CN102064953A

CN102064953A - ldap服务器的用户权限信息配置***、装置和方法

Info

Publication number: CN102064953A
Application number: CN2009102218240A
Authority: CN
Inventors: 沈健
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2009-11-12
Filing date: 2009-11-12
Publication date: 2011-05-18
Also published as: WO2011057488A1

Abstract

本发明公开了一种ldap服务器的用户权限信息配置***、装置和方法，上述的ldap服务器的用户权限信息配置***包括ldap服务器和权限设置客户端，其中，ldap服务器，用于存储***中的用户的用户权限信息；权限设置客户端，与ldap服务器相连，用于设置ldap服务器存储的用户权限信息。通过本发明，能够实现快速的对用户权限信息进行修改，从而提高了用户信息配置的效率，提高了用户体验。

Description

ldap服务器的用户权限信息配置***、装置和方法

技术领域

本发明涉及计算机领域，具体而言，涉及一种ldap服务器的用户权限信息配置***、装置和方法。

背景技术

传统的轻量级目录访问协议(Lightweight Directory AccessProtocol，简称为ldap)服务器中的安全管理分为两部分，其中，一部分主要涉及到通讯链路的安全控制，另外一部分主要涉及到用户操作权限的安全控制。

具体地，ldap服务器中的用户操作权限的安全控制，是通过访问控制列表(Access Control List，简称为ACL)描述脚本在服务器上实现，在ACL脚本中记录了多条规则，每条规则描述某个用户对某个资源拥有某项权限，而ldap服务器在接收到客户端的请求后，按照请求的详细信息和登录的用户名，扫描ACL，从而可以进一步判断是否应该处理这个请求。

由于ACL信息也是schema数据的一部分，而schema描述了目录服务中所包含的对象间的结构关系，因此，ldap服务器可以根据schema，对用户数据进行组织和定位，并检查ldap请求的合法性。

具体地，ACL描述脚本可以永久保存在ldap服务器中，其存放方式可以是文本文件或者数据库，但是无论其以何种形式存放，在ldap请求处理过程中，都需要自上往下扫描所有ACL信息，直至找到匹配的记录后再判断操作权限。在这种情况下，在ldap服务器加载ACL并开始运行前，管理员基本无法获知某个用户的某项操作与具体的哪一条规则匹配。

图1是现有的ldap服务器的用户安全配置的方法流程图，如图1所示，按照现有的安全配置方法，若需要修改ldap服务器的用户安全配置，需要执行以下步骤：

步骤1：管理员按照客户端的业务需求定义规则，包括对用户所应该呈现的数据、这些数据间的相互关系、用户对于这些数据的操作权限等；

步骤2：客户端试用，反馈结果是否正确；

步骤3：管理员按照客户端的反馈再次修改规则，跳转至步骤2。

由以上描述可知，在现有技术中，由管理员直接在ldap服务器上配置用户权限信息，并通过客户端进行测试，客户端与管理员之间需要经过多次交流，循环执行，才能为用户配置合适的权限信息，配置的效率较低。

发明内容

针对现有技术中由管理员直接在ldap服务器配置用户权限信息而导致配置的效率较低的问题而提出本发明，为此，本发明的主要目的在于提供一种在客户端进行ldap服务器的用户权限信息配置方法、装置及***，以提高配置的效率。

