CN106570656A - 一种基于rbac模型的分级授权方法 - Google Patents

Abstract

本发明公开一种基于RBAC模型的分级授权方法，包括如下内容：在层级组织架构中，提供组织单元的分级管理员以完成基于角色关联的授权；限定分级管理员可授权的角色来源于组织单元可授权角色集；分级管理员维护子组织单元的可授权角色集；分级管理员指定子组织单元的分级管理员；系统管理员指定组织架构顶层单元分级管理员，并为顶层单元关联可授权角色集完成初始化。此种分级授权方法通过为组织架构中各组织单元提供分级管理员并限定其可授权角色，可实现授权分级管理，优化授权过程，保障系统的整体安全性。

Description

一种基于RBAC模型的分级授权方法

技术领域

本发明属于软件系统权限管理技术领域，特别涉及一种基于RBAC模型的分级授权方法，用于系统授权的分级管理，优化授权过程。

背景技术

现代系统权限管理多采用RBAC方式，并不直接将权限授予用户，而是通过中间层次角色完成。角色一方面与权限关联，代表一组权限的集合；另一方面与用户关联，用户被分配某角色后便具备了该角色所关联的所有权限。RBAC通过关联用户与角色完成授权。现有的技术中，该过程由系统管理员集中完成，即系统管理员负责给系统中的每一个人员进行授权。在组织架构相对简单、用户相对较少的系统中，这是一种有效方式；然而当组织架构拥有较多层级与用户时，该方式存在以下问题：

(1)系统管理员需要为系统中所有用户进行角色关联，如果用户很多，将对系统管理员造成较大压力。

(2)系统管理员需要了解系统中的所有角色，有些业务角色可能专属于特定的组织单元。系统管理员理应只关注系统的权限范畴，却要对所有业务角色有所了解，这本身并不合理。

(3)子部门所有涉及授权事宜都要向系统管理员申请，缺乏自治权利，影响工作效率。

本案涉及的名词定义如下：

RBAC：基于角色的访问控制(Role-Based Access Control)，权限与角色相关联，用户通过成为适当角色的成员而得到这些角色的权限。

组织单元：组织架构一般是树状结构，组织单元是组织架构中的中间节点，可以是子公司、部门等。

主体：指组织单元中包含的人员或子部门。

分级管理员：部门管理员，可处理部门内部及子部门的授权事宜。

可授权角色集：分级管理员可用于分配的角色集合。

发明内容

本发明的目的，在于提供一种基于RBAC模型的分级授权方法，其通过为组织架构中各组织单元提供分级管理员并限定其可授权角色，可实现授权分级管理，优化授权过程，保障系统的整体安全性。

为了达成上述目的，本发明的解决方案是：

一种基于RBAC模型的分级授权方法，其特征在于包括如下内容：

A.在层级组织架构中，提供组织单元的分级管理员以完成基于角色关联的授权；

B.限定分级管理员可授权的角色来源于组织单元可授权角色集；

C.分级管理员维护子组织单元的可授权角色集；

D.分级管理员指定子组织单元的分级管理员；

E.系统管理员指定组织架构顶层单元分级管理员，并为顶层单元关联可授权角色集完成初始化。

上述方法中，分级管理员为其管理的组织单元中的主体通过分配角色完成授权，组织单元中的主体包括人员及子单元，分级管理员能够对人员及子组织单元进行授权，可授权的角色来源于本组织单元可授权角色集。

上述方法中，组织单元上的可授权角色集由上层的分级管理员根据其可授权角色集进行分配，可授权角色集限定组织单元上分级管理员可分配角色的范围，并非该单元最终拥有的授权角色。可授权角色集既用于对子组织主体进行授权，又用于创建子组织单元的可授权角色集。

上述方法中，分级管理员授权相关人员分级管理的角色，并指定该人员可管理的子组织单元，形成子单元分级管理员。

上述内容E中，系统管理员指定组织架构顶层单元分级管理员，并使用系统中任意角色初始化顶层单元的可授权角色集；顶层单元分级管理员根据可授权集合，可以定义下层管理员、可授权集合，如此反复最终实现系统授权。

在多级分层、复杂的组织结构中，依靠系统管理员集中授权很难合理地完成整个系统所有人员的授权，因此，采用上述方案后，本发明引入分级管理员及可授权角色集合，加强部门自治，实现分级管理，具有以下优点：

(1)在多层级的组织架构中，由分级管理员完成部门内人员授权。一方面减轻了系统管理员集中授权的负担，另一方面实现部门内部合理自治，为部门管理带来了更多的灵活与便捷；

