CN105046125A - 一种基于分级制的oa系统应用访问方法 - Google Patents

Abstract

本发明公开了一种基于分级制的OA系统应用访问方法，包括：(1)将所有用户分为四级权限级别，各个权限级别由高至低依次为一级权限、二级权限、三级和四级权限；(2)依次由上级权限用户指定下一级权限用户，并指定该级权限的访问权限范围，且一级权限用户指定二级权限用户后一级权限用户自动注销；所述的权限范围为相应权限级别用户能够访问的应用集合；(3)各个用户根据自身的访问权限范围访问与其访问权限范围相匹配的应用。本发明的基于分级制的OA系统应用访问方法中指定二级权限用户后自动注销一级权限，且通过安全等级在访问时随机进行身份验证，大大提高了OA系统的安全性。

Description

一种基于分级制的OA系统应用访问方法

技术领域

本发明涉及办公安全技术领域，具体涉及一种基于分级制的OA系统应用访问方法。

背景技术

对于大型企业而言，一个完善的OA系统能够极大地提高办公效率。但是安全与便捷永远是一对矛盾体。因此，如何行之有效地在维持办公自动化的同时确保系统的安全性就成为了一个非常头痛的难题。

现有技术中从两个方面入手进行安全性的保证。如公开号为102148819A的中国专利申请《防信息泄漏协同办公安全系统及方法》公开了一种防信息泄漏协同办公安全系统及方法，该防信息泄漏协同办公安全系统包括；互相通信的服务器端和客户端；管理员在服务器端中建立一个协同办公的工作区域：当用户想访问该区域时，必须首先注册申请，管理员受理用户的申请之后给该用户分配角色，并设置该角色相应的权限，同时分配给该角色一个对应的私钥；用户必须通过所述客户端的验证才能进入到公共区域；用户使用公钥私钥加密机制上传、修改或删除协同办公安全系统的公共区域中的文件。该中国专利申请通过公钥私钥加密机制对文件进行加密，能实现对信息泄密的主动预防，同时对协同办公安全系统的公共区域中的文件进行安全性的保护，解决了一般协同办公系统不安全性的问题。

如公开号为1588385的中国专利申请《签章集中管理与委托授权电子签章安全的方法》中通过在OA系统中部署集中签章服务器的方式，来提供远程集中签章服务和印章集中管理，在用户端提供控件来实现签章公文的本地验证以及已归当签章公文的验证，通过专用接口与OA系统的角色权限分配进行通信，把电子印章的管理集成到OA系统角色权限管理中，实现了电子印章的集中管理和委托授权的问题。系统安全性高，结构简单，方式灵活，易于集成。该发明方法解决了电子印章分散管理带来的安全问题，以及印章使用权限委托授权与临时授权的问题。

可见，现有技术中对办公系统加密的方式通常采用前者这样通过管理员给予身份的方式，或者后者在OA系统中部署集中签章服务器的方式，来提供远程集中签章服务和印章集中管理。但是这两个方案都依然存在着致命的缺点。

通过管理员分配角色的方式来授权。但是对于大型集团公司而言，高层的领导未必具有很高的计算机水平，也就是说，管理员身份并不在领导手中，而是在普通员工手中。这样会导致管理员权限过大，甚至有机会给自己赋予高级权限，从而进行一些特殊的活动，存在安全隐患。

通过远程集中签章服务和印章集中管理时，由于印章的集中管理，一旦印章管理的服务器被破解，所有权限就都毫无私密可言，完全暴露在他人目光之下。而如果所有工作均进行动态管理，则对服务器的负载要求过高，造成不必要的浪费。

发明内容

针对现有技术的不足，本发明的提供了一种基于分级制的OA系统应用访问方法。

一种基于分级制的OA系统应用访问方法，包括：

(1)将所有用户分为四级权限级别，各个权限级别由高至低依次为一级权限、二级权限、三级和四级权限；

(2)依次由上级权限用户指定下一级权限用户，并指定该级权限的访问权限范围，且一级权限用户指定二级权限用户后一级权限用户自动注销；

所述的权限范围为相应权限级别用户能够访问的应用集合；

(3)各个用户访问与自身访问权限范围相匹配的应用。

在实际应用中一级权限实际上为管理员。现有技术中，在系统初始化完成(即指定一级权限用户后)管理员权限仍然存在。这样通过管理员账户即能够很容易获取整个OA系统中的数据，存在安全漏洞。本发明中指定一级权限用户指定二级权限用户后直接注销掉管理管账户，大大提高了OA系统的安全性。

在实际应用时，可以根据应用需求划分更多权限级别。

作为优选，各个用户初次初始登陆时还需要设置安全问题，在后续访问应用时，通过设置的安全问题随机进行身份验证。

所述OA系统中的应用按照安全等级的由高至低依次包括开放应用、内部应用和核心应用。

将OA系统中的应用划分为三个安全等级，所述的安全等级由高至低依次为开放应用、内部应用和核心应用。开放应用，所有用户均可访问，内部应用相应部门内的应用，相应部门内的所有用户可以访问，核心应用为各个部门内的保密区，该部门内一定职位的用户才可访问。

