CN109995768A

CN109995768A - 一种服务器权限管理的方法及装置

Info

Publication number: CN109995768A
Application number: CN201910201342.2A
Authority: CN
Inventors: 杨媛
Original assignee: Wangsu Science and Technology Co Ltd
Current assignee: Wangsu Science and Technology Co Ltd
Priority date: 2019-03-18
Filing date: 2019-03-18
Publication date: 2019-07-09

Abstract

本发明公开了一种服务器权限管理的方法及装置，其中，该方法包括获取工作人员的信息，工作人员的信息包括工作人员的岗位ID和组织ID，根据工作人员的岗位ID和组织ID，从预设岗位权限集合中确定出工作人员的岗位权限，将工作人员的岗位权限配置给工作人员。该技术方案实现灵活、有效的管理服务器的权限。

Description

一种服务器权限管理的方法及装置

技术领域

本发明实施例涉及信息安全领域，尤其涉及一种服务器权限管理的方法及装置。

背景技术

互联网企业都拥有众多服务器用于业务运营，针对众多服务器，需要配置大量工作人员登录服务器进行业务操作，现有技术中，大量工作人员采用root权限登录服务器，使得root权限不易被管理，且当拥有root权限的工作人员离职或岗位变动时，超管人员面临着权限回收或权限调整，不利于灵活、有效管理服务器权限。

发明内容

本发明实施例提供一种服务器权限管理的方法及装置，用以灵活、有效的管理服务器的权限。

本发明实施例提供的一种服务器权限管理的方法，包括：

获取工作人员的信息，所述工作人员的信息包括所述工作人员的岗位ID(Identification，身份识别号)和组织ID；

根据所述工作人员的岗位ID和组织ID，从预设岗位权限集合中确定出所述工作人员的岗位权限；

将所述工作人员的岗位权限配置给所述工作人员。

上述技术方案中，根据工作人员的岗位ID和组织ID，从预设岗位权限集合中确定出工作人员的岗位权限，即针对不同组织、不同岗位设置相对应的岗位权限，在获取到工作人员的岗位ID和组织ID后，即可以自动配置该工作人员的岗位权限，做到高效管理服务器权限。

可选的，所述预设岗位权限集合包括组织ID、岗位ID与岗位权限的对应关系；

所述从预设岗位权限集合中确定出所述工作人员的岗位权限，包括：

根据所述工作人员的岗位ID和组织ID，从所述组织ID、岗位ID与岗位权限的对应关系中确定出所述工作人员的岗位权限。

上述技术方案中，预设岗位权限集合中包括组织ID、岗位ID与岗位权限的对应关系，从而在确定出工作人员的组织ID和岗位ID后，可以快速确定出工作人员的岗位权限，做到针对不同的岗位进行权限配置，根据岗位对权限进行有效的管理。

可选的，所述岗位权限包括权限账户类型、服务器类型、服务器IP(InternetProtocol，网络之间互连的协议)、可执行命令；

所述将所述工作人员的岗位权限配置给所述工作人员，包括：

将所述工作人员的权限账户类型、服务器类型、服务器IP、可执行命令，配置给所述工作人员。

上述技术方案中，岗位权限可以包括权限账户类型、服务器类型、服务器IP、可执行命令，在对工作人员进行岗位权限配置时，可以对该工作人员配置权限账户类型、服务器类型、服务器IP、可执行命令，提高对岗位权限的管理效率。

可选的，所述工作人员的权限账户类型包括默认授权周期；

在所述将所述工作人员的岗位权限配置给所述工作人员之后，还包括：

获取所述工作人员的岗位权限的当前配置时长；

若所述当前配置时长大于第一时段，则将所述工作人员的岗位权限重新配置给所述工作人员；或撤销所述工作人员的岗位权限；

其中，所述第一时段是预先设定的将所述工作人员的岗位权限配置给所述工作人员的有效时长，所述第一时段不大于所述默认授权周期。

上述技术方案中，对岗位权限配置设置配置的有效时长，在工作人员的岗位权限的当前配置时长大于有效时长时，可以选择对工作人员继续配置该岗位权限，也可以选择撤销该岗位权限，提高了岗位权限管理的安全性。