(2)通过部门的可授权角色集合理限制了分级管理员的权力，保障了系统的整体安全性；

(3)支持对部门进行授权。下级部门继承上级部门的所有角色，部门内的人员继承部门的所有角色，通过将公共的角色赋给部门并传递给人员，极大减轻了对具体人员的授权工作。

附图说明

图1是本发明的核心架构图；

图2是本发明的流程图。

具体实施方式

以下将结合附图，对本发明的技术方案进行详细说明。

本发明提供一种基于RBAC模型的分级授权方法，该方法能灵活地对多层级的组织架构完成分级授权，其核心是为组织架构引入分级管理员实现自治，并通过可授权角色集合限制分级管理员的权力，以保障系统整体安全性，它们之间的关系如图1所示。

分级管理员有三个职责：1)为管辖的子部门及人员进行授权；2)为管辖子部门指定子分级管理员；3)为管辖的子部门维护可授权角色集。系统管理员指定顶层部门的分级管理员，然后由其负责子部门分级管理员的指定及相关人员的授权，如此往复完成整个系统人员的授权。

分级管理员权力由部门的可授权角色集限制。该集合与部门具体关联，限制管辖该部门的分级管理员可以授权的范围。此外，可授权角色集也是分级管理员指定子部门的可授权角色集的唯一依据。

人员通过两种途径获取角色：1)通过继承部门所拥有的角色；2)通过分级管理员为其单独指定。而部门也是可以通过继承及单独指定获得角色。通过引入组织授权，简化分级管理员对个人的单独授权过程。

本发明采用符合J2EE标准的B/S架构，组织架构及人员的维护、授权等实际操作都在服务端完成；用户在使用系统时只需一个浏览器就能完成所有功能。整个方案包括分级管理员、可授权角色集以及授权这三部分内容。

一、分级管理员

典型的RBAC模型中包括用户、角色、权限这三个要素。用户包括系统内所有人员；权限可以理解为对系统资源的访问或操作，例如“打开报表”。访问控制的目标就是限制用户对系统资源的访问或操作，用户只有具备了相应的权限才能继续访问或操作，否则将被拒绝。例如用户只有具备“打开报表”的权限，才能打开系统中的报表模块。在RBAC中，用户不直接与权限关联，而是通过中间层次角色与权限关联。角色一方面与权限关联，代表一组权限的集合；另一方面与用户关联，用户被分配某角色后便具备了该角色所关联的所有权限。RBAC通过关联用户与角色完成授权。组织架构是一种树形结构，中间节点是组织中的各部门，叶节点是部门中的人员。本发明将基于RBAC实现对组织架构中人员的合理授权。

系统权限包含两种：管理权限与业务权限。管理权限指那些用来实现系统权限管理时用到的权限，例如增加用户、删除用户、关联用户角色、解除用户角色等；业务权限指系统中具体业务操作所涉及的权限，如打开报表等。管理权限是固定的，而业务权限在系统建设完成后也应当全部确定。系统管理员默认具备系统中所有权限。

系统管理员负责创建系统中的角色，并且为角色关联相应的权限。这其中包含“分级管理”角色，该角色关联了所需的管理权限，如表1所示：

表1

权限名	描述
		privilege	权限管理
associateOrgRole	为组织关联角色
		deleteOrgRole	为组织解除角色
associateUserRole	为用户关联角色
		deleteUserRole	为用户解除角色
changeUserOrg	为用户调整所属部门
		changeUserManageOrg	维护分级管理员管辖部门
changeOrgRoleSet	为部门调整其可授权角色集

分级管理员是关联了“分级管理”角色的人员，实现中通过判断其是否具备privilege权限。系统中的人员有两个比较重要的属性，用户所属部门、用户管理的部门。前者表示用户在组织架构中的位置；后者只对分级管理员有效，表示该分级管理员管辖的部门。

上级部门的分级管理员创建下级的分级管理员，顶层部门的分级管理员由系统管理员创建。为叙述方便，以下简称管辖上级部门的管理员为上级管理员，管辖下级部门的管理员为下级管理员。上级管理员创建下级管理员时，首先给用户关联“分级管理”的角色，然后指定该用户管辖的子部门。实现时限制分级管理员只能看到其管辖的组织架构，上层的组织架构是隐藏的，故其指定的分级管理员只能管辖子部门。

以上是分级管理员创建子管理员的过程，而这是分级管理员的职责之一。分级管理员的另两个职责(维护子部门可授权角色集与授权)将在以下小节具体介绍。

二、可授权角色集

可授权角色集用来限制分级管理员的授权范围，它与组织架构中的部门关联。实现上由部门可授权角色表存储，其结构如表2所示：

表2

相关部门	相关角色
		org_id	role_id

该结构相当于维护角色与部门的多对多关系，逻辑上可实现每个部门都对应一组角色，形成可授权角色集。注意可授权角色集用来集限制部门上分级管理员可分配角色的范围，并非该部门最终拥有的授权角色。部门的可授权角色集由上级管理员维护，顶层部门的可授权角色集由系统管理员维护。

上级管理员挑选自身管辖部门的可授权角色集来维护子部门的可授权角色集，理论上子部门的可授权角色集是上级部门的子集。可授权角色自上而下形成类似“倒三角”的关系，上层部门的可授权角色集多，下层部门的可授权角色集少。与之对应的上级管理员便具备更多的“权力”，因为其可支配更多的角色。一般上级管理员会将“分级管理”角色选进子部门的可授权角色集，以便分级管理员能够被传递指定。

