CN111753314A - 授权管理方法、系统、装置和计算机存储介质 - Google Patents

Abstract

本发明实施例提供一种授权管理方法、系统、装置和计算机可读存储介质。所述方法包括：获取授权请求；基于授权请求检索关系表，获得授权相关信息，所述授权相关信息包括授权类别和审核人信息；基于审核人信息向审核人发送审核通知并获取审核结果信息；当所述审核结果信息为所述审核人的批准信息时，根据和授权类别对应的操作设置获取数据库的第一用户名和密码；以及设置并验证第一用户名的权限。将授权分为多个授权类别，并在不同授权类别下收集审核结果信息，有针对性的解决授权时效问题，而且虽然审核通知发送给审核人，但是审核过程在系统中执行，从而解决了采用企业内部邮箱发送审核信息导致的安全级别较低的问题。

Description

授权管理方法、系统、装置和计算机存储介质

技术领域

本发明涉及计算机领域，具体涉及一种授权管理方法、系统、装置和计算机存储介质。

背景技术

伴随公司业务的信息化程度不断提升,所有的公司都会面临或即将面临一个新的挑战就是数据安全。为了确保数据安全，全部数据都严格地掌握在数据管理员手里。但是，对数据的再分析和再加工一定需要使用数据库的用户名和密码等敏感信息，例如，算法工程师需要使用数据进行模型训练和验证。一方面，数据管理员应该将这些敏感信息提供给相关人员,另一方面，出于安全考虑数据管理员又不能直接将这些信息供给对方。现有系统针对这一情况开发了数据授权支持模块，通过公司内部邮箱授权请求和算法工程师、数据库管理员、平台管理员三方人工介入授权相结合的方式实现数据授权。

然而，通过公司内部邮箱授权不能保证绝对安全，而人工介入授权不能保证时效性，尤其是，一些数据库的授权需要算法工程师、数据库管理员和平台管理员的三方协作，沟通成本巨大，导致时效性更差。

发明内容

有鉴于此，本发明实施例提供一种授权管理方法，以解决现有的数据授权支持模块中的采用公司内部邮箱授权不能保证安全，采用人工介入授权时效性较差以及时效性较差的问题。

根据本发明实施例的第一方面，提供一种授权管理方法，包括：

获取授权请求；

基于所述授权请求检索关系表，获得授权相关信息，所述授权相关信息包括授权类别和审核人信息；

基于所述审核人信息向审核人发送审核通知并获取审核结果信息；

当接收到所述审核人的批准信息后，根据和所述授权类别对应的操作设置获取所述数据库的第一用户名和密码；以及

设置并验证所述第一用户名的权限。

可选地，所述审核通知中包括一条审核链接。

可选地，所述审核人为多个审核人，所述授权管理方法通过向所述多个审核人提供多个审核界面，以获取多个审核结果信息。

可选地，所述授权类别包括：自动授权、自运维授权和提前授权。

可选地，所述获取审核结果信息包括：

当所述授权类别为自动授权时，所述审核结果信息包括是否批准；

当所述授权类别为自运维授权和提前授权时，所述审核结果信息包括由所述审核人填写的数据库管理员的用户名和密码。

可选地，所述根据和所述授权类别对应的操作设置获取所述数据库的用户名和密码包括：

当所述授权类别为自动授权时，调用应用接口获取所述数据库的所述第一用户名和密码；

当所述授权类别为自运维授权时，基于所述数据库管理员的用户名和密码创建所述第一用户名和密码；以及

当所述授权类别为提前授权时，基于所述数据库管理员的用户名和密码创建之前约定的用户名和密码作为所述第一用户名和密码。

可选地，还包括：将所述第一用户名和密码保存在一个独立的服务器上并加密存储。

可选地，还包括：根据所述第一用户名和密码创建一个访问链接，并存储所述访问链接。

可选地，所述授权请求包括：访问域名、数据库名称、表名称和操作类型的至少一种。

可选地，所述关系表包括多个记录，每条记录包括访问域名、数据库名称、表名称、审核人邮箱、授权类别、操作设置。

可选地，所述审核结果信息包括：是否批准和授权用户信息中的至少一种，所述授权用户信息包括授权用户名和密码。

根据本发明实施例的第二方面，提供一种授权管理系统，包括：

接收模块，用于获取授权请求；

检索模块，用于基于所述授权请求检索关系表，获得授权相关信息，所述授权相关信息包括授权类别和审核人信息；

审批模块，用于基于所述审核人信息向审核人发送审核通知并获取审核结果信息；

获取模块，用于当接收到所述审核人的批准信息后，根据和所述授权类别对应的操作设置获取所述数据库的第一用户名和密码；以及

验证模块，用于设置并验证所述第一用户名的权限。

可选地，所述审核通知中包括一条审核链接。

可选地，所述授权类别包括：自动授权、自运维授权和提前授权。

根据本发明实施例的第三方面，提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，所述计算机指令被执行时实现上述任一项所述的授权管理方法。

