DE69526109T2

DE69526109T2 - Dateizugriffsteuerungsverfahren, eine datei und ein rechnernetzwerk unter verwendung desselben

Info

Publication number: DE69526109T2
Application number: DE69526109T
Authority: DE
Inventors: Peter Bigge
Original assignee: Telia AB
Current assignee: Telia AB
Priority date: 1994-11-29
Filing date: 1995-11-21
Publication date: 2002-11-21
Anticipated expiration: 2015-11-22
Also published as: SE518320C2; DK0795150T3; WO1996017285A3; SE9404156D0; SE9404156L; WO1996017285A2; EP0795150B1; DE69526109D1; EP0795150A2

Description

Die vorliegende Erfindung betrifft ein verbessertes Anmeldeverfahren für die Verwendung mit Datenbanken, die ein einziges Niveau der Administrationssicherheit haben, Datenbanken für Verwendung mit einem solchen Verfahren und Computernetzwerke, auf denen solche Datenbanken betrieben werden können.
Die Administration großer Datenbanken mit großen Anzahlen von Nutzern weist eine Anzahl von Problemen auf, die mit dem Betrieb der Datenbank verknüpft sind. Man betrachte eine Datenbank, die:
- einen einzigen Fileserver als eine Plattform verwendet;
- eine große Anzahl von Nutzern hat, in der Größenordnung von 20.000, von denen die Hälfte gleichzeitig beim System angemeldet ist;
- ein einziges Niveau der Administrationssicherheit hat;
- verschiedene Datenbankprozeduren betreibt, von denen jede einige Funktionen einschließen kann, die gewissen Benutzern verweigert werden; und
- Daten über verschiedene Gegenstände enthält, die unterschiedliche Sicherheitsratings haben, von denen einige nur einer Untergruppe von Datenbankbenutzern zugänglich sind.
Die Nutzer einer solcher Datenbank werden normalerweise Bedarf haben, mehrere Datenbankanwendungen parallel zu nutzen. Die Nutzer können eingeschränkte Zugangsrechte wie zwischen unterschiedlichen Datenbankgegenständen oder sogar innerhalb eines Gegenstands haben. Z. B. kann einem vorgegebenen Nutzer der Zugang zu Telefonnummernlisten für das Gebiet von Stockholm gestattet sein, aber Zugang zu Daten über finanzielle Hauptbücher verweigert werden. Gewisse Telefonnummern können als geheim angesehen werden, und der Zugang zu solchen Nummern kann allen Nutzern bis auf wenige Ausnahmen verweigert werden. Wenn nur ein einziges Administrationsniveau zur Verfügung steht, ist die Rolle des Systemadministrators das einzige Mittel, durch das neue Identitäten geschaffen werden können. Unglücklicherweise ist diese Rolle imstande, zu aller Information im System Zugriff zu nehmen, Teile der Daten oder sogar die gesamte Datenbank zu löschen oder sogar den Fileserver auszuschalten, auf dem die Datenbank gespeichert ist. Das Problem, den Zugang zu einer solchen Datenbank zu kontrollieren, ohne daß eine übermäßige Rechenlast einem Fileserver auferlegt wird, wodurch dessen Betriebsgeschwindigkeit stark verlangsamt wird, ist in keiner Weise einfach zu lösen.
Um dies zu erzielen, müssen die Zugangsrechte jeder der ungefähr 20.000 Benutzer aufgeteilt werden:
- nach der Klasse des Gegenstandsmaterials;
- innerhalb von Gegenstandsmaterialklassen nach geheimen Daten; und
- nach Datenbankbetrieb.
Während der Durchführung einer vorgegebenen Datenbankaufgabe für einen vorgegebenen Benutzer können unterschiedliche Zugangsrechte ins Spiel kommen.
Wenn eine wirksame Datenbanksicherheit beibehalten werden soll, ist es wichtig, daß alle Datenbankzugangsregeln auf dem Fileserver gehalten werden. Wenn solche Regeln auf vom Klienten kontrollierter Ausrüstung gehalten würden, könnten sie durch einen unehrlichen Klienten untergraben oder zerstört werden.
Es ist vorgeschlagen worden, daß die Verwaltung von Klientidentitäten und Zugangsrechten vor dem Fileserver gesteuert wird. Solche auf dem Frontend beruhenden Systeme richten eine Anzahl von parallelen Verbindungen in Bezug auf die allgemeine Identität ein. Dies schafft Overhead-Probleme, Probleme bei der Leistungsfähigkeit und Anmelde-Probleme für den Fileserver.
Wenn auf eine Datenbank nur durch eine kleine Anzahl von Nutzern Zugriff genommen werden kann, von zehn bis zu einigen hundert, kann eine Anzahl von kleinen festen Gruppen von Benutzern eingerichtet werden, und es können Identitäten mit diesen Gruppen verknüpft werden. Diese Lösung ist nicht lebensfähig, wo große Anzahlen von Nutzern vorhanden sind.
EP 501 475 offenbart ein verteiltes Datensystem bei denen Vorgänge, die in sicheren Systemen laufen, deren Ergebnisse Eigentum sein könnten oder von empfindlicher Natur sind, von Benutzern an entfernten nicht sicheren Workstations aufgerufen werden können. Diese Vorgänge sind mit Schlössern versehen, die keine Eigentum betreffenden oder empfindlichen Vorgänge erlauben, wenn die Anforderung nicht einen Schlüssel einschließt, der mit dem Schloß zusammenpaßt. Ein Verfahren zum Verknüpfen von Schlüsseln mit Operatoren beruht darauf, daß jeder Operator seine Identität und ein gültiges Paßwort an der Workstation zu der Zeit angibt, zu der er sich beim System anmeldet, wobei dann sein Paßwort in einem sicheren System überprüft wird, seine Identität mit einer Rolle oder Gruppe von Rollen korreliert wird, die er ausführen darf, und dann in dem Speicher des sicheren Systems, verknüpft mit der Identität des Operators, eine Liste von Schlüsseln (einen Schlüsselring) für jede dieser Rollen abgerufen und gespeichert wird. Die Identität des Operators wird jeder Anforderung angehängt, die er aufruft; ein Verfahren, das ein Schloß enthält, fragt die gespeicherte Liste ab und wird keine im Eigentum stehende Handlung zulassen, falls die gespeicherte Liste nicht einen Schlüssel enthält, der mit dem Schloß zusammenpaßt.
