SE517910C2 - Datornätverk med behörighetskontroll - Google Patents

Description

.-»no 4..,- 10 15 20 25 30 35 40 517 910 2 Oo I nya identiteter kan skapas. Tyvärr kan denna roll komma àt all information i systemet, avlägsna delar av datat eller t.o.m. hela databasen eller t.o.m. stänga av filservern pà vilken databasen är lagrad. Problemet att styra àtkomsten till en sàdan databas utan att innebära en för hög beräk- ningsbelastning pà en filserver och därigenom i hög grad sänka dess driftshastighet är inte alls lätt att lösa.

För att ástadkomma detta mäste àtkomsträttigheterna för var och en av omkring 20.000 användare brytas ned: - efter ämnets klass; - inom ämnesklasser, efter hemligt data; och - genom databashantering.

Under utförande av en given databasuppgift för en given användare kan olika àtkomsträttigheter spela in.

Om effektiv databassäkerhet skall bevaras är det vitalt att alla databasàtkomstregler hálls i filservern. Om dessa regler skulle hàllas i kundstyrd utrustning skulle de kunna undergrävas av en oärlig kund.

Man har föreslagit att hantering av kundidentiteter och átkomsträttigheter skall styras framför filservern. Sàdana frontbaserade system upprättar ett antal parallella förbind- elser i relation till generell identitet. Detta skapar admi- nistrativa problem, prestandaproblem och inloggningsproblem för filservern.

När en databas endast är tillgänglig för ett litet antal användare, fràn tio till nagra hundra, kan ett antal smà fasta grupper av användare upprättas och identiteter för- knippas med dessa grupper. Denna lösning är inte användbar när stora antal användare är inblandade.

Föreliggande uppfinning löser problemet med àtkomst- kontroll i en stor databas med ett stort antal användare genom att definiera àtkomsträttigheter individuellt för varje applikation som körs pá databasen. Ett flertal databasroller definieras uttryckt i de grundläggande databasprocedurerna CRUD (create (skapa), read (läsa), update (ändra) och delete (avlägsna)), som en användare har rätt att använda med av- namn 10 15 20 25 30 35 40 517 910 o coon O!!! cout u 0101 0 Oøuouo 3 . . . .. seende pà olika värdemängder lagrade i databasen. En given användare ges ätkomst till en mängd av roller allt efter applikationen. När en användare loggar in pà en speciell databasapplikation, som han har àtkomst till, körs en proce- dur av filservern pà vilken databasen är lagrad. Filservern alstrar àtkomsträttigheterna för denna användare med avseende pà denna applikation. Användarrättigheterna lagras sedan i filservern, företrädesvis i ett fickminne, under tiden som applikationen i fråga körs pà filservern. När användaren loggar ut fràn denna applikation avlägsnas företrädesvis ät- komsträttigheterna fràn minnet.

Det bör observeras att med en databas av typen som före- liggande uppfinning avser, som är utsatt för kraftig an- vändarefterfràgan, kan det vara fördelaktigt att spärra kommandodriftsläge i realtid. Icke desto mindre kan före- liggande uppfinning tillämpas pà databassystem som kan köras i kommandodriftläge.

Enligt en första aspekt av föreliggande uppfinning till- handahälles ett datornät som har en central processoranord- ning innefattande en filserver pä vilken en databas är lagrad, ett flertal terminaler anordnade att kommunicera med nämnda centrala processor, vilket datornät är anordnat sä att ett stort antal användare har àtkomst till nämnda databas och vilken databas innehåller värdemängder som har ett flertal behörighetsklasser med avseende pà vilka ett flertal databas- applikationer kan köras, kännetecknat av att det tillhanda- hälles en ätkomstanordning för att kontrollera àtkomsträttig- heterna till nämnda databas för varje användare, vilken ät- komstanordning innefattar en första minnesanordning pà vilken ett flertal databasroller är lagrade, vilken àtkomstanordning är anordnad att definiera àtkomsträttigheter för varje an- vändare genom att kombinera ett valt antal roller med varje databasapplikation som en användare har tillàten ätkomst till, en alstringsanordning för att automatiskt alstra en mängd av àtkomsträttigheter för en given användare när nämnda användare loggar in pä en given applikation och en andra minnesanordning för att lagra detaljer av nämnda ätkomst- rättigheter pä ett filserverminne, àtminstone när en databas- applikation som nämnda ätkomsträttigheter avser körs pà nämnda filserver. »-ma m»|| 10 l5 20 25 30 35 40 517 910 unna 1000 coon 000! 0000 n 0000 n Iøocnu 4 Företrädesvis är en avlägsningsanordning anordnad att avlägsna nämnda àtkomsträttigheter frán nämnda andra minnes- anordning när nämnda användare loggar ut fràn nämnda data- basapplikation.

