本發(fā)明涉及信息技術(shù)中的存儲(chǔ)設(shè)備安全領(lǐng)域，具體涉及一種存儲(chǔ)系統(tǒng)的控制方法及存儲(chǔ)系統(tǒng)。
背景技術(shù)：
：信息時(shí)代數(shù)據(jù)是最核心資產(chǎn)，存儲(chǔ)作為數(shù)據(jù)的保存空間，是數(shù)據(jù)保護(hù)的最后一道防線。在過去十年中，存儲(chǔ)已經(jīng)演變?yōu)槎鄠€(gè)系統(tǒng)共享的一種資源。隨著存儲(chǔ)系統(tǒng)由本地直連向著網(wǎng)絡(luò)化和分布式的方向發(fā)展，并被網(wǎng)絡(luò)上的眾多計(jì)算機(jī)共享，使存儲(chǔ)系統(tǒng)變得更易受到攻擊，相對靜態(tài)的存儲(chǔ)系統(tǒng)往往成為攻擊者的首選目標(biāo)，達(dá)到竊取、篡改或破壞數(shù)據(jù)的目的。網(wǎng)絡(luò)安全、存儲(chǔ)安全、可信存儲(chǔ)等多種方案都用于保證存儲(chǔ)安全性。很多案例都表明，存儲(chǔ)管理漏洞造成的內(nèi)部泄露也是存儲(chǔ)安全的一大隱患。傳統(tǒng)存儲(chǔ)采用超級(jí)管理員和普通用戶兩級(jí)管理方式，超級(jí)管理員具有超級(jí)權(quán)限，權(quán)力沒有限制和監(jiān)督。超級(jí)管理員使用頻繁容易造成誤操作或者密碼泄露。另外，出于數(shù)據(jù)安全性考慮存儲(chǔ)系統(tǒng)數(shù)據(jù)應(yīng)該只有授權(quán)的業(yè)務(wù)用戶才有權(quán)限看到，作為管理員應(yīng)該只具有系統(tǒng)管理權(quán)限不應(yīng)該有數(shù)據(jù)訪問權(quán)限，超級(jí)管理員由于權(quán)限沒有限制，可以創(chuàng)建業(yè)務(wù)用戶并授權(quán)訪問間接達(dá)到訪問數(shù)據(jù)的目的。一旦出現(xiàn)這些問題都會(huì)造成不可估量的損失。技術(shù)實(shí)現(xiàn)要素：：本發(fā)明提供一種存儲(chǔ)系統(tǒng)的控制方法及存儲(chǔ)系統(tǒng)，以提高存儲(chǔ)系統(tǒng)的安全性。為解決上述技術(shù)問題，本發(fā)明提供一種存儲(chǔ)系統(tǒng)的控制方法，所述方法包括：當(dāng)用戶登錄時(shí)，判斷所述用戶所屬的賬戶類型；針對該用戶，使能所述賬戶類型對應(yīng)的權(quán)限包含的操作；其中，所述賬戶類型包括：系統(tǒng)管理員賬戶、業(yè)務(wù)管理員賬戶或者審計(jì)管理員賬戶；所述用戶唯一對應(yīng)一種賬戶類型；不同的賬戶類型對應(yīng)于不同的權(quán)限。優(yōu)選地，所述系統(tǒng)管理員賬戶對應(yīng)的權(quán)限包括以下權(quán)限中的一種或多種：存儲(chǔ)系統(tǒng)所需資源管理的權(quán)限、存儲(chǔ)系統(tǒng)資源初始化的權(quán)限、賬戶創(chuàng)建的權(quán)限；所述業(yè)務(wù)管理員賬戶對應(yīng)的權(quán)限包括以下權(quán)限中的一種或多種：存儲(chǔ)資源分配的權(quán)限、存儲(chǔ)安全策略配置的權(quán)限；所述審計(jì)管理員賬戶對應(yīng)的權(quán)限包括：監(jiān)督其它管理員賬戶操作的權(quán)限、批準(zhǔn)其它管理員賬戶操作的權(quán)限。