CN110928963B - 针对运维业务数据表的列级权限知识图谱构建方法 - Google Patents

Abstract

本发明提供了一种针对运维业务数据表的列级权限知识图谱构建方法，首先对问题领域进行需求分析，形成该领域Schema，然后抽取了原有权限系统的数据模型，补充和完善Schema；人工梳理出结构化的列级权限数据文档，并进行知识抽取。接着分析原有运维业务系统的基于表级的权限数据，构造受表级不受列级控制的数据权限知识，并与之前抽取的知识进行合并，最后进行知识存储，得到最终的数据库表列级权限数据知识图谱。无需改动原有的运维业务数据本身的数据模式，不会影响原有运维业务系统的正常运转，同时大大减少了工作量的同时，当增加新类型的数据和关系时，无需修改设计，适用于运维业务数据实时变化和数据权限实时变动的场景。

Description

针对运维业务数据表的列级权限知识图谱构建方法

技术领域

本发明属于大数据权限控制技术领域，具体涉及针对运维业务数据表的列级权限知识图谱构建方法。

背景技术

互联网时代的到来伴随着高速大量网络数据的产生，在享受信息化浪潮下的方便与效率的同时，数据安全问题受到社会各界的关注。数据入库是信息持久化的一个手段，基于数据库之上的数据共享和数据泄露带来的数据库安全问题的研究，具有重大的现实意义。数据库安全技术包括数据加密技术、存取管理技术、安全审计技术和备份与恢复技术。其中，存取管理技术包括用户认证技术和访问控制技术，并且访问控制技术是实现数据库中敏感信息的完整性和保密性的主要手段。访问控制技术根据控制的对象可分为粗粒度表级数据访问控制和细粒度列级数据访问控制，为了与业务需求灵活多变，数据权限实时变动的特性适配，后者的研究变得更有意义。

访问控制技术发展的过程中，出现了三种关键性技术，自主访问控制(DAC)、强制访问控制(MAC)和基于角色的访问控制(RBAC)。其中，自主访问控制是指客体资源的拥有者自主将该客体资源的访问控制权授予其他主体用户；强制访问控制则是，根据客体资源的敏感度等级与主体的可访问敏感度等级相比较，由系统策略决定一个用户能否访问某个特定的资源；基于角色的访问控制是在自主访问控制的基础上实现的，使用更粗的角色粒度来分配客体资源的访问权限。

上述三种访问控制技术都是侧重访问主体方的权限分配的方式，而本文所针对的问题是被访问客体方的细化，即从访问表级数据进行限制转为对列级数据访问的限制。同时，现有的解决列级权限控制的方法都是基于关系型数据库开发的解决方案，这类解决方案可以实现基本的权限数据的存储，但是随着数据规模的增长，权限查询会成为访问控制系统的瓶颈。并且，这些解决方案将权限数据作为需要受到访问控制的业务数据的属性进行存储，需要改动原有的业务数据本身的数据模式，可能会影响原有业务系统的正常运转，同时大大增加了工作量。最后，当增加新类型的数据和关系时，需要修改设计甚至推翻之前的设计，导致关系型列级权限解决方案不适用于业务数据实时变化和数据权限实时变动的场景。

发明内容

本发明的目的是提供一种针对运维业务数据表的列级权限知识图谱构建方法，将列级权限数据固化为有时间限制的知识，构建出独立于运维业务数据表，针对其列级数据的权限知识图谱，解决了现有技术中存在的将权限数据作为需要受到访问控制的业务数据的属性进行存储，需要改动原有的业务数据本身的数据模式，影响原有业务系统的正常运转的问题。

本发明所采用的技术方案是，针对运维业务数据表的列级权限知识图谱构建方法，首先对问题领域进行需求分析，形成该领域Schema，然后抽取了原有权限系统的数据模型，用以补充和完善Schema；之后根据Schema，人工梳理出结构化的列级权限数据文档，并进行知识抽取；接着分析原有运维业务系统的基于表级的权限数据，构造受表级不受列级控制的数据权限知识，并与之前抽取的知识进行合并，最后进行知识存储，得到最终的数据库表列级权限数据知识图谱。

