环境保护权限

2024-09-03

环境保护权限（精选8篇）

环境保护权限篇1

0 引言

不管在哪个服务器系统上,任何一个文件的执行都必须具有一定的权限,如果黑客获得了这个权限,就有可能利用这个漏洞运行一些黑客程序,从而达到控制整个计算机的目的。反之,即使黑客能够把一些黑客程序上传到服务器上,由于权限的问题,这些黑客程序也将无法运行,不能危害我们的系统。例如findpass就是这样的。

1 Windows系统权限保护

首先关注密码安全。在很多安全事件发生之后,人们在查看原因时,都会发现一个非常惊人的事情,就是很多人一般不设置或者仅设置了很简单的Windows管理员密码。这实际上就等于把系统的控制权毫无保留地交给了黑客,网络安全的第二道防线,这一刻将变得相当的脆弱。

黑客经过扫描如果发现了这个令人高兴的消息,直接就可以进行远程控制或上传并运行病毒木马,系统将变成任人宰割的“肉鸡”。黑客往往可以在用户不知情的情况下,控制这些“肉鸡”去攻击其它计算机,而自己藏在幕后来躲避网络警察的追踪。这样用户不仅损失了自己的资源,包庇了黑客,还危害了他人的计算机,可谓损失惨重。所以一个安全的密码对一个系统来说是相当重要的,绝不能掉以轻心。

其次从权限管理方面来看,Windows的权限管理其实是比较简单的,只是定义了几个组和几个特殊用户来管理计算机,其中权力最高的Administrator也不能管理系统的所有东西,如果系统发现病毒,有时候Administrator也只能看着,无法结束进程。

但是如果Windows升级成域控制器(DC),他的权限管理就会发生很大的变化,系统会根据域组策略对每个域用户进行严格的管理,这样就可以提高系统权限管理的安全性。但这样的权限管理仍不容乐观,例如不加入域的用户可能对网络造成安全隐患、域控制器本身也会存在漏洞等。

最后从安全策略的方面来看,Windows主要是通过注册表对系统进行管理的,但是注册表非常复杂。为解决这个问题,Windows提供了一些注册表管理工具:本地安全策略、本地组策略、控制面板等。它们如果经过精心配置,从而修改注册表,可以达到提高网络安全的目的,并且不占用系统资源。但是这种方式配置起来非常复杂、不灵活,修改起来比较麻烦,对于专业人士来说还可以接受,如果是普通用户则不太适合。

2 Linux系统权限保护

Linux的权限设置从根本上就与Windows有着很大的差别。Linux权限管理的各个方面是一个完整的系统,而Windows在这方面很零碎,不成体系,并且每个模块之间的配合几乎没有,同时很多功能仅仅只是存在,并没有实际意义。

(1)从密码安全方面来看,Linux跟Windows一样,都需要安全密码。但是Linux的密码如果丢失,虽然系统会出现安全隐患,但不至于像Windows那样很快成为“肉鸡”。因为在Linux中还有其它安全措施可以弥补密码丢失造成的问题。尽管如此,密码安全仍不容忽视。

(2)从Linux的权限管理来看,Linux的文件系统就是一棵“树”,而权限管理就是为了服务这棵“树”而设计的。但是Linux的权限设置比较简单,只有“属主”、“属组”、“其它”3部分,控制起来很不灵活。Linux为了弥补这些,加入了ACL权限管理机制,使得用户的权限管理灵活起来。

(3)从Linux的安全策略来看,Tcpwarpper是一个简单的安全策略,是一种可以限制一个IP或一个IP段的计算机访问Linux服务器的某个服务的安全策略,而且功能强大,可以很好地限制远程计算机对Linux服务器的访问。如果再配合IPtables防火墙,就可以实现对很多危险信息的隔离,有效降低服务器受到网络威胁的概率,提高系统的安全性。

(4)从Linux的安全认证来看,强大的PAM认证机制,一般翻译成“可插拔式认证模块”,或是“可插入式认证模块”。它是一种性能健壮、灵活方便的用户级认证方式,是Linux和Unix首选的安全认证方式。它通过模块化的结构,方便灵活地解决了很多繁琐的用户接入认证问题,规范了用户接入及其已授权行为,严格限制了非授权用户的接入及其行为,是一种不可多得的认证机制。

