專利名稱：數(shù)字管理系統(tǒng)與在此類管理系統(tǒng)中管理訪問權(quán)限的方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種數(shù)字管理系統(tǒng)與一種在網(wǎng)絡(luò)環(huán)境中管理訪問權(quán)限的方法，在所述網(wǎng)絡(luò)環(huán)境中，至少兩個可管理的設(shè)備可以連接到所述網(wǎng)絡(luò)，所述管理系統(tǒng)包含處理與至少一個客戶端通信的設(shè)備管理器，所述設(shè)備管理器包含用戶帳戶數(shù)據(jù)結(jié)構(gòu)并且負責(zé)客戶端身份驗證。
背景技術(shù)：
公共信息模型(CIM)為網(wǎng)絡(luò)環(huán)境(例如存儲區(qū)網(wǎng)絡(luò)(SAN))下系統(tǒng)管理的現(xiàn)有標準，以便管理與網(wǎng)絡(luò)相連的存儲設(shè)備。存儲區(qū)網(wǎng)絡(luò)(SAN)提供靈活的、聯(lián)網(wǎng)的存儲基礎(chǔ)架構(gòu)，該架構(gòu)將存儲設(shè)備從其各自服務(wù)器分離。為了達到此目的，SAN包含了交換機結(jié)構(gòu)技術(shù)，一般被稱為SAN結(jié)構(gòu)，以將任意服務(wù)器連接到任意存儲子系統(tǒng)。
公共信息模型(CIM)為用來定義設(shè)備與應(yīng)用特性的計算機工業(yè)標準，從而系統(tǒng)管理員與管理程序?qū)⒛軌蛞酝瑯拥姆绞娇刂苼碜圆煌圃焐袒蛟吹脑O(shè)備與應(yīng)用。例如，從不同公司購買了不同種類存儲設(shè)備的公司將能夠查看有關(guān)每一個此類設(shè)備的同一種類的信息(諸如設(shè)備名稱與型號、序列號、容量、網(wǎng)絡(luò)位置、以及與其他設(shè)備或應(yīng)用的關(guān)系)，或者能夠從程序訪問該信息。CIM利用了可擴展標記語言(XML)。硬件與軟件制造者選擇幾種已定義的XML模式(信息結(jié)構(gòu))之一，以提供有關(guān)其產(chǎn)品的CIM信息。
CIM對象管理器(CIMOM)處理與CIM客戶端的通信，并且對CIM XML消息進行編碼/解碼。另外，其負責(zé)客戶端身份驗證。CIMOM具有可以永久存儲CIM類與實例的知識庫。對于設(shè)備對象的請求被委托給設(shè)備提供商。其封裝了設(shè)備的私有數(shù)據(jù)模型以及協(xié)議，以及任何外部方法的邏輯。
標準體系結(jié)構(gòu)沒有提供任何詳細的授權(quán)機制。

發(fā)明內(nèi)容
據(jù)此，本發(fā)明的目的在于提供一種數(shù)字管理系統(tǒng)以及一種在網(wǎng)絡(luò)環(huán)境中管理訪問權(quán)限的方法，在所述網(wǎng)絡(luò)環(huán)境中，至少兩個可管理的設(shè)備可以連接到所述網(wǎng)絡(luò)，所述管理系統(tǒng)包含處理與至少一個客戶端通信的設(shè)備管理器，所述設(shè)備管理器包含用戶帳戶數(shù)據(jù)結(jié)構(gòu)并且負責(zé)客戶端身份驗證，從而避免了現(xiàn)有技術(shù)的缺點。
本發(fā)明提供了一種新型數(shù)字管理系統(tǒng)以及一種在網(wǎng)絡(luò)環(huán)境中管理訪問權(quán)限的方法，在所述網(wǎng)絡(luò)環(huán)境中，至少兩個可管理的設(shè)備可以連接到所述網(wǎng)絡(luò)，所述管理系統(tǒng)包含處理與至少一個客戶端通信的設(shè)備管理器，所述設(shè)備管理器包含用戶帳戶數(shù)據(jù)結(jié)構(gòu)并且負責(zé)客戶端身份驗證。
該新型數(shù)字管理系統(tǒng)的其特征在于具有集成了客戶端請求管理與帳戶管理的授權(quán)層，其中所述設(shè)備管理器，尤其是CIM對象管理器的用戶帳戶數(shù)據(jù)結(jié)構(gòu)被擴展，從而對于特定設(shè)備的授權(quán)級別被包含在帳戶數(shù)據(jù)中。本發(fā)明允許設(shè)備特有的訪問權(quán)限管理。因此有利的是，該設(shè)備管理器能夠在系統(tǒng)級上檢查用戶授權(quán)。
