选地，所述验证用户身份，进一步包括：

用户登录到Web页面，输入自己的联合身份认证信息，即用户ID和密码，或者提供CA证书；

云集群服务器的身份认证模块通过该联合身份认证信息，进行认证；

如果认证失败，则返回失败信息；

如果认证成功，则为用户重定向到登录成功的页面。

优选地，所述构造服务集合，进一步包括：

用户通过身份认证后，根据用户身份信息，获取该用户对应的企业租户购买的服务列表信息，生成业务权限树；

根据用户的具体角色权限信息，从服务集合中抽取形成该用户有权使用的服务列表；

依据服务列表、业务权限树和个性化配置信息，动态构造并形成具体的应用系统功能主接口；

将应用系统功能主接口返回给用户；

建立用户与系统动态分配的应用服务器实例独立的通道，

用户选择功能进行相应的服务访问和使用。

优选地，所述生成业务权限树，进一步包括：

6.1、查找PaaS平台资源，

6.2、将平台资源转换为树结点，生成树结点列表，

6.3、新建空的父结点列表作为当前父结点列表，

6.4、对当前树结点列表进行遍历，

6.5、判断当前遍历到的结点的父资源标识是否等于预置的根结点标识，若是，则执行步骤6.6，若否，则执行步骤6.7，

6.6、将当前遍历到的结点标记为当前业务权限树的根结点；执行步骤6.11，

6.7、查找资源标识等于当前遍历到的结点的父资源标识的资源，将该资源标记为当前遍历到的结点的父结点，

6.8、判断当前父结点列表中是否包含资源标识等于当前遍历到的结点的父资源标识的资源；若不包含，将执行步骤6.9，若包含，则执行步骤6.10，

6.9、将资源标识等于当前遍历到的结点的父资源标识的资源添加到当前父结点列表，

6.10、判断当前树结点列表是否遍历完毕；若是，则执行步骤6.11，若否，则跳到下一个遍历结点，返回步骤6.5，

6.11、判断当前父结点列表是否为空；若不为空，则执行步骤6.12，若为空，则执行步骤6.13，

6.12、将当前父结点列表作为当前树结点列表，返回步骤6.3，

6.13、根据标记递归构建业务权限树，

当上述查找到的所有业务全部添加到初始的业务权限树之后，即生成最终的业务权限树。

优选地，所述对用户授权为针对用户具体角色进行服务授权时，进一步包括：

7.1查询具体角色拥有的服务权限信息;

7.2查询该用户对应的租户所拥有的服务集合信息，再在对应的服务集合内，选择对具体角色进行服务功能的授权，并提交请求，

7.3查询平台中所有可提供的服务集合，在平台所有可提供的服务集合内，修改所对应租户的服务集合内的信息，再选择对具体角色进行服务功能的授权，并提交请求，

7.4调用相应的方法修改具体角色对应的服务权限配置信息,如果授权所请求的服务功能涉及修改该用户对应的租户服务集合，则同时修改租户的服务集合信息，

7.5返回修改结果。

优选地，所述对用户授权为当针对具体角色在租户服务集合内进行权限提升时，进一步包括：

8.1查询具体角色拥有的服务权限信息，并得到该用户对应的租户所拥有的服务集合信息，

8.2在对应的租户所拥有的服务集合内，选择对具体角色进行服务功能的授权，并提交请求，

8.3调用相应的方法修改具体角色对应的服务权限配置信息，

8.4返回修改结果。

本发明相比现有技术，具有以下优点：

本发明提出了基于PaaS的支持多租户且支持多服务的PaaS系统架构，并改进了的数据库存储和统一的安全认证与权限管理方式，适用于各种业务领域下的PaaS平台。

附图说明

图1是根据本发明实施例的基于云计算的财务数据处理方法的流程图。

具体实施方式

下文与图示本发明原理的附图一起提供对本发明一个或者多个实施例的详细描述。结合这样的实施例描述本发明，但是本发明不限于任何实施例。本发明的范围仅由权利要求书限定，并且本发明涵盖诸多替代、修改和等同物。在下文描述中阐述诸多具体细节以便提供对本发明的透彻理解。出于实例的目的而提供这些细节，并且无这些具体细节中的一些或者所有细节也可以根据权利要求书实现本发明。

本发明通过在负载平衡的服务器群上为不同租户提供服务，系统有多个应用服务器实例，但运行相同的应用程序代码实例，最终租户通过负载均衡被分配到不同的应用服务器实例，不同租户的数据彼此分开，同时采用可配置的方式支持租户的定制化需求。本发明的PaaS系统具备良好的可扩展性，可轻松适应大规模租户的需要，可根据需求灵活地增减后端服务器的数量而无需对应用进行额外架构设计，并满足多租户的定制化需求。

本发明的一方面提供了一种基于云计算的财务数据处理方法。图1是根据本发明方法的流程图。以财务处理平台为例，详细阐述本发明的数据处理方法。如图1所示，实施本发明的具体步骤如下：

