CN112632575A - 业务系统的权限管理方法、装置、计算机设备及存储介质 - Google Patents

Abstract

本申请涉及访问控制技术领域，公开了一种业务系统的权限管理方法，包括：权限管理系统根据各业务系统的可访问资源关联的业务岗位信息配置权限角色；接收到用户账户发送的角色申请请求时，将角色申请请求所针对的权限角色作为目标权限角色，并从统一用户管理系统上获取用户账户关联的用户信息；检测用户信息中的业务岗位信息与目标权限角色关联的业务岗位信息是否匹配；若是，将目标权限角色与用户账户关联并生成权限关联信息；将权限关联信息发送至统一用户管理系统进行存储。本申请还可应用于区块链技术领域。本申请还公开了一种业务系统的权限管理装置、计算机设备以及计算机可读存储介质。本申请提高了对业务系统数据进行访问的安全性。

Description

业务系统的权限管理方法、装置、计算机设备及存储介质

技术领域

本申请涉及访问控制技术领域，尤其涉及一种业务系统的权限管理方法、业务系统的权限管理装置、计算机设备以及计算机可读存储介质。

背景技术

在传统权限模型中，一般是直接把数据访问权限赋予用户。而在RBAC(基于角色的访问控制)中，增加了“角色”的概念，通过先把数据访问权限赋予权限角色，再把权限角色赋予用户。这样，由于增加了权限角色，对数据访问授权会更加灵活方便。

目前，业务平台各子系统通过ESG接口方式同步到平台上，由子系统各自进行权限角色管理以及权限角色与可访问资源的绑定关系维护，平台再通过基表服务下发相关权限角色数据到各子系统中。

但这样一来，就难以做到对权限角色进行集中管理，导致拥有多个业务系统的权限角色的业务人员跨系统登录后，容易出现水平越权访问数据的情况(例如利用B系统的3级权限角色进入B系统的访问页面后，又利用A系统的2级权限角色对B系统2级权限角色的相关数据进行访问)，这就会使得业务系统存在数据安全漏洞。

上述内容仅用于辅助理解本申请的技术方案，并不代表承认上述内容是现有技术。

发明内容

本申请的主要目的在于提供一种业务系统的权限管理方法、业务系统的权限管理装置、计算机设备以及计算机可读存储介质，旨在解决如何保证基于权限角色的访问授权的灵活性的同时，避免后续数据访问过程中出现水平越权访问数据的情况，而导致数据访问存在安全隐患的问题。

为实现上述目的，本申请提供一种业务系统的权限管理方法，包括以下步骤：

根据每项可访问资源关联的业务岗位信息，为所述可访问资源配置权限角色；

接收到用户账户发送的角色申请请求时，将所述角色申请请求所针对的所述权限角色作为目标权限角色，并从维护所述用户账户的统一用户管理系统上获取所述用户账户关联的用户信息；

检测所述用户信息中的业务岗位信息与所述目标权限角色关联的业务岗位信息是否匹配；

若是，将所述目标权限角色与所述用户账户关联并生成权限关联信息；

将所述权限关联信息发送至所述统一用户管理系统进行存储，其中，当所述用户账户请求访问所述业务系统上的可访问资源时，所述业务系统根据从所述统一用户管理系统上获取得到的权限关联信息，确定所述用户账户关联的权限角色，以校验所述用户账户是否可对所述可访问资源进行访问。