(5)从Linux的IPtables防火墙来看,IPtables防火墙的本质就是Linux内核集成的IP信息包过滤系统。这个系统功能非常强大,可以非常轻松地管理防火墙的规则,并且资源占用很小。IPtables包过滤系统在内核中有一个通用构架netfilter,它提供了“表”,每个“表”中又包含了“链”,“链”中配置了相应的“规则”。归根结底IPtables只是一个管理内核包过虑的工具。IPtables防火墙是一个贯串始终的安全体系,几乎所有的安全策路都会用到防火墙。

当有数据包进入系统时,系统首先根据相应的表决定将数据包发给哪一条链,当一个数据包到达一个链时,系统就会从第一条规则开始检查,看是否符合该规则的条件。如果满足,系统将根据该条规则所定义的方法处理该数据包;如果不满足则继续检查下一条规则。如果该数据包不符合该链中任何一条规则,系统就会根据该链预先定义的策略来处理该数据包。

IPtables防火墙功能非常强大,简单易用,安全性高,并且还能完成NAT等其它功能,因而受到了很多用户的好评。

(6)从Linux的入侵检测方面来看,Snort有着非常强大的系统监视功能,并拥有丰富的规则(可从官方网站上下载),可以有效地监控网络的运行状态,是一个免费的基于Libpcap的轻量级网络入侵检测系统。它能够跨平台操作,用于监视小型的企业网络并结合其它安全机制作出快速反应,把威胁限制在一个最小的范围里。同时,它支持大量可扩展插件,有效配合系统中的其它安全机制来保护系统安全。例如本文中提到的Guardian包,就是开发人员编写的Snort扩展模块(用于跟IPtables联动的插件)。

(7)从Linux的SELinux来看,它实际上就是加强系统权限管理的一套机制,能有效弥补系统帐号密码泄露所带来的安全隐患。如果使用SElinux限制权限和存储机制,就必须使用Enforcing模式。在这种模式下,即使是root用户对一些系统的关键进程的直接控制和管理也无能为力。如果有了SElinux的保护,在黑客得到root帐号的情况下,要想实现对系统的控制,就必须经过层层审核和限制,最终也无法修改文件内容。这样,就把入侵之后的风险降到了最低。

(8)从Linux的安全审计方面来看,Audit是个集成在2.6内核中的事件记录器,可以有效地监控服务器的系统状态。在监控之前加入特定的规则,当满足规则时就视为入侵,并发出警报。与入侵检测不同的是,Audit的监控对象是服务器,而入侵检测监控对象是网络数据流。

安全审计本身是一个庞大的系统,在大多数情况下,Linux都是用Audit配合其它安全机制来完成对系统安全方面事件的记录,供系统管理人员进行分析和提出警告。Audit系统搜集的信息包括:事件名称,事件状态和其它安全的信息。

纵观整个Linux安全体系,我们不难发现,系统的各个环节都配合相当紧密。在一般情况下,黑客很难完成对权限的控制,更不用说进行远程控制了。即使一些黑客高手利用未知的漏洞可以获得一定的系统权限,但是他们很难对系统进行远程控制,而且即使可以上传木马病毒,由于权限的限制,也不能运行这些病毒,所以对系统的危害是有限的。

参考文献

[1]林晓芬,付敏峰.网络传输中的数据安全[J].软件导刊,2012(1).

环境保护权限篇2

只有你有了超级管理员权限才可以对你电脑为所欲为呀，特别是在windows7系统中，下面我来介绍win7修改最高管理员权限的方法，

1.在电脑桌面上我们右击“计算机”-》然后选“管理选项”如下图所示。

2.然后我们在弹出的“计算机管理” 如下图有很多选项，我们先别急往下看， 3.现在我们点击左边的“本地用户和组”如下图所示。 4.点击本地用户和组之后在右边就会出现一些选项了。 5.在这里我们点击用户，然后下面会出现大量的用户了，如下图所示 6.在这里我们会看到有一个administrator用户是禁用的，我们只要启动他就可以了，右击此用户，然后点击属性在属性面板我们把下图红框处的取消选中再确定就搞了。

环境保护权限篇3

计算机与网络技术日益深入各种行业的业务应用,大量企业和机构部署了办公自动化和业务信息系统。在提高组织工作效率的同时,信息滥用和泄露的风险也随之增大。计算机网络中电子信息发布和访问的安全性的得到了广泛的关注和重视。AD RMS是一种在分布式网络环境中集中保护信息按要求方式使用的技术,为网络中信息的安全发布和使用提供了一个完整的解决方法和技术平台。AD RMS定义了细粒度的访问方式,可以为指定的用户或者组在一定时间范围内指定读取、修改、打印等操作权限的任意组合。确保信息文件有意无意的离开AD RMS安全域后无法被读取和使用。

