績效考核系統中用戶訪問權限設計

摘要:績效考核系統是企業對員工在工作過程中表現出來的業績——工作的數量、質量和社會效益、工作能力、工作態度等進行評價的信息系統。在績效考核過程中所涉及到的用戶種類多，這就需要對不同的用戶設置不同的權限來確保績效考核數據的安全性，保障系統正常運行。該文針對績效考核系統中用戶的特殊性，對各級用戶的訪問權限進行設計，按照角色對應控制其登錄訪問權限。

關鍵詞:績效考核;訪問控制;角色分配

中圖分類號:TP311文獻標識碼:A文章編號:1009-3044(2010)21-6003-02

21世紀的今天，信息技術已經滲透到人們生活的各個方面，隨著信息化的不斷普及越來越多的企事業單位都建立起了自己的信息管理系統。績效考核系統是企業對員工在工作過程中表現出來的業績——工作的數量、質量和社會效益、工作能力、工作態度等進行評價的信息管理系統。績效考核是管理者與員工之間進行管理溝通的一項重要活動。績效考核的結果可以直接影響到薪酬調整、獎金發放及職務升降等諸多員工的切身利益。

績效考核系統的數據訪問量一般都很大，并且大量的數據信息存儲于數據庫服務器平臺。因為該系統用戶種類繁多，不同種類的用戶所具有的權限也不盡相同，并且系統的重要數據信息都是處于集中存放的狀態，且被大量的用戶所共享使用。正因為如此，我們在開發績效考核系統的過程中不得不認真考慮系統用戶訪問權限控制這一重要問題。本文所討論的就是在績效考核系統中如何實現用戶訪問權限控制的問題。

1 系統功能及用戶角色的分配設計

基于角色的訪問控制(RBAC)是20世紀90年代初提出的一種新的訪問控制技術，該訪問控制技術主要是進行面向企業級安全策略的一種訪問控制技術。其核心的思想是信息系統的各種訪問操作權限不直接分配給具體的系統用戶，而是在系統用戶與系統權限之間建立一種對應的關聯關系，也就是我們所說的角色對應關系。首先將系統的功能進行整理分類，使每一種用戶角色對應一組相應的系統操作。系統用戶如果被分配了一定的角色，也就將該角色所具有的訪問控制權限分配給了該用戶，那么該用戶就擁有一定的系統操作權限。這種系統功能角色分配的方式在實際應用中有許多的優點，每次創建新用戶的時候我們不必進行繁瑣的系統權限分配操作，只需將所創建的新用戶指定相應的角色即可。其次，當我們需要改變某一類用戶權限時，也不必對這些用戶進行一一的修改，只需要改變這些用戶所對應角色的權限即可。這樣就大大的簡化了用戶權限的管理，減少了系統不必要的開銷。

1.1 用戶角色級控制

角色是一個抽象的概念，最早來源于戲劇，用來說明個體在舞臺上的身份及其行為。在一個企業和團隊中角色還代表著一定的職務，在實際的工作中一個具體的職務具有處理某種事務的權利，也就是該職務所具有一定的功能。因此從角色和權限之間的關聯關系來看，角色指的是擁有某種權限的集合;從角色與用戶的關聯關系來看，角色是指具有相同身份的一類用戶的集合。角色、權限和用戶它們三者之間的關系，充分說明了角色級訪問控制在系統中的應用。

由于績效考核系統中用戶的種類繁多，并且許多的用戶具有完全相同的使用權限，如果逐一得給每一個用戶分別指定系統使用權限，那么勢必會大大增加系統管理的難度，增加許多不必要的工作量。因此，根據用戶權限的不同，在數據庫中建立了用戶組表UserGroup，用來描述一組具有相同系統使用權限的用戶，也就是利用UserGroup表對用戶進行角色分配。再根據用戶組功能的不同，分別賦予各個用戶組不同的權限，也就是將角色映射到不同的權限集合上。在數據庫中我們使用用戶組權限表GROUP_POPEDOM來進行系統功能的描述。然后根據部門的不同將不同的角色分配給不同的系統用戶，這樣就保證了用戶登錄時只能訪問到其具有相應角色權限的數據信息，從而大大簡化了用戶的管理，提高了系統的安全性。

