论文部分内容阅读
摘要: 面向服务的体系结构具有开发效率高等优点,但是由于其计算的动态性导致了安全管理非常复杂,因此传统的访问控制面临挑战,必须对面向服务的工作流访问控制进行研究,以有效地加强系统的安全性。由于服务是流程任务的抽象执行和实施访问控制的基本单元,从工作流访问控制与流程分离的角度,阐述用服务的访问控制替代流程任务的访问控制的思想。
关键词: 面向服务;工作流;访问控制
中图分类号:TP3文献标识码:A文章编号:1671-7597(2010)0810074-01
1 面向服务的工作流访问控制研究的必要性
随着信息化的发展,各个部门的组织结构和业务流程经常发生变更,必然要求重新定义人员在业务流程中所拥有的权限,使得工作流访问控制的实现更加困难。因而,应当使工作流访问控制与流程分离,调整工作流访问控制,避免业务流程的改变对部门的组织安全策略造成的影响。同时,也可以通过调整工作流访问控制来减少部门的组织结构的变化对流程模型的影响,有助于流程的快速变更与部署。
2 面向服务的工作流访问控制
2.1 工作流的定义和相关概念
工作流是业务流程的一种计算机化的自动化或半自动化的执行。在执行过程中,文档、信息或者任务按照过程中每一个步骤的定义、步骤之间的关系、条件以及数据交互、每一个步骤的执行者和所需要的应用程序等整个过程的一定的过程规则流转,实现组织成员间的协调工作,最终达到业务流程的整体目标。
工作流中的元素包括:工作流;工作流中的流程任务;流程实例;任务实例。工作流是一组任务的集合,每个任务是一个三元组,包括任务上的输入数据类型集合和输出数据类型集合以及任务需要执行的操作集合。工作流的运行过程看做工作流的一个流程实例的执行,流程实例是一组任务实例的集合。
2.2 面向服务的工作流访问控制模型
面向服务的工作流访问控制模型的基本元素包括:用户集合;角色集合;服务集合;与流程任务执行相关的权限集合;服务调用的会话集。
用户是工作流中的流程执行的参与者,可以是具体的人员或者是代替具体的人员执行流程任务的应用。角色用于描述组织模型中的责任单元,角色之间的偏序层次关系可以用来定义组织模型的结构,角色与用户是多对多的关系。服务集合是由一组服务组成的,工作流与用户之间的数据交互需求通过服务的输入参数和输出参数描述,任务上的数据类型与服务上的参数类型在任务到服务的映射过程中,存在一一对应关系。权限集合定义了在业务流程执行过程中所需要的权限,是与任务执行相关的抽象权限,例如“提交公文”、“审核公文”等,而不是具体的系统权限,如“查询记录”、“添加记录”等,抽象权限的解释执行与工作流系统的具体实现相关。服务调用的会话集中的会话在运行时将服务实例与用户相关联,在用户登录工作流系统的过程中,只对用户进行验证,并不给用户任何权限,当用户执行服务时,工作流系统会建立服务调用会话,将服务实例及其上被激活的权限和角色赋予用户,在会话终止后,用户的角色及其权限将随着服务实例一起被收回。每个服务调用会话存在以下两个函数:一个函数将每个服务调用会话映射为单个用户,另外一个函数将每个服务调用会话映射为单个服务实例。由于服务实例上的权限仅与服务实例对应的流程任务相关,所以,通过服务调用会话的机制,能够支持最小特权原则。
2.3 面向服务的工作流访问控制的应用
面向服务的工作流访问控制已经在学校的办公自动化系统中应用。通过一个简单的工作流实例,即一个学校办公自动化系统的发文流程,来说明上述面向服务的工作流访问控制模型的应用,其中包括四个流程任务:学校发文部门拟稿;送交部门负责人进行审阅,如果需要改动,则说明改动意见,返回给拟稿人,否则转到下一步;送交领导审核签字;返回原部门打印归档。从学校组织结构的角度,学校办公自动化系统的发文流程涉及到以下角色:领导;部门负责人;拟稿人。这些角色之间具有层次关系。定义发文流程中的权限集合P={拟稿,审阅公文,审核公文,打印归档}。
根据面向服务的工作流访问控制模型,可以为流程中的各个任务定义相关的服务:1)拟稿服务;2)审阅公文服务;3)审核公文服务;4)打印归档服务。
面向服务的工作流访问控制的实现主要由以下三个模块组成:
1)服务授权规范模块,为访问控制管理工具提供操作接口,从而完成模型中部分元素的定义,包括服务、流程中的执行权限、服务与角色的关联、服务与权限的关联、冲突服务和冲突权限,这些元素的定义存储于面向服务的工作流访问控制模型的服务授权库。
2)服务授权日志模块,为每个流程实例建立服务授权历史记录,在一个流程实例启动时,执行服务器会通知此模块初始化一个流程实例的授权历史记录。对于流程实例执行过程中的每次服务实例执行操作,都记入此流程实例的服务授权历史。
3)服务授权管理器,通过服务调用会话机制完成流程实例的授权管理,包括服务实例的创建和撤销、服务调用会话的创建和撤销、对服务实例实施动态责任分离的授权约束。
3 总结
面向服务的工作流访问控制中,服务是流程任务的抽象执行和实施访问控制的基本单元,通过工作流访问控制与流程的分离,在实际的学校办公自动化系统中较好地实现了访问控制的管理。
参考文献:
[1]许峰,赖海光,黄皓,等.面向服务的角色访问控制技术研究[J].计算机学报,2005(4):686-693.
