劉濤

摘要：授權(quán)管理體系已成為企業(yè)信息化應(yīng)用系統(tǒng)中非常重要的組成部分，該文提出一種基于角色控制模型（RBAC）的企業(yè)信息化應(yīng)用系統(tǒng)授權(quán)策略模型，通過對授權(quán)單元中字段控制及角色的分配實(shí)現(xiàn)企業(yè)信息化應(yīng)用系統(tǒng)的授權(quán)管理。

關(guān)鍵詞：企業(yè)信息化應(yīng)用系統(tǒng)；授權(quán)管理體系；授權(quán)策略；授權(quán)單元

中圖分類號：TP311 文獻(xiàn)標(biāo)識碼：A 文章編號：1009-3044（2015）03-0006-02

1 概述

近年來，隨著計(jì)算機(jī)技術(shù)的迅猛發(fā)展，特別是云計(jì)算、大數(shù)據(jù)等技術(shù)的大力發(fā)展下，各種信息化應(yīng)用系統(tǒng)已在各大企業(yè)廣泛應(yīng)用，而作為一個(gè)完整的企業(yè)信息化應(yīng)用系統(tǒng)，安全、合理、規(guī)范的授權(quán)管理機(jī)制是不可缺少的，尤其在當(dāng)今信息安全在備受關(guān)注的背景下，更有必要做好企業(yè)信息化應(yīng)用系統(tǒng)的授權(quán)管理。

2 企業(yè)信息化應(yīng)用系統(tǒng)授權(quán)管理體系研究的必要性

2.1企業(yè)信息化應(yīng)用系統(tǒng)授權(quán)管理的定義

授權(quán)是指企業(yè)中的領(lǐng)導(dǎo)根據(jù)公司崗位的職責(zé)定義，將具體的崗位職責(zé)授權(quán)給具體下屬負(fù)擔(dān)，責(zé)令其負(fù)責(zé)所擔(dān)任崗位的管理性或事務(wù)性的工作。企業(yè)信息化應(yīng)用系統(tǒng)用戶授權(quán)管理就是根據(jù)用戶在現(xiàn)實(shí)工作中承擔(dān)的工作，通過正式審批流程后授予用戶在企業(yè)信息化應(yīng)用系統(tǒng)中與現(xiàn)實(shí)工作相應(yīng)的權(quán)限，用戶登錄指定的系統(tǒng)后可執(zhí)行相應(yīng)的功能，并且管理人員定期對系統(tǒng)中用戶權(quán)限的合理性、合法性、合規(guī)性進(jìn)行檢查，對發(fā)現(xiàn)授權(quán)不當(dāng)?shù)膯栴}上報(bào)有關(guān)部門并進(jìn)行整改，確保系統(tǒng)核心業(yè)務(wù)數(shù)據(jù)的安全、保密與規(guī)范。

2.2用戶授權(quán)管理的重要意義

雖然企業(yè)信息化應(yīng)用系統(tǒng)已經(jīng)在我們身邊到處存在了，但是還是有很多人對企業(yè)信息化應(yīng)用系統(tǒng)的重要程度認(rèn)識不夠，認(rèn)為企業(yè)信息化應(yīng)用系統(tǒng)只是一個(gè)方便我們工作的工具，于是對系統(tǒng)用戶授權(quán)管理的重視程度不夠，在授權(quán)時(shí)不夠嚴(yán)謹(jǐn)導(dǎo)致企業(yè)信息化應(yīng)用系統(tǒng)出現(xiàn)授權(quán)不當(dāng)?shù)膯栴}，權(quán)限過小可能會(huì)影響企業(yè)正常業(yè)務(wù)的開展，權(quán)限過大可能出現(xiàn)損害企業(yè)利益的情況，因此只有合理的授權(quán)才能保證系統(tǒng)的穩(wěn)定運(yùn)行及系統(tǒng)數(shù)據(jù)的安全。

3 授權(quán)管理的常用策略

授權(quán)管理策略是對安全策略所表達(dá)的安全需求的簡單、抽象和無歧義的描述，可以是非形式化的，也可以是形式化的。它綜合了各種因素，包括系統(tǒng)的使用方式、使用環(huán)境、授權(quán)的定義、共享的資源和受控思想。授權(quán)策略通過對用戶的識別來限制對資源的訪問權(quán)限。常見的授權(quán)策略，一般有三種[1]：