1.2 企業部門級控制

部門級安全性控制是指在一定的資源共享的前提下，一個部門的用戶不能操作另外一個同等級別部門的某些關鍵數據，但允許高級別的用戶操作訪問低級別部門的數據。

比如某一用戶a為企業某一部門A的普通員工，在該用戶a登錄系統時，系統會通過部門過濾將該部門級別以外的信息過濾掉，使其不能訪問到A部門以外與該用戶無關聯的數據信息;然后還需要用到角色權限控制不允許他訪問到A部門內與用戶a角色不相符合的數據信息。而用戶admin為績效考核系統管理管理員，應允許其訪問各個部門的數據。因此部門級控制實際上是要實現上級部門用戶能訪問和修改下級部門的數據，但不允許下級部門訪問和修改上級部門的數據，也不允許同等級別部門用戶之間相互操作對方的關鍵數據，其原理就像企業中的上下級層次管理結構一樣。

2 系統用戶訪問的登錄設計

系統訪問控制是系統安全機制的重要組成部分，信息網格中訪問控制的主要功能是防止非法的主體進入受保護的網格資源、允許合法的用戶訪問受保護的網格資源、防止合法的用戶對受保護的網格資源進行非授權的訪問。

在績效考核系統中用戶登錄所涉及到的數據表包括用戶信息表、用戶權限表、系統功能表、用戶組表和用戶組權限表，他們之間的關系如圖1所示。

該系統的用戶訪問登陸設計可以用以下步驟來進行描述:1) 分配角色，將系統用戶分成若干個用戶組，即角色劃分;2) 給用戶組分配系統功能，也就是指定角色的權限;3) 用戶注冊，在用戶注冊時給用戶分配角色，指定所屬用戶組;4) 通過用戶權限表對于個別特殊的用戶進行訪問權限調整;5) 獲取用戶登錄口令，進行登錄。

在系統用戶訪問信息系統時也會出現這樣的問題:普通的系統用戶需要查看一些重要信息，而系統管理員無法到達現場就需要委托其他工作人員打開其權限訪問區域，這時就要把密碼告訴給其他人，也就是把自己的權限交給了他人。將密碼告知給別人需要承受一定的風險。解決上邊所說的問題我們采用了授權密碼控制的方式，設計如下:登錄時先選擇角色，然后每個角色有兩個登錄口，一個登錄口使用原密碼，另外一個使用授權密碼，不同人員授權的密碼訪問權限也不相同。考慮到有限授權密碼的使用同樣存在著安全隱患，授權密碼只能使用一次，引入隨機生成密碼方式，每次授權使用完畢又隨機生成方式生成新的密碼。訪問記錄:每次使用授權密碼訪問時，啟用日志記錄方式記錄登錄者的行為，并且權限內不能做刪除日志操作，以便管理員查看。

3 結論

該訪系統問權限設計通過角色的分配管理，可以有效地避免非法用戶登陸該信息管理系統，對于那些不經常登錄或者有破壞數據安全傾向的用戶可以進行刪除和禁用，也可以根據需要將某些禁用的用戶取消禁用等，所以在信息系統的安全管理中起到了非常重要的作用。該設計方案使得不同類別的管理人員和操作人員能充分、有效而且合理地使用本績效考核系統，不但能夠充分的發揮該系統的優越性，而且在一定程度上還保證了系統的安全性。

參考文獻:

[1] Clemens Szyperski.構件化軟件——超越面向對象編程[M].王千祥，譯.2版.北京:電子工業出版社，2004:38-39.

[2] 黃柳青.走向面向構件[J].程序員，2005(4):133-135.

[3] Iyad Alshabani，Riehard Olejnik，Bernard Toursel.Component-oriented Programming over GRID with CCADAJ[C].IEEE Computer SOS，2006.

[4] 歐陽星明，張華哲.大型網絡MIS中基于角色的權限管理[J].計算機工程與應用，2000，36(4):138-140.

注:本文中所涉及到的圖表、注解、公式等內容請以PDF格式閱讀原文