Företrädesvis är nämnda andra minnesanordning ett fick- minne.

Företrädesvis är antalet roller väsentligt mindre än antalet användare.

Enligt en andra aspekt av föreliggande uppfinning till- handahàlles en databas lagrad i en filserver, som ett stort antal användare har átkomst till, och som innehäller värde- mängder med ett flertal behörighetsklasser med avseende pá vilka ett flertal databasapplikationer kan köras, känneteck- nad av att àtkomsträttigheterna till databasen för varje användare bestäms genom att upprätta ett flertal databas- roller, som definierar átkomsträttigheter för varje användare genom att kombinera ett valt antal roller med varje databas- applikation som en användare har tillàten àtkomst till, vilken filserver automatiskt alstrar en mängd av àtkomst- rättigheter för en given användare när nämnda användare loggar in pä en given applikation, lagrar detaljer av nämnda àtkomsträttigheter pä ett filserverminne àtminstone när en databasapplikation som nämnda àtkomsträttigheter avser körs pà nämnda filserver.

Företrädesvis avlägsnas nämnda átkomsträttigheter frän nämnda filserverminne när nämnda användare loggar ut fràn nämnda databasapplikation.

Nämnda filserverminne kan vara ett fickminne.

Företrädesvis möjliggör roller för en användare som är tilldelad dessa roller att utföra àtminstone en del system- administreringsfunktioner.

Företrädesvis är nämnda roller definierade uttryckt i systemprocedurer som kan utföras med avseende pä olika värde- mängder som hälles i nämnda databas.

Enligt en tredje aspekt av föreliggande uppfinning till- handahälles en metod, cessoranordning innefattande en filserver pá vilken en data- i ett datornät, som har en central pro- bas är lagrad, ett flertal terminaler anordnade att kommuni- cera med nämnda centrala processor, vilket datornät är anord- nat sä att ett stort flertal användare har àtkomst till vv--.- »mun »ams 10 15 20 25 30 35 40 517 910 5 .. .. nämnda databas och nämnda databas innehaller värdemängder som har ett flertal behörighetsklasser med avseende pä vilka ett flertal databasapplikationer kan köras, att fastställa ät- komsträttigheter för var och en av nämnda flertal användare, kännetecknad av att att följande steg utföres: att upprätta ett flertal databasroller; - att definiera àtkomsträttigheter för varje användare genom att kombinera ett valt antal roller med varje databasapplikation som en användare har tillåten ät- komst till; - att automatiskt med nämnda filserver alstra en mängd av àtkomsträttigheter för en given användare när nämnda användare loggar in pà en given applikation; och - att lagra detaljer av nämnda átkomsträttigheter pà ett filserverminne när en databasapplikation som nämnda àtkomsträttigheter avser körs pà nämnda filserver.

Företrädesvis avlägsnas nämnda átkomsträttigheter auto- matiskt fràn nämnda filserverminne när nämnda användare loggar ut fràn nämnda databasapplikation.

Företrädesvis bestäms àtkomsträttigheterna för en given användare med avseende pà en given databasapplikation, genom att köra en databasprocedur.

Utföringsformer av uppfinningen kommer nu att beskrivas som exempel med hänvisning till åtföljande ritningar, i vilka: Fig. 1 illustrerar det upprättade förhàllandet mellan en användares identiteter, roller och applikationer i en databas enligt föreliggande uppfinning.

Fig. 2 illustrerar hur en definierad roll fastställer átkomsträttigheterna för en given användare till en given applikation pà en databas i enlighet med föreliggande upp- finning.

