CN102468971A

CN102468971A - 权限管理方法和装置、权限控制方法和装置

Info

Publication number: CN102468971A
Application number: CN2010105365920A
Authority: CN
Inventors: 陈玉静
Original assignee: Beijing North Microelectronics Co Ltd
Current assignee: Beijing North Microelectronics Co Ltd
Priority date: 2010-11-04
Filing date: 2010-11-04
Publication date: 2012-05-23

Abstract

本发明提供了一种权限管理方法和装置、权限控制方法和装置，其中的权限控制方法具体包括：依据预置的用户与角色之间的多对多映射关系，获取当前用户所对应的多个角色；依据预置的角色权限映射关系，获取所述多个角色对应的权限；依据所述多个角色对应的权限，向所述当前用户开放权限。本发明能够提高用户的工作效率，且增加权限使用的方便性。

Description

权限管理方法和装置、权限控制方法和装置

技术领域

本发明涉及权限管理技术，特别是涉及一种权限管理方法和装置、权限控制方法和装置。

背景技术

近年来，随着计算机网络技术的迅速发展和广泛应用，网络信息安全显得尤其重要，其根本目标是保障计算机中信息的保密性、完整性和可用性，其中，访问控制是保障管理信息安全的一种重要技术。在多种访问控制技术中，由于基于角色的访问控制(RBAC，Role Based Access Control)通过引入角色(Role)这一中介，人工分配用户合适的角色，从而授权用户角色的权限，实现了用户与权限的逻辑分离，大大地方便了权限的管理，故RBAC模型在众多行业中得到了广泛应用。

例如，大型集簇设备控制软件主要采用RBAC模型，该控制软件是一个多用户的***。其中，用户的角色一般包括操作员、设备工程师、工艺工程师等不同身份的用户，不同的角色能够通过软件进行不同级别的操作。例如，操作员角色被定义为对机台了解程度不高，只进行固定的生产操作；又如，对于设备工程师，该角色定义为对机台非常了解，对机台经常进行一些维护型的操作；或者，工艺工程师角色被定义为非常熟悉产品的设计、制作工艺，故经常进行一些工艺流程(Recipe)的编制。

参照图1，示出了现有技术一种典型的半导体设备控制软件的用户权限分配方案。在这个方案中，用户和角色之间是多对一的关系，即一个用户只能属于一个角色，但一个角色可以包含多个用户，例如，用户1是角色1的成员，用户2和用户3均是角色3的成员。角色和权限之间是多对多的关系，即一个角色可以拥有多个权限，一种权限也可以属于多个角色。

但是，在有些时候，一个自然人可能需要同时拥有多种角色的权限，例如，该自然人既需要拥有“操作员”的权限，还要拥有“设备工程师”和“工艺工程师”的权限。这样，应用现有技术，其就需要注册多个账号以满足需要。例如，其用“张三”账号来申请“操作员”角色，用“李四”账号来申请“设备工程师”角色，以及，用“王五”账号来申请“工艺工程师”角色。但是，很多控制软件不支持多账号的登录，这样，该自然人在使用控制软件的过程中就不可避免地进行账号的切换，所述切换既影响了该自然人的工作效率，又使得权限使用的方便性大大下降。