該管理系統(tǒng)的優(yōu)選實施方式特征在于所述設(shè)備接口被擴展，以允許所述設(shè)備檢索該設(shè)備所負責(zé)的任何對象的范圍系統(tǒng)標識符。有了這一點，該設(shè)備管理器就能夠在系統(tǒng)級上檢查用戶授權(quán)。
該管理系統(tǒng)的另一優(yōu)選實施方式特征在于帳戶提供商可連接到所述設(shè)備管理器，所述帳戶提供商提供有關(guān)客戶端的訪問權(quán)限以及授權(quán)級別的信息。具有對責(zé)任的嚴格分離。設(shè)備提供商一點也不知道用戶帳戶。帳戶提供商一點也不知道系統(tǒng)。
該新型管理方法特征在于向所述用戶帳戶數(shù)據(jù)結(jié)構(gòu)添加所述設(shè)備管理器對哪個設(shè)備具有被批準的訪問的信息。通常的CIMOM實現(xiàn)允許以用戶標識/口令對的形式創(chuàng)建帳戶。當(dāng)CIM客戶端連接到CIMOM時，在CIM客戶端能夠提交CIM請求之前，CIM客戶端必須用有效的用戶標識與口令進行身份驗證。一旦驗證了身份，則客戶端可以獨立于特定用戶標識管理連接到CIMOM的所有設(shè)備。根據(jù)本發(fā)明，客戶端只可以管理設(shè)備管理器具有被批準的訪問的設(shè)備。
該管理方法的優(yōu)選實施方式特征在于每當(dāng)客戶端提交請求時，所述設(shè)備管理器都檢查該用戶帳戶是否具有適當(dāng)?shù)氖跈?quán)。為了作到這一點，其必須知道涉及了哪些系統(tǒng)。
該管理方法的另一優(yōu)選實施方式特征在于所述設(shè)備生成其所管理的每個對象的系統(tǒng)范圍字串，所述字串被傳送給所述帳戶提供商。帳戶提供商與系統(tǒng)范圍相結(jié)合地存儲授權(quán)級別。
該管理方法的另一優(yōu)選實施方式特征在于當(dāng)訪問對象時，所述授權(quán)層從所述設(shè)備檢索系統(tǒng)范圍，并且從所述帳戶提供商檢索授權(quán)級別，以批準或拒絕該請求。
該管理方法的另一優(yōu)選實施方式特征在于所述帳戶管理由管理帳戶的專門提供商(33)作為CIM實例處理，所述CIM實例被存儲在CIMOM知識庫中。
該管理方法的另一優(yōu)選實施方式特征在于所述帳戶管理由與例如LDAP的目錄服務(wù)接口的專門提供商處理。LDAP(輕便目錄訪問協(xié)議)為使任何人都能夠在網(wǎng)絡(luò)中，不管是在公共互聯(lián)網(wǎng)還是在公司內(nèi)部網(wǎng)上，定位組織、個人、以及諸如文件與設(shè)備等其他資源的軟件協(xié)議。在網(wǎng)絡(luò)中，目錄將告訴你在網(wǎng)絡(luò)的哪里能夠找到某物。
該管理方法的另一優(yōu)選實施方式特征在于所述帳戶管理由CIMOM擴展處理，所述CIMOM擴展不提供提供商接口，但是提供某些私有接口以與所述CIMON以及授權(quán)層通信。
該管理方法的另一優(yōu)選實施方式特征在于所述系統(tǒng)范圍以唯一標識所述設(shè)備或設(shè)備提供商的字串的形式生成。在這種情況下，用戶帳戶對由該設(shè)備或提供商所管理的所有對象的訪問被批準/拒絕。
該管理方法的另一優(yōu)選實施方式特征在于所述系統(tǒng)范圍以唯一標識對象組的字串的形式生成。在這種情況下，以每組為基礎(chǔ)批準訪問。
該管理方法的另一優(yōu)選實施方式特征在于所述系統(tǒng)范圍以唯一標識對象的字串的形式生成。在這種情況下，以每個對象為基礎(chǔ)批準訪問。
該管理方法的另一優(yōu)選實施方式特征在于將所述授權(quán)級別構(gòu)造成為指示訪問是否被批準的布爾值的模型。
該管理方法的另一優(yōu)選實施方式特征在于將所述授權(quán)級別構(gòu)造成為批準特定訪問級別的角色的模型。