Fig. 3 visar ett signaldiagram för en utföringsform av föreliggande uppfinning under drift pá en SQL-filserver.

Fig. 4 illustrerar schematiskt ett exempel pà en platt- ~..---u mm» 10 15 20 25 30 35 40 517 910 :nov-n anno OIIO coon :III 6 .I OI form pà vilken en databas enligt föreliggande uppfinning kan köras.

Ett exempel pà en datornätplattform pà vilken före- liggande uppfinning kan realiseras är illustrerat i fig. 4.

Funktionen av en sàdan plattform inses omedelbart av fackmän pà omradet vid ett kort studium av fig. 4. Det bör emellertid observeras att ett flertal terminaler som använder ett fler- tal operativsystem, kollektivt kallade applikationssystemet TS, kan vara kopplade till en central filserver, SQL-servern, med hjälp av Sybase kommunikationsmjukvara, vilket arrange- mang här kallas "öppen kund". En mángfald system, kallade "öppna servrar", kan användas för att framställa databaspro- cedurer och applikationer. De öppna servrarna kommunicerar áterigen med den centrala servern med hjälp av Sybase kommu- nikationsmjukvara. Den centrala SQL-servern bär allt data som innefattar databasen och arbetar med SQL-procedurspràk. Den del av datornätet som innefattar den centrala SQL-servern och de öppna servrarna kallas kollektivt informationssystemet IS.

De öppna servrarna och applikationssystemen kan använda en màngfald operativsystem och mjukvara, inklusive UNISYS/TIP, VAX/VMS, PC, MAC, UNIX och IBM/CICS.

Vid hanteringen av en databas, kan olika roller iden- tifieras. I en enkel databas finns det tva roller, system- administratörens roll och rollen för användaren som önskar fa àtkomst till data. I en mycket stor databas av typen som kan behövas för att stödja en telenätoperatörs operationer, kan det finnas ett behov för manga användare att utföra databas- applikationer som förutom att läsa data inbegriper ändra data i databasen, avlägsna data i databasen eller skapa nytt data.

Operationerna att skapa (create), läsa (read), ändra (update) och avlägsna (delete) data identifieras ofta med deras be- gynnelsebokstäver CRUD.

Förhållandet mellan en användare, en användares iden- titet, en roll och en applikation illustreras i schematisk form i fig. 1 och 2. Betrakta tvà individuella användare av ett mycket stort antal totala användare av databasen, kanske sä manga som 10.000, kallade Lena Larson och Bo Svensson.

Lenas systemidentitet är "lenlar" och är unik för henne, medan Bos datoridentitet är "bosven" och är äter unik för honom. Dessutom har Bo en andra datoridentitet, "bosvem- up-.u- .p-.p 10 15 20 25 30 35 40 517 910 ouuo 0:00 cont I 0000 I III-OO I II 7 . master", som han använder endast vid àtkomst av vissa hemliga data som han har speciell behörighet för. För varje identitet finns ett hemligt lösenord som endast är känt för användaren.

Genom att inmata sina datornamn och lösenord fär Bo och Lena mycket begränsad ätkomst till SQL-filservern.

För att erhalla möjligheten att köra en applikation pá SQL-filservern utföres ytterligare en inloggningsprocedur automatiskt av SQL-filservern. Detta beskrivs senare. Av de manga applikationerna som kan köras pá SQL-filservern kallas tva i ritningarna för applikation A och applikation B. För vardera av dessa applikationer kan ett antal roller defini- eras, t.ex. roller 1, 2 och 3. Att utföra en given applika- tion kan inbegripa ett antal separata databasprocedurer, vilka t.ex. hämtas via en meny.

Betrakta roll 3B, dvs. roll 3 utförd med avseende pà applikation B. Det antas att denna applikation inbegriper tre operationer OPa, OPb och OPC. Dessa tre operationer använder vardera en skild mängd av lagrade procedurer SPl _... SP4.

