NC系统用户及权限管理制度

NC系统用户及权限管理制度（精选8篇）

NC系统用户及权限管理制度篇1

第一章总则

第一条

NC-ERP系统用户的管理包括系统用户ID的命名；用户ID的主数据的建立；用户ID的增加、修改；用户ID的终止；用户密码的修改；用户ID的锁定和解锁；临时用户的管理；用户ID的安全管理等。

第二章管理要求

第二条

NC-ERP系统管理员（以下简称系统管理员）在系统中不得任意增加、修改、删除用户ID，必须根据《NC-ERP系统用户账号申请表》和相关领导签字审批才能进行相应操作，并将相关文档存档。

第三条

用户ID的持有人特别是共享的用户ID必须保证用户ID和用户密码的保密和安全，不得对外泄漏，防止非此用户ID的所有者登录系统。

第四条

用户管理员要定期检查系统内用户使用情况，防止非法授权用户恶意登录系统，保证系统的安全。

第五条

用户ID持有人要对其在系统内的行为负责，各部门领导要对本部门用户的行为负责。

第六条

用户ID的命名由系统管理员执行，用户ID命名应遵循用户ID的命名规则，不得随意命名。

第七条

用户ID主数据库的建立应保证准确、完整和统一，在用户ID发生改变时，用户管理员应及时保证主数据库的更新，并做好用户ID变更的归档工作。

第八条

对用户申请表等相关文档各申请部门的用户管理员必须存档，不得遗失。第九条

公司NC-ERP系统中各部门必须明确一名运维管理人员负责本部门用户管理、权限管理及基础数据维护等相关工作。

第三章增加、修改用户ID的管理

第十条

公司NC-ERP系统中增加、修改用户ID应符合下列情况之一：

1、因工作需要新增或修改用户ID；

2、用户ID持有人改变；

3、用户ID封存、冻结、解冻；

4、单位或部门合并、分离、撤消；

5、岗位重新设置；

6、其他需要增加或修改公司NC-ERP系统中用户ID的情况。第十一条

用户ID的增加、修改，须由申请人填写《NC-ERP用户账号申请表》，所在部门主管签字审批后，系统管理员审查并报主管领导审批后执行相应的操作。

第四章用户ID终止的管理

第十二条

用户ID的终止应符合下列情况之一：

1、用户ID的持有人工作调动；

2、用户ID的持有人辞职；

3、废弃的用户ID；

4、临时用户ID。第十三条

用户ID的终止（不包括临时用户）须由该用户ID所属部门负责人或用户权限管理员填写《NC-ERP用户账号申请表》，申请部门主管领导签字，系统管理员审查并报主管领导审批后执行相应的操作。

第十四条

对于辞职人员用户ID终止，应有一个移交期限，并提供明确的到期日。第十五条

终止用户ID应先进行权限流程分析，必要时做好系统权限方案测试，以避免系统稳定性遇到潜在威胁。

第十六条

对终止的用户ID主数据模板必须保存，系统管理员做好文档记录存档。

第五章用户密码修改管理

第十七条

系统管理员进行用户密码修改需符合下列情况之一：

1、用户ID的持有人忘记用户密码；

2、因管理需要，系统管理员需要强行修改用户密码。第十八条

用户ID的持有人忘记密码必须填写《NC-ERP用户账号申请表》，由所在部门用户管理员审查，主管领导签字审批后，由公司用户管理员修改并通知申请人。

第十九条

由于管理需要，强行修改用户ID密码的，必须由该用户所在部门填写《NC-ERP用户账号申请表》，所在单位用户管理员审查及主管领导签字审批后，系统管理员审查并报主管领导审批后执行相应的操作。

第六章用户ID锁定和解锁管理

第二十条

用户ID锁定的目的是防止其他用户进入该系统，是解决临时雇员问题的有效方式。第二十一条

用户进行不正确的登陆，并且超过某一特定次数时，出于系统安全角度的考虑，需要对该用户的ID进行锁定。如需要对该用户的ID予以解锁，在解锁前必须由锁定用户填写《NC-ERP用户账号申请表》，锁定用户所在部门用户管理员审查，主管领导签字审批后，系统管理员审查并报主管领导审批后执行相应的操作。

