当前位置:研发设计首页 >> 管理信息化 >> 数据管理 >> 访问控制解决方案及应用
访问控制解决方案及应用
2006-10-13 11:21:58  作者:  来源:本站原创

一、引言

  为了能够保证企业拥有的信息资源安全、有效,信息系统除了需要有能力分辨用户的身份是否合法外,还需要能够判断该用户是否有权使用或更改某一项数据信息。这是信息安全的主要功能之一,称为访问控制(Access Control)。若从企业管理的角度来讲,这种功能就是权限管理(Authorization Control),即判断对信息资源的执行权限是否已经经过适当的授权。

  目前,基本的访问控制模型是访问矩阵模型(ACM),但是访问控制矩阵模型太大,另外,由于许多主体不能被大多数客体访问,而使得矩阵变得过于稀疏,这使得矩阵不容易执行。

  权限管理中采用的访问控制模型一般有:自主性访问控制(DAC,即Discretionary Access Control)、强制型访问控制(MAC,即Mandatory Access Control)以及基于角色访问控制(RBAC,即Role Based Access Control),而后者已经成为前面两个模型的最佳替代者。在RBAC中,权限与角色相联系,用户作为合适角色的成员而获得权限,极大地简化了用户和权限的管理。
  
    二、清软英泰TiPLM访问控制解决方案

    1.访问控制基本概念

  访问控制是在计算机系统所属的信息资源遭受未经授权的操作威胁时,能够采用适当的管制和防护措施来保护资源安全性和正确性。

  访问控制一般包括:
  (1)主体(subject)——发出访问操作、存取要求的主动方,通常为系统用户或用户程序的某个进程;
  (2)客体(object)——被调用的程序或被存取的数据对象;
  (3)访问规则(rule)——用以确定一个主体对某个客体是否拥有访问权限的判断策略。

  访问控制的实质是通过安全访问规则限制访问主体(用户、进程以及服务等)对客体(程序、文件等)的访问权限,从而使计算机系统在合法范围内使用。只有经过授权的用户向系统正确提交并验证了自己的身份后,才被允许访问特定的系统资源。

  将访问控制应用在企业信息管理系统中,是以用户认证为前提,将各种安全策略相互配合起来,对企业信息资源起保护作用。信息系统通过实施访问控制,可以限制对关键资源的访问,防止非法用户的侵入或合法用户的操作所造成的破坏。安全访问控制中最基本的两个原则,就是最小特权原则和职责分离原则。

    2.清软英泰TiPLM访问控制特点

  目前,实施PLM系统的企业一般都是扩展型或集团型企业,对权限管理变化的差异比较大,权限设置的范围也比较广,清软英泰从技术和实施两方面考虑,设计出了非常灵活的授权访问机制,可以满足不同行业、不同领域对于数据安全的需要。

其主要的特点有:
(1)支持基于人员、角色和组织并存的授权;
(2)支持多个层次的对象授权访问控制;
(3)支持多种方案的权限多级分发;
(4)支持动态的工作流授权;
(5)支持权限模型和策略定义;
(6)支持权限时效性设置;
(7)支持文件加密和压缩;
(8)支持安全日志记录。

清软英泰TiPLM系统整个的访问控制设计框架,如图1所示。
  


  图1 TiPLM访问控制解决方案示意图


  TiPLM采用了目前应用最为广泛的基于角色的访问控制(RBAC)模型,角色作为用户和权限的中介,简化了授权管理,具有机动、灵活的特点。特别是在变更权限时,操作简便,且不容易产生安全漏洞。为了满足不同企业授权级别的要求,在支持基于角色的访问控制(RBAC)模型的基础上,TiPLM系统还支持用户级别和组织级别的访问控制,如图2所示。用户的权限不但可以通过角色获取,同时也可以直接给用户授权。


图2 对普通用户直接授权

    3.权限多级分发机制

  在大型企业的信息化系统中,角色成百上千,而用户和权限的数目更是上万或者几十万,甚至上百万,要有效地管理这些角色、用户、权限以及它们之间的关系,是一件非常费力的事情。特别是如果这些关系动态变化,例如部门人员的变动等,这些让系统管理员集中管理几乎是不可能的。由于集中权限管理在实际应用中很难进行,清软英泰TiPLM系统根据企业的需要,在基于角色的基础上,创建了多级管理模式,设置管理角色,提高了权限管理的效率。

