一種基于san存儲系統(tǒng)的多重權限分配方法
【專利摘要】本發(fā)明提供一種基于SAN存儲系統(tǒng)的多重權限分配方法，其具體分配過程為：分配多重角色，即在系統(tǒng)管理任務中設立帳號維護員、審計員、管理員、用戶共四種角色并賦予相應權限及管理范圍，該四個角色間相互制約，根據(jù)特定安全原則實現(xiàn)對存儲系統(tǒng)權限分離，所述安全原則是指最小特權原則，上述分離的權限包括對存儲系統(tǒng)的管理權限及數(shù)據(jù)訪問權限兩部分，當攻擊者獲取某個或兩個管理角色的口令時不會得到對存儲系統(tǒng)的完全控制。該一種基于SAN存儲系統(tǒng)的多重權限分配方法和現(xiàn)有技術相比，通過對用戶角色資源分配，實現(xiàn)指定用戶對指定資源的訪問和控制，保證存儲系統(tǒng)操作訪問的安全可控；實用性強，易于推廣。
【專利說明】—種基于SAN存儲系統(tǒng)的多重權限分配方法
【技術領域】
[0001]本發(fā)明涉及計算機數(shù)據(jù)存儲【技術領域】，具體的說是一種基于SAN存儲系統(tǒng)的多重權限分配方法。
【背景技術】
[0002]隨著進入到信息消費時代后，數(shù)字信息量呈爆炸性增長態(tài)勢，對存儲系統(tǒng)不斷提出更高要求，隨著信息技術的普及，社會活動越來越依賴信息系統(tǒng)。隨著信息技術的迅速發(fā)展，云計算、大數(shù)據(jù)等新興產(chǎn)業(yè)逐漸成形，存儲系統(tǒng)在信息領域所起到的關鍵作用越來越受到軍事、金融、政務等各界、各領域的關注。由于存儲是整個信息技術的基礎，因此，存儲產(chǎn)業(yè)與電子政務、互聯(lián)網(wǎng)、教育、衛(wèi)生等多個行業(yè)及產(chǎn)業(yè)都有密切關聯(lián)。
[0003]長期以來，普通的存儲系統(tǒng)用戶特權劃分只有兩級:超級用戶和普通用戶。超級用戶具有所有特權，普通用戶沒有特權。在頻繁的使用過程中，出現(xiàn)了大量超級管理員誤操作、被冒認的安全事故，給用戶帶來了不可估量的損失。事實上這種做法完全不符合安全系統(tǒng)的“最小特權”原則:“最小特權”要求，將其所有特權分解成一組細料度的特權子集，定義成不同的“角色”，分別賦予不同的用戶，每個用戶僅擁有完成其工作所必須的最小特權，這樣完全避免了超級用戶的誤操作或其身份被假冒而帶來的安全隱患。

【發(fā)明內容】

[0004]本發(fā)明的技術任務是解決現(xiàn)有技術的不足，提供一種基于SAN存儲系統(tǒng)的多重權限分配方法。
[0005]本發(fā)明的技術方案是按以下方式實現(xiàn)的，該一種基于SAN存儲系統(tǒng)的多重權限分配方法，其具體分配過程為:
分配多重角色，即在系統(tǒng)管理任務中設立帳號維護員、審計員、管理員、用戶共四種角色并賦予相應權限及管理范圍，該四個角色間相互制約，根據(jù)特定安全原則實現(xiàn)對存儲系統(tǒng)權限分離，所述安全原則是指最小特權原則，上述分離的權限包括對存儲系統(tǒng)的管理權限及數(shù)據(jù)訪問權限兩部分，當攻擊者獲取某個或兩個管理角色的口令時不會得到對存儲系統(tǒng)的完全控制。
