CN116468237A - 权限配置方法、装置、存储介质及电子设备 - Google Patents

Abstract

本申请公开了一种权限配置方法、装置、存储介质及电子设备。涉及金融科技领域或其他领域，该方法包括：获取待配置权限的目标对象的角色变化信息，其中，角色变化信息包括目标对象所属部门的变化信息和/或目标对象的职级的变化信息；依据角色变化信息从目标权限策略树中获取目标对象对应的权限配置策略，其中，目标权限策略树用于存储目标企业的多个部门中的每个部门对应的权限信息，以及目标企业的多个职级中每个职级的权限信息；基于权限配置策略为目标对象配置权限。本申请解决了现有技术中通过人工的方式分配权限，导致权限配置效率低的技术问题。

Description

权限配置方法、装置、存储介质及电子设备

技术领域

本申请涉及金融科技领域或其他领域，具体而言，涉及一种权限配置方法、装置、存储介质及电子设备。

背景技术

目前大多数企业在为员工配置权限时，通常通过办公运维人员手动分配的方式进行权限配置，而对于一些大型企业来说，由于企业的人员较多，不同性质、不同部门、不同项目的员工对权限的需求不相同，导致在出现大量人员配置权限时，通过人工的方式为员工分配权限，存在人力不足而无法及时配置权限的问题，从而导致权限配置效率低。并且企业若要进行细化权限管理，则需要投入较多的人力去维护员工权限，导致人力支出成本高的问题。此外，企业规模越大其人员结构成分也越复杂，而大量权限的分配则会导致企业数据信息存在较高的泄露风险。

针对上述的问题，目前尚未提出有效的解决方案。

发明内容

本申请提供了一种权限配置方法、装置、存储介质及电子设备，以至少解决现有技术中通过人工的方式分配权限，导致权限配置效率低的技术问题。

根据本申请的一个方面，提供了一种权限配置方法，包括：获取待配置权限的目标对象的角色变化信息，其中，角色变化信息包括目标对象所属部门的变化信息和/或目标对象的职级的变化信息；依据角色变化信息从目标权限策略树中获取目标对象对应的权限配置策略，其中，目标权限策略树用于存储目标企业的多个部门中的每个部门对应的权限信息，以及目标企业的多个职级中每个职级对应的权限信息；基于权限配置策略为目标对象配置权限。

进一步地，在依据角色变化信息从目标权限策略树中获取目标对象对应的权限配置策略之前，权限配置方法还包括：获取部门权限信息，其中，部门权限信息中至少包括满足目标企业的员工的办公需求的第一权限的权限信息、目标企业的多个部门中每个部门的第二权限的权限信息以及每个部门对应的多个职级中每个职级的第三权限的权限信息，第一权限的权限范围小于第二权限的权限范围，第二权限的权限范围小于第三权限的权限范围；依据部门权限信息生成初始权限策略树，其中，初始权限策略树至少包括第一节点、第二节点以及第三节点。

进一步地，在依据部门权限信息生成初始权限策略树之后，权限配置方法还包括：基于第一权限的权限信息更新初始权限策略树中的第一节点，基于第二权限的权限信息更新初始权限策略树中的第二节点，基于第三权限的权限信息更新初始权限策略树中的第三节点，得到目标权限策略树。

进一步地，基于权限配置策略为目标对象配置权限，包括：依据角色变化信息确定目标对象当前所处的第一权限分组；将目标对象对应的域账号从第一权限分组中删除；基于权限配置策略确定目标对象对应的目标权限分组；将目标对象对应的域账号添加至目标权限分组中，以实现为目标对象配置权限。

进一步地，权限配置方法还包括：在基于权限配置策略为目标对象配置权限之后，获取权限配置指令，其中，权限配置指令用于为目标对象配置目标权限，目标权限为目标对象申请的能够访问其他部门对应的数据的权限，其他部门为目标企业内除目标对象所属部门之外的部门，权限配置指令中携带有目标权限的权限信息；依据权限配置指令将目标对象添加至目标名单，其中，目标名单用于禁止目标对象申请的目标权限被判断为异常权限；基于目标权限的权限信息确定第二权限分组，其中，第二权限分组为其他部门对应的权限分组；将目标对象对应的域账号添加至第二权限分组中，以实现为目标对象配置目标权限。

进一步地，在基于权限配置策略为目标对象配置权限之后，权限配置方法包括：每间隔预设时长获取目标对象的当前权限信息以及目标对象的角色信息，其中，当前权限信息为目标对象在当前时刻所具有的权限信息，目标对象的角色信息至少包括目标对象所属部门的部门信息以及目标对象的职级信息；基于当前权限信息以及角色信息检测目标对象是否存在异常权限，其中，异常权限为当前权限信息中与角色信息不匹配的权限。