AD RMS适合于各种组织机构控制文档在机构内部和外部的发布和使用方式与时间。为了使用AD RMS的权限管理功能,应用程序要使用AD RMS SDK提供的接口来实现对权限保护的支持。本文介绍AD RMS的原理,简述开发AD RMS应用的环境建立和程序实现方法。

1 原理

1.1 AD RMS应用系统

AD RMS应用系统包含AD RMS服务器、客户端计算机、用户认证服务器、证书服务器和用户,如图1所示。AD RMS采用信息加密技术保护敏感信息内容及使用方式。

1.2 信息加密

AD RMS采用对称与非对称密码结合数字证书的机制加密受保护的信息内容和使用权限信息。文档保护从用户在域中的安全标识开始,通过认证服务与证书管理机构获取用户证书,从随机数源生成随机的文档信息对称密钥,采用对称算法和对称密钥加密文档的内容和权限信息,使用接收者证书中的公钥加密保护文档的对称密钥。含有加密的对称密钥和信息的文档即可通过各种开放的介质如网络、U盘等发送给接收者。接收者持有自己证书对应的非对称私钥,能够解密出对称密钥,最后按照权限指定的方式解密使用文档内容。

ADRMS管理与内容加解密有关的证书,密钥,为终端用户提供一个简单易用的信息安全发布与使用设施。

2 建立开发环境

我们构建了如下配置的网络环境部署AD RMS服务和开发平台。所有这些计算机位于一个局域网中,使用了192.168.0.X网段,如表1所示。

安装和配置域控制器,在HCLAB-DC安装Windows Server 2008,添加域控制器、域名解析服务器和证书服务角色,域名使用hclab.local。所有其他计算机均加入hclab.local域,在域中创建开发测试用户。然后安装SQL数据库服务器,在ADRMS-DB上安装Microsoft SQL Server 2005。在ADRMS-SRV上使用HCLAB-DC的证书服务申请主题为adrms-srv..hclab.local的服务器证书。

在ADRMS-SRV上安装和配置ADRMS服务。为了简化开发,ADRMS服务正在前期开发可以不必使用SSL加密注册AD RMS服务连接点完成ADRMS服务的安装和配置。将AD RMS集群的URL加入ADRMS-CLT的本地Intranet安全区域,这可以防止已经登录到域的用户在访问域中的AD RMS服务时被提示输入用户凭据。

在ADRMS-CLT上安装Windows 7 SDK或者Visual Studio2008/2010以支持应用程序的开发与调试。

3 AD RMS应用实现

3.1 激活用户终端

在计算机可以用来加解密AD RMS保护的信息内容之前,必须将计算机签署进入目录中的AD RMS证书链中,这个过程称为机器激活。调用激活(DRMActivate)等AD RMS函数需要一个客户端会话用来承载其他的证书存储会话。DRMCreateClientSession函数创建客户端会话并得到其句柄,这个句柄将在其他AD RMS函数调用中被引用。

创建客户端会话:

激活计算机:

激活等AD RMS函数调用涉及到与活动目录服务、RMS服务的多项网络交互,这些函数会立即返回以便执行其他任务,调用者用异步的回调方式处理返回结果。在回调上下文参数结构中包含一个异步事件对象,可以使处理返回结果的线程在该对象上阻塞等待,从而提高处理器利用效率。

计算机激活后,必须激活当前登录的用户以获得权限账户证书(Right Account Cerification),这个过程称为用户激活。激活完毕后,通过DRMIsActivatied函数检测机器和用户的激活状态。用户激活也是调用DRMActivate函数,将激活计算机时用的第二个参数的第一项DRM_ACTIVATE_MACHINE改为DRM_ACTIVATE_GROUPIDENTITY即可。处理用户激活结果的回调机制与激活计算机时完全相同。

3.2 加密信息

发布受AD RMS保护的信息一般需要将加密的内容和相关的发行证书组合在一个格式文档中,使用信息的目标用户可以从文档中提取发行证书用来获取终端用户证书,使用终端用户证书解密信息。AD RMS SDK使用高级加密标准(Advanced Encryption Standard,AES)算法加密信息内容。密钥长度是128比特,密文数据分组长度为16字节。Windows Vista及其以前版本的操作系统采用分组算法的ECB模式;Windows 7则增加了采用分组链接机制的CBC模式的支持。为了加密信息内容,计算机和用户必须已被AD RMS激活,才能进行后续获取签署的发行证书进而加密信息的过程。

