DE69031191T2 - System zur Steuerung von Zugriffsprivilegien - Google Patents

Description

• Diese Erfindung bezieht sich auf ein System zum Steuern von Zugriffsprivilegien auf Daten innerhalb eines Datenverarbeitungssystems.
• In einer Vergleichsdatenbank werden Daten als Zeilen und Spalten in Tabellen betrachtet, wobei eine Zeile einen Datensatz darstellt. Um Datensätze wiederzufinden, die den Bereich von mehrfachen Tabellen darstellen, werden Vergleichsoperatoren benutzt, wie etwa eine Verbindungsoperation. Obgleich Vergleichsoperatoren innerhalb von Anwendungen oder durch Benutzer über eine Abfragesprache benutzt werden, sind diese Vergleichsvorgänge innerhalb der Daten nicht eingeschlossen, so daß der Vergleichsdatenbankverwalter solche Beziehungen automatisch erkennen kann. Um einen Datensatz aus der Datenbank abzurufen, muß der Benutzer die Leseberechtigung für diesen Datensatz haben. Um die Daten im Datensatz zu verändern, muß der Benutzer die Daten aus dem Speicher abrufen (auswählen und abfragen), den Datensatz im Speicher aktualisieren und dann den aktualisierten Datensatz in die Datenbank schreiben. Der Benutzer muß die Berechtigung haben, den Datensatz zu schreiben, ehe der Datenbankverwalter zuläßt, daß die vorhergehenden Daten in der Datenbank überschrieben werden. Darüber hinaus muß der Benutzer, um den Datensatz im Speicher zu aktualisieren, Kenntnisse über die Spaltenattribute haben, etwa ob die Spalte ganze Zahlen, Zeichen, Zeichenketten usw. enthält.
• In einer objektorientierten Datenbank gleicht die Navigation durch die Daten der des Netzwerkmodells, in dem ein objektorientierter Datenbankverwalter die Beziehungen durchgeht, die unter den Objekten und Unterobjekten definiert sind. Im Gegensatz zum Vergleichsdatenbankmodell werden Beziehungen zwischen Objekten und Unterobjekten durch die Daten und nicht durch bestimmte Operationen definiert. Darüber hinaus weisen in komplexen Anwendungsumgebungen Objekte und ihre Beziehungen gewöhnlich sehr komplexe interne Strukturen auf und umfassen größere Anzahlen von Eigenschaften; derartige Eigenschaften enthalten Verfahren. Zusätzlich betreibt das objektorientierte Datenbankmodell das objektorientierte Programmiermodell dahingehend parallel, daß von Vorgängerobjekten Attribute und Verfahren mitgeschleppt werden können. Das objektorientierte Datenbankmodell befaßt sich jedoch im allgemeinen mit Objekten, die ihrem Wesen nach nicht dauerhaft sind, d.h. sich im Speicher befinden. Das objektorientierte Datenbankmodell erweitert das Programmiermodell dadurch, das es gestattet, daß Objekte behandelt werden, die weiterbestehen, d.h. daß sie sich auf der Platte befinden. Eines der Merkmale von objektorientierten Datenbanken (analog zum Programmiermodell) besteht darin, die Fähigkeit bereitzustellen, generische Operationen zu definieren, d.h. Verfahren, die zum Zwecke des Manipulierens und Abrufens auf die Objekte einwirken. Im Vergleichsdatenbankmodell werden alle Operationen zum Abrufen und Manipulieren von Datensätzen durchgeführt, indem die Anwendungsprogrammschnittstelle des Datenbankverwalters oder die Abfragesprache benutzt werden. Die objektorientierte Verfahrensweise isoliert die Benutzer der Datenbank von der Datendarstellung und/oder der Datenstruktur, die Objekte umfassen. Alle Abrufund Aktualisieroperationen können über die Benutzung dieser Verfahren durchgeführt werden.
