CN105187434A - 基于多应用系统的用户账号管控方法及系统 - Google Patents

Abstract

本发明提供一种基于多应用系统的用户账号管控方法及系统，其中的方法包括：基于用户ID和用户身份信息建立统一用户数据源，以及采集各应用系统的用户账号；其中，各应用系统的用户账号基于用户ID创建；基于用户ID建立统一用户数据源中的用户与该用户在各应用系统中所使用的用户账号的映射关系；基于映射关系修改用户在对应的应用系统中所使用的用户账号的权限，其中，应用系统的用户账号的权限的修改包括权限开通、权限禁用和权限回收。利用上述本发明，能够将各应用系统的改造降低到最低，为企业节省巨大成本，同时又能达到自动管控的效果，提升工作效率，还能加强系统资源权限的管控，保证信息保密安全。

Description

基于多应用系统的用户账号管控方法及系统

技术领域

本发明涉及系统账号管控技术领域，更为具体地，涉及一种基于多应用系统的用户账号管控方法及系统。

背景技术

在办公自动化快速发展的今天，企业内部所采用的应用程序多种多样，应用系统众多，且各自独立形成孤岛。相应地，员工所拥有的对应于各应用系统的账号众多，管理混乱，企业难于对这些帐号统一进行管控。比如在新员工入职时，新员工在各应用系统中的用户账号需要逐一申请创建；在员工发生岗位变更或者离职时，员工在各应用系统中的用户账号又不能及时自动进行权限回收或账号注销，而是靠人工逐一核查检测各个应用系统，既浪费时间又浪费人力，并且可能会造成遗漏，或者因为账号权限回收不及时，导致企业信息泄露，发生信息保密安全事故。

因此，企业需要有一个对应用系统用户账号进行统一管控的方法，从全局角度进行应用系统账号的管理，实现方便、及时、自动化的管理。但在深度改造应用系统实现多应用系统用户账号的管控的过程中，如何控制改造成本、避免过多的人力物力投入，成为本领域内所面临的难题。

发明内容

鉴于上述问题，本发明的目的是提供一种基于多应用系统的用户账号管控方法及系统，以解决现有应用系统账号管控方法无法实现账号统一管控的问题。

本发明提供一种基于多应用系统的用户账号管控方法，包括：

基于用户ID和用户身份信息建立统一用户数据源，以及采集各应用系统的用户账号；其中，各应用系统的用户账号基于用户ID创建；

基于用户ID建立统一用户数据源中的用户与该用户在各应用系统中所使用的用户账号的映射关系；

基于映射关系修改用户在对应的应用系统中所使用的用户账号的权限，其中，应用系统的用户账号的权限的修改包括权限开通、权限禁用和权限回收。

本发明还提供一种基于多应用系统的用户账号管控系统，包括：

统一用户数据源建立单元，用于基于用户ID和用户身份信息建立统一用户数据源；

用户账号创建单元，用于根据用户ID创建各应用系统的用户账号；

用户账号采集单元，用于采集各应用系统的用户账号；

映射关系建立单元，用于基于用户ID建立统一用户数据源中的用户与该用户在各应用系统所使用的用户账号的映射关系；

权限修改单元，用于基于映射关系修改用户在对应的应用系统中所使用的用户账号的权限，其中，应用系统的用户账号的修改权限包括权限开通、权限禁用和权限回收。

与现有的应用系统账号管控方法相比，本发明能够取得以下技术效果：

(1)员工在每个应用系统的账号可实现从入职时自动创建、岗位变动时自动调整权限、离职时自动回收权限的生命周期管理。

(2)减轻管理员工作负担，不再逐一对单个应用系统进行管理，节省人力。

(3)建立统一用户数据源，实现企业内部账号的集中、统一管理维护，从而提高管理效率，降低管理成本。

(4)在统一用户数据源的基础上，实现IT服务资源的统一授权管理和访问控制，以加强系统资源权限的管控，提高企业信息化的安全性。

为了实现上述以及相关目的，本发明的一个或多个方面包括后面将详细说明并在权利要求中特别指出的特征。下面的说明以及附图详细说明了本发明的某些示例性方面。然而，这些方面指示的仅仅是可使用本发明的原理的各种方式中的一些方式。此外，本发明旨在包括所有这些方面以及它们的等同物。

