第２７卷第３期 ２０１１年９月 焦作师范高等专科学校学报 ＪＯＵＲＮＡＬ ＯＦ ＪＩＡＯＺＵＯ ＴＥＡＣＨＥＲＳ ＣＯＬＬＥＧＥ ＶｏＬ２７．Ｎｎ３ Ｓｅｐ．２０１１ 档案信息管理系统权限管理设计 李云全，许长有 （焦作师范高等专科学校计算机信息与工程系，河南焦作４５４０００） 摘要：访问控制是信息系统中进行资源安全控制和管理不可缺少的一个部分．根据档案管理系统需求，针对基于角 色的访问控制方法权限控制粒度较粗的现象，对其模型进一步扩展和延伸，可以实现档案管理系统中的功能权限和数据 权限的集中处理，有效防止非法用户进入系统及合法用户对系统资源的非法使用． 关键词：档案管理；访问控制；权限 中图分类号：ＴＰ３１１．１ 文献标识码：Ａ 文章编号：１６７２—３４６５（２０１１）０３—００７２—０３ ０ 引言 ２）强制型访问控制方法（Ｍａｎｄａｔｏｒｙ Ａｃｃｅｓｓ Ｃｏｎ— ｔｒｏｌ，ＭＡＣ）：一种访问权限的手段，它以包含在 随着企业信息化建设的全面进行，其对权限控 制的要求也越来越高．对于用户合法身份的鉴定、可 操作功能的确定、访问数据范围的都要进行必 要的管理和维护，同时还要保证用户在使用上的灵 活性和方便性．企业档案信息管理系统所管理的数 这些权限中的信息敏感性和访问这些敏感性信息的 主体的正式授权信息（如清除）为基础，多用于多层 次安全级别的军事应用． ３）基于角色的访问控制方法（Ｒｏｌｅ Ｂａｓｅｄ Ａｃ— ｔｅｓｓ Ｃｏｎｔｒｏｌ，ＲＢＡＣ）：其核心思想是弓１人了角色 （Ｒｏｌｅ）这个概念．角色代表权限，用户只和角色关 联，解耦了权限和用户的关系，所有的授权应该给予 角色而不是直接给用户或组．这种方法易于描述和 据不仅有数据条目信息，还包括数据条目所附带的 电子文件．这些电子档案对于企业来说是非常敏感、 重要的数据，大多属于商业秘密，所以对安全性有更 高的要求，因此选取合适的访问控制策略是非常必 要的．本文在分析与借鉴当前主要的访问控制技术 的基础上，根据档案管理业务特点，设计实现了档案 管理系统中权限管理机制． １访问控制相关概念 理解，极大地简化了安全管理程序，适用于大规模的 企业应用． ２档案管理系统中的访问控制需求 ２，１需求定义 访问是一种利用计算机资源去做某件事情的能 力，访问控制是通过某种途径显式地准许或主 档案管理系统由于所管理数据的敏感性，因此 它对权限的要求比较复杂． １）权限级别与文件密级．每个用户有一个权限 体对客体访问能力及范围的一种方法，它是针对越 权使用系统资源的防御措施．通过显式地访问受保 护资源，防止非法用户的入侵或因为合法用户的不 慎操作所造成的破坏，从而保证系统资源受控的、合 级别与文件密级对应，只有权限级别高于文件密级 的用户才能浏览、下载电子文件．用户想浏览、下载 或借阅高于本人密级的电子文件时，必须临时提出 申请，申请被管理员批准后才能进行操作． ２）部门与个限．个人在本部门默认的情况 法的使用。…访问控制方法很多，常用的访问控制 方法有以下３种 ： １）自主型访问控制方法（Ｄｉｓｃｒｅｔｉｏｎａｒｙ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ，ＤＡＣ）：用户直接和权限挂钩，用户是系统 下只能看到自己部门的数据，但是本部门的所有文 件并不是对本部门所有的人都是开放的，某些人只 能看到某一类的数据． 控制下权限的拥有者，但是没有对拥有权限的用户 如何传播其权限做任何，因而不能保证信息传 输的安全性．这种方法多用于对访问的安全性要求 不是很高的场合． 收稿日期：２０１ｌ一０４—０ｌ ３）个人特殊权限．