CN105760774B - 基于rbac的企业文件协作与访问控制方法及系统 - Google Patents
基于rbac的企业文件协作与访问控制方法及系统 Download PDFInfo
- Publication number
- CN105760774B CN105760774B CN201610068746.5A CN201610068746A CN105760774B CN 105760774 B CN105760774 B CN 105760774B CN 201610068746 A CN201610068746 A CN 201610068746A CN 105760774 B CN105760774 B CN 105760774B
- Authority
- CN
- China
- Prior art keywords
- enterprise
- role
- cooperation
- user
- permission
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
- G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
- G06F16/10—File systems; File servers
- G06F16/17—Details of further file system functions
- G06F16/176—Support for shared access to files; File sharing support
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Databases & Information Systems (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Bioethics (AREA)
- Health & Medical Sciences (AREA)
- Data Mining & Analysis (AREA)
- General Health & Medical Sciences (AREA)
- Computer Hardware Design (AREA)
- Computer Security & Cryptography (AREA)
- Software Systems (AREA)
- Document Processing Apparatus (AREA)
- Storage Device Security (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
Abstract
本发明提供基于RBA C的企业文件协作与访问控制方法及系统，在RBA C模型中将企业内用户、外部协作者以及群组经过配置后得到协作关系，参与企业文件的协作。本发明通过角色的权限对所述企业内用户、外部协作者以及群组中对应的角对原来的模型进行扩展，引入群组与外部协作者概念，使得控制管理更为方便和灵活。本发明能够让角色与用户、群组分离，角色与权限分离，每个用户拥有一个角色，每个角色拥有对应的权限集合；用户可以通过变换角色对不同文件或者文件夹拥有不同的协作权限，角色和权限的对应关系自动调整；用户的访问控制通过用户在文件上的角色判定是否拥有相应操作权限项。本发明简化访问控制实现难度，前置权限验证设定后置角色权限验证。
Description
技术领域
本发明涉计算机系统的安全技术领域，尤其是在云存储环境下的企业文件协作与访问控制。
背景技术
随着互联网技术的迅速发展，企业文件逐步把文档从纸质转变为电子文档。企业文档的管理多采用本地化部署方式进行管理，这种方式具有明显的弊端。首先不能进行联网协作，文档之间的交流一般采用FTP方式进行传输，当遇到多文档的时候，传输的代价将变得愈发大；其次，文档很难规整和查询，当用户想找到某个想要的文档时，只能通过文件名字进行查询，在浩瀚的文档海洋里，想找到自己想要的文档变得极其困难。传统的文档管理方式已经难以适应企业文档管理的需求。
随着云计算技术的发展，企业文档管理的SAAS服务已经出现，但现阶段的SAAS文档管理服务都是针对一个企业内文档的管理，对于跨企业文档协作还不能很好的支持，这在大多数情况下受限于传统的RBAC模型。在传统的RBAC模型下，角色是首先在企业内的，对于企业外的角色参与协作不能够支持，这就限定了企业文档的使用和传播范围。为了解决这种问题，现有的方案都是通过个人社交软件进行传输，只是点对点的传输。对于多人或者部门间的文档协作，这种方式弊端也很明显，不仅很难批量操作，而且不能够对文档的访问控制进行有效的管理。