Die vorliegende Erfindung löst das Problem der Zugangskontrolle in einer großen Datenbank mit einer großen Anzahl von Nutzern durch Verwendung einer doppelten Anmelde-Technik. Jeder Datenbankklient kann eine Anzahl von individuellen Nutzern haben. Jede Anwendung, die für einen vorgegebenen Klienten aufgezeichnet ist, hat ihre eigene eindeutige Identität. Um sich bei der Datenbank anzumelden, gibt ein Benutzer seine Identität und sein Paßwort oder PIN (Personal Identity Number, persönliche Identitätsnummer) ein. Nur einige wenige Funktionen und eine begrenzte Menge von Daten können bei einem primären Anmelden direkt aufgerufen werden. Es wird dann aber ein sekundäres Anmelden ausgeführt, daß dem Nutzer verborgen ist. Der Nutzer kennt nur seine Identität und seinen PIN. Beim Aufrufen einer besonderen Anwendung wird eine Anwendungsidentität aus der Identität des Benutzers und dem Anwendungsnamen erzeugt, für den ein zufällig erzeugter PIN erzeugt wird. Dieser Identität werden dann die Rechte gegeben, alle notwendigen Funktionen für die fragliche Anwendung durchzuführen, unter Berücksichtigung irgendwelcher Zugangseinschränkungen, die dem Benutzer in Bezug auf die fragliche Anwendung auferlegt sind.
Es sollte bemerkt werden, daß bei einer Datenbank des Typs, auf den sich die Erfindung bezieht, die großen Anforderungen durch die Nutzer ausgesetzt ist, es vorteilhaft sein kann, die Befehlsbetriebsart in Realtime zu verhindern. Trotzdem kann die vorliegende Erfindung immer noch auf Datenbanksysteme angewendet werden, die in der Befehlsbetriebsart betrieben werden können.
Gemäß einem ersten Gesichtspunkt der vorliegenden Erfindung wird eine Datenbank geschaffen, die auf einem ersten Fileserver gespeichert ist, zu der eine große Anzahl von individuellen Nutzern Zugang hat, bei der ein einziges Niveau der Administration existiert und in der Begrenzungen von Nutzerrechten in Bezug sowohl auf Daten als auch auf Datenbankfunktionen auferlegt sind, dadurch gekennzeichnet, daß auf die Datenbank durch ein doppeltes Anmelde-Verfahren Zugriff genommen werden kann, bei dem ein Benutzer seine Identität und sein Paßwort eingibt und bei dem für jede Datenbankanwendung, die durch den Nutzer laufengelassen wird, der erste Fileserver so ausgebildet ist, daß er eine Anwendungs/Nutzeridentität, die spezifisch für den Benutzer und die Anwendung ist, zusammen mit einem damit verknüpften Paßwort erzeugt, wobei Mittel zum Verbergen der Anwendungs/Nutzeridentität und des verknüpften Paßworts vor dem Benutzer vorgesehen sind, wobei der erste Fileserver Mittel zum Ableiten einer Liste von Zugangsrechten aufweist, die mit der Anwendungs/Nutzeridentität durch Laufenlassen einer Prozedur auf dem ersten Server verknüpft werden sollen, die auf einem zweiten Fileserver ausgearbeitet sind.
Die Anwendungs/Nutzeridentität, das verknüpfte Paßwort und die Liste von Zugangsrechten können im Cachespeicher auf dem ersten Fileserver angeordnet sein.
Jeder Nutzer kann eine definierte Rolle für jede einer Anzahl von Datenbankanwendungen haben, welche Rolle es dem Nutzer erlaubt, nur gewisse Funktionen durchzuführen, die für diese Anwendung definiert sind.
Gemäß einem zweiten Gesichtspunkt der vorliegenden Erfindung wird ein Computernetzwerk mit einem Zentralrechnermittel geschaffen, das einen ersten Fileserver, auf dem eine Datenbank gespeichert ist, einen zweiten Fileserver zum Vorbereiten von Datenbankanwendungen und Prozeduren und eine Mehrzahl von Endgeräteausrüstungen aufweist, durch die auf die Datenbank Zugriff genommen werden kann, dadurch gekennzeichnet, daß Nutzerrechte für diese Datenbank eindeutig für jeden Nutzer in Bezug sowohl auf Daten als auch auf Datenbankfunktionen maßgeschneidert sind, daß Zugang zu der Datenbank durch ein doppeltes Anmelde-Verfahren kontrolliert wird und daß ein erster Schritt des doppelten Anmelde-Verfahrens durch einen Benutzer durchgeführt wird, der eine Nutzeridentität und ein Paßwort eingibt, und daß für jede Datenbankanwendung, die durch diesen Nutzer laufengelassen wird, Mittel vorgesehen sind, die mit dem ersten Fileserver verknüpft sind, um eine Anwendungs/Nutzeridentität, die für diesen Benutzer und diese Anwendung spezifisch ist, zusammen mit einem verknüpften Paßwort zu erzeugen, und daß sowohl die Nutzeridentität als auch das Paßwort vor dem Benutzer verborgen sind, und daß das Computernetzwerk zweite Mittel aufweist, um der Anwendungs/Nutzeridentität Zugriffsrechte zu geben, um notwendige Funktionen der jeweiligen Anwendung in Abhängigkeit von den Zugriffsrechten des Nutzers durchzuführen.
Vorzugsweise sind die Anwendungs/Nutzeridentität, das verknüpfte Paßwort und die Liste von Zugangsrechte im Cachespeicher des ersten Fileservers gespeichert.
