CN111818090B - 一种SaaS平台上的权限管理方法和系统 - Google Patents

Abstract

本发明公开了一种SaaS平台上的权限管理方法和系统，包括：获取SaaS平台上的功能管理模块：平台、系统、应用、资源；向基于RBAC模型的SaaS平台上权限管理体系中添加职员，将职员和角色之间关系与RBAC模型中用户和角色之间关系对应，通过职员管理用户在不同系统上的权限；将资源、应用、系统、平台的概念与RBAC模型中的被控对象对应，并根据资源、应用、系统、平台之间的关系，通过职员管理用户在资源、应用、平台上的权限。本发明通过用户与职员之间的关系形成SaaS平台上不同系统间的管理关系，由用户的模型进行用户数据的管理以及各个平台、系统间的信息共享，用职员进行用户与系统间的关联；从而使SaaS平台上对于权限的管理能够更好的适应功能可配置的情况。

Description

一种SaaS平台上的权限管理方法和系统

技术领域

本发明涉及权限管理技术领域，更具体的涉及一种SaaS平台上的权限管理方法和系统。

背景技术

多年前中国企业级SaaS浪潮就已经开始兴起，SaaS市场一再成为媒体和资本关注的焦点。几乎每个企业都有一个平台梦，国内的企业也在大力发展SaaS平台。在此过程中SaaS平台在各自的业务垂直领域内形成一套业务流程或者操作规范。而现在的SaaS平台上关于配合租户、功能管理进行用户的权限管理仍然是处于纯粹的RBAC0阶段。对于现在行业内还在使用多租户技术进行租户的数据隔离工作，对于SaaS平台上的功能使用平台、系统、应用、资源进行管理，而权限管理怎样配合租户和功能管理成为主要问题。

从应用架构师的观点来看，一般的SaaS结构应该至少满足以下三个特点中的一个或多个，它们就是：可扩展性，可配置性，多租户高效性。从广义上说，可采用四级模型来说明SaaS应用的成熟度，每一级都比前一级增加了上述三种成熟特性中的一种。SaaS平台也随着浪潮的发展逐渐发展成为满足三个特点的，但对于这三个特性都支持后支持的程度就不甚相同。可以使用平台、系统、应用、资源进行管理，进行功能方向的可扩展、可配置行，而在权限管理上也需要进行这三个特性的支持；并且权限管理还需要配合功能管理的四项进行整体的一体化方案。现阶段业内使用的RBAC方式，其权限管理不能适应功能管理中可配置的场景。

发明内容

本发明实施例提供一种SaaS平台上的权限管理方法和系统，用以解决RBAC的权限管理不能适应功能管理中可配置的场景的问题。

本发明实施例提供一种SaaS平台上的权限管理方法和系统，包括：

获取SaaS平台上的功能管理模块：平台、系统、应用、资源；

向基于RBAC模型的SaaS平台上权限管理体系中添加职员，将职员和角色之间关系与RBAC模型中用户和角色之间关系对应，通过职员管理用户在不同系统上的权限；

将资源、应用、系统、平台的概念与RBAC模型中的被控对象对应，并根据资源、应用、系统、平台之间的关系，通过职员管理用户在资源、应用、平台上的权限。

进一步地，本发明实施例提供的SaaS平台上的权限管理方法，还包括：

将平台、系统、应用与租户之间关系，形成用户和职员之间关系，通过职员管理租户在平台、系统、应用上的权限。

进一步地，所述职员产生的时间，包括：

对于公共开放的系统，在用户登录的时候直接产生职员信息；

对于需要购买才能进行开通的系统，需要进行配置以生成职员信息。

进一步地，所述资源、应用、系统、平台之间的关系，包括：

所述资源，描述平台中对于特定领域中的功能；所述应用，建立平台P上某个特定领域中业务闭环的功能合集；所述系统，构建应用App的展示规范、组织规范、资源规范、基础数据规范；所述平台，在SaaS平台的侧面形成不同的系统Sys；

且所述平台、所述系统、所述应用、所述资源之间跨模型连接。

进一步地，本发明实施例提供的SaaS平台上的权限管理方法，还包括：

对于角色是属于平台上特性系统的角色，基于不同的使用与管理角色进行平台的划分。

进一步地，本发明实施例提供的SaaS平台上的权限管理方法，还包括：

对于平台上不同系统之间共用应用的情况，根据权限的配置进行不同的管理工作，或以系统下的应用管理为准。

进一步地，本发明实施例提供的SaaS平台上的权限管理方法，还包括：

将权限管理以独立的管理中心进行管理。

本发明实施例还提供一种SaaS平台上的权限管理系统，包括：

功能管理模块获取单元，用于获取SaaS平台上的功能管理模块：平台、系统、应用、资源；

系统权限管理单元，用于向基于RBAC模型的SaaS平台上权限管理体系中添加职员，将职员和角色之间关系与RBAC模型中用户和角色之间关系对应，通过职员管理用户在不同系统上的权限；

