CN1667542A

CN1667542A - 在计算机系统上进行身份转换的系统和方法

Info

Publication number: CN1667542A
Application number: CNA2005100512833A
Authority: CN
Inventors: J·K·凯宾格; B·D·古德曼; K·C·拉加德
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 2004-03-09
Filing date: 2005-03-03
Publication date: 2005-09-14
Anticipated expiration: 2025-03-03
Also published as: US20050204146A1; CN1313899C; US7647628B2

Abstract

提供了用于转换具有与第一用户类相关联的第一用户名的用户的身份的系统、方法和程序产品。根据该方法，从用户接收登录信息，该登录信息包括第一用户名、供替换的类和口令。根据该第一用户名和该口令验证该用户，并按该供替换的类来提供对该计算机系统的访问，其中该供替换的类与该第一类不同。在一优选实施例中，登录信息还包括第二用户名，并且提供的对该计算机系统的访问具有该第二用户名的权利和特权。

Description

在计算机系统上进行身份转换的系统和方法

技术领域

本发明涉及计算机系统，并尤其涉及一种用于将用户作为一个用户对其验证但是作为不同的用户或用户类向其提供访问的系统、方法和程序产品。

技术背景

在当前的计算机环境下，已采取重大的措施来防止对计算机系统和网络的未授权访问，同时向被授权的用户或用户类提供增强的计算体验。在计算机安全的语境中，“验证”是建立客户或用户的身份的过程。验证通常基于用户的证书，该证书可描述用户的身份、组成员资格、管理角色、特别特权等。“授权”是将客户或用户的被证实的身份转变成客户在正在被访问的计算机系统上可以和不可以执行的一组行动的过程。

用户账号经常与用户类相关联。该关联存在的原因至少有两个。第一个原因是授权；与在每个用户的级别上进行管理相比，整个用户类(即组)的特权可更易于维护。第二个原因是与用户体验有关的偏好；在此情况下可根据用户的类关联改变呈现给用户的体验。

用户可以暂时进入(或“转变成”)另一个用户或一类用户的角色通常是有用的。这在测试和开发web应用期间是尤其有用的。另外，这种身份转换在技术支持角色中是有用的，这是通过使支持工作人员不能访问用户的口令就可看到该用户或该用户类中的其它用户所看到的。

大多数传统的计算机系统没有提供使用户承担另一用户或用户类的角色的能力。尽管一些不基于web的计算机系统提供了使用户转化成另一个用户身份的有限能力(例如，Unix/Linux计算机系统中的“su”命令和VM计算机系统中的CVIEW命令)，这些传统的命令仅允许根或系统管理员转换身份，而不用提供其它用户的口令。此外，提供了使用户作为不同的用户或用户类访问系统的能力的传统的计算机系统在进行验证和身份转换之前需要至少两步，即输入用户ID或口令(并且可能输入其它信息)。此外，这些传统的计算机系统并不维护哪个物理用户实际上在执行活动而不管在执行该活动时该用户的实际系统身份是什么的审核踪迹(audittrail)。

因此，需要这样一种系统和方法，其在单个步骤中将用户作为一个用户对其验证但是作为不同的用户或不同类的用户对其授权访问，同时维护用户活动的适当审核踪迹，而不管用户在执行该活动时的系统身份是什么。

发明内容

本发明的一个目的是提供用于将用户作为一个用户或用户类对其验证，并然后作为不同用户或用户类对其授权访问的系统、方法和程序产品。

本发明的另一目的是允许用户在登录时选择将转换成的另一个用户和/或用户类，从而身份转换操作可在一步中实现。

本发明的另一目的是允许在登录后在系统内进行身份转换。

本发明的另一目的是为用户提供所采取的任何行为的审核踪迹而不管用户当前的系统身份是什么。

本发明的一个实施例提供了一种用于转换一具有与第一用户类相关联的第一用户名的用户的身份的方法。根据该方法，接收来自该用户的登录信息，该登录信息包括第一用户名，供替换的类和口令。根据该第一用户名和该口令验证该用户，并使用户作为该供替换的类来向其提供对计算机系统访问，其中该供替换的类与该第一类不同。在一优选实施例中，登录信息还包括第二用户名，并且所提供的对该计算机系统的访问具有该第二用户名的权利和特权。