[0006]所述帳號維護員權限包括系統(tǒng)狀態(tài)、帳號管理兩部分內容:系統(tǒng)狀態(tài)，實現(xiàn)對存儲系統(tǒng)基本狀態(tài)信息查看；帳號管理實現(xiàn)對所有帳號管理和維護，包括列表獲取、添加帳號、刪除帳號、編輯帳號、重置密碼、修改密碼功能，其中列表獲取用于實現(xiàn)對所有用戶帳號信息獲??；添加帳號用于實現(xiàn)對用戶帳號添加；刪除帳號用于實現(xiàn)對所有帳號刪除；編輯帳號用于實現(xiàn)對所有帳號信息編輯；重置密碼用于實現(xiàn)對所有帳號密碼重置；修改密碼用于實現(xiàn)對所有帳號密碼修改。
[0007]所述管理員分為只讀管理員和配置管理員兩種，只讀管理員只有查閱存儲資源及配置情況；配置管理員不僅有讀的權限，同時可對存儲資源進行靈活配置；該管理員的權限包括資源管理、主機管理、網(wǎng)絡管理、系統(tǒng)管理及帳號管理五部分: 資源管理實現(xiàn)對存儲系統(tǒng)磁盤、存儲池、邏輯卷資源模塊管理；主機管理實現(xiàn)映射協(xié)議及由資源到映射Iun轉換管理，配置管理員角色賦予資源到指定用戶角色，具體的Iun映射和資源訪問控制是由用戶角色控制；網(wǎng)絡管理實現(xiàn)對存儲系統(tǒng)網(wǎng)絡設備及網(wǎng)絡連接管理；系統(tǒng)管理實現(xiàn)對存儲系統(tǒng)系統(tǒng)模塊管理；帳號管理包括可對所有用戶帳號信息獲取的列表獲取、只能對自身登錄帳號進行密碼修改的修改密碼功能。
[0008]所述審計員實現(xiàn)對帳號維護員新創(chuàng)建的帳號賦予權限，同時可對系統(tǒng)自身行為、操作行為、訪問行為等進行審計與跟蹤，識別系統(tǒng)狀態(tài)，以便風險評估，重新調整策略，保障系統(tǒng)安全；該審計員權限包括系統(tǒng)狀態(tài)、日志審計、帳號管理三部分內容，其中系統(tǒng)狀態(tài)可實現(xiàn)對存儲系統(tǒng)基本狀態(tài)信息查看；日志審計，系統(tǒng)會將所有角色操作日志記錄并由審計員進行日志審計，實現(xiàn)對系統(tǒng)自身行為、操作行為、訪問行為等進行審計與跟蹤，實現(xiàn)對問題定位和風險評估；帳號管理包括列表獲取、修改密碼、權限分配功能:列表獲取實現(xiàn)對所有用戶帳號信息獲取；修改密碼對自身登錄帳號進行密碼修改；權限分配對新創(chuàng)建的帳號進行角色分配，可分配為帳號維護員、審計員、管理員、用戶共四種角色。
[0009]所述用戶角色，實現(xiàn)對存儲系統(tǒng)數(shù)據(jù)網(wǎng)絡訪問權限控制，通過審計員對用戶角色權限指派，達到指定用戶可實現(xiàn)對指定資源訪問控制的目的，該用戶角色權限包括系統(tǒng)狀態(tài)、賬號管理、訪問控制三部分，其中系統(tǒng)狀態(tài)實現(xiàn)對存儲系統(tǒng)基本狀態(tài)信息查看；帳號管理包括實現(xiàn)對所有用戶帳號信息獲取的列表獲取、只能對自身登錄帳號進行密碼修改的修改密碼功能；訪問控制用于對被分配的資源使用控制，達到對客戶端訪問存儲設備指定資源控制的目的。
[0010]所述管理員及用戶賬號為使用者創(chuàng)建或刪除的的，其創(chuàng)建過程為:
a)登錄帳號維護員帳號，添加新帳號；
b)登錄審計員帳號，為新添加帳號賦予權限；
c)對新帳號權限判斷，如果是帳號維護員或審計員則進入i，如果是管理員則進入山如果是用戶則進入e;
d)分配管理員類型，為只讀或配置權限，進入i;
e)判斷是否為用戶分配資源，是則進入f，否則進入i;