根据本发明实施例的第四方面，提供一种授权管理装置，包括：

存储器，用于存储计算机指令；

处理器，耦合到所述存储器，所述处理器被配置为基于所述存储器存储的计算机指令执行实现上述任一项所述的授权管理方法。

本发明实施例具有以下优点或有益效果：将授权分为多个授权类别，并在不同授权类别下收集审核结果信息，有针对性的解决授权时效问题，而且虽然审核通知发送给审核人，但是审核过程在系统中执行，从而解决了采用企业内部邮箱发送审核信息导致的安全级别较低的问题。

进一步地，审核人为一个或多个，对于多个审核人，由系统并行获取多个审核人的审核结果信息，多个审核人之间无需沟通，从而最大程度地确保时效性。

附图说明

通过参照以下附图对本发明实施例的描述，本发明的上述以及其它目的、特征和优点将更为清楚，在附图中：

图1是本发明一示例性的实施例的授权管理方法的流程图；

图2是本发明一示例性的实施例的授权管理方法的流程图；

图3是本发明一示例性的实施例的授权管理系统的结构图；

图4是根据本发明实施例的授权管理装置的结构图。

具体实施方式

以下基于实施例对本发明进行描述，但是本发明并不仅仅限于这些实施例。在下文对本发明的细节描述中，详尽描述了一些特定的细节部分。对本领域技术人员来说没有这些细节部分的描述也可以完全理解本发明。为了避免混淆本发明的实质，公知的方法、过程、流程没有详细叙述。另外附图不一定是按比例绘制的。

图1是本发明一示例性的实施例的授权管理方法的流程图。具体包括以下步骤。

在步骤S101中，获取授权请求。

在步骤S102中，基于授权请求检索关系表，获得授权相关信息，所述授权相关信息包括授权类别和审核人信息。

在步骤S103中，基于审核人信息向审核人发送审核通知并获取审核结果信息。

在步骤S104中，当审核结果信息为所述审核人的批准信息时，根据和授权类别对应的操作设置获取数据库的第一用户名和密码。

在步骤S105中，设置并验证第一用户名的权限。

在本实施例中，根据授权请求获得授权类别和审核人信息，根据审核人信息发送审核通知，并接收审核结果信息，当接收到审核人的批准信息后，根据授权类别对应的操作设置获取数据库的第一用户名和密码，并设置并验证第一用户名的权限。

本实施例的用户可以是算法工程师、运维工程师、数据库初级管理人员、高级管理人员。授权请求包括访问域名(IP地址或服务器名称)、端口号、数据库名、表名等信息。审核结果信息包括是否批准的信息、授权用户名和密码，等等。关系表用于存储授权相关数据。系统检索关系表，得到至少一个审核人信息和数据库的授权类别。审核通知用于通知审核人进行审核，审核通知的方式包括但不限于邮件、微信、QQ等通信方式。操作设置和授权类别对应，操作设置用于描述如何获得数据库的第一用户名和密码，最终的步骤S105是对于获得的数据库的第一用户名的权限进行设置和验证。

在本实施例中，将授权分为多个授权类别，并在不同授权类别下收集审核结果信息，有针对性的解决授权时效问题，而且虽然审核通知发送给审核人，但是审核过程在系统中执行，从而解决了采用企业内部邮箱发送审核信息导致的安全级别较低的问题。

本实施例中的审核人可以为一个或多个，对于多个审核人，由系统并行获取多个审核人的审核结果信息，多个审核人之间无需沟通，从而最大程度上确保时效性。本实施例根据授权请求定制第一用户的权限，由于只向用户提供满足需求的基本权限，从而最大程度上确保数据安全。