进一步地，基于当前权限信息以及角色信息检测目标对象是否存在异常权限，包括：基于角色信息从目标权限策略树中获取目标对象对应的当前权限配置策略；比对当前权限信息与当前权限配置策略中的权限信息是否相同；在当前权限信息与当前权限配置策略中的权限信息相同时，确定目标对象不存在异常权限；在当前权限信息与当前权限配置策略中的权限信息不相同时，确定目标对象存在异常权限，并对异常权限进行权限冻结处理，其中，权限冻结处理用于禁止目标对象继续使用异常权限。

根据本申请的另一方面，还提供了一种权限配置装置，包括：第一获取模块，用于获取待配置权限的目标对象的角色变化信息，其中，角色变化信息包括目标对象所属部门的变化信息和/或目标对象的职级的变化信息；第二获取模块，用于依据角色变化信息从目标权限策略树中获取目标对象对应的权限配置策略，其中，目标权限策略树用于存储目标企业的多个部门中的每个部门对应的权限信息，以及目标企业的多个职级中每个职级对应的权限信息；配置模块，用于基于权限配置策略为目标对象配置权限。

根据本申请的另一方面，还提供了一种计算机可读存储介质，计算机可读存储介质中存储有计算机程序，其中，计算机程序被设置为运行时执行上述的权限配置方法。

根据本申请的另一方面，还提供了一种电子设备，电子设备包括一个或多个处理器；存储器，用于存储一个或多个程序，当一个或多个程序被一个或多个处理器执行时，使得一个或多个处理器实现用于运行程序，其中，程序被设置为运行时执行上述的权限配置方法。

在本申请中，首先通过获取待配置权限的目标对象的角色变化信息，其中，角色变化信息包括目标对象所属部门的变化信息和/或目标对象的职级的变化信息；然后依据角色变化信息从目标权限策略树中获取目标对象对应的权限配置策略，其中，目标权限策略树用于存储目标企业的多个部门中的每个部门对应的权限信息，以及目标企业的多个职级中每个职级对应的权限信息；最后基于权限配置策略为目标对象配置权限。

在上述过程中，通过自动获取目标对象的角色变化信息，并依据角色变化信息从目标权限策略树中获取目标对象对应的权限配置策略，基于权限配置策略自动为目标对象配置权限，无需通过人工的方式为目标对象分配权限，从而提高了权限的配置效率，减少了人力支出成本，进而解决了现有技术中通过人工的方式分配权限，导致权限配置效率低的技术问题。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1是根据本申请实施例的一种可选的权限配置方法的流程图；

图2是根据本申请实施例的一种可选的权限配置系统的示意图；

图3是根据本申请实施例的一种可选的目标权限策略树的示意图；

图4是根据本申请实施例的一种可选的权限配置装置的示意图；

图5是根据本申请实施例的一种可选的电子设备的示意图。

具体实施方式

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。

需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

需要说明的是，本申请的权限配置方法、装置、存储介质及电子设备可用于金融科技领域，也可用于除金融科技领域之外的其他领域，本申请的权限配置方法、装置、存储介质及电子设备的应用领域不做限定。

需要说明的是，本申请所涉及的相关信息(包括但不限于用户设备信息、用户个人信息等)和数据(包括但不限于用于展示的数据、分析的数据等)，均为经用户授权或者经过各方充分授权的信息和数据。例如，本系统和相关用户或机构间设置有接口，在获取相关信息之前，需要通过接口向前述的用户或机构发送获取请求，并在接收到前述的用户或机构反馈的同意信息后，获取相关信息。

实施例1

根据本申请实施例，提供了一种权限配置方法的方法实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

为了方便描述，下面对本实施例涉及的部分术语或名词进行解释说明：

AD域策略：一种计算机终端管理策略，AD的全称是Active Directory(活动目录)，域(domain)。域是windows计算机网络中独立运行的一个单元，域之间基于信任关系，可以通过域控制器(DC)对每个域进行计算机管理策略的下发，从而达到终端管控的目的，使不同的计算机域之间实现网络资源的共享管理、相互通信及数据传输。域控制器为一台服务器，由企业办公运维管理人员进行维护，对辖内的域用户进行管理，一个域用户对应一个AD域账号。