数据只能被其创建者或更高 权限的人修改、删除，一般录入人员只能访问自己录 入的数据，但是在现实使用过程中，往往存在用户在 作者简介：李云全（１９８１一），男，河南周口人，焦作师范高等专科学校计算机与信息工程系教师，硕士，研究方向：系统安全。 ・７２・ 李云全等：档案信息管理系统权限管理设计 某段时间内因为工作需要访问一些高于自身密级的 于电子文件的访问有浏览、下载和借阅３种，操作时 要判断用户是否有访问此文件的权限． 在这里，将粗粒度的权限控制定义为功能权限， 细粒度的权限控制定义为数据权限．数据权限依赖 于功能权限，是对功能权限的进一步描述，说明用户 在指定的功能点上的数据控制权限． 电子文件，甚至是其它部门的文件，所以在这段时间 内必须开放这些信息给这些用户． ２．２需求分析 基于角色的访问控制是目前一种重要的权限控 制方式．与自主型访问控制和强制型访问控制相比， 基于角色的访问控制具有更强的灵活性和广泛的适 用性 ，它具有以下特点： １）由于角色与权限之间的变化比角色与用户 ３．２用户、角色和权限的定义及关系 档案管理系统是面向企业全部人员的，档案室 人员使用该系统进行业务操作，其它各个部门人员 关系之间的变化相对要慢得多，减小了授权管理的 复杂性，降低了管理开销． ２）灵活地支持企业的安全策略，特别是在处理 复杂的角色层次关系时显得更简化和灵活，并针对 企业的变化有很大的伸缩性． 基于角色的访问控制方法使访问策略比较有 效，但是仅仅有基于角色的访问控制策略是不够的， 因为它不能够解决所有的问题．在实际应用中经常 会出现某个人会比其他人多出来一个权限，多出来 的这个权限还可能有一定的时间、次数，而 且这样的情况非常多．如果每次都为这种情况做一 个角色，又会导致角色过多、过细，带来角色的泛滥， 给角色管理带来了负担．所以，基于角色的访问控制 方法也存在着功能权限的控制粒度较粗、无法体现 出数据类型和数据时间周期的特征． ３设计与实现 ３．１权限控制的粒度 系统资源是系统所要保护的资源，可以是被访 问的对象．在档案系统中，系统资源为档案文件、分 类表和代码表等．权限是指对资源的操作，如对档案 文件来说有增删改、浏览、下载、借阅等操作．根据对 资源使用能力控制程度的不同，分为粗粒度权限控 制和细粒度权限控制．＿４ １）粗粒度权限控制：表示类别级，即仅考虑对 象的类别，不考虑对象的某个特定实例．此时不同的 用户在使用同一种权限时，能访问的资源是无差别 的，与具体用户实例无关．比如，用户管理中，创建、 删除，对所有的用户都一视同仁，并不区分操作的具 体对象实例． ２）细粒度权限控制：表示实例级，即需要考虑 具体对象的实例．此时不同的用户在使用同一种权 限时，能访问的资源是有差别的，与具体用户实例相 关．细粒度是在考虑粗粒度的对象类别之后才再考 虑特定实例，其权限判断必须要在资源上获取权限 分配的支持的上下文信息才可能得以实现．比如。对 仅仅是利用，彼此的权限不同，分属不同的角色． 用户和角色之间是多对多的关系，即一个角色 可以包括多个用户，一个用户也可以属于多个角色． 角色和权限之间也是多对多的关系，即一个权限可 以属于多个角色，一个角色可以包含多个权限．角色 作为用户和权限之间的介质，隔离了用户和权限，解 耦了用户和权限的关系，所有的授权应该授予角色 而不是直接给用户．三者之间的关系如图１所示． 管理用户 删除文件 修改文件 用户２ 、—， 增加文件 ～ 角色２ 下载文件 测览文件 图１ 用户、角色和权限关系示意图 ３．３ 系统扩展 针对基于角色的访问控制方法权限控制粒度较 粗、角色划分过细又会带来角色泛滥的问题，本系统 在设计时提出了以下针对数据进行权限控制的辅助 方案： ３．