进一步地，所述将所述目标权限角色与所述用户账户关联并生成权限关联信息的步骤包括：

根据所述用户信息和所述目标权限角色生成第一通知信息，并将所述第一通知信息发送至所述目标权限角色对应的业务系统；

接收到所述业务系统基于所述第一通知信息反馈的审批通过信息时，将所述目标权限角色与所述用户账户关联，并生成所述用户账户对应的权限关联信息。

进一步地，所述根据所述用户信息和所述目标权限角色生成第一通知信息，并将所述第一通知信息发送至所述目标权限角色对应的业务系统的步骤之后，还包括：

接收到所述业务系统基于所述第一通知信息反馈的审批未通过信息时，将所述审批未通过信息转发至所述用户账户关联的用户设备。

进一步地，所述根据每项可访问资源关联的业务岗位信息，为所述可访问资源配置权限角色的步骤之后，还包括：

将所述权限角色与所述业务岗位信息关联发送至存储服务端以块链式的账本进行存储；

接收到用户账户发送的角色申请请求时，基于所述存储服务端查询所述目标权限角色关联的业务岗位信息；

基于查询得到的业务岗位信息，执行所述检测所述用户信息中的业务岗位信息与所述目标权限角色关联的业务岗位信息是否匹配的步骤。

进一步地，所述检测所述用户信息中的业务岗位信息与所述目标权限角色关联的业务岗位信息是否匹配的步骤之后，还包括：

若否，判定所述用户账户不具备所述目标权限角色的申请资格，并驳回所述角色申请请求。

进一步地，所述检测所述用户信息中的业务岗位信息与所述目标权限角色关联的业务岗位信息是否匹配的步骤之后，还包括：

若否，检测所述用户信息中的业务岗位信息是否属于所述目标权限角色对应的业务系统；

检测到所述用户信息中的业务岗位信息属于所述目标权限角色对应的业务系统时，向所述用户账户获取所述目标权限角色对应的申请备注信息；

根据所述用户信息、所述目标权限角色和所述申请备注信息生成第二通知信息，并将所述第二通知信息发送至所述目标权限角色对应的业务系统；

接收到所述业务系统基于所述第二通知信息反馈的审批通过信息时，将所述目标权限角色对应的临时权限角色与所述用户账户关联，并生成所述用户账户对应的权限关联信息。

进一步地，所述检测到所述用户信息中的业务岗位信息属于所述目标权限角色对应的业务系统时，向所述用户账户获取所述目标权限角色对应的申请备注信息的步骤包括：

检测到所述用户信息中的业务岗位信息属于所述目标权限角色对应的业务系统时，检测所述用户信息中的业务岗位信息对应的岗位等级是否与所述目标权限角色对应的权限等级匹配；

若是，向所述用户账户获取所述目标权限角色对应的申请备注信息。

为实现上述目的，本申请还提供一种业务系统的权限管理装置，所述业务系统的权限管理装置包括：

获取模块，用于权限管理系统确定各业务系统的可访问资源并获取组织架构信息，其中，所述组织架构信息包括多个业务岗位信息，所述业务岗位信息具有关联的所述可访问资源；

配置模块，用于根据每项可访问资源关联的业务岗位信息，为所述可访问资源配置权限角色；

处理模块，用于接收到用户账户发送的角色申请请求时，将所述角色申请请求所针对的所述权限角色作为目标权限角色，并从维护所述用户账户的统一用户管理系统上获取所述用户账户关联的用户信息；

检测模块，用于检测所述用户信息中的业务岗位信息与所述目标权限角色关联的业务岗位信息是否匹配；

关联模块，用于若是，将所述目标权限角色与所述用户账户关联并生成权限关联信息；

发送模块，用于将所述权限关联信息发送至所述统一用户管理系统进行存储，其中，当所述用户账户请求访问所述业务系统上的可访问资源时，所述业务系统根据从所述统一用户管理系统上获取得到的权限关联信息，确定所述用户账户关联的权限角色，以校验所述用户账户是否可对所述可访问资源进行访问。

为实现上述目的，本申请还提供一种计算机设备，所述计算机设备包括：

所述计算机设备包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的业务系统的权限管理程序，所述业务系统的权限管理程序被所述处理器执行时实现如上述业务系统的权限管理方法的步骤。

为实现上述目的，本申请还提供一种计算机可读存储介质，所述计算机可读存储介质上存储有业务系统的权限管理程序，所述业务系统的权限管理程序被处理器执行时实现如上述业务系统的权限管理方法的步骤。

本申请提供的业务系统的权限管理方法、业务系统的权限管理装置、计算机设备以及计算机可读存储介质，通过实现对权限角色的集中审批和管理，以及明确权限角色与业务岗位之间的对应关系，只允许业务岗位匹配的用户申请相应的权限角色，使得可以保证基于权限角色的访问授权的灵活性的同时，避免后续数据访问过程中出现水平越权访问数据的情况，从而提高了对业务系统进行数据访问的安全性。

附图说明

图1为本申请一实施例中业务系统的权限管理方法步骤示意图；

图2为本申请一实施例的业务系统的权限管理装置示意框图；

图3为本申请一实施例的计算机设备的结构示意框图。

本申请目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

参照图1，在一实施例中，所述业务系统的权限管理方法包括：

步骤S10、权限管理系统确定各业务系统的可访问资源并获取组织架构信息，其中，所述组织架构信息包括多个业务岗位信息，所述业务岗位信息具有关联的所述可访问资源；

步骤S20、根据每项可访问资源关联的业务岗位信息，为所述可访问资源配置权限角色；

步骤S30、接收到用户账户发送的角色申请请求时，将所述角色申请请求所针对的所述权限角色作为目标权限角色，并从维护所述用户账户的统一用户管理系统上获取所述用户账户关联的用户信息；

步骤S40、检测所述用户信息中的业务岗位信息与所述目标权限角色关联的业务岗位信息是否匹配；

步骤S50、若是，将所述目标权限角色与所述用户账户关联并生成权限关联信息；

步骤S60、将所述权限关联信息发送至所述统一用户管理系统进行存储，其中，当所述用户账户请求访问所述业务系统上的可访问资源时，所述业务系统根据从所述统一用户管理系统上获取得到的权限关联信息，确定所述用户账户关联的权限角色，以校验所述用户账户是否可对所述可访问资源进行访问。

本实施例中，实施例终端可以是计算机设备(如一种权限管理系统)，也可以是一种业务系统的权限管理装置。以下以实施例终端为权限管理系统为例进行说明。

如步骤S10所述：权限管理系统接入了多个业务系统。所述业务系统可以是同一业务平台(即业务主系统)下各种拥有不同职能的系统(即业务子系统)。例如金融服务平台下的支付系统、风控系统等。

可选的，每个业务系统可以是将系统上的系统页面，以及所述系统页面提供的各项数据资源，均作为可访问资源，并生成相应的可访问资源清单发送至权限管理系统。例如，某业务系统上具有数据查询页面，该数据查询页面中具有多种数据项，则所述数据查询页面，以及其中各种数据项均可作为可访问资源。