本发明中设定的应用的安全等级与访问权限级别相互匹配，开放应用对所有权限级别的用户开放，内部应用对于相应部门内的所有权限用户开放，核心应用对于该部门内的三级权限用户开放，且每个部门内的内部应用对其他部门内所有权限级别均不开放。所有开放应用均对二级权限用户开放。

作为优选，访问安全等级越高的应用，身份验证的概率越大，即访问安全等级高的应用时进行身份验证的概率大于访问安全等级低的应用时出现身份验证的概率。安全等级越高，使访问越困难，提高安全性。

根据系统应用需求，在特定时间或满足一定的条件时，可由上级用户为下一级用户的访问权限进行升级，具体如下：

对于三级权限用户和四级权限用户进行访问权限范围提升，包括被动提升和主动提升：

被动提升时：上级权限用户在设定的时间段内将相应的应用添加至被提升用户能够访问的应用集合中；

主动提升时：请求提升的用户向上一级权限用户提交文本文件，上一级权限用户批准后根据所述的文本文件向请求提升的用户发送秘钥，请求提升的用户利用所述的秘钥根据文本文件获取激活码，并利用该激活码激活相应权限，以将对应的应用添加自身的能够访问的应用集合中。

本发明中的秘钥可以为从文本文件选取的若干字符的组合，也可以为其他形式。

此外，所述用户定期更新文本文件，以定期更新所述的秘钥。

在实际应用中，OA系统可能需要增加新的应用，所述的OA系统增加新的应用时，进行如下操作：

划分该应用的安全等级，并将该应用添加至相应用户所能访问的应用集合中。

与现有技术相比，本发明的基于分级制的OA系统应用访问方法中指定二级权限用户后自动注销一级权限，且通过安全等级在访问时随机进行身份验证，大大提高了OA系统的安全性。

具体实施方式

下面将结合具体实施例对本发明进行详细描述。以某公司集团化办公自动化系统为例，首先要安装办公自动化系统(即OA系统)，并且在此基础上安装基于分级制的OA系统管理软件。

安装完毕后首先对OA系统中的所有应用划分安全等级，安全等级由高至低依次开放应用、内部应用和核心应用。

其中，开放应用，所有用户均可访问；

内部应用为各个部门内的应用，相应部门内的所有用户可以访问；

核心应用为各个部门内的保密区，该部门内一定职位的用户才可访问。

本实施例的基于分级制的OA系统应用访问方法，包括：

(1)将所有用户分为四级权限级别，各个权限级别由高至低依次为一级权限、二级权限、三级和四级权限；

(2)依次由上级权限用户指定下一级权限用户，并指定该级权限的访问权限范围，且一级权限用户指定二级权限用户后一级权限用户自动注销，其中，权限范围为相应权限级别用户能够访问的应用集合。

对于整个集团公司，系统管理员作为一级权限，预先设定公司领导的用户ID，并开放所有权限，作为二级权限。等所有公司最高领导的用户ID确认后，注销系统管理员的帐号。公司最高领导的用户ID用于开启人事主管的用户ID作为三级权限。其他员工的用户ID由自己申请，并在指定时间内由人事主管用户ID进行认证，进而形成四级权限。

普通员工(四级权限)的用户ID无需密码即可进行开放区域进行交流。一些被授权的关联单位的帐号也可以在公共区域内通过指定用户ID登录，但是涉及到具体工作时，对应的用户ID需要通过预设的密码进行登录。从而进行对应ID下的OA发文，在线作业，联合办公等本职工作。

安全等级由低到高为开放应用、内部应用和核心应用。开放应用，所有用户均可访问，内部应用相应部门内的应用，相应部门内的所有用户可以访问，核心应用为各个部门内的保密区，该部门内一定职位的用户才可访问。

本实施例中应用的安全等级与访问权限级别相互匹配，开放应用对所有权限级别的用户开放，内部应用对于相应部门内的所有权限用户开放，核心应用对于该部门内的三级权限用户开放，且每个部门内的内部应用对其他部门内所有权限级别均不开放。所有应用均对二级权限用户开放。

例如普通论坛的等级为开放应用，任何人通过自身ID都能进行发言。而对应每个用户ID职务，开放相应应用的访问权限(即将相应的应用添加至该权限级别用户能够访问的应用集合中)，

需要注意的是，虽然在普通级别的安全等级下登录用户ID不需要密码，但是由于用户ID的唯一性，用户只能在验证ID时指定的设备上进行登录。这样不仅便于企业管理，而且减少了盗用ID的可能性。

(3)各个用户根据自身的访问权限范围访问与其访问权限范围相匹配的应用。

各个用户初次初始登陆时还需要设置安全问题，在后续访问应用时，通过设置的安全问题随机进行身份验证。访问安全等级高的应用时进行身份验证的概率大于访问安全等级低的应用时出现身份验证的概率。安全等级越高，使访问越困难，提高安全性。

