 |
 |
清软英泰TiPLM产品访问控制解决方案及应用
北京清软英泰信息技术有限公司 党伟升 耿坤瑛 李博
为了能够保证企业所属的信息资源的安全有效，信息系统除有能力确认用户的身份是否合法外，还要能够判断该用户是否有权使用或更改某一项数据信息。这是信息安全的主要功能之一，称为访问控制（Access Control）；若从企业管理的角度来看，这种功能就是权限管理（Authorization Control），即判断对信息资源的执行权限是否经过适当的授权。
权限管理是产品生命周期管理系统的基础模块，保证了系统的用户之间数据共享与安全保密。目前基本的访问控制模型是访问矩阵模型（ACM），但是访问控制矩阵模型太大，并且由于许多主体对于大多数客体不能访问而使得矩阵变得过于稀疏，这使得矩阵不容易执行，权限管理中采用的访问控制模型一般有：自主性访问控制DAC（Discretionary Access Control）、强制型访问控制MAC（Mandatory Access Control）、基于角色访问控制RBAC（Role Based Access Control），后者已经成为前面两个模型的最佳替代者。在RBAC 中，权限与角色相联系，用户作为合适角色的成员而获得权限，极大地简化了用户和权限的管理。清软英泰TiPLM系统采用了目前应用最为广泛的基于角色的访问控制（RBAC）模型。
二、清软英泰TiPLM访问控制解决方案
2.1 访问控制基本概念
访问控制是在计算机系统所属的信息资源遭受未经授权的操作威胁时，能够采用适当的管制及防护措施来保护资源安全性和正确性。
访问控制一般包括：
■主体（subject）：发出访问操作、存取要求的主动方，通常为系统用户或用户程序的某个进程；
■客体（object）：被调用的程序或被存取的数据对象；
■访问规则（rule）：用以确定一个主体对某个客体是否拥有访问权限的判断策略。
访问控制的实质是通过安全访问规则限制访问主体（用户、进程、服务等）对客体（程序、文件等）的访问权限，从而使计算机系统在合法范围内使用。只有经过授权的用户向系统正确提交并验证了自己的身份后，才允许访问特定的系统资源。
将访问控制应用在企业信息管理系统中，是以用户认证为前提，将各种安全策略相互配合起来对企业信息资源起保护作用。信息系统通过实施访问控制，可以限制对关键资源的访问，防止非法用户的侵入或合法用户的操作而造成破坏。安全访问控制中最基本的两个原则就是最小特权原则和职责分离原则。
2.2 清软英泰TiPLM访问控制特点
目前实施PLM系统的企业一般都扩展型或集团型企业比，对权限管理变化差异比较大，权限设置的范围比较广，清软英泰从技术和实施两方面考虑，设计出了非常灵活的授权访问机制，可以满足不同行业、不同领域对于数据安全的需要，主要的特点有：
■支持基于人员、角色、组织并存的授权；
■支持多个层次的对象授权访问控制；
■支持多种方案的权限多级分发；
■支持动态的工作流授权；
■支持权限模型和策略定义；
■支持权限时效性设置；
■支持文件加密和压缩；
■支持安全日志记录；
图1：TiPLM访问控制解决方案示意图
图2 对普通用户直接授权
在大型企业信息化系统中，角色成百上千，用户和权限数目更是上万或者几十万，甚至上百万，要有效地管理这些角色、用户、权限和它们之间的关系是一件非常费力的事情，特别是如果这些关系动态变化，例如部门人员变动等，这些让系统管理员集中管理几乎是不可能的。由于集中权限管理在实际应用中很难进行，清软英泰TiPLM系统根据企业的需要，在基于角色的基础上，创建了多级管理模式，设置管理角色，提高了权限管理的效率。
管理角色采用树状结构，结构清晰，从上往下分级，可以根据企业的需要创建多个子管理员，子管理员只能使用上级分配给自己的权限，同时可以创建自己的子管理员，从根本上解决了特大型企业应用PLM系统中所遇到的权限多、比较难于分配管理的问题，在设计管理角色时候，考虑了遵循职责分离原则和防止越权管理，即管理角色本身拥有的仅仅是分配权限，具体的使用权限由其他管理角色负责分配，管理角色也只能管理自己的直接下级，不能越权。