Vardera av dessa procedurer inbegriper ett antal grund- läggande databasfunktioner, t.ex. kräver SPl funktioner för att skapa, läsa, ändra och avlägsna, medan SP3 endast inbe- griper avlägsningsfunktionen. Genom att applicera roll 3 pà applikation B som arbetar pà data som avser telefonnummer definieras en serie av atgärder och àtkomsträttigheter. Exem- pelvis möjliggör rollen 3B, som endast är tillgänglig för Bo när han använder datoridentiteten "bosvem-master", läs- ning av hemliga telefonnummer men inte alstring, ändring eller avlägsning. Roll 3B möjliggör däremot att telefonnummer för Region Nord kan skapas, läsas och ändras men inte av- lägsnas.

I drift màste användare, sàsom Lena och Bo, registreras pà den öppna filservern. Denna process kan endast utföras av systemadministreringsrollen. För att registrera en användare inmatar systemadministratören sin personliga information sä- som namn, organisation och telefonnummer samt skapar en grund- eller datoridentitet för användaren, t.ex. lenlar.

Dessutom tilldelar systemadministratören ett lösenord till varje användare, som användaren maste ändra till ett hemligt lösenord vid den första inloggningen till systemet. Varje datoridentitet är tilldelad en körtid, som anger tiden pà ...-.-- 10 15 20 25 30 35 40 517 910 :osv uuuø 8 dagen när användare tilläts använda systemet.

För att upprätta àtkomsträttigheter för en användare skall systemadministratören förknippa ett antal roller med varje databasapplikation som den användaren har àtkomst till.

Sàsom förklaras ovan definierar rollerna exakt vilka àtkomst- rättigheter som en speciell användare har vid körning av en given databasapplikation. En given individ kan tilldelas mer än en datoridentitet, vilka vardera har olika roller för- knippade med sig. Det är fördelaktigt när en enda användare behöver arbeta med data som har olika säkerhetsklasser och bidrar till konstruktionen av revisionsspár. Åtkomst till databasen som hálls i informationssystemet, se fig. 4, erhàlles med hjälp av lagrade procedurer. Dessa procedurer kan skapa, läsa, ändra och/eller avlägsna data i informationssystemet. I en given applikation är ett givet antal operationer definierade. En operation är grundfunk- tionaliteten som ses av en användare. Operationer väljs van- ligen frán en meny av alternativ eller väljs genom manövre- ring av en speciellt tilldelad terminaltangent. Att köra en given operation igàngsätter antingen en dialog med IS eller åstadkommer utförande av en uppgift i IS. Varje operation använder átminstone en lagrad procedur. Dessa procedurer är lagrade i den öppna filservern. När en roll är definierad för en applikation fastställer den vad en användare som är till- delad denna roll kan göra vid körning av denna applikation.

Om en användare t.ex. medges att öppna en dialog med IS men endast läsa innehàllet i lagrat data indikeras detta med "R", se fig. 2. För operationen OPa tilläts sáledes en användare tilldelad rollen 3B att köra procedurer som endast innebär läsning av data, dvs. SP2. Å andra sidan tilläts användare inte köra proceduren SPl, eftersom denna procedur kräver förmàgan att skapa, läsa, ändra och avlägsna och rollen 3B har inte rätten att skapa, ändra och avlägsna i denna appli- kation.

En värdemängd är en mängd av kriterier med vilka data- föremál grupperas. Alla telefonabonnenter i Region Stockholm representerar t.ex. en värdemängd. När en roll är definierad inbegriper definitionen värdemängderna som en användare som är tilldelad denna roll har àtkomst till och vilka grund- läggande databasfunktioner som är tillátna för denna roll med .mnn -..~ ~v~. 10 15 20 25 30 35 40 517 910 9 . . avseende pà denna värdemängd.

I realtidsdrift maste den öppna servern hantera manga användare och informationen mäste skyddas fràn obehörig át- komst och ända vara tillgänglig för dem som är behöriga att använda den. Definitionen av olika roller later användare ges olika àtkomsträttigheter, i beroende av deras speciella be- hov. Pà samma sätt är det möjligt att anordna en hierarki av systemadministratörer genom att definiera olika systemadmi- nistratörsroller. Pä detta sätt är det möjligt att fä ett stort antal systemadministratörer, varvid endast ett fatal har obegränsade àtkomsträttigheter till systemet och de flesta har begränsade rättigheter.