图1是根据本申请实施例的一种可选的权限配置方法的流程图，如图1所示，该方法包括如下步骤：

步骤S101，获取待配置权限的目标对象的角色变化信息。

在一种可选的实施例中，一种权限配置系统可作为本申请实施例中的权限配置方法的执行主体，为了便于描述，以下将权限配置系统简称为系统。其中，权限配置系统包括如图2所示的数据库、权限配置模块、监测模块、日志模块以及消息列队，权限配置模块包括基本权限配置单元以及特殊权限配置单元，监测模块包括定时任务单元以及安全检查单元。其中，数据库用于存储目标对象的角色变化信息、目标权限策略树、特殊权限申请信息等；基本权限配置单元用于在目标对象的角色发生变化时自动配置权限；特殊权限配置单元用于在目标对象申请跨部门权限等特殊权限时自动配置权限；监测模块用于定时对员工权限进行检查，扫描比对员工是否存在异常权限；日志模块用于记录员工权限申请记录，管理员操作日志，异常权限处理信息，便于后续审计；消息列队用于处理人员特殊权限需求审批、异常权限处理等。

在步骤S101中，角色变化信息包括目标对象所属部门的变化信息和/或目标对象的职级的变化信息。例如，角色变化信息仅为目标对象所属部门信息从部门1变化到部门2；或角色变化信息仅为目标对象的职级信息从职级1变化为职级2，其中，职级2的权限范围大于职级1的权限范围；角色变化信息为目标对象所属部门信息从部门1变化到部门2和目标对象的职级信息从职级1变化为职级2。

可选地，系统可定时从数据库中获取目标对象的当前角色信息，并通过比对当前角色信息与历史角色信息是否相同，来确定目标对象的角色信息是否发生变化。系统在确定目标对象的角色信息发生变化时，可自动获取目标对象的角色变化信息。

需要说明的是，系统通过定时监测目标对象的角色信息是否发生变化，来确定目标对象的角色信息是否发生变化，实现了在目标对象的角色信息发生变化时自动获取目标对象的角色变化信息，为后续基于角色变化信息为目标对象配置权限做数据准备。

步骤S102，依据角色变化信息从目标权限策略树中获取目标对象对应的权限配置策略。

在步骤S102中，目标权限策略树用于存储目标企业的多个部门中的每个部门对应的权限信息，以及目标企业的多个职级中每个职级对应的权限信息。例如，如图3所示的目标权限策略树中的部门权限1节点、部门权限2节点…部门权限n节点中分别存储了部门1、部门2…部门n对应的权限信息；职级权限1节点、职级权限1节点、职级权限3节点中分别存储了每个职级对应的权限信息。

例如，在角色变化信息为目标对象的部门从部门1变化为部门2时，系统可依据部门2的信息从目标权限策略树中获取部门2对应的权限信息，基于部门2对应的权限信息确定权限配置策略。可选地，在角色变化信息仅为目标对象的部门从部门1变化为部门2时，系统还可获取目标对象对应的当前职级，依据当前职级从目标权限策略树中获取部门2对应当前职级的权限信息，依据部门2的信息从目标权限策略树中获取部门2对应的权限信息，基于当前职级的权限信息以及部门2对应的权限信息确定权限配置策略。

步骤S103，基于权限配置策略为目标对象配置权限。

在步骤S103中，系统可通过权限配置策略确定目标对象对应的目标权限分组，将目标对象对应的域账号添加至目标权限分组中，以实现为目标对象配置权限。例如，系统通过权限配置策略中的权限信息，确定目标对象对应的权限分组为权限分组A，此时，系统通过将目标对象对应的AD域账号添加至权限分组A中，以实现为目标对象配置权限分组A对应的权限。

基于上述步骤S101至步骤S103所限定的方案，可以获知，在本申请实施例中，首先通过获取待配置权限的目标对象的角色变化信息，其中，角色变化信息包括目标对象所属部门的变化信息和/或目标对象的职级的变化信息；然后依据角色变化信息从目标权限策略树中获取目标对象对应的权限配置策略，其中，目标权限策略树用于存储目标企业的多个部门中的每个部门对应的权限信息，以及目标企业的多个职级中每个职级的权限信息；最后基于权限配置策略为目标对象配置权限。

容易注意到的是，在上述过程中，通过自动获取目标对象的角色变化信息，并依据角色变化信息从目标权限策略树中获取目标对象对应的权限配置策略，基于权限配置策略自动为目标对象配置权限，无需通过人工的方式为目标对象分配权限，从而提高了权限的配置效率，减少了人力支出成本，进而解决了现有技术中通过人工的方式分配权限，导致权限配置效率低的技术问题。

可选地，本申请实施例提供的权限配置方法还包括：在依据角色变化信息从目标权限策略树中获取目标对象对应的权限配置策略之前，系统可获取部门权限信息，其中，部门权限信息中至少包括满足目标企业的员工的办公需求的第一权限的权限信息、目标企业的多个部门中每个部门的第二权限的权限信息以及每个部门对应的多个职级中每个职级的第三权限的权限信息，第一权限的权限范围小于第二权限的权限范围，第二权限的权限范围小于第三权限的权限范围；然后依据部门权限信息生成初始权限策略树，其中，初始权限策略树至少包括第一节点、第二节点以及第三节点。