Das Computernetzwerk kann dritte Mittel für Zugriff zum Cachespeicher jedesmal dann aufweisen, wenn ein angemeldeter Nutzer eine neue Aufgabe versucht, und zum Bestimmen, ob eine spezielle Datenbankfunktion oder Daten für die neue Aufgabe zugänglich gemacht werden können oder nicht.
Gemäß einem dritten Gesichtspunkt der vorliegenden Erfindung wird ein Verfahren für ein Computernetzwerk geschaffen, das ein Zentralprozessormittel aufweist, einen ersten Fileserver, auf dem eine Datenbank gespeichert ist, einen zweiten Fileserver für die Vorbereitung von Datenbankanwendungen und Prozeduren und eine Mehrzahl von Endgeräteausrüstungen einschließt, auf die durch die Datenbank Zugriff genommen werden kann, welches Verfahren dadurch gekennzeichnet ist, daß Benutzerrechte für die Datenbank eindeutig für jeden Nutzer sowohl hinsichtlich der Daten als auch der Datenbankfunktionen maßgeschneidert sind, und daß als erster Schritt des Anmeldens in die Datenbank ein Benutzer eine Benutzeridentität und ein Paßwort einträgt und für jede Datenanwendung, die durch den Benutzer laufengelassen wird, der erste Fileserver eine Anwendungs/Nutzeridentität, die für diesen Benutzer und die Anwendung spezifisch ist, zusammen mit einem verknüpften Paßwort erzeugt, und daß sowohl die Anwendungs/Nutzeridentität als auch das Paßwort vor dem Nutzer verborgen gehalten werden, und daß eine Liste von Zugangsrechten, die mit der Anwendungs/Nutzeridentität verknüpft sind, durch Ablaufen einer Prozedur auf dem ersten Fileserver abgeleitet werden, welche Prozedur auf dem zweiten Fileserver ausgearbeitet ist.
Ausführungsformen der Erfindung sollen nun beispielsweise unter Bezugnahme auf die beigefügten Zeichnungen beschrieben werden. Es zeigen:
Fig. 1 die Beziehung, die zwischen den Benutzeridentitäten, Rollen und Anwendungen in einer Datenbank gemäß der vorliegenden Erfindung eingerichtet sind;
Fig. 2 wie eine definierte Rolle die Zugangsrechte eines vorgegebenen Nutzers zu einer vorgegebenen Anwendung auf einer Datenbank erfindungsgemäß bestimmt;
Fig. 3 ein Signaldiagramm für eine Ausführungsform der vorliegenden Erfindung, die auf einem SQL-Fileserver arbeitet; und
Fig. 4 in schematischer Form ein Beispiel einer Plattform, auf der eine Datenbank der Erfindung ablaufen kann.
Ein Beispiel einer Computerplattform, auf der die vorliegende Erfindung realisiert werden kann, ist in Fig. 4 dargestellt. Der Betrieb einer solchen Plattform wird für den Fachmann sofort deutlich werden, wenn er Fig. 4 kurz überprüft. Es sollte jedoch bemerkt werden, daß eine Mehrzahl von Endgeräten, die unterschiedliche Betriebssysteme verwenden, was kollektiv als das Anwendungssystem TS bezeichnet werden soll, mit einem zentralen Fileserver, dem SQL-Server, mit Hilfe von Sybase- Kommunikationssoftware verbunden sein kann, was im folgenden als Open Client bezeichnet werden wird. Eine Vielzahl von Systemen, die als offene Server bezeichnet werden, kann benutzt werden, um Datenbankprozeduren und Anwendungen auszuarbeiten. Die offenen Server wiederum kommunizieren mit dem zentralen Server mit Hilfe der Sybase-Kommunikationssoftware. Der zentrale SQL-Server trägt alle Daten, die die Datenbank aufweist, und arbeitet mit SQL-Prozedursprache. Der Teil des Computernetzwerks, der den zentralen SQL-Server und die offenen Server einschließt, wird kollektiv als das Informationssystem IS bezeichnet. Die offenen Server und das Anwendungssystem kann verschiedene Betriebssysteme und Software verwenden, einschließlich UNISYS®/TIP®, VAX®/VMS®, PC, MAC, UNIX® und IBM®/CICS®.
Beim Betrieb einer Datenbank können unterschiedliche Rollen identifiziert werden. In einer einfachen Datenbank existieren zwei Rollen, diejenigen des Systemadministrators und diejenige eines Nutzers, der auf Daten Zugriff nehmen will. In einer sehr großen Datenbank des Typs, der erforderlich sein kann, um die Arbeitsweise eines Telekommunikationsnetzwerkbetreibers zu unterstützen, kann Bedarf dafür bestehen, daß viele Benutzer Datenbankanwendungen durchführen, die zusätzlich zum Lesen von Daten, das Ändern von Daten in der Datenbank, das Löschen von Daten in der Datenbank oder das Schaffen neuer Daten einschließen. Die Vorgänge des Schaffens, Lesens, Aktualisierens und Löschens von Daten (creating, reading, updating, deleting) werden häufig mit ihren Anfangsbuchstaben CRUD bezeichnet.
Die Beziehung zwischen einem Nutzer, einer Nutzeridentität, einer Rolle und einer Anwendung ist in schematischer Form in den Fig. 1 und 2 dargestellt. Man nehme zwei individuelle Nutzer der sehr großen Anzahl der gesamten Nutzer der Datenbank, möglicherweise soviel wie 10.000, an, die Lena Larson und Bo Svensson heißen. Lenas Systemidentität ist "lenlar", und sie ist eindeutig für sie, Bos Computeridentität ist "bosven" und ist auch eindeutig für ihn. Zusätzlich hat Bo eine zweite Computeridentität "bosvem-master", die er nur benutzt, wenn er auf gewisse geheime Daten Zugriff nimmt, für die er eine besondere Berechtigung hat, auf sie Zugriff zu nehmen. Für jede Identität existiert ein geheimes Paßwort, das nur der Nutzer kennt. Durch Eingeben ihrer Computernamen und Paßworte erhalten Bo und Lena sehr begrenzten Zugang zum SQL-Fileserver.