• In dem Vergleichsdatenbankmodell können Zugriffsprivilegien an den Datensätzen so gesetzt werden, daß Weitergabe- und Rückweisberechtigungsprivilegien pro Benutzer der Datenbank bestimmt werden können. Die Datensätze werden für bestimmte Benutzer entweder mit Lese- oder Schreibprivilegien markiert. Beispielsweise könnte der erste Datensatz durch die Benutzer A, B und C gelesen und nur durch Benutzer C geschrieben werden. Gleichermaßen könn te der zweite Datensatz so markiert werden, daß nur Benutzer A die Berechtigung zum Lesen hat und nur Benutzer A die Berechtigung zum Schreiben hat.
• Beispielsweise könnten, wenn eine Datenbank Information zur Lohn- und Gehaltsabrechnung enthielte, Mitglieder der Abteilung Lohn- und Gehaltsabrechnung in der Lage sein, alle Informationen zur Lohn-. und Gehaltsabrechnung für alle Abteilungen mit Ausnahme der Lohn- und Gehaltsdatensätze ihrer Abteilung Lohn- und Gehaltsabrechnung zu lesen. Nur der Leiter der Abteilung Lohn- und Gehaltsabrechnung würde die Berechtigung haben, den Datensatz zu lesen, der die Daten der Abteilung Lohn- und Gehaltsabrechnung enthält. Wenn ein Benutzer versuchte, die Datensätze abzurufen, die für den Benutzer kein Leseprivileg definierten, würde diesem Benutzer nicht die Möglichkeit gewährt, diesen Datensatz zu sehen.
• Ein Nachteil von Vergleichsdatenbanken besteht darin, daß Zugriffsberechtigungssteuerung auf der Grundlage von Datensätzen erfolgt.
• Das 1989er JEEE Computer Society Symposium on Security and Privacy vom 1. bis 3. Mai 1989 in Oakland, California, beschreibt auf den Seiten 110 bis 115 ein Berechtigungsmodell für objektorientierte Datenbanken, in dem Berechtigungsregeln in verschiedenen Teilen einer Objekthierarchie untergebracht wurden und gegenüber Zugriffsanforderungen ausgewertet werden, indem ein Algorithmus benutzt wird, der die Objekthierarchie nach einer Regel durchsucht, die den angeforderten Zugriff als berechtigt kennzeichnet.
• Diese Erfindung stellt ein objektorientiertes Datenbanksystem zur Verfügung, wie es in den Ansprüchen definiert wird.
• Eine Ausführungsform der Erfindung wird in der folgenden Beschreibung mit Bezug auf die folgenden Figuren beschrieben, in denen
• Fig. 1 ein Blockdiagramm des Systems dieser Ausführungsform ist, das einen Objektdatenverwalter zum Steuern des Zugriffs zu Objekten in einer Objektdatenbank entsprechend einem Zugriffssteuergrundsatz hat, der mit den Objekten und den Benutzerberechtigungsnachweisen verbunden ist.
• Fig. 2A ist eine Hierarchie von Objekten in einer Objektdatenbank, die Oberobjekte, Objekte und Unterobjekte zeigt.
• Fig. 2B ist eine Veranschaulichung einer Zugriffssteuerliste für jedes Objekt in einer Objektdatenbank.
• Fig. 2C ist eine Hierarchie von Schnittstellenmenüobjekten in einer Objektdatenbank, die Oberobjekte, Objekte und Unterobjekte zeigt.
• Fig. 3A ist ein Flußdiagramm des Objektdatenverwalters, der Zugriffssteuereinrichtungen benutzt, um festzustellen, ob eine bestimmte Operation an einer Gruppe von Objektklassen und Objekten zulässig ist.
• Fig. 3B ist ein Flußdiagramm der Verfahrensweise zum Gewähren oder Zurückweisen der Operationen, die auf den Zugriffssteuergrundsätzen beruht.
• Fig. 3C ist eine Fortsetzung des Flußdiagramms von Fig. 3A.
• Fig. 4 veranschaulicht die Struktur der Zugriffssteuerliste.