該管理方法的另一優(yōu)選實施方式特征在于所述授權(quán)級別的模型為指示到例如查看、改變和/或刪除的特定操作的訪問的布爾值集合。
另外，本發(fā)明有關(guān)于一種存儲在數(shù)字計算機的內(nèi)部存儲器中的計算機程序產(chǎn)品，其包含如果在計算機上運行則執(zhí)行上述方法的軟件代碼部件。


本發(fā)明上述以及其他目的、特征與優(yōu)點將在以下描述中變得顯而易見。
本發(fā)明的新穎特征在權(quán)利要求中列出。然而，本發(fā)明自身及其優(yōu)選使用模式、其他目的、以及優(yōu)點最好參照附圖結(jié)合以下對示范性實施方式的詳細描述進行理解，其中圖1顯示現(xiàn)有的CIM代理體系結(jié)構(gòu)；圖2顯示根據(jù)本發(fā)明的體系結(jié)構(gòu)的方框圖；圖3顯示工業(yè)標準的CIMOM體系結(jié)構(gòu)的方框圖；圖4顯示對象枚舉的序列圖；和圖5顯示對象操縱的序列圖。
具體實施例方式
圖1顯示了連接到CIM代理7的多個客戶端1至N，如箭頭4、5所示。在客戶端1至N與CIM代理7之間的連接可以通過(例如)互連網(wǎng)實現(xiàn)。CIM代理7連接到設(shè)備11至M，如箭頭9、10所示?？蛻舳?至N以客戶端服務(wù)器為主機。CIM代理7以CIM代理服務(wù)器為主機。設(shè)備11至M以設(shè)備提供商為主機。客戶端1至N可以是由管理員操作的管理應(yīng)用。在客戶端1至N與CIM代理之間的通信由http上的CIM/XML協(xié)議實現(xiàn)。在CIM代理與設(shè)備11至M之間的通信由本地協(xié)議實現(xiàn)。
圖3顯示圖1所示CIM代理體系結(jié)構(gòu)的方框圖?？蛻舳?0與CIM對象管理器22通信，如箭頭21所示。CIM對象管理器22與知識庫24通信，并且與設(shè)備提供商26至M通信。CIM對象管理器22處理與CIM客戶端20的通信，以及對CIM/XML消息進行編碼/解碼。另外，CIM對象管理器22負責(zé)客戶端身份驗證。CIMOM22使用知識庫24以永久存儲CIM類與實例。對設(shè)備對象的請求被委托給設(shè)備提供商26至M。設(shè)備或設(shè)備提供商26至M封裝設(shè)備的私有數(shù)據(jù)模型與協(xié)議，以及任何外部方法的邏輯。圖1與3中所示的標準體系結(jié)構(gòu)沒有提供任何詳細的授權(quán)機制。任何請求的用戶內(nèi)容(context)為設(shè)備提供商所知。在原理上，它們可以根據(jù)用戶內(nèi)容而批準或拒絕方法，但是在實際上，這看起來此路不通。設(shè)備提供商不負責(zé)用戶管理。每個提供商總是必須保持具有每個用戶訪問權(quán)限信息的數(shù)據(jù)知識庫，并且提供管理訪問權(quán)限的接口。
圖2顯示了根據(jù)本發(fā)明的體系結(jié)構(gòu)的方框圖。與圖3中所示的現(xiàn)有技術(shù)的圖相比，在圖2中，引入了授權(quán)層31，其集成了客戶端請求管理、帳戶管理以及設(shè)備提供商26至M。帳戶提供商32與授權(quán)層31通信。授權(quán)層31檢查設(shè)備提供商26至M的任何所處理對象的系統(tǒng)范圍，并且根據(jù)來自賬戶提供商33的授權(quán)設(shè)置對其評定。根據(jù)本發(fā)明，存在對責(zé)任的嚴格分離。設(shè)備提供商26至M一點也不知道用戶帳戶。帳戶提供商33一點也不知道系統(tǒng)或設(shè)備。設(shè)備提供商26至M生成其所管理的每個對象的系統(tǒng)范圍字串。該字串被傳遞給帳戶提供商33，從而其能夠與系統(tǒng)范圍結(jié)合地存儲授權(quán)級別。對對象訪問時，授權(quán)層31從設(shè)備提供商26至M檢索系統(tǒng)范圍，并從帳戶提供商33檢索授權(quán)級別，以批準或拒絕該請求。