根据本发明的一个方面，首先提供了一种ldap服务器的用户权限信息配置***。

根据本发明的ldap服务器的用户权限信息配置***，包括：ldap服务器和权限设置客户端，其中，

ldap服务器，用于存储***中的用户的用户权限信息；

权限设置客户端，与ldap服务器相连，用于设置ldap服务器存储的用户权限信息。

根据本发明的另一个方面，还提供了一种ldap服务器的用户权限信息配置装置。

根据本发明的ldap服务器的用户权限信息配置装置，包括：第一发送模块、第一接收模块和第二发送模块，其中，

第一发送模块，用于向ldap服务器发送接入请求；

第一接收模块，用于接收ldap服务器返回的接入请求响应；

第二发送模块，用于向ldap服务器发送设置请求，请求设置ldap服务器中存储的用户的用户权限信息。

根据本发明的再一个方面，还提供了一种ldap服务器的用户权限信息配置方法。

根据本发明的ldap服务器的用户权限信息配置方法，具体包括以下处理：

首先，ldap服务器接收权限设置客户端发送的设置请求，其中，该设置请求用于请求设置ldap服务器存储的用户权限信息；

然后，ldap服务器对权限设置客户端进行鉴权，鉴权通过后，接受权限设置客户端对用户权限信息的设置。

通过本发明的上述至少一个方案，通过与ldap服务器直接连接的权限设置客户端对ldap服务器中存储的用户权限信息进行设置，从而可以方便、快速的对ldap服务器存储的用户权限信息进行修改，进而提高了用户信息配置的效率。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是现有的ldap服务器的用户安全配置的方法流程图；

图2是根据本发明实施例提供的ldap服务器的用户权限信息配置***的结构示意图；

图3是根据本发明优选实施例的提供的ldap服务器的用户权限信息配置***的结构示意图；

图4是根据本发明实施例的ldap服务器的用户权限信息配置装置的结构示意图；

图5是根据本发明优选实施例的ldap服务器的用户权限信息配置装置的结构示意图；

图6是根据本发明实施例的ldap服务器的用户权限信息配置方法流程图；

图7是实施例一的流程图；

图8是实施例二的流程图。

具体实施方式

功能概述

针对在现有技术中，在ldap服务器配置用户权限信息时存在的效率较低的问题，本发明实施例，提供了一种ldap服务器的用户权限信息配置方案。在本发明实施例中，增加了一个与ldap服务器连接的权限设置客户端，管理员通过权限设置客户端对ldap服务器中存储的用户权限信息进行设置，并且，管理员还可以通过权限设置客户端浏览ldap服务器存储的用户权限信息，以对用户权限信息配置的正确性进行检查。

在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。

以下结合附图对本发明的有选实施例进行说明，应当理解，此处描述的优选实施例仅用于说明和解释本发明，并不限定本发明。

根据本发明实施例，首先提供了一种轻量级目录访问协议服务器的用户权限信息配置***。

图2是根据本发明实施例提供的ldap服务器的用户权限信息配置***的结构示意图，如图2所示，上述的ldap服务器的用户权限信息配置***主要包括：ldap服务器20和权限设置客户端21。其中，

ldap服务器20，用于存储***中的用户的用户权限信息；

权限设置客户端21，与上述的ldap服务器20相连，在具体应用中，权限设置客户端21可以通过ldap接口与ldap服务器20相连，该权限设置客户端21用于设置ldap服务器20存储的用户权限信息。

在具体应用中，为了保证用户权限信息的安全性，只有管理员才可以对ldap服务器20中存储的用户权限信息进行设置(包括：修改、增加或删除等操作)，因此，ldap服务器20还需要对权限设置客户端21进行鉴权，在鉴权通过后，ldap服务器20才接受权限设置客户端21对ldap服务器20存储的用户权限信息的设置。

在具体应用中，由于ldap服务器中存储的用户权限信息一般是以ACL信息的方式存储的，如果管理员在配置用户权限信息时，以ACL信息格式进行设置，则需要管理员掌握其连接的ldap服务器存储的用户权限信息存储的格式，从而增加学习成本，并且，也不便于在各个ldap服务器之间进行迁移，因此，可以在权限设置客户端21设置用户权限配置界面，该界面可以提示管理员输入相应的参数，通过该界面管理员可以方便地对ldap服务器中存储的用户权限信息执行设置操作，具体地，管理员可以通过该权限配置界面增加、修改或删除ldap服务器中存储的用户权限信息中一项或多项记录。避免了管理员对ACL信息格式的学习过程，降低了在各个ldap服务器间迁移时的成本。