对于多个审核人，系统可提供多个审核界面，通过多个审核界面收集多个审核结果信息。多个审核人可以为一种角色或多个角色。多种角色的审核人例如研发工程师、平台管理员和数据库管理员，研发工程师审核是否批准，平台管理员提供平台管理员的用户名和密码，数据库管理员提供数据库管理员的用户名和密码，因此多个角色的审核人各自得到的审核界面不同。一种角色的审核人可有以下两种可选的实施例方式：一种实施方式是将审核人可分为多个级别，如果较高级别的审核人比较低级别的审核人在先批准审核通知，则默认较低级别的审核人也批准了审核通知；另一种实施方式则要求系统必须得到每个审核人的批准信息。

图2是本发明一示例性的实施例的授权管理方法的流程图。具体包括以下步骤。

在步骤S201中，录入授权请求所需的信息。

在步骤S202中，获取授权类别。

在步骤S203中，判定授权类别。

在步骤S204中，当授权类别为自动授权时，发送审核通知并接收审核结果信息。

在步骤S205中，当授权类别为自运维授权时，发送审核通知并接收审核结果信息。

在步骤S206中，当授权类别为提前授权时，发送审核通知并接收审核结果信息。

在步骤S207中，当授权类别为自动授权时，调用应用接口获得第一用户名和密码。

在步骤S208中，当授权类别为自运维授权时，创建新的用户名和密码作为第一用户名和密码。

在步骤S209中，当授权类别为提前授权时，根据之前的约定创建新的用户名和密码作为第一用户名和密码。

在步骤S210中，设置并验证第一用户名的权限。

本实施例和图1的实施例的区别在于本实施例中提出了三种授权类别，这三种授权类别各自基于预先定义的操作设置获取数据库的第一用户名和密码。自动授权调用一个预先定义的应用接口获取数据库的第一用户名和密码，自运维授权基于数据库管理员的用户名和密码创建新的用户名和密码作为第一用户名和密码，提前授权基于数据库管理员的用户名和密码创建之前约定的用户名和密码作为第一用户名和密码。自动授权针对经由统一数据管理平台管理的数据库，统一数据管理平台提供相应API，通过调用API得到第一用户名和密码。提前授权针对一些常规系统,比如库房的开仓系统，在先对于数据库的用户名和密码有约定，则基于数据库管理员的权限创建在先约定的用户名和密码即可。自运维授权针对一些小而散的数据库,基于数据库管理员的权限创建新的用户名和密码作为第一用户名和密码。

应该理解，本实施例中的三种授权类别只用于示例性描述。研发人员可以根据业务特征随时增加授权类别，并定义新增的授权类别的操作设置，而且，获取到的第一用户名和密码可为基于当前的授权请求新建的用户名和密码，也可以是数据库已有的用户名和密码。

在一些实施例中，授权请求中还包括操作类型，操作类型用于说明用户使用获取到的用户名和密码作何操作。例如，操作类型是从MySQL数据库中实时抽取数据到Hive中，操作类型也可以是从MySQL数据库中离线抽取数据到Hive中，或者，操作类型也可以是采用外推方式从Hive中将数据导回到MySQL中，等等。Hive是建立在Hadoop上的数据仓库基础构架。它提供了一系列的工具，可以用来进行数据提取转化加载，这是一种可以存储、查询和分析存储在Hadoop中的大规模数据的机制。操作类型会影响到对于第一用户名的权限设定。例如，操作类型是离线操作，则只允许离线读取数据，操作类型是实时操作，则可以在日常工作中读取数据。

在一些实施例中，授权请求具有如下数据结构：

访问域名

数据库名称

表名称

操作类型

备用

其中，操作类型用于说明用户使用获取到的用户名和密码作何操作。访问域名为IP地址或计算机名称。

在一些实施例中，关系表具有如下数据结构：

关系表预先定义，例如，研发人员创建新的数据库或表时，将数据库或表的授权相关信息都存储到关系表中用于后续授权管理中使用。访问域名是授权请求中的IP地址或计算机名称。操作设置和授权类别对应。

上述实施例获得的第一用户名对应的权限一般小于数据库管理员的权限，例如，第一用户名只能操作有限数量的表，数据库管理员则可以操作所有的表。通过将第一用户的权限定义为仅仅满足用户的基本需求，有助于增强数据的安全性。第一用户名和密码可作为数据源信息的一部分单独存储在一台安全性很高的数据库服务器上,并且使用jdk的security和crypto工具对数据库的用户名和密码进行了加密。应该理解，算法工程师第一次请求授权时，获得了上述数据源信息并保存到数据表中，后续算法工程师可以沿用该数据源信息，而无需次次申请。数据源信息还可以包含时效字段，用于限定该数据源信息的有效时段。为了提高安全级别，数据源信息可以限定访问域名。例如，对于某个数据库的某个表，只有从服务器A上发起的http请求才具有相应权限。同时，还可以采用双向加密的方法提高安全级别。而且，数据源信息还可以包含一个访问链接，该访问链接在第一次提交授权请求时生成，然后该访问链接作为数据源信息的一部分存储在数据库服务器上。后续算法工程师可以直接使用该访问链接访问相应的数据源。该访问链接例如是一个http的访问链接。

