專利名稱：一種三權(quán)分立的分級授權(quán)管理系統(tǒng)及方法
技術(shù)領(lǐng)域：
本發(fā)明公開了一種涉及對用戶、授權(quán)和審計進行分立、分級管理的系統(tǒng)及方法。
背景技術(shù)：
在一個大型的信息網(wǎng)絡(luò)中，用戶身份管理、用戶授權(quán)管理和審計管理是系統(tǒng)安全管理的三個重要的因素，其主要管理工作要由管理員完成。除了技術(shù)之外，還需要一個安全策略、安全管理機制和制度來提供安全保證。管理員的權(quán)力過大，容易造成對權(quán)力的誤用或濫用。此外，如果攻擊者攻破了某個管理角色，就會得到對系統(tǒng)的完全控制，系統(tǒng)的安全性將非常脆弱。

發(fā)明內(nèi)容
針對上述問題，本發(fā)明提供一種三權(quán)分立的分級授權(quán)管理系統(tǒng)及方法，該方法實現(xiàn)的系統(tǒng)采用分層管理的方法，通過用戶管理、授權(quán)管理、審計管理三權(quán)分立的策略，實現(xiàn)對訪問者靈活的身份認證、操作鑒權(quán)、安全審計。本發(fā)明具有以下特征:
1.用戶管理、授權(quán)管理與審計管理須由至少三個管理員完成。2.用戶管理員不能對用戶進行授權(quán)管理和審計管理，授權(quán)管理員不能對用戶、組、域等進行管理，不能對審計記錄進行管理，審計管理員不能對用戶、組、域等進行管理，不能進行授權(quán)管理。3.管理員之間可存在上下級關(guān)系，下級管理員的管理范圍和管理策略(包括管理員、時間、地址、傳遞性、對象屬性等)由上級管理員指定。4.管理員是經(jīng)鑒別的用戶。5.上級管理員為下級管理員授予的管理權(quán)限是上級管理員的管理權(quán)限的子集；一個管理員可以有多個上級，其管理權(quán)限是每個上級授予的管理權(quán)限的并集。6.授權(quán)管理可以采用基于角色、基于組、基于任務(wù)或其他任何一種授權(quán)方法。7.用戶、授權(quán)、審計信息的發(fā)布可以使用LDAP、關(guān)系數(shù)據(jù)庫、或帶有簽名的計算機文件。


圖1是本發(fā)明的一個實施例的用戶分層管理示意圖。圖2是本發(fā)明的一個實施例的授權(quán)分層管理示意圖。圖3是本發(fā)明的一個實施例的審計分層管理示意圖。圖4是本發(fā)明一種三權(quán)分立的分級授權(quán)管理系統(tǒng)的示意框圖。
具體實施方式
從組織機構(gòu)的人事管理來看，一個用戶可以在多個部門或者分支機構(gòu)任職，但其檔案關(guān)系只能存放在一個分支機構(gòu)的一個部門內(nèi)，用戶在該部門的任職被看作是專職，而在其他部門的任職看作是兼職。用戶的管理采用類似于現(xiàn)實生活中的人事管理辦法，各個分支機構(gòu)的用戶由本機構(gòu)的管理系統(tǒng)進行管理，上級(或平級)機構(gòu)可以借調(diào)下級機構(gòu)的用戶到本級機構(gòu)任兼職，也可以被下調(diào)到下級機構(gòu)任職。該用戶的檔案信息仍保存在原機構(gòu)的用戶信息數(shù)據(jù)庫，而其所用的用戶信息來自原機構(gòu)的用戶信息發(fā)布庫。用戶被借調(diào)到另一機構(gòu)后，所借調(diào)的機構(gòu)的用戶信息庫中會增加該用戶的信息，并且將此信息發(fā)布到借調(diào)機構(gòu)的用戶信息發(fā)布庫，以供授權(quán)系統(tǒng)和審計系統(tǒng)使用。