第七章临时用户管理

第二十二条

临时用户是因工作需要才能建立的一种临时性的系统用户。第二十三条

对临时用户的创建必须由申请人提出申请，申请人填写《NC-ERP用户账号申请表》，所在部门主管签字，系统管理员审查并报主管领导审批后执行相应的操作。

第二十四条

由部门提出临时用户的申请必须明确用户的使用起止期限，如果需要提前终止或延期，必须提前提出书面申请。因为部门未提前出具书面申请，临时用户终止所造成的后果由所在部门主管领导负责。在临时用户到期日前，而提出申请所在部门未提出延期申请，系统管理员在截止日前必须从系统中删除或冻结该临时用户，如果系统管理员未删除或冻结该临时用户，造成的后果由系统管理员负责。

第八章用户ID的安全管理

第二十五条

为保证用户ID通知过程中的安全，系统管理员在通知用户申请部门时，必须使用公司内部邮箱，或直接通知本人，或交给申请部门指定的接收人。反馈内容为《NC-ERP用户账号创建反馈表》。

第二十六条

申请单位的接收人在得到通知后，必须以电话方式与系统管理员进行相互确认，系统管理员做好确认后的记录归档工作。

第二十七条

系统管理员应对用户ID的使用状态进行定期检查，发现废弃的用户ID和非法用户，应及时报主管领导审批并进行删除、冻结，同时做好记录归档。

第二十八条

用户接到初始密码后必须立即进行修改。用户账号的使用密码，一般应在8位以上，并有数字与英文字母组合，每月至少更改一次。

第二十九条

用户如发现账户信息泄露，须尽可能在最短时间内（最长不超过24小时）通知系统管理员及部门主管领导。系统管理员在查明情况前，应暂停该用户的使用权限，并同时对该账户所报数据进行核查，待确认没有造成对报告数据的破坏后，通过修改密码，恢复该账户的使用权限，同时保留书面情况记录，用户所在部门主管领导签字备案。

第三十条

NC系统用户及权限管理制度篇2

在多信息系统集成的环境下, 建立一套标准的用户及权限管理模块是非常必要的。用户及权限管理是管理信息系统框架必须具备的功能管理模块, 目前大多管理信息系统对用户及权限管理是由指定的系统管理员直接对用户或对用户进行授权操作。随着内控制度的进一步细化和健全, 这种管理信息系统用户及权限的管理模式已不再适应管理需要, 特别针对财务相关的管理信息系统, 对规范系统操作, 强化系统运行安全, 降低操作风险的要求更为突出。

随着胜利石油管理局财务管理信息系统的进一步集成和提升, 加固系统运行安全、落实企业内部控制制度, 促使企业管理流程化、规范化操作, 提高企业管理效率成为企业信息化建设的重要内容。

结合胜利石油管理局在财务相关信息化建设的实践和内部控制制度的建设, 从财务管理的角度设计如下用户及权限管理方案。

组织机构设置:

胜利石油管理局是隶属于中国石化的全资子公司, 拥有40多家二级单位和10多家并表子公司。对于财务信息系统中组织机构的设置, 是根据所属各级单位的行政隶属和管理层级等关系创建树形组织机构, 将胜利石油管理局作为根, 首先在根下创建管理局本部作为默认上级单位, 行使管理单位职权, 其他二级单位和并表子公司作为执行单位, 在树形组织机构中与本部平级;在创建三级单位组织机构时, 同样在相应二级单位下先创建本部部门作为默认上级单位上级单位职权, 再创建其他三级单位, 以下层级可依此类推。

按照在上原则创建好的多层级的树形组织机构, 就能保证所有用户创建在最末级的组织机构上, 即使组织机构发生变更, 其相应用户可以由其默认上级的本部进行继承。

1.用户层级及管理关系

将管理信息系统中的用户分为三个层级, 分别是超级管理员、普通管理员和普通用户。

超级管理员只能直接管理普通管理员, 不能直接管理普通用户;普通管理员只能管理普通用户, 经过普通管理员操作须由超级审核系统管理员审核后才能生效。

管理信息系统中的用户权限分为可授权限和可用权限。授权方式可对逐个功能进行授权, 也可按照功能组或岗位进行授权。

1.1超级管理员

超级管理员分为超级系统管理员和超级审核系统管理员。

超级管理员是由系统初始创建, 如用户编号为999999作为超级系统管理员, 用户编号为888888作为超级审核系统管理员。

超级系统管理员的功能就是创建各级普通系统管理员, 同时超级系统管理员拥有系统全部功能的可授权限, 可根据需要将可授权限授予普通系统管理员。

超级审核系统管理员的功能就是对超级系统管理员创建的普通管理员及授予普通管理员的可授权限进行审核生效, 同时还负责对普通管理操作的普通用户及授权进行审核生效。

1.2普通管理员

普通管理员分为普通系统管理员和普通审核系统管理员。普通管理员受超级管理员管理, 具体负责本单位 (部门) 普通用户的管理。

普通系统管理员既有可授权限又有可用权限, 普通系统管理员可创建普通用户, 也可将超级管理员授予的可授权限按照实际需要授予普通用户, 经过普通审核系统管理员审核后, 再由超级审核系统管理员审核后生效。