发明内容
本发明要解决的技术问题是，针对现有技术中的不足，本发明就是为了解决在云计算环境下企业间文件协作和访问控制，在基于RBAC模型并改进后，能够支持企业文档的外部协作，解决企业文档传输和管理过程中的权限控制问题，对于一对多、多对多的文档协作场景进行了更友好的支持。
为了实现上述目的，本发明所采取的方案如下：
基于RBAC的企业文件协作与访问控制方法，包括，
将主体设置为用户和群组，所述用户包括企业内用户和外部协作者，所述群组中至少包括一个企业用户；
所述企业内用户、外部协作者以及群组经过配置后得到协作关系，参与所述企业文件的协作；
根据所述协作关系进行角色配置；
通过所述用户或者群组在所述企业文件上的所述角色的权限，判定是否拥有相应的访问、协作权限；
在进行协作时，根据所述角色的权限对所述企业内用户、外部协作者以及群组中对应的角色权限进行校验；
若校验成功，则允许主体对企业文件进行访问。
更进一步，所述群组是一用户组织实体，与所述企业内用户具有相同的文件操作权限；
所述外部协作者包括一个人用户或者外部企业用户，与企业内用户具有相同的文件操作权限。
更进一步，对于同一个企业文件设置有至少一个权限，对同一个企业文件可以具有一个或者多个协作关系，包括用户或者群组。
更进一步，根据所述协作关系进行角色配置的方法为：
所述群组或者用户在不同的文件上具有不同的角色，或者在同一个文件上具有一个或者多个协作关系；
所述群组或者用户对应设置至少一个角色，所述角色中设置有不同的操作权限，包括的操作者为：所有者、共同所有者、编辑者、查看者+上传者、查看者、预览者、上传者；
所述群组或者用户的协作关系通过具有协作编辑权限的角色：所述编辑者、共同所有者以及所有者进行设置。
更进一步，所述用户或群组在每个文件夹上对应不同角色，在创建所述协作关系时，所述编辑者、共同所有者或者需要所有者，在企业文件上选定协作者和协作角色：
建立所述协作关系{文件，协作者，协作角色}；
将所述协作关系传输到后台服务器，对协作关系和操作者的权限进行访问控制；
根据用户在文件上的角色以及该操作所需的权限进行鉴权；
将所述协作关系记录在数据库中，所述协作关系包括如下的字段：
协作编号、协作文件编号、文件拥有者编号、协作者编号、协作角色、协作者企业编号；
当用户或者群组加入文件夹的协作时，
通过所述协作者企业编号与文件拥有者的企业编号对比，来判定是否属于同一个企业，若是，则属于同一个企业，若不是，则不属于同一个企业。
更进一步，所述用户或群组，对企业文件进行协作时，
生成一条协作记录，所述记录包括：文件编号、协作者编号、文件拥有者编号、协作者企业编号，
通过对比所述协作者企业编号和文件拥有者的企业编号，判断当前用户是否为外部协作者，进行权限范围限定。
更进一步，将所述角色设置为集合R1，R2…Rn,权限设置为集合C1,C2，…Cn，在所述集合Rn中的每个角色对应不同的权限集合Cn,所述Cn用以实现对文件或者文件夹的不同操作。
更进一步，所述鉴权方法为：
根据访问接口配置限定，获取当前操作所需操作权限；
根据当前操作对象的类型，通过路由分发然后进行进行权限验证；
按照当前操作对象，获取该对象的所有父节点，获取当前用户在当前对象以及所有祖先节点上参与的所有协作或者群组协作的协作关系集合；
获取所有协作关系集合的角色集合，计算出每个角色的权限，最终获取角色具有权限的并集，得到当前角色对该对象拥有的权限集合；
若所述访问接口配置的所需操作权限在用户对该对象拥有的操作权限集合内，则通过鉴权；若否，则未通过鉴权。
本发明还提供了一种基于RBAC的企业文件协作与访问控制系统，其特征在于包括：
生成模块，用以将主体设置为用户和群组，所述用户包括企业内用户和外部协作者，所述群组中至少包括一个企业用户；
配置模块，用以对所述企业内用户、外部协作者以及群组经过配置后得到协作关系，参与所述企业文件的协作；
协作关系模块，用以根据所述协作关系进行角色配置；
权限模块，用以通过所述用户或者群组在所述企业文件上的所述角色的权限，判定是否拥有相应的访问和协作权限；
校验模块，用以在进行协作时，根据所述角色的权限对所述企业内用户、外部协作者以及群组中对应的角色权限进行校验；若校验成功，则允许主体对企业文件进行协作和访问。
更进一步，所述配置模块，用以建立角色集合，根据用户的角色集合，在所述校验模块计算出每个角色所具有的权限项，对所有角色对应权限项的并集后，与当前访问限定的访问权限进行比较，用以判断用户是否拥有该文件的访问权限，所述配置模块用以前置配置，所述校验模块用以后置验证。
本发明的有益效果：
1)本发明可以简化协作管理，当多人需要对不同文档进行协作时，不需要逐个邀请协作，只需要邀请一个群组就可以实现。