可选的，在所述将所述工作人员的岗位权限配置给所述工作人员之后，还包括：

获取临时授权信息；所述临时授权信息包括授权类别、授权来源；

根据所述授权类别、授权来源，确定所述工作人员的临时的岗位权限；

将所述工作人员的临时的岗位权限配置给所述工作人员。

上述技术方案中，在将工作人员的岗位权限配置给工作人员之后，还可以对工作人员进行临时配置岗位权限，做到岗位权限管理的灵活性。

判断所述工作人员的权限账户类型是否纳入汇总范围；

若是，则周期性获取所述工作人员的岗位权限，并进行存储。

上述技术方案中，定周期对工作人员的岗位权限进行汇总并存储，可以有效获取到当前时刻的岗位权限配置情况，为岗位权限的调整以及验证岗位是否有权限等操作提供依据。

相应的，本发明实施例还提供了一种服务器权限管理的装置，包括：

获取单元，用于获取工作人员的信息，所述工作人员的信息包括所述工作人员的岗位ID和组织ID；

确定单元，用于根据所述工作人员的岗位ID和组织ID，从预设岗位权限集合中确定出所述工作人员的岗位权限；

处理单元，用于将所述工作人员的岗位权限配置给所述工作人员。

所述确定单元具体用于：

可选的，所述岗位权限包括权限账户类型、服务器类型、服务器IP、可执行命令；

所述处理单元具体用于：

可选的，所述工作人员的权限账户类型包括默认授权周期；

所述处理单元还用于：

在所述将所述工作人员的岗位权限配置给所述工作人员之后，获取所述工作人员的岗位权限的当前配置时长；

可选的，所述处理单元还用于：

在所述将所述工作人员的岗位权限配置给所述工作人员之后，获取临时授权信息；所述临时授权信息包括授权类别、授权来源；

将所述工作人员的临时的岗位权限配置给所述工作人员。

可选的，所述处理单元还用于：

在所述将所述工作人员的岗位权限配置给所述工作人员之后，判断所述工作人员的权限账户类型是否纳入汇总范围；

相应的，本发明实施例还提供了一种计算设备，包括：

存储器，用于存储程序指令；

处理器，用于调用所述存储器中存储的程序指令，按照获得的程序执行上述服务器权限管理的方法。

相应的，本发明实施例还提供了一种计算机可读非易失性存储介质，包括计算机可读指令，当计算机读取并执行所述计算机可读指令时，使得计算机执行上述服务器权限管理的方法。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简要介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种系统架构的示意图；

图2为本发明实施例提供的一种服务器权限管理的方法的流程示意图；

图3为本发明实施例提供的一种验证服务器权限的方法的流程示意图；

图4为本发明实施例提供的一种服务器权限管理的装置的结构示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

图1示例性的示出了本发明实施例提供服务器权限管理的方法所适用的系统架构，该系统架构可以为服务器权限管理系统，该服务器权限管理系统包括基础信息模块100、岗位权限管理模块200、临时授权模块300。

基础信息模块包括组织信息模块101、岗位信息模块102、权限模块103、账户类型模块104、账号登录管理模块105；其中，组织信息模块101包括各组织信息，例如，组织名称、组织编码以及各组织之间的上下级关系；岗位信息模块102包括各岗位信息，例如，岗位名称、岗位编码；权限模块103包括工作人员针对服务器的权限，该权限模块103中的权限与岗位信息、组织信息具有对应关系；账户类型模块104包括权限的账户类型，例如，root(根)权限、op(operator，操作)权限、watch(读取)权限，其中，根据经验可以设定root权限包括执行、写入、读取权限；op权限包括读取和执行权限；watch包括读取权限；账号登录管理模块105用于管理工作人员登录的服务器的IP。

岗位权限管理模块200用于根据基础信息模块100的信息，为工作人员设置岗位，以及根据设置的岗位进行权限授权和管理，包括人员设岗模块201、岗位权限配置模块202、授权管理模块203。其中，人员设岗模块201用于为人员设置业务岗位，岗位权限配置模块202用于为人员设岗模块201设置的岗位配置相应的权限，授权管理模块203用于为服务器权限管理系统中的权限授权进行管理。

临时授权模块300。用于根据基础信息模块100的信息、岗位权限管理模块200的授权情况，为工作人员进行临时权限授权。临时授权包含特殊服务器临时授权和普通服务器临时授权，临时授权又可以分为临时授权允许及临时授权禁止。临时授权模块300可以接收工作人员的指令并进行临时登录权限授权。

基于上述描述，图2示例性的示出了本发明实施例提供的一种服务器权限管理的方法的流程，该流程可以由服务器权限管理的装置执行，该装置可以位于服务器权限管理系统中，可以是该服务器权限管理系统。如图2所示，该流程具体包括：

