CN106355053A - 用于数据访问的基于单元格的安全表示 - Google Patents

Abstract

描述了一种用于在每一个用户的基础上的基于单元格的安全性的体系结构。用于该能力的安全模型不仅包括维度级表，而且被扩展成包括单元格级表。该安全模型可包括现有维度表加上单元格安全表，该单元格安全表包括单元格许可表、单元格限定符表以及包括单元格许可表、单元格限定符两者的表。与对给定用户应用于单元格的安全性相关联的元数据可被本地地存储在本地元数据存储中，以便针对通过认证和授权的用户正在查询的数据立方体进行检索和应用。在一特定实现中，在性能管理服务器应用程序中采用单元格级安全性，其中认证由认证服务远程执行，但授权功能对于性能管理服务器应用程序本地执行。

Description

用于数据访问的基于单元格的安全表示

背景

网络、数据和客户机的无处不在的性质不仅使得数据访问对于企业环境更高效，而且施加更强大的控制和管理要求以防止对网络和数据的非预期访问。给予任一用户对企业数据的不受束缚的访问不再是一般惯例。数据库现在已经变成与人力资源、财务、产品开发、项目计划等相关的所有种类的信息的巨大混合物。然而，雇员仍然需要访问特定数据集以提供所请求的信息。

为了更为有效，常规解决方案提供安全等级分层结构以限制对系统和数据的访问。数据库系统提供基于例如用户许可来限制对表的访问的表安全性。然而，这些表可包括大量行和列，应给予用户对某些信息的访问权且不应允许访问某些信息。用于限制对表的访问的其他技术包括使用安全标签以及通过对表本身进行安全登录。这些和其他常规技术中的每一种都不提供允许管理员选择性地限制对数据的访问但切出一数据集以供用户访问和查看的解决方案。

概述

下面提供了简明的概述，以便提供对此处所描述的一些新颖实施例的基本理解。本概述不是详尽的概述，并且它不旨在标识关键/重要元素或描绘本发明的范围。其唯一的目的是以简化形式呈现一些概念，作为稍后呈现的更详细描述的序言。

所公开的体系结构方便在每一个用户的基础上的基于单元格的安全性。用于该能力的安全模型不仅包括维度级表，而且被扩展成包括单元格级表。一替换实现可采用与数据库应用程序中的事实表类似的单元格级安全表。

在一特定实现中，可以在性能管理服务器应用程序中采用单元格级安全性。认证可由诸如提供与性能管理服务器应用程序兼容的能力和功能的服务器应用程序等另一应用程序的认证服务来远程执行。然而，授权功能可对于性能管理服务器应用程序本地执行。

该安全模型可包括现有维度表加上单元格安全表，该单元格安全表包括单元格许可表、单元格限定符表以及包括单元格许可表、单元格限定符两者的表。与对给定用户应用于单元格的安全性相关联的元数据可被本地地存储在服务器应用程序元数据存储中，以便针对通过认证和授权的用户正在查询的数据立方体进行检索和应用。然后向用户呈现经过滤的结果。

为了为实现上述及相关目的，本文结合下面的描述和附图来描述某些说明性方面。这些方面指示了可以实施本文所公开的原理的各种方式，所有方面及其等效方面旨在落入所要求保护的主题的范围内。结合附图阅读下面的详细描述，其他优点和新颖特征将变得显而易见。

附图简述

图1示出了计算机实现的数据安全系统。

图2示出了其中性能管理服务器应用程序包括图1的系统的系统。

图3示出了数据表中的维度和单元格安全性。

图4示出了可用于提供单元格级安全性的示例性安全表集。

图5示出了用于性能管理服务器应用程序的认证和授权方案。

图6示出了保护数据的计算机实现的方法。

图7示出了对基于单元格的安全性进行认证和授权的方法。

图8示出了通过扩展安全模型来提供基于单元格的安全性的方法。

图9示出了根据所公开的体系结构的可用于执行基于单元格的安全性的计算系统的框图。

图10示出了方便性能管理服务器应用程序中的基于单元格的安全性的示例性计算环境的示意性框图。

详细描述

所公开的体系结构方便在每一个用户的基础上的基于单元格的安全性。用于该能力的安全模型不仅包括维度级表，而且被扩展成包括单元格级表。该安全模型可包括现有维度表加上单元格安全表，该单元格安全表包括单元格许可表、单元格限定符表以及包括单元格许可表、单元格限定符两者的表。与对给定用户应用于单元格的安全性相关联的元数据可被本地地存储在本地元数据存储中，以便针对通过认证和授权的用户正在查询的数据立方体进行检索和应用。在一特定实现中，在性能管理服务器应用程序中采用单元格级安全性，其中认证由认证服务远程执行，但授权功能对于性能管理服务器应用程序本地执行。