優(yōu)選地，所述存儲(chǔ)系統(tǒng)所需資源的管理權(quán)限包括以下項(xiàng)目中的一種或多種：存儲(chǔ)系統(tǒng)運(yùn)行許可證管理、存儲(chǔ)集群劃分管理、存儲(chǔ)硬件資源管理、業(yè)務(wù)訪問用戶管理、管理員資源管理；所述存儲(chǔ)系統(tǒng)資源初始化的權(quán)限包括以下項(xiàng)目中的一種或多種：系統(tǒng)上電、集群管理、許可證導(dǎo)入、網(wǎng)絡(luò)配置、存儲(chǔ)資源創(chuàng)建、業(yè)務(wù)用戶添加；所述賬戶創(chuàng)建的權(quán)限包括創(chuàng)建管理員賬戶并為該管理員賬戶分配權(quán)限。優(yōu)選地，所述存儲(chǔ)資源分配的權(quán)限包括劃分存儲(chǔ)資源；所述存儲(chǔ)安全策略配置的權(quán)限包括以下項(xiàng)目中的一種或多種：配置用戶訪問權(quán)限、設(shè)置用戶身份驗(yàn)證規(guī)則。優(yōu)選地，所述監(jiān)督其它管理員賬戶操作的權(quán)限包括以下項(xiàng)目中的一種或多種：對系統(tǒng)管理員賬戶、業(yè)務(wù)管理員賬戶的操作進(jìn)行審計(jì)、查看操作日志、查看用戶運(yùn)行日志、刪除操作日志、刪除用戶運(yùn)行日志；所述批準(zhǔn)其它管理員賬戶操作的權(quán)限包括對所述系統(tǒng)管理員賬戶創(chuàng)建的新管理員賬戶進(jìn)行審核。本發(fā)明還提供一種存儲(chǔ)系統(tǒng)，所述存儲(chǔ)系統(tǒng)包括：匹配模塊，用于當(dāng)用戶登錄時(shí)，判斷所述用戶所屬的賬戶類型；處理模塊，用于針對該用戶，使能所述賬戶類型對應(yīng)的權(quán)限包含的操作；其中，所述賬戶類型包括：系統(tǒng)管理員賬戶、業(yè)務(wù)管理員賬戶或者審計(jì)管理員賬戶；所述用戶唯一對應(yīng)一種賬戶類型；不同的賬戶類型對應(yīng)于不同的權(quán)限。優(yōu)選地，所述系統(tǒng)管理員賬戶對應(yīng)的權(quán)限包括以下權(quán)限中的一種或多種：存儲(chǔ)系統(tǒng)所需資源管理的權(quán)限、存儲(chǔ)系統(tǒng)資源初始化的權(quán)限、賬戶創(chuàng)建的權(quán)限；所述業(yè)務(wù)管理員賬戶對應(yīng)的權(quán)限包括以下權(quán)限中的一種或多種：存儲(chǔ)資源分配的權(quán)限、存儲(chǔ)安全策略配置的權(quán)限；所述審計(jì)管理員賬戶對應(yīng)的權(quán)限包括：監(jiān)督其它管理員賬戶操作的權(quán)限、批準(zhǔn)其它管理員賬戶操作的權(quán)限。優(yōu)選地，所述存儲(chǔ)系統(tǒng)所需資源的管理權(quán)限包括以下項(xiàng)目中的一種或多種：存儲(chǔ)系統(tǒng)運(yùn)行許可證管理、存儲(chǔ)集群劃分管理、存儲(chǔ)硬件資源管理、業(yè)務(wù)訪問用戶管理、管理員資源管理；所述存儲(chǔ)系統(tǒng)資源初始化的權(quán)限包括以下項(xiàng)目中的一種或多種：系統(tǒng)上電、集群管理、許可證導(dǎo)入、網(wǎng)絡(luò)配置、存儲(chǔ)資源創(chuàng)建、業(yè)務(wù)用戶添加；所述賬戶創(chuàng)建的權(quán)限包括創(chuàng)建管理員賬戶并為該管理員賬戶分配權(quán)限。