可选的，权限管理系统接收到各业务系统发送的可访问资源清单时，则基于可访问资源清单确定各业务系统上的可访问资源。

可选的，业务平台可以具有一份包括了所有业务系统上各部门-岗位的组织架构信息；或者也可以是每个业务系统均具有一份该系统上各部门-岗位的组织架构信息。其中，组织架构信息中维护有各业务部门下每个业务岗位的业务岗位信息，即所有业务岗位信息对应的业务岗位之间的层级关系，形成了组织架构信息。

应当理解的是，各业务岗位之间的层级关系，是基于业务平台具体的企业管理需要设定的。

可选的，权限管理系统获取的组织架构信息可以是权限管理系统的管理员预先部署在权限管理系统上的，也可以是权限管理系统直接向各业务系统或者业务平台获取的。

可选的，每个业务系统均具有相应的管理员(或者对接人)，这些管理员可使用其在权限管理系统上申请的管理员账户登录权限管理系统，并在权限管理系统上维护各自业务系统上的可访问资源所关联的业务岗位信息，即可访问资源所关联的业务岗位信息，可以是由可访问资源对应的业务系统的相关管理员在权限管理系统上预先设置绑定的。

可选的，一项可访问资源至少关联有一个业务岗位信息，且多个不同的业务岗位信息可关联有同一可访问资源。而且可访问资源关联的业务岗位信息中，至少描述有业务部门和业务岗位。

如步骤S20所述：权限管理系统基于组织架构信息，可以获悉各业务系统上的每项可访问资源所关联的业务岗位信息。

可选的，权限管理系统可以是为每项可访问资源创建对应的权限角色，然后将每项可访问资源关联的业务岗位信息与该可访问资源对应的权限角色关联，且可访问资源对应的权限角色也与可访问资源所属的业务系统对应。

其中，若权限管理系统检测到相互之间存在绑定关系的可访问资源，则将这些相互绑定的可访问资源对应的权限角色进行合并。可访问资源之间的绑定关系，则可以是由相关管理员根据自行绑定设置的。当然，也可以是允许存在未与其他可访问资源进行绑定的可访问资源。

可选的，当可访问资源为系统页面时，则将系统页面对应的权限角色记为第一权限角色；当可访问资源为系统页面上提供的数据资源时，则将数据资源对应的权限角色记为第二权限角色。

可选的，权限管理系统还可以从权限角色关联的业务岗位信息中，确定描述的业务岗位在组织架构中等级最高的业务岗位信息，并根据确定得到的业务岗位信息设定该权限角色的权限等级。应当理解的是，业务岗位信息所描述的业务岗位在组件架构中的等级越高，则业务岗位信息关联的权限角色可设定的权限等级越高。

如步骤S30所述：权限管理系统还接入了统一用户管理系统(例如金融集团的UM系统)，各业务系统上的用户账户都是在统一用户管理系统上进行申请和维护，且统一用户管理系统上还保存有各用户账户对应的用户信息，其中，所述用户信息包括各用户账户对应的用户的业务岗位信息。

可选的，各业务系统的用户(或者业务人员)可以基于其在统一用户管理系统上维护的用户账户，进入权限管理系统提供的角色申请通道。其中，权限管理系统在角色申请通道中提供有基于步骤S20配置完成的权限角色，以供用户申请。

可选的，权限管理系统可以先根据每个所述业务系统的可访问资源对应的权限角色，构建所述业务系统对应的角色申请通道；然后在所述权限管理系统的操作页面中提供所述角色申请通道对应的通道接口，以供所述用户账户基于所述通道接口进入所述角色申请通道，并在所述角色申请通道中选择权限角色生成所述角色申请请求。这样，可以方便用户选择自身所需的权限角色。

可选的，用户可以在角色申请通道中选中想要申请的权限角色，并基于此发出相应的角色申请请求，以向权限管理系统申请权限角色。其中，用户所选中的权限角色，即为角色申请请求针对的权限角色。

可选的，权限管理系统接收到用户账户发送的角色申请请求时，则将该角色申请请求所针对的权限角色作为目标权限角色，并根据该用户账户对应的账户号，从统一用户管理系统上获取所述用户账户关联的用户信息。

如步骤S40所述：权限管理系统获取到用户信息时，则从用户信息中获取当前发送角色申请请求的用户账户(即当前用户账户)所关联的业务岗位信息，基于业务岗位信息即可获悉当前用户账户对应的用户所处的业务部门(或者业务系统)中的具体业务岗位。

可选的，权限管理系统通过检测用户信息中描述的业务岗位信息(记为第一业务岗位信息)与目标权限角色关联的业务岗位信息(记为第二业务岗位信息)是否匹配，以此验证当前用户账户是否具备所述目标权限角色的申请资格；若是，则判定用户账户具备所述目标权限角色的申请资格；若否，则判定用户账户不具备所述目标权限角色的申请资格。

可选的，当权限管理系统检测到所述目标权限角色为所述第一权限角色时，则通过检测第一业务岗位信息所属的业务系统(或者该业务系统下的业务部门)是否属与第二业务岗位信息所属的业务系统(或者该业务系统下的业务部门)一致，以此验证第一业务岗位信息与第二业务岗位信息是否匹配。

其中，当权限管理系统检测到第一业务岗位信息所属的业务系统与第二业务岗位信息所属的业务系统一致时，则判定第一业务岗位信息与第二业务岗位信息匹配；当权限管理系统检测到第一业务岗位信息所属的业务系统与第二业务岗位信息所属的业务系统不一致时，则判定第一业务岗位信息与第二业务岗位信息不匹配。