图3是根据本发明优选实施例的提供的ldap服务器的用户权限信息配置***的结构示意图，如图3所示，本发明实施例的ldap服务器的用户权限信息配置***还可以包括：权限浏览客户端22，在具体应用过程中，权限浏览客户端22可以通过ldap接口与上述ldap服务器20相连。

具体的，如图3所示，权限浏览客户端22还可以包括：发送模块220、接收模块221和显示模块222，其中，

发送模块220，用于向ldap服务器20发送查询请求，以查询一个或多个用户的用户权限信息；

接收模块221，用于接收ldap服务器20返回的一个或多个用户的用户权限信息；

显示模块222，用于显示接收模块221接收到的用户权限信息。

具体地，显示模块222可以采用树状结构显示接收模块221接收到的用户权限信息。具体地，由于ldap服务器中所存放的信息是有层次结构的，以树状的图形方式在界面中显示用户可以访问的数据，可以直观的浏览每个用户的权限信息；树状图有唯一的根节点，该根节点以及根节点衍生出的“树枝”和“树叶”，完整的表示了ldap服务器所包含的资源以及资源间的相互关系，树状图中的每一个节点上都显示了该用户对该资源拥有哪些权限，选择树中的各个节点可以查看相应节点的权限信息。

或者，为了浏览的方便，显示模块222也可以采用相互链接的快捷访问方式显示接收模块221接收到的用户权限信息。具体地，可以在每一个节点上设置一些快捷访问的链接，通过这些链接可以直接跳转到上级节点、下一个同级节点或各个下级节点。

在具体应用中，上述权限设置客户端21和权限浏览客户端22可以合一设置，也可以分开设置，具体可以根据实际需要进行设置。

根据本发明实施例，还提供了一种ldap服务器的用户权限信息配置装置，该装置可以作为上述权限设置客户端21应用在上述***中。

图4是根据本发明实施例的ldap服务器的用户权限信息配置装置的结构示意图，如图4所示，根据本发明实施例的ldap服务器的用户权限信息配置装置包括：第一发送模块40、第一接收模块41和第二发送模块42。其中，

第一发送模块40，用于向ldap服务器发送接入请求；优选地，该接入请求可以是鉴权请求，ldap服务器在接收到接入请求后，对该装置进行鉴权，并在鉴权通过的情况下，向ldap服务器返回接入请求响应，指示鉴权通过。

第一接收模块41，用于接收ldap服务器返回的接入请求响应；

第二发送模块42，用于向ldap服务器发送设置请求，请求设置ldap服务器中存储的用户的用户权限信息。具体地，该装置可以在发送的设置请求中携带要设置(包括：增加、删除、修改等)用户权限信息的相关信息，ldap服务器接收到该设置请求后，根据该设置请求中携带的相关信息，增加、删除或修改存储的相关的用户权限信息。

图5是根据本发明优选实施例的ldap服务器的用户权限信息配置装置的结构示意图，如图5所示，本发明实施例的ldap服务器的用户权限信息配置装置还可以包括：第三发送模块43、第二接收模块44和显示模块45。其中，第三发送模块43，用于向ldap服务器发送查询请求，以查询一个或多个用户的用户权限信息；第二接收模块44，用于接收ldap服务器返回的一个或多个用户的用户权限信息；显示模块45，用于显示第二接收模块44接收到的一个或多个用户的用户权限信息。

根据本发明实施例，还提供了一种ldap服务器的用户权限信息配置方法，该方法可以通过上述的***或装置实现。

图6是根据本发明实施例的ldap服务器的用户权限信息配置方法流程图，如图6所示，根据本发明实施例的ldap服务器的用户权限信息配置方法主要包括以下步骤(步骤S601-步骤S602)：