现在将参考附图，全部附图中相同的附图标记用于表示相同的元件。在下面的描述中，为了进行说明，阐述了很多具体细节以便提供对本发明的全面理解。然而，显而易见，可以没有这些具体细节的情况下实施各新颖实施例。在其他情况下，以框图形式示出了公知的结构和设备以便于描述它们。本发明将涵盖落入所要求保护的主题的精神和范围内的所有修改、等效方案和替换方案。

图1示出了计算机实现的数据安全系统100。系统100包括用于为数据立方体106的单元格定义安全属性的定义组件102。提供用于将属性104存储为安全元数据110以基于用户查询来应用于数据立方体106的存储组件108。系统100还可包括安全组件112，该安全组件112用于基于用户查询来对数据立方体106应用安全元数据110以生成受保护的数据立方体114。

安全属性104可以在每一个用户的基础上定义，并且可包括对单元格的读访问、有条件读、读/写访问或无访问的许可。系统100还可包括用户可用来根据维度和度量来为用户定义安全属性104的用户界面。

定义组件102还便于定义维度属性，并将这些维度属性存储为安全元数据110的一部分。定义组件102和存储组件108可以是用于在每一个用户的基础上保护数据立方体单元格的性能管理应用程序的一部分。

如将在下文中描述的，安全元数据110可被存储为安全表集，其中这些安全表包括单元格许可表、单元格限定符表以及单元格许可和单元格限定符两者的表。

图2示出了其中性能管理服务器应用程序202包括图1的系统100的系统200。应用程序202可以是可由客户机204经由浏览器或类似浏览器的客户机应用程序来访问的web应用程序。在操作中，用户可访问服务器应用程序202，访问定义组件102以将安全属性104分配给例如数据库中的数据单元格。这些分配然后经由存储组件108被存储为安全元数据110。当接收到来自对其施加安全属性104的用户的查询时，检索安全元数据并将其应用于数据立方体以便为该特定用户创建受保护的数据立方体。查询结果然后以基于安全属性104的经过滤的状态被返回给用户。注意，用户可以是设法访问数据立方体106的另一软件实体(例如，系统或方法)。由此，安全属性104也可基于特定系统或其他软件模块来分配。

换言之，性能管理服务器应用程序202的数据安全系统包括定义组件、存储组件以及安全组件，该定义组件用于为数据立方体的维度和度量定义安全属性，该存储组件用于将属性作为安全元数据存储在性能管理应用程序中，而安全组件用于基于用户来对数据立方体的维度和度量应用安全元数据以生成受保护的数据立方体。

安全元数据被存储为表集，其中这些表包括单元格许可表、单元格限定符表、以及单元格许可和单元格限定符两者的表。安全属性包括在每一个用户的基础上在受保护的数据立方体中应用的对单元格的读访问、有条件读、读/写访问或无访问，并且被存储为单元格级安全表。应用程序202还可包括用来针对特定用户将安全属性分配给维度和度量的用户界面。

由于度量是已知的，因此该用户界面可用于在度量上定义单元格安全性(例如，读、有条件读、以及读/写、无访问)并在维度上定义限定符。限定符与维度安全性类似。受保护的数据立方体的单元格的安全属性可以在用户与该单元格交互时经由用户界面来展示。

