一种支持最小特权的用户按需授权方法

摘要

本发明公开了一种支持最小特权的用户按需授权方法，其实施步骤如下：在操作系统中建立多个角色，分别为每一个角色设置验证密码；将不同应用程序运行所需要的不同权限分类定义为不同的权限类型；在登录时为用户关联角色及角色的权限类型，并可根据程序需要进行角色转换或者权限类型转换；最终提取用户当前的角色及其权限类型信息，基于用户当前的角色及其权限类型判断是否允许用户请求的程序执行，如果允许则执行用户请求的程序，否则禁止执行用户请求的程序。本发明能够针对不同应用的实际权限需求进行权限授予，确保用户执行应用时应用仅具有完成正常功能的相关权限，保证安全性的同时提高了系统的易用性、通用性好、适用范围广。

说明书

技术领域

本发明涉及计算机系统的用户权限管理领域，具体涉及一种支持最小特权的用户按需授权方法。

背景技术

随着信息化程度的逐渐深入，越来越多的核心业务基于信息系统构建，所以如何保障信息系统的安全性与稳定性也越来越重要。为了解决该问题，系统除提供完成正常服务的功能外，还需要对操作的权限进行检查，实现相应的访问控制。

访问控制是信息安全领域中的一类重要技术，它通过某些方式阻止未授权用户与特定的资源交互，并且保证授权的用户不会被拒绝。基于在主体集和客体集之间是否有严格的顺序，访问控制主要分为两大类，自主访问控制和强制访问控制。自主访问控制的基本思想就是访问主体可以向其他主体自主的转让自己的访问权限，允许把访问控制权的授予和取消留给个体用户来判断，为没有访问控制权的个体用户授予和废除许可。强制访问控制是一种限制访问客体的手段，它以包含在这些客体中的信息敏感性和访问这些敏感性信息的主体的正式授权信息为基础。在访问控制中，对访问控制列表或者权限表的维护是一个管理性的问题，基于角色的访问控制可以简化授权管理。基于角色的访问控制通过把主体映射到角色而不是直接映射到权限来实现最小权限、责任分离和数据抽象。角色是一些特权的集合，用户只需关联到角色便具有相应的权限。系统中往往涉及到较多的权限，如果把较多的权限关联到一个角色，关联该角色的用户便具有较大的操作权限，不符合最小特权的原则，也往往容易带来安全隐患；如果每个角色所具有的权限较少，则又导致只关联了该角色的用户往往无法完成所需要的所有操作。综上所述，现有技术的用户授权方案中将相关权限一次性赋予管理用户，不符合最小特权原则，容易带来安全隐患。

发明内容

本发明要解决的技术问题是：针对现有技术的上述技术问题，提供一种能够针对不同应用的实际权限需求进行权限授予，确保用户执行应用时应用仅具有完成正常功能的相关权限，保证安全性的同时提高了系统的易用性、通用性好、适用范围广的支持最小特权的用户按需授权方法。

为了解决上述技术问题，本发明提供的技术方案为：

一种支持最小特权的用户按需授权方法，其实施步骤如下：

1）在操作系统中建立多个角色，分别为每一个角色设置验证密码；将操作系统中不同应用程序运行所需要的不同权限分类定义为不同的权限类型，控制一个用户可关联多个角色且每一个用户同一时刻只能关联一个角色、一个角色可关联多种权限类型且每一个角色同一时刻只能关联一种权限类型；

2）当用户登录操作系统时为用户设定角色并关联该角色的权限类型，在操作系统运行过程中为用户提供指定所需角色、权限类型转换的显式转换功能，当用户发起转换请求时则针对目标角色或目标权限类型关联的目标角色进行密码验证，密码验证通过则根据需要对用户执行角色转换或者对用户当前的角色执行权限类型转换；

3）当用户请求程序执行时，检测程序是否需要角色转换或者权限类型转换，如果需要角色转换或者权限类型转换则针对目标角色进行密码验证，密码验证通过则根据需要对用户执行角色转换或者对用户当前的角色执行权限类型转换；最终提取用户当前的角色及其权限类型信息，基于用户当前的角色及其权限类型判断是否允许用户请求的程序执行，如果允许则执行用户请求的程序，否则禁止执行用户请求的程序。