步骤S601：ldap服务器接收权限设置客户端发送的设置请求；

上述的设置请求用于请求设置ldap服务器存储的用户权限信息。

步骤S602：ldap服务器对权限设置客户端进行鉴权，鉴权通过后，接受权限设置客户端对用户权限信息的设置。

在具体实施过程中，上述的ldap服务器的用户权限信息配置方法还可以包括以下操作：

1)ldap服务器接收权限浏览客户端发送的查询请求，其中，上述的查询请求用于查询一个或多个用户的用户权限信息；

2)ldap服务器向权限浏览客户端返回一个或多个用户的用户权限信息；

3)权限浏览客户端显示ldap服务器返回的一个或多个用户的用户权限信息。

下面结合具体实施例对本发明实施例提供的技术方案的具体实现过程进行详细说明。

实施例一

在本实施例中，权限设置客户端和权限浏览客户端为同一客户端，即将上述的权限设置客户端和ap限浏览客户端合一设置。

图7是本实施例中实现检测并配置ldap服务器中存储的用户权限信息的流程图，如图7所示，在本实施例中对ldap服务器中存储的用户权限信息进行检测和配置的过程主要包括以下步骤：

步骤701：用户登录权限浏览器客户端/权限设置客户端(以下统称客户端)，输入用户名以及密码；

步骤702：客户端通过ldap bind(绑定)消息请求接入ldap服务器；

步骤703：ldap服务器收到客户端的请求后，对用户信息进行校验，返回响应；

步骤704：如果认证方法要求客户端多次发接入请求，则客户端继续发后续的接入请求；

步骤705：所有的接入请求处理完毕，ldap服务器认为客户端认证通过，允许客户端开始ldap操作；

步骤706：客户端已连接ldap服务器，弹出图形化用户界面，等待输入；

步骤707：操作权限浏览器客户端向ldap服务器发ldap search(查询)请求，请求查询用户权限信息；

步骤708：ldap服务器向客户端返回此用户相关的用户权限信息，权限浏览器客户端界面中显示此用户相关的所有数据以及数据的访问权限；

步骤709：选择希望修改的权限信息，输入修改后的内容(如果是首次修改，要求操作人员输入管理员用户名/密码，并发送到ldap服务器进行校验)。权限设置客户端向ldap服务器发送ldapmodify(修改)请求，请求修改用户权限信息；

步骤710：ldap服务器修改用户权限信息，并响应到权限设置客户端；

步骤711：用户确认权限设置正确，退出***；

步骤712：客户端向ldap服务器发ldap unbind(去绑定)消息请求退出***；

步骤713：可选的消息，ldap服务器向客户端返回ldap unbind(去绑定)响应消息，客户端退出。

实施例二

在本实施例中，权限设置客户端和权限浏览客户端为不同的客户端，即将上述的权限设置客户端和权限浏览客户端分开设置。

图8是本实施例中实现检测并配置ldap服务器中存储的用户权限信息的流程图，如图8所示，在本实施例中对ldap服务器中存储的用户权限信息进行检测和配置的过程主要包括以下步骤：

步骤801：用户登录权限浏览器客户端，输入用户名以及密码；

步骤802：权限浏览器客户端通过ldap bind(绑定)消息请求接入ldap服务器；

步骤803：ldap服务器收到权限浏览器客户端的请求后，对用户信息进行校验，返回响应；

步骤804：如果认证方法要求权限浏览器客户端多次发接入请求，则客户端继续发后续的接入请求；

步骤805：所有的接入请求处理完毕，ldap服务器认为权限浏览器客户端认证通过，允许权限浏览器客户端开始ldap操作；

步骤806：权限浏览客户端已连接ldap服务器，弹出图形化用户界面，等待输入；

步骤807：操作权限浏览器客户端向ldap服务器发ldap search(查询)请求，请求查询用户权限信息；

步骤808：ldap服务器向权限浏览客户端发送相关的用户权限信息，并且，这些信息显示在权限浏览器客户端界面中；

步骤809：找到需要重新设置的用户权限信息，启动权限设置客户端；

步骤810：操作人员输入管理员用户名/密码，并发送到ldap服务器进行校验)，权限设置客户端向ldap服务器发送ldap modify(修改)请求，请求修改用户权限信息；