步骤201，获取工作人员的信息。

其中，工作人员的信息包括工作人员的岗位ID和组织ID。在工作人员新入职时，超级管理员会为工作人员配置该人员的岗位ID和组织ID。

步骤202，根据所述工作人员的岗位ID和组织ID，从预设岗位权限集合中确定出所述工作人员的岗位权限。

具体的，预设岗位权限集合包括组织ID、岗位ID与岗位权限的对应关系，可以根据工作人员的岗位ID和组织ID，从组织ID、岗位ID与岗位权限的对应关系中确定出工作人员的岗位权限。

例如，预设岗位权限集合中组织ID、岗位ID与岗位权限的对应关系如表1(a)所示，一个组织ID可以对应多个岗位ID，以及一个岗位ID可以对应多个组织ID，但可以根据组织ID、岗位ID，确定出与组织ID、岗位ID对应的特定岗位权限。

表1(a)

组织ID	岗位ID	岗位权限
			Depart5	Pos1	岗位权限51
Depart4	Pos1	岗位权限41
			Depart4	Pos2	岗位权限42
Depart3	Pos2	岗位权限32
			Depart3	Pos3	岗位权限33
......	......	……

本发明实施例中，工作人员的组织ID还可以包含于岗位ID中，也就是说，工作人员的信息中包括工作人员的岗位ID，可以根据该工作人员的岗位ID确定该工作人员所在的组织和岗位，进一步根据工作人员的岗位ID从预设岗位权限集合中确定出工作人员的岗位权限。示例性的，可以将工作人员的岗位ID设置为Pos51，其中“Pos51”中的数字5代表该工作人员属于Depart5的组织，“Pos51”中的数字1代表该工作人员属于Pos1的岗位，也就是Pos51代表该工作人员属于Depart5组织中的Pos1岗位。如表1(b)所示，还可以提供一种预设岗位权限集合中岗位ID与岗位权限的对应关系。

表1(b)

本发明实施例中，工作人员的信息可以包括岗位ID和组织ID，也可以仅包括岗位ID，当然，工作人员的信息还可以包括其他任何可以识别出工作人员岗位权限的信息，在此不做限制。

本发明提供一种具体实现方式，在预设岗位权限集合中的岗位权限可以包括权限账户类型、服务器类型、服务器IP、可执行命令。

其中，权限账户类型理解为账户对应的权限的优先级，包括root权限、op权限、watch权限等，该权限账户类型对应权限的继承关系，例如，有root权限的账户可以通过op权限或watch权限登录服务器。

服务器类型是根据服务器所涉及的业务类型划分，可选的，根据服务器的业务类型按照不同粒度将服务器划分出不同权限的服务器集合，该服务器集合可以包括服务器IP，例如，假设有100台服务器，按照每台服务器的业务类型将该100台服务器划分为A、B、C三组，分别对应30台、30台、40台，进一步，又可以将每组划分为类，将A组服务器的30台划分为A₁、A₂、A₃三类，分别对应10台、15台、5台，将B组服务器的30台划分为B₁、B₂两类，分别对应10台、20台，将C组服务器的40台划分为C₁、C₂、C₃、C₄四类，分别对应10台、20台、4台、6台，可以将每组设置为一个服务器集合，也可以将每类设置为一个服务器集合。每个服务器集合对应一个服务器类型，如将C₁类服务器设置为一个服务器集合，则对应的服务器类型为C₁类。

服务器IP结合上述服务器类型说明，在进行划分服务器集合时，还可以将某一类服务器和某几个服务器设置为一个服务器集合，例如，A₁类包括IP₁～IP₁₀共10台服务器，可以将A₂类服务器以及A₁类中的IP₁、IP₂、IP₃设置为一个服务器集合，则对应服务器类型为A₂，服务器IP为IP₁、IP₂、IP₃。当然，具体设置服务器集合的方式可以根据经验设定。

可执行命令可以是Sudo命令，即超管人员为工作人员配置的可执行命令。

结合上述描述，表2示出了一种具体的岗位权限表。

表2

步骤203，将所述工作人员的岗位权限配置给所述工作人员。

可选的，将工作人员的权限账户类型、服务器类型、服务器IP、可执行命令，配置给所述工作人员。示例性的，结合表1(a)和表2，若某工作人员Staff1的组织ID为Depart4，岗位ID为Pos1，则该工作人员Staff1的岗位权限为岗位权限41，假设表2为岗位权限41，那么可以将表2中的岗位权限配置给该工作人员Staff1，具体的，还可以生成对应关系，如表3所示。

表3

将工作人员的岗位权限配置给工作人员之后，工作人员即可以登录器岗位权限允许范围内的服务器类型、服务器IP并执行相应的可以执行命令。以表3为例，工作人员Staff1可以以root账户登录至IP为192.168.0.1的服务器，并执行命令Command1。

