宋晶晶

摘要：針對(duì)傳統(tǒng)網(wǎng)絡(luò)管理系統(tǒng)權(quán)限分配單一、操作復(fù)雜且易誤操作的問題，提出了基于被管對(duì)象的網(wǎng)管權(quán)限分配技術(shù)。介紹了基于被管對(duì)象的網(wǎng)管權(quán)限分配技術(shù)的優(yōu)點(diǎn)及軟件設(shè)計(jì)的思路。針對(duì)各模塊的功能進(jìn)行了詳細(xì)闡述，并對(duì)系統(tǒng)權(quán)限及授權(quán)機(jī)制和方法進(jìn)行了介紹，實(shí)現(xiàn)了不同用戶角色的分權(quán)管理和互相監(jiān)督要求，保證了數(shù)據(jù)安全。通過實(shí)例驗(yàn)證了基于被管對(duì)象的網(wǎng)管權(quán)限分配技術(shù)的可行性和易操作性。

關(guān)鍵詞：被管對(duì)象；權(quán)限分配；角色授權(quán)；數(shù)據(jù)安全

中圖分類號(hào)：TP393文獻(xiàn)標(biāo)志碼：A文章編號(hào)：1008-1739（2022）10-41-4

面對(duì)企業(yè)管理信息化進(jìn)程的不斷深化，各崗位分工趨于精細(xì)化，傳統(tǒng)網(wǎng)管權(quán)限分配僅定義超級(jí)管理員權(quán)限和一般管理員權(quán)限。除超級(jí)管理員外，各軟件管理員登錄系統(tǒng)后看到的界面相同，只是不同的用戶根據(jù)職責(zé)分工操作不同的被管對(duì)象，該模式界面復(fù)雜且易誤操作，更有擴(kuò)大信息知悉范圍的風(fēng)險(xiǎn)，造成不必要的商業(yè)秘密泄露。基于被管對(duì)象的網(wǎng)管權(quán)限分配技術(shù)，根據(jù)不同的用戶級(jí)別確定了不同的網(wǎng)管權(quán)限，可有效避免上述問題的發(fā)生。軟件運(yùn)行時(shí)，根據(jù)不同的用戶管理不同的被管對(duì)象，通過對(duì)軟件管理員賬號(hào)分配不同的權(quán)限，可以實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)管理軟件更加精細(xì)化的管理和維護(hù)，不僅可以有效提升網(wǎng)絡(luò)管理系統(tǒng)的運(yùn)營(yíng)效率，最重要的是能夠保證數(shù)據(jù)安全，提升企業(yè)的管理水平，增強(qiáng)企業(yè)的效益。

針對(duì)用戶接入身份不同、操作功能不同等問題，需要將其操作權(quán)限化，合理、安全、高效、靈活的權(quán)限分配方法在訪問控制中尤為重要[1]。訪問控制是通過某種途徑顯式地準(zhǔn)許或限制用戶、組或角色對(duì)信息資源的訪問能力及范圍的一種方法。由于網(wǎng)絡(luò)管理系統(tǒng)管理用戶數(shù)量較多，為簡(jiǎn)化設(shè)計(jì)、降低開發(fā)難度、縮短開發(fā)周期，基于用戶、角色、權(quán)限與實(shí)際相對(duì)應(yīng)，模塊化的基于被管對(duì)象的網(wǎng)管權(quán)限分配技術(shù)被提出，該技術(shù)有效降低了權(quán)限分配的復(fù)雜性，提高了授權(quán)管理的靈活度。

基于被管對(duì)象的網(wǎng)絡(luò)管理系統(tǒng)權(quán)限分配技術(shù)的優(yōu)點(diǎn)如下：

①軟件管理員僅能看到負(fù)責(zé)的被管對(duì)象，用戶內(nèi)容更具針對(duì)性，界面清晰明了，操作簡(jiǎn)單，能有效避免誤操作；

②根據(jù)軟件管理員分工看被管對(duì)象，避免擴(kuò)大信息的知悉范圍，防止惡意篡改或泄密；

③利于數(shù)據(jù)采集歸類、故障影響域分析及應(yīng)急快速響應(yīng)；

④利于告警分揀通知和告警處置；

⑤將管理人員向?qū)I(yè)方向發(fā)展，提高精細(xì)化水平。

基于被管對(duì)象的網(wǎng)管權(quán)限分配，采用用戶-角色-權(quán)限的關(guān)聯(lián)機(jī)制，軟件功能組成如圖1所示。