在云集群服务器上基于相同的应用程序代码运行多个应用服务器实例，

通过负载均衡来动态分配租户的服务器运行实例；

采用可配置的方式支持租户的定制化需求，

根据本发明进一步的方面，在PaaS系统中，在满足服务资源的共享与多租户高效性的同时，必须确保用户数据的访问控制和逻辑隔离。为了保证用户数据的安全性要求，本发明从以下方面改进了数据库存储结构。

首先，本发明将存储PaaS系统的用户认证、功能访问权限信息等数据结构统一放在“公共数据库”中，以便于进行统一的用户认证、功能权限控制等，即PaaS系统中的用户认证和功能权限控制信息存放在一起，共享一个公共数据库；而对于各租户的业务数据信息，由于需确保不同用户只能访问自己的数据，并实现用户业务数据的逻辑隔离，则存放在不同的“独立数据库”中，即每个租户的业务数据存放在各自的独立库中，从而达到了业务数据逻辑隔离的需求，安全性可以得到保证，同时对于数据库的备份、导入导出等运行维护工作也提供了较好的便利性。

由于在安全认证与权限管理系统中需要统一进行用户身份认证和操作权限管理与控制，因此将相关的用户认证信息和权限管理信息存放在统一的公共数据库中，以支持用户的身份认证和服务权限管理，在用户登录时，根据服务权限信息构造用户所能访问的服务集合，并根据后台服务器信息动态分配相应的应用服务器实例。同时，不同租户的运行实例根据用户身份不同访问各自的独立业务数据库，每个租户都拥有自己的业务数据库，互相隔离，不能跨库进行非法访问。

“公共+独立”数据库能够保证统一用户认证和权限管理需要，同时也能保证用户数据的高安全性，确保业务数据的逻辑隔离性，并使每个数据库资源得到了充分的利用。

进一步地，为实现用户身份认证和服务权限管理与控制，在用户登录时，本发明验证用户身份并根据服务权限信息构造该用户有权访问的服务集合，并将该用户的服务集合和身份信息传入系统动态分配的应用服务器实例，再动态链接到该租户对应的业务数据库实例。认证与权限管理提供了认证、构造权限列表和授权三方面功能。

认证主要实现用户登录时的身份认证和安全验证。具体认证过程为：用户登录到Web页面，输入自己的联合身份认证信息，即用户ID和密码，或者提供CA证书。

身份认证模块通过联合身份认证信息，进行认证。

如果认证失败，则返回失败信息；

如果认证成功，则为用户重定向到登录成功的页面。

构造权限列表过程主要是，用户通过了身份认证后，系统根据服务权限配置信息，构造符合租户购买范围和客户权限范围内的服务列表。在PaaS系统中，平台开发商会提供多个平台服务，不同租户根据自己需要可以购买不同的服务功能，形成本企业租户的服务集合；同时，不同租户内部也会划分不同角色，不同角色用户可以使用本企业所购买服务集合中不同的服务功能，从而形成本企业租户的不同角色客户的具体服务列表。因此，构造权限列表过程就是根据租户企业的购买信息和角色权限信息，动态构造客户的服务列表并形成具体的应用系统功能主接口，每个服务功能对应不同的菜单项或模板区。如果某客户的接口跟其余客户的接口不同，则新增一个菜单，把这个菜单加载到接口上，而这个菜单对应了后台一个服务功能。这样就实现了不同客户可以有自己完全不同的服务集合和应用系统接口。

具体构造权限列表过程为：⑴根据用户身份信息，获取该用户对应的企业租户购买的服务列表信息，生成业务权限树；⑵根据用户的具体角色权限信息，从服务集合中抽取形成该用户有权使用的服务列表；⑶依据服务列表、业务权限树和个性化配置信息，动态构造并形成具体的应用系统功能主接口；⑷将应用系统功能主接口返回给用户；⑸建立用户与系统动态分配的应用服务器实例独立的通道，用户可选择具体功能进行相应的服务访问和使用。

其中，业务权限树通过以下过程来构建：

在本发明实施例中，一个或多个集群可以构成平台域，不同平台域部署不同类型的业务应用，云计算资源管理平台可以为每名租户配置不同的云计算资源。云计算资源管理平台生成业务权限树，其中，业务权限树中包括如下资源：一个或者两个以上的平台域，以及该平台域包含的业务和集群。