圖4顯示對象枚舉的序列圖。圖4的方框圖被分為四列。第一列為客戶端20。第二列為CIM對象管理器22。第三列為授權(quán)層31。第四列為設(shè)備提供商26。在步驟41，客戶端20登錄。在步驟42，CIM對象管理器22檢查客戶端20的身份。在步驟43，提供相應(yīng)的用戶角色。在步驟44，客戶端20向CIM對象管理器20發(fā)送顯示特殊對象的請求。在步驟45，該請求被從CIM對象管理器22發(fā)送到授權(quán)層31。在步驟46，該請求被從授權(quán)層31發(fā)送到設(shè)備提供商26。在步驟47，在設(shè)備提供商26中處理該請求。在步驟48，所請求的對象被從設(shè)備提供商26傳送給授權(quán)層31。在步驟49，將對獲得對象系統(tǒng)范圍的請求從授權(quán)層31傳送給設(shè)備提供商26。在步驟50，系統(tǒng)范圍被從設(shè)備提供商26傳送給授權(quán)層31。在步驟51，對獲得對于系統(tǒng)的用戶角色的請求被從授權(quán)層31傳送給CIM對象管理器22。在步驟52，用戶角色被從CIM對象管理器22傳送給授權(quán)層31。在步驟53，檢查并評定授權(quán)。在步驟54，將經(jīng)過過濾的對象被從授權(quán)層31傳送給CIM對象管理器22。在步驟55，將經(jīng)過過濾的對象從CIM對象管理器22傳送給客戶端20。
圖5顯示對象操縱的序列圖。圖5所示的序列圖類似于圖4所示的序列圖。相同的部件具有相同的標號。步驟41(登錄)、42(檢查身份)、以及43(獲得用戶角色)與圖4中相同。在步驟64，將對操縱特殊對象的請求從客戶端20傳送給CIM對象管理器22。在步驟65，將該操縱請求從CIM對象管理器22傳送給授權(quán)層31。在步驟66，將對獲取該特殊對象的系統(tǒng)范圍的請求從授權(quán)層31傳送給設(shè)備提供商26。在步驟67，將系統(tǒng)范圍從設(shè)備提供商26傳送給授權(quán)層31。在步驟68，將對獲取對于系統(tǒng)的用戶角色的請求從授權(quán)層31傳送給CIM對象管理器22。在步驟69，將用戶角色從CIM對象管理器22傳送給授權(quán)層31。在步驟70，評定授權(quán)。如果客戶端20被授權(quán)操縱該特殊對象，則在步驟71，該操縱請求被從授權(quán)層31傳送給設(shè)備提供商26。在步驟72，在設(shè)備提供商26中操縱該特殊對象。
權(quán)利要求
1.一種用來在網(wǎng)絡(luò)環(huán)境中管理訪問權(quán)限的數(shù)字管理系統(tǒng)，在所述網(wǎng)絡(luò)環(huán)境中，至少兩個可管理的設(shè)備(26-M)可連接到所述網(wǎng)絡(luò)，所述管理系統(tǒng)包含處理與至少一個客戶端(1-N)通信的設(shè)備管理器(22)，所述設(shè)備管理器(22)包含用戶帳戶數(shù)據(jù)結(jié)構(gòu)并且負責(zé)客戶端身份驗證，所述系統(tǒng)特征在于集成了客戶端請求管理與帳戶管理的授權(quán)層(31)，其中所述設(shè)備管理器(22)，尤其是CIM對象管理器的用戶帳戶數(shù)據(jù)結(jié)構(gòu)被擴展，從而對于特定設(shè)備的授權(quán)級別被包含在帳戶數(shù)據(jù)中。
2.根據(jù)權(quán)利要求1的管理系統(tǒng)，其特征在于所述設(shè)備接口被擴展，以允許所述設(shè)備(26-M)檢索該設(shè)備所負責(zé)的任何對象的范圍系統(tǒng)標識符。
3.根據(jù)權(quán)利要求1的管理系統(tǒng)，其特征在于帳戶提供商(33)可連接到所述設(shè)備管理器(22)，所述帳戶提供商提供有關(guān)客戶端(20)的訪問權(quán)限以及授權(quán)級別的信息。
4.一種用于在管理系統(tǒng)，尤其是在根據(jù)權(quán)利要求1至3中任一項的管理系統(tǒng)中管理訪問權(quán)限的方法，其中至少兩個可管理的設(shè)備(26-M)可連接到網(wǎng)絡(luò)，所述管理系統(tǒng)包含處理與至少一個客戶端(1-N；2O)通信的設(shè)備管理器(22)，所述設(shè)備管理器(22)包含用戶帳戶數(shù)據(jù)結(jié)構(gòu)并且負責(zé)客戶端身份驗證，其特征在于向所述用戶帳戶數(shù)據(jù)結(jié)構(gòu)添加所述設(shè)備管理器(22)對哪個設(shè)備具有被批準的訪問的信息。
