[發明專利]一種數據中心綜合管理系統的安全管理方法

在審

• 申請號: 201711317303.6
• 申請日: 2017-12-12
• 公開（公告）號: CN108092808A
• 公開（公告）日: 2018-05-29
• 發明（設計）人: 李俊山
• 申請（專利權）人: 鄭州云海信息技術有限公司
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L29/06
• 代理公司: 濟南信達專利事務所有限公司 37100
• 代理人: 馮春連

1.一種數據中心綜合管理系統的安全管理方法，其特征在于，該方法通過定義基于組的用戶層狀管理，定義基于組角色和子角色的權限管理，定義基于組的資源管理，以及定義全局標識與認證機制實現方法，定義配置信息的備份和恢復實現方法，定義日志記錄和審計實現方法，定義密碼管理方法，構建了數據中心綜合管理系統的安全架構，加強了管理的安全防護以及上層用戶訪問、用戶數據和業務邏輯的安全性和可靠性。

2.根據權利要求1所述的一種數據中心綜合管理系統的安全管理方法，其特征在于，所述安全管理方法定義基于組的用戶層狀管理的具體操作為：

定義層狀用戶，其作為數據中心綜合管理系統的真實用戶，工作人員通常是按照部門來管理的，并且具備上下級關系，將這種用戶層級關系在數據中心綜合管理系統中體現；

定義組角色用戶，即組管理員，能夠在本組及其子孫組中添加或刪除新用戶，編輯用戶相關配置信息；

定義子角色用戶，即組角色的輔助角色，在用戶組內部使用，體現用戶權限在用戶組內部的細化與隔離；

定義內置用戶組，使數據中心綜合管理系統擁有五個內置用戶組，分別為超級用戶組、系統管理組、安全管理組、審計管理組和普通用戶組，其中超級用戶組是其余四個用戶組的父組，超級用戶組沒有父組；內置用戶組不能夠被刪除，其相關信息和配置也不能被修改；

用戶管理的主要操作對象是User類實例對象，User類用成員變量來對一個用戶進行描述和限定，通過不同的成員變量就可以唯一標識該用戶。

3.根據權利要求1或2所述的一種數據中心綜合管理系統的安全管理方法，其特征在于，所述安全管理方法定義基于組角色和子角色的權限管理時，采用基于角色的訪問控制機制，通過引入角色權限映射、用戶角色映射機制，將用戶與權限的直接綁定分離，在細化權限管理粒度的同時，最大限度保持權限管理的靈活性。

4.根據權利要求2所述的一種數據中心綜合管理系統的安全管理方法，其特征在于，所述安全管理方法定義基于組角色和子角色的權限管理的具體內容包括：

1）每個用戶組有且僅有一個組角色；

2）組角色在用戶組被創建時同步創建，其擁有的權限繼承自父組組角色的權限，且最大不超過父組組角色的權限，組角色在用戶組被刪除時同步刪除；

3）除admin_u外，每個組角色有且僅有一個父角色，即所屬用戶組父組的組角色，與用戶組類似，已創建的組角色的父角色不能被更改；

4）數據中心綜合管理系統擁有五個內置組角色，分別為admin_u、sysadmin_u、auditadmin_u、guest_u，對應數據中心綜合管理系統的五個內置用戶組的組角色，其中admin_u是另外四個內置組角色的父角色，內置組角色的相關信息和權限不能被更改。

5.根據權利要求4所述的一種數據中心綜合管理系統的安全管理方法，其特征在于，子角色是組角色的輔助角色，在用戶組內部使用，用于用戶權限在用戶組內部的細化與隔離，子角色、組角色、用戶組三者的關系為：：

1）具備組角色的用戶能夠在本組及其子孫組中添加或刪除新子角色，每個子角色有且僅有一個父角色，即其所屬組的組角色；

2）子角色的權限繼承自父角色，且最大不超過父角色的權限，組角色能夠調整本組及其子孫組內的子角色的權限；

3）如果空用戶組被刪除，則屬于該用戶組內的全部子角色被同步刪除；

4）如果非空用戶組內子角色被刪除，那么擁有該子角色的用戶的角色將被提升該用戶組的組角色；

5）子角色只能在用戶組內使用，其權限不能被繼承，也不能成為任何角色組角色或者子角色的父角色。