加密内容包括以下步骤:

(1)创建客户会话,这个过程与前面所述一致。

(2)从证书存储中获取加密过程中要使用的证书,包括计算机证书、权限账户证书等。使用DRMEnumerateLicense指定不同的证书类型标志u Flags参数获取这些证书。

(3)获取应用程序清单。应用程序的清单包含有程序组件的数字签名信息,是下一步创建安全环境的条件之一,用来防止被篡改的应用程序窃取受保护的信息。

(4)创建安全环境。调用DRMGetSecurityProvider获得一个安全提供者,随后使用DRMInitEnvironment初始化处理受保护的信息必须的安全环境,这里如果检测到安全威胁则会返回失败。在应用程序被篡改、程序正在调试环境中运行等情况下用户进程都会无法创建安全环境。

(5)获取已签署的发行证书。这个证书中包含有详细的信息使用权限信息,如有效时间、许可用户、各用户的权限(读、写、拷贝、打印)等。首先使用DRMCreateIssuance创建发行证书对象,然后创建使用SMTP邮件地址格式的用户名称创建DRM用户对象,创建用户所需的DRM权限对象,将用户对象和授予的权限对象关联到发行证书中,创建和设置发行证书中惟一内容ID等元数据;最后,使用在线或者离线的方式签署发行许可证。

(6)加密内容。最后,创建一个加密对象,并使用这个加密对象加密信息,将加密的信息和已签署的发行证书保存到应用程序格式文档中,将文档拷贝到共享的介质中完成信息的加密发布。以下是加密信息的程序片段:

4 解密信息

使用受保护的信息需要先进行解密,解密操作的安全环境准备过程与加密信息时是一致的,获得了有效的安全环境句柄之后,解密信息的进程提取用户的权限账户证书(RAC),使用RAC和信息的发布许可证从AD RMS服务器获取信息的终端用户许可证。将期望的使用权限绑定到终端用户许可证,使用绑定的许可证创建解密对象,完成信息内容的解密使用。以下是解密信息的程序片段:

5 调试

调试AD RMS应用程序比其他应用程序要困难。这是因为为了信息内容的安全,受保护的内容是在锁盒中处理的。在使用AD RMS锁盒对受保护的信息处理时,AD RMS如果检测调试器的存在就会使安全函数的调用失败,从而防止攻击者通过调试器窥探信息,同时这也使得程序无法调试。为了调试AD RMS应用程序,Microsoft提供了一个称为锁盒通信代理(LCP)的工具,应用程序开发调试期间,使用LCP调用安全函数模拟相关的功能,发布时再把这些函数连接到真正的锁盒。如果不使用LCP,可以使用类似与printf的函数输出跟踪信息协助调试,在应用发布时应该屏蔽这些跟踪信息的输出。

6 结语

基于AD RMS构建的应用支持以细粒度可控的方式发布和使用信息,第三方软件开发者和安全解决方案提供者可以在AD RMS上构建强有力的安全应用和解决方案,有效的改善应用软件产生的电子文档在使用过程中存在的滥用和扩散问题。自Windows 7开始,AD RMS支持AES的CBC模式,对抗密码学分析与攻击的能力显著提升,但其对于定制密码设备的接入和支持仍显不足,限制了其在不同等级的安全要求环境下的更广泛使用,值得在进一步的研究中予以改善和解决。

参考文献

[1]Microsoft Corporation.AD RMS Overview.http://msdn.microsoft.com.2010.

[2]Microsoft Corporation.Active Directory Rights ManagementServices SDK.http://msdn.microsoft.com.2008.

[3]Microsoft TechNet.AD RMS Deployment Step-by-step.http://technet.microsoft.com/en-us/library/cc725699.aspx.2008.

[4]Microsoft Corporation,Using the AD RMS SDK,http://msdn.microsoft.com.2010.