在用戶的原單位的用戶信息數(shù)據(jù)庫中的信息被更新，并且信息發(fā)布庫中的信息也被更新后，系統(tǒng)可以自動更新借調(diào)機構(gòu)的相關(guān)數(shù)據(jù)。用戶管理員沒有管理用戶授權(quán)的權(quán)限，但當(dāng)用戶管理員鎖定或刪除一個用戶、工作組或用戶域時，他們的權(quán)限也將響應(yīng)的被鎖定(但不能刪除)。上級機構(gòu)的用戶管理員有權(quán)管理下級機構(gòu)的用戶信息，因此，上級機構(gòu)的用戶管理系統(tǒng)可以訪問下級機構(gòu)的用戶管理信息數(shù)據(jù)庫，并對其進行用戶管理操作。下級機構(gòu)的用戶管理員有權(quán)查看上級機構(gòu)的用戶信息，但不能查看詳細的信息，只能查看上級機構(gòu)用戶信息發(fā)布庫中的內(nèi)容。因此，下級機構(gòu)的用戶管理系統(tǒng)只能訪問上級機構(gòu)的用戶信息發(fā)布庫。從業(yè)務(wù)處理的層面來看，各級分支機構(gòu)的業(yè)務(wù)系統(tǒng)中的數(shù)據(jù)資源屬于本機構(gòu)管理和使用，這一約定俗成的權(quán)限實際上是來自上級機構(gòu)對下級的授權(quán)。上級機構(gòu)在授權(quán)給下級機構(gòu)時，一般側(cè)重于將一個權(quán)限資源集授權(quán)給該機構(gòu)單位，而對于下級機構(gòu)的用戶的授權(quán)管理則交給下級單位的授權(quán)者(權(quán)限管理員)負責(zé)完成。在上級機構(gòu)修改了下級機構(gòu)的權(quán)限資源集時，下級機構(gòu)的授權(quán)信息必須得到及時的更新，以保證下級機構(gòu)的用戶的權(quán)限沒有超越上級機構(gòu)的權(quán)限管制。上級機構(gòu)授予下級機構(gòu)的權(quán)限可以是權(quán)限資源集，也可以是建立這個權(quán)限資源集上的角色，如果是角色，下級機構(gòu)的管理不能再修改這些角色的任何信息。但可以創(chuàng)建新的角色，并將上級機構(gòu)創(chuàng)建的角色授予所新建的角色。權(quán)限管理員在進行授權(quán)管理時，只能使用單位的用戶信息發(fā)布庫中的用戶信息，也就是只能給本機構(gòu)的用戶管理員所管轄的范圍內(nèi)的用戶授權(quán)。權(quán)限管理員全面管理授權(quán)使用的角色。上級機構(gòu)可以直接對下級機構(gòu)的用戶進行授權(quán)，所授予的權(quán)限是管理員負責(zé)管理的權(quán)限資源集合中的內(nèi)容。上級機構(gòu)給下級機構(gòu)的授權(quán)通過資源集證書的形式下發(fā)，在下級機構(gòu)進行授權(quán)管理時，需要檢查下級機構(gòu)給用戶授權(quán)的內(nèi)容是否是在資源集證書內(nèi)，如果不在，則視同非法。同時要檢查資源集證書的合法性和有效性，并且要追溯到源頭(信任源)。各級機構(gòu)負責(zé)管理本機構(gòu)的審計日志信息，但上級機構(gòu)有權(quán)對下屬機構(gòu)的審計內(nèi)容進行查詢等分析。審計日志的分析僅由得到授權(quán)的管理執(zhí)行，其分析的結(jié)果可以根據(jù)實際情況確定是否需要發(fā)布公開的審計結(jié)果發(fā)布庫供用戶查閱。