3.1 自主授權(quán)策略（DAC）

自主授權(quán)策略是根據(jù)用戶自主訪問控制策略建立的一種策略。策略規(guī)定的資源僅允許合法用戶訪問，同時(shí)用戶還可以對資源屬性進(jìn)行修改，有選擇性的讓他用戶訪問自己的資源，用戶自己有分配權(quán)。其優(yōu)點(diǎn)是資源分配比較靈活；缺點(diǎn)是增加用戶負(fù)擔(dān)、管理代價(jià)較高、安全性差。

3.2 強(qiáng)制授權(quán)策略（MAC）

強(qiáng)制授權(quán)策略是系統(tǒng)獨(dú)立于用戶行為強(qiáng)制執(zhí)行訪問控制的策略，這種策略將用戶和資源分別指定安全級別，用戶可訪問同級別的資源，從而實(shí)現(xiàn)對資源的保護(hù)。其優(yōu)點(diǎn)是權(quán)限體系具有清晰的結(jié)構(gòu)，減輕用戶負(fù)擔(dān)，管理代價(jià)較低；缺點(diǎn)是不夠靈活。

3.3 基于角色的授權(quán)策略（RBAC）

RBAC的原理就是對系統(tǒng)資源的訪問不是直接賦予用戶，而且在系統(tǒng)用戶和系統(tǒng)資源之間建立一個(gè)角色集合。每一個(gè)角色對應(yīng)一定的系統(tǒng)資源，當(dāng)用戶分配了特定的角色后，該用戶就擁有此角色所有的權(quán)限。其顯著的兩大特征是：1）減小授權(quán)管理的復(fù)雜性，降低管理開銷；2）靈活地支持企業(yè)授權(quán)管理策略[2]。

4 企業(yè)信息化應(yīng)用系統(tǒng)授權(quán)管理體系研究

4.1利用合理有效的技術(shù)手段

在企業(yè)信息化應(yīng)用系統(tǒng)中，授權(quán)管理的最終目的是為了確保用戶在對系統(tǒng)資源訪問的過程中，用戶所執(zhí)行的操作及用戶所訪問的數(shù)據(jù)范圍均是合規(guī)、合法的，對通過身份認(rèn)證后的合法用戶提供用戶所需且通過授權(quán)的權(quán)限，杜絕出現(xiàn)用戶超權(quán)的權(quán)限請求，保證用戶在系統(tǒng)授權(quán)策略下合理訪問系統(tǒng)。結(jié)合企業(yè)信息化應(yīng)用系統(tǒng)授權(quán)管理的特點(diǎn)，綜合幾種常用的授權(quán)策略，基于角色的授權(quán)策略（RBAC）比較適合用于企業(yè)信息化應(yīng)用系統(tǒng)。目前很多主流系統(tǒng)的授權(quán)架構(gòu)均采用此模型，比如ERP、自動(dòng)化辦公、企業(yè)門戶等系統(tǒng)。

4.2 企業(yè)信息化應(yīng)用系統(tǒng)中RBAC的授權(quán)策略模型

在企業(yè)信息化應(yīng)用系統(tǒng)開發(fā)過程中好的授權(quán)機(jī)制不僅能為系統(tǒng)的安全保駕護(hù)航，還能提高系統(tǒng)開發(fā)效率，并且系統(tǒng)易用性、可維護(hù)性也大大提高。為了達(dá)到上述目的，并實(shí)現(xiàn)高效的企業(yè)信息化應(yīng)用系統(tǒng)的授權(quán)管理，特在傳統(tǒng)的RBAC授權(quán)策略模型基礎(chǔ)上設(shè)立兩類角色：

1）功能角色，操作系統(tǒng)功能模塊或者系統(tǒng)菜單的角色。這類角色可以根據(jù)用戶需求，包含一個(gè)到多個(gè)系統(tǒng)功能或系統(tǒng)菜單，將這類角色賦予到系統(tǒng)中的賬號中，使相應(yīng)賬號具備相應(yīng)操作系統(tǒng)功能的權(quán)限；

2）組織角色，組織角色控制的是用戶對數(shù)據(jù)組織范圍的訪問，公司按組織劃分，不同組織形成不同的組織角色，分配不同的組織角色，用戶就可以對相應(yīng)組織的數(shù)據(jù)進(jìn)行訪問。比如采購組A中的用戶只能訪問屬于采購組A的訂單信息。

通過上述兩類角色，我們可以將系統(tǒng)功能及數(shù)據(jù)組織授權(quán)給用戶。但是對系統(tǒng)功能或系統(tǒng)菜單內(nèi)的字段及操作無法做到更詳細(xì)的控制。所以必須將控制深度進(jìn)行延伸。要確保系統(tǒng)功能或系統(tǒng)菜單（簡稱“授權(quán)單元”）內(nèi)的所有字段也可以實(shí)現(xiàn)控制。所以我們增加兩個(gè)控制點(diǎn)（見圖1）：