普通系统管理员可以授予自己及普通审核系统管理员可用权限, 也必须由超级审核系统管理员审核后生效。

1.3普通用户

普通用户是由本单位 (部门) 的普通管理员创建和管理, 只负责在普通系统管理授权的范围内进行相关业务操作。

2.不相容岗位及权限设置

按照企业内部控制制度的要求, 不相容岗位和权限相互分离。内控制度的执行只靠制度来约束很难做到位, 通过系统控制则可不折不扣的执行。在信息系统中通过不相容岗位和不相容权限的设置, 在对用户授权时进行严格控制和检查, 避免不相容岗位和不相容权限授予同一用户, 防止舞弊情况发生。

2.1不相容岗位设置

在信息系统中创建岗位字典, 并根据内控制度定义不相容岗位。对应每个用户设置岗位或角色, 每个用户可一人多岗或多岗一人, 在采用以岗位授权的方式下通过不相容岗位的设置进行控制和检查, 避免不相容岗位授予同一用户。

2.2不相容权限设置

在信息系统中功能菜单字典中定义不相容权限, 主要如在业务操作中负责申请的用户不能进行审核等不相容操作等。在对用户采用逐个功能进行授权时, 由系统控制和检查, 避免不相容权限授予同一用户。

3.普通管理员管理

普通管理员管理包括普通系统管理员及普通审核系统管理员的创建、取消及可授权限的管理。

3.1首批普通管理员的创建

在信息系统上线前由超级管理员创建各单位 (部门) 首批普通管理员, 具体流程如下:

(1) 由各单位 (部门) 线下上报普通系统管理员和审核系统管理员的申请, 包括用户编号、用户姓名等用户信息。

(2) 由超级系统管理员 (999999) 在系统中创建各单位 (部门) 指定的系统管理员或普通审核系统管理员。

(3) 由超级审核系统管理员 (888888) 在系统中审核生效, 生效时, 如果指定用户为普通系统管理员, 由系统自动授予相关的可用权限和可授权限;如果指定用户为普通审核系统管理员, 则由系统自动授予普通审核系统管理员的相关审核权限。

3.2申请或取消普通管理员的流程

信息系统可以将普通用户申请提升为普通管理员, 普通管理员也可以申请转为普通用户。具体流程如下:

(1) 由申请单位 (部门) 普通系统管理员在系统中提交申请, 指定或取消本单位普通系统管理员或系统审核管理员的用户编号和用户姓名。

(2) 由申请单位 (部门) 普通审核系统管理员在系统中审核申请。

(3) 由超级系统管理员 (999999) 确认申请。

(4) 由超级审核系统管理员 (888888) 在系统中审核生效, 生效时, 如果指定或取消用户为普通系统管理员, 由系统自动授予或取消相关的可用权限和可授权限;如果指定或取消用户为普通审核系统管理员, 则由系统自动授予或取消普通审核系统管理员的相关审核权限。

3.3普通管理员可授权限管理

当系统在进行优化升级时, 经常有新增功能权限需要作为可授权限授予普通系统管理员, 用于给相关用户进行授权。

(1) 由超级系统管理员 (999999) 将各单位系统管理员的相关可授权限按用户或批量授予普通系统管理员。

(2) 由超级系统审核管理员 (888888) 审核生效。

4.普通用户管理

普通用户管理是指对普通操作用户的创建、信息变更、封存/启封、可用权限变更的管理。

4.1普通用户创建及变更

(1) 普通系统管理员在信息系统中创建普通用户、修改用户基本信息和可用权限及数据权限调整时, 除了按照统一的用户编号规则维护用户编号、用户名称、岗位、所属单位 (部门) 、Email和联系电话等用户基本信息外, 还可以增加或调整普通用户的可用权限及数据权限。