[2]陈伟鹤,殷新春,茅兵,谢立.基于任务和角色的双重Web访问控制模型[J].计算机研究与发展,2004.09.
作者简介:
鲁力(1973-),广西人,本科,讲师,长沙市卫生学校,从事计算机科学方面的教学与研究。
关键词: 面向服务;工作流;访问控制
中图分类号:TP3文献标识码:A文章编号:1671-7597(2010)0810074-01
1 面向服务的工作流访问控制研究的必要性
随着信息化的发展,各个部门的组织结构和业务流程经常发生变更,必然要求重新定义人员在业务流程中所拥有的权限,使得工作流访问控制的实现更加困难。因而,应当使工作流访问控制与流程分离,调整工作流访问控制,避免业务流程的改变对部门的组织安全策略造成的影响。同时,也可以通过调整工作流访问控制来减少部门的组织结构的变化对流程模型的影响,有助于流程的快速变更与部署。
2 面向服务的工作流访问控制
2.1 工作流的定义和相关概念
工作流是业务流程的一种计算机化的自动化或半自动化的执行。在执行过程中,文档、信息或者任务按照过程中每一个步骤的定义、步骤之间的关系、条件以及数据交互、每一个步骤的执行者和所需要的应用程序等整个过程的一定的过程规则流转,实现组织成员间的协调工作,最终达到业务流程的整体目标。
工作流中的元素包括:工作流;工作流中的流程任务;流程实例;任务实例。工作流是一组任务的集合,每个任务是一个三元组,包括任务上的输入数据类型集合和输出数据类型集合以及任务需要执行的操作集合。工作流的运行过程看做工作流的一个流程实例的执行,流程实例是一组任务实例的集合。
2.2 面向服务的工作流访问控制模型
面向服务的工作流访问控制模型的基本元素包括:用户集合;角色集合;服务集合;与流程任务执行相关的权限集合;服务调用的会话集。
用户是工作流中的流程执行的参与者,可以是具体的人员或者是代替具体的人员执行流程任务的应用。角色用于描述组织模型中的责任单元,角色之间的偏序层次关系可以用来定义组织模型的结构,角色与用户是多对多的关系。服务集合是由一组服务组成的,工作流与用户之间的数据交互需求通过服务的输入参数和输出参数描述,任务上的数据类型与服务上的参数类型在任务到服务的映射过程中,存在一一对应关系。权限集合定义了在业务流程执行过程中所需要的权限,是与任务执行相关的抽象权限,例如“提交公文”、“审核公文”等,而不是具体的系统权限,如“查询记录”、“添加记录”等,抽象权限的解释执行与工作流系统的具体实现相关。服务调用的会话集中的会话在运行时将服务实例与用户相关联,在用户登录工作流系统的过程中,只对用户进行验证,并不给用户任何权限,当用户执行服务时,工作流系统会建立服务调用会话,将服务实例及其上被激活的权限和角色赋予用户,在会话终止后,用户的角色及其权限将随着服务实例一起被收回。每个服务调用会话存在以下两个函数:一个函数将每个服务调用会话映射为单个用户,另外一个函数将每个服务调用会话映射为单个服务实例。由于服务实例上的权限仅与服务实例对应的流程任务相关,所以,通过服务调用会话的机制,能够支持最小特权原则。
2.3 面向服务的工作流访问控制的应用
面向服务的工作流访问控制已经在学校的办公自动化系统中应用。通过一个简单的工作流实例,即一个学校办公自动化系统的发文流程,来说明上述面向服务的工作流访问控制模型的应用,其中包括四个流程任务:学校发文部门拟稿;送交部门负责人进行审阅,如果需要改动,则说明改动意见,返回给拟稿人,否则转到下一步;送交领导审核签字;返回原部门打印归档。从学校组织结构的角度,学校办公自动化系统的发文流程涉及到以下角色:领导;部门负责人;拟稿人。这些角色之间具有层次关系。定义发文流程中的权限集合P={拟稿,审阅公文,审核公文,打印归档}。
根据面向服务的工作流访问控制模型,可以为流程中的各个任务定义相关的服务:1)拟稿服务;2)审阅公文服务;3)审核公文服务;4)打印归档服务。
面向服务的工作流访问控制的实现主要由以下三个模块组成:
1)服务授权规范模块,为访问控制管理工具提供操作接口,从而完成模型中部分元素的定义,包括服务、流程中的执行权限、服务与角色的关联、服务与权限的关联、冲突服务和冲突权限,这些元素的定义存储于面向服务的工作流访问控制模型的服务授权库。
2)服务授权日志模块,为每个流程实例建立服务授权历史记录,在一个流程实例启动时,执行服务器会通知此模块初始化一个流程实例的授权历史记录。对于流程实例执行过程中的每次服务实例执行操作,都记入此流程实例的服务授权历史。
3)服务授权管理器,通过服务调用会话机制完成流程实例的授权管理,包括服务实例的创建和撤销、服务调用会话的创建和撤销、对服务实例实施动态责任分离的授权约束。
3 总结
面向服务的工作流访问控制中,服务是流程任务的抽象执行和实施访问控制的基本单元,通过工作流访问控制与流程的分离,在实际的学校办公自动化系统中较好地实现了访问控制的管理。
参考文献:
[1]许峰,赖海光,黄皓,等.面向服务的角色访问控制技术研究[J].计算机学报,2005(4):686-693.
[2]陈伟鹤,殷新春,茅兵,谢立.基于任务和角色的双重Web访问控制模型[J].计算机研究与发展,2004.09.
作者简介:
鲁力(1973-),广西人,本科,讲师,长沙市卫生学校,从事计算机科学方面的教学与研究。