本发明针对岗位权限授权完成的工作人员，可根据该工作人员的岗位权限对其操作进行管理，当工作人员通过账号密码登录中转服务器时，中转服务器可以执行如图3示出管理的流程图。此处，中转服务器可以设置在服务器权限管理系统中，也可以作为单独的服务器，在此不做限制。

步骤301，获取工作人员输入的账号密码；

步骤302，判断账号密码是否正确；若是，则转向步骤303，否则，转向步骤310；

步骤303，连接目标服务器；

步骤304，接收工作人员下发的命令；

步骤305，判断工作人员是否有权限账户类型；若有，则转向步骤306；否则转向步骤310；

步骤306，判断工作人员是否有目标服务器IP的权限；若是，则转向步骤309；否则转向步骤307；

步骤307，获取工作人员权限账户类型的服务器类型；

步骤308，判断服务器类型中是否有目标服务器IP；若有，则转向步骤309；否则转向步骤310；

步骤309，连接成功，登录目标服务器；

步骤310，连接失败，返回错误信息。

为了更好的解释图3示出的流程图，仍以表3工作人员Staff1的岗位权限进行说明，Staff1的账号密码假设为“ss，111111”，Staff1通过账号密码“ss，111111”登录中转服务器，中转服务器获取到该账号密码后，判断账号密码是否正确，若正确，则中转服务器连接目标服务器，Staff1向中转服务器下发命令“ssh root@192.168.0.5”，中转服务器获取Staff1的岗位权限表，并根据岗位权限表判断Staff1是否有root的权限账户类型，如表3可知，Staff1有root的权限账户类型，则中转服务器进一步判断Staff1是否有目标服务器IP的权限，由Staff1下发的命令“ssh root@192.168.0.5”可知，目标服务器IP为“192.168.0.5”，且Staff1的岗位权限表中root的服务器IP并没有目标服务器IP，则进一步判断Staff1的岗位权限表中root对应服务器类型中是否存在目标服务器IP，假设服务器类型A₂中存在该目标服务器IP，则中转服务器可以确定连接成功，并登录至目标服务器。

可选的，工作人员的权限账户类型还可以包括默认授权周期，该默认授权周期理解为权限账户类型设置的最大授权周期，预先设定将工作人员的岗位权限配置给工作人员的有效时长为第一时段，则第一时段不能大于默认授权周期。例如，权限账户类型watch对应的授权周期为1000小时，则可以设置第一时段为800小时。在将工作人员的岗位权限配置给工作人员之后，可以获取工作人员的岗位权限的当前配置时长，若当前配置时长大于第一时段，则可以将工作人员的岗位权限重新配置给工作人员；或撤销工作人员的岗位权限。

可选的，在将工作人员的岗位权限配置给工作人员之后，还可以为该工作人员进行临时授权，首先获取临时授权信息，其中，该临时授权信息包括授权类别、授权来源，根据授权类别、授权来源，确定工作人员的临时的岗位权限，然后将工作人员的临时的岗位权限配置给工作人员。当然，工作人员在获取到岗位权限后，也可以在自己岗位权限范围内向其他人员授权，工作人员若岗位权限得到超管的授权管理允许，即添加了授权管理记录并且授权管理中添加的权限集合为工作人员现有岗位权限，在获取到岗位权限后，也可以在自己岗位权限范围内向其他人员授权，示例性的，可以填写授权对象、授权类别、授权来源，并选择有效权限集合内的服务器，设置授权的有效时间，然后将临时权限授权给其他人员。此处，授权对象指的是待授权的工作人员，授权类别可以分为授予权限和撤销权限；授权来源可以分为向工作人员作为管理员的名下服务器进行授权，也可以向授权管理记录中的服务器权限集合中的服务器进行授权。

可选的，在将工作人员的岗位权限配置给工作人员之后，还可以根据权限账户类型是否纳入汇总范围的设定，对工作人员的岗位权限进行定周期汇总，并存储。每个权限账户类型都对应是否纳入汇总范围的设定，若设定该权限账户类型为纳入汇总，则确定对该账户类型进行周期性汇总，该汇总周期可以根据经验设定，可以设定为5min。

在对工作人员进行授权之后，不仅可以对工作人员进行临时授权、汇总其岗位权限，同时可以在工作人员离岗或者岗位调动的时候，对该工作人员的岗位权限进行相应调整，或者撤销其岗位权限。