f)判斷是否存在配置管理員帳號，是則進入h，否則進入g；
g)提示創(chuàng)建配置管理員帳號，進入i;
h)登錄配置管理員帳號，為該用戶分配可訪問資源，進入i;
i)結束；
其刪除過程為:
a)登錄帳號維護員帳號；
b)執(zhí)行帳號刪除操作；
c)判斷是否是最后一個帳號維護員或審計員帳號，是則進入d，否則進入e；
d)提示最后一個帳號維護員或審計員帳號不能被刪除，進入h;
e)刪除配置中帳號信息，進入f;
f)判斷要被刪除帳號是否正在使用，是則進入g，否則進入h;
g)強制登出被刪除帳號，進入h;
h)結束。[0011]本發(fā)明與現(xiàn)有技術相比所產(chǎn)生的有益效果是:
本發(fā)明的一種基于SAN存儲系統(tǒng)的多重權限分配方法實現(xiàn)對管理網(wǎng)絡、數(shù)據(jù)網(wǎng)絡訪問權限控制和分配；幫助客戶實現(xiàn)對存儲系統(tǒng)的安全訪問，避免出現(xiàn)超級用戶的誤操作或其身份被假冒而帶來的安全隱患；通過對用戶角色資源分配，實現(xiàn)指定用戶對指定資源的訪問和控制，保證存儲系統(tǒng)操作訪問的安全可控；實用性強，易于推廣。
【專利附圖】

【附圖說明】
[0012]附圖1是本發(fā)明的多重角色分配示意圖。
[0013]附圖2是本發(fā)明中創(chuàng)建帳號過程流程圖。
[0014]附圖3是本發(fā)明中刪除帳號過程流程圖。
【具體實施方式】
[0015]下面結合附圖對本發(fā)明的一種基于SAN存儲系統(tǒng)的多重權限分配方法作以下詳細說明。
[0016]如附圖1所示，一種基于SAN存儲系統(tǒng)的多重權限分配方法，其具體分配過程為: 分配多重角色，即在系統(tǒng)管理任務中設立帳號維護員、審計員、管理員、用戶共四種角
色并賦予相應權限及管理范圍，該四個角色間相互制約，根據(jù)特定安全原則實現(xiàn)對存儲系統(tǒng)權限分離，所述安全原則是指最小特權原則，上述分離的權限包括對存儲系統(tǒng)的管理權限及數(shù)據(jù)訪問權限兩部分，當攻擊者獲取某個或兩個管理角色的口令時不會得到對存儲系統(tǒng)的完全控制。
[0017]所述帳號維護員權限包括系統(tǒng)狀態(tài)、帳號管理兩部分內容:系統(tǒng)狀態(tài)，實現(xiàn)對存儲系統(tǒng)基本狀態(tài)信息查看；帳號管理實現(xiàn)對所有帳號管理和維護，包括列表獲取、添加帳號、刪除帳號、編輯帳號、重置密碼、修改密碼功能，其中列表獲取用于實現(xiàn)對所有用戶帳號信息獲??；添加帳號用于實現(xiàn)對用戶帳號添加；刪除帳號用于實現(xiàn)對所有帳號刪除；編輯帳號用于實現(xiàn)對所有帳號信息編輯；重置密碼用于實現(xiàn)對所有帳號密碼重置；修改密碼用于實現(xiàn)對所有帳號密碼修改。
[0018]所述管理員分為只讀管理員和配置管理員兩種，只讀管理員只有查閱存儲資源及配置情況；配置管理員不僅有讀的權限，同時可對存儲資源進行靈活配置；該管理員的權限包括資源管理、主機管理、網(wǎng)絡管理、系統(tǒng)管理及帳號管理五部分:
資源管理實現(xiàn)對存儲系統(tǒng)磁盤、存儲池、邏輯卷資源模塊管理；主機管理實現(xiàn)映射協(xié)議及由資源到映射Iun轉換管理，配置管理員角色賦予資源到指定用戶角色，具體的Iun映射和資源訪問控制是由用戶角色控制；網(wǎng)絡管理實現(xiàn)對存儲系統(tǒng)網(wǎng)絡設備及網(wǎng)絡連接管理；系統(tǒng)管理實現(xiàn)對存儲系統(tǒng)系統(tǒng)模塊管理；帳號管理包括可對所有用戶帳號信息獲取的列表獲取、只能對自身登錄帳號進行密碼修改的修改密碼功能。
[0019]所述審計員實現(xiàn)對帳號維護員新創(chuàng)建的帳號賦予權限，同時可對系統(tǒng)自身行為、操作行為、訪問行為等進行審計與跟蹤，識別系統(tǒng)狀態(tài)，以便風險評估，重新調整策略，保障系統(tǒng)安全；該審計員權限包括系統(tǒng)狀態(tài)、日志審計、帳號管理三部分內容，其中系統(tǒng)狀態(tài)可實現(xiàn)對存儲系統(tǒng)基本狀態(tài)信息查看；日志審計，系統(tǒng)會將所有角色操作日志記錄并由審計員進行日志審計，實現(xiàn)對系統(tǒng)自身行為、操作行為、訪問行為等進行審計與跟蹤，實現(xiàn)對問題定位和風險評估；帳號管理包括列表獲取、修改密碼、權限分配功能:列表獲取實現(xiàn)對所有用戶帳號信息獲??；修改密碼對自身登錄帳號進行密碼修改；權限分配對新創(chuàng)建的帳號進行角色分配，可分配為帳號維護員、審計員、管理員、用戶共四種角色。
[0020]所述用戶角色，實現(xiàn)對存儲系統(tǒng)數(shù)據(jù)網(wǎng)絡訪問權限控制，通過審計員對用戶角色權限指派，達到指定用戶可實現(xiàn)對指定資源訪問控制的目的，該用戶角色權限包括系統(tǒng)狀態(tài)、賬號管理、訪問控制三部分，其中系統(tǒng)狀態(tài)實現(xiàn)對存儲系統(tǒng)基本狀態(tài)信息查看；帳號管理包括實現(xiàn)對所有用戶帳號信息獲取的列表獲取、只能對自身登錄帳號進行密碼修改的修改密碼功能；訪問控制用于對被分配的資源使用控制，達到對客戶端訪問存儲設備指定資源控制的目的。
[0021]如附圖2、圖3所示，存儲系統(tǒng)出廠時，默認有且只有一個帳號維護員和一個審計員，出廠時無管理員及用戶帳號，客戶必須通過帳號維護員創(chuàng)建新的帳號，并通過審計員賦予新帳號權限，如果賦予新帳號的權限是管理員角色，則可通過新賦予的管理員角色帳號登錄存儲系統(tǒng)，并實現(xiàn)對存儲系統(tǒng)管理；如果賦予新帳號權限是用戶角色，則可登錄配置管理員帳號，并對新賦予的用戶角色帳號分配資源，實現(xiàn)指定用戶角色對存儲設備指定資源訪問的控制和分配。
[0022]存儲系統(tǒng)可添加多個帳號維護員或審計員，在刪除過程中必須保證系統(tǒng)中有一個帳號維護員和一個審計員存在，管理員和用戶角色可都刪除。
[0023]對于帳號維護員、審計員角色來說，相同角色的權限是一致的(即所有的帳號維護員權限是相同的)。
[0024]管理員可分為只讀管理員和配置管理員，只讀管理員對資源只有只讀權限，配置管理員可對資源進行配置管理維護。
[0025]每個用戶角色對資源的訪問控制范圍不同，具體范圍是由配置管理員分配。
[0026]帳號維護員可對所有帳號密碼重置、修改，其它角色登錄后只能對自身登錄的帳號密碼進行修改。
[0027]所有角色操作都會記錄到日志中，日志審計只能由審計員角色來管理，識別系統(tǒng)狀態(tài)，以便風險評估，重新調整安全策略，保障系統(tǒng)安全。
[0028]事件流程。
[0029]I)創(chuàng)建帳號。