2)本发明可以实现企业间的协作，以及企业和个人的协作，使得企业文档利用最大化，协作更加方便。
3)本发明可以实现用户在同一个文档上具有多个权限，同一个文档可以具有一个或者多个协作关系，可以是用户，也可以是群组。
4)本发明简化访问控制实现难度，只需要前置权限验证设定，后置角色权限验证，访问控制变得更为灵活。
附图说明
图1为本发明的模型结构示意图；
图2为本发明的协作关系创建流程图；
图3为本发明的权限验证流程图。
图4是本发明一实施例中的鉴权方法流程示意图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本发明进一步详细说明。
请参考图1，为本发明一实施例中的基于RBAC的企业文件协作与访问控制方法流程示意图。
基于RBAC的企业文件协作与访问控制方法，包括，
步骤S101将主体设置为用户和群组，所述用户包括企业内用户和外部协作者，所述群组中至少包括一个企业用户；
步骤S102所述企业内用户、外部协作者以及群组经过配置后得到协作关系，参与所述企业文件的协作；
步骤S103根据所述协作关系进行角色配置；
步骤S104通过所述用户或者群组在所述企业文件上的所述角色的权限，判定是否拥有相应的访问、协作权限；
步骤S105在进行协作时，根据所述角色的权限对所述企业内用户、外部协作者以及群组中对应的角色权限进行校验；根据用户的角色集合，计算出每个角色所具有的权限项，对所有角色对应权限项的并集后，与当前访问限定的访问权限进行比较和计算，从而判断用户是否拥有该文档的访问权限。
在本实施例中的技术效果为：由于访问控制采取前置配置，后置验证的方式，一方面使得访问控制设置变得简单，另一方面也是的访问控制变得更为灵活。
步骤S106若校验成功，则允许主体对企业文件进行访问。由于每个实体对文件进行协作时，将会生成一条协作记录，这条记录将会记录文档编号、协作者编号、文档拥有者编号、协作者企业编号。通过对比协作者企业编号和文档拥有者的企业编号，判断当前用户是否是外部协作者，从而限定操作实体的权限范围。
在本实施例中的有益效果为：由于访问控制根据访问方法所设定的权限进行控制用户是否能够访问。在进行访问控制时，当用户进行访问时，会计算当前文档下，该用户所拥有的全部协作角色，在RBAC模型中，每个角色对应不同权限项。
在本实施例中，由于所述用户包括企业内用户和外部协作者，所述群组中至少包括一个企业用户。基于RBAC的角色主体分为用户、群组、外部协作者。
所述用户是一个企业的用户，是协作和访问控制的最基本实体；
所述群组是企业用户的一个组织形式，也是协作的主体，同时，群组是企业内一群具有相同业务需求的用户集合；
所述外部协作者也是一个用户，但这个用户不是所协作文档的企业用户，可以是一个其他企业的成员，也可以是一个独立的个人用户，不属于任何企业。
综上，用户、群组、外部协作者都是协作和访问控制的主体。三者都可以参与文档的协作，访问控制也会校验这三种实体对应的角色权限。通过三者，可以实现企业与企业、企业与个人、个人与个人的协作关系，实现协作的场景完全闭环。在本实施例中的有益效果为：通过上述的用户、群组、外部协作者对文件的协作是体现在三者在文档上的所有用的角色。每个实体都可以对一个或者多个文档进行协作管理，可以在任何文档上拥有任何角色，也可以在一个文档上拥有多个角色，访问控制将根据角色判断用户是否拥有访问权限。
如图2所示，为本发明一实施例中的基于RBAC的企业文件协作与访问控制结构连接示意图。
在本实施例中的模型是基于RBAC模型，其包括：用户204、角色202、权限项集合201、文件夹/文件203以及群组205。
所述群组和用户是是参与协作和被访问控制的参与者，所述用户和群组是参与者的实体，其中用户包含企业内用户和外部协作者，群组包含一个或者多个企业用户。
所述权限项集合，是指在群组和用户在模型中对应一个或者多个角色，具体对应的角色有：所有者、共同所有者、编辑者、查看者+上传者、查看者、预览者、上传者。
所有者拥有该文件，可以对文件进行任何操作，当文件被其他角色删除时，文件会进入所有者的回收站，所有者可以恢复被删除文件；
共同所有者是所有协作者中权限最高的角色，拥有其他协作角色所不具备的协作管理权限，可以对协作关系进行删除操作；
编辑者可以对文件进行管理操作，既可以创建文件/文件夹，也可以删除文件/文件夹；
查看者+上传者可以查看、预览、上传文件，也可以对文件进行评论；
查看者只能对文件进行查看、预览，但不能对文件进行上传；
预览者可以对文件进行预览操作，不能对文件进行上传和下载；
上传者只能对文件进行上传，不能对文件进行预览和下载。
更进一步，所述各个角色对应的权限为：
1.所有者，是文件的归属者。对文件拥有所有的操作权限，包括：编辑协作、创建协作、创建评论、上传、下载、查看、预览、删除、分享、存储、属性删除、永久删除的权限。