通過示例的方式而非限制性的方式說明本發(fā)明。如圖1所示，是本專利提出的用戶分層管理方法的說明。在一個實例中，用戶可以按照組織結(jié)構(gòu)、所在地域、所屬職能等劃分層次，每個層次可以設(shè)置一名或多名用戶管理員進行管理。用戶管理員的主要任務(wù)是負責(zé)用戶信息、組信息、域信息等數(shù)據(jù)的管理和維護，負責(zé)用戶管理的分層及下屬層次的用戶管理員的設(shè)定。所述的用戶信息包括用戶姓名、年齡、職務(wù)、職稱、級別、聯(lián)系方式、登錄帳號、用戶標(biāo)識ID、登錄認證方式等內(nèi)容。所述的組信息包括組名、組標(biāo)識ID、組級別等內(nèi)容。所述的域信息包括組名、組標(biāo)識ID、組級別等內(nèi)容。在一個實例中，一個用戶管理員可以將自己有權(quán)管理的用戶委托給多個下級用戶管理員進行管理。同時，也可以有多個用戶管理員同時將自己所管理的用戶分配給同一個下級管理員進行管理。因此，上級管理員和下級管理員之間是一個多對多的映射關(guān)系。圖1使用UMx表示用戶管理員，Ux表示UMx管理的用戶范圍，用一表示用戶管理員之間的上下級關(guān)系，如UMa — UMb表示UMa是UMb的上級，則有Ua Π Ub古Φ。圖1中的UMtl和UM1之間存在分級關(guān)系UM0 — UM1，有Utl Π U1 = U1 ;而UM2和UM21之間存在分級關(guān)系，同時UM3和UM21之間也存在分級關(guān)系，即UM2 — UM21且UM3 — UM21,則有U21 = 21 U 31，U21 H U2 =
21 ^ 4* U21 Π U3 = 31古φ，其中21和31分別是用戶管理貝UM2和UM3分配給下級用戶管理員UM21的管理范圍。用戶的管理可以根據(jù)實際需求劃分多個層次，作為一個非限制性的實例，圖1中的用戶被劃分為四個層次，最高層是組織的全部用戶，由頂級管理員UMtl進行管理；第二層是由頂級管理員UM0設(shè)定的三個下屬單位，分別由UMp UM2' UM3進行管理；第三層是分別由二級管理員UM1' UM2' UM3設(shè)定的下屬單位，分別由UMU、UM12' UM21' UM32進行管理；第四層是由三級管理員UM21設(shè)定的下屬單位，分別由UM211和UM212進行管理。

在一個實例中，每個級別的用戶管理員負責(zé)本級的用戶信息的管理，必要的情況也可以直接自己指定的下一級的用戶信息的管理，這種分級關(guān)系中上級管理員雖然將自己管理范圍內(nèi)的一部分用戶授權(quán)給下級管理員管理，但卻繼續(xù)保留自己對所分出去的用戶的管理權(quán)。如從圖1的分層關(guān)系可以看出，圖1中的用戶管理員UM0、UM1' UM11之間存在分層關(guān)系=UMtl — UM1, UM1 — UM11,其所管理的用戶范圍存在以下關(guān)系=U11 U1 Utl，但管理員UM0同樣可以管理用戶集U1和U11中的用戶。在一個實例中，上級管理員也可以將自己管理范圍內(nèi)的用戶委托給下級用戶管理員進行管理，并且一經(jīng)委托后，上級管理員就失去了對這些用戶的管理權(quán)。在這種實例中，每個用戶管理員只能管理他本人當(dāng)前有效管理的范圍內(nèi)的用戶。如用戶管理員UM0、UM1之間存在分層關(guān)系=UMtl — UM10分層授權(quán)完成后，用戶管理員UM0有權(quán)管理的用戶集仍為U。，但不能再維護U1中的用戶信息，因此UM0有權(quán)維護的用戶信息實際變?yōu)閁0 - U10在這種實例中，如果用戶管理員UMtl取消對用戶管理員UM1的管理委托，則用戶集U1的維護管理權(quán)會再次歸UM0所有。上級用戶管理員在委托下一級用戶管理員進行用戶管理時，可以為下一級用戶管理員設(shè)置管理策略。管理策略包括但不限于以下內(nèi)容:
1)時間策略:限制下級管理員的管理權(quán)限生效的時間，可以是一個起止時間段等；