本发明的另一实施例提供了一种用于转换一具有与第一用户类相关联的第一用户名的用户的身份的系统。该系统包括一用于接收来自用户的登录信息的界面以及一处理器。该登录信息包括第一用户名、供替换的类和口令。该处理器根据该第一用户名和该口令验证该用户，并使用户作为该供替换的类向其提供对计算机系统的访问。在一优选实施例中，处理器向该用户提供该供替换类中的用户的体验。

从下面的详细说明中可清楚地了解本发明的其它目标、特征和优点。但是应理解，指出了本发明的优选实施例的该详细说明和特定示例仅用于说明，并且在不背离本发明的情况下当然可进行多种变型。

附图说明

图1是示出示例性计算机系统的结构图。

图2是示出示例性客户-服务器网络系统的结构图。

图3是示出根据本发明的一优选实施例的一种使用户作为一个用户被验证但是作为不同的用户或不同类的用户授权访问计算机系统的方法的流程图。

图4和5示出本发明的一个实施例的一用户界面登录显示。

具体实施方式

本发明的优选实施例提供了在单个步骤中使用户作为一个用户被验证但是作为不同的用户或不同类的用户被授权访问计算机系统的系统、方法和程序产品。优选地，维护该用户活动的适当审核踪迹而不管用户在执行活动时的系统身份是什么。

图1示出一用于呈现和维护用户应用的示例性计算机系统。该示例性计算机系统100包括一计算机102，该计算机具有一处理器112、存储介质114(例如，磁盘)和主存储器110。一操作系统和几个应用程序122位于存储介质114上，并且需要时可在操作期间加载到主存储器110中。计算机102还包括外围设备例如一视频显示器104、一打印机/扫描仪120、一键盘108、一指点设备106(例如鼠标)和一用于连接网络118的接口116。在操作期间，用户在操作系统和/或应用程序之一(例如，应用1)的控制下通过使用键盘108和鼠标106与显示器104上显示的图形用户界面(GUI)相交互。该操作系统和应用程序可通过网络108与远程用户和系统相交互。

图1的示例性计算机系统100可以是一客户-服务器网络系统的一部分，如图2所示。该示例性网络系统200包括多个客户计算机系统，例如客户机1202、客户机2204、客户机3206和客户机4208。这些客户机经由网络例如局域网(LAN)209与服务器212相连接。服务器212经由另一网络例如因特网214与一远程服务器216相连接。另外的客户计算机系统例如客户机5210经由另一个LAN 211与远程服务器216相连接。一用户User1 218可使用这些客户机中的一个例如客户机1202来运行应用，并且可通过服务器212与其它的本地或远程的客户机例如客户机2204和用户例如User5 220相交互。客户应用112可设置在每个客户机上，或者服务器212或远程服务器216可通过网络229提供应用。

图3示出根据本发明的一优选实施例的一种在单个步骤中使用户作为一个用户被验证但是作为不同的用户或不同类的用户被授权访问计算机系统的过程的流程图。根据过程300，一用户提供登录信息(步骤S302)，并且使用来自登录信息的用户名来验证该用户的身份(步骤S306)。如果该用户被验证，则根据在登录信息中是否包含供替换的用户名或类判定该用户是否试图转换身份(步骤S310)。如果是这样，则检查一授权表以判定该用户是否被授权转换成该供替换的用户名和/或类(步骤S314)。如果要求的身份转换被授权(步骤S316)，则用户作为该供替换的用户和/或类进入该应用(即计算机系统)(步骤S318)。

现在详细说明一示例性实施例的操作。在此实施例中，通过一使用安全套接字层(SSL)的安全连接向用户呈现一基于web的表单来向用户询问登录信息。该表单包括两个分别用于输入用户名和口令的字段。用户向第一个字段内输入用户名。另外，用户也可可选地输入一冒号和一供替换的用户名，两个冒号和一供替换的类(或组)名，或一冒号以及被一冒号隔开的一供替换的用户名和一类名。用户输入第一用户名的口令并将该网络表单提交给目标服务器。在一些实施例中，提供的登录信息还包括其它的信息例如标识符、私钥、公钥、令牌、智能卡输入或生物识别装置输入。