優(yōu)選地，所述存儲(chǔ)資源分配的權(quán)限包括劃分存儲(chǔ)資源；所述存儲(chǔ)安全策略配置的權(quán)限包括以下項(xiàng)目中的一種或多種：配置用戶訪問權(quán)限、設(shè)置用戶身份驗(yàn)證規(guī)則。優(yōu)選地，所述監(jiān)督其它管理員賬戶操作的權(quán)限包括以下項(xiàng)目中的一種或多種：對系統(tǒng)管理員賬戶、業(yè)務(wù)管理員賬戶的操作進(jìn)行審計(jì)、查看操作日志、查看用戶運(yùn)行日志、刪除操作日志、刪除用戶運(yùn)行日志；所述批準(zhǔn)其它管理員賬戶操作的權(quán)限包括對所述系統(tǒng)管理員賬戶創(chuàng)建的新管理員賬戶進(jìn)行審核。上述方案通過設(shè)定不同的權(quán)限，有效的保證的資源的合理分配和安全管理。附圖說明圖1為實(shí)施例一中的存儲(chǔ)系統(tǒng)的控制方法的流程圖；圖2是實(shí)施例一中的賬戶管理示意圖。圖3是實(shí)施例一中的存儲(chǔ)系統(tǒng)配置流程示意圖；圖4是實(shí)施例一中的業(yè)務(wù)管理員安全策略配置示意圖；圖5為實(shí)施例一中的存儲(chǔ)系統(tǒng)的結(jié)構(gòu)示意圖。具體實(shí)施方式為使本申請的目的、技術(shù)方案和優(yōu)點(diǎn)更加清楚明白，下文中將結(jié)合附圖對本申請的實(shí)施例進(jìn)行詳細(xì)說明。需要說明的是，在不沖突的情況下，本申請中的實(shí)施例及實(shí)施例中的特征可以相互任意組合。實(shí)施例一、一種基于三權(quán)分立的存儲(chǔ)安全管理方法本發(fā)明實(shí)施例的一種基于三權(quán)分立的存儲(chǔ)安全管理方法，將存儲(chǔ)系統(tǒng)管理員權(quán)力劃分成三種不同屬性，實(shí)現(xiàn)存儲(chǔ)資源擁有者、存儲(chǔ)資源分配者、存儲(chǔ)管理監(jiān)督者三權(quán)分立。三類管理員權(quán)限獨(dú)立行使、互相制衡，保證存儲(chǔ)資源的有效、安全管理。實(shí)施例一如圖1所示，本發(fā)明提供一種存儲(chǔ)系統(tǒng)的控制方法，所述方法包括：步驟S11：當(dāng)用戶登錄時(shí)，判斷所述用戶所屬的賬戶類型；賬戶類型包括：系統(tǒng)管理員賬戶、業(yè)務(wù)管理員賬戶或者審計(jì)管理員賬戶。在本發(fā)明中，系統(tǒng)管理員賬戶為存儲(chǔ)資源擁有者，業(yè)務(wù)管理員賬戶為存儲(chǔ)資源分配者，審計(jì)管理員賬戶為存儲(chǔ)資源監(jiān)督者。用戶唯一對應(yīng)一種賬戶類型；不同的賬戶類型對應(yīng)于不同的權(quán)限。也就是說，對于某一個(gè)用戶，可以是系統(tǒng)管理員賬戶，或者可以是業(yè)務(wù)管理員賬戶，或者是審計(jì)管理員賬戶，當(dāng)然還可以是除系統(tǒng)管理員賬戶、業(yè)務(wù)管理員賬戶以及審計(jì)管理員賬戶以外的普通賬戶。步驟S12：針對該用戶，使能所述賬戶類型對應(yīng)的權(quán)限包含的操作。