2)地址策略:限制下級管理員進行管理時所在的終端計算機或計算機網(wǎng)絡(luò)的地
址；3)傳遞策略:設(shè)置委托管理的權(quán)限傳遞方式，包括是否全部委托，是否允許下級管理員繼續(xù)向下一級的管理員進行委托，委托取消時是否同時取消下級管理員委托的下下級管理員的管理權(quán)限等；
4)擴展策略:可以根據(jù)用戶、組、域的屬性設(shè)置更加復(fù)雜的時間、地址及傳遞策略。如圖2所示，是本專利提出的授權(quán)分層管理方法的說明。授權(quán)過程中需要訪問用戶管理系統(tǒng)發(fā)布的用戶信息、組信息、及域信息，但授權(quán)管理員對這些數(shù)據(jù)僅有“讀”的權(quán)限，不能對用戶管理數(shù)據(jù)庫中的數(shù)據(jù)進行增加或修改。授權(quán)過程中還需要訪問權(quán)限管理信息，授權(quán)管理員具有對這些數(shù)據(jù)的完全控制權(quán)。所述的權(quán)限管理信息包括權(quán)限信息、角色信息、級別信息等內(nèi)容。所述的角色信息包括角色的名稱、屬主、標(biāo)識ID、級別、權(quán)限等信息。本專利提出的分層授權(quán)管理的方法不受已有的訪問控制策略的影響，如MAC、DAC、RBAC等。在一個實例中，授權(quán)管理員可以根據(jù)自己的需要，將自己管理的用戶、組、域及權(quán)限資源等委托給下一級授權(quán)管理員進行授權(quán)管理，根據(jù)需要下一級授權(quán)管理員也可以將其管理權(quán)限委托給下下級授權(quán)管理員進行管理。在一個實例中，一個授權(quán)管理員可以將自己有權(quán)管理的用戶、組、域和權(quán)限資源委托給多個下級授權(quán)管理員進行管理。同時，也可以有多個授權(quán)管理員同時將自己所管理的用戶、組、域和權(quán)限資源委托給同一個下級管理員進行管理。因此，上級管理員和下級管理員之間是一個多對多的映射關(guān)系。圖2所示的實例中，使用PMxR表權(quán)限管理員，使用一個二元組( χ，Px)表示權(quán)限管理員的管理范圍，使用表示權(quán)限管理員之間的分層關(guān)系，如PMa PMb 表示 PMa 是 PMb 的上級，則有 Cia η b 關(guān) φ, Pa n Pb ^ φ。授權(quán)管理可以根據(jù)實際需求劃分多個層次，作為一個非限制性的實例，圖2所示的實例的授權(quán)管理分為四層實現(xiàn)，最高層是PMtl，擁有對所有的用戶和權(quán)限資源的管理權(quán)( 0, Ptl),通過委托將(O1, P1X ( 2，Ρ2)、( 3，P3)分別授權(quán)給二級管理員PMpPMyPM3進行管理；通過第二次委托授權(quán)，PM1將( η，P11)、( 12，P12)分別授權(quán)給PMn、PM12進行管理，PM2和PM3分別將( 21，P21)、( 31，P31)授權(quán)給PM21進行管理；通過第三次委托授權(quán)，PM12分別將(O121, P121)、(O122, P122)分別`授權(quán)給 PM121、PM122 進行管理，PM21 將( 211，P211)、(O311, P311)授權(quán)給PM211進行管理。在一個分級授權(quán)的實例中，如果一個權(quán)限管理員有多個上級，則其管理范圍是每個上級委托給他的管理范圍的并集，每個實例必須堅持這一規(guī)則。如圖2所示的實例中，PM21有兩個上級授權(quán)管理員PM2和PM3,其權(quán)限范圍是PM2和PM3委托給他的管理范圍的并集(O21, P21) U (O31, P31)。