• Fig. 5A zeigt die Zugriffssteuergrundsätze dieser Ausführungsfo,rm, wie sie in Verbindung mit einem Systemverwaltungsschnittstellenwerkzeug zum Steuern der administrativen Ansichten von Menüobjekten verwendet wird.
• Fig. 5B zeigt eine Hierarchie von Objekten der Systemverwaltungsschnittstellenmenüoptionen.
• Das Datenverarbeitungssystem 1 hat ein Betriebssystem, das in Speicher 3 läuft, der Tabellen 30 hat, die für jeden aktiven Benutzer 32 die Berechtigungsnachweise 31 enthalten. Die Berechtigungsnachweisidentität 31 enthält die Benutzer-ID 33 und die Gruppen-IDS 34, zu denen der Benutzer gehört, und andere Sicherheitsinformation 35. Im Benutzerspeicher 4 greift der Objektdatenverwalter 40 auf die Objekte zu, die im Dateisystem gefunden werden. Das Dateisystem 20 befindet sich auf Platte 2, die Objektklassen 50 hat, wie in Fig. 2A und Fig. 2C gezeigt wird.
• Unter Bezugnahme auf Figur 2A ist Objektklasse 54 eine Oberklasse von Objekten 55 und Objekten 56, und Objekte 55 sind eine Oberklasse von Objekten 57. Ein Beispiel wird in EP-A 0 398 643 beschrieben. Gleichermaßen sind Objekte 55 eine Unterklasse von Objektklasse 54, und Objektklassen 57 sind Unterobjekte von Objektklasse 55. Die Objektklasse des Systemverwaltungsschnittstellenwerkzeuges umfaßt Objekte der Schnittstellenmenüoptionen, wie in Fig. 2C gezeigt wird. Ein Beispiel eines derartigen Schnittstellenwerkzeuges wird in EP-A 398 646 beschrieben.
• Unter Bezugnahme wieder auf Fig. 1 hat der Objektdatenverwalter 40 Kenntnisse der Zuordnung und Berechtigung der absoluten Zugriffssteuergrundsätze pro Objekt. Der Berechtigungsvorgang sieht die Benutzerberechtigungsnachweise 31 durch, die dem Objektdatenverwalter 40 zugeschrieben werden, und benutzt diese Information, um die Operationen zu bestimmen, die,an jedem Objekt zulässig sind.
• Wenn der Objektdatenverwalter aufgefordert wird, Operationen an bestimmten Objekten auszuführen, d.h. abzurufen oder zu modifizieren, bestimmt der Objektdatenverwalter zuerst die aktuellen Berechtigungsnachweisattribute 31 für den Benutzer 32, der durch Schnittstellenbildung mit dem Kernbereich 3 die Operation anfordert. Der Objektdatenverwalter führt dann die Qperation durch, was ein Vererben oder Durchgehen von Unterklassen durch die Objekte erfordern kann. Wenn der Objektdatenverwalter eine solche Operation durchführt, werden die Zugriffssteuergrundsatzlisten für jedes Objekt geprüft, das den Kriterien der Operation genügt. Zugriffssteuergrundsätze werden wie andere Attribute innerhalb einer Objektklasse insofern behandelt, daß sie von anderen Oberklassen vererbt werden können, so daß sie die Zugriffssteuergrundsätze ändern können, wenn ein Durchgang der Objekte erfolgt.
• Fig. 2B stellt eine benutzerdefinierte Ansicht der, Geräteobjektklasse 54 und eine ihrer Unterklassen dar, die kundenspezifischen Geräte 55. Geräteobjektklasse 50 enthält Attribute 71, Verfahren 72 und Auslöser 73. Beispielsweise würden für eine Objektklasse von kundenspezifischen Geräten 55 die Attribute 71 die Definition des Objektes darstellen, wie etwa Zeichenkette des Gerätenamens 74, ganzzahlige Geräte-ID-Nummer 75 und Zeichenkette des Gerätetyps 76 usw. Die Verfahren 72 sind die Operationen, die an dem Objekt vorgenommen werden, beispielsweise ein Verfahren des Konfigurierens des Gerätes 77 und das Verfahren des Definierens von Gerät 78, das Verfahren des Nichtkonfigurierens 79 und das Verfahren des Nichtdefinierens 80 des Objektes usw. Auslöser 73 stellen. die Ereignisse dar, die automatisch aufgerufen werden, wenn die Objekte manipuliert werden.