附图说明

通过参考以下结合附图的说明及权利要求书的内容，并且随着对本发明的更全面理解，本发明的其它目的及结果将更加明白及易于理解。在附图中：

图1为根据本发明实施例的基于多应用系统的用户账号管控方法的流程示意图；

图2为根据本发明实施例的基于多应用系统的用户账号管控系统的逻辑结构示意图。

在所有附图中相同的标号指示相似或相应的特征或功能。

具体实施方式

以下将结合附图对本发明的具体实施例进行详细描述。

针对现有应用系统账号无法实现统一管控的问题，本发明通过构建统一用户数据源，建立用户与各应用系统的用户账号的映射关系，基于该映射关系实现各应用系统的用户账号的统一管控，统一管控包括统一查看、统一分配、自动创建、自动回收等功能，尽量避免对各应用系统进行深度改造，从而实现各应用系统的“零侵入”改造。

图1示出了根据本发明实施例的基于多应用系统的用户账号管控方法的第一流程。

如图1所示，本发明实施例提供的基于多应用系统的用户账号管控方法包括：

步骤S11：基于用户ID和用户身份信息建立统一用户数据源，以及采集各应用系统的用户账号；其中，各应用系统的用户账号基于用户ID创建。

用户ID和用户身份信息统称为用户的基础信息，通过采集用户的基础信息建立统一用户数据源，采集用户的基础信息与采集各应用系统的用户账号不分先后顺序。

用户的基础信息包括用户ID和用户身份信息，用户ID包括工号和AD账号，在新员工入职时，会为该员工分配工号和AD账号，工号为员工在企业中的唯一标识，用于识别员工的身份，而AD账号用于员工登录电脑，如果员工没有AD账号，则说明该员工的电脑不属于AD域内，则该员工则无法登陆电脑。用户身份信息包括员工的身份证号、姓名、年龄等等信息。

在采集用户身份信息和工号的过程中，根据电子人力资源管理的人员基础数据采集用户身份信息和工号。

在采集AD账号的过程中，根据AD域用户基础信息采集于员工的AD账号。

统一用户数据源基于员工的基础信息而建立，其目的在于，实现对员工的统一管理，对于每一个员工，在入职时，将其基础信息加入到统一用户数源，在员工调岗或离职时，都能通过统一用户数据源查找该员工的基础信息，从而进行后续的操作。

用户账号是指员工为登录各个应用系统所创建的账号，创建各应用系统的用户账号包括两种方式，第一种，通过员工的工号创建各应用系统的用户账号，第二种，通过用户的AD账号创建各应用系统的用户账号。各应用系统会在本地存储员工的工号和AD账号。

在采集各应用系统的用户账号的过程中，通过调用各应用系统对外提供获取全量账号信息的WebService接口，采集各应用系统的用户账号。

应用系统包括OA系统、PLM系统、EPR系统、Hyperion系统、考聘系统等等系统。

步骤S12：基于用户ID建立统一用户数据源中的用户与该用户在各应用系统中所使用的用户账号的映射关系。

建立映射关系的目的在于，将统一用户数据源中的每个用户与各自所创建的各应用系统的用户账号对应起来。例如：统一用户数据源包括A员工和B员工，应用系统包括C系统和D系统；其中，A员工在C系统中创建用户账号A’，员工B在D系统中创建用户账号B’，则映射关系会将A员工与C系统中的用户账号A’对应起来，也会将员工B与D系统中的用户账号B’对应起来。

一个用户ID对应一个用户，而一个用户对应多个用户账号，通过映射关系，能够将每个用户与各自创建的多个用户账号对应起来。

在基于用户ID建立统一用户数据源中的用户与该用户在各应用系统中所使用的用户账号的映射关系的过程中，首先，基于员工的工号建立统一用户数据源中的用户与该用户在各应用系统中所使用的用户账号的映射关系，也就是说，通过匹配统一用户数据源中的工号与各应用系统中存储的工号是否一致来建立映射关系，如果工号匹配成功，说明映射关系建立成功，如果工号匹配失败，则说明映射关系建立失败，在基于工号建立映射关系失败时，基于员工的AD账号建立统一用户数据源中的用户与该用户在各应用系统中所使用的用户账号的映射关系，AD账号的匹配过程与工号的匹配过程相同。

需要说明的是，在建立用户与该用户在各应用系统中所使用的用户账号的映射关系时，说明该员工已经创建过用户账号，也就是说，该员工不是新员工，对于新员工，在其入职后，会根据分配的工号或AD账号创建各应用系统的用户账号，只有在创建用户账号后，才会对该员工建立映射关系，将其所创建的用户账号对应起来。