３．１部门权限处理 档案文件表有字段记录文件的创建者、所属部 门，这样就可以实现只能被创建者修改、删除和只能 被本部门的人员浏览的需求． ３．３．２用户权限处理 用户表有字段表示该用户可以访问的权限级 别，每个文件自身也有字段表明其密级，如普通、秘 密、机密和绝密．用户可以访问低于自身密级的所有 文件，例如机密用户可以访问普通、秘密和机密的文 ・７３・ 焦作师范高等专科学校学报 件，但不能访问绝密文件． ３．临时权限的处理 角色表（Ｕｓｅｒ—ｉｄ，Ｒｏｌｅ—ｉｄ）、资源权限表（Ｐｒｉｖ—ｉｄ， Ｐｒｉｖｎａｍｅ，Ｐｒｉｖ——ｐａｒｅｎｔ—ｉｄ）和角色权限表（Ｒｏｌｅ—ｉｄ， 如果一个用户在某段时间内需要利用超出自身 密级的电子文件，甚至是其它部门的电子文件时，他 需要向管理员提出临时权限申请，输入原因、操作时 间段、操作内容（浏览、下载或借阅）或者操作次数． 管理员在档案管理系统里看到临时权限申请后，根 据其申请批准或拒绝．用户得到批准后，可以在某个 时间段内对这些申请的数据进行利用，过了时间范 围则无法利用． ４．规则权限的处理 规则权限是设置一类规则，实质上就是针对某 Ｐｒｉｖｉｄ）． —．３．４．２数据权限表设计 主要分为临时权限表（Ｕｓｅｒ—ｉｄ，ＬｉｂＣｏｄｅ，ｋｅｙ． ｗｏｒｄ，ＯｐｅｒＴｙｐｅ，Ａｕｔｈ）、规则权限条目表（Ｕｓｅｒ—ｉｄ， ＬｉｂＣｏｄｅ，ｋｅｙｗｏｒｄ，Ｔｙｐｅ，ＣＨＳｑｌ，ＥＮＳｑ１）、规则权限文 件表（Ｕｓｅｒ—ｉｄ，ＬｉｂＣｏｄｅ，ｋｅｙｗｏｒｄ，Ｔｙｐｅ，ＯｐｅｒＴｙｐｅ， ＣＨＳｑｌ，ＥＮＳｑ１）和数据权限表（Ｕｓｅｒ—ｉｄ，ＬｉｂＣｏｄｅ，ｋｅｙ— ｗｏｒｄ，Ｔｙｐｅ，ＯｐｅｒＴｙｐｅ，Ａｕｔｈ）．其中，ＬｉｂＣｏｄｅ是档案 类型代码，ｋｅｙｗｏｒｄ是关键字，Ｔｙｐｅ表示表的级别， ＣＨＳｑｌ、ＥＮＳｑｌ表示中文ＳＱＬ语句和英文ＳＱＬ语句。 ＯｐｅｒＴｙｐｅ是指对文件的浏览、下载或借阅等类别， Ａｕｔｈ表示是否有权限． 个档案类型设置一个查询条件，且将此条件保存至 数据库中，此用户登录时取出条件作为ＳＱＬ语句的 ＷＨＥＲＥ字句，达到过滤数据的目的．规则权限分两 种，一种是针对数据条目的设置，另一种是针对电子 ３．５访问控制 用户输入用户代码及口令登入到系统中，系统 验证用户信息．用户密码采用ＤＥＳ算法加密后保存 在数据库中用户表，用户登录时取出解密后再和用 文件的可访问类型来设置． ５．数据权限的处理 可以针对某些特别敏感的数据对用户设置允许 访问权限，或者设置不允许访问权限．规则权限是针 对某一类的权限，数据权限是针对具体的数据．前者 适用于面的控制，后者适用于点的控制． ３．４数据结构设计 ３．４．１功能权限表设计 户输入密码验证．用户通过验证后，根据用户代码确 定所属角色．如果用户被指定为某个角色，则打开相 应业务功能模块界面进行操作．当用户进入某功能 模块，系统判断此用户是否被设置规则权限，组合不 同的ＳＱＬ语句，打开窗口显示数据． 当用户要浏览、下载或借阅某个电子文件时，权 限控制过程如图２所示． 主要分为用户表（Ｕｓｅｒ—ｉｄ，Ｕｓｅｒ—Ｐｓｗ，ｕｓｅｒ—ｂｍ， Ｕｓｅｒ＿ｓｅｃｕｒｉｔｙ）、角色表（Ｒｏｌｅ—ｉｄ，Ｒｏｌｅ—ｎａｍｅ）、用户 通过 权限不足提示Ｊ＜ 判断临时权限＞————叫进行相应操作 ｌ没有设最 里塑＜ 未通过 未通过 通过 未通过 通过 图２ 电子文件权限判断过程 （下转第８６页） ・７４・ 焦作师范高等专科学校学报 的关键和要害。”…实验教学中要培养学生对问题 的敏感性，提高学生发现问题的能力；要让学生参与 理性、指导方法的科学性。