使能操作的情況包括將操作可見或者允許操作，例如，菜單中有些項(xiàng)目是灰色的，就是沒有使能的操作，使能的操作是可以選擇的、點(diǎn)擊的。未使能的操作時(shí)無法點(diǎn)擊/選擇的，或者點(diǎn)擊/選擇后不允許進(jìn)行。用戶可以包括系統(tǒng)管理員賬戶、審計(jì)管理員賬戶以及業(yè)務(wù)管理員賬戶；系統(tǒng)管理員賬戶的權(quán)限為存儲(chǔ)資源配置/管理員賬戶創(chuàng)建的權(quán)限，審計(jì)管理員賬戶的權(quán)限為監(jiān)督/批準(zhǔn)其它管理員賬戶操作的權(quán)限，業(yè)務(wù)管理員賬戶的權(quán)限為存儲(chǔ)資源分配/用戶訪問權(quán)限分配的權(quán)限。在本實(shí)施例中，管理員賬戶只能選擇它具有權(quán)限的操作，沒有權(quán)限的操作不可見；也可以管理員看到所有管理資源，而操作時(shí)根據(jù)身份權(quán)限匹配。具體的，可以通過兩種方法實(shí)現(xiàn)：方法一、管理員賬戶只能選擇它具有權(quán)限的操作，沒有權(quán)限的操作對其不可見；或者，方法二、管理員賬戶可以看到所有管理資源，操作時(shí)根據(jù)管理員身份判斷是否有權(quán)限操作。在本發(fā)明中，系統(tǒng)管理員賬戶對應(yīng)的權(quán)限包括以下權(quán)限中的一種或多種：存儲(chǔ)系統(tǒng)所需資源管理的權(quán)限、存儲(chǔ)系統(tǒng)資源初始化的權(quán)限以及賬戶創(chuàng)建的權(quán)限；業(yè)務(wù)管理員賬戶對應(yīng)的權(quán)限包括以下權(quán)限中的一種或多種：存儲(chǔ)資源分配的權(quán)限以及存儲(chǔ)安全策略配置的權(quán)限；審計(jì)管理員賬戶對應(yīng)的權(quán)限包括：監(jiān)督其它管理員賬戶操作的權(quán)限以及批準(zhǔn)其它管理員賬戶操作的權(quán)限。具體的，存儲(chǔ)系統(tǒng)所需資源的管理權(quán)限包括以下項(xiàng)目中的一種或多種：存儲(chǔ)系統(tǒng)運(yùn)行許可證管理、存儲(chǔ)集群劃分管理、存儲(chǔ)硬件資源管理、業(yè)務(wù)訪問用戶管理以及管理員資源管理；存儲(chǔ)系統(tǒng)資源初始化的權(quán)限包括以下項(xiàng)目中的一種或多種：系統(tǒng)上電、集群管理、許可證導(dǎo)入、網(wǎng)絡(luò)配置、存儲(chǔ)資源創(chuàng)建以及業(yè)務(wù)用戶添加；賬戶創(chuàng)建的權(quán)限包括創(chuàng)建管理員賬戶并未該管理員賬戶分配權(quán)限。存儲(chǔ)資源分配的權(quán)限包括劃分存儲(chǔ)資源；存儲(chǔ)安全策略配置的權(quán)限包括以下項(xiàng)目中的一種或多種：配置用戶訪問權(quán)限以及設(shè)置用戶身份驗(yàn)證規(guī)則。監(jiān)督其它管理員賬戶操作的權(quán)限包括以下項(xiàng)目中的一種或多種：對系統(tǒng)管理員賬戶以及業(yè)務(wù)管理員賬戶的操作進(jìn)行審計(jì)、查看操作日志/用戶運(yùn)行日志以及刪除操作日志/用戶運(yùn)行日志；批準(zhǔn)其它管理員賬戶操作的權(quán)限包括對所述系統(tǒng)管理員賬戶創(chuàng)建的新管理員賬戶進(jìn)行審核。