2.1設(shè)計(jì)思路

基于被管對(duì)象的網(wǎng)絡(luò)管理系統(tǒng)通過權(quán)限分配，將不同的職能顯示與其各自的管理工作相結(jié)合，使用戶各司其責(zé)進(jìn)行管理工作，實(shí)現(xiàn)不同用戶角色的分權(quán)管理和互相監(jiān)督要求[2]。

2.2模塊組成

基于被管對(duì)象的網(wǎng)管權(quán)限分配系統(tǒng)主要包括以下模塊：

（1）用戶管理

用戶管理是將需要使用系統(tǒng)的人員信息添加到系統(tǒng)，并為其創(chuàng)建用戶名和密碼，能夠?qū)τ脩暨M(jìn)行增加、刪除、編輯和查詢操作。系統(tǒng)以列表的方式將所有用戶信息列出，每條用戶記錄包括以下信息：用戶名稱、真實(shí)姓名、聯(lián)系方式、所屬部門、所屬班組、所屬用戶組、用戶創(chuàng)建時(shí)間和聯(lián)系方式等。通常情況下，系統(tǒng)在開通之初會(huì)生成一個(gè)擁有最大權(quán)限的用戶（超級(jí)管理員），其他用戶均由該用戶創(chuàng)建。因超級(jí)管理員擁有系統(tǒng)的全部權(quán)限，可穿梭查看系統(tǒng)中的所有數(shù)據(jù)，如果使用不恰當(dāng)，是系統(tǒng)管理的安全隱患，所以一般該賬號(hào)在配置好系統(tǒng)、創(chuàng)建完各管理員賬號(hào)之后建議被隱藏起來。

用戶管理功能主要實(shí)現(xiàn)系統(tǒng)的用戶登記功能，對(duì)登錄網(wǎng)絡(luò)管理系統(tǒng)的用戶進(jìn)行管理維護(hù)。根據(jù)管理權(quán)限不同，可將用戶分為不同的用戶組，每組擁有不同的操作權(quán)限。調(diào)用用戶管理模塊，可以對(duì)用戶進(jìn)行添加、修改和刪除等操作，最終將用戶信息保存到數(shù)據(jù)庫(kù)。在刪除用戶時(shí)，需要注意，要把用戶角色關(guān)系表中與被刪除用戶的相關(guān)信息級(jí)聯(lián)刪除，以減少冗余信息。

用戶管理功能執(zhí)行流程如圖2所示。

在用戶管理界面進(jìn)行用戶信息操作時(shí)，系統(tǒng)根據(jù)指令調(diào)用用戶管理模塊相關(guān)函數(shù)，執(zhí)行用戶的添加、修改及刪除等操作，將用戶數(shù)據(jù)存入數(shù)據(jù)庫(kù)，并向前臺(tái)界面返回操作成功與否的消息，提示管理員操作結(jié)果。

（2）角色管理

角色是一組訪問權(quán)限的集合，當(dāng)需要對(duì)一組用戶賦予相同的權(quán)限時(shí)，可以使用角色來授權(quán)，這樣的好處是將抽象的權(quán)限具體化，管理員僅需要思考每個(gè)角色應(yīng)該賦予什么樣的權(quán)限即可?；诮巧氖跈?quán)可以大大簡(jiǎn)化授權(quán)流程，便于進(jìn)行批量調(diào)整權(quán)限，降低授權(quán)管理的復(fù)雜性及管理成本。角色管理主要包括添加角色、修改角色、回收角色及查詢角色信息等。