• Zusätzlich zu den benutzerdefinierten Attributen 71 pflegt der Objektdatenverwalter transparent eine getrennte Zugriffssteuerliste 100 als Teil jedes Objektes innerhalb jeder Objektklasse. Die Zugriffssteuerliste wird auch in Fig. 4 gezeigt. Die Zugriffssteuerliste 100 pflegt für jedes Objekt die besitzende Benutzer-ID 101 und die besitzende Gruppen-ID 102. Diese Besitz- Information 101, 102 diktiert der Zugriffsteuerliste die Zugriffssteuergrundsätze zum Pflegen. Nur solche besitzenden Benutzer und besitzenden Gruppen können in einem Objekt die Zugriffssteuerliste ändern. Bevor ein beliebiger Eintrag für ein beliebiges Objekt in der Zugriffssteuerung geändert wird, überprüft der Objektdatenverwalter zuerst, daß der Benutzer über seine Berechtigungsnachweise entweder in der besitzenden Benutzer-ID 101 oder der besitzenden Gruppen-ID 102 identifiziert werden kann.
• Die Zugriffssteuerattribute an jedem Objekt bestehen aus acht 32-bit-Einträgen 111 bis 118, wobei sieben von diesen Einträgen 111 bis 117 die Benutzer- oder Gruppen-IDs darstellen, aus denen die Zugriffssteuerliste 100 gebildet wird. Der achte Eintrag 118 wird in acht 4-bit-Schlitze 121 bis 128 unterteilt, wobei die ersten sieben Schlitze 121 bis 127 die Privilegien darstellen, die mit dem entsprechenden Zugriffssteuereintrag 111 bis 117 verbunden sind. Der achte 4-bit-Schlitz 128 wird dafür verwendet, den Zählwert der Anzahl der verwendeten Einträge zu speichern. In den ersten sieben 4-bit-Schlitzen 121 bis 127 stellen die ersten drei Bits Lese-, Schreib- und Ausführungsprivilegien dar, während das letzte Bit der 4-bit-Schlitze anzeigt, ob der entsprechende Zugriffsteuereintrag für eine Benutzer- oder eine Gruppen-ID gilt.
• Fig. 3A veranschaulicht den stark abstrahierten Fluß des Objektdatenverwalters unter Verwendung von Zugriffssteuereinrichtungen, um festzustellen, ob eine bestimmte Operation an einer Gruppe von Objektklassen und Objekten zulässig ist. Der Objekt datenverwalter öffnet die geeigneten Objektklassen, Schritt 301, und stellt fest, ob das Öffnen Erfolg hatte, Schritt 302. Der Objektdatenverwalter wiederholt dann für jede Objektklasse, die geöffnet wurde, Schritt 303. Wenn die Liste der geöffneten Objektklassen abgearbeitet ist, werden die Ergebnisse gesammelt und an den Benutzer zurückgeschickt, Schritt 304. Wenn noch Objektklassen zu verarbeiten sind, erwirbt der Objektdatenverwalter die Berechtigungsnachweise der Benutzer aus dem Betriebssystem (das Ergebnis ist das geringste Privileg, das mit diesem Benutzer verbunden ist, auf der Basis der Berechtigungsnachweise der Gruppe), Schritt 305. Der Objektdatenverwalter führt dann das Abrufen der ausgewählten Objekte aus, Schritt 306, und prüft, um zu sehen, ob das Objekt zur weiteren Verarbeitung zur Verfügung steht, Schritt 310, insbesondere ob die Zugriffsprivilegien für den Benutzer nicht mit den Zugriffssteuerungen in Konflikt geraten, die den Objekten zugeordnet sind, auf die zugegriffen wird. Insbesondere prüft der Objektdatenverwalter im Betriebssystem die Berechtigungsnachweise für den Benutzer und überprüft diese Berechtigungsnachweise mit der Liste der Zugriffssteuerprivilegien, die durch die abgerufenen Objekte definiert werden. Wenn die Zugriffsprivilegien verneint werden, prüft der Objektdatenverwalter; ob es noch mehr Objekte gibt, die diesem Auswahlkriterium genügen, Schritt 315. Wenn dies der Fall ist, kehrt der Objektdatenverwalter zu Schritt 305 zurück. Wenn dies