該領(lǐng)域的技術(shù)人員將明白，(O21, P21) U (O31, P31)幸(O21 U O31,P21 U P31),這是因為二元組( χ，Px)同時表示了權(quán)限Px只能限定在1中的用戶使用，(O21,P21) U (O31, P31)只是( 21 U O31, P21 U P31)中的一個子集。如果管理員將自己的PM21需要將自己的管理權(quán)委托給下一級管理員進行管理，則需要將每個上級委托給自己的管理范圍進行委托處理。如圖2中的PM21，需要委托一個三級授權(quán)管理員進行授權(quán)，他需要將( 211，P211) U ( 311, P311)委托給PM211進行管理，而不能將( 211 U O311, P211 U P311)進行委托。在一個分級授權(quán)的實例中，授權(quán)管理員可以繼續(xù)保持對已委托給下級授權(quán)管理員的用戶和權(quán)限資源的管理權(quán)。如圖2所示的實例中，權(quán)限管理員PMp PM1, PM11之間存在分層關(guān)系:pmq PM1, PM1 PM11,其所管理的授權(quán)范圍存在以下關(guān)系:( η，P11) (O1, P1)(C^pci)JPiJn O1 Cjq^p11 P1 P。，但管理員PM。同樣可以管理用戶集( 1; P1)和( η，P11)指定的范圍。這樣的管理模式便于上級授權(quán)管理員實現(xiàn)集中的授權(quán)控制，避免失控的情況發(fā)生。又一個分級授權(quán)的實例，授權(quán)管理員可以將自己的授權(quán)范圍內(nèi)的用戶和權(quán)限資源委托給下級授權(quán)管理員進行授權(quán)管理，并且自己不再保留對已委托給下級的授權(quán)范圍的管理權(quán)。如圖2所示的實例中，如權(quán)限管理員PM。PM1之間存在分層關(guān)系=PM0 PM10分層授權(quán)完成后，用戶管理員PMtl有權(quán)管理的授權(quán)范圍仍為(仏，Ptl),但不能再對( , P0)的子集(O1, P1)進行授權(quán)管理，因此PMtl有權(quán)進行授權(quán)管理的授權(quán)范圍實際變?yōu)槔耍琍tl) - ( 1; P1)=( 0 — O17P0 — P1X在這種實例中，如果授權(quán)管理員PMtl取消對下級授權(quán)管理員PM1的管理委托，則用戶集( 1; P1)的維護管理權(quán)會再次歸PMtl所有。在一個分級授權(quán)的實例中，每個授權(quán)管理員都可以按照實際需求將自己的管理范圍委托給下一級授權(quán)管理員進行管理，為了控制授權(quán)管理的能力，可以設(shè)定分級授權(quán)策略:
1)時間策略:限制下級管理員的管理權(quán)限生效的時間，可以是一個起止時間段等；
2)地址策略:限制下級管理員進行管理時所在的終端計算機或計算機網(wǎng)絡(luò)的地
址；
3)傳遞策略:設(shè)置委托管理的權(quán)限傳遞方式，包括是否全部委托，是否允許下級管理員繼續(xù)向下一級的管理員進行委托，委托取消時是否同時取消下級管理員委托的下下級管理員的管理權(quán)限等，委托取消時是否同時取消下級管理員給用戶的授權(quán)等； 4)擴展策略:可以根據(jù)用戶、組、域的屬性設(shè)置更加復(fù)雜的時間、地址及傳遞策略。圖3所示是本專利提出的分級審計管理的說明。