  管理角色采用树状结构,结构清晰,自上向下分级,可以根据企业的需要创建多个子管理员,而子管理员只能使用上级分配给自己的权限。同时,子管理员也可以创建自己的子管理员,这就从根本上解决了特大型企业在应用PLM系统时,遇到的权限多、比较难于分配管理的问题。在设计管理角色时,考虑了遵循职责分离原则和防止越权管理,即管理角色本身拥有的仅仅是分配权限,具体的使用权限则由其他的管理角色负责分配,管理角色也只能管理自己的直接下级,而不能越权。

  利用管理角色在企业实施使用的过程中,可以根据需求分为以下三种方案。

    (1)以部门作为建立管理角色的依据
  优点是组织模型和管理角色父子关系对应起来,结构比较清晰,如果同各组织内部的任务又相似,则可以更好地控制权限的分配。

    (2)以业务模块划分作为建立管理角色的依据
  优点是可以让系统安全管理人员清楚哪些人负责哪些访问控制对象的分配权,这样出了问题比较好追踪,同时又可以避免不同业务之间同时管理所带来的问题。

    (3)业务模块和部门结合
  结合了前面两者的优点,一部分管理角色专门负责组织模型的管理,即以部门作为建立管理角色;一部分管理角色专门负责业务对象访问控制的分配。这样可以把人力和业务两者清晰地分开,避免两者融合带来的权限泄漏或其他不利因素。

  以部门和业务模块为依据设置的管理角色示意图,分别如图3、图4所示。


  
    4.TIPLM实施企业案例

  清软英泰TiPLM系统已经在不同的行业内使用,包括航天、汽车、电力、船舶、电子以及其他相关制造行业。完整、细粒度的、满足多需求的权限访问控制体系,为企业的成功实施奠定了坚实的基础,下面简要介绍厦门金龙、绍兴电力局和徐州工程机械集团,在实施过程中权限管理的使用情况。

     厦门金龙联合汽车工业有限公司,是一个组织结构庞大、产品种类齐全的客车制造企业。在TiPLM系统实施中,采用了根据组织结构划分子管理角色的方案,同时在组织内部,根据业务情况划分了更小的子管理角色。TiPLM系统提供的多个层次的对象授权访问控制在这里发挥了很大的作用,保证了产品研发、设计、采购、生产以及售后服务协调工作,提高了企业协同运作的效率,缩短了产品交付的周期。

     绍兴电力局承担着全市供电营业和电网建设任务,在实施TiPLM系统中一个典型的安全需求就是:按照不同流程划分的项目组动态权限和按照职能部门分配的静态权限,要实现自动权限校验。TiPLM系统在权限管理方面采用了统一的授权模型框架,不但支持动态的工作流授权,还考虑到了其他的集成子系统权限,很好地满足了绍兴电力局动态的工作流授权需求,提高了授权和校验的效率。

    徐工研究院是徐州工程机械集团公司的技术研究与产品开发机构,以及徐工集团国家级技术中心的主体。徐工研究院典型的权限管理需求是:文件的加密和组织授权。TiPLM系统在支持基于角色的访问控制基础上,同时支持了人员和组织的授权。为了保证研究院的图纸不被研发人员轻易地浏览和拷贝,TiPLM系统提供了文件的加密功能,极大地提高了文件安全性。

  从上面三个企业实际应用TiPLM系统的情况来看,分别用到了权限管理不同方面的特点和优点,特别是随着TiPLM系统整体功能的完善,在权限管理方面提供了更加友好的用户交互界面和批量操作选择,极大地提高了权限管理的效率。

    三、总结和展望

  不同行业对于产品全生命周期管理系统PLM的权限管理的需求差异比较大,不同的企业在PLM系统的实施过程中,又会提出各种各样的授权特定需求,这是每个PLM产品供应商都应该认真思考的问题。

  企业对PLM系统权限管理一般有以下需求:权限主体和客体多元化、生命周期不同阶段权限变化、增长的企业信息化、其他软件产品集成权限管理、基于规则授权和基于矩阵授权的结合、权限的分级管理以及时效性控制等。

  总之,一个具有支持可定制的、开放的、易扩展的访问控制模型,对于PLM系统是至关重要的,也是必须的,否则将无法满足企业日益增长和变化的需求。综上所述,TiPLM系统满足了不同行业、不同企业在PLM系统实施和应用过程中,对权限管理的不断变化的需求,提高了权限管理的方便性和有效性。

作者系北京清软英泰信息技术有限公司     党伟升 耿坤瑛 李博

 



版权所有:智造网 京ICP证100778号 京公网安备110102003025 虚假新闻举报电话:010-88379107