在本实施例中，初始权限策略树中的第一节点即为图3中所示的基本权限节点，第二节点即为图3中所示的部门权限1节点、部门权限2节点…部门权限n节点，第三节点即为图3中所示的职级权限1节点、职级权限2节点、职级权限3节点…。系统可根据满足目标企业的员工的办公需求的第一权限的权限信息、目标企业的多个部门中每个部门的第二权限的权限信息以及每个部门对应的多个职级中每个职级的第三权限的权限信息生成初始权限策略树。其中，第二权限为满足该部门员工办公需求的最低权限，第二权限的权限信息中包括了满足目标企业的员工的办公需求的最低权限的权限信息(即第一权限的权限信息)；而每个部门对应的多个职级，不同职级对应的第三权限的权限范围不同，职级越高权限范围越大，高职级的权限信息中包括了低职级的权限信息。例如，如图3中所示的，职级权限2节点对应的职级高于职级权限1节点对应的职级，因此，职级权限2节点的权限范围大于职级权限1节点的权限范围。

需要说明的是，系统通过满足目标企业的员工的办公需求的第一权限的权限信息、目标企业的多个部门中每个部门的第二权限的权限信息以及每个部门对应的多个职级中每个职级的第三权限的权限信息生成初始权限策略树，为后续生成目标权限策略树做数据准备。

进一步地，在依据部门权限信息生成初始权限策略树之后，系统可基于第一权限的权限信息更新初始权限策略树中的第一节点，基于第二权限的权限信息更新初始权限策略树中的第二节点，基于第三权限的权限信息更新初始权限策略树中的第三节点，得到目标权限策略树。

例如，系统可将第一权限的权限信息插入图3所示的初始权限策略树中的基本权限节点(即第一节点)中，对初始权限策略树中的基本权限节点进行更新；系统可将第二权限的权限信息分别插入图3所示的初始权限策略树中的部门权限1节点、部门权限2节点…部门权限n节点(即第二节点)中，对初始权限策略树中的第二节点进行更新；系统通过将第三权限的权限信息分别插入图3所示的职级权限1节点、职级权限2节点…(即第三节点)中，对初始权限策略树中的第三节点进行更新，来得到目标权限策略树。

需要说明的是，系统通过基于第一权限的权限信息、第二权限的权限信息以及第三权限的权限信息更新初始权限策略树中的节点，得到目标权限策略树，为后续基于目标权限策略树确定权限配置策略做数据准备。

可选地，本申请实施例提供的权限配置方法还包括：系统依据角色变化信息确定目标对象当前所处的第一权限分组；然后将目标对象对应的域账号从第一权限分组中删除；然后基于权限配置策略确定目标对象对应的目标权限分组；最后将目标对象对应的域账号添加至目标权限分组中，以实现为目标对象配置权限。

在本实施例中，系统可通过基于windows的AD域策略实现，目标对象对应的域账号可为AD域账号。例如，在为员工配置文档权限时，系统可通过对文档服务器上的各个共享文件夹根据不同的权限信息设置不同的权限分组(例如AD域分组)，在员工的部门信息从部门1变化为部门2时，系统的基本权限配置单元可将员工在部门1时所处的第一权限分组中的AD域账号删除，并将员工添加到部门2对应的目标权限分组中，以实现为目标对象配置权限。

可选地，在系统检测到新入职员工时，通过自动赋予新入职员工AD域账号，并自动将新入职员工AD域账号添加至基本权限分组中，以满足新入职员工的基础办公需求。在系统检测到员工离职时，自动将离职员工的AD域账号从其所在的权限分组中删除，以降低企业信息安全泄露的风险。

需要说明的是，系统通过将目标对象对应的域账号从目标对象当前所处的第一权限分组中删除，并目标对象对应的域账号添加至目标权限分组中，实现了通过不同AD域分组进行访问权限的管理，从而实现了权限的精准分发，提高了权限的配置效率，进而解决了现有技术中通过人工的方式分配权限，导致权限配置效率低的技术问题。

一种可选的实施例，在基于权限配置策略为目标对象配置权限之后，系统获取权限配置指令，其中，权限配置指令用于为目标对象配置目标权限，目标权限为目标对象申请的能够访问其他部门对应的数据的权限，其他部门为目标企业内除目标对象所属部门之外的部门，权限配置指令中携带有目标权限的权限信息；然后依据权限配置指令将目标对象添加至目标名单，其中，目标名单用于禁止目标对象申请的目标权限被判断为异常权限；然后基于目标权限的权限信息确定第二权限分组，其中，第二权限分组为其他部门对应的权限分组；最后将目标对象对应的域账号添加至第二权限分组中，以实现为目标对象配置目标权限。