综上，本发明实施例的授权管理方法通过严格格式化约束和数据控制,不允许有敏感信息被任何人使用。

图3是本发明一示例性的实施例的授权管理系统的结构图。具体包括接收模块301、检索模块302、审批模块303、获取模块304和验证模块305。

具体地，接收模块301用于获取授权请求。检索模块302基于授权请求检索预先设置的关系表，获得授权相关信息，授权相关信息包括授权类别和审核人信息。审批模块303基于审核人信息向审核人发送审核通知并获取审核结果信息。获取模块304当接收到审核人的批准信息后，根据和授权类别对应的操作设置获取数据库的第一用户名和密码。验证模块305用于设置并验证第一用户名的权限。

在本实施中，授权请求例如根据用户输入的信息生成。授权请求中可以包括访问域名(IP地址或服务器名称)、端口号、数据库名、表名等信息。审核结果信息包括是否批准的信息和/或授权用户名和密码，授权用户名和密码为数据库的数据库管理员的用户名和密码，如果在后续的数据库操作中需要使用数据库管理员的用户名和密码，则在此要求审核人提供。系统检索关系表，得到至少一个审核人信息和被请求的数据库的授权类别。根据至少一个审核人信息向审核人发送审核通知，例如向审核人发送一封邮件。审核通知例如包括一个审核链接，审核链接跳转到系统提供的一个审核界面上。操作设置和授权类别对应，操作设置用于描述如何获得被请求的数据库的第一用户名和密码。

在一些实施例中，授权类别包括自动授权、自运维授权和提前授权。当授权类别为自动授权时，不需要填写授权用户名和密码，审核结果信息仅包括是否批准。当授权类别为自运维授权和提前授权时，需要填写数据库管理员的用户名和密码，因此审核结果信息包括由所述审核人填写的数据库管理员的用户名和密码以及是否批准的信息。审核结果信息和审核界面对应，通过审核界面控制审核人填入的审核结果信息。

在一些实施例中，当授权类别为自动授权时，调用应用接口获取数据库的第一用户名和密码，当授权类别为自运维授权时，基于数据库管理员的用户名和密码创建第一用户名和密码；以及当授权类别为提前授权时，基于数据库管理员的用户名和密码创建之前约定的用户名和密码作为第一用户名和密码。

图4是根据本发明实施例的授权管理装置的结构图。图4示出的设备仅仅是一个示例，不应对本发明实施例的功能和使用范围构成任何限制。

参考图4，该装置包括通过总线连接的处理器401、存储器402和输入输出设备403。存储器402包括只读存储器(ROM)和随机访问存储器(RAM)，存储器402内存储有执行系统功能所需的各种计算机指令和数据，处理器401从存储器402中读取各种计算机指令以执行各种适当的动作和处理。输入输出设备包括键盘、鼠标等的输入部分；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分；包括硬盘等的存储部分；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分。存储器402还存储有以下的计算机指令以完成本发明实施例的装置规定的操作：获取授权请求；基于授权请求检索关系表，获得授权相关信息，所述授权相关信息包括授权类别和审核人信息；基于所述审核人信息向审核人发送审核通知并获取审核结果信息；当接收到所述审核人的批准信息后，根据和所述授权类别对应的操作设置获取所述数据库的第一用户名和密码；以及设置并验证所述第一用户名的权限。

相应地，本发明实施例提供一种计算机可读存储介质，该计算机可读存储介质存储有计算机指令，所述计算机指令被执行时实现上述方法所规定的操作。

附图中的流程图、框图图示了本发明实施例的系统、方法、装置的可能的体系框架、功能和操作，流程图和框图上的方框可以代表一个模块、程序段或仅仅是一段代码，所述模块、程序段和代码都是用来实现规定逻辑功能的可执行指令。也应当注意，所述实现规定逻辑功能的可执行指令可以重新组合，从而生成新的模块和程序段。因此附图的方框以及方框顺序只是用来更好的图示实施例的过程和步骤，而不应以此作为对发明本身的限制。