Um die Möglichkeit zu erhalten, eine Anwendung auf dem SQL- Fileserver laufen zu lassen, wird automatisch durch den SQL- Fileserver ein weiterer Anmelde-Vorgang durchgeführt. Dies wird später beschrieben werden. Von den vielen Anwendungen, die auf dem SQL-Fileserver ablaufen können, werden zwei in den Zeichnungen als Anwendung A und Anwendung B bezeichnet.
Für jede dieser Anwendungen kann eine Anzahl von unterschiedlichen Rollen definiert werden, d. h. die Rollen 1, 2 und 3. Die Leistungsfähigkeit einer vorgegebenen Anwendung kann eine Anzahl von unterschiedlichen Datenbankprozeduren einschließen, über die z. B. über ein Menü Zugriff genommen wird.
Betrachte die Rolle 3B, d. h. Rolle 3, die in Bezug auf Anwendung B durchgeführt wird. Es wird angenommen, daß diese Anwendung drei Vorgänge OPa, OPb und OPc einschließt. Diese drei Vorgänge verwenden jeweils einen unterschiedlichen Satz von gespeicherten Prozeduren SP1 ... SP4. Jede dieser Prozeduren schließt eine Anzahl von grundlegenden Datenbankfunktionen ein, z. B. erfordert SP1 die Erzeugungs-, Lese-, Aktualisierungs- und Löschfunktionen, während SP3 nur die Löschfunktion einschließt. Indem Rolle 3 auf Anwendung B angewendet wird, die Daten bearbeitet, die sich auf Telefonnummern beziehen, werden eine Reihe von Vorgängen und Zugangsrechten definiert. Z. B. ermöglicht Rolle 3B, die für Bo nur zugänglich ist, wenn er die Computeridentität "bosvem-master" verwendet, geheime Telefonnummern zu lesen, aber nicht zu schaffen, zu aktualisieren oder zu löschen. Im Gegensatz dazu ermöglicht Rolle 3B, daß Telefonnummern für den nördlichen Bereich erzeugt, gelesen und aktualisiert, aber nicht gelöscht werden.
Bei der Benutzung müssen Nutzer wie Lena und Bo beim offenen Fileserver registriert werden. Dieser Vorgang kann nur durch die Systemadministratorrolle durchgeführt werden. Um einen Benutzer zu registrieren, gibt der Systemadministrator seine/ihre persönliche Information wie Name, Organisation und Telefonnummer ein und erzeugt eine grundlegende oder Computeridentität für den Benutzer, z. B. lenlar. Zusätzlich ordnet der Systemadministrator jedem Benutzer ein Paßwort zu, das der Benutzer in ein geheimes Paßwort ändern muß, wenn er sich zum erstenmal in das System gt. Jeder Computeridentität wird eine Laufzeit zugeordnet, die die Tageszeit anzeigt, wann dieser Benutzer das System benutzen kann.
Um Zugangsrechte für einen Benutzer einzurichten, muß der Systemadministrator eine Anzahl von Rollen mit jeder Datenbankanwendung verknüpfen, auf die der Nutzer Zugriff nehmen kann. Wie ober erwähnt, definieren diese Rollen genau, welche Zugangsrechte ein spezieller Nutzer hat, wenn er eine vorgegebene Datenbankanwendung ablaufen läßt. Einer gegebenen Einzelperson kann mehr als eine Computeridentität zugeordnet werden, wobei jeder derselben unterschiedliche Rollen zugeordnet sind. Dies ist vorteilhaft, wenn ein einzelner Nutzer an Daten arbeiten muß, die unterschiedliche Sicherheitsklassifikationen haben, und hilft bei der Erzeugung von Prüfprotokollen.
Zugang zur Datenbank, die im Informationssystem gehalten wird, siehe Fig. 4, wird mit Hilfe von gespeicherten Prozeduren erreicht. Diese Prozeduren können Daten im Informationssystem erzeugen, lesen, aktualisieren und/oder löschen. Bei einer vorgegebenen Anwendung wird eine Anzahl von Operationen definiert. Eine Operation ist die Grundfunktionalität, die durch einen Nutzer gesehen wird. Operationen können normalerweise aus einem Menü von Alternativen ausgewählt werden oder durch Betätigung einer besonders zugeordneten Endgerätetaste ausgewählt werden. Das Ablaufen einer vorgegebenen Operation initiiert entweder einen Dialog mit dem IS oder erreicht das Durchführen einer Aufgabe im IS. Jede Operation verwendet wenigstens eine gespeicherte Prozedur. Diese Prozeduren sind im offenen Fileserver gespeichert. Wenn eine Rolle für eine Anwendung definiert ist, bestimmt sie, was ein Benutzer, der der Rolle zugeordnet ist, tun kann, wenn er diese Anwendung ablaufen läßt. Wenn z. B. einem Benutzer erlaubt ist, einen Dialog mit dem IS zu öffnen, aber nur den Inhalt von gespeicherten Daten zu lesen, wird dies durch "R" angezeigt, siehe Fig. 2. Für die Operation OPa wird einer dem Nutzer zugeordneten Rolle 3B erlaubt, Prozeduren ablaufen zu lassen, die nur das Lesen von Daten mit sich bringen, z. B. SP2. Andererseits ist dem Nutzer nicht erlaubt, die Prozedur SP1 ablaufen zu lassen, da diese Prozedur die Fähigkeit erfordert, zu erzeugen, zu lesen, zu aktualisieren und zu löschen, und der Rolle 3B wird das Recht verweigert, innerhalb dieser Anwendung zu erzeugen, zu aktualisieren und zu löschen.
Ein Wertesatz ist ein Satz von Kriterien, nach dem Datengegenstände gruppiert sind. Z. B. stellen alle Telefonteilnehmer im Bereich von Stockholm einen Wertesatz dar. Wenn eine Rolle definiert ist, schließt die Definition die Wertesätze ein, auf die ein Nutzer, dem diese Rolle zugeordnet ist, Zugriff nehmen darf, und welche grundlegenden Datenbankfunktionen dieser Rolle in Bezug auf diesen Wertesatz erlaubt sind.