(2) 本单位 (部门) 普通审核系统管理员对普通系统管理员提交的申请进行审核。

(3) 由超级审核系统管理员 (888888) 审核生效。在超级系统审核管理员 (888888) 审核时, 发现用户权限申请中有不合适或不正确的信息, 可在填写修改意见后, 拒绝到申请单位普通系统管理员处。申请单位普通系统管理员根据反馈意见对申请进行必要的修改后可再次提交。

4.2用户内部调入调出

对于已在系统注册的用户, 在系统组织机构之间调动时, 为了保持用户编号的一致, 增加了用户调入调出管理功能, 具体流程如下:

(1) 由用户调出单位普通系统管理员提交调出用户申请, 并指定用户接收单位 (部门) 。

(2) 由用户接收单位 (部门) 普通系统管理员对调入用户申请进行接收确认。

(3) 由用户接收单位 (部门) 普通审核系统管理员对调入用户申请进行审核。

(4) 由超级审核系统管理员 (888888) 审核后生效。

4.3用户启用及封存

当本地系统用户因相关原因不再使用信息系统, 可由本单位 (部门) 普通系统管理员申请将该用户封存, 用户封存后, 所有权限全部撤销, 该用户不能登录信息系统, 这样可以减少系统运行安全风险。

当已经封存的用户因相关原因需要再使用信息系统, 可由本单位 (部门) 普通系统管理员申请将该用户启用, 用户启用时, 可对该用户进行信息变更和授权, 这样可以不用重新申请用户, 合理利用系统资源。

具体流程如下:

(1) 由本单位 (部门) 普通系统管理员在信息系统中指定要封存或启用的用户, 并填写封存或启用的原因后提交。

(2) 由本单位 (部门) 普通审核系统管理员审核用户封存或启用的申请。

(3) 由超级审核系统管理员 (888888) 审核后生效。

4.4用户密码重置

在信息系统运行过程中, 部分用户可能会因某种原因忘记登录系统的密码, 因此采用用户密码重置的方式方便和安全的解决用户密码遗忘问题, 具体流程如下:

(1) 由本单位 (部门) 普通系统管理员在信息系统中指定要密码重置的用户。

(2) 由本单位 (部门) 普通审核系统管理员审核用户密码重置的申请。

(3) 由超级审核系统管理员 (888888) 审核生效后, 信息系统将随机产生的密码发送到重置密码用户登记的Email, 或采用短信的方式将随机密码发送到重置密码用户登记的联系电话。

5.总结

目前, 经过胜利石油管理局在财务信息系统集成方面所做的实践, 在信息系统集成框架中, 将组织机构、用户及权限管理功能作为独立管理的基础模块, 再将原来独立的信息系统的核心管理功能作为集成框架中的单个子模块, 与基础模块信息共享, 实现用户统一登录, 可根据权限设置, 操作集成框架中的相关功能模块。通过标准的组织机构、用户及权限管理功能, 即保证了登录信息系统用户的信息和身份唯一, 也大大简化了信息系统维护和管理的工作量。

除了对信息系统本身在系统安全和用户及权限安全方面进行加固外, 还应在系统运行环境方面做好以下工作:

(1) 信息系统用户要严守单位机密, 不得对外散布、传播信息系统相关信息。

(2) 信息系统用户须在运行信息系统的计算机上安装杀毒软件、防火墙, 定期查杀病毒;禁止在运行信息系统的计算机上安装、运行含有病毒、恶意代码、木马的程序, 不得运行黑客程序及进行黑客操作。

(3) 信息系统用户密码, 一般应在8位或8位以上, 并有数字与英文字母组合, 每月至少更改一次。

(4) 对于信息系统中运行和管理风险较高的用户或岗位, 须采用USB-KEY认证方式登录系统, 同时采用IP或MAC地址绑定。

参考文献

[1]卫红春.信息系统分析与设计.西安电子科技大学出版社, 2003.

NC系统用户及权限管理制度篇3

问题有点棘手，于是想到去MSDN上查看有哪些可以用的关于的菜单消息，我找到了两

WM_MENUCHAR,WM_MENUSELECT,WM_MENUCHAR是用来判断当有菜单项被选中时，接收到了来自键盘的按键的时候触发，WM_MENUSELECT是在菜单项选中时触发，于是我试了两个消息，发现在映射到WM_MENUSELECT的用户自定义事件中用KEYDOWN判断用户是否按下键根本没用，现在大家明白了，WM_MENUCHAR就是解决问题的关键所在。

