CN105095792A - 一种基于多用户权限的存储资源管理方法及系统 - Google Patents

Abstract

本发明公开了一种基于多用户权限的存储资源管理方法及系统，该方法包括：接收客户端发送的操作请求；操作请求包括操作内容、用户角色以及签名信息，用户角色包括用户管理员或者审计管理员；判断预设签名数据库中是否存在签名信息；当判定预设签名数据库中存在签名信息时，判断操作内容是否在签名信息中的操作权限范围内，如果在，则执行与操作内容对应的操作动作。以上技术方案中，对存储资源管理系统的管理员设置多种用户角色，限制各种角色管理员的权限，实现了权限的分离，有效解决了现有技术中超级用户在存储资源管理系统中的权限不受限制，其可以对存储资源系统进行任意操作的技术问题。

Description

一种基于多用户权限的存储资源管理方法及系统

技术领域

本发明涉及存储资源管理技术领域，特别是涉及一种基于多用户权限的存储资源管理方法及系统。

背景技术

当今，通常只设置超级用户一人对存储资源系统进行管理，这种管理方法虽然便于系统配置和维护，但存在许多安全隐患：超级用户在存储资源管理系统中的权限不受限制，其可以对存储资源系统进行任意操作。在这种情况下，一旦超级用户出于某种目的对存储资源管理系统进行非法操作，容易造成一些不可挽回的损失。

发明内容

有鉴于此，本发明提供了一种基于多用户权限的存储资源管理方法及系统，以解决现有技术中超级用户在存储资源管理系统中的权限不受限制，其可以对存储资源系统进行任意操作的技术问题。

为解决上述技术问题，本发明提供一种基于多用户权限的存储资源管理方法，包括：

接收客户端发送的操作请求；所述操作请求包括操作内容、用户角色以及签名信息，所述签名信息包括与所述用户角色对应的操作权限，所述用户角色包括用户管理员或者审计管理员；

判断预设签名数据库中是否存在所述签名信息；

当判定所述预设签名数据库中存在所述签名信息时，判断所述操作内容是否在所述签名信息中的操作权限范围内，如果在，则执行与所述操作内容对应的操作动作；

当判定所述预设签名数据库中没有所述签名信息时，向所述客户端返回权限错误的提示信息。

优选的，在接收客户端发送的操作请求之前，还包括：

接收所述用户在所述客户端的登录信息；

确定所述用户所属的用户角色，生成与所述用户角色对应的所述签名信息；

向所述客户端发送所述签名信息。

优选的，在生成与所述用户角色对应的所述签名信息之后，还包括：

将所述签名信息存储至所述预设签名数据库中。

优选的，

接收所述用户管理员的客户端发送的新用户创建请求；

当判定创建新用户的操作内容在所述用户管理员的操作权限范围内时，创建新用户，并向所述审计管理员的客户端发送所述新用户的权限申请。

优选的，在向所述审计管理员的客户端发送所述新用户的权限申请之后，还包括：

接收所述审计管理员的客户端发送的权限申请确认请求；

当判定权限申请确认的操作内容在所述审计管理员的操作权限范围内时，判断为所述新用户确认的权限是否合法，如果合法，则为所述新用户分配所述审计管理员确认的权限，否则，向所述审计管理员的客户端发送权限申请非法错误的提示信息。

本发明还提供了一种基于多用户权限的存储资源管理系统，包括：

操作请求接收单元，用于接收客户端发送的操作请求；所述操作请求包括操作内容、用户角色以及签名信息，所述签名信息包括与所述用户角色对应的操作权限，所述用户角色包括用户管理员或者审计管理员；

签名信息判断单元，用于判断预设签名数据库中是否存在所述签名信息；

操作内容执行单元，用于当判定所述预设签名数据库中存在所述签名信息时，判断所述操作内容是否在所述签名信息中的操作权限范围内，如果在，则执行与所述操作内容对应的操作动作；当判定所述预设签名数据库中没有所述签名信息时，向所述客户端返回权限错误的提示信息。