2.共同拥有者，是仅次于所有者的权限拥有者，所拥有的权限为：编辑协作、创建协作、创建评论、上传、下载、查看、预览、删除、分享、存储、编辑属性、永久删除等权限。
3.编辑者，该角色拥有的权限为：创建协作、创建评论、上传、下载、查看、预览、删除、分享、存储、编辑属性等操作。
4.查看者，该角色拥有的权限为：创建评论、下载、分享、查看、预览等权限。
5.预览者，该角色权限为：创建评论、预览、查看等权限。
6.查看者+上传者，该角色拥有的权限为：下载、上传、创建评论、预览、分享、查看等权限。
7.预览者+上传者，该角色拥有的权限为：创建评论、预览、上传、查看等权限、
8.上传者，该角色拥有的权限为：上传、查看等权限。
更进一步，所述用户或群组在每个文件夹上对应不同角色，在创建所述协作关系时，所述编辑者、共同所有者或者需要所有者，在企业文件上选定协作者和协作角色：
建立所述协作关系{文件，协作者，协作角色}；
将所述协作关系传输到后台服务器，对协作关系和操作者的权限进行访问控制；
根据用户在文件上的角色以及该操作所需的权限进行鉴权；
将所述协作关系记录在数据库中，所述协作关系包括如下的字段：
协作编号、协作文件编号、文件拥有者编号、协作者编号、协作角色、协作者企业编号；
当用户或者群组加入文件夹的协作时，
通过所述协作者企业编号与文件拥有者的企业编号对比，来判定是否属于同一个企业，若是，则属于同一个企业，若不是，则不属于同一个企业。
用户和角色的对应，体现在对文档的协作关系上，每个用户可以在不同的文档上有不同的角色，也可以在一个文档上具有一个或者多个协作关系。例如：一个人作为编辑者参与了一个文档的协作，但是该用户参与了两个群组A、B，群组A可以在文档上是预览者，群组B可以在文档上是查看者。协作关系是具有协作编辑权限的角色管理的，例如编辑者、共同所有者、所有者。
如图3所示是本发明一实施例中的协作关系创建流程示意图。
步骤S301从角色列表中为用户或者群组选择角色，步骤S301表示在创建一个协作关系时，编辑者需要在文档上选定协作者和协作角色。
协作关系{文档，协作者，协作角色}会被传输到服务器端，对协作关系和操作者权限进行访问控制。
步骤S302对设置的角色鉴权，对用户的操作进行鉴权，会根据用户在文档上的角色以及该操作所需的权限进行鉴权；
步骤S303将协作关系记录到数据库中，协作关系最终会被记录到数据库中持久化，协作关系在数据库中的记录主要包含如下几个字段：
协作编号、协作文档编号、文档拥有者编号、协作者编号、协作角色、协作者企业编号。
所述协作编号是自动生成的，在全局是唯一的，是协作的唯一标示符。
所述协作文档编号记录该文档在文档库中的编号，是文档的唯一编号，可以通过该编号找到文档。
所述文档拥有者编号指向文档拥有者。
所述协作者编号指向协作者自身。
所述协作角色表示协作者在该文档拥有的协作权限。
所述协作者企业编号，用来判定当前协作者和文档拥有者是否在同一个企业，用来判定协作者是否是外部协作者。
通过上述记录，完整记录了用户-角色-权限-文档的关系链，通过该关系链可以实现协作的访问控制。
作为本实施例中的优选，将所述角色设置为集合R1，R2…Rn,权限设置为集合C1,C2，…Cn，在所述集合Rn中的每个角色对应不同的权限集合Cn,所述Cn用以实现对文件或者文件夹的不同操作。
作为本实施例中的优选，所述外部协作者只要用户参与的协作文件夹的拥有者企业和参与用户的企业不同，就是一个外部协作者，外部协作者可以参与一个企业文件夹的正常协作。
作为本实施例中的优选，每个群组是有多个用户构成的，一个群组是一个协作操作的实体，可以对一个群组赋予角色，实现对文件的访问控制。一个群组也可以自由增加、删减成员，不会对群组协作的文件权限有影响。
图4是本发明一实施例中的鉴权方法流程示意图。
在本实施例中，鉴权方法包括如下的几个模块，权限预设模块401，权限验证路由中心402，协作关系计算模块403，角色权限计算模块404，权限过滤模块405，权限验证模块406，
权限预设模块401，用以预先设置一个操作接口进行执行时，用户必须具有的操作权限；
权限验证路由中心402，用以根据操作对象的类型，转发到相应的模块进行验证；
协作关系计算模块403，用以计算用户在某个企业文件上所具有的协作角色集合；
角色权限计算模块404，用以根据协作角色集合，获取所有角色具有的权限并集；
权限过滤模块405，用以过滤掉特定情况下不需要验证的权限。
权限验证模块406，用以校验预设配置权限是否在用户的操作权限集合中。
通过权限预设模块401对访问接口预设访问权限，比如：当用户删除一个文件时，会在文件操作入口处设置该操作所需要的删除权限，该删除权限将会和权限过滤模块405中的过滤权限集合作比较，从而判断该用户是否具有做删除文件的权限。