Beim Echtzeitbetrieb muß der offene Server mit vielen Benutzern arbeiten, und die Information muß vor unberechtigtem Zugriff geschützt werden, aber doch für diejenigen zugänglich sein, die zum Benutzen desselben berechtigt sind. Die Definition unterschiedlicher Rollen erlaubt es Nutzern, daß Ihnen unterschiedliche Zugangsrechte gegeben werden können, in Abhängigkeit von ihren besonderen Erfordernissen. Ebenso ist es möglich, eine Hierarchie von Systemadministratoren einzurichten, indem unterschiedliche Systemadministrationsrollen definert werden. Auf diese Weise ist es möglich, eine große Anzahl von Systemadministratoren zu haben, wobei nur wenige unbegrenzte Zugangsrechte zum System haben, wobei die Mehrheit begrenzte Rechte hat.
Die Gesamtheit der Systemnutzer kann in Klientengruppen aufgeteilt werden, wobei jeder Klient eine Abteilung oder eine externe Organisation darstellt. Die Verwendung von unterschiedlichen Administrationsrollen kann mit Vorteil in einer Klient-Nutzer-Hierarchie eingerichtet werden, indem ein Systemadministrator für jede Klientengruppierung mit Zugangsrechten geschaffen wird, die auf die Bedürfnisse des Klienten begrenzt sind. Irgendwelche Änderungen, die für die Gesamtzugangsrechte dieses Klienten erforderlich sind, können dann durch eine Veränderung der Zugangsrechte des Klientenadministrators erzielt werden, was durch einen der wenigen zentralen Administratoren vorgenommen werden muß. Nachfolgende Änderungen an den individuellen Nutzerrechten von Nutzern, die zu dieser Klientengruppierung gehören, können durch den Klientenadministrator vorgenommen werden.
Die Mehrzahl von Systemenadministratoren hat daher begrenzte Zugangsrechte, und dies kann durch die Verwendung von Menüs oder Bildschirmknöpfen gezeigt werden, bei denen gewisse Menüauswahlen oder Knöpfe abgedunkelt werden, was Menüoperationen entspricht, die einem speziellen Systemadministrator verweigert werden. Der Hauptgrund, alle Menüoptionen zu zeigen, ob sie nun für einen besonderen Systemadministrator zur Verfügung stehen oder nicht, ist, daß dadurch ein gemeinsamer Satz von Instruktionshandbüchern und anderer Literatur für das System geschaffen werden kann. Solche Dokumentation muß natürlich die maximale Funktionalität beschreiben. Natürlich sind es nicht nur Systemoperationen, die einem "Junior" Systemadministrator verweigert werden können, sondern auch gewisse Wertesätze. Anders gesagt kann die Information, auf die ein auf Klienten beruhender Administrator Zugriff nehmen kann, auf die Wertesätze begrenzt werden, auf die der Klient Zugriff nehmen kann.
In der obigen Beschreibung der Beziehung von Identitäten, Nutzern, Rollen, Klienten, Anwendungen, Wertesätzen und Systemadministratoren wurden die Konzepte und die Funktionalität des Systems und nicht die physischen Mittel hervorgehoben, durch die diese Funktionalität geschaffen wird. Im allgemeinen wird in einem System des beschriebenen Typs Funktionalität mit Hilfe von Software, d. h. Computerprogrammen, Datenbankprozeduren oder ähnliches geschaffen. Es ist natürlich möglich, daß die Funktionalität durch Hardwareelemente oder Mittel erzeugt wird, obwohl es mit Ausnahme von wenigen Fällen nicht kosteneffektiv ist, dies zu tun. Die Natur in diesen Unterlagen beschriebenen Erfindung ist so, daß die erfindungsgemäßen Konzepte in den Verfahren und der Funktionalität liegen, auf denen die Software beruht. Aus dem Gesichtspunkt einer praktischen Realisierung der Erfindung spielt es nur eine geringe Rolle, ob ein "Mittel" zum Durchführen einer besonderen Funktion eine logische Größe, die durch ein Computerprogramm erzeugt wird, oder eine physikalische Größe ist, die durch einen Herstellungsvorgang erzeugt wird.
Die Erfindung (EN) die hier beschrieben ist (sind), beziehen sich auf Verbesserungen in tatsächlichen Produkten und haben eine tatsächliche und beträchtliche Wirkung auf das Leistungsvermögen des Produkts.
Im allgemeinen können "Mittel", die in diesen Unterlagen beschrieben sind, ohne weiteres durch einen erfahrenen Computerprogrammierer realisiert werden, der mit modernen Programmiertechniken vertraut ist und zwar von der funktionellen/konzeptionellen Beschreibung, die hier gegeben wird.
Die besonderen und praktischen Vorteile in der wirklichen Welt des Nutzer-Rollen-Anwendungs-Konzepts, das oben beschrieben wurde, zusammen mit dem Konzept einer Hierarchie von Systemadministratoren besteht darin, daß sie ermöglicht, daß sehr große Datenbanken mit sehr großen Anzahlen von interaktiven Systemnutzern in einer Weise verwaltet werden können, die die Integrität des Systems und Datensicherheit sicherstellt. Es wird dem System dadurch ermöglicht, mit wesentlich größeren Geschwindigkeiten und mit einem wesentlich verringerten Verarbeitungsoverhead zu arbeiten, als dies bei anderen bekannten Systemen der Fall ist.
Wie dies oben beschrieben wurde, werden einem individuellen Benutzer Zugangsrechte aufgrund der Rollen zugeordnet, die ihm erlaubt sind, in unterschiedlichen Anwendungen durchzuführen. Es würde theoretisch möglich, jeden Nutzer mit einer Mehrzahl von Computeridentitäten und Passworten zu versehen, und zwar eine für jede Anwendung, die er benutzen darf. Dies ist natürlich unpraktisch, insbesondere wenn dies in Bezug auf die Kontrolle von Zugang zu unterschiedlichen Wertesätzen betrachtet wird. Die vorliegende Erfindung überwindet dieses Problem, indem ein doppeltes Anmelde-Verfahren verwendet wird.