为便于管理，本实施例的访问方法在特定时间或满足一定的条件时，可由相应权限级别的用户为下一级用户的访问权限进行升级，即向其能够访问的权限集合中添加新的应用，具体如下：

对于三级权限用户和四级权限用户进行访问权限范围提升，包括被动提升和主动提升：

被动提升方法时：上级权限用户在设定的时间段内将相应的应用添加至被提升用户能够访问的应用集合中；

对于一些职务，例如财务的用户ID，可以在指定的时间内在特定绑定MAC地址的电脑上进行权限的放开。例如在月初或月末。这段时间中财务工作繁忙，因此指定电脑也不可能有空闲时间。这段时间内财务的用户ID能对对应的财务数据进行全面的控制，为定时最高权限开放。

主动提升方法如下：请求提升的用户时，向上一级权限用户提交一份文本文件，上一级权限用户批准后根据所述的文本文件向请求提升的用户发送秘钥，请求提升的用户利用所述的秘钥根据文本文件获取激活码，并利用该激活码激活相应权限，以将对应的应用添加自身的能够访问的应用集合中。

例如，当某一用户在特定时间段内需要访问不在其访问权限内的应用，此时需要向对应的上一级权限用户发送请求，上级权限用户对该请求进行审核，审核通过后发送一个作为秘钥，用户根据该秘钥获取相应的激活码进行激活相应的应用，进而将对应的应用添加至自身能够访问的应用集合中，使该应用对其开放。

本实施例中的秘钥可以为从文本文件选取的若干字符的组合，也可以为其他形式。为防止秘钥泄漏，用户定期更新文本文件，以定期更新秘钥。

本实施例的文本初始时为用户的自我介绍，之后为每个月的工作总结，如此，定期更新文本文件，以定期更新秘钥。本实施例中限定文本文件的字数为350～400字。由于月度总结发放有滞后性，因此确保这个密钥的私密性。

在实际应用中，OA系统可能需要增加新的应用，OA系统增加的新的应用时，进行如下操作：

划分该应用的安全等级，并将该应用添加至相应用户所能访问的应用集合中。

在实际应用中一级权限实际上为管理员。现有技术中，在系统初始化完成(即指定一级权限用户后)管理员权限仍然存在。这样通过管理员账户即能够很容易获取整个OA系统中的数据，存在安全漏洞。本发明中指定一级权限用户指定二级权限用户后直接注销掉管理员账户，大大提高了OA系统的安全性。

以上所述的具体实施方式对本发明的技术方案和有益效果进行了详细说明，应理解的是以上所述仅为本发明的最优选实施例，并不用于限制本发明，凡在本发明的原则范围内所做的任何修改、补充和等同替换等，均应包含在本发明的保护范围之内。

Claims (7)

1.一种基于分级制的OA系统应用访问方法，其特征在于，包括：

(1)将所有用户分为四级权限级别，各个权限级别由高至低依次为一级权限、二级权限、三级和四级权限；

(2)依次由上级权限用户指定下一级权限用户，并指定该级权限的访问权限范围，且一级权限用户指定二级权限用户后一级权限用户自动注销；

所述的权限范围为相应权限级别用户能够访问的应用集合；

(3)各个用户访问与自身访问权限范围相匹配的应用。

2.如权利要求1所述的基于分级制的OA系统应用访问方法，其特征在于，各个用户初次初始登陆时设置安全问题，在后续访问应用时，通过设置的安全问题随机进行身份验证。

3.如权利要求2所述的基于分级制的OA系统应用访问方法，其特征在于，所述OA系统中的应用按照安全等级的由高至低依次包括开放应用、内部应用和核心应用。

4.如权利要求3所述的基于分级制的OA系统应用访问方法，其特征在于，访问安全等级越高的应用，身份验证的概率越大。

5.如权利要求4所示的基于分级制的OA系统应用访问方法，其特征在于，还包括对于三级权限用户和四级权限用户进行访问权限范围提升，包括被动提升和主动提升：

被动提升时：上级权限用户在设定的时间段内将相应的应用添加至被提升用户能够访问的应用集合中；

主动提升时：请求提升的用户向上一级权限用户提交文本文件，上一级权限用户批准后根据所述的文本文件向请求提升的用户发送秘钥，请求提升的用户利用所述的秘钥根据文本文件获取激活码，并利用该激活码激活相应权限，以将对应的应用添加到自身的能够访问的应用集合中。

6.如权利要求5所示的基于分级制的OA系统应用访问方法，其特征在于，所述用户定期更新文本文件，以定期更新所述的秘钥。

7.如权利要求1～6中任意一项所述的基于分级制的OA系统应用访问方法，其特征在于，当所述的OA系统增加的新的应用时，进行如下操作：

划分该应用的安全等级，并将该应用添加至相应用户所能访问的应用集合中。