基于被管對(duì)象的網(wǎng)絡(luò)管理系統(tǒng)根據(jù)使用需求設(shè)置網(wǎng)系管理員角色、值班員角色、技術(shù)總體角色和指揮員角色4種角色，不同角色根據(jù)崗位分工及職責(zé)，設(shè)置了不同的權(quán)限，具體如下：

網(wǎng)系管理員角色能夠查看和管理自身網(wǎng)系子系統(tǒng)的資源、故障、告警、模型等信息。

值班員角色能夠綜合查看所有網(wǎng)系的資源及告警，并且能夠發(fā)起故障、維修工單。值班員能夠查看的內(nèi)容包括：綜合監(jiān)視管理、綜合業(yè)務(wù)管理、綜合資源管理和即時(shí)通信管理。值班員能夠查看所有的網(wǎng)系信息。

技術(shù)總體角色能夠查看所有網(wǎng)系的資源及告警，并發(fā)起工單。技術(shù)總體能夠查看的內(nèi)容包括：任務(wù)保障管理、綜合監(jiān)視管理、綜合業(yè)務(wù)管理、綜合資源管理和即時(shí)通信管理。技術(shù)總體角色能夠查看所有的網(wǎng)系信息。

指揮員角色能夠從全局角度查看網(wǎng)絡(luò)態(tài)勢(shì)、任務(wù)態(tài)勢(shì)和保障力量等信息。指揮員能夠查看的內(nèi)容包括：網(wǎng)絡(luò)運(yùn)行態(tài)勢(shì)、保障任務(wù)態(tài)勢(shì)、任務(wù)保障管理、綜合監(jiān)視管理、綜合業(yè)務(wù)管理、綜合資源管理和即時(shí)通信管理。指揮員角色能夠查看所有的網(wǎng)系信息。

（3）權(quán)限管理

權(quán)限管理是將系統(tǒng)中的操作權(quán)限和資源權(quán)限賦予某個(gè)角色，進(jìn)行角色的權(quán)限分配，使其具有登錄系統(tǒng)并進(jìn)行相應(yīng)操作的能力，將創(chuàng)建的用戶和角色進(jìn)行綁定，用戶就能夠獲得該角色中授予的訪問權(quán)限。系統(tǒng)的操作權(quán)限主要是權(quán)限的增加、刪除、修改和查詢。資源權(quán)限主要包括菜單權(quán)限和數(shù)據(jù)權(quán)限；對(duì)于沒有權(quán)限操作的用戶，直接隱藏對(duì)應(yīng)的菜單選項(xiàng)，這種方法簡(jiǎn)單、快捷、直接，對(duì)于一些安全且不太敏感的權(quán)限，使用這種方式非常高效；對(duì)于安全需求高的權(quán)限管理，僅從前端限制隱藏菜單、隱藏編輯按鈕是不夠的，還需要在數(shù)據(jù)接口上做限制，如果用戶試圖通過非法手段編輯不屬于自己權(quán)限的數(shù)據(jù)，服務(wù)器端會(huì)識(shí)別、記錄并限制訪問。

權(quán)限配置執(zhí)行流程如圖3所示。

不同角色具有不同的權(quán)限，根據(jù)實(shí)際需求確定系統(tǒng)中網(wǎng)系管理員角色、值班員角色、技術(shù)總體角色和指揮員角色的權(quán)限后，在系統(tǒng)前臺(tái)界面創(chuàng)建一用戶A，系統(tǒng)調(diào)用用戶管理模塊相關(guān)函數(shù)，對(duì)用戶A進(jìn)行數(shù)據(jù)合法性判定后，調(diào)用系統(tǒng)后臺(tái)用戶存庫(kù)服務(wù)函數(shù)，將用戶A的信息存庫(kù)，之后根據(jù)用戶A需要授予的權(quán)限，對(duì)其進(jìn)行權(quán)限配置，并存庫(kù)，這樣用戶A就被授予了對(duì)應(yīng)的權(quán)限。

權(quán)限定義了“用戶在什么對(duì)象上可以執(zhí)行哪些操作”[3]。權(quán)限要素包括執(zhí)行者、執(zhí)行對(duì)象和操作，權(quán)限圖解如圖4所示。