[0030]a)登錄(帳號維護員)帳號，添加新帳號；
b)登錄(審計員)帳號，為新添加帳號賦予權限；
c)對新帳號權限判斷，如果是帳號維護員或審計員則進入i，如果是管理員則進入山如果是用戶則進入e;
d)分配管理員類型，為只讀或配置權限，進入i;
e)判斷是否為用戶分配資源，是則進入f，否則進入i;
f)判斷是否存在(配置管理員)帳號，是則進入h，否則進入g；
g)提示創(chuàng)建(配置管理員)帳號，進入i;
h)登錄(配置管理員)帳號，為該用戶分配可訪問資源，進入i;
i)結束。
[0031]2)刪除帳號。[0032]a)登錄(帳號維護員)帳號；
b)執(zhí)行帳號刪除操作；
c)判斷是否是最后一個(帳號維護員I審計員)帳號，是則進入山否則進入e；
d)提示最后一個(帳號維護員I審計員)帳號不能被刪除，進入h;
e)刪除配置中帳號信息，進入f;
f)判斷要被刪除帳號是否正在使用(即被登錄)，是則進入g，否則進入h;
g)強制登出被刪除帳號，進入h;
h)結束。
[0033]以上所述僅為本發(fā)明的實施例而已，凡在本發(fā)明的精神和原則之內，所作的任何修改、等同替換、改進等，均應包含在本發(fā)明的保護范圍之內。
【權利要求】
1.一種基于SAN存儲系統(tǒng)的多重權限分配方法，其特征在于其具體分配過程為:分配多重角色，即在系統(tǒng)管理任務中設立帳號維護員、審計員、管理員、用戶共四種角色并賦予相應權限及管理范圍，該四個角色間相互制約，根據(jù)特定安全原則實現(xiàn)對存儲系統(tǒng)權限分離，所述安全原則是指最小特權原則，上述分離的權限包括對存儲系統(tǒng)的管理權限及數(shù)據(jù)訪問權限兩部分，當攻擊者獲取某個或兩個管理角色的口令時不會得到對存儲系統(tǒng)的完全控制。
2.根據(jù)權利要求1所述的一種基于SAN存儲系統(tǒng)的多重權限分配方法，其特征在于:所述帳號維護員權限包括系統(tǒng)狀態(tài)、帳號管理兩部分內容:系統(tǒng)狀態(tài)，實現(xiàn)對存儲系統(tǒng)基本狀態(tài)信息查看；帳號管理實現(xiàn)對所有帳號管理和維護，包括列表獲取、添加帳號、刪除帳號、編輯帳號、重置密碼、修改密碼功能，其中列表獲取用于實現(xiàn)對所有用戶帳號信息獲??；添加帳號用于實現(xiàn)對用戶帳號添加；刪除帳號用于實現(xiàn)對所有帳號刪除；編輯帳號用于實現(xiàn)對所有帳號信息編輯；重置密碼用于實現(xiàn)對所有帳號密碼重置；修改密碼用于實現(xiàn)對所有帳號密碼修改。
3.根據(jù)權利要求2所述的一種基于SAN存儲系統(tǒng)的多重權限分配方法，其特征在于:所述管理員分為只讀管理員和配置管理員兩種，只讀管理員只有查閱存儲資源及配置情況；配置管理員不僅有讀的權限，同時可對存儲資源進行靈活配置；該管理員的權限包括資源管理、主機管理、網(wǎng)絡管理、系統(tǒng)管理及帳號管理五部分: 資源管理實現(xiàn)對存儲系統(tǒng)磁盤、存儲池、邏輯卷資源模塊管理；主機管理實現(xiàn)映射協(xié)議及由資源到映射Iun轉換管理，配置管理員角色賦予資源到指定用戶角色，具體的Iun映射和資源訪問控制是由用戶角色控制；網(wǎng)絡管理實現(xiàn)對存儲系統(tǒng)網(wǎng)絡設備及網(wǎng)絡連接管理；系統(tǒng)管理實現(xiàn)對存儲系統(tǒng)系統(tǒng)模塊管理；帳號管理包括可對所有用戶帳號信息獲取的列表獲取、只能對自身登錄帳號進行密碼修改的修改密碼功能。