如圖2-4所示，下面對于本實(shí)施例中的存儲(chǔ)系統(tǒng)的控制方法做進(jìn)一步的說明。本實(shí)施例中，存儲(chǔ)系統(tǒng)默認(rèn)配置有的一個(gè)系統(tǒng)管理員賬戶、一個(gè)審計(jì)管理員賬戶以及一個(gè)業(yè)務(wù)管理員賬戶。具體的，系統(tǒng)管理員賬戶是資源擁有者，可以創(chuàng)建管理員賬戶并對賬戶分配權(quán)限，但是賬戶權(quán)限生效需要審計(jì)管理員賬戶批準(zhǔn)。系統(tǒng)管理員第一次創(chuàng)建賬戶可以指定一個(gè)密碼，但是除了自己的密碼，系統(tǒng)管理員無權(quán)修改已經(jīng)生效的其他管理員密碼，系統(tǒng)管理員一般由管理職能的人員擔(dān)任。審計(jì)管理員賬戶負(fù)責(zé)審批系統(tǒng)管理員分配的管理員權(quán)限，審計(jì)管理員賬戶審批生效后，管理員賬戶才能生效。審計(jì)人員一般由安全人員擔(dān)任。業(yè)務(wù)管理員賬戶可以是系統(tǒng)默認(rèn)管理員，也可以是由系統(tǒng)管理員賬戶創(chuàng)建、審計(jì)管理員批準(zhǔn)生成。業(yè)務(wù)管理員負(fù)責(zé)存儲(chǔ)系統(tǒng)的安全策略配置，一般由業(yè)務(wù)人員擔(dān)任。同時(shí)，系統(tǒng)管理員賬戶、審計(jì)管理員賬戶以及業(yè)務(wù)管理員賬戶登陸存儲(chǔ)系統(tǒng)必須通過系統(tǒng)身份認(rèn)證，只有通過身份驗(yàn)證的管理員才能登陸成功。系統(tǒng)管理員賬戶、審計(jì)管理員賬戶以及業(yè)務(wù)管理員賬戶登陸存儲(chǔ)管理系統(tǒng)后獲取的管理權(quán)限是不一樣的。具體的，系統(tǒng)管理員賬戶是存儲(chǔ)系統(tǒng)的資源擁有者，存儲(chǔ)系統(tǒng)運(yùn)行所需獲取的資源都由系統(tǒng)管理員管理；如：存儲(chǔ)系統(tǒng)運(yùn)行許可證、存儲(chǔ)集群劃分、存儲(chǔ)硬件資源、業(yè)務(wù)訪問用戶、管理員資源等都由系統(tǒng)管理員賬戶提供。此外，系統(tǒng)管理管理員賬戶負(fù)責(zé)存儲(chǔ)資源初始化，如系統(tǒng)上電、集群管理、license導(dǎo)入、網(wǎng)絡(luò)配置、存儲(chǔ)資源創(chuàng)建、業(yè)務(wù)用戶添加等。業(yè)務(wù)管理員賬戶是存儲(chǔ)資源分配者，負(fù)責(zé)系統(tǒng)安全策略管理。業(yè)務(wù)管理員可以劃分存儲(chǔ)資源、配置用戶訪問權(quán)限、設(shè)置用戶身份驗(yàn)證方法等。如卷配置、lun配置、業(yè)務(wù)訪問配置、用戶密碼配置、增值業(yè)務(wù)配置等。用戶的訪問控制規(guī)則設(shè)置可精確細(xì)化到用戶的訪問時(shí)間、訪問時(shí)所使用的IP地址等，也可以設(shè)置用戶的讀、寫、控制權(quán)限，整個(gè)訪問控制策略的更改對最終用戶完全透明，最終用戶端無需任何改變。