土地置業GIS管理平臺中用戶權限管理的研究與實現

吳永軍，馮濤，王燕午

(天津市測繪院，天津 300381)

土地置業GIS管理平臺中用戶權限管理的研究與實現

吳永軍?，馮濤，王燕午

(天津市測繪院，天津 300381)

基于角色的訪問控制(RBAC)是一種方便、安全、成熟、高效的訪問控制機制。本文針對城投集團城市綜合開發業務中涉及的數據資源種類多、面向的用戶層次多等特點，運用基于角色的用戶權限管理參考模型，提出了一種對應用系統功能與數據資源統一訪問控制的權限管理方案，設計了對應的數據模型，同時給出了在城投集團土地置業GIS管理平臺中的實現。

基于角色的訪問控制；角色；資源；數據模型

1 引 言

“城市綜合開發”是天津城投集團的主要業務之一，主要包含了土地整理、房屋拆遷、項目管理、資金預算、收益與投入的平衡等多個方面。集團下屬具有土地整理、房地產開發資質的子公司需要定期向集團上傳土地整理、房地產置業項目開展期間的各種要件，填報項目相關業務信息，而集團的土地置業部負責對子公司上傳的要件進行檔案管理，業務數據進行統計分析，為領導提供決策依據。城投集團土地置業GIS管理平臺(以下簡稱土地置業平臺)的建立，實現了城投集團無紙化辦公、業務流程化管理、信息互通、數據共享，大大提高了生產與工作的效率。

土地置業平臺的用戶是城投集團的所有職員，因為用戶所處的職能崗位不同，對系統功能、數據資源的操作權限也有很大區別。然而，目前多數管理軟件僅僅做到應用系統功能的權限控制，而沒有做到數據資源訪問的權限控制，所以，本文在基于角色的訪問控制(RBAC)的基本思想的基礎上，提出了一種對應用功能、數據資源統一訪問控制的權限管理方案，并給出了具體的實現方法。

2 RBAC模型

基于角色的訪問控制(Role-Based Access Control，RBAC)是一種成熟的權限管理機制，典型的有Ravi Sandhu等提出的RBAC 96模型[1]和美國國家標準與技術局(NIST)研究小組提出的RBAC 2000模型[2]等等，這些模型在訪問控制領域已經得到了廣泛的應用。

在RBAC的核心模型中，用戶和角色之間是多對多的關系，一個用戶可以擁有多個角色，一個角色也可以同時由多個用戶擁有，這就是角色分配(UA)的過程。同樣，角色和權限之間也是多對多的關系，一個角色至少擁有一項權限，一個權限也可以同時賦予多個不同的角色，這就是權限分配(PA)的過程[3]。在RBAC的核心模型中，我們可以得出，要判斷某個用戶可以訪問的系統資源和對系統資源可以進行的操作，通過角色這個中介進行中轉，只需要判斷該用戶所具有的角色的權限即可，如圖1所示。

圖1 RBAC核心模型結構

3 土地置業平臺中的權限管理設計

3.1 設計思想

土地置業平臺中的功能大多數都是對數據資源的操作，如對海河公司的土地整理項目進行信息匯總等，這就要求土地置業平臺的權限訪問控制，不僅僅要做到應用系統功能層的控制(如功能模塊的調用、菜單的顯示等)，還要做到數據資源層的控制(如能否訪問土地整理項目的成本類信息等)。由圖1可以知道，RBAC核心模型由5個基本要素組成，分別是用戶(Users)、角色(Roles)、對象(Objects/Resource)、操作(Operations)、權限(Permissions)。根據RBAC的核心思想[4～6]，筆者將這5個要素設計如下:

用戶:任何直接使用計算機系統的實體，可以是人，也可以是機器、網絡或智能體。土地置業平臺中是具體的系統用戶。

角色:是一個抽象的概念，表示系統或組織中某一特定任務的責任和權利。土地置業平臺中根據實際的崗位職能進行劃分。

對象:是任何系統要進行控制的資源。筆者將功能模塊、菜單、數據資源都視為資源。筆者認為任何資源都是有歸屬的，通俗地說就是資源的“發布者”或是“擁有者”。比如，土地交易信息管理(系統功能)是“系統”發布的，XX土地整理項目是海河公司發布，所以土地交易信息管理的歸屬是“系統”，XX土地整理項目的歸屬是“海河公司”。土地置業平臺中討論的對象由資源的歸屬與具體資源組成，并且規定如果某一資源沒有明確的發布者，那么該資源的歸屬都是“系統”。

操作:是程序可執行的反映，響應用戶指定的某些功能。例如土地整理項目信息可能的操作有瀏覽、修改、審核、匯總等，系統功能可能的操作有開啟等。

權限:是對對象所屬資源執行操作的許可，即:權限=操作+對象的資源。例如，對海河公司XX項目成本信息的修改操作。

3.2 數據模型設計

為了實現基于角色的權限管理，需要創建用戶表、角色表、權限表、用戶-角色映射表、角色-權限映射表[7]。土地置業平臺中的權限管理數據模型是根據RBAC核心模型的思想進行設計的，并在此基礎上進行了擴充。