審計管理過程中需要訪問用戶管理系統(tǒng)發(fā)布的用戶信息、組信息、及域信息，但審計管理員對這些數(shù)據(jù)僅有“讀”的權(quán)限，不能對用戶管理數(shù)據(jù)庫中的數(shù)據(jù)進行增加或修改。審計管理過程中還需要訪問審計日志管理信息。所述的審計日志管理信息包括審計日志記錄、審計查詢、統(tǒng)計報表等記錄。審計管理員具有對審計查詢、統(tǒng)計報表等記錄數(shù)據(jù)的完全控制權(quán)。在一個實例中，審計管理員可以根據(jù)自己的需要，將自己管理的用戶、組、域及審計日志管理信息等委托給下一級審計管理員進行審計管理，根據(jù)需要下一級審計管理員也可以將其管理權(quán)限委托給下下級審計管理員進行管理。在一個實例中，一個審計管理員可以將自己有權(quán)管理的用戶、組、域和審計日志管理信息委托給多個下級審計管理員進行管理。同時，也可以有多個審計管理員同時將自己所管理的用戶、組、域和審計日志管理信息委托給同一個下級管理員進行管理。因此，上級管理員和下級管理員之間是一個多對多的映射關(guān)系。圖3所示的實例中，使用AMx代表權(quán)限管理員，使用一個二元組( χ，Ax)表示審計管理員的管理范圍，使用表示審計管理員之間的分層關(guān)系，如PMa PMb表示AMa是AMb的上級，則有Cla η b古Φ，Aa Π Ab關(guān)Φ。審計管理可以根據(jù)實際需求劃分多個層次，作為一個非限制性的實例，圖3所示的實例的審計管理分為四層實現(xiàn)，最高層是AMtl，擁有對所有的用戶和審計日志管理信息的管理權(quán)( 。，Atl)，通過委托將(Cl1，A1KiJ2, A2)、(O3，A3)分別授權(quán)給二級管理員AMpAMyAM3進行管理；通過第二次委托授權(quán)，AM1將( η，Αη)、( 12，Α12)分別授權(quán)給ΑΜη、ΑΜ12進行管理，AM2和AM3分別將( 21，A21)、( 31，A31)授權(quán)給AM2I進行管理；通過第三次委托授權(quán)，AM12分別將(O121，A121)、(O122, A122)分別授權(quán)給 AM121、AM122 進行管理，AM21 將( 211，A211)、(O311, A311)授權(quán)給AM211進行管理。在一個實例中，如果一個審計管理員有多個上級，則其管理范圍是每個上級委托給他的管理范圍的并集，每個實例必須堅持這一規(guī)則。如圖3所示的實例中，AM21有兩個上級審計管理員AM2和AM3,其管理范圍是AM2和AM3委托給他的管理范圍的并集( 21，A21) U (O31, A31) = (O21 U O31, A21 U A31)。在一個分級授權(quán)的實例中，審計管理員可以繼續(xù)保持對已委托給下級審計管理員的用戶和審計日志管理信息的管理權(quán)。如圖3所示的實例中，審計管理員AMc^AMpAM11之間存在分層關(guān)系=AMtl AM17AM1 AM11,其所管理的審計范圍存在以下關(guān)系:( η，A11) (O1,A1) ((!。，^，即^ O1 CJq^A11 A1 Α。，但管理員AM。同樣可以管理用戶集(C^A1)和( η，A11)指定的范圍。這樣的管理模式便于上級審計管理員實現(xiàn)集中的審計管理控制，避免失控的情況發(fā)生。又一個分級授權(quán)的實例，審計管理員可以將自己的授權(quán)范圍內(nèi)的用戶和審計日志管理信息委托給下級審計管理員進行審計管理，并且自己不再保留對已委托給下級的管理范圍的管理權(quán)。如圖2所示的實例中，如審計管理員AMpAM1之間存在分層關(guān)系=AMtl AM10分層授權(quán)完成后，用戶管理員AMtl有權(quán)管理的授權(quán)范圍仍為(仏，Atl),但不能再對(仏，A0)的子集(O1, A1)進行審計管理,因此AM。