在创建应用系统的用户账号的过程中，通过调用应用系统对外提供账号创建的WebService接口，为员工创建应用系统的用户账号。

S13：基于映射关系修改用户在对应的应用系统中所使用的用户账号的权限，其中，应用系统的用户账号的权限的修改包括权限开通、权限禁用和权限回收。

根据映射关系能够寻找到每个员工与其所创建的各应用系统的用户账号，就能对各个用户账号进行权限修改，权限修改包括三种方式：

权限开通，是指开通应用系统的用户账号的权限，例如为员工A开通OA系统的账号权限；

权限禁用，是指禁用应用系统的用户账号的权限，例如为员工B禁用PLM系统的账号权限；

权限回收，是指回收应用系统的用户账号的权限，只保留基础权限，例如为调岗的员工C回收ERP系统的账号权限。

上述三种权限的修改方式对应于不同的流程，权限开通对应于新员工入职时或员工调岗时的流程，权限禁用对应于员工调岗时的流程，而权限回收对应于员工离职时的流程，企业具有自己的流程平台，流程平台包括员工入职流程、员工调岗流程和员工离职流程三种流程信息，三种流程信息不相互交互，独立执行，每一种流程信息均包含一条隐性规则，通过获取流程平台发送的流程信息，并根据流程信息中的隐性规则确定流量信息适用于哪种修改权限。

另外，每个应用系统对外提供账号开通、账号禁用、账号权限回收的WebService接口，换言之，每一种修改权限对应一个WebService接口，在修改用户账号的权限的过程中，通过调用WebService接口控制员工所对应的应用系统粒度级别的账号权限。

本发明提供的基于多应用系统的用户账号管控方法的整体流程为：通过获取流程平台发来的流程信息，确定该流程信息适用哪种修改权限，如果为员工入职流程，则将新员工加入到统一用户数据源中，并为新员工创建并开通应用系统的账号权限，然后建立新员工的映射关系；如果为员工调岗流程，则根据该员工的映射关系，修改对应的应用系统的账号权限(包括禁用原岗位应用系统的账号权限和开通新岗位应用系统的账号权限)；如果为员工离职流程，则回收该员工在应用系统中所使用的账号权限。

与上述方法相对应，本发明还提供一种基于多应用系统的用户账号管控系统，包括统一用户数据源建立单元1、用户账号创建单元2、用户账号采集单元3、映射关系建立单元4和权限修改单元5；其中，

统一用户数据源建立单元1用于基于用户ID和用户身份信息建立统一用户数据源，其中，用户ID包括工号和AD账号；

用户账号创建单元2用于根据用户ID创建各应用系统的用户账号；

用户账号采集单元3用于采集各应用系统的用户账号；

映射关系建立单元4用于基于用户ID建立统一用户数据源中的用户与该用户在各应用系统所使用的用户账号的映射关系；

权限修改单元5用于基于映射关系修改用户在对应的应用系统中所使用的用户账号的权限，其中，应用系统的用户账号的修改权限包括权限开通、权限禁用和权限回收。

此外，权限修改单元5包括接口调用模块51，用于通过调用应用系统提供的WebService接口修改应用系统的用户账号的权限，其中，每一种修改权限对应一个WebService接口。

另外，统一用户数据源建立单元1包括用户身份信息采集模块11、工号采集模块12和AD账号采集模块13；其中，用户身份信息采集模块11用于根据电子人力资源管理的人员基础数据采集用户身份信息；工号采集模块12用于根据电子人力资源管理的人员基础数据采集工号；AD账号采集模块13根据AD域用户基础信息采集AD账号。

另外，映射关系建立单元4包括第一创建模块41和第二创建模块42；其中，第一创建模块41用于根据工号建立统一用户数据源中的用户与该用户在各应用系统中所使用的用户账号的映射关系；第二创建模块42用于在第一创建模块41建立失败时，基于AD账号建立统一用户数据源中的用户与该用户在各应用系统中所使用的用户账号的映射关系。

再者，基于多应用系统的用户账号管控系统还包括流程信息获取单元6，用于通过流程平台获取用户的流程信息；以及权限修改单元5根据流程信息中的隐性规则修改与用户对应的应用系统的用户账号的权限。