Es soll ein besonderer Benutzer betrachtet werden, der Anders Svensson genannt ist. Er hat eine Computeridentität, die ihm bekannt ist, die "andsve" genannt ist, und ein geheimes Paßwort "pende101", das nur er kennt. Es gibt nur eine sehr kleine Menge von Information im Server, auf die mit Hilfe der Computeridentität "andsve" unter Verwendung eines allgemeinen Programms wie z. B. Excel Q+E Zugriff genommen werden kann oder die geändert werden kann. Die doppelte Anmelde-Prozedur gibt jedoch Zugriff zu einem viel größeren Bereich von Daten aufgrund einer Anwendung-Anwendung-Grundlage. Das doppelte Anmelde-Verfahren erzeugt automatisch innerhalb des Fileservers eine Mehrzahl von Computeridentitäten, die mit "andsve" verknüpft sind, zusammen mit damit verknüpften Passworten, eine für jede Anwendung, auf die "andsve" Zugriff nehmen kann. Diese Nutzer/Anwendungsidentitäten sind für Anders Svensson nicht sichtbar, und es ist ihm nicht erlaubt, darauf Zugriff zu nehmen. Die einzige Anmelde-Identität und das einzige Paßwort, das Anders Svensson kennt, ist "andsve" und "pende101". Der -Vorgang kann in Prozedursprache geschrieben werden als:
Login(andsve,pende101) Ecex Fcs_get_password_for-application-identity logout(andsve) login(andsve # APPLICATION), password_for_application-identity ....Normale Funktionsanrufe vom Klient logout(andsve#APPLICATION)
Die anwendungsspezifische Identität ist aus der Identität, die dem Benutzer bekannt ist, "andsve", und einem Code von acht Zeichen für den Klienten, getrennt durch ein "#" aufgebaut (auch andere Trennzeichen könnten benutzt werden). Fcn_get_password_for_application-identity erzeugt eine anwendungsspezifische Identität mit einem zufällig erzeugten Paßwort. Dieser Identität werden Rechte gegeben, alle notwendigen Funktionen in Abhängigkeit von den Rechten des Nutzers bei dieser besonderen Anwendung durchzuführen.
Ein volles Signaldiagramm für den Betrieb des ens ist in Fig. 3 gezeigt. In dem Beispiel, das durch Fig. 3 dargestellt ist, werden die grundliegende oder Computeridentität "andsve", das Paßwort "pend101" und der Anwendungscode "CUSTOMER" verwendet. Es sollte bemerkt werden, daß alle Fehlerbearbeitung weggelassen worden ist, und daß nur Teile der Nachrichten der Anmelde- und Abmeldesequenzen angezeigt sind. Beschreibungen in Schrägschrift bedeuten, daß die Rolle des Systemadministrators verwendet wird, sonst wird "andsve" und "andsve#CUSTOMER" benutzt. Kurze Bemerkungen auf einer der gezeigten Signale in dem Signaldiagramm sind unten ausgeführt. Für die meisten Schritte ist Fig. 3 aber selbsterklärend.
Die Anweisungen i, i+1, siehe Fig. 3 werden ausgeführt, wenn der offene Server in Betrieb genommen wird.
3:-Application_LasApplid(?) initiiert die Schaffung der anwendungsspezifischen Identität. Es sollte bemerkt werden, daß nicht alle Parameter im Signaldiagramm beschrieben sind.
4:-Überprüfe, daß der Nutzer für die angezeigte Anwendung definiert ist, daß die gegenwärtige Zeit innerhalb der dem Nutzer zugeordneten Ablaufzeit ist, und daß es keine Beschränkungen für die Identität oder die Anwendung usw. gibt.
6, 7:-Es gibt einen allgemeinen Code für Zugangskontrolle im offenen Server. Eine Prüfung wird zurück in den SQL-Server durchgeführt, die überprüft, daß dem Systembenutzer erlaubt ist, anzurufen. Um die Zugangszeit (von ungefähr 3 Sekunden zu < 1 ms) zu verringern, wird die Information dann in einen Cachespeicher im offenen Server gespeichert. Dieser Cache wird nur gelöscht, wenn eine Änderung im Zugangsrecht eingeführt wird.
8:-Der Ruf ist mit der Systemadministratoridentität durchgeführt, zu der der offene Server Zugang hat. Es gibt keine Möglichkeit für den Benutzer, diese Identität festzustellen und dadurch einen Zugang höheren Niveaus als demjenigen zu erhalten, für das er berechtigt ist.
9:-Die Identität wird geschaffen, und Information, die zum Erzeugen von Ansichten der Wertesätze erforderlich ist, wird zusammen mit anderer Information in SQL-Server aufgebaut.
11:-Wiederum ist "andsve" die Identität für das Signal.
12:-Das Ergebnis der Funktion, die in Schritt 3 aufgerufen ist, enthält das zufällig erzeugte Paßwort für andsve#CUSTOMER. Es wird durch 28 Zeichen [32....255] gebildet, die zusätzlich DES-verschlüsselt mit dem Paßwort für "andsve" als Schlüssel sind. Die Beendigung von Schritt 3 wird dem Klienten durch eine O.K.-Nachricht mitgeteilt.
Die verbleibenden Schritte im Signaldiagramm, das in Fig. 3 gezeigt ist, zeigen, daß die Identität "andsve" abgemeldet wird, daß die Identität "andsve#CUSTOMER" angemeldet wird, die Anwendung der aufgerufenen Anwendung, "CUSTOMER", und das Abmelden der Identität "andsve#CUSTOMER" bei Beendigung der Anwendung "CUSTOMER".
Es sollte bemerkt werden, daß die Identität "andsve#CUSTOMER" Informationen über sowohl den Nutzer als auch die Klientengruppe enthält, zu der er gehört. Diese Form von Identität ist eine nützliche Hilfe bei der Ableitung von Prüfprotokollen, Statistiken, Rechnungsstellung usw. Im Vergleich erlauben vorbekannte Systeme, die nur Frontend-Anmelde-Kontrolle verwenden, Zusammenfassungen unter Verwendung einer einzigen gemeinsamen Identität erlauben, wobei Verwaltungsinformation auf einer Nutzer-Anwendungsbasis abgeleitet werden kann. Z. B. muß es möglich sein, einem Benutzer zu ermöglichen, die Antwortzeit des SQL-Servers für die Anwendung zu erhalten, die er ablaufen läßt.