总之，需要本领域技术人员迫切解决的一个技术问题就是：如何能够提高上述情形下的工作效率，以及，权限使用的方便性。

发明内容

本发明提供一种权限管理方法和装置，能够提高用户的工作效率，且增加权限使用的方便性。

相应的，本发明还提供了一种权限控制方法和装置，用以保障上述方法在实际中的实现及应用。

为了解决上述问题，本发明公开了一种权限管理方法，包括：

定义用户的多角色，生成用户与角色之间的多对多映射关系；

定义权限，生成角色权限映射关系。

优选的，所述方法还包括：

进行用户维护，其中，所述用户维护包括创建新用户，删除用户，编辑用户和修改用户所对应的多个角色。

优选的，所述方法还包括：

依据所述用户维护，更新用户与角色之间的多对多映射关系。

优选的，所述方法还包括：

进行角色维护和/或权限维护，其中，所述角色维护包括创建新角色，删除角色，编辑角色和修改用户所对应的权限，所述权限维护包括创建新权限、删除权限和编辑权限。

优选的，所述方法还包括：

依据所述角色维护和/或权限维护，更新用户与角色之间的多对多映射关系和/或角色权限映射关系。

依据另一实施例，本发明还公开了一种权限控制方法，包括：

依据预置的用户与角色之间的多对多映射关系，获取当前用户所对应的多个角色；

依据预置的角色权限映射关系，获取所述多个角色对应的权限；

依据所述多个角色对应的权限，向所述当前用户开放权限。

优选的，所述依据所述多个角色对应的权限，向所述当前用户开放权限的步骤，包括：

在所述多个角色对应的权限中存在冲突的权限时，从所述冲突的权限中选择最小权限或者最大权限提供给当前用户，其中，所述冲突的权限是指同一用户所应的不同角色对同一对象或资源进行相同操作的两个或多个权限。

将欲向所述当前用户开放的权限显示为可操作状态。

依据另一实施例，本发明还公开了一种权限管理装置，包括：

用户角色映射模块，用于定义用户的多角色，生成用户与角色之间的多对多映射关系；

角色权限映射模块，用于定义权限，生成角色权限映射关系。

优选的，所述装置还包括：

用户维护模块，用于进行用户维护，其中，所述用户维护包括创建新用户，删除用户，编辑用户和修改用户所对应的多个角色；

优选的，所述装置还包括：

第一更新模块，用于依据所述用户维护，更新用户与角色之间的多对多映射关系。

优选的，所述装置还包括：

角色权限维护模块，用于进行角色维护和/或权限维护，其中，所述角色维护包括创建新角色，删除角色，编辑角色和修改用户所对应的权限，所述权限维护包括创建新权限、删除权限和编辑权限；

优选的，所述装置还包括：

第二更新模块，用于依据所述角色维护和/或权限维护，更新用户与角色之间的多对多映射关系和/或角色权限映射关系。

依据另一实施例，本发明还公开了一种权限控制装置，包括：

角色获取模块，用于依据预置的用户与角色之间的多对多映射关系，获取当前用户所对应的多个角色；

权限获取模块，用于依据预置的角色权限映射关系，获取所述多个角色对应的权限；及

权限开放模块，用于依据所述多个角色对应的权限，向所述当前用户开放权限。

优选的，所述权限开放模块，具体用于在所述多个角色对应的权限中存在冲突的权限时，从所述冲突的权限中选择最小权限或者最大权限提供给当前用户，其中，所述冲突的权限是指同一用户所应的不同角色对同一对象或资源进行相同操作的两个或多个权限。

优选的，所述权限开放模块，具体用于将欲向所述当前用户开放的权限显示为可操作状态。

与现有技术相比，本发明具有以下优点：

本发明采用用户与角色之间的多对多映射关系，具体而言，在一个自然人注册账号时，允许一个账号同时属于多个不同的角色，因而，对于用户侧，能够避免不必要的多账号注册动作，以及，频繁的账号切换动作，因而，能够增加用户使用权限的方便性，同时，还能够提高用户的工作效率。

另外，对于权限管理***侧，由于要维护的用户数量减小，因而权限管理的复杂性大大减小。

再者，在所述多个角色对应的权限中存在冲突的权限时，可以本领域技术人员的指示，从所述冲突的权限中选择最小权限或者最大权限提供给当前用户，以满足当前的权限需求。

附图说明

图1是现有技术一种典型的半导体设备控制软件的用户权限分配方案；

图2是本发明一种权限管理方法实施例的流程图；

图3是本发明一种权限管理方案的示例；

图4是本发明一种权限管理装置实施例的结构图；

图5是本发明一种权限控制方法实施例的流程图；

图6是本发明一种用户登录***的流程示例；

图7是本发明一种权限控制装置实施例的结构图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

本发明可用于众多通用或专用的计算装置环境或配置中。例如：个人计算机、服务器计算机、手持设备或便携式设备、平板式设备、多处理器装置、包括以上任何装置或设备的分布式计算环境等等。