WM_MENUCHAR消息是在当用户选中了某个菜单项时(任一个)，只是只要按下键盘上的任一个有效键，通过消息上的CHAR可以看出来，就可以触发该事件了，这样。我可以在选中某个菜单项的时候，在出来这个消息的事件里让这个菜单项的CHECKED属性变化，这样就可以让菜单保持展开状态，实现复选了。

在菜单所在窗口中定义一个用户事件，映射到系统消息PBM_MENUCHAR 叫US_MENUCHAR

在这个事件里写

int li_upper

li_upper=upperbound(myCurMenu.item)

if keydown(keyD!)and li_upper= 0 then //判断D键是否按下和是否还有下一级菜单，但是在这里keydown判断不了是否鼠标右键被按下，是因为这个消息只取键盘按键按下与否的信息，

myCurMenu.checked=not myCurMenu.checked

myCurMenu.enabled=not myCurMenu.enabled

end if

myCurMenu是个全局变量，用来存放当前用户选中的菜单项，当然这需要在每个菜单项的SELECTED事件里加上一句

MyCurMenu =this

来获得当前高亮显示的菜单。

当然你也可以用API从WM_MENUCHAR消息带来的菜单句炳等去判断是哪个菜单项按下，我试了，没成功。大家可以自己试!

大致的编码就这么多，比较简单，但是没能实现用鼠标右键点选权限，只能用键盘来控制，还是有那么一点不方便。但是感觉还是比较方便实用的，欢迎大家斧正!谢谢!

NC系统用户及权限管理制度篇4

下面说下打开管理权限的命令行方法

在命令行下用命令runas来提升管理员权限

步骤：

1、首先用命令lusrmgr.msc打开(/本地用户和组)

2、启administrator用户并设置密码(/密码不能为空)

3、在命令行下用命令runas/user:administratorcmd.exe运行即可，弹出管理权限的命令框

至此命令行就获得管理员权限也就可以运行更多的命令了

设置水星路由用户的不同权限篇5

一、菜单说明

1、访问控制的方式：不启用、允许规则之外的通过和禁止规则之外的通过三种选择，请根据需要来进行选择，

(1)不启用访问控制，列表中添加的所有规则将不其作用。

(2)允许规则之外的通过，列表中的规则受到相应控制，列表之外的不受管控。

(3)禁止规则之外的通过，只有列表之中的规则能通过，列表之外的所有进入和出去的规则将都被禁止。

2、状态：选择是否激活此规则，日志选项若启用，则会记录到日志里面。

3、描述：对此规则的简单描述。

4、控制方式：分为‘允许通过’和‘禁止通过’两类。用户可以选择此规则是否允许通过。

5、执行顺序：规则的优先级别，数字越小优先级越高，范围为1-65535，

6、主机IP地址范围：填写需要管控的IP地址范围，可以是单个IP也可以是多个IP或者IP段。

7、远端地址范围(基于IP)：广域网的一个IP范围段(单个IP或一个IP段)。

8、远端地址范围(基于域名)：广域网的一个域名或多个域名。

9、协议：目的端口类型。

10、基于时间控制：是否启动按时间段管控功能，若启用，用户可自定义管控时间段。

二、接下来我们以一个例子来给大家演示

假设限制IP为192.168.1.10-192.168.1.20之间的机器只能上QQ跟浏览网页，其他机器不做限定。

1、选择访问控制的方式为允许规则之外的通过，点击提交。

2、添加一条禁止192.168.1.10-192.168.1.20之间的IP访问任何地址的规则。

3、再添加一条允许192.168.1.10-192.168.1.20之间的IP访问网页跟QQ的规则。

VDP系统用户角色与权限设计篇6

本项目即“新疆维吾尔自治区职业学校数据信息平台 (简称VDP) , 由新疆维吾尔自治区职教办职业教育协调处根据业务工作的迫切需要而提出, 旨在使我区职业院校与政府职教管理部门能摆脱半手工操作模式, 提高工作效率[1];信息管理条理化、科学化, 方便管理部门快速实现准确的查询与统计;经过规范工作流程与信息的不断积累, 为我区职业教育管理工作提供数据基础, 辅助领导决策[4]。

2 角色与类的设计

角色访问控制 (Role—Based Access Control, RBAC) 模型指出, 角色是中介, 将权限授予角色, 用户通过分配角色, 从而得到对客体资源的操作权限授权[3]。而在本系统中, 系统管理员具有系统最高级别的权限, 实行信息的全局管理与数据维护工作。普通用户由系统管理员分配权限, 在角色权限范围内进行访问与操作。