优选地，所述步骤1）中的多个角色包括安全管理角色、系统管理角色、审计管理角色。

优选地，所述步骤2）的详细步骤如下：

2.1）当操作系统中的用户登录时，首先针对该用户进行用户登陆密码验证，如果用户登陆密码验证失败，则返回登录界面并退出；否则跳转执行下一步；

2.2）查询该用户是否已经设置默认登录角色，如果已设定默认登录角色，则将所述默认登录角色关联作为用户当前的角色登录操作系统，且关联所述默认登录角色默认的权限类型；否则查询该用户绑定的所有角色，提示用户在绑定的角色列表中进行选择，使用用户当前选择的角色登录操作系统，且关联所述角色默认的权限类型；

2.3）在操作系统运行过程中为用户提供指定所需角色、权限类型转换的显式转换功能，当用户发起转换请求时则针对目标角色或目标权限类型关联的目标角色进行密码验证，密码验证通过则根据需要对用户执行角色转换或者对用户当前的角色执行权限类型转换。

优选地，所述步骤2.3）的详细步骤如下：

2.3.1）在操作系统运行过程中为用户提供指定所需角色、权限类型转换的显式转换功能，判断用户发起转换请求的请求类型，如果请求类型为权限类型转换则跳转步骤2.3.2），如果请求类型为角色转换则跳转步骤2.3.5）；

2.3.2）提取用户发起转换请求的目标权限类型所对应的目标角色的信息；

2.3.3）基于操作系统的系统安全机制发出针对所述目标角色的密码验证，如果用户未通过该密码验证，则中止对用户当前的角色执行权限类型转换，为用户当前的角色保留用户发起转换请求前的原始权限类型并退出；如果用户通过该密码验证，则跳转执行下一步；

2.3.4）将用户当前的角色切换关联至用户发起转换请求的目标权限类型并退出；

2.3.5）提取用户发起转换请求的目标角色的信息；

2.3.6）基于操作系统的系统安全机制发出针对所述目标角色的密码验证，如果用户未通过该密码验证，则中止对用户执行角色转换，为用户保留用户发起转换请求前的原始角色并退出；如果用户通过该密码验证，则跳转执行下一步；

2.3.7）将用户当前的角色切换到用户发起转换请求的目标角色，关联默认权限类型并退出。

优选地，所述步骤3）的详细步骤如下：

3.1）当用户请求程序执行时，跳转执行下一步；

3.2.）检测程序是否需要角色转换或者权限类型转换，如果不需要角色转换或者权限类型转换则跳转执行步骤3.8），否则跳转执行下一步；

3.3）针对用户目标角色进行密码验证，如果密码验证不通过则中止执行用户请求的程序并退出；否则如果密码验证通过则跳转执行下一步；

3.4）查询执行该程序是否需要进行角色转换，如果不需要角色转换则跳转执行步骤3.6），否则跳转执行下一步；

3.5）对用户执行角色转换；

3.6）查询执行该程序是否需要进行权限类型转换，如果不需要权限类型转换则跳转执行步骤3.8），否则跳转执行下一步；

3.7）将对用户当前的角色执行权限类型转换；

3.8）提取用户当前的角色及其权限类型信息；

3.9）根据用户当前的角色的权限类型信息判断是否允许执行用户请求执行的程序，如果允许则跳转执行下一步，否则禁止执行用户请求的程序并退出；

3.10）根据用户当前的角色判断是否允许执行用户请求执行的程序，如果允许则执行用户请求的程序，否则禁止执行用户请求的程序。

本发明支持最小特权的用户按需授权方法具有下述优点：

1、本发明在操作系统中建立多个角色，分别为每一个角色设置验证密码；将操作系统中不同应用程序运行所需要的不同权限分类定义为不同的权限类型，控制一个用户可关联多个角色且每一个用户同一时刻只能关联一个角色、一个角色可关联多种权限类型且每一个角色同一时刻只能关联一种权限类型，支持为用户关联多个角色，一个时刻只能绑定一个角色和权限类型，实现权限最小化，在用户登录操作系统时支持用户选择角色登录操作系统；当用户执行程序时，根据程序所需权限自动为用户提供角色及权限类型转换请求，用户对角色转换请求做出相应，在保证了安全性的同时提高了系统的易用性。