上述内容详细说明了本发明提供的基于多应用系统的用户账号管控方法及系统，在面对企业内部众多应用系统时，员工在每个应用系统的账号可实现从入职时自动创建、岗位变动时自动调整权限、离职时自动注销权限的生命周期管理。本发明能够快速实施，对各应用系统的改造降低到最低，为企业节省巨大成本，同时又能达到自动管控的效果，提升工作效率，还能加强系统资源权限的管控，保证信息保密安全。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (10)

1.一种基于多应用系统的用户账号管控方法，包括：

基于用户ID和用户身份信息建立统一用户数据源，以及采集各应用系统的用户账号；其中，各应用系统的用户账号基于所述用户ID创建；

基于所述用户ID建立所述统一用户数据源中的用户与所述用户在各应用系统中所使用的用户账号的映射关系；

基于所述映射关系修改用户在对应的应用系统中所使用的用户账号的权限，其中，应用系统的用户账号的权限的修改包括权限开通、权限禁用和权限回收。

2.如权利要求1所述的基于多应用系统的用户账号管控方法，其中，在基于所述映射关系修改用户在对应的应用系统中所使用的用户账号的权限的过程中，

通过调用所述应用系统提供的WebService接口修改所述应用系统的用户账号的权限，其中，每一种修改权限对应一个WebService接口。

3.如权利要求1所述的基于多应用系统的用户账号管控方法，其中，

所述用户ID包括工号和AD账号，所述AD账号根据AD域用户基础信息采集获得；以及，

所述用户身份信息和所述工号根据电子人力资源管理的人员基础数据采集获得。

4.如权利要求3所述的基于多应用系统的用户账号管控方法，其中，在基于所述用户ID建立所述统一用户数据源中的用户与所述用户在各应用系统中所使用的用户账号的映射关系的过程中，

基于所述工号建立所述统一用户数据源中的用户与所述用户在各应用系统中所使用的用户账号的映射关系；其中，

在基于所述工号建立所述统一用户数据源中的用户与所述用户在各应用系统中所使用的用户账号的映射关系失败时，基于所述AD账号建立所述统一用户数据源中的用户与所述用户在各应用系统中所使用的用户账号的映射关系。

5.如权利要求1所述的基于多应用系统的用户账号管控方法，其中，在基于所述映射关系修改用户在对应的应用系统中所使用的用户账号的权限的过程中，

通过流程平台获取用户的流程信息，根据所述流程信息中的隐性规则修改所述用户在对应的应用系统中所使用的用户账号的权限。

6.一种基于多应用系统的用户账号管控系统，包括：

统一用户数据源建立单元，用于基于用户ID和用户身份信息建立统一用户数据源；

用户账号创建单元，用于根据所述用户ID创建各应用系统的用户账号；

用户账号采集单元，用于采集各应用系统的用户账号；

映射关系建立单元，用于基于所述用户ID建立所述统一用户数据源中的用户与所述用户在各应用系统所使用的用户账号的映射关系；

权限修改单元，用于基于所述映射关系修改所述用户在对应的应用系统中所使用的用户账号的权限，其中，应用系统的用户账号的修改权限包括权限开通、权限禁用和权限回收。

7.如权利要求6所述的基于多应用系统的用户账号管控系统，其中，

权限修改单元包括接口调用模块，用于通过调用应用系统提供的WebService接口修改所述应用系统的用户账号的权限，其中，每一种修改权限对应一个WebService接口。

8.如权利要求6所述的基于多应用系统的用户账号管控系统，其中，所述统一用户数据源建立单元包括：

用户身份信息采集模块，用于根据电子人力资源管理的人员基础数据采集所述用户身份信息；

工号采集模块，用于根据电子人力资源管理的人员基础数据采集所述工号；

AD账号采集模块，根据AD域用户基础信息采集所述AD账号。

9.如权利要求8所述的基于多应用系统的用户账号管控系统，其中，映射关系建立单元包括：

第一创建模块，用于基于所述工号建立所述统一用户数据源中的用户与所述用户在各应用系统中所使用的用户账号的映射关系；

第二创建模块，用于在所述第一创建模块建立失败时，基于所述AD账号建立所述统一用户数据源中的用户与所述用户在各应用系统中所使用的用户账号的映射关系。

10.如权利要求6所述的基于多应用系统的用户账号管控系统，还包括流程信息获取单元，用于通过流程平台获取用户的流程信息；以及

所述权限修改单元根据所述流程信息中的隐性规则修改与所述用户在对应的应用系统中所使用的用户账号的权限。