为避免实验落空，可以让 学生把主要过程拍照或摄像，这样既检查了实验过 程又积累了可供分析借鉴的过程性材料。多数学校 实验的准备，加深学生对实验的了解；让学生参与设 计实验方案，学会全面分析问题。比如七年级显微 镜实验，每上这节课，教师讲解用法就要占用大量时 间，还要逐个辅导纠正，学生依然有很多问题。如果 目前配备了多媒体教学设备及网络设施，可以合理 利用多媒体技术，用虚拟实验弥补一些无法开展的 探究实验。对一些在短时间里不能完成的，因变化 太快或太慢而不易观察的实验，也可采用视频完成， 如“观察酒精对水蚤心率的影响”等。最后，建议替 让学生从接受性学习改成自主、体验式学习，首先观 看操作示范，产生初步印象，教师只强调关键问题， 不会时可以看课本说明，观察同学操作，与同学交 换或删去教材中不易操作的实验。 流，请教老师等，这样才能使学生真正掌握操作方 生物学是一门实验性非常强的自然科学，生命 法。三是要开拓思路，合理进行实验的替代和改进。 现象和生命规律要通过实验来发现或验证，而不能 对一些不易完成的生物实验，要对其原因进行分析， 只是机械地记忆。考试制度对生物教学质量的影响 找出解决问题的办法。如观察“桃花的结构”，按教 是各级教育行政部门要认真解决的问题；要加大投 材进度基本在１ １月中旬，因此在花的材料来源上可 入，改善生物实验教学条件；改进教材，使实验更合 根据季节，用月季花、白菜花等代替。还可将实验材 理、更具操作性；教师要改变观念，提高认识，开拓思 料相同的实验合并，如“光对蚯蚓生活的影响”与观 路，合理利用现代教育技术等手段，以积极的态度开 察“蚯蚓的运动”两个实验，虽然分别安排在七、八 展实验。通过实验达到提高学生的动手能力，培养 年级，但一次实验完全可以达到目的，既节省了时 学生的创新意识和科学探究能力。 间，又节省了材料。再次，改革教学手段和方式。生 【参考文献】 物实验的材料、用具很多需要师生自己准备，有些生 ［１］胡明，李少毅．生物课程标准教师读本［Ｍｊ．武汉：华中师范大 物实验所需时间长，且不易在实验室进行，可以充分 学出版社，２００３：１８３． ［２］薛春江．浅谈新课程初中生物实验教学［Ｊ］．实验教学研究， 利用课余时间，将一些实验改成课外实验。如“探 ２００９（８）：５０． 究种子萌发的外界条件”、“探究动物的学习行为” ［责任编辑：张全颤】 等，让学生自己选择实验材料，自己设计简易的装置 和实验步骤。整个过程中教师要做到布置内容的合 （上接第７４页） 研究 ４结束语 根据档案管理业务特点，基于角色的访问控制 ［参考文献】 方法，对其模型进一步扩展和延伸，即在功能权限的 ［１］韩道军，高洁，翟浩良，等．访问控制模型研究进展［Ｊ］．计算机 基础上增加数据权限的管理，实现功能权限和数据 科学，２０１０（Ｉ１）：２９—３３． ［２］姜聪来，王新．基于ＲＢＡＣ的权限管理系统研究及应用［Ｊ］．河北 权限的集中处理．设计实现了档案管理系统中的功 理工大学学报（自然科学版），２００８（０２）：５９—６３． 能权限和数据权限集成的权限机制，可以有效地限 ［３］廖尔崇．细粒度角色访问控制模型及其应用［Ｊ］．河北省科学院 制用户对关键资源的访问，防止非法用户进入系统 学报，２００９（３）：５５—５８． 及合法用户对系统资源的非法使用．在实际运用中 ［４］谌勇，许大丹．基于角色的粗粒度权限控制框架设计与实现 功能权限和数据权限两者灵活配置，基本上可以解 ［Ｊ］．华北水利水电学院学报，２００７（１）：６６—６８． 决大多数客户的业务要求，但在功能权限和数据权 ［责任编辑：张全颤】 限划分粒度和规则方面还需做进一步的探讨和 ・８６・