在用户操作前，通过所述权限验证路由中心402，对当前的所需要的权限进行路由，进行权限路由的方法用以区分权限类型包括但不限于，如果是协作权限，会把调用协作权限验证模块，如果是文档操作权限，会调用文档权限验证模块。由于在设置一个权限配置时，会配置权限所属类别，所以权限验证路由中心402首先根据当前操作的类别，再把验证路由到相应模块鉴权。
通过协作关系计算模块403计算当前用户在操作文档上所有的协作关系。具体地，所述协作关系会有两种，一种是用户的直接协作关系，一种是群组的协作关系。对于群组的协作关系，需要找到当前用户参与的群组，过滤出参与群组的角色。对于用户的直接协作，根据协作关系获取到参与协作的角色。
通过协作关系计算模块403操作，获取用户或者群组的角色集合，再根据角色和权限的对应关系，在角色权限计算模块404中计算出一个权限的并集，对于外部协作者或者通过分享连接进入的访问，去掉一些限定的权限，在权限过滤模块405中，就会得到一个最终权限集合。在权限验证模块406中，对于最终集合会和权限预设模块401中预先设定的访问权限进行做交集处理。如果得到的交集和权限预设模块401的权限一致，则表示用户拥有所有设定的权限，那么用户就通过了访问限制，可以对文件进行相应的操作。
基于上述的模块，在本实施例中的鉴权方法包括：根据访问接口配置限定，获取当前操作所需操作权限；根据当前操作对象的类型，通过路由分发然后进行进行权限验证；按照当前操作对象，获取该对象的所有父节点，获取当前用户在当前对象以及所有祖先节点上参与的所有协作或者群组协作的协作关系集合；获取所有协作关系集合的角色集合，计算出每个角色的权限，最终获取角色具有权限的并集，得到当前角色对该对象拥有的权限集合；若所述访问接口配置的所需操作权限在用户对该对象拥有的操作权限集合内，则通过鉴权；若否，则未通过鉴权。所述的当前操作对象包括但不限于：企业文件、文件夹。所述协作关系集合是指用户在文件上真实拥有的协作关系对应的角色。
所属领域的普通技术人员应当理解：以上，所述仅为本发明的具体实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。
Claims (9)
1.基于RBAC的企业文件协作与访问控制方法，其特征在于包括，
将主体设置为用户和群组，所述用户包括企业内用户和外部协作者，所述群组中至少包括一个企业用户；
所述企业内用户、外部协作者以及群组经过配置后得到协作关系，参与所述企业文件的协作；
根据所述协作关系进行角色配置；
通过所述用户或者群组在所述企业文件上的所述角色的权限，判定是否拥有相应的访问、协作权限；
在进行协作时，根据所述角色的权限对所述企业内用户、外部协作者以及群组中对应的角色权限进行校验；
若校验成功，则允许主体对企业文件进行访问；
还包括根据用户在文件上的角色以及该操作所需的权限进行述如下方式的鉴权：
根据访问接口配置限定，获取当前操作所需操作权限；
根据当前操作对象的类型，通过路由分发然后进行进行权限验证；
按照当前操作对象，获取该对象的所有父节点，获取当前用户在当前对象以及所有祖先节点上参与的所有协作或者群组协作的协作关系集合；
获取所有协作关系集合的角色集合，计算出每个角色的权限，最终获取角色具有权限的并集，得到当前角色对该对象拥有的权限集合；
若所述访问接口配置的所需操作权限在用户对该对象拥有的操作权限集合内，则通过鉴权；若否，则未通过鉴权。
2.如权利要求1所述的企业文件协作与访问控制方法，其特征在于，所述群组是一用户组织实体，与所述企业内用户具有相同的文件操作权限；
所述外部协作者包括一个人用户或者外部企业用户，与企业内用户具有相同的文件操作权限。
3.如权利要求1所述的企业文件协作与访问控制方法，其特征在于，对于同一个企业文件设置有至少一个权限，对同一个企业文件可以具有一个或者多个协作关系，包括用户或者群组。
4.如权利要求1所述的企业文件协作与访问控制方法，其特征在于，根据所述协作关系进行角色配置的方法为：
所述群组或者用户在不同的文件上具有不同的角色，或者在同一个文件上具有一个或者多个协作关系；
所述群组或者用户对应设置至少一个角色，所述角色中设置有不同的操作权限，包括的操作者为：所有者、共同所有者、编辑者、查看者+上传者、查看者、预览者、上传者；
所述群组或者用户的协作关系通过具有协作编辑权限的角色：所述编辑者、共同所有者以及所有者进行设置。
5.如权利要求4所述的企业文件协作与访问控制方法，其特征在于，所述用户或群组在每个文件夹上对应不同角色，在创建所述协作关系时，所述编辑者、共同所有者或者需要所有者，在企业文件上选定协作者和协作角色：
建立所述协作关系{文件，协作者，协作角色}；
将所述协作关系传输到后台服务器，对协作关系和操作者的权限进行访问控制；