资源、应用、平台权限管理单元，用于将资源、应用、系统、平台的概念与RBAC模型中的被控对象对应，并根据资源、应用、系统、平台之间的关系，通过职员管理用户在资源、应用、平台上的权限。

进一步地，本发明实施例提供的SaaS平台上的权限管理系统，还包括：

租户权限管理单元，用于将平台、系统、应用与租户之间关系，形成用户和职员之间关系，通过职员管理租户在平台、系统、应用上的权限。

本发明实施例提供一种SaaS平台上的权限管理方法和系统，与现有技术相比，其有益效果如下：

本发明对RABC权限管理进行改进，通过用户与职员之间的关系形成SaaS平台上不同系统间的管理关系，由用户的模型进行用户数据的管理以及各个平台、系统间的信息共享，用职员进行用户与系统间的关联；从而使SaaS平台上对于权限的管理能够更好的适应功能可配置的情况，在此基础上可以针对SaaS平台中系统管理的人员的权限控制达到最大的灵活性；并且可以细化控制所有人员的权限可以做到最小特权原则，对于权限的管理通过平台、系统、应用、资源的方式的安排进行细化的管理方便之后进行人员的责任分离原则。

附图说明

图1为本发明实施例提供的现有技术中基于RBAC模型的SaaS平台上权限管理模型示意图；

图2为本发明实施例提供的适应功能管理可配置场景的基于RBAC模型的SaaS平台上权限管理模型示意图；

图3为本发明实施例提供的层次之间的关系只存在顺序的两个模型层次之间的连接示意图；

图4为本发明实施例提供的以业务覆盖和业务组织的灵活性进行设计时的跨层关系连接模型示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在SaaS平台上通过租户管理将不同的组织隔离在不同的空间内。而在一个组织中会因为不同的作业范围内的人员不同而产生对不同功能产生依赖的不同角色，对于某项操作/功能的许可会被赋予特定的角色形成权限的概念。组织内部的成员/工作人员(或其它系统用户)则被赋予不同的角色或被赋予多个角色，这些用户通过被赋予角色来取得执行某项SaaS平台上的功能的操作权限。

现阶段在SaaS平台上进行权限管理的模型都会采用RBAC模型。在RBAC模型中，实现现阶段的模型如图1所示：E-R图中的权限管理的对象包括菜单、按钮、数据等等，这些对应图1中的资源，以抽象为资源的形式管理系统中的管理对象。但是，对于系统层面的管理以及用户的独立管理都未形成可配置可管理的方面。因此，对于SaaS平台上权限管理，对于更高一层的控制对象都未进行管理，即对于SaaS平台上关于平台、系统、应用、资源的管理仍属于缺失阶段。---技术问题

现阶段对于RBAC模式的实现方式，权限表与权限菜单关联表、权限菜单关联表与菜单表都是多对多的关系，也就是每添加一个菜单，就得同时往这三个表中各插入多条记录，这样，可以不需要权限菜单关联表，让权限表与菜单表直接关联，此时，需在权限表中新增一列用来保存菜单的ID，权限表通过“权限类型”和这个ID来区分是哪种类型下的哪条记录。

本发明实施例提供一种SaaS平台上的权限管理方法，该方法包括：

步骤1，获取SaaS平台上的功能管理模块：平台、系统、应用、资源。

步骤2，向基于RBAC模型的SaaS平台上权限管理体系中添加职员，将职员和角色之间关系与RBAC模型中用户和角色之间关系对应，通过职员管理用户在不同系统上的权限。

步骤3，将资源、应用、系统、平台的概念与RBAC模型中的被控对象对应，并根据资源、应用、系统、平台之间的关系，通过职员管理用户在资源、应用、平台上的权限。

步骤4，将平台、系统、应用与租户之间关系，形成用户和职员之间关系，通过职员管理租户在平台、系统、应用上的权限。

参见图2(E-R图)的SaaS平台上权限管理模型的示意图，其E-R图中的关系说明如下：

用户代表整体的体系中的用户，用户是属于体系的。而平台、系统是体系的一个成员，应用可以组成系统。在授权与使用过程中职员可以代表系统中更为通用的用户概念。

通过在实现模型中添加职员，将平台用户和系统用户拆分开使其关注点更少。使用用户实体作为整体SaaS平台的用户，以职员来管理用户在不同系统上的权限。这样可以更好的分离用户与权限之间的关系。将职员与角色之间关系对应RBAC中用户U与角色R之间的关系。