土地置業平臺中的權限管理數據庫包括用戶表(Users)，部門表(Departments)，角色表(Roles)，權限表(Permissions)，資源表(Resources)、資源歸屬表(ResourceOwners)，操作表(Operations)，用戶_角色映射表(User_Role)，角色_權限映射表(Role_Permission)，用戶_部門映射表(User_Department)，部門_角色映射表(Department_Role)等11個數據表。需要說明的是，資源表存儲的系統的功能權限信息和數據資源信息。權限管理數據庫的數據模型如圖2所示。

圖2 權限管理數據庫數據模型結構圖

權限管理數據庫中共包含了11個數據表，數據模型顯示了這些數據表之間的關系。表1對數據表進行了簡要介紹。

權限管理數據庫中表的介紹 表1

續表1

4 功能實現

城投集團土地置業GIS管理平臺的用戶權限管理子系統由權限管理與訪問控制兩部分組成，模塊結構如圖3所示。

圖3 用戶權限管理結構

系統管理員可以在權限管理模塊中進行用戶信息維護和權限管理。權限管理模塊所實現的功能分別為:

(1)用戶管理。該模塊用于對用戶信息的維護、用戶與角色之間的映射管理。它包括了增加用戶、刪除用戶、用戶信息瀏覽、用戶信息修改、角色分配管理等子模塊。該模塊不僅能夠獲得某一用戶所擁有的角色信息，還能通過角色獲得該用戶的權限信息。

(2)權限管理。該模塊用于定義、維護系統的權限信息，管理資源與資源歸屬的映射關系。它包括了增加資源歸屬、刪除資源歸屬、瀏覽權限信息、修改權限信息、管理資源與資源歸屬的映射關系等子模塊。

(3)角色管理。系統管理員可以在該模塊中，根據企業結構組織進行角色的創建、角色與權限之間的映射管理。它包括增加、刪除、修改角色，瀏覽角色信息，映射角色與權限的關系等功能。

訪問控制模塊用于處理在用戶發出登錄請求后進行身份驗證以及發出操作請求后權限認證。

(1)身份驗證。身份驗證是實現授權的前提，也是訪問控制安全系統中不可缺少的關鍵環節。系統根據用戶ID、經過MD 5加密后的密碼和加密密鑰信息進行對用戶身份的驗證。

(2)權限認證。權限認證是建立在用戶身份驗證的基礎上的，合法用戶登錄后，將獲取到的角色信息和個人權限緩存到系統中，如果要判斷用戶是否具有某個功能或數據資源的操作權時，只需要到緩存的權限列表中查找即可，而不必再到數據庫中讀取權限信息。這樣可以極大減輕服務器端的壓力，也避免了因為頻繁操作數據庫而影響系統的性能。

(3)邏輯處理。該模塊處理身份驗證、權限認證過程中的一系列邏輯信息。包括認證失敗后的信息提示、權限認證成功后的系統初始化等操作。

5 結 論

本文提供的應用系統功能和數據資源統一訪問控制的解決方法，是RBAC的進一步擴展和延伸，即在功能權限的基礎上增加了數據資源權限的管理，實現了數據資源權限和功能權限的集中處理，滿足了多層次組織中權限管理方面的集中控制。

[1] Ravi Ssndhu.Role-based Access Control Models[J].IEEE Computer，1996，29(2)：21～23.

[2] Ferraiolo D F，Sandhu R，Gavrila S，etal.Proposed NISTStandard for Role-Based Access Control[J].ACM Transactions on Information and System Security，2001，4(3)：224～274.

[3] 毛先成，陳振，華萍.地質礦產資料管理系統中用戶權限管理的研究與實現[J].西部探礦工程，2008(12)：246～249.

[4] 杜詩軍.基于角色的訪問控制研究[D].鄭州：鄭州大學，2006.

[5] 丁勝，陳建勛.基于RBAC模型的安全訪問機制建模研究[J].計算機應用與軟件，2005，22(11)：115～117.

[6] 普繼光.基于角色的訪問控制系統的設計和應用[D].成都：電子科技大學，2004.

[7] 丁振國，吳環宇.RBAC在管理信息系統中的應用[J].微計算機信息，2007，23(18)：4～5.

Research and Implement of User Rights M anagement System in Land and Property Information M anagement Platform

Wu Yongjun，Feng Tao，Wang Yanwu
(Tianjin Surveying and Mapping Institution，Tianjin 300381，China)

Role-based access control(RBAC)is a convenient，safe and efficientaccess controlmechanism.Because there aremany types of data resources and many user levels involved in the comprehensive urban exploitation business，this paper brings forward a rightsmanagement program of Unified access to system functionality and data resources based on RBACmodel，designs a corresponding datamodel.Finally，the paper implements the program in TianJin infrastructure construction and investment group land and property information management platform.

SQL Server；index；maintenance；performance

1672-8262(2013)03-43-03

P208.2

B

2012—07—31

吳永軍(1983—)，男，工程師，主要從事GIS軟件開發。