審計(jì)管理員賬戶是存儲(chǔ)管理監(jiān)督者，負(fù)責(zé)對系統(tǒng)管理員、業(yè)務(wù)管理員的操作日志進(jìn)行審核，還可以審核業(yè)務(wù)用戶訪問的用戶日志。雖然審計(jì)管理員對存儲(chǔ)系統(tǒng)沒有配置權(quán)限，但是只有審計(jì)管理員才具有刪除系統(tǒng)操作日志和用戶日志的權(quán)限。同時(shí)，系統(tǒng)管理員賬戶和業(yè)務(wù)管理員賬戶的操作均生成操作日志，審計(jì)管理員賬戶負(fù)責(zé)審計(jì)操作日志，審計(jì)管理員賬戶有權(quán)限刪除操作日志，系統(tǒng)管理員賬戶和業(yè)務(wù)管理員賬戶只能查看操作日志，不能刪除操作日志。除此之外，審計(jì)管理員賬戶還可以查看、刪除系統(tǒng)運(yùn)行日志和用戶日志，而系統(tǒng)管理員賬戶和業(yè)務(wù)管理員賬戶只能查看系統(tǒng)運(yùn)行日志和用戶日志,管理員權(quán)限分配表如表1所示。項(xiàng)目系統(tǒng)管理員業(yè)務(wù)管理員審計(jì)管理員賬號(hào)創(chuàng)建、配置屬性無權(quán)限批準(zhǔn)系統(tǒng)配置配置權(quán)限無權(quán)限無權(quán)限業(yè)務(wù)配置無權(quán)限配置權(quán)限無權(quán)限操作日志查看權(quán)限查看權(quán)限操作、審計(jì)系統(tǒng)運(yùn)行日志查看權(quán)限查看權(quán)限操作、審計(jì)用戶日志查看權(quán)限查看權(quán)限操作、審計(jì)表1業(yè)務(wù)管理員賬戶權(quán)限管理對于業(yè)務(wù)管理員賬戶較少或者對外存儲(chǔ)資源對業(yè)務(wù)管理員賬戶沒有特殊要求情況下，可以采用默認(rèn)多對多的情況，即所有業(yè)務(wù)管理員賬戶沒有區(qū)別，業(yè)務(wù)管理員賬戶可以對所有的存儲(chǔ)資源進(jìn)行權(quán)限管理和安全策略配置。可選的，為了實(shí)現(xiàn)業(yè)務(wù)管理員賬戶權(quán)限最小化，本實(shí)施例中可以將一個(gè)業(yè)務(wù)管理員賬戶和存儲(chǔ)對外資源的存儲(chǔ)策略配置映射關(guān)系，可以根據(jù)需要分別配置為一對一或者一對多的方式。如圖4所示：具體的，只有創(chuàng)建對外存儲(chǔ)資源的業(yè)務(wù)管理員賬戶才能創(chuàng)建和修改業(yè)務(wù)管理員賬戶與存儲(chǔ)資源的映射關(guān)系。業(yè)務(wù)管理員賬戶登陸時(shí)系統(tǒng)根據(jù)存儲(chǔ)策略映射關(guān)系模塊判斷業(yè)務(wù)管理員賬戶對存儲(chǔ)資源的管理權(quán)限，業(yè)務(wù)管理員賬戶只能管理、配置、修改存儲(chǔ)策略映射關(guān)系模塊中對應(yīng)的對外存儲(chǔ)資源，不能查看映射模塊之外的其他業(yè)務(wù)管理員設(shè)置的安全策略和業(yè)務(wù)用戶權(quán)限，更不能修改沒有授權(quán)的存儲(chǔ)資源的安全策略。例如可以按照以下方式進(jìn)行處理：步驟一：業(yè)務(wù)管理員登陸管理界面配置存儲(chǔ)安全策略前必須經(jīng)過身份認(rèn)證，身份認(rèn)證通過的業(yè)務(wù)管理員才能正常登陸。