图3示出了数据表中的维度和单元格安全性300。表302示出了地理维度数据以及销售和成本度量数据的简单表的所有行和列。在没有安全性的情况下，用户将看见表302中的数据，即地理国家美国、加拿大和墨西哥的维度，以及销售和成本度量。表304表示在应用维度安全性时展示的数据。此处，用户被阻止接收和查看墨西哥地理维度的数据，这也阻塞对销售和成本的访问(整行将不被允许查看，如整行的虚线边框所指示的)。表306表示对墨西哥维度使用单元格安全性。用户被允许看见墨西哥是查询结果的一部分，但该用户不被允许看见销售和成本值。由此，基于单元格的安全性允许更具信息性的信息，但对可基于用户期望看见数据而展示的数据具有更细粒度的控制。

图4示出了可用于提供单元格级安全性的示例性安全表400的集合。安全表400包括维度表402和单元格表404。维度表402可包括用户表406、角色表408、数据许可表410、模型许可表412、用户属性表414、用户角色表416、以及其他所需维度表。单元格表404可包括单元格许可表418、单元格限定符表420、包括单元格限定符和单元格许可两者的组合表422、以及其他所需单元格表。单元格限定符表420可以是单元格许可表418的子集。单元格许可表418可包括诸如单元格许可ID、模型许可ID、度量、许可等列。在部署(或保存)时，使用来自单元格表404的安全信息来在数据立方体上创建对应的单元格安全性。

图5示出了用于性能管理服务器应用程序202的认证和授权方案。如图所示，认证可由远程认证服务502执行，诸如可以在与服务器应用程序202与安装在一起的伴随服务器应用程序中采用。另一方面，授权可由服务器应用程序202的本地授权服务来本地地执行。注意，授权是将特定许可授予实体或用户，而认证是相对于另一实体确立身份。例如，身份可以是客户机、用户、计算机等。

使用存储在性能管理服务器应用程序202中的维度和单元格安全性来进行授权。为了充分利用远程认证服务，性能管理服务器应用程序202可被打包为远程服务的共享服务，由此展示web服务。在远程认证服务认证用户之后，可使用远程服务对象模型来从该远程服务中检索用户相关信息。由此，本地用户表被减到最少以维护远程用户表和本地表用户ID之间的映射。

以下是表示用于执行所公开的体系结构的各新颖方面的示例性方法的一系列流程图。尽管出于解释简明的目的，此处例如以流图或流程图形式示出的一个或多个方法被示出并描述为一系列动作，但是可以理解和明白，各方法不受动作的次序的限制，因为根据本发明，某些动作可以按与此处所示并描述的不同的次序和/或与其他动作同时发生。例如，本领域技术人员将会明白并理解，方法可被替换地表示为一系列相互关联的状态或事件，诸如以状态图的形式。此外，并非在一方法中示出的所有动作都是新颖实现所必需的。

图6示出了保护数据的计算机实现的方法。在600，针对特定用户将安全属性分配给数据立方体的单元格。安全属性可以是由诸如管理员或另一用户等另一用户先前定义的属性。在602，然后将安全属性存储为元数据。元数据可以与其他元数据本地地存储在一起。在604，接收并针对数据立方体处理用户查询。在606，对查询结果应用安全元数据以返回经过滤的结果。在608，向用户展示(呈现)经过滤的结果。

在性能管理服务器应用程序中的特定实现中，安全属性可以在性能管理服务器元数据存储中定义和存储。这可经由例如web服务接口来促进。

如上所述，安全属性包括与用户、角色、数据许可、模型许可、用户属性和用户角色相关的维度安全属性，并且安全属性包括与单元格许可、单元格限定符以及单元格许可和单元格限定符的组合相关的单元格安全属性。

图7示出了对基于单元格的安全性进行认证和授权的方法。在700，在每一个用户的基础上将安全属性分配给数据立方体单元格。在702，用户创建并发送查询。在704，基于远程认证服务或模块来认证用户。在706，基于本地授权服务或模块来对用户授权。在708，基于成功的用户认证和授权来检索并应用安全元数据。

图8示出了通过扩展安全模型来提供基于单元格的安全性的方法。在800，通过添加单元格许可表来扩展安全模型。在802，通过添加单元格限定符表来扩展安全模型。在804，通过添加组合的单元格许可和单元格限定符表来扩展安全模型。这还可包括将用户的用户标识符存储在表中以便将表链接到用户。