具体包括以下步骤：

步骤1：知识建模，

利用敏捷开发中用户故事的思想进行领域需求分析，得到领域Schema；

步骤2：抽取原有权限模型，

分析原有的存储基于角色的表级权限控制的关系型数据库，得到权限模型，用以补充和完善步骤1中从用户故事中得到的Schema；

步骤3：知识抽取，

人工梳理结构化的列级权限数据文档，抽取相应的实体、关系和属性；

步骤4：处理原有权限系统信息；

步骤5：知识合并，

根据领域Shema将步骤4中的权限补全信息进行实体，关系及其属性的映射，与步骤3中得到的知识进行合并；

将步骤3中知识抽取的结果与原有权限系统信息进行合并；

步骤6：数据库表列级权限数据知识存储。

步骤1中知识建模的步骤为：

步骤1.1：通过用户需求描述提取出用户故事，对提取出的用户故事进行查询；

步骤1.2：将提取的用户故事进行转化，形成从用户输入到结果返回这一过程的查询结构，

步骤1.3：梳理出数据库表列级数据访问控制领域涉及的概念有：用户、业务数据表、数据表列；如果存储访问数据的白名单，用户和数据表列之间的访问关系是可访问，最终确定出节点和关系的标签和属性，即领域Schema。

步骤2中抽取原有权限模型具体为：从原有基于角色存储的表级权限数据库中抽取权限部分的物理模型，根据权限表设计之间的关系，逆推出概念模型，得到实体和关系，针对简明的权限模型，可以通过人工梳理的方式得到概念模型，而对于复杂的权限模型，需要使用现有的一些逆向工程工具，例如常用的PowerDesigner，MySQL Workbench等，进行导出；然后根据实际需求将原有权限模型中需要继承的实体和关系进行转换，用以补充Schema。

步骤3中知识抽取具体步骤如下：

依据步骤2得到的数据库表列级权限控制领域Schema，将需要提取的信息固定为一种特殊的数据格式，人工梳理出实际运维业务系统对应的列级权限数据文档，然后采用模板的方式从文档中进行实体、关系及其属性值的抽取。

步骤4中处理方法具体步骤如下：

步骤4.1：提取运维业务系统中用户、数据表、数据表包含的字段这三个概念对应的实体信息；

步骤4.2：数据库列级访问控制功能需要配合原有表级权限系统的运转，因此需要对不受列级控制，仅受表级控制的数据表进行访问权限信息补全的处理；

步骤6中知识表示以图形式进行存储。

本发明的有益效果是：

本发明无需改动原有的运维业务数据本身的数据模式，不会影响原有运维业务系统的正常运转，同时大大减少了工作量的同时，当增加新类型的数据和关系时，无需修改设计，适用于运维业务数据实时变化和数据权限实时变动的场景

附图说明

图1为本发明针对运维业务数据表的列级权限知识图谱构建方法数据库表列级数据访问控制领域知识图谱构建流程图；

图2为本发明针对运维业务数据表的列级权限知识图谱构建方法知识建模流程图；

图3为本发明针对运维业务数据表的列级权限知识图谱构建方法抽取原有权限模型流程图；

图4为本发明针对运维业务数据表的列级权限知识图谱构建方法提取仅受表级控制的数据权限知识流程图；

图5为本发明针对运维业务数据表的列级权限知识图谱构建方法实施例中的示例知识图谱。

具体实施方式

下面结合附图和具体实施方式对本发明进行详细说明。

本发明针对运维业务数据表的列级权限知识图谱构建方法，首先对问题领域进行需求分析，形成该领域Schema，然后抽取了原有权限系统的数据模型，用以补充和完善Schema；之后根据Schema，人工梳理出结构化的列级权限数据文档，并进行知识抽取；接着分析原有运维业务系统的基于表级的权限数据，构造受表级不受列级控制的数据权限知识，并与之前抽取的知识进行合并，最后进行知识存储，得到最终的数据库表列级权限数据知识图谱。