Alla systemanvändarna kan uppdelas i kundgrupper, varvid varje kund representerar en avdelning eller extern organisa- tion. Användningen av varierade administrationsroller kan med fördel implementeras i en kund-användarhierarki genom att skapa en systemadministratör för varje kundgrupp med åtkomst- rättigheter begränsade för denna kunds behov. Eventuella ändringar som behövs av denna kunds totala àtkomsträttigheter kan dà erhàllas genom en variation av kundadministratörens àtkomsträttigheter, vilket mäste göras av nagon av de fä cen- trala administratörerna. Efterföljande ändringar av indivi- duella användarrättigheter för användare som hör till denna kundgrupp kan implementeras av kundadministratören.

Den större delen av systemadministratörerna har säledes begränsade àtkomsträttigheter och detta kan visas med använd- ning av menyer eller skärmknappar, i vilka vissa menyval, eller knappar är nedtonade, vilket motsvarar att menyopera- tionerna är otillátna för en speciell systemadministratör.

Det huvudsakliga skälet för att visa alla menymöjligheterna, vare sig de är tillgängliga för en speciell systemadmini- stratör eller ej är att det möjliggör framställning av en gemensam uppsättning av handböcker och annan litteratur till systemet. Denna dokumentation mäste naturligtvis beskriva den maximala funktionaliteten. Naturligtvis är det inte endast systemoperationer som kan vara otillàtna för en "yngre" systemadministratör utan ocksà vissa värdemängder. Med andra ord kan informationen som en kundbaserad administratör har àtkomst till vara begränsad till de värdemängder som kunden har tillàten àtkomst till. »man 10 15 20 25 30 35 40 517 910 0000 n onc- Onnu u avec I Ioøqvv lo l IIO UI I beskrivningen ovan av förhállandet mellan identiteter, användare, roller, kunder, applikationer, värdemänger och systemadministratörer har betoningen varit pà begreppen och funktionaliteten i systemet snarare än de fysiska medlen med vilka denna funktionalitet skapas. I ett system av den be- skrivna typen skapas generellt funktionalitet med hjälp av mjukvara, dvs. datorprogram, databasprocedurer eller lik- nande. Det är naturligtvis möjligt att skapa funktionaliteten med hàrdvaruelement eller anordningar, även om det förutom i ett fatal fall inte är kostnadseffektivt att göra detta. Be- skaffenheten av uppfinningarna som beskrivs i denna specifi- kation är sàdan att de uppfinningsmässiga begreppen ligger i förfarandena och funktionaliteten som ligger bakom mjukvaran.

Sett ur synpunkten att praktiskt realisera uppfinningen spelar det liten roll huruvida en "anordning" för att utföra en speciell funktion är en logisk enhet, skapad av ett dator- program eller en fysisk enhet, skapad med en tillverknings- process.

Uppfinningen/uppfinningarna som beskrivs här avser för- bättringar i verkliga produkter och har en verklig och be- tydande effekt pà produktprestanda.

Generellt kan "anordningarna" som beskrivs i denna specifikation enkelt realiseras av en kunnig datorpro- grammerare som är välbekant med moderna programmeringstek- niker ur den funktionella/begreppsmässiga beskrivningen som ges här.

De distinkta och praktiska "verkliga" fördelarna av an- vändare-roll-applikationidén som beskrivs ovan, tillsammans med idén om en hierarki av systemadministratörer, är att de möliggör hantering av massiva databaser, med ett stort antal interaktiva systemanvändare, pà ett sätt som bevarar syste- mets integritet och datasäkerhet. Det làter systemet arbeta vid väsentligt högre hastigheter och med en väsentligt minskad processadministrering än som är fallet med andra kända system.

Sàsom förklaras ovan tilldelas en individuell användare àtkomsträttigheter pá grundval av rollerna som han har be- hörighet att utföra i olika applikationer. I teorin skulle det vara möjligt att förse varje användare med ett flertal datoridentiteter och lösenord, ett par för varje applikation 10 15 20 25 30 35 40 517 910 cunt ll ' som han har behörighet att använda. Detta är naturligtvis opraktiskt, särskilt med hänsyn till kontrollerad àtkomst till olika värdemängder. Föreliggande uppfinning undanröjer detta problem genom att använda en dubbel inloggningsproce- dur.