有權(quán)進行審計管理的授權(quán)范圍實際變?yōu)?O。, Atl)- ((J1,A1) = ((J0 — O1, A0 — A1)ο在這種實例中，如果審計管理員AMci取消對下級審計管理員AMi的管理委托，則用戶集(O1, A1)的維護管理權(quán)會再次歸AMtl所有。在一個實例中，每個審計管理員都可以按照實際需求將自己的管理范圍委托給下一級審計管理員進行管理，為了控制審計管理的能力，可以設(shè)定分級管理策略:
1)時間策略:限制下級管理員的管理權(quán)限生效的時間，可以是一個起止時間段等；
2)地址策略:限制下級管理員進行管理時所在的終端計算機或計算機網(wǎng)絡(luò)的地`址；
3)傳遞策略:設(shè)置委托管理的權(quán)限傳遞方式，包括是否全部委托，是否允許下級管理員繼續(xù)向下一級的管理員進行委托，委托取消時是否同時取消下級管理員委托的下下級管理員的管理權(quán)限等；
4)擴展策略:可以根據(jù)用戶、組、域的屬性設(shè)置更加復(fù)雜的時間、地址及傳遞策略。
如圖4所示，是本專利提出的三權(quán)分立的分級授權(quán)管理系統(tǒng)的框架圖。該領(lǐng)域的技術(shù)人員明白，圖4僅是一個大致的系統(tǒng)實現(xiàn)示意圖，實現(xiàn)三權(quán)分立的分級授權(quán)管理系統(tǒng)的實例可以包括這些模塊的組合與分拆，進而形成更加細致的模塊。圖4中的安全訪問控制系統(tǒng)可以實現(xiàn)對用戶的訪問控制和策略的決策與執(zhí)行，用戶的訪問請求可以被安全訪問控制系統(tǒng)執(zhí)行單元截獲，并將此請求發(fā)送給安全訪問控制系統(tǒng)決策單元進行決策。決策單元接收到用戶的訪問請求后，會根據(jù)請求的類型進行處理，若是登錄請求，則會查詢用戶信息發(fā)布系統(tǒng)的記錄，并根據(jù)管理員設(shè)定的認證方式對用戶進行身份認證，并根據(jù)認證結(jié)果決定是否允許用戶登錄系統(tǒng)。若是資源訪問請求，則要查詢權(quán)限信息發(fā)布系統(tǒng)的授權(quán)信息，判斷該用戶是否具有訪問目標(biāo)資源的權(quán)限，并根據(jù)判斷結(jié)果決定是否允許用戶訪問該目標(biāo)資源。不論是登錄請求，還是資源訪問請求，用戶的訪問情況均被記錄到審計日志數(shù)據(jù)庫。圖4中的安全管理系統(tǒng)，負責(zé)對管理員進行訪問控制，管理員成功登錄后，安全管理系統(tǒng)根據(jù)管理員的類別提供管理功能界面。若是用戶管理員，則提供對用戶信息、組信息、域信息等的維護管理界面。若是授權(quán)管理員，則提供授權(quán)管理界面。授權(quán)管理界面可以瀏覽、查看用戶信息、組信息、域信息，可以維護和管理權(quán)限資源信息、角色信息等。若是審計管理員，則提供審計報表維護管理功能。圖4中的用戶管理、授權(quán)管理和審計管理各有三級，該領(lǐng)域的技術(shù)人員明白，這只是一個實例的實現(xiàn)示意框圖，可以根據(jù)需求進行更多層次的設(shè)計。用戶管理、授權(quán)管理和審計管理均提供信息發(fā)布功能，將用戶信息、組信息、域信息等可以給其他系統(tǒng)使用的公開信息發(fā)布到用戶信息發(fā)布系統(tǒng)，將授權(quán)信息發(fā)布到權(quán)限發(fā)布系統(tǒng)，將可以共享的審計報表發(fā)布審計發(fā)布系統(tǒng)。發(fā)布系統(tǒng)可以是LDAP、關(guān)系數(shù)據(jù)庫或文件系統(tǒng)等。