具体包括以下步骤：

步骤1：知识建模，

利用敏捷开发中用户故事的思想进行领域需求分析，得到领域Schema；

步骤2：抽取原有权限模型，

分析原有的存储基于角色的表级权限控制的关系型数据库，得到权限模型，用以补充和完善步骤1中从用户故事中得到的Schema；

步骤3：知识抽取，

人工梳理结构化的列级权限数据文档，抽取相应的实体、关系和属性；

步骤4：处理原有权限系统信息；

步骤5：知识合并，

根据领域Shema将步骤4中的权限补全信息进行实体，关系及其属性的映射，与步骤3中得到的知识进行合并；

将步骤3中知识抽取的结果与原有权限系统信息进行合并；

步骤6：数据库表列级权限数据知识存储。

步骤1中知识建模的步骤为：

步骤1.1：通过用户需求描述提取出用户故事，对提取出的用户故事进行查询；

步骤1.2：将提取的用户故事进行转化，形成从用户输入到结果返回这一过程的查询结构，

步骤1.3：:梳理出数据库表列级数据访问控制领域涉及的概念有：用户、业务数据表、数据表列；如果存储访问数据的白名单，用户和数据表列之间的访问关系是可访问，最终确定出节点和关系的标签和属性，即领域Schema。

步骤2中抽取原有权限模型具体为：从原有基于角色存储的表级权限数据库中抽取权限部分的物理模型，根据权限表设计之间的关系，逆推出概念模型，得到实体和关系，针对简明的权限模型，可以通过人工梳理的方式得到概念模型，而对于复杂的权限模型，需要使用现有的一些逆向工程工具，例如常用的PowerDesigner，MySQL Workbench等，进行导出；然后根据实际需求将原有权限模型中需要继承的实体和关系进行转换，用以补充Schema。

步骤3中知识抽取具体步骤如下：

依据步骤2得到的数据库表列级权限控制领域Schema，将需要提取的信息固定为一种特殊的数据格式，人工梳理出实际运维业务系统对应的列级权限数据文档，然后采用模板的方式从文档中进行实体、关系及其属性值的抽取。

步骤4中处理方法具体步骤如下：

步骤4.1：提取运维业务系统中用户、数据表、数据表包含的字段这三个概念对应的实体信息；

步骤4.2：数据库列级访问控制功能需要配合原有表级权限系统的运转，因此需要对不受列级控制，仅受表级控制的数据表进行访问权限信息补全的处理；

步骤6中知识表示以图形式进行存储。

目前解决企业数据访问控制的有效方法是基于角色的访问控制方法，所以本文通过对原有权限模型的分析，结合列级权限控制的需求，将列级权限数据固化为有时间限制的知识，构建出独立于运维业务数据，面向数据库表列级权限控制领域的知识图谱。这样，使得现实世界的逻辑模型和具体实现的物理模型之间有更加直接的关系，解决了上面提到的问题，同时将海量复杂的权限数据整合成了结构化的有意义的知识，利用知识图谱在知识问答、语义搜索等领域的研究，更高效地解决这一领域问题。

数据库表列级权限数据知识图谱的构建过程如图1所示。具体流程为：(1)知识建模，利用敏捷开发中用户故事的思想进行领域需求分析，得到领域Schema；(2)抽取原有权限模型，分析原有的存储基于角色的表级权限控制的关系型数据库，得到权限模型，用以补充和完善从用户故事中得到的Schema；(3)知识抽取，人工梳理结构化的列级权限数据文档，抽取相应的实体、关系和属性；(4)处理原有权限系统信息；(5)知识合并，将知识抽取的结果与原有权限系统信息进行合并；(6)数据库表列级权限数据知识存储。

2.1知识建模

知识建模的流程如图2所示。

用户故事是用户和用户需求的一个简短描述，在软件开发中，用户故事又称为需求。用户故事的描述形式为：作为一个<角色>，我想要<功能>，以便于<商业价值>。为了了解数据库表列级数据访问控制领域的实体和联系，需要从提取这一领域的用户故事开始。例如，提取的用户故事为：