如在本申请中所使用的，术语“组件”和“系统”旨在表示计算机相关的实体，其可以是硬件、硬件和软件的组合、软件、或者执行中的软件。例如，组件可以是但不限于，在处理器上运行的进程、处理器、硬盘驱动器、多个(光和/或磁存储介质的)存储驱动器、对象、可执行代码、执行的线程、程序、和/或计算机。作为说明，运行在服务器上的应用程序和服务器都可以是组件。一个或多个组件可以驻留在进程和/或执行的线程内，且组件可以位于一台计算机上和/或分布在两台或更多的计算机之间。词语“示例性”此处可用于表示用作示例、实例或说明。在此被描述为“示例性”的任何方面或设计并不一定要被解释为相比其他方面或设计更优选或有利。

现在参考图9，示出了可用于执行根据所公开的体系结构的基于单元格的安全性的计算系统900的框图。为了提供用于其各方面的附加上下文，图9及以下讨论旨在提供对其中可实现该各方面的合适的计算系统900的简要概括描述。尽管以上描述是在可在一个或多个计算机上运行的计算机可执行指令的一般上下文中进行的，但是本领域的技术人员将认识到，新颖实施例也可结合其他程序模块和/或作为硬件和软件的组合来实现。

一般而言，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、组件、数据结构等等。此外，本领域的技术人员可以理解，本发明的方法可用其他计算机系统配置来实施，包括单处理器或多处理器计算机系统、小型计算机、大型计算机、以及个人计算机、手持式计算设备、基于微处理器的或可编程消费电子产品等，其每一个都可操作上耦合到一个或多个相关联的设备。

所示各方面也可以在其中某些任务由通过通信网络链接的远程处理设备来执行的分布式计算环境中实施。在分布式计算环境中，程序模块可以位于本地和远程存储器存储设备中。

计算机通常包括各种计算机可读介质。计算机可读介质可以是可由计算机访问的任何可用介质，且包括易失性和非易失性介质、可移动和不可移动介质。作为示例而非限制，计算机可读介质可以包括计算机存储介质和通信介质。计算机存储介质包括以存储如计算机可读指令、数据结构、程序模块或其他数据等信息的任何方法或技术来实现的易失性和非易失性、可移动和不可移动介质。计算机存储介质包括但不限于RAM、ROM、EEPROM、闪存或者其他存储器技术、CD-ROM、数字视频盘(DVD)或其他光盘存储、磁带盒、磁带、磁盘存储或其他磁存储设备、或可以用于存储所需信息并且可以由计算机访问的任何其他介质。

再次参考图9，用于实现各方面的示例性计算系统900包括具有处理单元904、系统存储器906和系统总线908的计算机902。系统总线908向包括但不限于系统存储器906的各系统组件提供到处理单元904的接口。处理单元904可以是市场上可购买到的各种处理器中的任意一种。双微处理器和其他多处理器体系结构也可用作处理单元904。

系统总线908可以是若干种总线结构中的任一种，这些总线结构还可互连到存储器总线(带有或没有存储器控制器)、外围总线、以及使用各类市场上可购买到的总线体系结构中的任一种的局部总线。系统存储器906可包括非易失性存储器(NON-VOL)910和/或易失性存储器912(例如，随机存取存储器(RAM))。基本输入/输出系统(BIOS)可被存储在非易失性存储器910(例如，ROM、EPROM、EEPROM等)中，其中BIOS是帮助诸如在启动期间在计算机902内的元件之间传输信息的基本例程。易失性存储器912还可包括诸如静态RAM等高速RAM来用于高速缓存数据。

计算机902还包括内置硬盘驱动器(HDD)914(例如，EIDE、SATA)，该内置HDD 914还可被配置成在合适的机壳中外部使用；磁软盘驱动器(FDD)916(例如，从可移动磁盘918中读取或向其写入)；以及光盘驱动器920(例如，从CD-ROM盘922中读取，或从诸如DVD等其他高容量光学介质中读取或向其写入)。HDD 914、FDD 916、以及光盘驱动器920可分别由HDD接口924、FDD接口926和光盘驱动器接口928连接到系统总线908。用于外置驱动器实现的HDD接口924可包括通用串行总线(USB)和IEEE 1394接口技术中的至少一种或两者。