步驟二：業(yè)務(wù)管理員登陸后，只能對資源映射關(guān)系模塊中相對應(yīng)的資源進(jìn)行安全策略修改或者重新配置新的對外存儲(chǔ)資源和安全策略。步驟三：業(yè)務(wù)管理員配置新的對外存儲(chǔ)資源和安全策略，如生成卷、lun時(shí)，資源映射關(guān)系模塊記錄業(yè)務(wù)管理員與存儲(chǔ)資源的映射關(guān)系。步驟四：映射關(guān)系模塊記錄業(yè)務(wù)管理員與對外存儲(chǔ)資源的映射關(guān)系、安全策略。也可以按照以下方式處理：步驟五：業(yè)務(wù)管理員登陸管理界面配置存儲(chǔ)安全策略前必須經(jīng)過身份認(rèn)證，身份認(rèn)證通過的業(yè)務(wù)管理員才能正常登陸。步驟六：業(yè)務(wù)管理員登陸后，只能對資源映射關(guān)系模塊中相對應(yīng)的資源進(jìn)行安全策略修改或者重新配置新的對外存儲(chǔ)資源和安全策略。步驟七：業(yè)務(wù)管理員配置新的對外存儲(chǔ)資源和安全策略，如生成卷、lun時(shí)，資源映射關(guān)系模塊記錄業(yè)務(wù)管理員與存儲(chǔ)資源的映射關(guān)系。步驟八：業(yè)務(wù)管理員配置存儲(chǔ)資源管理員權(quán)限，允許其他業(yè)務(wù)管理員管理自己配置的存儲(chǔ)資源，資源映射模塊更新業(yè)務(wù)管理員與存儲(chǔ)資源映射關(guān)系。步驟九：其他業(yè)務(wù)管理員賬戶登錄，處理方式與步驟六一致。此外，當(dāng)業(yè)務(wù)管理員賬戶安全策略配置采用默認(rèn)多對多的情況，即所有業(yè)務(wù)管理員賬戶沒有區(qū)別，業(yè)務(wù)管理員賬戶可以對所有的存儲(chǔ)資源進(jìn)行權(quán)限管理和安全策略配置。這樣可以按照以下方式處理：步驟A：業(yè)務(wù)管理員登陸管理界面配置存儲(chǔ)安全策略前必須經(jīng)過身份認(rèn)證，身份認(rèn)證通過的業(yè)務(wù)管理員才能正常登陸。步驟B：業(yè)務(wù)管理員登陸后，對資源進(jìn)行安全策略修改或者重新配置新的對外存儲(chǔ)資源和安全策略，也可以創(chuàng)建新的對外存儲(chǔ)資源和安全策略。實(shí)施例二如圖5所示，本發(fā)明還提供一種存儲(chǔ)系統(tǒng)，所述存儲(chǔ)系統(tǒng)包括：配置模塊11，用于為所述存儲(chǔ)系統(tǒng)配置具有不同權(quán)限的管理員賬戶；所述不同權(quán)限包括：存儲(chǔ)資源配置/管理員賬戶創(chuàng)建的權(quán)限、存儲(chǔ)資源分配/用戶訪問權(quán)限分配的權(quán)限以及監(jiān)督/批準(zhǔn)其它管理員賬戶操作的權(quán)限；監(jiān)測模塊12，用于監(jiān)測所述管理員賬戶的操作，當(dāng)監(jiān)測到所述管理員賬戶的操作時(shí)，根據(jù)所述管理員賬戶對應(yīng)的權(quán)限等級(jí)判斷是否進(jìn)行所述操作。優(yōu)選地，所述具有不同權(quán)限的管理員賬戶包括系統(tǒng)管理員賬戶、審計(jì)管理員賬戶以及業(yè)務(wù)管理員賬戶；其中，所述系統(tǒng)管理員賬戶的權(quán)限為存儲(chǔ)資源配置/管理員賬戶創(chuàng)建的權(quán)限，所述審計(jì)管理員賬戶的權(quán)限為監(jiān)督/批準(zhǔn)其它管理員賬戶操作的權(quán)限，所述業(yè)務(wù)管理員賬戶的權(quán)限為存儲(chǔ)資源分配/用戶訪問權(quán)限分配的權(quán)限。