作为一个数据权限管理者，我想要知道某用户对某些表的某些列有怎样的访问操作权限，以便于我能给该用户返回符合数据权限的数据；

作为一个数据权限管理者，我想要知道某个用户对哪些资源有访问权限，即得到该用户的数据权限视图，以便于我能分析该用户拥有权限的合理性；

作为一个数据权限管理者，我想要知道现有的数据权限集合都有哪些，以便于将其作为系统新用户权限分配的参考；

作为一个数据权限管理者，我想要知道哪个表和新进来的表的列相似度高，以便于我为系统新增数据表做相似的权限分配。

数据库表列级数据访问控制领域的用户故事包括上述四点但不仅限于这四点。第一点是数据库表列级数据访问控制的基本功能，第二点为基于数据库表列级数据访问控制之上可以实现数据权限的监控功能，第三、四点涉及数据库表列级数据权限的变更。

查询是对用户需求是否满足要求的一个重要衡量指标，因此，需要将提取的用户故事进行转化，形成从用户输入到结果返回这一过程的查询结构，以此避免需求中可能出现的逻辑漏洞。

在上述工作的基础上，梳理出数据库表列级数据访问控制领域涉及的概念有：用户、业务数据表、数据表列；如果存储访问数据的白名单，用户和数据表列之间的访问关系是可访问，最终确定出节点和关系的标签和属性，即领域Schema如下表1所示。

表1节点、联系、标签及属性

节点/联系	标签	属性
			用户	User	name
业务数据表	Table	name
			数据表列	Column	name
数据表和列关系	CONTAIN_COLUMN	name
			用户和数据表列关系	ACCESS	name

2.2抽取原有权限模型

数据库表列级权限控制的新需求，需要配合原有权限系统的运转，因此需要从原有基于角色存储的表级权限数据库中抽取权限部分的物理模型，再根据权限表设计之间的关系，逆推出概念模型，得到实体和关系，对2.1中得到的Schema进行补充和完善。具体的抽取数据模型的流程如下图3所示。针对简明的权限模型，可以通过人工梳理的方式得到概念模型，而对于复杂的权限模型，需要使用现有的一些逆向工程工具，例如常用的PowerDesigner，MySQL Workbench等，进行导出。下一步，根据实际需求将原有权限模型中需要继承的实体和关系进行转换，用以补充Schema。例如，原有权限系统基于角色进行控制，必然包括角色和用户之间的关系，那么，如果现有列级数据权限也是需要从角色角度进行划分的，就需要将这些概念扩展至Schema；但是如果现有需求希望权限控制更为灵活，即将用户作为一个数据权限集合，那么这些概念将不作为新权限系统中的知识。

2.3知识抽取

依据上述2.2小节得到的数据库表列级权限控制领域Schema，将需要提取的信息固定为一种特殊的数据格式，人工梳理出实际系统对应的列级权限数据文档，然后采用模板的方式从文档中进行实体、关系及其属性值的抽取。

为了便于理解，本文使用这样一个示例进行说明。假设有业务数据表hardware_info，用于存储某项目所布署的服务器的相关信息，该表包含五个字段：ip，hostname，memory，project_id，timestamp；假设业务系统包含两个用户：user0和user1；对业务数据表hardware_info有如下表2的访问权限。

表2用户访问数据示例

用户	数据表	数据表列
			user0	hardware_info	all
user1	hardware_info	memory，project_id，timestamp

如上表所示，user0可访问所有字段，user1只能访问其部署在服务器的项目的相关信息，即memory，project_id，timestamp三个字段。抽取出的实体、关系及其标签、属性值如下表3，表4所示。

表3示例实体抽取

实体	属性	标签
			user0	{name:’user0’}	User
user1	{name:’user1’}	User
			hardware_info	{name:’hardware_info’}	Table
ip	{name:’ip’}	Column
			hostname	{name:’hostname’}	Column
memory	{name:’memory’}	Column
			project_id	{name:’project_id’}	Column
timestamp	{name:’timestamp’}	Column