图4和5示出用于本发明的该实施例的一示例性用户界面web表单。在图4的示例中，用户界面登录显示400示出用户在用户名字段402中输入其用户名“jamesk”，然后一个冒号，然后是供替换的用户名“briang”。换言之，用户“jamesk”正在请求以“briang”的角色访问计算机系统。用户也向口令字段404中输入其口令，并点击提交按钮406以将输入的登录数据提交给服务器。

在图5的示例中，用户界面登录显示500示出用户在用户名字段402中输入其用户名“jamesk”，然后一个冒号，然后是供替换的用户名“briang”，后面跟另一个冒号，然后是一可替换的类名“admin”。换言之，用户“jamesk”正在请求以用户“briang”的用户角色和“admin”用户类的类角色访问计算机系统。因此，在这两种情况下，用于使用户作为一个用户被验证但是作为供替换的用户和/或用户类被授权访问的登录信息输入是在一步内完成的(即，通过将供替换的用户名和/或口令作为输入的用户名字符串的一部分)。

在点击提交按钮406后，服务器接收到输入的登录信息(步骤S302)。服务器使用来自口令字段404的口令和来自用户名字段402的第一字符串验证用户，该字符串等同于与该口令相关联的用户名(步骤S306)。在此实施例中，使用一中心储存库(例如企业目录)进行该验证，该中心储存库保存了被定义的环境中的所有系统用户的用户名身份和口令。可以在该计算机系统的本地或远程进行验证。优选地，使用一公共的应用编程接口(API)来安全地访问用户名和口令证书。如果验证失败，则向用户呈现一错误消息(步骤S308)。如果用户通过验证，则服务器判定该用户是否试图转换身份(步骤S310)。更具体地，服务器判定用户名字段402中是否存在第二和/或第三字符串(用冒号隔开)。在成功地验证之后，系统判定用户是否试图转换身份(步骤S310)。如果被验证的用户没有试图转换身份(即用户名字段中既不存在第二字符串也不存在第三字符串)，则用户以正常方式进入系统(步骤S312)。如果在用户名字段中存在第二和第三字符串中的任一个或两者，则服务器验证用户(由形成用户名字段的第一字符串的用户名标识出的)被允许转换成由第二字符串标识出的用户和/或由第三字符串标识出的用户类的角色(步骤S314)。该验证是根据存储在关系数据库、基于组的目录系统或任何其他适当的存储系统(例如LDAP、XML、JDO、一个或多个文本文件、压缩二进制数据、串行目标代码或面向对象的数据库)中的授权表进行的。此外，该验证可在该计算机系统的本地或远程进行。

如果没有授权用户转换成请求的用户或类身份(步骤S316)，则呈现错误消息并且用户以正常方式进入系统(步骤S312)。另一方面，如果授权请求的身份转换，则系统提供为该被指定的供替换的用户名或类定制的访问(步骤S318)。换句话说，使用户可以访问基于网络的应用，如同他是该供替换的用户和/或如同他位于供替换的用户类中。因此，向用户提供了该供替换的用户和/或类的体验。优选地，也给予该用户该供替换的用户和/或类的权利和特权。

例如，考虑以下情况，其中Brian(briang)是web技术小组的一员，James(jamesk)是IP法律小组的一员，并且通过呈现对于不同的用户类而言不同的体验，而在类的一级使系统个性化。具体地，使系统针对web技术用户类进行个性化以在登录时为他们提供关于web技术的内容，并且使同样的系统针对IP法律用户类进行个性化以在登录时呈现给他们关于IP法律的内容。因此，如果Brain在登录时仅提供他的用户名和口令，则使用他的类“webtech”来提供给他web技术内容。

但是，系统可使用身份转换过程以允许用户在登录时指定所需的内容类型。因此，如果Brian用一被要求的IP法律的身份登录(“briang∷iplaw”)，则不管他自己的类是什么，都向他提供IP法律类中的一用户的体验。类似的，如果Brian在帮助James调试其正在使用的web应用，则Brian可被授权通过转换或变形为James的身份而登录(briang：jamesk)。在此实施例中，用于请求身份转换的用户名字段的一般格式为：<username>：<alt.username>：<alt.class>。