ÜBERSETZUNG DER FIGUREN

Fig. 1

User Benutzer
Identity Identität
Applications and roles Anwendungen und Rollen
CRUD Create, Read, Update, Delete; Erzeuge, Lese, Aktualisiere, Lösche

Fig. 2

Operation Operation
Stored Procedures Gespeicherte Prozeduren
ROLE 3B Rolle 3B
Value set Wertesatz
Secret telephone nos Geheime Telefonnumern
Stockholm Region Region Stockholm
South Region Südregion
Middle Region Mittlere Region
Northern Region Nördliche Region

Fig. 3

Client Klient
SQL Server SQL Server
Open Server Offener Server
Performs at the start Wird beim Start des offenen Servers durchgeführt
of open server
Internal check Interne Überprüfung
OK, stored in chache OK, im Cache gespeichert
Access rights check Zugangsrechteüberprüfung
Performs not if access-rights already is in cache Wird nicht durchgeführt, wenn Zugangsrechte schon im Cache sind
Create andsve#COSTUMER Erzeuge
Create identity, views and other information within SQL Server Erzeuge Identität, Ansichten und andere Informationen innerhalb des SQL Servers
OK OK
OK note 5 OK Bemerkung 5
OK note 3 OK Bemerkung 3
logout Abmelden
login Anmelden
Request to delete Fordere an, zu löschen
Access right check Zugangsrechtsüberprüfung
Performs not if accessrights already is in cache Wird nicht durchgeführt, wenn Zugangsrechte bereits im Cache sind
Delete Lösche
Delete identity, views and Lösche Identität, Ansichten und andere Informationen innerhalb des SQL Servers
other information within SQL
Server

Fig. 4

Klient Klient
Klient-applikation Klientanwendung
SQL Server SQL Server
Net Gateway Netzübergang
Open Server Offener Server
Serverprogram Serverprogramm
DBC Gateway DBC Übergang
Open Server offener Server
Serverprogram Serverprogramm
Open Server offener Server
Serverprogram Serverprogramm

Claims

1. Datenbank, die in einem ersten Server (SQL-Server) gespeichert ist und zu der eine große Anzahl von individuellen Nutzern (Klient) Zugriff haben, in der eine einzige Administrationsebene vorhanden ist und in der Begrenzungen von Nutzerrechten bezüglich der Daten und der Datenbankfunktionen auferlegt werden,

dadurch gekennzeichnet, daß die Datenbank durch einen doppelten Einlogg-Prozeß zugänglich ist, bei dem ein Nutzer seine Identität und sein Paßwort eingibt, und wobei für jede von dem Nutzer durchgeführte Datenbank- Anwendung der erste Dateiserver so eingerichtet ist, daß er eine für den Nutzer und die Anwendung spezifische Anwendungs-Nutzer-Identität zusammen mit einem zugeordneten Paßwort generiert, Mittel zum Verbergen der Anwendungs- Nutzer-Identität und des zugeordneten Paßworts vor dem Nutzer, wobei der erste Dateiserver Mittel aufweist zum Ableiten einer Liste von der Anwendung/Nutzer-Identität zu- zuordnenen Zugriffsrechten, indem auf dem ersten Dateiserver eine auf einem zweiten Dateiserver (Open server) vorbereitete Prozedur durchgeführt wird.

2. Datenbank nach Anspruch 1, dadurch gekennzeichnet, daß die Anwendungs/- Nutzer-Identität, das zugeordnete Paßwort und die Liste von Zugriffsrechten in einem Cache-Speicher in dem ersten Dateiserver gespeichert werden.

3. Datenbasis nach Anspruch 2, gekennzeichnet durch Mittel, um jedesmal dann, wenn ein eingeloggter Nutzer eine neue Aufgabe unternimmt, auf den Inhalt des Cache-Speichers zuzugreifen, um festzustellen, ob eine bestimmte Datenbankfunktion, oder Daten, für die neue Aufgabe verfügbar gemacht werden können.

4. Datenbank nach Ansprüchen 1 bis 3, dadurch gekennzeichnet, daß jeder Nutzer eine definierte Rolle für jede aus einer ausgewählten Anzahl von Datenbankanwendungen hat, wobei die Rolle es dem Nutzer gestattet, nur bestimmte, für diese Anwendung definierte Funktionen durchzuführen.

5. Datenbank nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß ausschließlich Mittel auf einer zentralen Systemverwaltungsebene für diese Datenbank für die Definierung einer neuen Nutzeridentität und eines Paßwortes vorgesehen sind.

6. Datenbank nach Anspruch 5, gekennzeichnet durch Mittel zum Generieren der Anwendungs/Nutzer-Identität für jede einem Nutzer zugewiesene Rolle, wobei bestimmte Rollen, nur in Bezug auf bestimmte Datenbankanwendungen, Zugriffsrechte einschließen können, die im Normalbetrieb der Datenbank für die Systemverwaltungsebene reserviert sind.

7. Datenbank nach einem vorangehenden Anspruch, dadurch gekennzeichnet, daß die Datenbank für die Verwendung von SQL als Prozedursprache ausgelegt ist.

8. Datenbank nach einem vorangehenden Anspruch, gekennzeichnet durch Mittel zum Hemmen der Command-Operation.

9. Datenbank nach einem vorangehenden Anspruch, dadurch gekennzeichnet, daß der erste und zweite Dateiserver logisch getrennte Einheiten sind, die auf derselben Hardware operieren.

10. Datenbank nach einem vorangehenden Anspruch, dadurch gekennzeichnet, daß der erste und zweite Dateiserver auf physisch getrennter Hardware laufen.