nicht der Fall ist, kehrt der Objektdatenverwalter zu Schritt 303 zurück. Wenn gegeben ist, daß das Objekt die geeigneten Zugriffssteuerungen für weitere Verarbeitung festhält, Schritt 320, führt der Objektdatenverwalter die entsprechenden Operationen durch, die allgemein durch die Verfahren definiert sind. Der Objektdatenverwalter sammelt die neue Gruppe von Zugriffssteuerinformation für den Benutzer, die auf der bitweisen UND-Operation der Zugriffssteuerungen des Objektes basieren, Schritt 325, und kehrt zu Schritt 315 zurück, um festzustellen, ob es noch mehr Objekte gibt, die abzurufen sind. In Schritt 325 benutzt der Objektdatenverwalter diese Technik, um das geringste Zugriffsprivileg zu vererben, das die interessierenden Objekte umfaßt.
• Fig. 3B beschreibt ausführlicher Schritt 310 von Fig. 3A, welche die Verfahrensweise zum Gewähren oder Zurückweisen von Operationen beschreibt, die auf den Zugriffssteuergrundsätzen beruht. Die Zugriffssteuereinrichtung stellt zuerst fest, ob die ihr übergebenen angeforderten Modi gültig sind, Schritt 328. Wenn gegeben ist, daß die Modi gültig sind,, definiert der Objektdatenverwalter eine Bitmaske, die für die angeforderten Modi repräsentativ ist, Schritt 331. Zusätzlich greift der Objektdatenverwalter auf die im Speicher befindliche Version der Zugriffssteuerliste zu, die einem bestimmten Objekt zugeordnet ist, Schritt 335. Sobald die Zugriffssteuerliste erworben worden ist, bestimmt der Objektdatenverwalter die Anzahl der innerhalb der Liste benutzten Einträge, Schritt 337. Falls der Zählwert nicht größer als null ist, Schritt 331, gewährt der Objektdatenverwalter dem Benutzer den Zugriff auf das Objekt, Schritt 341. Wenn der Zählwert größer als null ist, vergleicht der Objektdatenverwalter die Berechtigungsnachweise des Benutzers mit den Zugriffssteuereintrag, der entweder einen Benutzer oder eine Gruppe darstellt, Schritt 344. Wenn es eine Übereinstimmung gibt, sichert der Objektdatenverwalter den Index des passenden Zugriffssteuereintrags, Schritt 346. Er prüft dann, um zu sehen, ob es zusätzliche Zugriffssteuereinträge gibt, Schritt 352, und wenn dies der Fall ist, kehrt er zu Schritt 344 zurück. Wenn keine zusätzlichen Einträge vorhanden sind, stellt der Objektdatenverwalter fest, ob es irgendwelche Übereinstimmungen zwischen den Berechtigungsnachweisen des Benutzers und dem Zugriffssteuereintrag des Objektes gibt, Schritt 355. Wenn keine vorhanden sind, wird für diesen Benutzer der Zugriff zu dem Objekt verneint, Schritt 357. Wenn eine Übereinstimmung besteht, erwirbt der Objektdatenverwalter die Privilegbitmaske, die für diesen Benutzer an diesem Objekt definiert wurde, Schritt 359, Fig. 3C. Der Objektdatenverwalter prüft dann, um zu sehen, ob die angeforderte Bitmaske größer als die durch den Zugriffssteuereintrag innerhalb dieses Objektes für den Benutzer definierte Bitmaske ist, Schritt 361. Wenn die angeforderte Bitmaske größer ist, wird diesem Benutzer Zugriff auf dieses Objekt gewährt, Schritt 363. Wenn die angeforderten Bits geringer oder gleich sind, wird zwischen der angeforderten Bitmaske und der in dem Objekteintrag für diesen Benutzer gefundenen Bitmaske eine bitweise UND- Operation durchgeführt, Schritt 365. Wenn das Ergebnis größer als null ist, Schritt 367, wird für diesen Benutzer Zugriff zu dem Objekt gewährt, Schritt 369. Wenn das Ergebnis kleiner oder gleich Null ist, wird der Zugriff für diesen Benutzer zu diesem Objekt verneint, Schritt 372.