2.1 角色设计

角色是一组用户的集合, 具有指定的权限完成特定的资源访问与操作行为。为对有相似权限的用户进行分类管理, 定义了系统管理员、管理员、用户、访客等角色。角色具有上下级关系, 系统管理员通过角色授权分配权限资源, 那么, 下级角色的权限范围只能在上级权限范围实行进行授权操作。

角色从属于编码级别, 角色管理两个部分, 一个是菜单功能权限, 和报表内容权限。角色报表权限不同于编码内定权限, 一旦赋予角色相关报表的权限, 则本角色可以跨越编码级别对属于本角色的报表直接管理。但系统会给出提示, 并记录日志。

本系统初步要求建立几个以下角色并赋予相关功能和报表管理范围。根据实际情况予以改变这些默认的角色。

2.2 类的设计

角色控制Role Controller依据需求设计相应功能方法, 主要代码如下所示:

3 权限设计与实现

3.1 权限要求

本系统的权限要求分为资源和功能两个部分, 资源采用管理具体到报表方式, 而功能则根据菜单来定义, 关于审批的要求具体如下:

A1A2根级权限, 可以统计查询属于它之下的所有编码范围报表信息。

B1B2B3B4属于教育管理机构级别, 可以查询统计属于本编码范围之下的任何学校报表信息。

C1C2C3C4C5C6属于终端级权限, 只可查询审批统计本学校内的所有报表信息。

3.2 权限设计

根据访问控制[2]要求, 在数据库中设计模块表、功能表和角色表等三类表。本系统按照组织机构、角色、权限三个部分设计如下:

(1) 组织机构:根据新疆的行政区划, 涉及15个地州、200多所职业院校。

(2) 角色:超级管理员、数据审核员 (自治区级) 、地州管理员、院校领导、院校管理员、院校填报员。

(3) 权限:对报表的下发、填写、功能菜单的选择等。

设计原理:首先创建根节点组织结构名称, 然后添加子节点为各个院校名称, 再把相关角色的用户分配到组织机构, 并为每个用户指定角色, 由角色和组织机构来确定用户的操作权限。

3.3 用户角色权限实现

权限控制Manage Controller依据需求设计相应功能方法如下:

实现后的主要页面如图1—图4所示。

4 结语

本文介绍了通过组织机构节点控制, 分配角色的用户分配到组织机构, 并为每个用户指定角色, 最后由角色和组织机构来确定用户的操作权限设计方法[5]。最终实现了系统管理员、教师用户、院校管理员、领导用户、地州管理员、数据审核员等几种角色的编码及菜单权限分配。符合VDP系统角色与权限的设计需求, 为整个系统的设计实现奠定了基础。

摘要：针对VDP系统中的用户、角色、权限访问控制的问题, 提出了一种基于编码的角色访问控制和用户权限设计的方法。利用角色访问控制技术可以有效地实现用户访问权限的动态管理, 取得了较好的效果。

关键词：角色,权限,设计

参考文献

[1]李忠雄, 唐雪梅.基于C#.NET的学生信息管理系统设计与实现[J].电脑与电信, 2011, 7:52-53.

[2]张锐, 张建林, 孙国忠.多业务系统的统一认证授权研究与设计[J].计算机工程与设计, 2009, 30 (8) :1826-1828.

[3]朱一群.基于用户信任的动态多级访问控制模型[J].计算机工程, 2011, 37 (23) :129-130.

[4]柳胜.性能测试从零开始:loadrunner入门[M].电子工业出版社, 2008:16-34

NC系统用户及权限管理制度篇7

关键词：教学文档管理平台,权限管理,RBAC模型

在教学文档管理中, 由于文档种类繁多, 如果没有安全性较高的权限管理, 就会对文档中数据的安全性和保密性造成极大的威胁, 由此我们结合RBAC权限管理的理论, 并根据教学中的实际情况, 设计出了教学文档管理平台的用户权限管理模式。

1 用户权限管理模型

1.1 关于RBAC模型

说起权限管理模型, RBAC模型是目前使用比较普遍的一种访问控制方法。我们依据RBAC模型为基础模型创建了基于教学管理平台中的权限管理模型。RBAC模型共有四个部件模型, 这四个部件模型分别是RBAC0、RBAC1、RBAC2和RBAC3, 其中RBAC0是基本模型、RBAC1是角色分级模型、RBAC2是角色限制模型、RBAC3是统一模型[1]。它们的主要功能如下:

(1) RBAC0模型是RBAC控制系统的最小的元素集合, 其模型如图1.1所示。

(2) RBAC1模型引入了角色间的继承关系, 这种继承关系有两个方面组成:一般继承关系和受限继承关系。

(3) RBAC2是在以上两个模型的基础上添加了责任分离关系。在以下的几种前提下, 它约束一个角色时所应遵循的强制性规则:一是在角色被赋予用户时, 二是权限被赋予角色时, 三是当用户在某一时刻被激活时。

(4) RBAC3模型包含了RBAC1模型和RBAC2模型, 既提供了责任分离关系, 又提供了角色间的继承关系。

1.2 模型扩展

目前, 教学文档被计算机系的全体教师普遍应用, 随着教学改革的深入实施, 该平台的使用范围将会逐步地扩大到全院教师的范围。该平台的使用范围特点是角色众多, 角色间的关系复杂。在平台中, 需要把不同的使用权限赋予不同角色的人员和不同专业团队的人员;此外用户还有全局和部门两种类型, 拥有全局权限的用户 (如主管教学的系主任) 可以操作进行所有数据的浏览、添加、修改、删除操作, 每个专业管理团队用户的访问权限只能限定在自己所在的或所管理的几个部门的数据中;此外还有一些功能只有特定人员才有权限使用, 例如每个教师只能查看自己课程的教学任务书、课程大纲、教学日历、考试大纲等等, 在平台中拥有不同权限的用户即使操作相同功能, 其操纵权限也不相同, 如教学主任和教学秘书都可以查看所有的考试任务书信息, 但是教学主任有对数据进行操作的功能, 而教学秘书只有该信息的查看功能。总之, 平台中的角色很多, 系统的权限分配问题也因而显得异常复杂。

基于上面提到的在教学文档管理平台中的实际权限应用需要, 我们在RBAC模型的基础上进行了合理的改进和扩展。我们基于RBAC模型引入“组”这一新的对象, 该对象主要应用在通过角色、分组等方式对功能进行分层次归纳中, 归纳以后再通过组、用户和角色间的相互关系, 在此基础上抽象出用户与功能间的关系视图, 如图1.2所示。

2 权限控制的设计

2.1 数据库设计

基于以上的分析, 我们在RBAC模型的权限设计思想基础上建立权限管理系统的核心对象模型。该管理模型首先使用在了数据库设计方面, 教学文档管理平台的数据库ER图, 如图2.1所示[2]。

2.2 类的设计

在数据库ER图设计的基础上, 我们在类的设计中应用该管理模型。教学文档管理平台的关系类图, 如图2.2所示。

我们可以看出, 在以上的类关系图和E R图中, 所以权限可以抽象为五个对象组成。其中Permission权限中含有Resource和Operation的聚合。自包含的有Role和Permission。由于涉及到权限的继承, Resource资源也可能设计为一颗树形结构, 并且资源也要实现自包含[3]。

3 实现权限控制

3.1 权限系统的核心

权限系统的核心部分主要由以下三部分构成:创造权限、分配权限和使用权限。这三个核心部分的权限操作、角色和动作之间的对照关系, 如表3.1所示。

由表3.1我们可以得出如下结论:Creator创造权限;Privilege与Resource Instance的关联由Administrator指定;User使用Administrator分配给的权限去使用各个子系统。

3.2 权限管理系统框架

根据上面对权限管理模型分析, 我们设计出了如图3.1所示的权限管理系统框架。

该框架中主要包括:授权规则管理模块、用户角色管理模块、访问请求监视、拦截部件等几大部分。

4 结语

在本文基于针对RBAC模型进行改良并在技术上实现的可行方案。该权限管理在教学文档管理平台中已得到了成功应用。

参考文献

[1]李晶, 等.基于RBAC模型的权限管理系统的设计和实现[J].软件导刊, 2009, (4) :122-124.

[2]许春根, 贡生.一种新型的基于角色访问控制的角色管理模型[J].计算机工程, 2003, (8) :26-28.