優(yōu)選地，所述存儲(chǔ)資源配置/管理員賬戶創(chuàng)建的權(quán)限包括以下一項(xiàng)或幾項(xiàng)：創(chuàng)建新管理員賬號(hào)并分配該賬號(hào)權(quán)限、存儲(chǔ)系統(tǒng)初始化配置、存儲(chǔ)系統(tǒng)資源部署以及存儲(chǔ)服務(wù)生效。優(yōu)選地，所述監(jiān)督/批準(zhǔn)其它管理員賬戶操作的權(quán)限包括以下一項(xiàng)或幾項(xiàng)：對系統(tǒng)管理員賬戶以及業(yè)務(wù)管理員賬戶的操作進(jìn)行審計(jì)、查看/刪除操作日志以及用戶運(yùn)行日志以及對所述系統(tǒng)管理員賬戶創(chuàng)建的新管理員賬戶進(jìn)行審核。優(yōu)選地，所述對存儲(chǔ)資源分配/用戶訪問權(quán)限分配的權(quán)限包括以下一項(xiàng)或幾項(xiàng)：存儲(chǔ)資源分配的權(quán)限、存儲(chǔ)安全策略配置的權(quán)限以及用戶訪問權(quán)限分配的。通過采用管理員權(quán)限三權(quán)分立制度，避免了傳統(tǒng)超級(jí)管理員一權(quán)獨(dú)大的局面。將存儲(chǔ)系統(tǒng)管理員權(quán)力劃分成三種不同屬性，實(shí)現(xiàn)存儲(chǔ)資源擁有者、存儲(chǔ)資源分配者、存儲(chǔ)管理監(jiān)督者三權(quán)分立。三類管理員權(quán)限獨(dú)立行使、互相制衡，保證存儲(chǔ)資源的有效、安全管理。通過業(yè)務(wù)管理員和存儲(chǔ)對外資源的存儲(chǔ)策略映射關(guān)系模塊，根據(jù)需要將存儲(chǔ)資源與存儲(chǔ)資源分配者配置為一對一、一對多、多對對的映射方式?？梢詽M足存儲(chǔ)資源不同安全級(jí)別、不同區(qū)域劃分方式的需求，更加細(xì)粒度的實(shí)現(xiàn)業(yè)務(wù)管理員權(quán)限最小化。避免了同屬性管理員的僭越配置，保證存儲(chǔ)安全。以上所述僅為本發(fā)明的優(yōu)選實(shí)施例而已，并不用于限制本發(fā)明，對于本領(lǐng)域的技術(shù)人員來說，本發(fā)明可以有各種更改和變化。凡在本發(fā)明的精神和原則之內(nèi)，所作的任何修改、等同替換、改進(jìn)等，均應(yīng)包含在本發(fā)明的保護(hù)范圍之內(nèi)。本領(lǐng)域普通技術(shù)人員可以理解上述方法中的全部或部分步驟可通過程序來指令相關(guān)硬件完成，所述程序可以存儲(chǔ)于計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)中，如只讀存儲(chǔ)器、磁盤或光盤等?？蛇x地，上述實(shí)施例的全部或部分步驟也可以使用一個(gè)或多個(gè)集成電路來實(shí)現(xiàn)，相應(yīng)地，上述實(shí)施例中的各模塊/模塊可以采用硬件的形式實(shí)現(xiàn)，也可以采用軟件功能模塊的形式實(shí)現(xiàn)。本申請不限制于任何特定形式的硬件和軟件的結(jié)合。當(dāng)前第1頁1 2 3