表4示例关系抽取

2.4原有权限系统信息处理

这一模块涉及两部分工作。由于列级权限数据文档只涉及受到列级控制的权限数据，会造成基本概念数据的缺失。因此，第一步，需要提取业务系统中用户、数据表、数据表包含的字段这三个概念对应的实体信息。其次，数据库列级访问控制功能需要配合原有表级权限系统的运转，因此需要对不受列级控制，仅受表级控制的数据表进行访问权限信息补全的处理，具体过程如图4所示。

首先，从知识抽取的过程中得到受列级访问控制的数据表，配合从原有权限数据库中得到的受表级访问控制的数据表，提取出用户对应的受表级访问控制，不受列级访问控制的数据表，再结合业务系统数据表和列的关系，构造出可访问这些数据表的用户与数据表所包含的列的全连接访问关系。

这一过程中涉及下面四种情况的处理。以用户user0为示例，有业务数据表table1和table2，table1中包含字段column1和column2，table2包含字段column3和column4。在原有权限系统中，user0对table1有访问权限，对table2没有访问权限。那么，可能增加的列级权限有四种情况：

user0对table1的column1有访问权限，对column2没有访问权限；

table1不受列级权限控制；

user0对table2的column4有访问权限；

table2不受列级权限控制。

针对1和3两种情况，在知识抽取步骤中可以得到，不做补全处理；对于第2种情况，需要进行知识补全，即对user0和table1的所有字段进行可访问关系的补全，如下表5所示；对于第4种情况，不做处理。

表5可访问关系补全

用户	数据表	数据表列
			user0	table1	all

2.5知识合并

根据领域Shema，将2.4中的权限补全信息进行实体，关系及其属性的映射，与2.3小节中得到的知识进行合并。首先，业务系统信息映射，如下表6，表7所示。

表6实体补全

实体	属性	标签
			table1	{name:’table1’}	Table
table2	{name:’table2’}	Table
			column1	{name:’column1’}	Column
column2	{name:’column2’}	Column
			column3	{name:’column3’}	Column
column4	{name:’column4’}	Column

表7关系补全

关系	初始实体	目的实体	标签
				contain_column	table1	column1	CONTAIN_COLUMN
contain_column	table1	column2	CONTAIN_COLUMN
				contain_column	table2	column3	CONTAIN_COLUMN
contain_column	table2	column4	CONTAIN_COLUMN

其次，受表级权限控制，不受列级权限控制信息的映射，如下表8所示。

表8关系补全

关系	初始实体	目的实体	标签
				access	user0	column1	ACCESS
access	user0	column2	ACCESS

2.6知识表示

得到权限知识之后，需要提供高并发、高速度的查询，因此必须使用合理的存储机制。传统的知识存储采用RDF或OWL形式的文件存储形式，使用时，内存加载文件数据，因此这种方式仅在小数据量的情形下效率还可以接受，但是不适用于数据量大的场合。同时，知识图谱中的数据具备了图这一数据结构的特点，因此以图形式存储的图数据库方式是一种更好的选择。并且，基于图的方式进行存储，相较于关系型数据库，没有冗余的标准化，得到的数据模型更简单，也更具表现力，同时，对数据权限的可视化展示，可以方便数据权限使用者对权限分布有整体的把握。本文使用Cypher语言描述实体和联系，对于2.3中的示例描述如下：

1)用户

CREATE(<user_name>:User{name:'<username>'})

2)业务数据表

CREATE(<table_name>:Table{name:'<table_name>'})

3)数据表列

CREATE(<column_name>:Column{name:'<column_name>'})