• Wenn ein bestimmter Benutzer mit mehrfachen Gruppen verbunden ist und sich selbst mit mehrfachen Gruppen identifiziert, wenn er Operationen an den Objekten vornimmt, wird der Objektdatenverwalter eine bitweise UND-Operation der bestimmten Gruppen von Berechtigungsnachweisen ausführen, die aktuell mit diesem Benutzer verbunden sind. Dies führt zu einem Zuordnen des mit der UND-Verknüpfung der Berechtigungsnachweisgruppen verbundenen geringsten Privilegs.
• Die vorstehend beschriebenen Zugriffssteuergrundsätze können bei verschiedenen Anwendungen benutzt werden. Ein Beispiel einer solchen Anwendung ist in EP-A 398 646 beschrieben. Die Zugriffssteuerlisten dieser Ausführungsform können auf ein, Systemverwaltungsschnittstellenwerkzeug zu dem Zwecke einwirken, daß sie die Berechtigungsgrundsätze für die verschiedenen Ansichten definieren, auf die von einer Sammlung von Systemadministratoren mit unterschiedlichen Berechtigungen zugegriffen werden kann. Ohne diese Ausführungsform wäre es eine Verfahrensweise, die Sammlung von Menüs, Dialogen und Abfragen zu definieren, um die Kombinationen der verschiedenen administrativen Ansichten darzustellen, die mit den unterschiedlichen administrativen Privilegien verbunden sind. Diese Technik führt jedoch üblicherweise zu sehr großen Datenbanken, die einen hohen Anteil redundanter Information enthalten.
• Im Gegensatz dazu werden in der vorliegenden Ausführungsform die unterschiedlichen Menüs, Dialoge und Abfragen nur einmal in der Objektdatenbank gespeichert und werden den entsprechenden Zugriffssteuerungen an den verschiedenen Objekten (Menüs, Dialoge, Abfragen) zugeordnet, so daß die verschiedenen. Kombinationen der administrativen Ansichten von den Zugriffssteuergrundsätzen diktiert werden.
• Beispielsweise zeigt Fig. 5B eine Hierarchie von Objekten von Schnittstellenmenüoptionen zum Durchführen von Systenverwaltungstask 500. Zusammen mit Sicherheit und Benutzern, 504, enthalten andere Unterklassen von Objekten der Systemverwaltungsschnittstelle Geräte, TCP/IP, physischen und logischen Speicher, Datenübertragungsanwendungen und -dienste, Problembestimmung usw. Wie in Fig. 5A gezeigt, kann Administrator A, 551, Lese-, Schreib- und Ausführungsprivilegien für die Benutzerschnittstellenobjekte 553 haben, welche die konfigurierbare Domäne von TCP/IP, Geräten und Benutzern bilden, während Administrator B, 552, Lese-, Schreib- und Ausführungsprivilegien für die Benutzerschnittstellenobjekte haben kann, welche die konfigurierbare Domäne von passenden Benutzern 554 darstellt. Administrator A, 551, kann jedoch nur das Privileg haben, so zuzugreifen, daß er die Benutzer 542 und die Gruppen 543 ansieht, während Administrator B, 552, solchen Zugriff hat, daß er die Zugriffssteuerlisten 541, die Benutzer 542, die Gruppen 543 und Paßworte 544 ansieht und verwaltet. Daher würde Administrator A nur Zugriff auf Menüs 542, 543 haben, während Administrator B Zugriff auf Menüs 542, 543, 544, 541 als Unterobjekte der konfigurierbaren Domänenmenüobjektklasse für Benutzer haben würde.