可选的，当权限管理系统检测到所述目标权限角色为所述第二权限角色时，则通过检测第一业务岗位信息与第二业务岗位信息是否一致，以此验证第一业务岗位信息与第二业务岗位信息是否匹配。

其中，当权限管理系统检测到第一业务岗位信息与第二业务岗位信息一致时，则判定第一业务岗位信息与第二业务岗位信息匹配；当权限管理系统检测到第一业务岗位信息与第二业务岗位信息不一致时，则判定第一业务岗位信息与第二业务岗位信息不匹配。

例如，当目标权限角色关联的业务岗位为A系统的a岗位时，若检测到当前用户账户的用户信息中的业务岗位信息描述的即为A系统的a岗位，则判定当前用户账户具备目标权限角色的申请资格(即第一业务岗位信息与第二业务岗位信息匹配)；若检测到当前用户账户的用户信息中的业务岗位信息描述的即为B系统的a岗位，则判定当前用户账户不具备目标权限角色的申请资格(即第一业务岗位信息与第二业务岗位信息不匹配)；或者，检测到当前用户账户的用户信息中的业务岗位信息描述的即为A系统的b岗位，则判定当前用户账户不具备目标权限角色的申请资格(即第一业务岗位信息与第二业务岗位信息不匹配)。

如步骤S50所述：当权限管理系统检测到第一业务岗位信息与第二业务岗位信息匹配时，则判定当前用户账户具备所述目标权限角色的申请资格。此时，终端可以是将目标权限角色与当前用户账户关联，并根据目标权限角色与当前用户账户生成权限关联信息。

如步骤S60所述：当终端生成当前用户账户对应的权限关联信息时，则将权限关联信息发送至统一用户管理系统上。

当统一用户管理系统接收到权限关联信息时，则将权限关联信息与权限关联信息对应的用户账户关联存储，且统一用户管理系统可为每个用户账户单独生成其对应的权限角色表，并在权限角色表中保存该用户账户关联的所有权限角色(用户账户关联的权限角色可基于权限关联信息得到)。

可选的，当用户使用统一用户管理系统负责维护的用户账户登录业务系统时，业务系统通过统一用户管理系统验证用户账户无误，允许该用户账户登录业务系统后，当所述用户账户请求访问该业务系统上的可访问资源时，则业务系统可以向统一用户管理系统发出针对该用户账户的角色查询请求，以从所述统一用户管理系统上获取所述用户账户关联的权限角色。

当统一用户管理系统接收到业务系统发送的角色查询请求时，则获取该角色查询请求对应的用户账户的权限角色表(或者用户账户对应的所有权限关联信息)，并将权限角色表反馈至业务系统。

当业务系统接收到统一用户管理系统发送的权限角色表时，则查询权限角色表中是否存在该用户账户当前请求访问的可访问资源对应的权限角色；若是，则业务系统可以基于OAuth 2.0授权协议，允许该用户账户访问该可访问资源；若否，则业务系统不允许该用户账户访问该可访问资源。

在一实施例中，通过实现对权限角色的集中审批和管理，以及明确权限角色与业务岗位之间的对应关系，只允许业务岗位匹配的用户申请相应的权限角色，使得可以保证基于权限角色的访问授权的灵活性的同时，避免后续数据访问过程中出现水平越权访问数据的情况，从而提高了对业务系统进行数据访问的安全性。

在一实施例中，在上述实施例基础上，所述将所述目标权限角色与所述用户账户关联并生成权限关联信息的步骤包括：

步骤S51、根据所述用户信息和所述目标权限角色生成第一通知信息，并将所述第一通知信息发送至所述目标权限角色对应的业务系统；

步骤S52、接收到所述业务系统基于所述第一通知信息反馈的审批通过信息时，将所述目标权限角色与所述用户账户关联，并生成所述用户账户对应的权限关联信息。

本实施例中，当权限管理系统检测到第一业务岗位信息与第二业务岗位信息匹配时，则判定当前用户账户具备所述目标权限角色的申请资格。此时，权限管理系统可以是先根据当前用户账户对应的用户信息和所述目标权限角色生成角色申请的第一通知信息。

可选的，权限管理系统将生成第一通知信息发送至所述目标权限角色对应的业务系统，以供接收到第一通知信息的业务系统将第一通知信息提交到业务系统的审核端进行审核。其中，业务系统的审核端可以是该业务系统的管理员的管理设备。

可选的，当业务系统的管理员核对第一通知信息中的用户信息无误，并认可该用户信息对应的用户对目标权限角色的申请资格时，则可以通过业务系统向权限管理系统发出审核通过信息，以作为第一通知信息的反馈信息。

可选的，当业务系统的管理员核对第一通知信息中的用户信息有误，和/或不认可该用户信息对应的用户对目标权限角色的申请资格时，则可以通过业务系统向权限管理系统发出审核未通过信息，以作为第一通知信息的反馈信息。

可选的，当权限管理系统接收到业务系统基于所述第一通知信息反馈的审批通过信息时，再将目标权限角色与当前用户账户关联，并根据目标权限角色与当前用户账户生成权限关联信息。

这样，进一步基于各业务系统进行各系统角色申请的审批，可以加强角色申请审批流程，从而加强权限角色授权的安全性，杜绝后续越权访问的情况发生。

在一实施例中，在上述实施例基础上，所述根据所述用户信息和所述目标权限角色生成第一通知信息，并将所述第一通知信息发送至所述目标权限角色对应的业务系统的步骤之后，还包括：