一個(gè)角色可以與多個(gè)用戶關(guān)聯(lián)，管理員只需要把該角色賦予用戶，用戶就有了該角色下的所有權(quán)限。角色起到了橋梁的作用，連接了用戶和權(quán)限的關(guān)系，每個(gè)角色可以管理多個(gè)權(quán)限，同時(shí)一個(gè)用戶關(guān)聯(lián)多個(gè)角色，保證這個(gè)用戶擁有多個(gè)角色的多個(gè)權(quán)限。

（4）日志管理

日志管理是將系統(tǒng)本身及軟件管理員操作系統(tǒng)的每個(gè)動(dòng)作如實(shí)記錄，且軟件管理員無法將日志信息進(jìn)行修改、刪除操作，確保軟件能夠?qū)雇獠亢蛢?nèi)部威脅、數(shù)據(jù)丟失。它記錄系統(tǒng)所產(chǎn)生的所有行為，并按照某種規(guī)范表達(dá)出來，確保系統(tǒng)的完整性，保證任何人都無法掩蓋自己或其他人的蹤跡。通過日志分析，可檢測(cè)系統(tǒng)運(yùn)行是否異常，以及發(fā)現(xiàn)網(wǎng)絡(luò)中的可疑行為。該模塊的核心功能為日志數(shù)據(jù)的記錄、獲取及日志數(shù)據(jù)索引（用于快速搜索）。

日志可以作為系統(tǒng)運(yùn)行和網(wǎng)絡(luò)訪問的重要事件記錄，幫助管理人員了解系統(tǒng)的運(yùn)行狀況及安全狀況等，為定位、調(diào)試線上出現(xiàn)的問題及安全隱患提供便利，節(jié)省大量時(shí)間及精力。為保證日志便于查看，有利于定位和解決問題，本系統(tǒng)中日志輸出時(shí)信息盡量詳細(xì)，如將文件名、行號(hào)、打印時(shí)間和錯(cuò)誤原因等情況輸出。為保證日志更具便捷性，本系統(tǒng)將日志設(shè)置了4個(gè)不同的日志級(jí)別并分級(jí)別存放，包括調(diào)試、信息、警告及錯(cuò)誤。4類日志級(jí)別根據(jù)嚴(yán)重程度級(jí)別不斷上升，利于管理人員查找相關(guān)操作情況，實(shí)現(xiàn)設(shè)計(jì)的友好。

（5）在線幫助

在線幫助是系統(tǒng)搜集了用戶容易碰到的使用問題及解答，使用戶隨時(shí)隨地都可以獲得及時(shí)幫助，大大改善用戶體驗(yàn)。在線幫助支持模糊查詢、查詢定位等功能。模糊查詢主要是搜索部分的字詞，系統(tǒng)就可自動(dòng)查找出所有相關(guān)信息；查詢定位主要是通過搜索到的字詞，系統(tǒng)定位到當(dāng)頁并特別標(biāo)識(shí)。

2.3權(quán)限及授權(quán)機(jī)制和方法

通過對(duì)用戶角色和權(quán)限進(jìn)行設(shè)置，可以方便實(shí)現(xiàn)對(duì)用戶權(quán)限的控制。一個(gè)用戶擁有若干角色，每一個(gè)角色擁有若干權(quán)限，用戶與角色之間、角色與權(quán)限之間，一般是多對(duì)多的關(guān)系。

（1）權(quán)限

權(quán)限的執(zhí)行者為用戶。執(zhí)行對(duì)象是指用戶在哪里執(zhí)行操作[4]，包括系統(tǒng)和資源，其中系統(tǒng)是指本軟件系統(tǒng)，資源包括用戶管理、資源管理等功能模塊；操作是指用戶執(zhí)行的操作包含對(duì)系統(tǒng)各個(gè)功能模塊的調(diào)用。