11. Computernetzwerk mit zentraler Prozessoreinrichtung, enthaltend einen ersten Dateiserver (SQL-Server) auf dem eine Datenbank gespeichert ist, einen zweiten Dateiserver (Open Server) für die Vorbereitung von Datenbankanwendungen und Prozeduren, und eine Anzahl von Terminalgeräten (Klient), mit denen auf die Datenbank zugegriffen werden kann,

dadurch gekennzeichnet, daß Nutzerrechte für die Datenbank auf jeden Nutzer individuell zugeschnitten sind bezüglich der Daten und der Datenbankfunktionen, daß der Zugriff zu der Datenbank durch eine doppelte Einlogg- Prozedur gesteuert wird, und daß ein erster Schritt der doppelten Einlogg-Prozedur von einem Nutzer durchgeführt wird, indem er eine Nutzer-Identität und Paßwort eingibt, und daß für jede von dem Benutzer durchgeführte Datenbankanwendung dem ersten Dateiserver zugeordnete Mittel vorgesehen sind zum Generieren einer für den Nutzer und die Anwendung spezifische Anwendungs/Nutzer-Identität zusammen mit einem zugeordneten Paßwort, und daß die Anwendungs- /Nutzer-Identität und das Paßwort vor dem Nutzer verborgen werden, und daß das Computernetzwerk zweite Mittel aufweist, um der Anwendungs/Nutzeridentität Zugriffsrechte zu geben, um notwendige Funktionen der jeweiligen Anwendung in Abhängigkeit von den Zugriffsrechten des Nutzers durchzuführen.

12. Computernetzwerk nach Anspruch 1, dadurch gekennzeichnet, daß die Anwendungs/- Nutzer-Identität, das zugeordnete Paßwort und die Liste von Zugriffsrechten in einem Cache-Speicher in dem ersten Dateiserver gespeichert werden.

13. Computernetzwerk nach Anspruch 12, dadurch gekennzeichnet, daß das Computernetzwerk dritte Mittel aufweist zum Zugreifen auf den Cache-Speicher jedesmal dann, wenn ein eingeloggter Nutzer eine neue Aufgabe unternimmt, und zum Feststellen ob eine bestimmte Datenbankfunktion, oder Daten, für die neue Aufgabe verfügbar gemacht werden können oder nicht.

14. Computernetzwerk nach einem der Ansprüche 11 bis 13, dadurch gekennzeichnet, daß ausschließlich Mittel auf einer zentralen Systemverwaltungsebene für die Datenbank vorgesehen sind, um eine neue Nutzeridentität und ein neues Paßwort zu definieren.

15. Computernetzwerk nach Anspruch 14, gekennzeichnet durch Mittel zum Erzeugen der Anwendungs/Nutzer-Identität für jede einem Nutzer zugeordnete Rolle, wobei bestimmte Rollen, ausschließlich bezüglich bestimmter Datenbankanwendungen, Zugriffsrechte einschließen können, die beim Normalbetrieb der Datenbank für eine Systemverwaltungsebene reserviert sind.

16. Computernetzwerk nach einem der Ansprüche 11 bis 15, dadurch gekennzeichnet, daß alle den Systemzugriff betreffenden Regeln und Prozeduren in dem ersten Dateiserver gespeichert sind.

17. Computernetzwerk nach einem der Ansprüche 11 bis 16, gekennzeichnet durch Mittel zum Hemmen der Command-Operation.

18. Computernetzwerk nach einem der Ansprüche 11 bis 17, dadurch gekennzeichnet, daß der erste und zweite Dateiserver logisch getrennte Einheiten sind, die auf derselben Hardware operieren.

19. Computernetzwerk nach einem der Ansprüche 11 bis 18, dadurch gekennzeichnet, daß der erste und zweite Dateiserver auf physisch getrennter Hardware laufen.

20. Verfahren für ein Computernetzwerk mit zentraler Prozessoreinrichtung, enthaltend einen ersten Dateiserver (SQL-Server), auf dem eine Datenbank gespeichert ist, einen zweiten Dateiserver (Open server) für die Vorbereitung von Datenbankanwendungen und Prozeduren und eine Anzahl von Terminalgeräten (Klient), über die auf die Datenbank zugegriffen werden kann, wobei das Verfahren den Zugriff zu der Datenbank steuert und dadurch gekennzeichnet ist, daß Nutzerrechte für die Datenbank auf jeden Nutzer bezüglich Daten und Datenbankfunktionen individuell zugeschnitten sind, und daß als ein erster Schritt des Einloggens in die Datenbank ein Nutzer eine Nutzeridentität und ein Paßwort eingibt, und daß für jede von dem Nutzer durchgeführte Datenbankanwendung der erste Dateiserver eine für den Nutzer und die Anwendung spezifische Anwendungs/Nutzer- Identität zusammen mit einem zugeordneten Paßwort generiert, und daß die Anwendungs/Nutzer-Identität und das Paßwort vor dem Nutzer verborgen werden, und daß eine Liste von Zugriffsrechten, die der Anwendungs/Nutzer-Identität zuzuordnen sind, abgeleitet wird, indem auf dem ersten Dateiserver eine auf dem zweiten Dateiserver vorbereitete Prozedur durchgeführt wird.

21. Verfahren nach Anspruch 20, dadurch gekennzeichnet, daß die Anwendungs- Nutzer-Identität, das zugeordnete Paßwort und die Liste von Zugriffsrechten in einem Cache-Speicher auf dem ersten Dateiserver gespeichert werden.

22. Verfahren nach Anspruch 21, dadurch gekennzeichnet, daß jedesmal dann, wenn ein eingeloggter Nutzer eine neue Aufgabe unternimmt, auf den Inhalt des Cache-Speichers zugegriffen wird, um festzustellen, ob eine bestimmte Datenbankfunktion oder Daten für die neue Aufgabe verfügbar gemacht werden können oder nicht.

23. Verfahren nach einem der Ansprüche 20 bis 22, dadurch gekennzeichnet, daß eine neue Nutzeridentität und ein neues Paßwort nur auf einer zentralen Administrationsebene für die Datenbank definiert werden können.

24. Verfahren nach Anspruch 23, dadurch gekennzeichnet, daß die Anwendungs/- Nutzer-Identität für jede einem Nutzer zugeordnete Rolle generiert wird, und daß bestimmte Rollen lediglich bezüglich bestimmter Datenbankanwendungen, Zugriffsrechte enthalten können, die im Normalbetrieb der Datenbank für eine Systemverwaltungsebene reserviert sind.

25. Verfahren nach einem der Ansprüche 20 bis 24, dadurch gekennzeichnet, daß alle sich auf den Systemzugriff beziehenden Regeln und Prozeduren in dem ersten Dateiserver gespeichert sind.