步骤S53、接收到所述业务系统基于所述第一通知信息反馈的审批未通过信息时，将所述审批未通过信息转发至所述用户账户关联的用户设备。

本实施例中，当权限管理系统接收到业务系统基于所述第一通知信息反馈的审批未通过信息时，则判定当前用户账户对应的角色申请请求被驳回。

可选的，从统一用户管理系统上获取得到的用户信息中可以是记录有当前用户账户关联的用户设备(如智能手机、电脑等)，权限管理系统可以将业务系统反馈的审批未通过信息转发至用户设备，以及时通知用户角色申请请求被驳回的原因。

这样，可以加强角色申请审批流程，避免不必要的用户获取得到一些可访问资源的访问权限，从而杜绝后续发送越权访问的情况。

在一实施例中，在上述实施例基础上，所述根据每项可访问资源关联的业务岗位信息，为所述可访问资源配置权限角色的步骤之后，还包括：

步骤S70、将所述权限角色与所述业务岗位信息关联发送至存储服务端以块链式的账本进行存储；

步骤S71、接收到用户账户发送的角色申请请求时，基于所述存储服务端查询所述目标权限角色关联的业务岗位信息；

步骤S72、基于查询得到的业务岗位信息，执行所述检测所述用户信息中的业务岗位信息与所述目标权限角色关联的业务岗位信息是否匹配的步骤。

本实施例中，权限管理系统与基于区块链技术构建的存储服务端建立有通信连接。

可选的，权限管理系统在为所有可访问资源配置相应的权限角色后，则获取所有权限角色生成角色列表，以及在角色列表中保存每个权限角色关联的业务岗位信息。然后，权限管理系统再将角色列表发送至存储服务端。

存储服务端接收到权限管理系统发送的角色列表时，则将角色列表以块链式的账本存储至区块链网络中。需要说明的是，账本(Ledger)，是区块链(也称为账本数据)和与区块链同步的状态数据库的统称。其中，区块链是以文件系统中的文件的形式来记录交易；状态数据库是以不同类型的键(Key)值(Value)对的形式来记录区块链中的交易，用于支持对区块链中交易的快速查询。

区块链是分布式数据存储、点对点传输、共识机制、加密算法等计算机技术的新型应用模式。区块链(Blockchain)，本质上是一个去中心化的数据库，是一串使用密码学方法相关联产生的数据块，每一个数据块中包含了一批次网络交易的信息，用于验证其信息的有效性(防伪)和生成下一个区块。区块链可以包括区块链底层平台、平台产品服务层以及应用服务层。

区块链底层平台可以包括用户管理、基础服务、智能合约以及运营监控等处理模块。其中，用户管理模块负责所有区块链参与者的身份信息管理，包括维护公私钥生成(账户管理)、密钥管理以及用户真实身份和区块链地址对应关系维护(权限管理)等，并且在授权的情况下，监管和审计某些真实身份的交易情况，提供风险控制的规则配置(风控审计)；基础服务模块部署在所有区块链节点设备上，用来验证业务请求的有效性，并对有效请求完成共识后记录到存储上，对于一个新的业务请求，基础服务先对接口适配解析和鉴权处理(接口适配)，然后通过共识算法将业务信息加密(共识管理)，在加密之后完整一致的传输至共享账本上(网络通信)，并进行记录存储；智能合约模块负责合约的注册发行以及合约触发和合约执行，开发人员可以通过某种编程语言定义合约逻辑，发布到区块链上(合约注册)，根据合约条款的逻辑，调用密钥或者其它的事件触发执行，完成合约逻辑，同时还提供对合约升级注销的功能；运营监控模块主要负责产品发布过程中的部署、配置的修改、合约设置、云适配以及产品运行中的实时状态的可视化输出，例如：告警、监控网络情况、监控节点设备健康状态等。

可选的，当权限管理系统接收到用户账户发送的角色申请请求时，则将该角色申请请求所针对的权限角色作为目标权限角色。同时，权限管理系统向存储服务端发送所述目标权限角色对应的查询信息，以查询所述目标权限角色所关联的业务岗位信息。

当存储服务端接收到所述目标权限角色对应的查询信息时，则从角色列表中查询目标权限角色关联的业务岗位信息，并将查询得到的业务岗位信息反馈至权限管理系统。

权限管理系统基于目标权限角色关联的业务岗位信息，即可查询目标权限角色所属的业务系统，以及目标权限角色管理的业务岗位，并基于此执行所述检测所述用户信息中的业务岗位信息与所述目标权限角色关联的业务岗位信息是否匹配的步骤(即步骤S40)，通过校验用户信息中的业务岗位信息(记为第一岗位信息)是否与目标权限角色关联的业务岗位信息(第二岗位信息)匹配，以此验证所述用户账户是否具备所述目标权限角色的申请资格。

可选的，当检测到第一岗位信息与第二岗位信息匹配时，则判定当前用户账户具备所述目标权限角色的申请资格；当检测到第一岗位信息与第二岗位信息不匹配时，则判定当前用户账户不具备所述目标权限角色的申请资格。