（2）授權(quán)機(jī)制

授權(quán)是為用戶授予在哪些對(duì)象上可執(zhí)行哪些操作權(quán)限的過程[5]。用戶管理的授權(quán)機(jī)制如下：

①將要執(zhí)行操作的對(duì)象加入用戶所在角色的管理對(duì)象中，以定義角色中的用戶可以在哪些對(duì)象上操作。

②將對(duì)象的操作加到用戶所在角色的操作權(quán)限中，以定義角色中的用戶可以在對(duì)應(yīng)的對(duì)象上執(zhí)行哪些操作。

用戶管理的授權(quán)原理如圖5所示。

用戶管理提供的授權(quán)方法為用戶綁定角色授權(quán)，即先設(shè)置角色權(quán)限（管理對(duì)象和操作權(quán)限），然后將用戶加入角色，使用戶繼承角色的權(quán)限[6]。為用戶授權(quán)時(shí)，進(jìn)行一次授權(quán)操作便可完成一個(gè)崗位所有用戶的授權(quán)。同時(shí)，當(dāng)崗位人員發(fā)生變動(dòng)時(shí)，在角色中刪除原用戶、添加新用戶便可實(shí)現(xiàn)對(duì)新用戶的授權(quán)。

基于被管對(duì)象的網(wǎng)管權(quán)限分配技術(shù)在某綜合網(wǎng)絡(luò)管理系統(tǒng)中進(jìn)行了應(yīng)用，取得了預(yù)期效果。具體操作過程如下。

新建網(wǎng)系管理員角色、值班員角色、技術(shù)總體角色和指揮員角色，根據(jù)系統(tǒng)設(shè)定的角色操作權(quán)限，創(chuàng)建角色時(shí)，將角色操作權(quán)限進(jìn)行勾選，不同角色被賦予不同權(quán)限。再新建4個(gè)用戶a1，a2，a3，a4，分別授予其網(wǎng)系管理員角色、值班員角色、技術(shù)總體角色和指揮員角色，這樣用戶a1，a2，a3，a4便分別具有了系統(tǒng)賦予的4種角色的不同操作權(quán)限。用不同的用戶登錄系統(tǒng)，看到的界面不同，達(dá)到了分權(quán)控制的目的。系統(tǒng)添加角色如圖6所示。

基于被管對(duì)象的網(wǎng)管權(quán)限分配技術(shù)，很好地解決了傳統(tǒng)系統(tǒng)中職責(zé)分工不明確、責(zé)任不清晰的問題。各崗位責(zé)任人根據(jù)崗位分工被賦予不同被管對(duì)象的管理及操作權(quán)限，系統(tǒng)顯示界面一目了然，各被管對(duì)象清晰展示，有利于進(jìn)行系統(tǒng)的告警分揀、告警處置及數(shù)據(jù)采集歸類等，并為信息的及時(shí)捕捉及快速響應(yīng)提供了必要的技術(shù)手段，提高了工作效率及管理水平，提升了企業(yè)的精細(xì)化管理能力，有效降低了操作人員失泄密及誤操作的風(fēng)險(xiǎn)，取得了良好的效果。

[1]朱佳偉，喻梁文，關(guān)志，等.Android權(quán)限機(jī)制安全研究綜述[J].計(jì)算機(jī)應(yīng)用研究，2015，32（10）：2881-2885.

[2]楊家海，任憲坤，王沛瑜.網(wǎng)絡(luò)管理原理與實(shí)現(xiàn)技術(shù)[M].北京：清華大學(xué)出版社，2000.

[3]周佩德.數(shù)據(jù)庫(kù)原理及應(yīng)用[M].北京：電子工業(yè)出版社，2004.

[4]李紅.管理信息系統(tǒng)開發(fā)與應(yīng)用[M].北京：電子工業(yè)出版社， 2003.

[5]朱二莉.高校科研管理系統(tǒng)中的權(quán)限管理[J].電腦知識(shí)與技術(shù)，2014，10（29）：6813-6815.

[6]蔡寶玉.計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)在電子商務(wù)中的應(yīng)用[J].計(jì)算機(jī)產(chǎn)品與流通，2020（5）：18.