在其它的示例中，Konrad是James的经理，并且已委派James负责了解企业面板(dashboard)的每天的行为。企业面板合并了公司的关键部门的每位经理的定制的视图。James输入适当的URL，并看到显示出一web表单要求输入用户名和口令。James在用户名字段中输入其自身的用户名，一个冒号，然后输入其经理的用户名(“james：konard”)。James在口令字段中输入其口令并提交该表单。

企业面板服务器接收到James的登录信息(包括请求转换成Konrad的身份)，并通过用所提供的用户名和口令连接到企业目录对其进行验证。如果验证成功，则企业面板服务器然后通过检查存储在一数据库中的简单的记录来验证Konrad是否已授权James转换成其身份。如果James的用户名被授权访问Konrad的身份，则给予James访问权，就如同他是Konard一样。类似的，如果James是企业面板的管理员之一，则James可在用户名字段中输入其自己的用户名、一个冒号、其经理的用户名、另一个冒号和用户的管理员类(“jamesk：konrad：admin”)。如果被授权，则这使James可使用Konrad的身份并且使能一管理员视图。

因此，本发明的优选实施例提供了一种用于在一步内安全地访问一计算机系统并转换到作为另一个用户或另一用户类体验该系统的方法。使该用户可象该供替换的用户和/或在该供替换的用户类中那样访问一计算机系统或应用。即，向该用户提供该供替换的用户和/或用户类的体验、权利和特权。因此，用户可暂时进入该其它用户或用户类的角色。这在web应用的测试和开发过程中是尤其有利的。另外，这种身份转换在技术支持角色中是有用的，这是通过使不能访问一用户的口令的支持工作人员可看到该用户或该用户类中任何人所看到的。

另外，系统可以一般方式维护审核踪迹，只是审核踪迹输入是基于用户的真实身份(例如，jamesk)而与任何正在起作用的身份转换无关之外。更具体地，使用用户的真实用户名将事件记录在一审核踪迹数据库或日志文件中。作为替代或作为附加地，可跟踪事件，并且一些预定的事件可触发警报。

优选实施例的过程对用户是透明的。具体地，当用户提交登录信息后，系统执行身份转换过程剩余的步骤。因此，验证和身份转换行为是在一个用户步骤内完成的。本发明的系统和方法可在硬件、软件或硬件和软件的组合中实现。根据本发明的一优选实施例的系统可以集中方式在一计算机系统内实现，或以分布方式实现，在该分布方式中不同的元件分散在一些互相连接的计算机系统中。任何类型的计算机系统—或其它适于执行这里所述的方法的装置—都是合适的。典型的硬件和软件的组合可以是带有计算机程序的通用的计算机系统，该计算机程序在被加载和执行时可控制该计算机系统以便执行这里所述的方法。

本发明的一实施例也可包含在一计算机程序产品中，该产品包含使这里所述的方法能够实现的所有特征，并且当被加载在一计算机系统中可执行这些方法。本发明中使用的计算机程序装置或计算机程序是指用任何语言、代码或符号表示的一组指令的任何表达，该组指令旨在使具有信息处理能力的系统直接地或者在下列步骤之一或全部之后执行特定的功能：a)转换成另一种语言、代码或符号；和b)复制到不同材料形式中。

一计算机系统除其他部件外可包括一个或多个计算机和在一计算机可读介质上的至少一个计算机程序产品，该计算机产品允许一计算机系统从该计算机可读介质中读取数据、指令、消息或消息包，或其它计算机可读信息。该计算机可读介质可包括非易失的存储器例如ROM、闪速存储器、磁盘驱动存储器、CD-ROM和其它永久性存储装置。另外，一计算机可读介质包括例如易失性存储器例如RAM、缓冲器、高速缓冲存储器和网络电路。此外，计算机可读介质可在一暂时状态介质内包含计算机可读信息，该暂时状态介质例如有允许一计算机系统读取该计算机可读信息的网络链路和/或网络接口，包括有线网络或无线网络。

尽管已详细说明了本发明的几个实施例及其优势，但是应理解，在不背离本发明的教导的情况下可进行改变、代替、转换、修改、变动、置换和变型，本发明的精神和范围由所附权利要求限定。