步骤811：ldap服务器修改用户权限信息，并响应到权限设置客户端；

步骤812：用户确认权限设置正确，退出***；

步骤813：权限浏览客户端和权限设置客户端向ldap服务器发ldap unbind(去绑定)消息请求退出***；

步骤814：可选的消息，ldap服务器向权限浏览客户端和权限设置客户端返回ldap unbind(去绑定)响应消息，客户端退出。

综上所述，借助本发明实施例提供的上述技术方案，能够实现用户浏览客户端/权限设置客户端方便、快速的对用户权限信息进行修改，从而提高了用户信息配置的效率，提高了用户体验。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种轻量级目录访问协议ldap服务器的用户权限信息配置***，其特征在于，包括：

ldap服务器，用于存储***中的用户的用户权限信息；

权限设置客户端，与所述ldap服务器相连，用于设置所述ldap服务器存储的所述用户权限信息。

2.根据权利要求1所述的***，其特征在于，所述***还包括：权限浏览客户端，包括：

发送模块，用于向所述ldap服务器发送查询请求，查询一个或多个用户的用户权限信息；

接收模块，用于接收所述ldap服务器返回的所述一个或多个用户的用户权限信息；

显示模块，用于显示所述接收模块接收到的所述用户权限信息。

3.根据权利要求2所述的***，其特征在于，所述显示模块采用树状结构显示所述接收模块接收到的所述用户权限信息，或者，所述显示模块采用相互链接的快捷访问方式显示所述接收模块接收到的所述用户权限信息。

4.根据权利要求2所述的***，其特征在于，所述权限浏览客户端通过ldap接口与所述ldap服务器相连。

5.根据权利要求1至4中任一项所述的***，其特征在于，所述ldap服务器还用于对权限设置客户端进行鉴权，在鉴权通过后，接受所述权限设置客户端对所述ldap服务器存储的所述用户权限信息的设置。

6.根据权利要求1至4中任一项所述的***，其特征在于，所述权限设置客户端设置有用户权限配置界面，用户通过所述用户权限配置界面对所述ldap服务器存储的所述用户权限信息执行设置操作，其中，所述设置操作包括：增加、修改或删除所述用户权限信息中一项或多项记录。

7.根据权利要求1至4中任一项所述的***，其特征在于，所述权限设置客户端通过ldap接口与所述ldap服务器相连。

8.一种ldap服务器的用户权限信息配置装置，其特征在于，包括：

第一发送模块，用于向ldap服务器发送接入请求；

第一接收模块，用于接收所述ldap服务器返回的接入请求响应；

第二发送模块，用于向所述ldap服务器发送设置请求，请求设置所述ldap服务器中存储的用户的用户权限信息。

9.根据权利要求8所述的装置，其特征在于，所述装置还包括：

第三发送模块，用于向所述ldap服务器发送查询请求，以查询一个或多个用户的用户权限信息；

第二接收模块，用于接收所述ldap服务器返回的所述一个或多个用户的用户权限信息；

显示模块，用于显示所述第二接收模块接收到的所述一个或多个用户的用户权限信息。

10.一种ldap服务器的用户权限信息配置方法，其特征在于，包括：

ldap服务器接收权限设置客户端发送的设置请求，其中，所述设置请求用于请求设置所述ldap服务器存储的用户权限信息；

所述ldap服务器对所述权限设置客户端进行鉴权，鉴权通过后，接受所述权限设置客户端对所述用户权限信息的设置。

11.根据权利要求10所述的方法，其特征在于，所述方法还包括：

所述ldap服务器接收权限浏览客户端发送的查询请求，其中，所述查询请求用于查询一个或多个用户的用户权限信息；

所述ldap服务器向所述权限浏览客户端返回所述一个或多个用户的用户权限信息；

所述权限浏览客户端显示所述ldap服务器返回的所述一个或多个用户的用户权限信息。