5.根據(jù)權(quán)利要求4的方法，其特征在于每當(dāng)客戶端(20)提交請求時，所述設(shè)備管理器(22)都檢查該用戶帳戶是否具有適當(dāng)?shù)氖跈?quán)。
6.根據(jù)權(quán)利要求4的方法，其特征在于所述設(shè)備(26-M)生成其所管理的每個對象的系統(tǒng)范圍字串，所述字串被傳送給所述帳戶提供商(33)。
7.根據(jù)權(quán)利要求4的方法，其特征在于當(dāng)訪問對象時，所述授權(quán)層(31)從所述設(shè)備(26-M)檢索系統(tǒng)范圍，并且從所述帳戶提供商(33)檢索授權(quán)級別，以批準或拒絕該請求。
8.根據(jù)權(quán)利要求4的方法，其特征在于所述帳戶管理由管理帳戶的專門提供商(33)作為CIM實例處理，所述CIM實例被存儲在CIMOM知識庫中。
9.根據(jù)權(quán)利要求4的方法，其特征在于所述帳戶管理由與例如LDAP的目錄服務(wù)接口的專門提供商(33)處理。
10.根據(jù)權(quán)利要求4的方法，其特征在于所述帳戶管理由CIMOM擴展(33)處理，所述CIMOM擴展不提供提供商接口，但是提供某些種私有接口以與所述CIMON以及授權(quán)層通信。
11.根據(jù)權(quán)利要求4的方法，其特征在于所述系統(tǒng)范圍以唯一標識所述設(shè)備(26-M)的字串的形式生成。
12.根據(jù)權(quán)利要求4的方法，其特征在于所述系統(tǒng)范圍以唯一標識對象組的字串的形式生成。
13.根據(jù)權(quán)利要求4的方法，其特征在于所述系統(tǒng)范圍以唯一標識對象的字串的形式生成。
14.根據(jù)權(quán)利要求4的方法，其特征在于將所述授權(quán)級別構(gòu)造成為指示訪問是否被批準的布爾值的模型。
15.根據(jù)權(quán)利要求4的方法，其特征在于將所述授權(quán)級別構(gòu)造成為批準特定訪問級別的角色的模型。
16.根據(jù)權(quán)利要求4的方法，其特征在于所述授權(quán)級別被模擬成指示到例如查看、改變和/或刪除的特定操作的訪問的布爾值集合。
17.一種存儲在數(shù)字計算機的內(nèi)部存儲器中的計算機程序產(chǎn)品，包含如果在計算機上運行該產(chǎn)品，則執(zhí)行根據(jù)權(quán)利要求4至16中任一項的方法的軟件代碼部件。
全文摘要
本發(fā)明提供了一種新型數(shù)字管理系統(tǒng)以及一種在網(wǎng)絡(luò)環(huán)境中管理訪問權(quán)限的方法，在所述網(wǎng)絡(luò)環(huán)境中，至少兩個可管理的設(shè)備可以連接到所述網(wǎng)絡(luò)，所述管理系統(tǒng)包含處理與至少一個客戶端通信的設(shè)備管理器(22)，所述設(shè)備管理器(22)包含用戶帳戶數(shù)據(jù)結(jié)構(gòu)并且負責(zé)客戶端身份驗證。該新型數(shù)字管理系統(tǒng)特征在于具有集成了客戶端請求管理與帳戶管理的授權(quán)層，其中所述設(shè)備管理器(22)，尤其是CIM對象管理器的用戶帳戶數(shù)據(jù)結(jié)構(gòu)被擴展，從而對于特定設(shè)備的授權(quán)級別被包含在帳戶數(shù)據(jù)中。該新型管理方法特征在于向所述用戶帳戶數(shù)據(jù)結(jié)構(gòu)添加所述設(shè)備管理器(22)對哪個設(shè)備具有被批準的訪問的信息。
文檔編號H04L29/06GK1627759SQ20041008252
公開日2005年6月15日 申請日期2004年9月20日 優(yōu)先權(quán)日2003年12月12日
發(fā)明者亞歷山大·沃爾夫－雷伯 申請人:國際商業(yè)機器公司