Betrakta en speciell användare som heter Anders Svensson. Han har en datoridentitet, känd för honom själv, kallad "andsve“ och ett hemligt lösenord som endast han känner till "pendelOl". Det finns endast en mycket begränsad mängd information i filservern som kan hämtas eller ändras av datoridentiteten "andsve“ med användning av ett generellt program, säsom Excel Q+E. Den dubbla inloggningsproceduren ger emellertid átkomst till ett mycket större omràde av data, allt efter applikation. Den dubbla inloggningsproceduren alstrar i filservern automatiskt ett flertal datoridentiteter länkade till "andsve“ tillsammans med tillhörande lösenord, ett för varje applikation som "andsve“ har tillàten àtkomst till. Dessa användar/applikationsidentiteter är inte synliga för Anders Svensson och han har inte àtkomst till dem. Den enda inloggningsidentiteten och lösenordet som Anders Svensson känner till är "andsve“ och "pendelOl". Inloggnings- proceduren kan skrivas i procedurspràk som: Login(andsve,pendel0l) Exec Fcs_get_password_for_application-identity logout(andsve) l o g i n ( a n d s v e # A P P L I C A T I O N ), password_for_application-identity ....Normala funktionssamtal fràn klient logout(andsve#APPLICATION) Den applikationsspecifika identiteten bestàr av iden- titeten som är känd för användaren, "andsve“ och en kod av atta tecken för klienten àtskilda med ett “#" (andra skilje- tecken kan naturligtvis användas). Fcs_get_password_for_- application-identity skapar en applikationsspecifik identitet med ett slumpmässigt alstrat lösenord. Denna identitet ges rättigheter att utföra alla nödvändiga funktioner i beroende av användarens rättigheter i denna speciella applikation.

Ett fullständigt signaldiagram för funktionen av in- loggningen visas i fig. 3. I exemplet som illustreras av fig. »v - 10 15 20 25 30 35 40 517 910 'G00 12 3 används grund- eller datoridentiteten "andsve", lösenordet "pendel01" och applikationskoden CUSTOMER. Observera att all felhantering har uteslutits och att endast delar av inlogg- ningsmeddelandena och utloggningssekvenserna visas. Kursi- verad text betyder att systemadministratörsrollen används, för övrigt används "andsve" och "andsve#CUSTOMER". Kort- fattade noter till en del av signalerna som visas i signal- diagrammet är angivna nedan. De flesta stegen i fig. 3 är dock självklara.

Instruktionerna i, i+1, se fig. 3, exekveras en gång vid starten av den öppna servern. 3:- Application_LasApplid(?) initierar skapandet av en applikationsspecifik identitet. Observera att alla parametrar inte beskrivs i signaldiagramet. 4:- Kontrollera att användaren är definierad för den an- givna applikation, att den aktuella tiden ligger inom använd- arens tilldelade körtid och att det inte finns några begräns- ningar på identiteten eller applikationen osv. 6, 7:- Det finns en allmän kod för accesskontroll i den öppna servern. En kontroll utföres tillbaka in i SQL-servern som verifierar att användaren får anropa. För att minska åt- komsttiden (från ca 0,3 s till < 1 ms) sparas informationen i ett fickminne i den öppna servern. Detta fickminne töms endast när en ändring i åtkomsträttigheten införes. 8:- Anropet görs med systemadministratörsidentiteten som den öppna servern har åtkomst till. Det finns ingen möjlighet att användaren upptäcker denna identitet och därigenom får åtkomst till en högre nivå än den som han har behörighet till. 9:- Identiteten skapas och information som behövs för att alstra vyer av värdemängderna byggs samman med annan information i SQL-servern. 11:- "andsve" är åter identiteten för signalen. 12:- Detta är resultatet av funktionen som anropades vid steg 3. Resultatet innehåller det slumpmässigt alstrade lösenordet för andsve#CUSTOMER. Det utgöres av 28 tecken [32 ....255] som dessutom har DES-krypterats med lösenordet för "andsve" som nyckel.

De återstående stegen i signaldiagrammet, som illu- streras i fig. 3, visar utloggning av identiteten "andsve", uran: 10 517 910 nun-non vann 'Itt uno: 13 . . .. inloggning av identiteten “andsve#CUSTOMER“, exekvering av den anropade applikationen "CUSTOMER" och utloggning av iden- titeten "andsve#CUSTOMER" när applikationen "CUSTOMER" är klar.