驱动器及相关联的计算机可读介质提供了对数据、数据结构、计算机可执行指令等的非易失性存储。对于计算机902，驱动器和介质容纳适当的数字格式的任何数据的存储。尽管以上对计算机可读介质的描述涉及HDD、可移动磁盘(例如FDD)以及诸如CD或DVD等可移动光学介质，但是本领域的技术人员应当理解，示例性操作环境中也可使用可由计算机读取的任何其他类型的介质，诸如zip驱动器、磁带盒、闪存卡、盒式磁带等等，并且任何这样的介质可包含用于执行所公开的体系结构的新颖方法的计算机可执行指令。

多个程序模块可被存储在驱动器和易失性存储器912中，包括操作系统930、一个或多个应用程序932、其他程序模块934和程序数据936。在将计算机902用作服务器时，一个或多个应用程序932、其他程序模块934和程序数据936可包括定义组件102、安全属性、数据立方体106、存储组件108、安全元数据110、安全组件112、受保护的数据立方体114、性能管理服务器应用程序202、表300、安全表400、本地授权服务504以及例如图7、8和9中的方法。

操作系统、应用程序、模块和/或数据的全部或部分也可被高速缓存在易失性存储器912中。应该明白，所公开的体系结构可以用市场上可购得的各种操作系统或操作系统的组合来实现。

用户可以通过一个或多个有线/无线输入设备，例如键盘938和诸如鼠标940等定点设备将命令和信息输入到计算机902中。其他输入设备(未示出)可包括话筒、IR遥控器、操纵杆、游戏手柄、指示笔、触摸屏等等。这些和其他输入设备通常通过耦合到系统总线908的输入设备接口942连接到处理单元904，但也可通过诸如并行端口、IEEE 1394串行端口、游戏端口、USB端口、IR接口等其他接口连接。

监视器944或其他类型的显示设备也经由诸如视频适配器946等接口连接到系统总线908。除了监视器944之外，计算机通常包括诸如扬声器、打印机等其他外围输出设备(未示出)。

计算机902可使用经由有线和/或无线通信至诸如远程计算机948等的一个或多个远程计算机的逻辑连接在网络化环境中操作。远程计算机948可以是工作站、服务器计算机、路由器、个人计算机、便携式计算机、基于微处理器的娱乐设备、对等设备或其他常见的网络节点，并且通常包括相对于计算机902描述的许多或所有元件，尽管为简明起见仅示出了存储器/存储设备950。所描绘的逻辑连接包括到局域网(LAN)952和/或例如广域网(WAN)954等更大的网络的有线/无线连接。这一LAN和WAN连网环境常见于办公室和公司，并且方便了诸如内联网等企业范围计算机网络，所有这些都可连接到例如因特网等全球通信网络。

当在LAN连网环境中使用时，计算机902通过有线和/或无线通信网络接口或适配器956连接到LAN 952。适配器956可以方便到LAN 952的有线和/或无线通信，并且还可包括其上设置的用于使用适配器956的无线功能进行通信的无线接入点。

当在WAN连网环境中使用时，计算机902可包括调制解调器958，或连接到WAN 954上的通信服务器，或具有用于诸如通过因特网等通过WAN 954建立通信的其他装置。或为内置或为外置以及有线和/或无线设备的调制解调器958经由输入设备接口942连接到系统总线908。在联网环境中，相对于计算机902所描绘的程序模块或其部分可以存储在远程存储器/存储设备950中。应该理解，所示网络连接是示例性的，并且可以使用在计算机之间建立通信链接的其他手段。

计算机902可操作来使用IEEE 802标准家族来与有线和无线设备或实体进行通信，这些实体例如是在操作上安置成与例如打印机、扫描仪、台式和/或便携式计算机、个人数字助理(PDA)、通信卫星、任何一件与无线可检测标签相关联的设备或位置(例如，电话亭、报亭、休息室)以及电话进行无线通信(例如，IEEE 802.11空中调制技术)的无线设备。这至少包括Wi-Fi(即无线保真)、WiMax和蓝牙^TM无线技术。由此，通信可以如对于常规网络那样是预定义结构，或者仅仅是至少两个设备之间的自组织(ad hoc)通信。Wi-Fi网络使用称为IEEE 802.11x(a、b、g等等)的无线电技术来提供安全、可靠、快速的无线连接。Wi-Fi网络可用于将计算机彼此连接、连接到因特网以及连接到有线网络(使用IEEE 802.3相关介质和功能)。