通过应用、系统、平台与租户之间的关系形成用户U和职员O之间的关系。在操作过程中可以更加完善的管理系统权限功能。

职员与权限之间的关系使用角色进行管理。用户必须与系统间产生职员的信息才有权限进行系统的登录。对于系统中的职员的产生时机与时间可以根据不同系统的特点进行。例如一些公共开放的系统可以在用户登录的时候直接产生这个关系，而对于需要购买才可以进行开通的系统需要进行配置以生成职员信息。

将资源、应用、系统、平台的概念对应RBAC中的被控对象。被控对象之间的关系为：

租户：SaaS平台的使用企业，各用户只能在租户许可的范围内使用系统，记作T＝{t1,t2,...,tn}，表示所有租户的集合。

平台：企业服务中针对不同的业务领域的SaaS平台。记作P＝{p1,p2,...,pn}，表示所有SaaS平台的集合。

系统：针对领域中提供应用运行时环境的系统。记作Sys＝{sys1,sys2,...,sysn}，表示所有的需要管理的软件系统。

应用：为了提供特定领域中的应用管理的系统。记作App＝{app1,app2,...,appn}，表示所有的需要管理的应用。

资源：所有需要设置权限的资源通称，如某部分数据，记作Res＝{res1,res2,...,resn}。其中Res(t)表示租户t的资源集合。

上面介绍了平台(P)、系统(Sys)、应用(App)、资源(Res)针对这几个模型之间的关系的定义，对于模型间的关系可以是任何形式的组织关系。但对于模型的易用程度以及管理难度来看，在本模型中建议层次之间的关系只存在顺序的两个模型层次之间，参见图3。在本模型中每一层中的对象都不一定必须与上下级对象产生关系，图3中只是简单说实例，以这样的方式可以更好的满足笛卡尔积并实现所有的功能。在以业务覆盖和业务组织的灵活性方面进行设计时可以设计成如图4所示的跨层关系连接，这样可以达到最大的灵活性与管理能力。

平台与RBAC中的权限管理可以呈现为多种形式。主要呈现在用户与平台之间的关系是间接关系，以这种间接关系剥离平台与用户间的关系。在SaaS体系中独立的进行用户的管理工作。不管用户从那个系统，那个平台，那个应用加入到SaaS体系中都可以为其他平台，其他系统，其他应用做用户认证与会话保持工作。

对于角色是属于平台上特性系统的角色，例如在开放平台的管理端上不可能有开放平台的用户出现。这样可以基于不同的使用与管理角色进行平台的划分。在同一端中一个职员也可以拥有多个角色。不同的角色可以对应不同的应用，资源，系统。这里与职员、系统间关系产生了冲突，冲突是规定用户与系统之间产生关系才可以形成职员。职员必须在系统中，而职员可以包括不同系统中的角色。这里使用系统来规划角色的。

角色与应用之间的关系可以是跨系统的，对于平台上不同系统之间共用应用的，可以根据权限的配置进行不同的管理工作。对于一个用户来说可以配置应用权限，以保证在不同的系统中都可以使用相同的应用进行相关的管理工作。也可以不给用户配置应用权限，以系统下的应用管理为准。这样就可以更好的为用户配置权限。

在实现中可以将权限管理模型规划在独立于系统/平台的独立管理中心进行权限的管理工作，也可以结合在特定的系统中进行管理。这里建议将权限管理以独立的管理中心进行管理，这样可以更好的支撑新系统，新平台的加入。以更好的满足SaaS平台的权限管理可配置性。

综上所述，本发明中基于RBAC核心模型进行用户、角色、权限、会话的管理，而进一步扩展了现有RBAC实现模式中的模型以及模型间的关系，以这种形式更好的在权限方面提供可配置型与可扩展能力，在系统与用户之间形成的一种关系实体以职员的信息形式进行承载。然后以职员实体填入到RBAC模型中的用户U的概念。系统中的被控资源扩展定义为平台、系统、应用、资源。角色可以对这些系统中的资源进行控制和管理。以充实的实体与实体间关系补充了SaaS体系上RBAC模型的不足。其中，RBAC实施情况中原来的控制资源：菜单，按钮，数据等扩展为平台，系统，应用等可控的更高级资源，使用职员隔离系统与用户之间的关系。

相关概念说明

SaaS(Software-as-a-Service)是软件即服务，即通过网络提供软件服务。SaaS平台供应商将应用软件统一部署在自己的服务器上，客户可以根据工作实际需求，通过互联网向厂商定购所需的应用软件服务，按定购的服务多少和时间长短向厂商支付费用，并通过互联网获得Saas平台供应商提供的服务。