1）字段權(quán)限，通過對字段的授權(quán)控制，可以實(shí)現(xiàn)用戶對一個(gè)系統(tǒng)模塊或系統(tǒng)頁面內(nèi)特定字段的訪問；

2）操作權(quán)限，用戶對系統(tǒng)模塊或系統(tǒng)頁面中的字段的操作，一般有增、刪、改、查等操作，操作權(quán)限就是用于限定用戶對字段中數(shù)據(jù)的操作行為。

圖1 企業(yè)信息化應(yīng)用系統(tǒng)中RBAC的授權(quán)策略模型

企業(yè)信息化應(yīng)用系統(tǒng)中RBAC的授權(quán)策略模型為系統(tǒng)授權(quán)體系的核心架構(gòu)。如圖1所示，模型由傳統(tǒng)RBAC模型衍生，在RBAC模型基礎(chǔ)上將用戶角色進(jìn)行了分類，并將權(quán)限控制延伸到授權(quán)單元，授權(quán)單元為權(quán)限控制實(shí)體，授權(quán)單元定義了用戶對系統(tǒng)功能或系統(tǒng)菜單的控制及數(shù)據(jù)訪問。

為了實(shí)現(xiàn)授權(quán)控制的靈活性，一個(gè)角色可包含多個(gè)授權(quán)單元，一個(gè)授權(quán)單元可配置給不同角色，系統(tǒng)用戶可按需分配相應(yīng)角色。

4.3 嚴(yán)謹(jǐn)、完整的管理制度

要想用好一個(gè)信息化系統(tǒng)，尤其是做好系統(tǒng)中的授權(quán)管理，必須依靠一個(gè)有效、嚴(yán)禁的管理制度。為了確保企業(yè)信息化應(yīng)用系統(tǒng)授權(quán)管理體系的有效實(shí)施，須建立相應(yīng)的企業(yè)信息化應(yīng)用系統(tǒng)授權(quán)管理制度，明確授權(quán)流程及各級職責(zé)等內(nèi)容，作為授權(quán)管理工作的章程和準(zhǔn)則，使企業(yè)信息化應(yīng)用系統(tǒng)授權(quán)管理規(guī)范化。

授權(quán)管理制度作為授權(quán)管理的依據(jù)及執(zhí)行標(biāo)準(zhǔn)，須包含以下內(nèi)容：賬號的管理、角色的管理、授權(quán)的管理，這三部分是一個(gè)企業(yè)信息化系統(tǒng)中授權(quán)體系涉及到的主要工作；清晰的授權(quán)流程，明確規(guī)定流程中各個(gè)節(jié)點(diǎn)的職責(zé)及負(fù)責(zé)人，用好流程來確保授權(quán)工作的合理性；完善的審閱機(jī)制，隨著企業(yè)人員崗位的變動(dòng)，人員在系統(tǒng)中的權(quán)限也應(yīng)該隨著變動(dòng)，同時(shí)由于授權(quán)管理本身是一個(gè)比較主觀的工作，也可能存在授權(quán)不當(dāng)?shù)那闆r，這就很有必要引入對系統(tǒng)用戶權(quán)限的審閱機(jī)制，通過定期的用戶權(quán)限審閱，雙層確保用戶權(quán)限的合理性，從而保證系統(tǒng)數(shù)據(jù)的安全。

綜上所訴，企業(yè)信息化應(yīng)用系統(tǒng)的用戶授權(quán)管理不僅是技術(shù)性的問題，也是一個(gè)綜合性的管理問題，如何在企業(yè)信息系統(tǒng)中對用戶進(jìn)行授權(quán)及如何做好系統(tǒng)的授權(quán)管理很大程度上還是由管理者的主觀因素決定，所以授權(quán)管理不能僅僅從技術(shù)角度考慮，在管理上更要重視，將技術(shù)手段和管理手段兩手抓起才能做好企業(yè)信息化應(yīng)用系統(tǒng)的用戶授權(quán)，從而建立完善的企業(yè)信息系統(tǒng)授權(quán)管理體系。

參考文獻(xiàn)：

[1] 信息安全技術(shù)，中國信息安全技術(shù)評測中心[Z].

[2] 黃永生，張祖平，龍軍.開源單點(diǎn)登錄與角色權(quán)限管理的融合研究應(yīng)用[J].計(jì)算機(jī)系統(tǒng)應(yīng)用，2010（10）.