系统的各个模块或单元可以通过硬件、固件或软件实现。软件例如包括采用JAVA、C/C++/C#、SQL等各种编程语言形成的编码程序。虽然在方法以及方法图例中给出本发明实施例的步骤以及步骤的顺序，但是所述步骤实现规定的逻辑功能的可执行指令可以重新组合，从而生成新的步骤。所述步骤的顺序也不应该仅仅局限于所述方法以及方法图例中的步骤顺序，可以根据功能的需要随时进行调整。例如将其中的某些步骤并行或按照相反顺序执行。

根据本发明的系统和方法可以部署在单个或多个服务器上。例如，可以将不同的模块分别部署在不同的服务器上，形成专用服务器。或者，可以在多个服务器上分布式部署相同的功能单元、模块或系统，以减轻负载压力。所述服务器包括但不限于在同一个局域网以及通过Internet连接的多个PC机、PC服务器、刀片机、超级计算机等。

以上所述仅为本发明的优选实施例，并不用于限制本发明，对于本领域技术人员而言，本发明可以有各种改动和变化。凡在本发明的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (14)

1.一种授权管理方法，其特征在于，包括：

获取授权请求；

基于所述授权请求检索关系表，获得授权相关信息，所述授权相关信息包括授权类别和审核人信息；

基于所述审核人信息向审核人发送审核通知并获取审核结果信息；

当所述审核结果信息为所述审核人的批准信息时，根据和所述授权类别对应的操作设置获取所述数据库的第一用户名和密码；以及

设置并验证所述第一用户名的权限。

2.根据权利要求1所述的授权管理方法，其特征在于，所述审核通知中包括一条审核链接。

3.根据权利要求1所述的授权管理方法，其特征在于，所述审核人为多个审核人，所述授权管理方法通过向所述多个审核人提供多个审核界面，以获取多个审核结果信息。

4.根据权利要求1所述的授权管理方法，其特征在于，所述授权类别包括：自动授权、自运维授权和提前授权。

5.根据权利要求4所述的授权管理方法，其特征在于，所述获取审核结果信息包括：

当所述授权类别为自动授权时，所述审核结果信息包括是否批准；

当所述授权类别为自运维授权和提前授权时，所述审核结果信息包括由所述审核人填写的数据库管理员的用户名和密码。

6.根据权利要求5所述的授权管理方法，其特征在于，所述根据和所述授权类别对应的操作设置获取所述数据库的用户名和密码包括：

当所述授权类别为自动授权时，调用应用接口获取所述数据库的所述第一用户名和密码；

当所述授权类别为自运维授权时，基于所述数据库管理员的用户名和密码创建所述第一用户名和密码；以及

当所述授权类别为提前授权时，基于所述数据库管理员的用户名和密码创建之前约定的用户名和密码作为所述第一用户名和密码。

7.根据权利要求1所述的授权管理方法，其特征在于，还包括：将所述第一用户名和密码保存在一个独立的服务器上并加密存储。

8.根据权利要求1所述的授权管理方法，其特征在于，还包括：根据所述第一用户名和密码创建一个访问链接，并存储所述访问链接。

9.根据权利要求1所述的授权管理方法，其特征在于，所述授权请求包括：访问域名、数据库名称、表名称和操作类型的至少一种。

10.根据权利要求1所述的授权管理方法，其特征在于，所述关系表包括多个记录，每条记录包括访问域名、数据库名称、表名称、审核人邮箱、授权类别、操作设置。

11.根据权利要求1的授权管理方法，其特征在于，所述审核结果信息包括：是否批准和授权用户信息中的至少一种，所述授权用户信息包括授权用户名和密码。

12.一种授权管理系统，其特征在于，包括：

接收模块，用于获取授权请求；

检索模块，用于基于所述授权请求检索关系表，获得授权相关信息，所述授权相关信息包括授权类别和审核人信息；

审批模块，用于基于所述审核人信息向审核人发送审核通知并获取审核结果信息；

获取模块，用于当所述审核结果信息为所述审核人的批准信息时，根据和所述授权类别对应的操作设置获取所述数据库的第一用户名和密码；以及

验证模块，用于设置并验证所述第一用户名的权限。

13.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令被执行时实现如权利要求1至11任一项所述的授权管理方法。

14.一种授权管理装置，其特征在于，包括：

存储器，用于存储计算机指令；

处理器，耦合到所述存储器，所述处理器被配置为基于所述存储器存储的计算机指令执行实现如权利要求1至11中任一项所述的授权管理方法。

Images