以上本发明提供的一种基于多用户权限的存储资源管理方法及系统中，用户角色至少包括一个用户管理员和一个审计管理员，根据用户角色为其分配不同的操作权限，该方法具体包括：服务端接收客户端发送的操作请求；所述操作请求包括操作内容、用户角色以及签名信息，所述签名信息包括与所述用户角色对应的操作权限；判断预设签名数据库中是否存在所述签名信息；当判定所述预设签名数据库中存在所述签名信息时，判断所述操作内容是否在所述签名信息中的操作权限范围内，如果在，则执行与所述操作内容对应的操作动作。以上技术方案中，对存储资源管理系统的管理员设置多种用户角色，限制各种角色管理员的权限，实现了权限的分离，有效解决了现有技术中超级用户在存储资源管理系统中的权限不受限制，其可以对存储资源系统进行任意操作的技术问题，进而从根源上有效阻止了管理员出于某种不好的目的而进行非法操作的行为。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明一种基于多用户权限的存储资源管理方法实施例1的流程图；

图2为本发明一种基于多用户权限的存储资源管理方法实施例1中的多用户权限示意图；

图3为本发明一种基于多用户权限的存储资源管理方法实施例2的流程图；

图4为本发明一种基于多用户权限的存储资源管理系统实施例1的结构框图示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明的核心是提供一种基于多用户权限的存储资源管理方法及系统，以解决现有技术中超级用户在存储资源管理系统中的权限不受限制，其可以对存储资源系统进行任意操作的技术问题。

为了使本技术领域的人员更好地理解本发明方案，下面结合附图和具体实施方式对本发明作进一步的详细说明。

实际应用中，对存储资源系统的管理是基于用户使用的存储管理客户端(简称客户端)与存储管理服务端(简称服务端)之间的交互实现的，参考图1，示出了本发明一种基于多用户权限的存储资源管理方法实施例1的流程图，该方法是从服务端的角度来阐述的(实际上其中也体现客户端的内容)，该方法具体可以包括如下步骤：

步骤S100、接收客户端发送的操作请求；

本发明中，操作请求包括操作内容、用户角色以及签名信息，签名信息包括与用户角色对应的操作权限，用户角色包括用户管理员或者审计管理员；

本发明在三权分立的管理机制基础上，将存储管理系统的功能进行分组，每组功能对应一种权限，根据用户角色为用户配置功能权限，一个用户可以拥有多种权限。简单地说，请参考图2，每组功能和与其对应的权限之间的关系类似现实世界中锁和钥匙的关系，每组功能对应一把锁，该组功能的权限对应钥匙，必须有钥匙才能使用这组功能。

实际应用中，存储管理系统按功能分为资源管理、主机管理、设备健康管理、系统基本管理、用户管理、用户权限管理、审计信息管理，分别对应权限Resource、Host、Health、System、User、Audit。设置三种管理员角色系统管理员、用户管理员、审计管理员，存储管理系统初始时至少存在一个用户管理员和一个审计管理员，用户管理员拥有User权限，审计管理员拥有Audit权限。对于系统管理员角色，可以由用户管理员和审计管理员共同创建并授权，这在后文中会有相关叙述。

实际应用中，存储管理系统客户端与服务端之间的通信协议可以采用HTTP协议。

步骤S101、判断预设签名数据库中是否存在签名信息；当判定预设签名数据库中存在签名信息时，进入步骤S102，当判定预设签名数据库中没有签名信息时，进入步骤S104；

步骤S102、判断操作内容是否在签名信息中的操作权限范围内，如果在，则进入步骤S103，如果不在，则进入步骤S104；

步骤S103、执行与操作内容对应的操作动作；

步骤S104、向客户端返回权限错误的提示信息。

以上技术方案中，对存储资源管理系统的管理员设置多种用户角色，限制各种角色管理员的权限，实现了权限的分离，能够对安全责任事故进行追踪，有效解决了现有技术中超级用户在存储资源管理系统中的权限不受限制，其可以对存储资源系统进行任意操作的技术问题，进而从根源上有效阻止了管理员出于某种不好的目的而进行非法操作的行为。