在本实施例中，在目标对象需要申请跨项目组数据访问权限或跨部门数据访问权限时，目标对象可提交权限申请请求至图2中的消息队列，请求申请能够访问其他部门对应的数据的目标权限，管理员对目标对象提交的权限申请进行审批，在审批通过后系统可生成权限配置指令为目标对象配置目标权限，然后系统的特殊权限配置单元通过获取并响应于权限配置指令，将目标对象添加至目标名单中，然后特殊权限配置单元根据目标权限的权限信息，确定目标对象请求访问的其他部门对应的第二权限分组，最后系统将目标对象的域账号添加至第二权限分组中，以实现为目标对象配置目标权限。

可选地，在目标对象首次申请临时共享权限或特殊保密文件的权限时，管理员可设置新的权限分组，生成特殊权限分组，并将目标对象的AD域账号添加至特殊权限分组中，以实现临时共享权限或特殊保密文件的权限的分配，后续可在系统中维护该特殊权限分组。

需要说明的是，在目标对象请求申请访问其他部门数据的权限或访问特殊保密文件的权限时，系统能够在审批通过后，自动为目标对象配置权限，实现权限的精准配置。系统通过将目标对象添加至目标名单，避免了目标权限被判断为异常权限导致无法使用该权限。

另一种可选的实施例，在基于权限配置策略为目标对象配置权限之后，系统每间隔预设时长获取目标对象的当前权限信息以及目标对象的角色信息，其中，当前权限信息为目标对象在当前时刻所具有的权限信息，目标对象的角色信息至少包括目标对象所属部门的部门信息以及目标对象的职级信息；然后基于当前权限信息以及角色信息检测目标对象是否存在异常权限，其中，异常权限为当前权限信息中与角色信息不匹配的权限。

在本实施例中，系统的通过定时任务单元每间隔预设时长从数据库中获取目标对象的当前权限信息以及目标对象的角色信息，并将上述信息发送给系统的安全检查单元，安全检查单元通过发起检查任务对当前权限信息以及角色信息进行检测，来确定目标对象是否存在异常权限。

需要说明的是，系统通过定时当前权限信息以及角色信息进行检测，来监测目标对象是否存在异常权限，对目标对象可能存在的非正常权限进行风险规避，降低企业数据信息的泄露风险。

进一步地，系统可基于角色信息从目标权限策略树中获取目标对象对应的当前权限配置策略；然后比对当前权限信息与当前权限配置策略中的权限信息是否相同；在当前权限信息与当前权限配置策略中的权限信息相同时，确定目标对象不存在异常权限；在当前权限信息与当前权限配置策略中的权限信息不相同时，确定目标对象存在异常权限，并对异常权限进行权限冻结处理，其中，权限冻结处理用于禁止目标对象继续使用异常权限。

在本实施例中，系统可依据角色信息从目标权限策略树中获取目标对象对应的当前权限配置策略，系统通过比对目标对象的当前权限信息和当前权限配置策略中的权限信息是否相同，来确定目标对象是否存在异常权限；在当前权限信息与当前权限配置策略中的权限信息相同时，确定目标对象不存在异常权限。在当前权限信息与当前权限配置策略中的权限信息不相同时，系统确定目标对象存在异常权限，并对异常权限进行权限冻结处理，并通知管理员核实该异常权限。

需要说明的是，系统通过比对目标对象的当前权限信息和当前权限配置策略中的权限信息是否相同，来确定目标对象是否存在异常权限，能够准确地确定目标对象的当前权限信息中是否存在异常权限的信息，在确定目标对象存在异常权限时，及时对异常权限进行权限冻结处理，避免目标对象继续使用该异常权限，对目标对象可能存在的非正常权限进行风险规避，降低企业数据信息的泄露风险。

由此可见，通过本申请提供的权限配置方法，能够通过自动获取目标对象的角色变化信息，并依据角色变化信息从目标权限策略树中获取目标对象对应的权限配置策略，基于权限配置策略自动为目标对象配置权限，无需通过人工的方式为目标对象分配权限，从而提高了权限的配置效率，减少了人力支出成本，进而解决了现有技术中通过人工的方式分配权限，导致权限配置效率低的技术问题。在目标对象请求申请访问其他部门数据的权限或访问特殊保密文件的权限时，能够在审批通过后，自动为目标对象配置权限，实现权限的精准配置。通过比对目标对象的当前权限信息和当前权限配置策略中的权限信息是否相同，来确定目标对象是否存在异常权限，实现准确地确定目标对象的当前权限信息中是否存在异常权限的信息。在确定目标对象存在异常权限时，及时对异常权限进行权限冻结处理，避免目标对象继续使用该异常权限，对目标对象可能存在的非正常权限进行风险规避，降低企业数据信息的泄露风险。