4)数据表和列的联系

5)用户和数据表列的关系

列：MATCH

根据上述五条Cypher描述语句可以将抽取的实体和联系进行覆盖翻译，其中“<variable>”表示对变量variable的一个具体赋值。

综合上述知识图谱构建过程，可以得到示例对应的知识图谱如下图5所示。

本文提出了一种针对运维业务数据表的列级权限知识图谱构建方法，用以解决运维业务系统中的数据库表列级数据的访问控制问题。本文首先对问题领域进行需求分析，形成该领域Schema，然后抽取了原有权限系统的数据模型，用以补充和完善Schema。之后根据Schema，人工梳理出结构化的列级权限数据文档，并进行知识抽取。接着分析原有运维业务系统的基于表级的权限数据，构造受表级不受列级控制的数据权限知识，并与之前抽取的知识进行合并，最后进行知识存储，得到最终的数据库表列级权限数据知识图谱。

Claims (4)

1.针对运维业务数据表的列级权限知识图谱构建方法，其特征在于，首先对问题领域进行需求分析，形成该领域Schema，然后抽取了原有权限系统的数据模型，用以补充和完善Schema；之后根据Schema，人工梳理出结构化的列级权限数据文档，并进行知识抽取；接着分析原有运维业务系统的基于表级的权限数据，构造受表级不受列级控制的数据权限知识，并与之前抽取的知识进行合并，最后进行知识存储，得到最终的数据库表列级权限数据知识图谱；

具体包括以下步骤：

步骤1：知识建模，

利用敏捷开发中用户故事的思想进行领域需求分析，得到领域Schema；

步骤2：抽取原有权限模型，

分析原有的存储基于角色的表级权限控制的关系型数据库，得到权限模型，用以补充和完善步骤1中从用户故事中得到的Schema；

步骤3：知识抽取，

人工梳理结构化的列级权限数据文档，抽取相应的实体、关系和属性；

步骤4：处理原有权限系统信息；

步骤5：知识合并，

根据领域Shema将步骤4中的权限补全信息进行实体，关系及其属性的映射，与步骤3中得到的知识进行合并；

将步骤3中知识抽取的结果与原有权限系统信息进行合并；

步骤6：数据库表列级权限数据知识存储；

步骤1中知识建模的步骤为：

步骤1.1：通过用户需求描述提取出用户故事，对提取出的用户故事进行查询；

步骤1.2：将提取的用户故事进行转化，形成从用户输入到结果返回这一过程的查询结构，

步骤1.3：梳理出数据库表列级数据访问控制领域涉及的概念有：用户、业务数据表、数据表列；如果存储访问数据的白名单，用户和数据表列之间的访问关系是可访问，最终确定出节点和关系的标签和属性，即领域Schema；

步骤2中抽取原有权限模型具体为：从原有基于角色存储的表级权限数据库中抽取权限部分的物理模型，根据权限表设计之间的关系，逆推出概念模型，得到实体和关系，针对简明的权限模型，可以通过人工梳理的方式得到概念模型，而对于复杂的权限模型，需要使用现有的逆向工程工具PowerDesigner和/或MySQL Workbench进行导出；然后根据实际需求将原有权限模型中需要继承的实体和关系进行转换，用以补充Schema。

2.根据权利要求1所述的针对运维业务数据表的列级权限知识图谱构建方法，其特征在于，步骤3中知识抽取具体步骤如下：

依据步骤2得到的数据库表列级权限控制领域Schema，将需要提取的信息固定为一种特殊的数据格式，人工梳理出实际系统对应的列级权限数据文档，然后采用模板的方式从文档中进行实体、关系及其属性值的抽取。

3.根据权利要求1所述的针对运维业务数据表的列级权限知识图谱构建方法，其特征在于，步骤4中处理方法具体步骤如下：

步骤4.1：提取运维业务系统中用户、数据表、数据表包含的字段这三个概念对应的实体信息；

步骤4.2：数据库列级访问控制功能需要配合原有表级权限系统的运转，因此需要对不受列级控制，仅受表级控制的数据表进行访问权限信息补全的处理。

4.根据权利要求1所述的针对运维业务数据表的列级权限知识图谱构建方法，其特征在于，步骤6中知识表示以图形式进行存储。