基于上述本发明公开的技术方案，在本发明提供了一种基于多用户权限的存储资源管理方法实施例2中，对于上述技术方案涉及到的签名信息，其是在服务端接收客户端发送的操作请求之前，用户通过存储管理客户端成功登录存储管理系统后，存储管理服务端在存储系统中生成与该用户对应的签名信息，并将签名返回给用户，相关具体内容请参考图3：

步骤S300、接收用户在客户端的登录信息；

步骤S301、确定用户所属的用户角色，生成与用户角色对应的签名信息；

进一步地，服务器在生成该用户角色对应的签名信息后，将签名信息存储至预设签名数据库中，以备后续再处理操作请求的过程中使用。

步骤S302、向客户端发送签名信息，签名信息中包括用户的操作权限。

具体地，客户端接收到签名信息后，用户可以使用客户端发起操作请求，该操作请求中包含返回的签名，存储管理服务端收到请求后，从请求中获取签名，并在存储系统(的签名数据库)中检索签名信息；若不存在签名信息，则返回权限错误；若存在签名信息，则根据签名信息中保存的权限信息判断是否具有操作权限。

基于上述各实施例所公开的技术内容，对于用户管理员和审计管理员共同创建系统管理员角色并授权的具体实现方案，本发明提供了一种基于多用户权限的存储资源管理方法实施例3，具体内容如下：

事实上，三权分立的管理机制能有效地改善现有技术中超级用户在存储资源管理系统中的权限不受限制，其可以对存储资源系统进行任意操作的技术问题，该机制根据最小特权和权值分离的安全原则，设置系统管理员、用户管理员和审计管理员三种用户角色，共同管理存储系统。系统管理员负责系统资源管理；用户管理员负责用户管理；审计管理员对系统审计信息进行管理以及对用户权限进行确认。

(1)首先，由用户管理员创建系统管理员角色

①用户管理员使用管理客户端输入用户名、密码登录存储管理系统，服务端验证通过后，生成随机数签名信息，并将权限User作为签名信息保存，返回签名信息给客户端。

②步骤S100中的操作请求为新用户创建请求，新用户创建请求中的操作内容为创建新用户，用户角色为用户管理员。用户管理员通过客户端发起新用户创建请求，其中，该新用户创建请求中包含签名、新用户信息以及用户权限；服务端收到新用户创建请求后，根据请求中的签名信息在存储系统的签名数据库中检索签名信息；若不存在签名信息，则返回权限错误的提示信息；若存在签名信息，则根据签名信息中保存的权限信息判断创建新用户的操作内容是否在用户管理员的操作权限范围内。若权限检查通过，则创建新用户，并向审计管理员的客户端发送新用户的权限申请。

(2)然后，审计管理员确认用户权限

①审计管理员使用管理客户端输入用户名、密码登录存储管理系统，服务端验证通过后，生成随机数签名信息，并将权限Audit作为签名信息保存，返回签名信息给客户端。

②步骤S100中的操作请求为权限申请确认请求，权限申请确认请求中的操作内容为权限申请确认，用户角色为审计管理员。审计管理员的客户端接收到用户管理员的客户端发送的新用户的权限申请，并检查新建用户权限申请是否合法，通过客户端发起用户的权限申请确认请求，该请求消息中包含签名、权限申请合法标识；服务端收到权限申请确认请求后，根据请求中的签名在存储系统的签名信息数据库中检索签名信息；若不存在签名信息，则向审计管理员的客户端返回权限错误的提示信息；若存在签名信息，则根据签名信息中保存的权限信息判断权限申请确认的操作内容是否在审计管理员的操作权限范围内。若权限检查通过，通过判断权限申请合法标识来判断审计管理员为新用户确认的权限是否合法，若权限申请合法，则为新用户分配审计管理员确认的权限，否则向审计管理员的客户端返回权限申请非法错误的提示信息。