实施例2

根据本申请实施例，提供了一种权限配置装置的实施例，其中，图4根据本申请实施例的一种可选的权限配置装置的示意图，如图4所示，该装置包括：

第一获取模块401，用于获取待配置权限的目标对象的角色变化信息，其中，角色变化信息包括目标对象所属部门的变化信息和/或目标对象的职级的变化信息；

第二获取模块402，用于依据角色变化信息从目标权限策略树中获取目标对象对应的权限配置策略，其中，目标权限策略树用于存储目标企业的多个部门中的每个部门对应的权限信息，以及目标企业的多个职级中每个职级对应的权限信息；

配置模块403，用于基于权限配置策略为目标对象配置权限。

需要说明的是，上述第一获取模块401、第二获取模块402以及配置模块403对应于上述实施例中的步骤S101至步骤S103，三个模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例1所公开的内容。

可选地，权限配置装置还包括：第三获取模块，用于在依据角色变化信息从目标权限策略树中获取目标对象对应的权限配置策略之前，获取部门权限信息，其中，部门权限信息中至少包括满足目标企业的员工的办公需求的第一权限的权限信息、目标企业的多个部门中每个部门的第二权限的权限信息以及每个部门对应的多个职级中每个职级的第三权限的权限信息，第一权限的权限范围小于第二权限的权限范围，第二权限的权限范围小于第三权限的权限范围；第一生成模块，用于依据部门权限信息生成初始权限策略树，其中，初始权限策略树至少包括第一节点、第二节点以及第三节点。

可选地，权限配置装置还包括：更新模块，用于在依据部门权限信息生成初始权限策略树之后，基于第一权限的权限信息更新初始权限策略树中的第一节点，基于第二权限的权限信息更新初始权限策略树中的第二节点，基于第三权限的权限信息更新初始权限策略树中的第三节点，得到目标权限策略树。

可选地，配置模块包括：第一确定单元，用于依据角色变化信息确定目标对象当前所处的第一权限分组；第一删除单元，用于将目标对象对应的域账号从第一权限分组中删除；第二确定单元，用于基于权限配置策略确定目标对象对应的目标权限分组；第一添加单元，用于将目标对象对应的域账号添加至目标权限分组中，以实现为目标对象配置权限。

可选地，权限配置装置还包括：第四获取模块，用于在基于权限配置策略为目标对象配置权限之后，获取权限配置指令，其中，权限配置指令用于为目标对象配置目标权限，目标权限为目标对象申请的能够访问其他部门对应的数据的权限，其他部门为目标企业内除目标对象所属部门之外的部门，权限配置指令中携带有目标权限的权限信息；第一添加模块，用于依据权限配置指令将目标对象添加至目标名单，其中，目标名单用于禁止目标对象申请的目标权限被判断为异常权限；第一确定模块，用于基于目标权限的权限信息确定第二权限分组，其中，第二权限分组为其他部门对应的权限分组；第二添加模块，用于将目标对象对应的域账号添加至第二权限分组中，以实现为目标对象配置目标权限。

可选地，权限配置装置还包括：第五获取模块，用于在基于权限配置策略为目标对象配置权限之后，每间隔预设时长获取目标对象的当前权限信息以及目标对象的角色信息，其中，当前权限信息为目标对象在当前时刻所具有的权限信息，目标对象的角色信息至少包括目标对象所属部门的部门信息以及目标对象的职级信息；检测模块，用于基于当前权限信息以及角色信息检测目标对象是否存在异常权限，其中，异常权限为当前权限信息中与角色信息不匹配的权限。

可选地，检测模块包括：第一获取单元，用于基于角色信息从目标权限策略树中获取目标对象对应的当前权限配置策略；比对单元，用于比对当前权限信息与当前权限配置策略中的权限信息是否相同；第三确定单元，用于在当前权限信息与当前权限配置策略中的权限信息相同时，确定目标对象不存在异常权限；第四确定单元，用于在当前权限信息与当前权限配置策略中的权限信息不相同时，确定目标对象存在异常权限，并对异常权限进行权限冻结处理，其中，权限冻结处理用于禁止目标对象继续使用异常权限。

实施例3

根据本申请实施例的另一方面，还提供了计算机可读存储介质，计算机可读存储介质中存储有计算机程序，其中，计算机程序被设置为运行时执行上述的权限配置方法。

实施例4

根据本申请实施例的另一方面，还提供了一种电子设备，其中，图5是根据本申请实施例的一种可选的电子设备的示意图，如图5所示，电子设备包括一个或多个处理器；存储器，用于存储一个或多个程序，当一个或多个程序被一个或多个处理器执行时，使得一个或多个处理器实现用于运行程序，其中，程序被设置为运行时执行上述的权限配置方法。