可选的，当权限管理系统检测到角色列表有更新时，也可以将更新后的角色列表发送至存储服务端，以使存储服务端可以对角色列表进行同步更新存储。

这样，通过利用区块链保证权限角色与业务岗位信息关联存储的安全性的同时，还能避免存储服务端将目标权限角色关联的业务岗位信息反馈至权限管理系统的过程中遭到数据篡改，以及基于此进一步提高角色授权的安全性，进而提高基于权限角色对业务系统进行数据访问的安全性。

在一实施例中，在上述实施例基础上，所述检测所述用户信息中的业务岗位信息与所述目标权限角色关联的业务岗位信息是否匹配的步骤之后，还包括：

步骤S80、若否，判定所述用户账户不具备所述目标权限角色的申请资格，并驳回所述角色申请请求。

本实施例中，当权限管理系统检测到当前用户信息中的业务岗位信息与目标权限角色关联的业务岗位信息不匹配时，则判定当前用户账户不具备所述目标权限角色的申请资格。

进一步地，权限管理系统定当前用户账户不具备所述目标权限角色的申请资格时，则驳回当前用户账户发出的角色申请请求。而且，权限管理系统还可以发送相应的通知信息到当前用户账户关联的用户设备，以及时通知用户角色申请请求被驳回。

这样，通过明确权限角色与业务岗位之间的对应关系，不允许业务岗位不匹配的用户申请相应的权限角色，从而提高了对业务系统进行数据访问的安全性。

在一实施例中，在上述实施例基础上，所述检测所述用户信息中的业务岗位信息与所述目标权限角色关联的业务岗位信息是否匹配的步骤之后，还包括：

步骤S90、若否，检测所述用户信息中的业务岗位信息是否属于所述目标权限角色对应的业务系统；

步骤S91、检测到所述用户信息中的业务岗位信息属于所述目标权限角色对应的业务系统时，向所述用户账户获取所述目标权限角色对应的申请备注信息；

步骤S92、根据所述用户信息、所述目标权限角色和所述申请备注信息生成第二通知信息，并将所述第二通知信息发送至所述目标权限角色对应的业务系统；

步骤S93、接收到所述业务系统基于所述第二通知信息反馈的审批通过信息时，将所述目标权限角色对应的临时权限角色与所述用户账户关联，并生成所述用户账户对应的权限关联信息。

本实施例中，当权限管理系统检测到当前用户信息中的业务岗位信息与目标权限角色关联的业务岗位信息不匹配时，则可以进一步检测所述用户信息中的业务岗位信息(即该业务岗位信息描述的业务岗位)是否属于所述目标权限角色对应的业务系统。

可选的，当权限管理系统检测到所述用户信息中的业务岗位信息属于所述目标权限角色对应的业务系统时，则向所述用户账户发出目标权限角色对应的申请备注信息的获取请求。此时，用户可以基于该获取请求填报申请备注信息，以声明其申请目标权限角色的原因和用途等。

在用户填报申请备注信息并提交后，权限管理系统则获取用户所提交的申请备注信息，并根据所述用户信息、所述目标权限角色和所述申请备注信息生成第二通知信息，然后将第二通知信息发送至目标权限角色对应的业务系统，以供接收到第二通知信息的业务系统将第二通知信息提交到业务系统的审核端进行审核。其中，业务系统的审核端可以是该业务系统的管理员的管理设备。

可选的，当业务系统的管理员核对第二通知信息中的用户信息无误，并认可该第二通知信息中的申请备注信息时，则可以通过业务系统向权限管理系统发出审核通过信息，以作为第二通知信息的反馈信息。

可选的，当业务系统的管理员核对第二通知信息中的用户信息有误，和/或不认可该第二通知信息中的申请备注信息时，则可以通过业务系统向权限管理系统发出审核不通过信息，以作为第二通知信息的反馈信息。

可选的，当权限管理系统接收到所述业务系统基于所述第二通知信息反馈的审批通过信息时，则创建所述目标权限角色对应的可访问资源的临时权限角色，并将临时权限角色与当前用户账户关联，以及基于此生成该用户账户对应的权限关联信息，然后再执行步骤S60。

需要说明的是，临时权限角色是具有时效性的，当其生成时长超出有效时长时，该临时权限角色则会自动失效。其中，所述有效时长可基于实际情况需要设置，如设置为1天、7天等。

可选的，当权限管理系统接收到所述业务系统基于所述第二通知信息反馈的审批不通过信息时，则权限管理系统将角色申请请求进行驳回。

这样，通过实现临时权限角色的设置和审批发放，既能满足一些业务岗位不匹配的用户出于业务发展需要，需临时对其他业务岗位对应的可访问资源进行访问的需求，又能保证临时用户只能访问到临时权限角色对应的可访问资源，从而提高了对业务系统进行数据访问的安全性。

在一实施例中，在上述实施例基础上，所述检测到所述用户信息中的业务岗位信息属于所述目标权限角色对应的业务系统时，向所述用户账户获取所述目标权限角色对应的申请备注信息的步骤包括：

步骤S100、检测到所述用户信息中的业务岗位信息属于所述目标权限角色对应的业务系统时，检测所述用户信息中的业务岗位信息对应的岗位等级是否与所述目标权限角色对应的权限等级匹配；