根据用户在文件上的角色以及该操作所需的权限进行鉴权；
将所述协作关系记录在数据库中，所述协作关系包括如下的字段：
协作编号、协作文件编号、文件拥有者编号、协作者编号、协作角色、协作者企业编号；
当用户或者群组加入文件夹的协作时，
通过所述协作者企业编号与文件拥有者的企业编号对比，来判定是否属于同一个企业，若是，则属于同一个企业，若不是，则不属于同一个企业。
6.如权利要求1所述的企业文件协作与访问控制方法，其特征在于，所述用户或群组，对企业文件进行协作时，
生成一条协作记录，所述记录包括：文件编号、协作者编号、文件拥有者编号、协作者企业编号，
通过对比所述协作者企业编号和文件拥有者的企业编号，判断当前用户是否为外部协作者，进行权限范围限定。
7.如权利要求1所述的企业文件协作与访问控制方法，其特征在于，将所述角色设置为集合R1，R2…Rn,权限设置为集合C1,C2，…Cn，在所述集合Rn中的每个角色对应不同的权限集合Cn,所述Cn用以实现对文件或者文件夹的不同操作。
8.一种基于RBAC的企业文件协作与访问控制系统，其特征在于包括：
生成模块，用以将主体设置为用户和群组，所述用户包括企业内用户和外部协作者，所述群组中至少包括一个企业用户；
配置模块，用以对所述企业内用户、外部协作者以及群组经过配置后得到协作关系，参与所述企业文件的协作；所述企业内用户、外部协作者为个人协作；
协作关系模块，用以记录和管理用户、群组以及企业文件的协作关系，以及进行邀请协作、删除协作、变更协作角色或者权限操作；
权限模块，用以计算所述主体在所述企业文件以及所述企业文件的所有祖先节点上继承而来的个人协作和群组协作的权限，得到所述主体对所述企业文件的所有操作权限；
校验模块，用以在进行协作时，根据所述角色的权限对所述企业内用户、外部协作者以及群组中对应的角色权限进行校验；若校验成功，则允许主体对企业文件进行协作和访问；
还包括根据用户在文件上的角色以及该操作所需的权限进行述如下方式的鉴权：
根据访问接口配置限定，获取当前操作所需操作权限；
根据当前操作对象的类型，通过路由分发然后进行进行权限验证；
按照当前操作对象，获取该对象的所有父节点，获取当前用户在当前对象以及所有祖先节点上参与的所有协作或者群组协作的协作关系集合；
获取所有协作关系集合的角色集合，计算出每个角色的权限，最终获取角色具有权限的并集，得到当前角色对该对象拥有的权限集合；
若所述访问接口配置的所需操作权限在用户对该对象拥有的操作权限集合内，则通过鉴权；若否，则未通过鉴权。
9.如权利要求8所述企业文件协作与访问控制系统，其特征在于，所述配置模块，用以建立角色集合，根据用户的角色集合，在所述校验模块计算出每个角色所具有的权限项，对所有角色对应权限项的并集后，与当前访问限定的访问权限进行比较，用以判断用户是否拥有该文件的访问权限，所述配置模块用以前置配置，所述校验模块用以后置验证。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201610068746.5A CN105760774B (zh) | 2016-01-29 | 2016-01-29 | 基于rbac的企业文件协作与访问控制方法及系统 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201610068746.5A CN105760774B (zh) | 2016-01-29 | 2016-01-29 | 基于rbac的企业文件协作与访问控制方法及系统 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN105760774A CN105760774A (zh) | 2016-07-13 |
| CN105760774B true CN105760774B (zh) | 2018-11-06 |
Family
ID=56342898
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201610068746.5A Active CN105760774B (zh) | 2016-01-29 | 2016-01-29 | 基于rbac的企业文件协作与访问控制方法及系统 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN105760774B (zh) |
Families Citing this family (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN107958009A (zh) * | 2016-10-18 | 2018-04-24 | 百度在线网络技术（北京）有限公司 | 企业信息获取方法、装置以及设备 |