多租户技术(英语：multi-tenancy technology)或称多重租赁技术，是一种软件架构技术，它是在探讨与实现如何于多用户的环境下共用相同的系统或程序组件，并且仍可确保各用户间数据的隔离性。

权限管理，一般指根据系统设置的安全规则或者安全策略，用户可以访问而且只能访问自己被授权的资源，不多不少。权限管理几乎出现在任何系统里面，只要有用户和密码的系统。很多人常将“用户身份认证”、“密码加密”、“系统管理”等概念与权限管理概念混淆。现在流行的权限管理方式包括ACL,DAC,MAC,RBAC,ABAC。

RBAC：基于角色的访问控制(RBAC)是实施面向企业安全策略的一种有效的访问控制方式。

基于同一发明构思，本发明实施例还提供一种SaaS平台上的权限管理系统，该系统包括：

功能管理模块获取单元，用于获取SaaS平台上的功能管理模块：平台、系统、应用、资源。

系统权限管理单元，用于向基于RBAC模型的SaaS平台上权限管理体系中添加职员，将职员和角色之间关系与RBAC模型中用户和角色之间关系对应，通过职员管理用户在不同系统上的权限。

资源、应用、平台权限管理单元，用于将资源、应用、系统、平台的概念与RBAC模型中的被控对象对应，并根据资源、应用、系统、平台之间的关系，通过职员管理用户在资源、应用、平台上的权限。

租户权限管理单元，用于将平台、系统、应用与租户之间关系，形成用户和职员之间关系，通过职员管理租户在平台、系统、应用上的权限。

需要说明的是，本发明实施例提供的一种SaaS平台上的权限管理系统和一种SaaS平台上的权限管理方法基于同一发明构思，因此，一种SaaS平台上的权限管理系统的具体实施方式和说明参见一种SaaS平台上的权限管理方法的具体实施方式和说明，在此不再赘述。

以上公开的仅为本发明的几个具体实施例，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围，但是，本发明实施例并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围内。

Claims (7)

1.一种SaaS平台上的权限管理方法，其特征在于，包括：

获取SaaS平台上的功能管理模块：平台、系统、应用、资源；

向基于RBAC模型的SaaS平台上权限管理体系中添加职员，将职员和角色之间关系与RBAC模型中用户和角色之间关系对应，通过职员管理用户在不同系统上的权限；

将资源、应用、系统、平台的概念与RBAC模型中的被控对象对应，并根据资源、应用、系统、平台之间的关系，通过职员管理用户在资源、应用、平台上的权限；

将平台、系统、应用与租户之间关系，形成用户和职员之间关系，通过职员管理租户在平台、系统、应用上的权限。

2.如权利要求1所述的SaaS平台上的权限管理方法，其特征在于，所述职员产生的时间，包括：

对于公共开放的系统，在用户登录的时候直接产生职员信息；

对于需要购买才能进行开通的系统，需要进行配置以生成职员信息。

3.如权利要求1所述的SaaS平台上的权限管理方法，其特征在于，所述资源、应用、系统、平台之间的关系，包括：

所述资源，描述平台中对于特定领域中的功能；所述应用，建立平台P上某个特定领域中业务闭环的功能合集；所述系统，构建应用App的展示规范、组织规范、资源规范、基础数据规范；所述平台，在SaaS平台的侧面形成不同的系统Sys；

且所述平台、所述系统、所述应用、所述资源之间跨模型连接。

4.如权利要求1所述的SaaS平台上的权限管理方法，其特征在于，还包括：

对于角色是属于平台上特性系统的角色，基于不同的使用与管理角色进行平台的划分。

5.如权利要求1所述的SaaS平台上的权限管理方法，其特征在于，还包括：

对于平台上不同系统之间共用应用的情况，根据权限的配置进行不同的管理工作，或以系统下的应用管理为准。

6.如权利要求1所述的SaaS平台上的权限管理方法，其特征在于，还包括：

将权限管理以独立的管理中心进行管理。

7.一种SaaS平台上的权限管理系统，其特征在于，包括：

功能管理模块获取单元，用于获取SaaS平台上的功能管理模块：平台、系统、应用、资源；

系统权限管理单元，用于向基于RBAC模型的SaaS平台上权限管理体系中添加职员，将职员和角色之间关系与RBAC模型中用户和角色之间关系对应，通过职员管理用户在不同系统上的权限；

资源、应用、平台权限管理单元，用于将资源、应用、系统、平台的概念与RBAC模型中的被控对象对应，并根据资源、应用、系统、平台之间的关系，通过职员管理用户在资源、应用、平台上的权限；

租户权限管理单元，用于将平台、系统、应用与租户之间关系，形成用户和职员之间关系，通过职员管理租户在平台、系统、应用上的权限。

Images