本发明可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本发明，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

为使本领域技术人员更好地理解本发明，以下对权限管理的原理作进一步的介绍。

权限可表述为这样的逻辑表达式：判断“Who对What进行How的操作”的逻辑表达式是否为真。

Who：权限的拥用者或主体(User、Role等等)；

What：权限针对的对象或资源(Resource等)；

How：具体的权限(Privilege)；

Role：角色，拥有一定数量的权限；

Operator：操作，表明对What的How操作；

User：用户，与Role相关，但不能与Privilege直接相关，User要拥有对某种资源的权限，必须通过Role去关联，以解决Who的问题；

Resource：***的资源，例如，在节目制作领域，这些资源可以是部门新闻，文档等各种可以被提供给用户访问的对象；在办公自动化(OA，OfficeAutomation)领域，这些资源可以包括员工数据；在审计领域，这些资源可以是各环节的预算数据；在半导体设备控制领域，这些资源可以包括设备模块的控件等等；

Privilege：与Resource相关的权限，也即，这个权限是绑定在特定的资源实例上的。例如部门新闻的发布权限，叫做″部门新闻发布权限″，或者，员工数据的查看权限，叫做“员工数据查看权限”，或者，预算数据的审批权限，叫做“预算审批权限”等等。

在实际应用中，可以针对不同的应用，需要根据项目的实际情况和具体架构，在维护性、灵活性、完整性等多个权限管理方案之间比较权衡，选择符合的方案。

其中，由于权利管理在OA领域中的广泛应用，从而OA领域在众多领域中起到模范带头作用。OA领域基于采用RBAC模型进行权限管理，实现了用户和权限的逻辑分离，从而增加了权限管理的灵活性；具体地，OA领域中的角色往往与职务挂钩，很多时候，职务“总经理”、“部门经理”、“员工”等本身就是角色，而OA领域中一个自然人通常只具有唯一的职务，意味着一个自然人也就只具有唯一的角色，因此，OA领域中用户和角色之间是多对一的关系。由于RBAC模型的该多对一的关系具有灵活性高的优点，因而其它领域也纷纷效仿，使RBAC模型的该多对一的关系在近段时间内得到了广泛而良好的应用和发展。这样，该多对一的关系权限管理技术领域为技术人员普遍采用的映射关系，因此，这些技术人员很难去想到、甚至不去考虑采用其它映射关系，如一对一关系、多对多关系、一对多关系等。

但是，本专利发明人在遇到一个自然人可能同时拥有多种角色的权限的需求时，注意到，如果允许一个用户同时属于多个不同的角色，将会避免一个自然人的多账号注册动作，以及，频繁的账号切换动作，因而，能够增加用户使用权限的方便性，同时，还能够提高用户的工作效率。

参照图2，示出了本发明一种权限管理方法实施例的流程图，具体可以包括：

步骤201、定义用户的多角色，生成用户与角色之间的多对多映射关系；

本发明可以应用于节目制作、OA、审计、生产设备控制等各种可以应用权限的领域；为了简便起见，在本发明的具体实施例中主要采用生产设备控制领域中的半导体设备控制为具体应用环境进行介绍，但其并不应作为本发明的应用限制。

本步骤可以用于将一个用户和多个角色进行绑定，为用户分配多角色，并记录用户与多角色的映射关系。

假设用户信息如表1所示：

表1

用户信息
	张三
李四
	王五
赵六

角色信息如表2所示：

表2

角色信息
	操作员
设备工程师
	电气工程师
工艺工程师

参照表3示出了绑定用户信息和角色信息的一种示例：

表3

用户信息	角色信息
		张三	操作员、设备工程师、工艺工程师
李四	操作员、设备工程师
		王五	设备工程师、工艺工程师
赵六	操作员、工艺工程师、用户管理员

参照图3，示出了本发明一种权限管理方案的示例，其中的301部分为用户与角色之间的多对多映射关系的另一种示例，例如，用户1同时对应角色1和角色2，用户2对应角色3，用户3对应角色2，用户4对应角色5，用户5同时对应角色4、角色5和角色6等等。