Claims

1.一种用于转换具有与第一用户类相关联的第一用户名的用户的身份的方法，该方法包括以下步骤：

接收来自该用户的登录信息，该登录信息包括第一用户名，供替换的类和口令；

根据该第一用户名和该口令验证该用户；以及

按该供替换的类来提供对该计算机系统的访问，

其中该供替换的类与该第一类不同。

2.根据权利要求1的方法，其特征在于，

该登录信息还包括第二用户名，并且在所述提供步骤中，所提供的对该计算机系统的访问具有该第二用户名的权利和特权。

3.根据权利要求1的方法，其特征在于，该方法还包括以下步骤：

验证用户被授权按该供替换的类来提供对该计算机系统的访问，

其中只有用户授权通过验证才执行该提供步骤。

4.根据权利要求3的方法，其特征在于，该验证步骤还包括在身份转换授权表中查找该第一用户名的子步骤。

5.根据权利要求1的方法，其特征在于，该提供步骤包括在登录后呈现给用户该供替换的类的用户界面的子步骤。

6.根据权利要求1的方法，其特征在于，在该提供步骤中，向用户提供该供替换的类中的用户的体验。

7.根据权利要求1的方法，其特征在于，在该接收步骤中，将该第一用户名和供替换的类输入单个数据字段，从而在仅仅一个用户步骤中实现身份转换。

8.根据权利要求1的方法，其特征在于，该方法还包括记录包括至少一些由该第一用户所执行的行为的审核踪迹的步骤，该审核踪迹包括该第一用户名。

9.一种用于转换具有与第一用户类相关联的第一用户名的用户的身份的计算机程序产品，该计算机程序产品包括：

可由处理电路读取并存储用于由该处理电路执行以实现一方法的指令的存储介质，该方法包括以下步骤：

接收来自用户的登录信息，该登录信息包括第一用户名、供替换的类和口令；

根据该第一用户名和该口令验证该用户；以及

按该供替换的类来提供对该计算机系统的访问，

其中该供替换的类与该第一类不同。

10.根据权利要求9的计算机程序产品，其特征在于，

该登录信息还包括第二用户名，以及

在该方法的该提供步骤中，所提供的对该计算机系统的访问具有该第二用户名的权利和特权。

11.根据权利要求9的计算机程序产品，其特征在于，该方法还包括以下步骤：

验证该用户被授权按该供替换的类来提供对该计算机系统的访问，

其中只有该用户的授权通过验证才执行该提供步骤。

12.根据权利要求9的计算机程序产品，其特征在于，该方法的该提供步骤包括在登录后呈现给用户该供替换的类的用户界面的子步骤。

13.根据权利要求9的计算机程序产品，其特征在于，在该方法的该提供步骤中，向该用户提供该供替换的类中的用户的体验。

14.根据权利要求9的计算机程序产品，其特征在于，在该方法的该接收步骤中，将该第一用户名和供替换的类输入单个数据字段，从而在仅仅一个用户步骤中实现身份转换。

15.一种用于转换具有与第一用户类相关联的第一用户名的用户的身份的系统，该系统包括：

接收来自用户的登录信息的界面，该登录信息包括第一用户名、供替换的类和口令；

根据该第一用户名和该口令验证该用户，并按该供替换的类来提供对该计算机系统的访问的处理器，

其中该供替换的类与该第一类不同。

16.根据权利要求15的系统，其特征在于，

登录信息还包括第二用户名，以及

该处理器提供的对该计算机系统的访问具有该第二用户名的权利和特权。

17.根据权利要求15的系统，其特征在于，该处理器验证该用户被授权按该供替换的类来提供对该计算机系统的访问，并且只有该用户的授权通过验证，才将该用户作为该供替换的类向其提供对该计算机系统的访问。

18.根据权利要求15的系统，其特征在于，在登录后，该处理器呈现给该用户该供替换的类的用户界面。

19.根据权利要求15的系统，其特征在于，该处理器向该用户提供该供替换的类中的用户的体验。

20.根据权利要求15的系统，其特征在于，在该接收界面中，将该第一用户名和供替换的类输入单个数据字段，从而可仅在一个用户步骤中实现身份转换。