现在参考图10，示出了方便性能管理服务器应用程序中的基于单元格的安全性的示例性计算环境1000的示意性框图。环境1000包括一个或多个客户机1002。客户机1002可以是硬件和/或软件(例如，线程、进程、计算设备)。例如，客户机1002可容纳cookie和/或相关联的上下文信息。

环境1000还包括一个或多个服务器1004。服务器1004也可以是硬件和/或软件(例如，线程、进程、计算设备)。服务器1004可以例如通过使用本体系结构来容纳线程以执行变换。在客户机1002和服务器1004之间的一种可能的通信能够以适合在两个或更多计算机进程之间传输的数据分组的形式进行。数据分组可包括例如cookie和/或相关联的上下文信息。环境1000包括可以用来使客户机1002和服务器1004之间通信更容易的通信框架1006(例如，诸如因特网等全球通信网络)。

通信可经由有线(包括光纤)和/或无线技术来促进。客户机1002操作上被连接到可以用来存储对客户机1002本地的信息(例如，cookie和/或相关联的上下文信息)的一个或多个客户机数据存储1008。同样地，服务器1004可在操作上连接到可以用来存储对服务器1004本地的信息的一个或多个服务器数据存储1010。

客户机1002可包括客户机204，而服务器1004可包括例如性能管理服务器应用程序202和远程认证服务502，而存储组件108可包括服务器数据存储1010。

上面描述的包括所公开的体系结构的各示例。当然，描述每一个可以想到的组件和/或方法的组合是不可能的，但本领域内的普通技术人员应该认识到，许多其他组合和排列都是可能的。因此，该新颖体系结构旨在涵盖所有这些落入所附权利要求书的精神和范围内的更改、修改和变化。此外，就在说明书或权利要求书中使用术语“包括”而言，这一术语旨在以与术语“包含”在被用作权利要求书中的过渡词时所解释的相似的方式为包含性的。

Claims (20)

1.一种计算机实现的数据安全系统，包括：

存储器，其存储计算机可执行组件，所述计算机可执行组件包括：

定义组件，用于针对具有行和列的数据表的单元格定义单元格级安全属性，其中，针对在具有一个或多个其它单元格的一行中的并且在具有一个或多个其它单元格的一列中的单元格的单元格级安全属性能够被定义，以用于阻塞访问该单元格的数据但是允许访问所述行中的其它单元格的数据和所述列中的其它单元格的数据；

存储组件，用于将所述单元格级安全属性存储为安全元数据；和

安全组件，用于将所述安全元数据应用到来自用户的查询的结果，

以根据所述用户来返回经过滤的结果；以及

处理器，用于执行存储器中存储的所述计算机可执行组件。

2.如权利要求1所述的系统，其中，所述安全组件基于所述用户查询来对数据立方体的维度和度量应用所述安全元数据。

3.如权利要求1所述的系统，其中，所述单元格级安全属性是在每一个用户的基础上定义的。

4.如权利要求1所述的系统，其中，所述单元格级安全属性包括对所述单元格的读访问、有条件读、读/写访问、或无访问。

5.如权利要求1所述的系统，还包括：用户界面，用户能够经由所述用户界面来与数据立方体的单元格进行交互，以针对所述数据立方体的所述单元格定义所述单元格级安全属性。

6.如权利要求1所述的系统，其中，所述定义组件针对安全模型定义所述单元格级安全属性，所述安全模型包括数据立方体的现有维度属性，并且，所述存储组件将所述单元格级安全属性和所述数据立方体的所述现有维度属性存储为所述数据立方体的安全元数据。

7.如权利要求1所述的系统，其中，所述安全元数据被存储为安全表集，所述安全表包括维度表和单元格表，并且，所述单元格表包括单元格许可表、单元格限定符表、以及单元格许可和单元格限定符两者的表。