可以看出，除了多对多外，用户与角色之间的映射关系还可以具有一对一、多对一、一对多，本领域技术人员可以根据实际需要，为用户1分配多角色，或者，为用户2分配单角色等，本发明主要针对多对多映射关系说明本发明的效果，但该多对多映射关系可以与其它映射关系结合使用，本发明对此不加以限制。

在实际中，用户的账号、密码等基本信息，以及用户被定义的角色都可以存放至一个用户角色映射关系中，因而，优选的，所述用户角色映射关系可以包括用户名字段、密码字段和角色字段，例如，参照表4：

表4

账号	密码	角色
			张三	******	操作员、设备工程师、工艺工程师
李四	******	操作员、设备工程师
			王五	******	设备工程师、工艺工程师
赵六	******	操作员、工艺工程师、用户管理员

在半导体设备控制***中，通常存在操作员、设备工程师、工艺工程师、用户管理员等用户角色，在某些条件下，允许一个自然人可以兼具两个或者多个角色，比如一个用户，同时是工艺工程师和设备工程师。

现有技术的方案中，每个用户只能属于一个角色；当出现一个自然人可能同时拥有多种角色的权限的需求时，涉及到需要注册多个用户(账号)来满足上述需求。对于用户侧，会增加多账号注册、频繁账号切换等动作，因而会带来使用方便性的下降和工作效率下降的问题；对于权限管理***侧，则需要针对多个账号进行维护，因而造成权限管理的复杂性。

而本发明实施例在一个自然人注册账号时，允许一个账号同时属于多个不同的角色，因而，对于用户侧，能够避免不必要的多账号注册动作，以及，频繁的账号切换动作，因而，能够增加用户使用权限的方便性，同时，还能够提高用户的工作效率。对于权限管理***侧，由于要维护的用户数量减小，因而权限管理的复杂性大大减小。

步骤202、定义权限，生成角色权限映射关系。

本步骤将角色和权限进行绑定，并记录角色权限映射关系。

参照图3中的302部分，示出了本发明一种角色权限映射关系的示例，其定义了角色1、角色2、...角色6六种角色，以及，权限1、权限2...权限9就中权限，所述六种角色和九种权限之间的映射关系如表5所示：

表5

角色信息	权限信息
		角色1	权限1、权限3
角色2	权限2
		角色3	权限3、权限6
角色4	权限5
		角色5	权限7
角色6	权限7、权限8、权限9

可以理解，本发明允许拥有管理权限的用户(如用户管理员)进行权限管理的维护，所述维护具体可以包括：

1、进行用户维护，其中，所述用户维护具体可以包括创建新用户，删除用户，编辑用户和修改用户所对应的多个角色等；

在实际中，还应依据所述用户维护，更新用户与角色之间的多对多映射关系。例如，在创建新用户时，应按照步骤201生成该新用户与角色之间的多对多映射关系；又如，在删除新用户时，删除相应的用户与角色之间的多对多映射关系；或者，在修改用户所对应的多个角色时，应在用户与角色之间的多对多映射关系表中进行相应的修改。

2、进行角色维护和/或权限维护，其中，所述角色维护具体可以包括创建新角色，删除角色，编辑角色和修改用户所对应的权限，所述权限维护具体可以包括创建新权限、删除权限和编辑权限；