| CN106533693B (zh) * | 2016-11-03 | 2021-01-19 | 中车青岛四方机车车辆股份有限公司 | 轨道车辆监控检修系统的接入方法和装置 |
| CN110798430A (zh) * | 2018-08-02 | 2020-02-14 | 北京京东尚科信息技术有限公司 | 账号服务管理方法、装置、电子设备及计算机可读介质 |
| CN111079131A (zh) * | 2019-12-20 | 2020-04-28 | 金卡智能集团股份有限公司 | 一种跨公司业务的权限授权与控制方法及系统 |
| CN111581156B (zh) * | 2020-04-27 | 2024-03-29 | 上海鸿翼软件技术股份有限公司 | 一种文件权限控制方法、装置、设备及介质 |
| CN114840877B (zh) * | 2022-04-26 | 2024-03-19 | 深圳市未来鼠信息技术有限公司 | 权限快速赋予的方法、装置、设备及存储介质 |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN102043930A (zh) * | 2009-10-23 | 2011-05-04 | 无锡华润上华半导体有限公司 | 数据权限控制方法及系统 |
| CN102567675A (zh) * | 2012-02-15 | 2012-07-11 | 合一网络技术(北京)有限公司 | 一种业务系统下的用户权限管理方法和系统 |
| CN102622675A (zh) * | 2012-03-14 | 2012-08-01 | 浙江大学 | 一种实现集群式供应链环境下企业互操作的方法及系统 |
| US8881240B1 (en) * | 2010-12-06 | 2014-11-04 | Adobe Systems Incorporated | Method and apparatus for automatically administrating access rights for confidential information |
Family Cites Families (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7397922B2 (en) * | 2003-06-27 | 2008-07-08 | Microsoft Corporation | Group security |
-
2016
- 2016-01-29 CN CN201610068746.5A patent/CN105760774B/zh active Active
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN102043930A (zh) * | 2009-10-23 | 2011-05-04 | 无锡华润上华半导体有限公司 | 数据权限控制方法及系统 |
| US8881240B1 (en) * | 2010-12-06 | 2014-11-04 | Adobe Systems Incorporated | Method and apparatus for automatically administrating access rights for confidential information |
| CN102567675A (zh) * | 2012-02-15 | 2012-07-11 | 合一网络技术(北京)有限公司 | 一种业务系统下的用户权限管理方法和系统 |
| CN102622675A (zh) * | 2012-03-14 | 2012-08-01 | 浙江大学 | 一种实现集群式供应链环境下企业互操作的方法及系统 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN105760774A (zh) | 2016-07-13 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN105760774B (zh) | 基于rbac的企业文件协作与访问控制方法及系统 | |
| KR102139645B1 (ko) | 블록체인 기반의 신원증명 시스템 및 그 구동방법 | |
| US10785167B2 (en) | Method for controlling access to a shared resource | |