8.如权利要求1所述的系统，其中，所述计算机可执行组件是用于在每一个用户的基础上保护数据立方体的单元格的性能管理应用程序的一部分。

9.一种存储计算机可执行指令的计算机可读存储介质，当所述计算机可执行指令被执行时使得计算设备执行用于保护数据的计算机实现的方法，所述方法包括：

针对具有行和列的数据表的单元格定义单元格级安全属性，其中，针对在具有一个或多个其它单元格的一行中的并且在具有一个或多个其它单元格的一列中的单元格的单元格级安全属性能够被定义，以用于阻塞访问该单元格的数据但是允许访问所述行中的其它单元格的数据和所述列中的其它单元格的数据；

将所述单元格级安全属性存储为安全元数据；以及

将所述安全元数据应用到来自用户的查询的结果，以根据所述用户来返回经过滤的结果。

10.如权利要求9所述的计算机可读存储介质，其中，所述安全元数据被存储为单元格表集，并且，所述单元格表包括单元格许可表、单元格限定符表、以及单元格许可和单元格限定符两者的表。

11.如权利要求9所述的计算机可读存储介质，其中，所述单元格级安全属性包括对所述单元格的读访问、有条件读、读/写访问、或无访问，并且，所述安全元数据是在每一个用户的基础上应用的，以返回经过滤的结果作为针对该用户的受保护的数据立方体。

12.如权利要求9所述的计算机可读存储介质，还存储用于呈现用户界面的计算机可执行指令，其中，经由所述用户界面能够将针对特定用户的单元格级安全属性分配到数据立方体的维度和度量，以返回针对所述特定用户的受保护的数据立方体。

13.如权利要求9所述的计算机可读存储介质，其中，所述经过滤的结果被返回作为受保护的数据立方体。

14.如权利要求13所述的计算机可读存储介质，其中，所述受保护的数据立方体的单元格的单元格级安全属性在所述用户与所述受保护的数据立方体的所述单元格交互时展示。

15.一种保护数据的计算机实现的方法，包括：

由计算设备呈现用户界面，所述用户界面用于将单元格级安全属性分配到具有行和列的数据表的单元格，其中，针对在具有一个或多个其它单元格的一行中的并且在具有一个或多个其它单元格的一列中的单元格的单元格级安全属性能够针对特定用户来被定义，以阻塞所述特定用户访问该单元格的数据但是允许所述特定用户访问所述行中的其它单元格的数据和所述列中的其它单元格的数据；

由所述计算设备将针对所述特定用户定义的单元格级安全属性作为安全元数据存储在数据存储中；

在所述计算设备处接收来自所述特定用户的查询；

由所述计算设备将所述安全元数据应用到所述查询的结果，以根据所述特定用户来返回经过滤的结果；以及

由所述计算设备将所述经过滤的结果展示给所述特定用户。

16.如权利要求15所述的方法，还包括：

定义所述单元格级安全属性并经由web服务接口将其作为安全元数据存储在性能管理服务器数据存储中，其中，所述单元格级安全属性包括对所述单元格的读访问、有条件读、读/写访问、或无访问中的至少一个，并且，所述安全属性在每一个用户的基础上被应用于数据立方体的维度和度量。

17.如权利要求15所述的方法，还包括：

将所述安全元数据存储为单元格表集；以及

向安全模型添加单元格表，其中，所述安全模型包括现有维度表，并且，所述单元格表包括单元格许可表、单元格限定符表、以及单元格许可和单元格限定符两者的表。

18.如权利要求17所述的方法，还包括：

将所述特定用户的用户标识符存储在表中，以将所述单元格表链接到所述特定用户。

19.如权利要求15所述的方法，还包括：

经由远程认证来对所述特定用户进行认证；以及

经由本地授权来对所述特定用户进行授权。

20.如权利要求15所述的方法，其中，所述安全元数据被存储为安全表集，所述安全表包括维度表和单元格表，所述维度表包括与用户、角色、数据许可、模型许可、用户属性、和用户角色相关的维度安全属性，并且所述单元格表包括与单元格许可、单元格限定符、以及单元格许可和单元格限定符的组合相关的单元格安全属性。