此时，还可以依据所述角色维护和/或权限维护，更新用户与角色之间的多对多映射关系和/或角色权限映射关系。

以表4为例，如果删除了“操作员”角色，则应在表4中更新“张三”、“李四”和“赵六”的对应角色，还应删除角色权限映射关系中与“操作员”相应的部分。

综上，本发明可以灵活地对权限管理进行维护，增强权限管理的扩展性。

与前述权限管理方法实施例相应，本发明还公开了一种权限管理装置，参照图4，具体可以包括：

用户角色映射模块401，用于定义用户的多角色，生成用户与角色之间的多对多映射关系；

角色权限映射模块402，用于定义权限，生成角色权限映射关系。

在本发明的一种优选实施例中，所述装置还可以包括：

用户维护模块，用于进行用户维护，其中，所述用户维护包括创建新用户，册除用户，编辑用户和修改用户所对应的多个角色；

更为优选的，所述装置还可以包括：第一更新模块，用于依据所述用户维护，更新用户与角色之间的多对多映射关系。

在本发明的另一种优选实施例中，所述装置还可以包括：

进一步，所述装置还可以包括：第二更新模块，用于依据所述角色维护和/或权限维护，更新用户与角色之间的多对多映射关系和/或角色权限映射关系。

对于权限管理装置实施例而言，由于其与图2所示的权限管理方法实施例基本相似，所以描述的比较简单，相关之处参见权限管理方法实施例的部分说明即可。

参照图5，示出了本发明一种权限控制方法实施例的流程图，具体可以包括：

步骤501、依据预置的用户与角色之间的多对多映射关系，获取当前用户所对应的多个角色；

步骤502、依据预置的角色权限映射关系，获取所述多个角色对应的权限；

步骤503、依据所述多个角色对应的权限，向所述当前用户开放权限。

在实际中，可以参照图2所示权限管理方法实施例，进行用户与角色之间的多对多映射关系及的预置角色权限映射关系的预置。

由于权限可以理解为“Who对What进行How的操作”，这里的“What”指对象或资源，故在有些情况下，当一个用户对应多个角色时，不同角色可能针对同一对象或资源拥有不同的两个或多个权限，且所述两个或多个权限很有可能会对同一对象或资源进行相同的操作，因此这个用户所拥有的两个或多个权限中可能会存在冲突的权限。例如，在OA领域中，一个用户对应“员工”、“部门经理”、“总经理”三种角色，且这些角色均针对对象“员工数据”具有“查看权限”，但是，各角色的“查看权限”是不同的，具体表现在：“员工”可以查看自己的员工数据，“部门经理”可以查看自己部门所有员工的数据，“总经理”可以查看自己公司所有员工的数据；这就使得用户所拥有的权限产生了冲突。

又如，在审计领域，“角色1”、“角色2”、“角色3”均针对对象“预算”拥有“预算审批权限”，但具体的“预算审批权限”是不同的：“角色1”可以审批小于5000的预算，“角色2”可以审批小于10000的预算，“角色3”可以审批小于50000的预算，这也是权限冲突问题。

再如，在半导体设备控制领域，“设备工程师”、“工艺工程师”均针对“模块控件”拥有操作权限，但是，“设备工程师”只能进行“模块控件”的查看操作，但是，“工艺工程师”能够进行“模块控件”的查看和编辑操作。

针对上述权限冲突问题，在本发明的一种优选实施例中，在所述多个角色对应的权限中存在冲突的权限时，可以从所述冲突的权限中选择最小权限或者最大权限提供给当前用户，其中，所述冲突的权限是指同一用户所应的不同角色对同一对象或资源进行相同操作的两个或多个权限。

可以理解，本领域技术人员可以根据实际需要，选择最小或者最大权限。例如，在在半导体设备控制领域，权限的扩大容易引发对***的误操作而导致机台或设备出现问题，因而决定选择最小权限；又如，在审计领域，由于“角色1”的5000预算与“角色2”的10000预算相差不大，故可以选择最大权限。本发明对具体的选择方式不加以限制。

在本发明的另一种优选实施例中，可以将欲向所述当前用户开放的权限显示为可操作状态；进一步，还可以将其它权限显示为不可操作状态。其中，所述可操作状态可以是一些可操作的按钮，且显示为可点击的状态；所述不可操作状态可以是一些不可操作的按钮，且显示为不可点击状态。这样，用户虽然能够看到其它权限，但是由于不能操作，所以能够减少用户误操作的几率，从而增加工作的安全性。