环境保护权限篇4

◎会计信息系统中的权限分类

企业启用会计信息系统之初,应首先进行用户管理,即明确哪些人有权登录系统并对系统进行操作。根据企业内部控制的要求,系统用户要有严格的岗位分工,不能越权操作。权限设置的作用就是对允许登录系统的用户规定操作权限,严禁越权操作的行为发生。

根据权限控制对象不同,会计信息系统中的权限分为以下几类,见表1。

将以上几种权限组合使用,可以使得系统的权限设置功能更灵活、更有效。

◎功能权限及其授权控制

1.理解功能权限

会计信息系统是由多个子系统构成,各个子系统服务于企业的不同层面,为不同的管理需要服务。如典型的会计信息系统包括总账管理、报表管理、固定资产管理、应收款管理、应付款管理等子系统。每个子系统下又按照企业应用流程划分为几个大的功能组,如总账管理系统中一般分为设置、凭证、出纳、账表、期末几组,每个组适用于在不同的应用时段完成不同的功能;每个功能组下再按照实现的业务需求不同细分成若干功能节点,如凭证下又细分为填制凭证、审核凭证、记账等功能节点,由此构成树型功能结构,如图1所示。

功能权限授权的作用主要是明确用户登录系统后能使用系统提供的哪些功能,由此把某些手工管理环节中的不相容职责的划分由此前的制度规定转化为由系

2.功能权限的授权

功能权限的授权对象是角色或用户。角色是指在会计信息系统中拥有某一类职能的组织,这个角色组织可以是实际的部门,也可以是由拥有同一类职能的人构成的虚拟组织。在设置了角色后,就可以定义角色的权限,建立用户时,可以将用户归属于某个角色,如图2所示,这样用户就相应地拥有了该角色的权限。利用角色的方便之处在于可以根据职能统一进行授权,方便管理。一个角色可以拥有多个用户,一个用户也可以分属于不同角色。

功能权限的授权内容是系统所包括的功能,其本质是赋予用户相应岗位职责所拥有的权限。

进行功能权限授权时,注意应先选择授权对象,即对哪个账套进行授权,对哪个用户或角色进行授权;然后再明确所授权的内容。如出纳员张子彬的岗位是出纳员,那么我们应该在功能权限授权中赋予张子彬系统中的“出纳”、“出纳签字”等相应权限,如图3所示。

◎数据权限及其授权控制

1.理解数据权限

企业应用会计信息系统之初,首先需要在系统中建立企业的基本信息、核算方法、编码规则等,称之为“建账”,这里的“账”也称“账套”。账套数据在会计信息系统中以数据库的形式存在,不同性质的数据信息又是存放在不同的数据表中。很多情况下,不同的用户对应的管理内容是不同的。例如:客户档案是企业的一项重要资源,手工管理方式下,客户信息一般散落在业务员手中,每个业务员掌握数量不等的客户信息资源。业务员一旦离开企业,极易造成客户资源的流失,给企业带来损失。企业建立会计信息系统时,需要全面整理客户资料并录入系统,以便有效地管理客户、服务客户。客户信息包括以下几个方面的内容,如图4所示。

基本信息:包括客户编码、客户名称、客户简称、税号、开户银行、银行账号等。

联系信息:包括地址、邮编、联系人、电话、发货地址、发货方式、发货仓库等。

信用信息:包括价格级别、信用等级、信用额度、付款条件、应收余额等。

其他信息:包括分管部门、分管业务员、停用日期等。

看到这里,也许有人会问:如此全面的客户信息存储在系统中,是否容易造成客户信息泄露呢?企业不同管理岗位其所能接触和管理的客户范围和客户内容是不同的,如限定销售员杜壮壮只能查看和管理自己辖区的客户,而无权查阅企业所有的客户;数据录入员孟凡杰参照客户时只能看到客户编码、客户名称几项基本内容,不能看到客户联系人、信用情况等信息。这便属于数据权限所管理的内容。

那么系统是如何实现这种数据权限管理需求的呢?让我们从系统中的数据存储层面来解释这个问题。在数据库中,全部客户信息存储在“客户”表中,如表2所示。

在“客户”这张二维表中,一行是一个客户的完整信息,称之为记录,一列代表了客户某一方面的属性,称之为字段,对应地数据权限分为字段级权限控制和字段级权限控制。这样我们就把上述需求表述成:销售员杜壮壮仅对客户表中的某些记录有查询和录入权限,而数据录入员孟凡杰仅对客户表中的某些字段有查看权限。

2.数据权限的授权

如果企业需要利用数据权限进行权限的精细控制,首先需要先进行数据权限控制设置,以指定对哪些业务对象进行权限控制,如图5所示。

再例如,企业有产品库和原料库两个仓库,房芳主管产品库,丁聪负责原料库,为他们设置功能权限时,他们均为“仓库主管”角色,拥有库存管理系统的所有功能。两者之间仓库权限的严格区分是由数据权限设置规定,如图6所示。授权之后,房芳就只拥有产品库的记录的查询和录入权限。