2、本发明在操作系统运行过程中为用户提供指定所需角色、权限类型转换的隐式转换功能，当用户请求程序执行时检测程序是否需要角色转换或者权限类型转换，如果需要角色转换或者权限类型转换则针对目标角色进行密码验证，因此通过操作系统为用户提供执行特定应用时自动角色切换的隐式转换，同时系统也为用户提供指定所需角色、权限类型转换的显式转换，因此在确保安全的基础上，能够在密码验证通过的前提下，最大程度地确保用户以及程序能够完成角色转换或者权限类型转换。

3、本发明保证用户在进行角色转换时，目标角色必须与该用户绑定，且必须通过角色转换认证，只有通过认证角色转换才能完成，在操作系统中建立多个角色时分别为每一个角色设置验证密码，角色转换认证中为不同角色设置不同的密码，有效保证只有知道该角色密码的用户才能完成角色转换，实现了最小权限原则、责任分离原则和数据抽象原则。

4、本发明采用的用户按需授权方法具有通用性，便于在多种目标系统中使用本发明实现灵活、安全的访问控制，能够支持平台的多样性，具有通用性好、适用范围广的优点。

附图说明

图1为本发明实施例的实施流程示意图。

图2为本发明实施例中用户、角色、权限类型之间的映射关系示意图。

图3为本发明实施例中步骤2）的实施流程示意图。

图4为本发明实施例中权限类型显式转换功能的实施流程示意图。

图5为本发明实施例中角色显式转换功能的实施流程示意图。

图6为本发明实施例中步骤3）的实施流程示意图。

具体实施方式

如图1所示，本实施例支持最小特权的用户按需授权方法的实施步骤如下：

1）在操作系统中建立多个角色，分别为每一个角色设置验证密码；将操作系统中不同应用程序运行所需要的不同权限分类定义为不同的权限类型，控制一个用户可关联多个角色且每一个用户同一时刻只能关联一个角色、一个角色可关联多种权限类型且每一个角色同一时刻只能关联一种权限类型；

2）当用户登录操作系统时为用户设定角色并关联该角色的权限类型，在操作系统运行过程中为用户提供指定所需角色、权限类型转换的显式转换功能，当用户发起转换请求时则针对目标角色或目标权限类型关联的目标角色进行密码验证，密码验证通过则根据需要对用户执行角色转换或者对用户当前的角色执行权限类型转换；

3）当用户请求程序执行时，检测程序是否需要角色转换或者权限类型转换（隐式转换），如果需要角色转换或者权限类型转换则针对目标角色进行密码验证，密码验证通过则根据需要对用户执行角色转换或者对用户当前的角色执行权限类型转换；最终提取用户当前的角色及其权限类型信息，基于用户当前的角色及其权限类型判断是否允许用户请求的程序执行，如果允许则执行用户请求的程序，否则禁止执行用户请求的程序。

本实施例中依据最小特权原则将不同应用程序运行所需要的不同权限定义为不同的权限类型，将不同的权限类型和系统操作权限划分到不同的角色，同一时刻一个角色只能绑定一个权限类型，同一角色可以在不同的权限类型间进行切换，由不同的角色负责完成不同的管理操作；将操作系统用户与角色关联，绑定特定角色的用户具有角色所具有的权限；一个用户可以与多个角色进行关联，但一个时刻用户只能绑定一个角色，用户仅具有该角色及权限类型的相关权限；用户可以在关联的不同角色之间进行切换，当用户切换角色时需要通过密码认证，且不同的角色使用不同的密码。本实施例支持最小特权的用户按需授权方法，通过角色将不同的权限类型和系统权限进行划分，不同角色代表不同的管理职能。用户可以绑定多个不同的角色，在用户执行程序时，系统安全机制检查程序是否需要进行角色和权限类型转换，如果需要，则发起角色、权限类型转换请求，如果是角色转换，提示用户进行密码认证。在通过角色转换验证后完成角色转换。目标程序在特定的角色和权限类型上运行，运行结束后程序权限随程序一起释放。角色转换认证中，不同的角色对应不同的密码，增强了系统的强制访问控制机制。