综上，本发明的权限控制具有灵活多样性、方便操作，简单易用的优点。

为使本领域技术人员更好地理解本发明，参照图6，在本发明的一种应用示例中，用户登录***的流程可以包括：

步骤601、启动软件；

步骤602、***要求用户输入用户名和密码；

步骤603、判断用户是否通过验证，若是，则执行步骤604，否则，返回步骤602；

步骤604、用户认证；

步骤605、依据预置的用户与角色之间的多对多映射关系，获取当前用户所对应的多个角色；

步骤606、依据预置的角色权限映射关系，获取所述多个角色对应的权限；

步骤607、在所述多个角色对应的权限中存在冲突的权限时，从所述冲突的权限中选择最小权限提供给当前用户；

例如，在“王五”通过用户认证后，可依据表4获取器对应的角色：“设备工程师”和“工艺工程师”，所述两个角色针对模块控件存在权限冲突，故选择最小权限提供给当前用户，也即，当前用户只能应用“设备工程师”角色进行模块控件的查看操作。

步骤608、结束。

对于权限控制方法实施例而言，由于其用户与角色之间的多对多映射关系及的预置角色权限映射关系，与图2所示的权限管理方法实施例基本相似，所以描述的比较简单，相关之处参见权限管理方法实施例的部分说明即可。

与前述权限控制方法相应，本发明还公开了一种权限控制装置，参照图7，具体可以包括：

角色获取模块701，用于依据预置的用户与角色之间的多对多映射关系，获取当前用户所对应的多个角色；

权限获取模块702，用于依据预置的角色权限映射关系，获取所述多个角色对应的权限；及

权限开放模块703，用于依据所述多个角色对应的权限，向所述当前用户开放权限。

在本发明的一种优选实施例中，所述权限开放模块703，可具体用于在所述多个角色对应的权限中存在冲突的权限时，从所述冲突的权限中选择最小权限或者最大权限提供给当前用户，其中，所述冲突的权限是指同一用户所应的不同角色对同一对象或资源进行相同操作的两个或多个权限。

在本发明的另一种优选实施例中，所述权限开放模块704，可具体用于将欲向所述当前用户开放的权限显示为可操作状态。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

以上对本发明所提供的一种权限管理方法和装置、一种权限控制方法和装置，进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims

1.一种权限管理方法，其特征在于，包括：

定义权限，生成角色权限映射关系。

2.如权利要求1所述的方法，其特征在于，还包括：

3.如权利要求2所述的方法，其特征在于，还包括：

4.如权利要求1至3中任一项所述的方法，其特征在于，还包括：

5.如权利要求4所述的方法，其特征在于，还包括：

6.一种权限控制方法，其特征在于，包括：

依据所述多个角色对应的权限，向所述当前用户开放权限。

7.如权利要求6所述的方法，其特征在于，所述依据所述多个角色对应的权限，向所述当前用户开放权限的步骤，包括：

8.如权利要求6或7所述的方法，其特征在于，所述依据所述多个角色对应的权限，向所述当前用户开放权限的步骤，包括：

将欲向所述当前用户开放的权限显示为可操作状态。

9.一种权限管理装置，其特征在于，包括：

10.如权利要求9所述的装置，其特征在于，还包括：

11.如权利要求10所述的装置，其特征在于，还包括：

12.如权利要求9至11中任一项所述的装置，其特征在于，还包括：

13.如权利要求12所述的装置，其特征在于，还包括：

14.一种权限控制装置，其特征在于，包括：

15.如权利要求14所述的装置，其特征在于，所述权限开放模块，具体用于在所述多个角色对应的权限中存在冲突的权限时，从所述冲突的权限中选择最小权限或者最大权限提供给当前用户，其中，所述冲突的权限是指同一用户所应的不同角色对同一对象或资源进行相同操作的两个或多个权限。

16.如权利要求14或15所述的装置，其特征在于，所述权限开放模块，具体用于将欲向所述当前用户开放的权限显示为可操作状态。