如图5所示，本申请实施例提供了一种电子设备，设备包括处理器、存储器及存储在存储器上并可在处理器上运行的程序，处理器执行程序时实现以下步骤：

获取待配置权限的目标对象的角色变化信息，其中，角色变化信息包括目标对象所属部门的变化信息和/或目标对象的职级的变化信息；依据角色变化信息从目标权限策略树中获取目标对象对应的权限配置策略，其中，目标权限策略树用于存储目标企业的多个部门中的每个部门对应的权限信息，以及目标企业的多个职级中每个职级对应的权限信息；基于权限配置策略为目标对象配置权限。

可选地，处理器执行程序时还实现以下步骤：在依据角色变化信息从目标权限策略树中获取目标对象对应的权限配置策略之前，获取部门权限信息，其中，部门权限信息中至少包括满足目标企业的员工的办公需求的第一权限的权限信息、目标企业的多个部门中每个部门的第二权限的权限信息以及每个部门对应的多个职级中每个职级的第三权限的权限信息，第一权限的权限范围小于第二权限的权限范围，第二权限的权限范围小于第三权限的权限范围；依据部门权限信息生成初始权限策略树，其中，初始权限策略树至少包括第一节点、第二节点以及第三节点。

可选地，处理器执行程序时还实现以下步骤：在依据部门权限信息生成初始权限策略树之后，基于第一权限的权限信息更新初始权限策略树中的第一节点，基于第二权限的权限信息更新初始权限策略树中的第二节点，基于第三权限的权限信息更新初始权限策略树中的第三节点，得到目标权限策略树。

可选地，处理器执行程序时还实现以下步骤：依据角色变化信息确定目标对象当前所处的第一权限分组；将目标对象对应的域账号从第一权限分组中删除；基于权限配置策略确定目标对象对应的目标权限分组；将目标对象对应的域账号添加至目标权限分组中，以实现为目标对象配置权限。

可选地，处理器执行程序时还实现以下步骤：在基于权限配置策略为目标对象配置权限之后，获取权限配置指令，其中，权限配置指令用于为目标对象配置目标权限，目标权限为目标对象申请的能够访问其他部门对应的数据的权限，其他部门为目标企业内除目标对象所属部门之外的部门，权限配置指令中携带有目标权限的权限信息；依据权限配置指令将目标对象添加至目标名单，其中，目标名单用于禁止目标对象申请的目标权限被判断为异常权限；基于目标权限的权限信息确定第二权限分组，其中，第二权限分组为其他部门对应的权限分组；将目标对象对应的域账号添加至第二权限分组中，以实现为目标对象配置目标权限。

可选地，处理器执行程序时还实现以下步骤：在基于权限配置策略为目标对象配置权限之后，每间隔预设时长获取目标对象的当前权限信息以及目标对象的角色信息，其中，当前权限信息为目标对象在当前时刻所具有的权限信息，目标对象的角色信息至少包括目标对象所属部门的部门信息以及目标对象的职级信息；基于当前权限信息以及角色信息检测目标对象是否存在异常权限，其中，异常权限为当前权限信息中与角色信息不匹配的权限。

可选地，处理器执行程序时还实现以下步骤：基于角色信息从目标权限策略树中获取目标对象对应的当前权限配置策略；比对当前权限信息与当前权限配置策略中的权限信息是否相同；在当前权限信息与当前权限配置策略中的权限信息相同时，确定目标对象不存在异常权限；在当前权限信息与当前权限配置策略中的权限信息不相同时，确定目标对象存在异常权限，并对异常权限进行权限冻结处理，其中，权限冻结处理用于禁止目标对象继续使用异常权限。

上述本申请实施例序号仅仅为了描述，不代表实施例的优劣。

在本申请的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

在本申请所提供的几个实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如单元的划分，可以为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。

作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本申请各个实施例方法的全部或部分步骤。而前述的存储介质包括：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

以上仅是本申请的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本申请的保护范围。

Claims (10)

1.一种权限配置方法，其特征在于，包括：

获取待配置权限的目标对象的角色变化信息，其中，所述角色变化信息包括所述目标对象所属部门的变化信息和/或所述目标对象的职级的变化信息；

依据所述角色变化信息从目标权限策略树中获取所述目标对象对应的权限配置策略，其中，所述目标权限策略树用于存储目标企业的多个部门中的每个所述部门对应的权限信息，以及所述目标企业的多个职级中每个所述职级对应的权限信息；