步骤S110、若是，向所述用户账户获取所述目标权限角色对应的申请备注信息。

本实施例中，权限管理系统还可以将权限角色关联的业务岗位信息对应的岗位等级，设定为该该权限角色的权限等级。

当权限管理系统检测到所述用户信息中的业务岗位信息属于所述目标权限角色对应的业务系统时，则可以再进一步检测所述用户信息中的业务岗位信息对应的岗位等级是否与所述目标权限角色对应的权限等级匹配，即检测所述用户信息中的业务岗位信息对应的岗位等级是否大于或等于目标权限角色对应的权限等级。

当权限管理系统检测到该岗位等级大于或等于该权限等级时，则判定用户信息中的业务岗位信息对应的岗位等级与目标权限角色对应的权限等级匹配，然后权限管理系统再执行所述向所述用户账户获取所述目标权限角色对应的申请备注信息步骤，并进一步执行步骤S92-S93，以向当前用户账户发放临时权限角色。

当权限管理系统检测到该岗位等级小于该权限等级时，则判定用户信息中的业务岗位信息对应的岗位等级与目标权限角色对应的权限等级不匹配，则权限管理系统将角色申请请求进行驳回。

这样，只在检测到用户对应的岗位等级与目标权限角色对应的权限等级匹配时，才允许对用户进行相应临时角色权限的申请，从而避免岗位等级较低的用户接触到权限高的可访问资源，从而提高了对业务系统进行数据访问的安全性。

参照图2，本申请实施例中还提供一种业务系统的权限管理装置10，包括：

获取模块11，用于权限管理系统确定各业务系统的可访问资源并获取组织架构信息，其中，所述组织架构信息包括多个业务岗位信息，所述业务岗位信息具有关联的所述可访问资源；

配置模块12，用于根据每项可访问资源关联的业务岗位信息，为所述可访问资源配置权限角色；

处理模块13，用于接收到用户账户发送的角色申请请求时，将所述角色申请请求所针对的所述权限角色作为目标权限角色，并从维护所述用户账户的统一用户管理系统上获取所述用户账户关联的用户信息；

检测模块14，用于检测所述用户信息中的业务岗位信息与所述目标权限角色关联的业务岗位信息是否匹配；

关联模块15，用于若是，将所述目标权限角色与所述用户账户关联并生成权限关联信息；

发送模块16，用于将所述权限关联信息发送至所述统一用户管理系统进行存储，其中，当所述用户账户请求访问所述业务系统上的可访问资源时，所述业务系统根据从所述统一用户管理系统上获取得到的权限关联信息，确定所述用户账户关联的权限角色，以校验所述用户账户是否可对所述可访问资源进行访问。

参照图3，本申请实施例中还提供一种计算机设备，该计算机设备可以是服务器，其内部结构可以如图3所示。该计算机设备包括通过系统总线连接的处理器、存储器、网络接口和数据库。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统、计算机程序和数据库。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的数据库用于业务系统的权限管理程序。该计算机设备的网络接口用于与外部的终端通过网络连接通信。该计算机程序被处理器执行时以实现一种业务系统的权限管理方法。

本领域技术人员可以理解，图3中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备的限定。

此外，本申请还提出一种计算机可读存储介质，所述计算机可读存储介质包括业务系统的权限管理程序，所述业务系统的权限管理程序被处理器执行时实现如以上实施例所述的业务系统的权限管理方法的步骤。可以理解的是，本实施例中的计算机可读存储介质可以是易失性可读存储介质，也可以为非易失性可读存储介质。

综上所述，为本申请实施例中提供的业务系统的权限管理方法、业务系统的权限管理装置、计算机设备和存储介质，通过实现对权限角色的集中审批和管理，以及明确权限角色与业务岗位之间的对应关系，只允许业务岗位匹配的用户申请相应的权限角色，使得可以保证基于权限角色的访问授权的灵活性的同时，避免后续数据访问过程中出现水平越权访问数据的情况，从而提高了对业务系统进行数据访问的安全性。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的和实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和/或易失性存储器。非易失性存储器可以包括只读存储器(ROM)、可编程ROM(PROM)、电可编程ROM(EPROM)、电可擦除可编程ROM(EEPROM)或闪存。易失性存储器可包括随机存取存储器(RAM)或者外部高速缓冲存储器。作为说明而非局限，RAM通过多种形式可得，诸如静态RAM(SRAM)、动态RAM(DRAM)、同步DRAM(SDRAM)、双速据率SDRAM(SSRSDRAM)、增强型SDRAM(ESDRAM)、同步链路(Synchlink)DRAM(SLDRAM)、存储器总线(Rambus)直接RAM(RDRAM)、直接存储器总线动态RAM(DRDRAM)、以及存储器总线动态RAM(RDRAM)等。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其它变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、装置、物品或者方法不仅包括那些要素，而且还包括没有明确列出的其它要素，或者是还包括为这种过程、装置、物品或者方法所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、装置、物品或者方法中还存在另外的相同要素。

以上所述仅为本申请的优选实施例，并非因此限制本申请的专利范围，凡是利用本申请说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其它相关的技术领域，均同理包括在本申请的专利保护范围内。

Claims (10)

1.一种业务系统的权限管理方法，其特征在于，包括：

权限管理系统确定各业务系统的可访问资源并获取组织架构信息，其中，所述组织架构信息包括多个业务岗位信息，所述业务岗位信息具有关联的所述可访问资源；

根据每项可访问资源关联的业务岗位信息，为所述可访问资源配置权限角色；

接收到用户账户发送的角色申请请求时，将所述角色申请请求所针对的所述权限角色作为目标权限角色，并从维护所述用户账户的统一用户管理系统上获取所述用户账户关联的用户信息；