利用管理角色在企业实施使用过程中可以根据需求分为三种方案：
■以部门作为建立管理角色的依据
优点是组织模型和管理角色父子关系对应起来，结构比较清晰，如果同各组织内部的任务又相似，则可以更好的控制权限的分配。
■以业务模块划分作为建立管理角色的依据
优点是可以让系统安全管理人员清楚哪些人负责哪些访问控制对象的分配权，这样出了问题比较好追踪，同时可以避免不同业务之间同时管理带来的问题。
■业务模块和部门结合
结合两者的优点，一部分管理角色专门负责组织模型的管理，即以部门作为建立管理角色，一部分管理角色专门负责业务对象访问控制的分配。这样可以把人力和业务两者清晰的分开，避免两者融合带来的权限泄漏或其他不利因素。
图2和图3所示分别是以部门和业务模块为依据设置的管理角色示意图。
图2 以部门建立管理角色
图3 以业务模块建立管理角色
清软英泰TiPLM系统已经在不同的行业进行使用，包括航天、汽车、电力、船舶、 电子和其他制造相关行业，完整、细粒度的、满足多需求的权限访问控制体系为企业的成功实施奠定了坚实的基础，下面简要介绍三个典型的实施企业：厦门金龙、绍兴电力局和徐州工程机械集团在实施过程中权限管理的使用情况。
2004年荣登客车生产行业第一宝座的厦门金龙联合汽车工业有限公司，是一个组织结构庞大，产品种类齐全的客车制造企业，在TiPLM系统实施中，采用了根据组织结构划分子管理角色的方案，同时在组织内部，根据业务情况划分更小的子管理角色。TiPLM系统提供的多个层次的对象授权访问控制在这里发挥了很大的作用，使产品的研发过程中可以从6个方面对业务对象进行控制：业务对象安全级别、业务对象直接授权、业务对象类授权、业务对象属性授权、业务对象关联授权、业务对象关联属性授权，保证了产品研发、设计、采购、生产、售后服务协调工作，提高企业协同运作的效率，缩短了产品交付的周期。
绍兴电力局是国电公司命名的全国仅有的几家国际一流供电企业之一，承担着全市供电营业和电网建设任务。绍兴电力局在实施TiPLM系统中一个典型的安全需求就是：按照不同流程划分的项目组动态权限和按照职能部门分配的静态权限要实现自动权限校验。TiPLM系统在权限管理方面采用了统一的授权模型框架，不但支持动态的工作流授权，还考虑到了其它的集成子系统的权限，比如：ERP子系统、CAD子系统等，因此，TiPLM系统很好的满足了绍兴电力局动态的工作流授权需求，提高了授权和校验的效率。
徐州工程机械集团公司是目前国内最大的工程机械开发、制造和出口企业，而徐工研究院则是徐州工程机械集团公司的技术研究与产品开发机构和徐工集团国家级技术中心的主体。徐工研究院典型的权限管理需求是文件的加密和组织授权， TiPLM系统在支持基于角色的访问控制基础上，同时支持了人员和组织的授权；为了保证研究院的图纸不能够被研发人员轻易的浏览和拷贝，TiPLM系统提供了文件的加密功能，极大的方便了文件保密工作。
从上面的三个企业实施TiPLM系统情况来看，分别用到了权限管理的不同方面的特点和优点，特别是随着TiPLM系统整体功能的完善，在权限管理方面提供了更加友好的用户交互界面和批量操作选择，极大的提高了权限管理的效率。
三、总结和展望
不同行业对产品全生命周期管理系统PLM的权限管理需求差异比较大，不同的企业在PLM系统实施过程中，又会提出各种各样的授权特定需求，这是每个PLM产品供应商都应该认真考虑的问题。企业对PLM系统权限管理需求一般有这样的特点：权限主体和客体多元化、生命周期不同阶段权限变化、增长的企业信息化其它软件产品集成权限管理、基于规则授权和基于矩阵授权的结合、权限的分级管理和时效性控制等。
总之，一个具有支持可定制的、开放的、易扩展的访问控制模型对于PLM系统是至关重要的，也是必须的，否则将无法满足企业日益增长和变化的需求。综上所述，TiPLM系统满足了不同行业，不同企业在PLM系统实施和应用过程中对权限管理的不断变化的需求，提高了权限管理的方便性和有效性。
 |
版权所有：北京清软英泰信息技术有限公司 京ICP备05036753 |
地址：北京市海淀区清华大学华业大厦三区四层
邮政编码：100084 |