基于所述权限配置策略为所述目标对象配置权限。

2.根据权利要求1所述的方法，其特征在于，在依据所述角色变化信息从目标权限策略树中获取所述目标对象对应的权限配置策略之前，所述方法还包括：

获取部门权限信息，其中，所述部门权限信息中至少包括满足所述目标企业的员工的办公需求的第一权限的权限信息、所述目标企业的多个所述部门中每个所述部门的第二权限的权限信息以及每个所述部门对应的多个所述职级中每个所述职级的第三权限的权限信息，所述第一权限的权限范围小于所述第二权限的权限范围，所述第二权限的权限范围小于所述第三权限的权限范围；

依据所述部门权限信息生成初始权限策略树，其中，所述初始权限策略树至少包括第一节点、第二节点以及第三节点。

3.根据权利要求2所述的方法，其特征在于，在依据所述部门权限信息生成初始权限策略树之后，所述方法还包括：

基于所述第一权限的权限信息更新所述初始权限策略树中的第一节点，基于所述第二权限的权限信息更新所述初始权限策略树中的第二节点，基于所述第三权限的权限信息更新所述初始权限策略树中的第三节点，得到所述目标权限策略树。

4.根据权利要求1所述的方法，其特征在于，基于所述权限配置策略为所述目标对象配置权限，包括：

依据所述角色变化信息确定所述目标对象当前所处的第一权限分组；

将所述目标对象对应的域账号从所述第一权限分组中删除；

基于所述权限配置策略确定所述目标对象对应的目标权限分组；

将所述目标对象对应的域账号添加至所述目标权限分组中，以实现为所述目标对象配置所述权限。

5.根据权利要求1所述的方法，其特征在于，在基于所述权限配置策略为所述目标对象配置权限之后，所述方法还包括：

获取权限配置指令，其中，所述权限配置指令用于为所述目标对象配置目标权限，所述目标权限为所述目标对象申请的能够访问其他部门对应的数据的权限，所述其他部门为所述目标企业内除所述目标对象所属部门之外的部门，所述权限配置指令中携带有所述目标权限的权限信息；

依据所述权限配置指令将所述目标对象添加至目标名单，其中，所述目标名单用于禁止所述目标对象申请的目标权限被判断为异常权限；

基于所述目标权限的权限信息确定第二权限分组，其中，所述第二权限分组为所述其他部门对应的权限分组；

将所述目标对象对应的域账号添加至所述第二权限分组中，以实现为所述目标对象配置所述目标权限。

6.根据权利要求1所述的方法，其特征在于，在基于所述权限配置策略为所述目标对象配置权限之后，所述方法包括：

每间隔预设时长获取所述目标对象的当前权限信息以及所述目标对象的角色信息，其中，所述当前权限信息为所述目标对象在当前时刻所具有的权限信息，所述目标对象的角色信息至少包括所述目标对象所属部门的部门信息以及所述目标对象的职级信息；

基于所述当前权限信息以及所述角色信息检测所述目标对象是否存在异常权限，其中，所述异常权限为所述当前权限信息中与所述角色信息不匹配的权限。

7.根据权利要求6所述的方法，其特征在于，基于所述当前权限信息以及所述角色信息检测所述目标对象是否存在异常权限，包括：

基于所述角色信息从所述目标权限策略树中获取所述目标对象对应的当前权限配置策略；

比对所述当前权限信息与所述当前权限配置策略中的权限信息是否相同；

在所述当前权限信息与所述当前权限配置策略中的权限信息相同时，确定所述目标对象不存在所述异常权限；

在所述当前权限信息与所述当前权限配置策略中的权限信息不相同时，确定所述目标对象存在所述异常权限，并对所述异常权限进行权限冻结处理，其中，所述权限冻结处理用于禁止所述目标对象继续使用所述异常权限。

8.一种的权限配置装置，其特征在于，包括：

第一获取模块，用于获取待配置权限的目标对象的角色变化信息，其中，所述角色变化信息包括所述目标对象所属部门的变化信息和/或所述目标对象的职级的变化信息；

第二获取模块，用于依据所述角色变化信息从目标权限策略树中获取所述目标对象对应的权限配置策略，其中，所述目标权限策略树用于存储目标企业的多个部门中的每个所述部门对应的权限信息，以及所述目标企业的多个职级中每个所述职级对应的权限信息；

配置模块，用于基于所述权限配置策略为所述目标对象配置权限。

9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机程序，其中，所述计算机程序被设置为运行时执行权利要求1至7任一项中所述的权限配置方法。

10.一种电子设备，其特征在于，所述电子设备包括一个或多个处理器；存储器，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现用于运行程序，其中，所述程序被设置为运行时执行权利要求1至7任一项中所述的权限配置方法。