4.根據(jù)權利要求3所述的一種基于SAN存儲系統(tǒng)的多重權限分配方法，其特征在于:所述審計員實現(xiàn)對帳號維護 員新創(chuàng)建的帳號賦予權限，同時可對系統(tǒng)自身行為、操作行為、訪問行為等進行審計與跟蹤，識別系統(tǒng)狀態(tài)，以便風險評估，重新調整策略，保障系統(tǒng)安全；該審計員權限包括系統(tǒng)狀態(tài)、日志審計、帳號管理三部分內容，其中系統(tǒng)狀態(tài)可實現(xiàn)對存儲系統(tǒng)基本狀態(tài)信息查看；日志審計，系統(tǒng)會將所有角色操作日志記錄并由審計員進行日志審計，實現(xiàn)對系統(tǒng)自身行為、操作行為、訪問行為等進行審計與跟蹤，實現(xiàn)對問題定位和風險評估；帳號管理包括列表獲取、修改密碼、權限分配功能:列表獲取實現(xiàn)對所有用戶帳號信息獲??；修改密碼對自身登錄帳號進行密碼修改；權限分配對新創(chuàng)建的帳號進行角色分配，可分配為帳號維護員、審計員、管理員、用戶共四種角色。
5.根據(jù)權利要求4所述的一種基于SAN存儲系統(tǒng)的多重權限分配方法，其特征在于:所述用戶角色，實現(xiàn)對存儲系統(tǒng)數(shù)據(jù)網(wǎng)絡訪問權限控制，通過審計員對用戶角色權限指派，達到指定用戶可實現(xiàn)對指定資源訪問控制的目的，該用戶角色權限包括系統(tǒng)狀態(tài)、賬號管理、訪問控制三部分，其中系統(tǒng)狀態(tài)實現(xiàn)對存儲系統(tǒng)基本狀態(tài)信息查看；帳號管理包括實現(xiàn)對所有用戶帳號信息獲取的列表獲取、只能對自身登錄帳號進行密碼修改的修改密碼功能；訪問控制用于對被分配的資源使用控制，達到對客戶端訪問存儲設備指定資源控制的目的。
6.根據(jù)權利要求5所述的一種基于SAN存儲系統(tǒng)的多重權限分配方法,其特征在于:所述管理員及用戶賬號為使用者創(chuàng)建或刪除的的，其創(chuàng)建過程為: a)登錄帳號維護員帳號，添加新帳號； b)登錄審計員帳號，為新添加帳號賦予權限； c)對新帳號權限判斷，如果是帳號維護員或審計員則進入i，如果是管理員則進入山如果是用戶則進入e; d)分配管理員類型，為只讀或配置權限，進入i; e)判斷是否為用戶分配資源，是則進入f，否則進入i; f)判斷是否存在配置管理員帳號，是則進入h，否則進入g； g)提示創(chuàng)建配置管理員帳號，進入i; h)登錄配置管理員帳號，為該用戶分配可訪問資源，進入i; i)結束； 其刪除過程為: a)登錄帳號維護員帳號； b)執(zhí)行帳號刪除操作； c)判斷是否是最后一個帳號維護員或審計員帳號，是則進入d，否則進入e； d)提示最后一個帳號維護員或審計員帳號不能被刪除，進入h; e)刪除配置中帳號信息，進入f; f)判斷要被刪除帳號是否正在使用，是則進入g，否則進入h； g)強制登出被刪除帳號，進入h; h)結束。
【文檔編號】G06F21/62GK103763369SQ201410023393
【公開日】2014年4月30日 申請日期:2014年1月20日 優(yōu)先權日:2014年1月20日
【發(fā)明者】袁鵬飛, 吳慶民, 何中辰 申請人:浪潮電子信息產(chǎn)業(yè)股份有限公司