本实施例将不同的权限类型和操作系统权限划分到不同的角色，由不同的角色负责完成不同的管理操作。一个角色只能在一个时刻绑定一个权限类型，当进行权限检查时，安全机制针对该角色所绑定的权限类型和操作系统权限进行检查，如果发起操作主体角色所绑定的权限类型和操作系统权限具有相应的权限，则允许其完成所请求的操作，否则拒绝该次请求操作。用户、角色和权限类型是多对多的绑定管理，一个用户可以和多个角色绑定，一个角色可以关联多个权限类型。用户与角色、角色与权限类型的绑定关系根据系统中安全策略的实际部署情况决定。绑定了角色的用户具有角色所具有的权限。

如图2所示，本实施例共n个用户（用户1～用户n）、n个角色（角色1～角色n）和n种权限类型（权限类型1～权限类型n），对于用户1而言，其可关联的角色为角色1和角色3，对于用户2而言，其可关联的角色为角色2和角色3，对于用户3而言，其可关联的角色为角色3；对于角色1而言，其可关联权限类型1、权限类型2、权限类型3中的任意一种，但是同一时刻角色1只能绑定一个权限类型，对于角色2而言，其可关联权限类型2一种，对于角色3而言，其可关联权限类型3一种。本实施例中，步骤1）中的多个角色包括安全管理角色、系统管理角色、审计管理角色。本实施例将操作系统用户与角色关联，绑定特定角色的用户具有角色所具有的权限。操作系统用户通过绑定角色具有对应角色的相关权限，系统可以根据业务情况定义特定的几种角色，如安全管理角色、系统管理角色、审计管理角色等。系统用户可以是任意多个，通过将不同的系统用户与角色关联、绑定是系统用户具有相应的操作权限。当用户绑定多个角色时，可以设置用户的默认登陆角色，即登陆时用户不需要进行角色选择，采用默认关联的角色登陆系统，用户具有该默认角色所绑定的权限类型和系统权限。系统中用户与角色绑定中，安全机制提供默认绑定规则，即如果新加用户未特殊指明绑定角色，则安全机制自动为该用户绑定一个默认角色，该角色所具有的权限较小，仅具有一些普通的操作权限。

如图3所示，本实施例步骤2）的详细步骤如下：

2.1）当操作系统中的用户登录时，首先针对该用户进行用户登陆密码验证，如果用户登陆密码验证失败，则返回登录界面并退出；否则跳转执行下一步；

2.2）查询该用户是否已经设置默认登录角色，如果已设定默认登录角色，则将所述默认登录角色关联作为用户当前的角色登录操作系统，且关联所述默认登录角色默认的权限类型；否则查询该用户绑定的所有角色，提示用户在绑定的角色列表中进行选择，使用用户当前选择的角色登录操作系统，且关联所述角色默认的权限类型；

2.3）在操作系统运行过程中为用户提供指定所需角色、权限类型转换的显式转换功能，当用户发起转换请求时则针对目标角色或目标权限类型关联的目标角色进行密码验证，密码验证通过则根据需要对用户执行角色转换或者对用户当前的角色执行权限类型转换。

本实施例步骤2）关联了多个角色的用户一个时刻内只绑定一个角色，即一个时刻内只有一个角色生效；当用户登录时，用户可以选择使用哪个角色登录操作系统，登录操作系统后，用户即具有所选角色对应的权限。当用户关联多个安全角色时，安全机制可以为用户设置默认登录角色，即登录时用户不需要选择，采用默认绑定的角色登录操作系统。安全机制支持用户在登录后根据需要在所关联的不同的安全角色间切换，切换后用户便具有要切换角色所具有的权限，且不再具有之前绑定角色所具有的权限。在用户进行不同角色间切换时，系统日志记录对该操作动作进行记录。在用户请求程序执行时，安全机制根据程序所需要的特权自动为用户设定角色转换请求，用户对请求做出相应。用户也可以主动发起角色切换请求。用户角色在切换后，用户所具有的权限发生变化，从之前绑定角色所具有的权限变化为当前绑定角色所具有的权限。