上述实施例中，根据工作人员的岗位ID和组织ID，从预设岗位权限集合中确定出工作人员的岗位权限，即针对不同组织、不同岗位设置相对应的岗位权限，在获取到工作人员的岗位ID和组织ID后，即可以自动配置该工作人员的岗位权限，相对于现有技术中的工作人员采用root权限登录服务器，使得root权限不易被管理的问题，可以有效管理root权限，且在工作人员离职或岗位变动时，可以直接收回该工作人员对应的岗位权限，从而做到高效管理服务器权限。对岗位权限配置设置配置的有效时长，在工作人员的岗位权限配置的当前配置时长大于有效时长时，可以选择对工作人员继续配置该岗位权限，也可以选择撤销该岗位权限，提高了岗位权限管理的安全性。在将工作人员的岗位权限配置给工作人员之后，还可以对工作人员进行临时配置岗位权限，做到岗位权限管理的灵活性。定周期对工作人员的岗位权限进行汇总并存储，可以有效获取到当前时刻的岗位权限配置情况，为岗位权限的调整以及验证岗位是否有权限等操作提供依据。

由于本实施例的具体实现方式已在其他实施例中描述，在此不作赘述。

基于同一发明构思，图4示例性的示出了本发明实施例提供的一种服务器权限管理的装置的结构，该装置可以执行服务器权限管理的方法的流程。

获取单元401，用于获取工作人员的信息，所述工作人员的信息包括所述工作人员的岗位ID和组织ID；

确定单元402，用于根据所述工作人员的岗位ID和组织ID，从预设岗位权限集合中确定出所述工作人员的岗位权限；

处理单元403，用于将所述工作人员的岗位权限配置给所述工作人员。

所述确定单元402具体用于：

所述处理单元403具体用于：

可选的，所述工作人员的权限账户类型包括默认授权周期；

所述处理单元403还用于：

在所述将所述工作人员的岗位权限配置给所述工作人员之后，获取所述工作人员的当前配置时长；

可选的，所述处理单元403还用于：

将所述工作人员的临时的岗位权限配置给所述工作人员。

可选的，所述处理单元403还用于：

基于同一发明构思，本发明实施例还提供了一种计算设备，包括：

存储器，用于存储程序指令；

基于同一发明构思，本发明实施例还提供了一种计算机可读非易失性存储介质，包括计算机可读指令，当计算机读取并执行所述计算机可读指令时，使得计算机执行上述服务器权限管理的方法。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims

1.一种服务器权限管理的方法，其特征在于，包括：

获取工作人员的信息，所述工作人员的信息包括所述工作人员的岗位身份识别号ID和组织ID；

将所述工作人员的岗位权限配置给所述工作人员。

2.如权利要求1所述的方法，其特征在于，所述预设岗位权限集合包括组织ID、岗位ID与岗位权限的对应关系；

3.如权利要求1所述的方法，其特征在于，所述岗位权限包括权限账户类型、服务器类型、服务器网络之间互连的协议IP、可执行命令；

4.如权利要求3所述的方法，其特征在于，所述工作人员的权限账户类型包括默认授权周期；

获取所述工作人员的岗位权限的当前配置时长；

5.如权利要求3所述的方法，其特征在于，在所述将所述工作人员的岗位权限配置给所述工作人员之后，还包括：

将所述工作人员的临时的岗位权限配置给所述工作人员。

6.如权利要求3至5任一所述的方法，其特征在于，在所述将所述工作人员的岗位权限配置给所述工作人员之后，还包括：

判断所述工作人员的权限账户类型是否纳入汇总范围；

7.一种服务器权限管理的装置，其特征在于，包括：

获取单元，用于获取工作人员的信息，所述工作人员的信息包括所述工作人员的岗位身份识别号ID和组织ID；

8.如权利要求7所述的装置，其特征在于，所述预设岗位权限集合包括组织ID、岗位ID与岗位权限的对应关系；

所述确定单元具体用于：

9.如权利要求7所述的装置，其特征在于，所述岗位权限包括权限账户类型、服务器类型、服务器IP、可执行命令；

所述处理单元具体用于：

10.如权利要求9所述的装置，其特征在于，所述工作人员的权限账户类型包括默认授权周期；

所述处理单元还用于：

11.如权利要求9所述的装置，其特征在于，所述处理单元还用于：

将所述工作人员的临时的岗位权限配置给所述工作人员。

12.如权利要求9至11任一所述的装置，其特征在于，所述处理单元还用于：

13.一种计算设备，其特征在于，包括：

存储器，用于存储程序指令；

处理器，用于调用所述存储器中存储的程序指令，按照获得的程序执行权利要求1至6任一项所述的方法。

14.一种计算机可读非易失性存储介质，其特征在于，包括计算机可读指令，当计算机读取并执行所述计算机可读指令时，使得计算机执行如权利要求1至6任一项所述的方法。