• Es ist ein System beschrieben worden, in dem Gewähren und Zurückweisen von Zulassungen, die hier als Zugriffssteuerlisten bezeichnet werden, für eine Sammlung von Objekten in einer objektorientierten Datenbank gilt. Ein Objektdatenverwalter unterstützt zusammengesetzte Objekte, die mehrfache Objekte sind, und die Zugriffssteuergrundsätze, die für solche Objekte gelten, sind für den Benutzer transparent. Die Zugriffssteuerlisten erstrecken sich über die Objekte hinweg. Weiterhin stellen. die Zugriffssteuerlisten nicht nur Lese- und Schreibzulassungen zur Verfügung, sondern sie stellen auch Ausführungszulassungen für Operationen bereit, die an den Objekten vorgenommen werden. Die Ausführungssemantik gilt für Verfahren, die aufgerufen werden, um Operationen an den Objekten vorzunehmen. Ein Benutzer mit der Ausführungszulassung kann Operationen an derartigen Objekten ausführen.
• Beispielsweise könnte einem Benutzer, wenn die Objekte in der objektorientierten Datenbank Information über die Konfiguration eines Datenverarbeitungssystems enthielten, die Zulassung gewährt oder verweigert werden, nicht nur die Konfigurationsdaten zu lesen, sondern an den Daten auch Konfigurationsoperationen vorzunehmen. Falls die Konfigurationsinformation Information über die physischen Geräte im System enthielte, würde dem Benutzer die Zulassung gewährt oder verweigert, diese Geräte zu konfigurieren, zu definieren, zu starten, anzuhalten, zu dekonfigurieren und ihre Definitionen zu beseitigen.

Claims (3)

1. Objektorientiertes Datenbanksystem, das eine Hierarchie von Objekten (54, 55, 56, 57, 58) und einen Objektdatenverwalter (40) zum Zugreifen auf die Objekte umfaßt, gekennzeichnet durch eine oder mehrere Tabellen (30), die für jeden aktiven Benutzer des Systems Berechtigungsnachweise enthalten, die den Benutzer einer Benutzer-ID und einer oder mehreren Benutzergruppen-IDs zuordnen, und dadurch, daß jedes Objekt innerhalb jeder Klasse als Attribut, das von Objektoberklassen vererbt sein kann, eine Zugriffssteuerliste (100) hat, um mit Hilfe von Benutzer-ID und Gruppen-ID Benutzer mit Zugriffsprivilegien zur Pflege der Zugriffssteuerliste des Objektes. zu identifizieren und um Operationen zu identifizieren, zu deren Ausführung Benutzer berechtigt sind, wobei der Objektdatenverwalter so eingerichtet ist, daß er erkennt, ob eine Operation an einem Objekt für einen speziellen Benutzer zulässig ist, indem er IDs in der Zugriffssteuerliste des Objektes mit in den Berechtigungsnachweisen für den Benutzer gespeicherten IDs vergleicht.

2. System, wie es in Anspruch 1 beansprucht wird, wobei die Operationen Lese-, Schreib- und Ausführungsoperationen entfallen.

3. System, wie es in Anspruch 1 oder Anspruch 2 beansprucht wird, in dem der Objektdatenverwalter so eingerichtet ist, daß er mindestens den Grad des Privilegs erkennt, das mit einem zusammengesetzten Objekt verbunden ist, auf das ein Benutzer zugreift.