權(quán)利要求
1.一種三權(quán)分立的分級授權(quán)管理系統(tǒng)及方法，該方法實現(xiàn)的系統(tǒng)采用分層管理的方法，通過用戶管理、授權(quán)管理、審計管理三權(quán)分立的策略，實現(xiàn)對訪問者靈活的身份認證、操作鑒權(quán)、安全審計。
2.根據(jù)權(quán)利要求1中所述的一種三權(quán)分立的分級授權(quán)管理系統(tǒng)及方法，其特征在于:用戶管理、授權(quán)管理與審計管理須由至少三個管理員完成。
3.根據(jù)權(quán)利要求1中所述的一種三權(quán)分立的分級授權(quán)管理系統(tǒng)及方法，其特征在于，用戶管理員不能對用戶進行授權(quán)管理和審計管理，授權(quán)管理員不能對用戶、組、域等進行管理，不能對審計記錄進行管理，審計管理員不能對用戶、組、域等進行管理，不能進行授權(quán)管理。
4.根據(jù)權(quán)利要求1中所述的一種三權(quán)分立的分級授權(quán)管理系統(tǒng)及方法，其特征在于:管理員之間可存在上下級關(guān)系，下級管理員的管理范圍和管理策略(包括管理員、時間、地址、傳遞性、對象屬性等)由上級管理員指定。
5.根據(jù)權(quán)利要求1中所述的一種三權(quán)分立的分級授權(quán)管理系統(tǒng)及方法，其特征在于:管理員是經(jīng)鑒別的用戶。
6.根據(jù)權(quán)利要求1中所述的一種三權(quán)分立的分級授權(quán)管理系統(tǒng)及方法，其特征在于:上級管理員為下級管理員授予的管理權(quán)限是上級管理員的管理權(quán)限的子集；一個管理員可以有多個上級，其管理權(quán)限是每個上級授予的管理權(quán)限的并集。
7.根據(jù)權(quán)利要求1中所述的一種三權(quán)分立的分級授權(quán)管理系統(tǒng)及方法，其特征在于，授權(quán)管理可以采用基于角色、基于組、基于任務(wù)或其他任何一種授權(quán)方法。
8.根據(jù)權(quán)利要求1中所述的一種三權(quán)分立的分級授權(quán)管理系統(tǒng)及方法，其特征在于:用戶、授權(quán)、審計信息信息的發(fā)布可以使用LDAP、關(guān)系數(shù)據(jù)庫、或帶有簽名的計算機文件。
全文摘要
本發(fā)明公開了一種對用戶、授權(quán)和審計進行分立、分級管理的系統(tǒng)及方法，該方法實現(xiàn)的系統(tǒng)采用分層管理的方法，通過用戶管理、授權(quán)管理和審計管理三權(quán)分立的策略，以及上級管理員指定下級管理員的管理范圍和管理策略(包括管理員、時間、地址、傳遞性、對象屬性等)的方式，實現(xiàn)對訪問者靈活的身份認證、操作鑒權(quán)、安全審計。本方法實現(xiàn)的系統(tǒng)具有控制靈活、安全性高等特點，解決系統(tǒng)管理員的權(quán)力過大，系統(tǒng)的安全性非常脆弱的問題。
文檔編號H04L12/24GK103107899SQ201110353990
公開日2013年5月15日 申請日期2011年11月10日 優(yōu)先權(quán)日2011年11月10日
發(fā)明者楊義先, 劉欣然, 袁中蘭, 張鴻, 李小標(biāo), 包秀國, 柴軍民, 夏光升, 徐倩華 申請人:天津市國瑞數(shù)碼安全系統(tǒng)有限公司, 國家計算機網(wǎng)絡(luò)與信息安全管理中心