| Di Francesco Maesa et al. | Blockchain based access control | |
| CN104040551B (zh) | 用于控制对通过网络分发的内容的访问的系统和方法 | |
| Chakravorty et al. | Ushare: user controlled social media based on blockchain | |
| US8763140B2 (en) | Secure workflow and data management facility | |
| Ellervee et al. | A Comprehensive Reference Model for Blockchain-based Distributed Ledger Technology. | |
| CN110069475B (zh) | 一种基于区块链多方自我维持的制造业跨数据实体溯源方法 | |
| Lazarovich | Invisible Ink: blockchain for data privacy | |
| US8365298B2 (en) | Comprehensive security architecture for dynamic, web service based virtual organizations | |
| CN106649235A (zh) | 一种协同文档处理方法 | |
| CN103095848B (zh) | 面向企业客户端的云文件夹部署与信息交互的方法 | |
| US11176080B2 (en) | Board portal subsidiary management system, method, and computer program product | |
| KR20130005899A (ko) | 4차원 가상현실 시스템 | |
| WO2017163069A1 (en) | A method and system for controlling data transmission | |
| CN106126977A (zh) | 一种高效的电子文档权限继承及传播方法 | |
| CN112288213A (zh) | 一种基于区块链的高可信需求响应系统和方法 | |
| CN101344905A (zh) | 电子会议服务器装置和电子会议系统 | |
| CN112241553A (zh) | 一种基于多账本架构的区块链隐私保护方法及系统 | |
| Chen et al. | A blockchain based autonomous decentralized online social network | |
| Gu et al. | Autonomous resource request transaction framework based on blockchain in social network | |
| CN112287403A (zh) | 基于区块链的电子卷宗管理方法、装置、电子设备及介质 | |
| CN101527637A (zh) | 一种虚拟专有组织平台系统及方法 | |
| CN116599641A (zh) | 一种基于区块链的社交方法、系统、设备及存储介质 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant | ||
| TR01 | Transfer of patent right |
Effective date of registration: 20200220 Address after: Room 1601-7, building 3, Haichuang technology center, Cangqian street, Yuhang District, Hangzhou City, Zhejiang Province Patentee after: Hangzhou Qiyi cloud computing Co., Ltd Address before: Hangzhou City, Zhejiang province 310007 Xihu District Tianmushan Road No. 294 building 18 floor, Hangzhou Iron and steel metallurgy technology Patentee before: HANGZHOU YIFANGYUN NETWORK SCIENCE & TECHNOLOGY CO., LTD. |
|
| TR01 | Transfer of patent right |