在图1中，O11上的分级管理员A11是由系统管理员指定，R11也由系统管理员挑选。A11给子部门O22下的人员关联“分级管理”的角色使并指定其管辖的部门为O22，便形成分级管理员A22。A11指定子部门O22上可授权角色集为R22，R22包含于R11。这样新分级管理员A22便能通过R22来维护O22下的子部门。

并非要为所有子部门都指定分级管理员与可授权角色集，有分级些管理员可直接管理数个层次。图1中的子部门O21并没有直接的分级管理员，它可由A11直接管理，这种情况R21也就没必要维护了。

分级管理员与可授权角色集是成对的。上级管理员在指定下级管理员时，一般要为其所管辖的子部门关联可授权角色集，否则下级管理员将无法进行授权活动(可授权角色集是分级管理员可分配角色的唯一依据)。但没必要为组织架构中所有部门都指定这两者，可根据实际管理情况灵活指定。

三、授权

分级管理员通过给用户关联角色完成授权。如果部门人员众多，分级管理员需要单独给每个人员关联角色。这种方式有两个弊端：1)部门内大多数人员角色相同，单独关联造成重复劳动；2)如果部门职责有变动，需要统一增加或删除人员角色，又需要对每个人员都操作一遍。

为解决上述问题，引入组织授权。分级管理员不仅可以给用户关联角色，而且可以给部门关联角色。部门维护一个实际的授权角色集，注意该集合与部门的可授权角色集不是一个概念。前者是部门实际拥有的角色，而后者只是该部门上的管理员可以分配的角色。但实现中这两者的存储结构却是一致的，都是维护部门与角色的多对多关系。

人员自动继承所属部门的所有角色，下级部门自动继承上级部门的所有角色。实施时应尽量给上层部门赋予少量的、公共的角色，部门特殊的角色应赋值给具体的下级部门。顶层部门应尽量控制其授权角色，例如只给其关联“公司员工”角色，该角色具有通过公司大门门禁权限。由于继承关系，下级部门往往拥有更多的角色，部门实际授权角色集自上而下形成“正三角”的关系，这与部门可授权角色集恰好相反。

分级管理员首先为管辖的部门分配合适的角色，部门中的人员便都具备这些角色；其次为特殊的人员分配特殊的角色。本小节开头所属单独授权存在的问题，在使用这种方式后迎刃而解。将那些部门中所有人都需具备的公共角色直接赋予部门，人员通过继承的方式自动拥有这些角色；如果部门职责有变动需要修改部门内所有用户角色，也只要在部门角色上进行操作即可。

如果部门已通过继承关系从上级部门获得某角色，分级管理员不能再重复将该角色关联给部门；同理如果用户通过继承关系从部门中谋取了某角色，分级管理员也不能再重复将角色关联给用户。这样的设定是为了公共角色的统一管理，避免重复授权。图2给出了整个系统完成授权的流程图。

以上实施例仅为说明本发明的技术思想，不能以此限定本发明的保护范围，凡是按照本发明提出的技术思想，在技术方案基础上所做的任何改动，均落入本发明保护范围之内。

Claims (5)

1.一种基于RBAC模型的分级授权方法，其特征在于包括如下内容：

A.在层级组织架构中，提供组织单元的分级管理员以完成基于角色关联的授权；

B.限定分级管理员可授权的角色来源于组织单元可授权角色集；

C.分级管理员维护子组织单元的可授权角色集；

D.分级管理员指定子组织单元的分级管理员；

E.系统管理员指定组织架构顶层单元分级管理员，并为顶层单元关联可授权角色集完成初始化。

2.如权利要求1所述的一种基于RBAC模型的分级授权方法，其特征在于：所述方法中，分级管理员为其管理的组织单元中的主体通过分配角色完成授权，组织单元中的主体包括人员及子单元，分级管理员能够对人员及子组织单元进行授权，可授权的角色来源于本组织单元可授权角色集。

3.如权利要求1所述的一种基于RBAC模型的分级授权方法，其特征在于：所述方法中，组织单元上的可授权角色集由上层的分级管理员根据其可授权角色集进行分配，可授权角色集限定组织单元上分级管理员可分配角色的范围。

4.如权利要求1所述的一种基于RBAC模型的分级授权方法，其特征在于：所述方法中，分级管理员授权相关人员分级管理的角色，并指定该人员可管理的子组织单元，形成子单元分级管理员。

5.如权利要求1所述的一种基于RBAC模型的分级授权方法，其特征在于：所述内容E中，系统管理员指定组织架构顶层单元分级管理员，并使用系统中任意角色初始化顶层单元的可授权角色集；顶层单元分级管理员根据可授权集合，可以定义下层管理员、可授权集合，如此反复最终实现系统授权。