Det bör observeras att identiteten “andsve#CUSTOMER" inneháller information bade om användaren och klientgruppen som han tillhör. Denna form av identitet är ett användbart hjälpmedel vid härledning av revisionsspàr, statistik och debitering osv. Tidigare system som enbart använder front- inloggningskontroll medger som jämförelse nedbrytning med användning av en enda gemensam identitet, och hanterings- information kan härledas pà grundval av användare per appli- kation. T.ex. är det möjligt att lata en användare erhàlla svarstiden fràn SQL-servern för applikationen som han kör. unna-n ve-quv

Claims (21)

10 15 20 25 30 35 517 910 »-š /9 PATENTKRAV

1. Datornät, som har en central processoranordning innefattande en filserver på vilken en databas är lagrad, ett flertal terminaler anordnade att kommunicera med nämnda centrala processor, vilket datornät är anordnat så att ett stort antal användare har åtkomst till nämnda databas, vilken databas innehåller värdemängder med ett flertal be- hörighetsklasser med avseeende på vilka ett flertal data- basapplikationer kan köras, vidare innefattande en åtkomst- anordning för att kontrollera åtkomsträttigheterna till databasen för varje användare, vilken àtkomstanordning innefattar en första minnesanordning i vilken ett flertal databasroller är lagrade, vilken àtkomstanordning är an- ordnad att definiera åtkomsträttigheter för varje användare genom att kombinera ett valt antal roller med varje data- basapplikation som en användare har tillåten åtkomst till, en alstringsanordning för att automatiskt alstra en mängd av åtkomsträttigheter för en given användare när nämnda an- andra åtkomst- rättigheter i ett filserverminne åtminstone när en databas- vändare loggar in på en given applikation och en minnesanordning för att lagra detaljer av nämnda applikation, som nämnda åtkomsträttigheter avser, körs på nämnda filserver, kännetecknat av att nämnda àtkomstanord- ning arbetar genom att köra en databasprocedur som be- stämmer åtkomsträttigheterna för en given användare med avseende på en given databasapplikation, av att nämnda roller är definierade uttryckt i systemprocedurer som kan utföras med avseende på de olika värdemängderna som hålls i nämnda databas och att nämnda andra minnesanordning är ett fickminne.

2. Datornät enligt krav 1, kännetecknat av att nämnda systemprocedurer i rolldefinitionssyfte är klassificerade med fyra grundläggande databasoperationer, nämligen att skapa, läsa, ändra och avlägsna, såsom är tillämpligt på givna värdemängder.

3. Datornät enligt krav 1, kännetecknat av att en av- lägsningsanordning är anordnad att avlägsna nämnda åtkomst- rättigheter från nämnda andra minnesanordning när nämnda användare loggar ut från nämnda databasapplikation. 10 15 20 25 30 35 517 91:) /s

4. Datornät enligt något av föregående krav, känne- vina n Qui-no tecknat av att fler än 500 användare har åtkomst till nämnda databas.

5. Datornät enligt krav 4, kännetecknat av att mer än 5000 användare har åtkomst till nämnda databas.

6. Datornät enligt krav 4 eller 5, kännetecknat av att antalet roller är väsentligt mindre än antalet användare.

7. Datornät enligt något av föregående krav, känne- tecknat av att vissa roller möjliggör för en användare som är tilldelad dessa roller att utföra åtminstone några systemadministreringsfunktioner.

8. Databas lagrad på en filserver, som ett stort antal användare har åtkomst till och som innehåller värdemängder med ett flertal behörighetsklasser med avseende på vilka ett flertal databasapplikationer kan köras, varvid åtkomst- rättigheter till databasen för varje användare bestäms genom att fastställa ett flertal databasroller, som defi- nierar åtkomsträttigheter för varje användare genom att kombinera ett valt antal roller med varje databasapplika- tion som en användare har tillåten åtkomst till, varvid nämnda filserver automatiskt alstrar en mängd av åtkomst- rättigheter för en given användare när nämnda användare in på en given applikation, loggar lagrar detaljer av nämnda åtkomsträttigheter i ett filserverminne åtminstone när en databasapplikation, som nämnda åtkomsträttigheter avser, körs på nämnda filserver, kännetecknad av att åt- komsträttigheterna för en given användare med avseende på en given databasapplikation bestäms genom att köra en data- basprocedur, av att nämnda roller är definierade uttryckt i systemprocedurer som kan utföras med avseende på de olika värdemängderna som hålls i nämnda databas, och att nämnda filserverminne är ett fickminne.