NC系统用户及权限管理制度篇8

关键词：Linux系统,权限管理

1 Linux文件权限简介

Linux是一个多用户和多多任务的操作系统, 在Linux系统中信息都存放在文件中, 系统里运行的程序都以文件的形式存储。不同的用户为了不同的目的使用操作系统是通过系统赋予用户对某个文件的特定权限来实现的。

Linux系统中文件或目录的访问权限分为读权限, 写权限和可执行权限三种, 分别用r、w和x表示。用户具有读权限可以使用cat、more等文件查看程序读取文件的内容, 这种方式仅仅是读取, 不能对文件进行修改;用户具有写权限可以在目录中创建新的文件或者修改已有的文件;用户具有执行权限可以执行一些可执行程序。在linux系统中, 有三种不同类型的用户可对对文件或者目录拥有不同的权限, 这三类用户是文件所有者, 同组用户、其他用户。

用户可以通过ls-l命令查看系统中目录或者文件的权限信息, 运行结果如下所示:

上述结果中第一列数据表示了文件或者目录的类型和权限信息, 其中第一位字符表示了该文件的类型;第二位到第十位字符表示了该文件所对应的系统中三类用户所具有的权限信息, 其中第二到四位表示该文件的所有者对该文件所具有的权限;第五到七位表示同组用户对该文件所具有的权限;第八到十位表示了系统中除了前两类用户以外的其他用户对该文件所具有的权限。这三组信息依次由r、w、x或者-组成, 如果在某个位置上的字符是-, 说明此类用户没有该位置上的某个权限。例如:rwx表示该用户具有读、写、执行的权限;r-x表示该用户具有读、执行权限, 而没有写权限。

2 Linux文件权限设置

确定了某个文件或者目录的访问权限以后, 用户可以使用linux系统提供的chmod命令来重新设置文件或者目录的访问权限, 达到控制不同用户对文件的不同的访问权限。该命令有两种用法。一是包含字母和操作符表达式的文字设定法;另一种是包含数字的数字设定法。

2.1 文字设定法

利用chmod设置文件权限的文字设定法的语法格式如下:

chmod[who][+|-|=][mode]文件名列表

选项Who的取值以及含义:u表示“属主 (user) ”, 即文件或者目录的所有者;g表示“所属组 (group) ”里的用户, 即组名或者组ID与文件中的组名或者组ID相同的用户;o表示既不属于属主 (user) , 也不属于group的其他用户;a表示“所有 (all) ”用户。它是系统默认值。选项中“+”表示添加某个权限;“-”表示取消某个权限;“=”表示赋予某个权限, 并取消原有的权限。Mode选项取值和含义:r表示可读权限;w表示可写权限;x表示可执行权限。命令中可以给出多种权限方式中间用逗号隔开。

应用实例1:为同组用户添加对文件a.txt的执行权限

应用实例2:取消其他用户对文件a.txt的写权限

应用实例3:重新赋予文件所有者对文件a.txt权限为读权限和写权限

应用实例4:为同组用户和其他用户添加对文件a.txt的写权限

应用实例5:取消同组用户对文件a.txt的写权限并添加其他用户对文件a.txt的写权限

2.2 数字设定法

数字设定法是与文字设定法功能等价的设定方法, 只不过比文字设定法更加简洁。数字设定法用3个二进制位来表示文件权限。第一位表示r权限 (可读) , 第二位表示w权限 (可写) , 也可以直接用十进制数计算。0表示没有权限, 1表示x权限, 2表示w权限, 4表示r权限, 然后将其相加。所以数字属性的格式应为3个从0到7的八进制数, 其顺序是 (u) 、 (g) 、 (o) 。其他的与文字设定法基本一致。

语法格式为:

其中mode由XXX三位数字组成, 第一位的数字表示所有者的权限, 第二位数字表示同组用户的权限, 第三位数字表示其他用户的权限, filename为设定权限的文件名称。

应用实例6:设置a.txt的文件权限使所有者具有读、写、执行权限;同组用户具有读、写权限;其他用户具有读、执行权限

分析:读权限用4表示, 写权限用2表示, 执行权限用1表示;所有者具有读、写、执行权限, 因此权限所代表的数字相加为4+2+1=7;同理同组用户权限为6, 其他用户权限为5, 综上所述, 字符数字设定法中的mode的应设置为765。

参考文献

[1]刘海涛, 等.Linux中文件权限管理的探讨[J].微型计算机信息, 2006 (3) .

[2]何明, 等.Linux培训教程[M].清华大学出版社, 2010.01.

[3]贺惠萍, 等.应用程序用户权限机制研究[J].微计算机信息, 2005, 9:19-21.

[4]罗琰, 等.Linux环境下访问控制列表机制的设计与实现.解放军理工大学学报 (自然科学版) , 2004.6.

[5]陈旭, 等.Linux系统网络安全问题分析及对策[J].合肥工业大学学报, 2002, 5 (3) .

【NC系统用户及权限管理制度】推荐阅读：

网站用户管理系统06-19