检测所述用户信息中的业务岗位信息与所述目标权限角色关联的业务岗位信息是否匹配；

若是，将所述目标权限角色与所述用户账户关联并生成权限关联信息；

将所述权限关联信息发送至所述统一用户管理系统进行存储，其中，当所述用户账户请求访问所述业务系统上的可访问资源时，所述业务系统根据从所述统一用户管理系统上获取得到的权限关联信息，确定所述用户账户关联的权限角色，以校验所述用户账户是否可对所述可访问资源进行访问。

2.如权利要求1所述的业务系统的权限管理方法，其特征在于，所述将所述目标权限角色与所述用户账户关联并生成权限关联信息的步骤包括：

根据所述用户信息和所述目标权限角色生成第一通知信息，并将所述第一通知信息发送至所述目标权限角色对应的业务系统；

接收到所述业务系统基于所述第一通知信息反馈的审批通过信息时，将所述目标权限角色与所述用户账户关联，并生成所述用户账户对应的权限关联信息。

3.如权利要求2所述的业务系统的权限管理方法，其特征在于，所述根据所述用户信息和所述目标权限角色生成第一通知信息，并将所述第一通知信息发送至所述目标权限角色对应的业务系统的步骤之后，还包括：

接收到所述业务系统基于所述第一通知信息反馈的审批未通过信息时，将所述审批未通过信息转发至所述用户账户关联的用户设备。

4.如权利要求1所述的业务系统的权限管理方法，其特征在于，所述根据每项可访问资源关联的业务岗位信息，为所述可访问资源配置权限角色的步骤之后，还包括：

将所述权限角色与所述业务岗位信息关联发送至存储服务端以块链式的账本进行存储；

接收到用户账户发送的角色申请请求时，基于所述存储服务端查询所述目标权限角色关联的业务岗位信息；

基于查询得到的业务岗位信息，执行所述检测所述用户信息中的业务岗位信息与所述目标权限角色关联的业务岗位信息是否匹配的步骤。

5.如权利要求1或4所述的业务系统的权限管理方法，其特征在于，所述检测所述用户信息中的业务岗位信息与所述目标权限角色关联的业务岗位信息是否匹配的步骤之后，还包括：

若否，判定所述用户账户不具备所述目标权限角色的申请资格，并驳回所述角色申请请求。

6.如权利要求1或4所述的业务系统的权限管理方法，其特征在于，所述检测所述用户信息中的业务岗位信息与所述目标权限角色关联的业务岗位信息是否匹配的步骤之后，还包括：

若否，检测所述用户信息中的业务岗位信息是否属于所述目标权限角色对应的业务系统；

检测到所述用户信息中的业务岗位信息属于所述目标权限角色对应的业务系统时，向所述用户账户获取所述目标权限角色对应的申请备注信息；

根据所述用户信息、所述目标权限角色和所述申请备注信息生成第二通知信息，并将所述第二通知信息发送至所述目标权限角色对应的业务系统；

接收到所述业务系统基于所述第二通知信息反馈的审批通过信息时，将所述目标权限角色对应的临时权限角色与所述用户账户关联，并生成所述用户账户对应的权限关联信息。

7.如权利要求6所述的业务系统的权限管理方法，其特征在于，所述检测到所述用户信息中的业务岗位信息属于所述目标权限角色对应的业务系统时，向所述用户账户获取所述目标权限角色对应的申请备注信息的步骤包括：

检测到所述用户信息中的业务岗位信息属于所述目标权限角色对应的业务系统时，检测所述用户信息中的业务岗位信息对应的岗位等级是否与所述目标权限角色对应的权限等级匹配；

若是，向所述用户账户获取所述目标权限角色对应的申请备注信息。

8.一种业务系统的权限管理装置，其特征在于，包括：

获取模块，用于权限管理系统确定各业务系统的可访问资源并获取组织架构信息，其中，所述组织架构信息包括多个业务岗位信息，所述业务岗位信息具有关联的所述可访问资源；

配置模块，用于根据每项可访问资源关联的业务岗位信息，为所述可访问资源配置权限角色；

处理模块，用于接收到用户账户发送的角色申请请求时，将所述角色申请请求所针对的所述权限角色作为目标权限角色，并从维护所述用户账户的统一用户管理系统上获取所述用户账户关联的用户信息；

检测模块，用于检测所述用户信息中的业务岗位信息与所述目标权限角色关联的业务岗位信息是否匹配；

关联模块，用于若是，将所述目标权限角色与所述用户账户关联并生成权限关联信息；

发送模块，用于将所述权限关联信息发送至所述统一用户管理系统进行存储，其中，当所述用户账户请求访问所述业务系统上的可访问资源时，所述业务系统根据从所述统一用户管理系统上获取得到的权限关联信息，确定所述用户账户关联的权限角色，以校验所述用户账户是否可对所述可访问资源进行访问。

9.一种计算机设备，其特征在于，所述计算机设备包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的业务系统的权限管理程序，所述业务系统的权限管理程序被所述处理器执行时实现如权利要求1至7中任一项所述的业务系统的权限管理方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有业务系统的权限管理程序，所述业务系统的权限管理程序被处理器执行时实现如权利要求1至7中任一项所述的业务系统的权限管理方法的步骤。

Images