6.1、查找PaaS平台资源。

6.1、将平台资源转换为树结点，生成树结点列表。

6.3、新建空的父结点列表作为当前父结点列表。

6.4、对当前树结点列表进行遍历。

6.5、判断当前遍历到的结点的父资源标识是否等于预置的根结点标识，若是，则执行步骤6.6，若否，则执行步骤6.7。

6.6、将当前遍历到的结点标记为当前业务权限树的根结点；执行步骤6.11。

6.7、查找资源标识等于当前遍历到的结点的父资源标识的资源，将该资源标记为当前遍历到的结点的父结点。

6.8、判断当前父结点列表中是否包含资源标识等于当前遍历到的结点的父资源标识的资源；若不包含，将执行步骤6.9，若包含，则执行步骤6.10。

6.9、将资源标识等于当前遍历到的结点的父资源标识的资源添加到当前父结点列表。

6.10、判断当前树结点列表是否遍历完毕；若是，则执行步骤6.11，若否，则跳到下一个遍历结点，返回步骤6.5。

6.11、判断当前父结点列表是否为空；若不为空，则执行步骤6.12，若为空，则执行步骤6.13。

6.12、将当前父结点列表作为当前树结点列表，返回步骤6.3。

6.13、根据标记递归构建业务权限树。

授权过程分为两类：一类是针对具体角色进行服务授权；另一类是针对具体角色在租户服务集合内进行权限提升。

其中，对具体角色进行服务授权的过程如下。

⑴用户查询具体角色拥有的服务权限信息。

⑵用户一方面可以查询该用户对应的租户所拥有的服务集合信息，再在对应的服务集合内，选择对具体角色进行服务功能的授权，并提交请求。

⑶另一方面，用户也可以查询PaaS平台中所有可提供的服务集合，在平台所有可提供的服务集合内，修改所对应租户的服务集合内的信息，再选择对具体角色进行服务功能的授权，并提交请求。

⑷调用相应的方法修改具体角色对应的服务权限配置信息。如果授权所请求的服务功能涉及修改该用户对应的租户服务集合的，则同时修改租户的服务集合信息。

⑸返回修改结果。

对具体角色进行权限提升的过程如下：

⑴用户查询具体角色拥有的服务权限信息，并得到该用户对应的租户所拥有的服务集合信息。

⑵用户在对应的租户所拥有的服务集合内，选择对具体角色进行服务功能的授权，并提交请求。

⑶调用相应的方法修改具体角色对应的服务权限配置信息。

⑷返回修改结果。

综上所述，本文提出了基于PaaS的可以支持多租户且支持多服务的PaaS系统架构，并从系统结构和安全认证及权限管理的角度，改进了的数据库存储模型和统一的安全认证与权限管理系统模型，适用于各种业务领域下的PaaS平台。

显然，本领域的技术人员应该理解，上述的本发明的各模块或各步骤可以用通用的计算系统来实现，它们可以集中在单个的计算系统上，或者分布在多个计算系统所组成的网络上，可选地，它们可以用计算系统可执行的程序代码来实现，从而，可以将它们存储在存储系统中由计算系统来执行。这样，本发明不限制于任何特定的硬件和软件结合。

应当理解的是，本发明的上述具体实施方式仅仅用于实例性说明或解释本发明的原理，而不构成对本发明的限制。因此，在不偏离本发明的精神和范围的情况下所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。此外，本发明所附权利要求旨在涵盖落入所附权利要求范围和边界、或者这种范围和边界的等同形式内的全部变化和修改例。

Claims

1.一种基于云计算的财务数据处理方法，其特征在于，包括：

根据租户对不同平台服务的安全控制机制和权限管理要求，对租户进行统一认证和权限管理；

该方法进一步包括：

对于租户的业务数据信息实现业务数据的逻辑隔离，存放在不同的各自的独立数据库中；

所述对租户进行统一认证和权限管理，进一步包括：

在用户登录时，验证用户身份并根据服务权限信息构造该用户有权访问的服务集合，并将该用户的服务集合和身份信息传入系统动态分配的应用服务器实例，再动态链接到该租户对应的业务数据库实例，实现对用户授权；

所述验证用户身份，进一步包括：

如果认证失败，则返回失败信息；

如果认证成功，则为用户重定向到登录成功的页面；

所述构造服务集合，进一步包括：

将应用系统功能主接口返回给用户；

建立用户与系统动态分配的应用服务器实例独立的通道，

用户选择功能进行相应的服务访问和使用；

所述生成业务权限树，进一步包括：

6.1、查找PaaS平台资源，

6.2、将平台资源转换为树结点，生成树结点列表，

6.3、新建空的父结点列表作为当前父结点列表，

6.4、对当前树结点列表进行遍历，

6.12、将当前父结点列表作为当前树结点列表，返回步骤6.3，

6.13、根据标记递归构建业务权限树，

2.根据权利要求1所述的方法，所述对用户授权为针对用户具体角色进行服务授权时，进一步包括：

7.1查询具体角色拥有的服务权限信息;

7.5返回修改结果。

3.根据权利要求1所述的方法，所述对用户授权为当针对具体角色在租户服务集合内进行权限提升时，进一步包括：

8.3调用相应的方法修改具体角色对应的服务权限配置信息，

8.4返回修改结果。