如图1、图4和图5所示，本实施例步骤2.3）在操作系统运行过程中为用户提供指定所需角色、权限类型转换的显式转换功能，步骤2.3）的详细步骤如下：

2.3.1）在操作系统运行过程中为用户提供指定所需角色、权限类型转换的显式转换功能，判断用户发起转换请求的请求类型，如果请求类型为权限类型转换则跳转步骤2.3.2），如果请求类型为角色转换则跳转步骤2.3.5）；

2.3.2）提取用户发起转换请求的目标权限类型所对应的目标角色的信息；

2.3.3）基于操作系统的系统安全机制发出针对所述目标角色的密码验证，如果用户未通过该密码验证，则中止对用户当前的角色执行权限类型转换，为用户当前的角色保留用户发起转换请求前的原始权限类型并退出；如果用户通过该密码验证，则跳转执行下一步；

2.3.4）将用户当前的角色切换关联至用户发起转换请求的目标权限类型并退出；

2.3.5）提取用户发起转换请求的目标角色的信息；

2.3.6）基于操作系统的系统安全机制发出针对所述目标角色的密码验证，如果用户未通过该密码验证，则中止对用户执行角色转换，为用户保留用户发起转换请求前的原始角色并退出；如果用户通过该密码验证，则跳转执行下一步；

2.3.7）将用户当前的角色切换到用户发起转换请求的目标角色，关联默认权限类型并退出。

本实施例步骤2.3）在操作系统运行过程中为用户提供指定所需角色、权限类型转换的显式转换功能，其中权限类型转换的显式转换功能实施流程2.3.2）～2.3.4）如图4所示。本实施例在权限类型转换时，显式权限类型转换请求（用户发起的权限类型转换请求）和隐式权限类型转换请求（程序发起的权限类型转换请求）都需要用户进行密码认证，只有通过密码认证后，权限类型转换才能完成；如果密码验证失败，则权限类型转换中断，用户保留权限类型转换请求前所关联的权限类型。用户进行权限类型转换时所需要验证的密码为权限类型对应不同角色自身关联的验证密码，不同角色所设定的验证密码不同，只有用户知道所关联角色设定的验证密码时才能完成权限类型转换。如果密码验证失败，则切换终端。角色转换的显式转换功能实施流程2.3.5）～2.3.7）如图5所示。本实施例在角色转换时，显式角色转换请求（用户发起的角色转换请求）和隐式角色转换请求（程序发起的角色转换请求）都需要用户进行密码认证，只有通过密码认证后，角色切换才能完成；如果密码验证失败，则角色切换中断，用户保留角色切换请求前所关联的角色。用户进行角色转换时所需要验证的密码为不同角色自身关联的验证密码，不同角色所设定的验证密码不同，只有用户知道所关联角色设定的验证密码时才能完成角色切换。

如图6所示，本实施例步骤3）的详细步骤如下：

3.1）当用户请求程序执行时，跳转执行下一步；

3.2.）检测程序是否需要角色转换或者权限类型转换，如果不需要角色转换或者权限类型转换则跳转执行步骤3.8），否则跳转执行下一步；

3.3）针对用户当前的角色进行密码验证，如果密码验证不通过则中止执行用户请求的程序并退出；否则如果密码验证通过则跳转执行下一步；

3.4）查询执行该程序是否需要进行角色转换，如果不需要角色转换则跳转执行步骤3.6），否则跳转执行下一步；

3.5）对用户执行角色转换；

3.6）查询执行该程序是否需要进行权限类型转换，如果不需要权限类型转换则跳转执行步骤3.8），否则跳转执行下一步；

3.7）将对用户当前的角色执行权限类型转换；

3.8）提取用户当前的角色及其权限类型信息；

3.9）根据用户当前的角色的权限类型信息判断是否允许执行用户请求执行的程序，如果允许则跳转执行下一步，否则禁止执行用户请求的程序并退出；

3.10）根据用户当前的角色判断是否允许执行用户请求执行的程序，如果允许则执行用户请求的程序，否则禁止执行用户请求的程序。

以上所述仅是本发明的优选实施方式，本发明的保护范围并不仅局限于上述实施例，凡属于本发明思路下的技术方案均属于本发明的保护范围。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理前提下的若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。