9. Databas enligt krav 8, kännetecknad av att nämnda systemprocedurer i rolldefinitionssyfte är klassificerade med fyra grundläggande databasoperationer, nämligen att skapa, läsa, ändra och avlägsna, såsom är tillämpligt på givna värdemängder.

10. Databas enligt krav 8 eller 9, kännetecknad av att nämnda åtkomsträttigheter avlägsnas från nämnda filserver- -.ooø'i 10 15 20 25 30 35 40 517 910 š /6 minne när nämnda användare loggar ut från nämnda databas- applikation.

11. Databas enligt något av kraven 8-10, kännetecknad av att fler än 500 användare har åtkomst till nämnda data- bas.

12. Databas enligt krav 11, kånnetecknad av att mer än 5000 användare har åtkomst till nämnda databas.

13. Databas enligt något av kraven 11 eller 12, känne- tecknad av att antalet roller är väsentligt mindre än an- talet användare.

14. Databas enligt något av kraven 8-13, kännetecknad av att vissa roller möjliggör för en användare som är till- delad dessa roller att utföra åtminstone några systemadmi- nistreringsfunktioner.

15. Metod, cessoranordning innefattande en filserver på vilken en i ett datornät, som har en central pro- databas är lagrad, ett flertal terminaler anordnade att kommunicera med nämnda centrala processor, vilket datornät är anordnat så att ett stort flertal användare har åtkomst till nämnda databas och nämnda databas innehåller värde- mängder som har ett flertal behörighetsklasser med avseende på vilka ett flertal databasapplikationer kan köras, att fastställa àtkomsträttigheter för vardera av nämnda flertal användare, innefattande följande steg: att upprätta ett flertal databasroller; - att definiera àtkomsträttigheter för varje användare genom att kombinera ett valt antal roller med varje databasapplikation som en användare har tillåten åtkomst till; - att automatiskt med nämnda filserver alstra en mängd av àtkomsträttigheter för en given användare när nämnda användare loggar in på en given applikation; och - att lagra detaljer av nämnda àtkomsträttigheter i ett filserverminne när en databasapplikation, som nämnda àtkomsträttigheter avser, körs på nämnda fil- 10 15 20 25 30 517 91o H server; kännetecknad av de ytterligare stegen: 0009 QIOI O OI IIOOIÛ O OIOO - att bestämma àtkomsträttigheterna för en given användare med avseende på en given databasappli- kation genom att köra en databasprocedur, - att definiera nämnda roller uttryckt i system- procedurer som kan utföras med avseende på de olika värdemängderna som hålls i nämnda databas, att nämnda filserverminne är ett fickminne.

16. Metod enligt krav 15, kânnetecknad av att i roll- definitionssyfte klassificera nämnda systemprocedurer med fyra grundläggande databasoperationer, nämligen att skapa, läsa, ändra och avlägsna, såsom används av nämnda system- procedurer på givna värdemängder.

17. Metod enligt krav 15 eller 16, kännetecknad av steget att automatiskt avlägsna nämnda àtkomsträttigheter från nämnda filserverminne när nämnda användare loggar ut från nämnda databasapplikation.

18. Metod enligt något av kraven 15-17, kânnetecknad av att fler än 500 användare har åtkomst till nämnda data- bas.

19. Metod enligt krav 18, kännetecknad av att fler än 5000 användare har åtkomst till nämnda databas.

20. Metod enligt krav 18 eller 19, kânnetecknad av att definiera väsentligen färre roller än antalet användare.

21. Metod enligt något av kraven 15-20, kännetecknad av att definiera några roller som möjliggör för en an- vändare som är tilldelad dessa roller att utföra åtminstone nägra systemadministreringsfunktioner.