大型管理信息系統權限控制策略

楊斌

[摘要] 隨著企業信息化發展水平的不斷提高，企業管理的信息系統也是越做越大，用戶數量也是不斷增加，如何精確地控制系統用戶的訪問權限，不越權操作，滿足企業內控管理要求，降低企業管理風險，是大型管理信息系統建設需要考慮的重要問題。本文簡要介紹大型管理信息系統權限控制的策略。

[關鍵詞] 信息系統； 權限控制； 策略

[中圖分類號] F272.7 [文獻標識碼] A [文章編號] 1673 - 0194（2013）06- 0071- 02

1 什么是權限

權限對于一個信息系統來說，就是用戶在系統中能夠做哪些操作。說來簡單，但是系統實現起來并不是一件容易的事，這要涉及到系統的用戶管理、角色管理、權限對象管理、權限分配管理、內控互斥檢查等。要求系統在最初設計時就要考慮每個系統功能都要關聯權限控制的問題。

2 權限控制的設計

2.1 明確權限控制的精度

對于一個大型管理信息系統，在系統建設的最初設計時要考慮系統的權限要控制到什么程度才能滿足管理需求，一般從低到高會分為3個級別：用戶級、程序級、權限對象級。用戶級就是只要系統中設定了用戶，用戶就可以使用系統的所有功能，這樣的權限控制一般會在比較小的系統中應用。程序級就是在系統中給用戶分配可以訪問具體的哪些程序，可以利用角色定義一組程序來管理用戶權限。這樣的權限控制一般會在中型規模的信息系統中應用。權限對象級就是系統中給用戶分配可以訪問某一個程序中的某個給定的權限對象，如操作對象的“創建”、“修改”、“刪除”、“瀏覽”，組織架構對象中的某些單位信息等等，這是大型管理信息系統建設應該采用的權限控制模式。

2.2 權限控制設計的功能

（1） 用戶管理：系統用戶基本信息的添加、刪除、修改、查詢、鎖定、重置密碼等功能。

（2） 程序管理：程序信息的添加、刪除、修改、查詢功能，以及在程序中應用的權限對象的添加、刪除、修改、查詢和分配功能。

（3） 權限對象管理：權限對象的添加、刪除、修改、查詢功能。

（4） 角色管理：角色的添加、刪除、修改、查詢功能。

（5） 角色-權限對象“1對多”關系分配：包括在角色中添加、刪除、修改、查詢程序和程序中要訪問的權限對象。

（6） 用戶-角色“1對多”關系分配：給用戶分配定義好的角色，達到用戶權限控制的目的。

3 權限分配的原則

3.1 滿足內控的權限互斥要求

大型管理信息系統的管理功能一定要符合內控管理的要求，權限的分配要滿足權限互斥的要求，一般系統在上線前都要按系統的特點和管理的要求，制定權限職責分離矩陣，明確互斥權限關系，矩陣中定義了哪些功能在應用時與其他功能是互斥的，一個人不能擁有具有互斥關系的功能。用戶權限互斥關系要定期檢查，避免管理員在賦權是給予了用戶更大的權限或是賦權時出現了權限疊加。權限的檢查可以人工按照互斥矩陣檢查，也可以開發一套權限管理系統，在系統中定義用戶權限互斥矩陣，系統自動判斷權限互斥。

3.2 滿足系統應用的需求

大型管理信息系統的權限賦值既要滿足內控管理要求，還要滿足企業的管理需求，有時這是一對矛盾，解決這個問題需要系統在實施時要合理地調整管理人員的崗位設置，必要時要按內控管理要求增設崗位以滿足企業的管理需求。對于確實無法避免用戶權限互斥的問題，在管理上要對這些崗位人員的操作加強監控，定期檢查，避免出現管理風險，給企業造成不必要的損失。

4 系統的實現邏輯

4.1 數據結構設計

用戶：用戶ID、賬號、用戶名、密碼。

角色：角色ID、角色描述。

程序：程序ID、程序描述。

權限對象：權限對象ID、權限對象描述。

程序-權限對象：程序-權限對象ID，程序ID，權限對象ID。

角色-程序：角色-程序ID，角色ID，程序ID。

用戶-角色：用戶-角色ID，用戶ID，角色ID。

4.2 程序控制設計

登錄程序：用戶登錄時，比較用戶名和密碼，成功后將用戶名和登錄狀態放在相應的變量中，BS模式可以將用戶和登錄狀態保存在session中。

應用程序：在程序的入口處，判斷用戶登錄狀態，成功后，在使用權限對象對應的功能時，判斷用戶在這個程序擁有的權限對象和權限對象賦值，如果有，執行該功能；如果沒有，提示退出。

5 結 語

大型管理信息系統的權限控制策略，決定了系統能否安全可靠地使用，系統的開發人員在系統設計時就要考慮系統權限的控制，本文所提到信息系統的權限控制策略，適用于大型管理信息系統的權限控制，對于一般信息規模系統來說，可以在這個策略的基礎上進行必要的簡化。

主要參考文獻

[1] [德]薩斯喀-亞歷山大·拜爾. SAP權限系統[M]. 陳躍東，譯. 北京：東方出版社，2006.