(3)之后，系统管理员可以管理存储资源

系统管理员使用管理客户端输入用户名、密码登录存储管理系统，服务端验证通过后，生成随机数签名信息，并将管理员的权限作为签名信息保存，返回签名信息给客户端。

系统管理员通过客户端发起资源管理请求，请求消息中包含签名；服务端收到请求后，根据请求中的签名在存储系统中检索签名信息；若不存在签名信息，则返回权限错误；若存在签名信息，则检查签名信息中保存的权限信息是否包含Resource权限。若权限检查通过，则执行资源管理操作，否则返回权限错误的提示信息。

与上述本发明一种基于多用户权限的存储资源管理方法实施例1相对应，本发明还提供了一种基于多用户权限的存储资源管理系统实施例1，参考图4，该系统400可以包括如下内容：

操作请求接收单元401，用于接收客户端发送的操作请求；操作请求包括操作内容、用户角色以及签名信息，签名信息包括与用户角色对应的操作权限，用户角色包括用户管理员或者审计管理员；

签名信息判断单元402，用于判断预设签名数据库中是否存在签名信息；

操作内容执行单元403，用于当判定预设签名数据库中存在签名信息时，判断操作内容是否在签名信息中的操作权限范围内，如果在，则执行与操作内容对应的操作动作；当判定预设签名数据库中没有签名信息时，向客户端返回权限错误的提示信息。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于系统类实施例而言，由于其与方法实施例基本相似，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。

以上对本发明所提供的一种基于多用户权限的存储资源管理方法及系统进行了详细介绍。本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以对本发明进行若干改进和修饰，这些改进和修饰也落入本发明权利要求的保护范围内。

Claims (6)

1.一种基于多用户权限的存储资源管理方法，其特征在于，包括：

接收客户端发送的操作请求；所述操作请求包括操作内容、用户角色以及签名信息，所述签名信息包括与所述用户角色对应的操作权限，所述用户角色包括用户管理员或者审计管理员；

判断预设签名数据库中是否存在所述签名信息；

当判定所述预设签名数据库中存在所述签名信息时，判断所述操作内容是否在所述签名信息中的操作权限范围内，如果在，则执行与所述操作内容对应的操作动作；

当判定所述预设签名数据库中没有所述签名信息时，向所述客户端返回权限错误的提示信息。

2.如权利要求1所述的方法，其特征在于，在接收客户端发送的操作请求之前，还包括：

接收所述用户在所述客户端的登录信息；

确定所述用户所属的用户角色，生成与所述用户角色对应的所述签名信息；

向所述客户端发送所述签名信息。

3.如权利要求2所述的方法，其特征在于，在生成与所述用户角色对应的所述签名信息之后，还包括：

将所述签名信息存储至所述预设签名数据库中。

4.如权利要求1至3任意一项所述的方法，其特征在于，

接收所述用户管理员的客户端发送的新用户创建请求；

当判定创建新用户的操作内容在所述用户管理员的操作权限范围内时，创建新用户，并向所述审计管理员的客户端发送所述新用户的权限申请。

5.如权利要求4所述的方法，其特征在于，在向所述审计管理员的客户端发送所述新用户的权限申请之后，还包括：

接收所述审计管理员的客户端发送的权限申请确认请求；

当判定权限申请确认的操作内容在所述审计管理员的操作权限范围内时，判断为所述新用户确认的权限是否合法，如果合法，则为所述新用户分配所述审计管理员确认的权限，否则，向所述审计管理员的客户端发送权限申请非法错误的提示信息。

6.一种基于多用户权限的存储资源管理系统，其特征在于，包括：

操作请求接收单元，用于接收客户端发送的操作请求；所述操作请求包括操作内容、用户角色以及签名信息，所述签名信息包括与所述用户角色对应的操作权限，所述用户角色包括用户管理员或者审计管理员；

签名信息判断单元，用于判断预设签名数据库中是否存在所述签名信息；

操作内容执行单元，用于当判定所述预设签名数据库中存在所述签名信息时，判断所述操作内容是否在所述签名信息中的操作权限范围内，如果在，则执行与所述操作内容对应的操作动作；当判定所述预设签名数据库中没有所述签名信息时，向所述客户端返回权限错误的提示信息。