◎金额权限及其授权控制

1.理解金额权限

严洁是刚刚毕业的大学生,会计主管分配其负责办理日常费用报销业务,为了谨慎起见,希望设定严洁制单时的金额额度为2000元。在会计信息系统中是通过金额权限设置满足上述需求的。金额级权限主要用于设置用户可使用的金额级别,会计信息系统中提供了对如下业务对象的金额级权限设置:采购订单的金额审核额度、科目的制单金额额度。

2.金额权限的授权

设置金额权限前,应首先设置金额级别。如图7中对库存现金科目设置三个级别,然后指定用户严洁的对应级别为级别一,这样就可以控制用户严洁制单时所用金额额度了。

ERP系统权限管理篇5

ERP系统权限的管理、运维期间权限的变更, 以及角色权限互斥等, 都是企业ERP系统上线后面临的重要的安全保密工作, 符合企业利益的权限管理是保障ERP系统正常运行的首要条件。企业应遵循权限管理与设置规则, 使不相容岗位角色职责分离, 进行符合内控需求的权限测试, 使企业能够正常运行。

1 用户权限管理与设置规则

用户权限设置应遵循以下基本原则。

1.1 职责分离原则

对于同一组不相容权限, 任何用户不能同时具有两种或两种以上的权限。

1.2 未明确允许即禁止

除非用户有对于权限的需求得到了相关领导的明确批准, 否则不应当授予用户任何权限。

1.3 需求导向及最小授权原则

对于用户的权限, 应当以其实际工作需要为依据, 且仅应当授予其能够完成工作任务的最小权限。

2 用户权限管理的范围风险以及职责分离矩阵应用

2.1 访问权限

是指用户能够访问哪些资源或执行哪些任务 (或功能) 的范围, 从控制的角度考虑用户在系统中所拥有的权限是否超出了其工作需要。

2.2 职责分离

职责分离是把一个业务 (子) 流程的工作内容分为几个职责不相容的部分并由不同的人来完成, 避免因一个人拥有操作不相容业务的权限而产生舞弊风险。

2.3 用户权限分配不当引起的风险

(1) 用户如果在系统中具有不符合其实际业务职责的权限, 可能导致对业务、财务数据及相关信息不适当的非授权修改。

(2) 用户如果在系统中具有互斥权限, 那么该用户就具有了在系统中进行舞弊操作的可能。

2.4 职责分离矩阵应用

职责分离矩阵中定义了业务活动与事务代码之间的关系。事务代码与业务活动是从属关系, 如果某两个业务活动是互斥的, 那么它们包含的事务代码彼此间也是互斥的。

如图1所示, “创建采购订单”和“审批采购订单”是属于互斥的业务活动, 而创建采购订单需要执行事务代码ME21N或ME22N, 审批采购订单需要执行事务代码ME28或ME29N, 因此ME21N与ME28, ME21N与ME29N都是互斥的, 同样ME22N与ME28, ME22N与ME29N也是互斥的。因此在给用户分配权限时, 需根据业务活动的互斥关系, 来检查用户是否具有互斥事务代码的权限。

对于职责分离矩阵中与X的区别:

(1) ERP系统职责分离矩阵中加粗并标有下划线的代表具有重大风险的互斥业务活动, 公司在编制自己的职责分离矩阵时, 如果这些业务活动符合实际业务情况, 那么标有的业务活动之间必须是互斥的。

(2) 对于其他业务活动, 公司可以基于自身业务情况和对风险的考虑来决定是否互斥。公司应对风险进行充分的考虑, 并结合自身业务实际情况, 同时参照ERP系统职责分离矩阵模板建立适用于本单位的职责分离矩阵, 同时明确业务活动和事务代码的对应关系。

公司在编制职责分离矩阵时还需坚持一个原则:主数据维护、财务活动和和其他业务活动 (指采购、销售、库存等业务活动) 之间必须相互分离, 例如主数据维护人员不能同时具有财务或其他业务活动的权限, 财务人员不能同时具有维护主数据或其他业务活动的权限。

3 结论

综上所述, 加强ERP系统权限管理, 按照职责分离矩阵的要求, 进行权限分离, 从根本上杜绝了权限互斥, 取得了很好的应用效果。通过总体信息系统层面和ERP系统应用层面进一步细化相应的权限管理和上线后的权限测试, 有效地提升了ERP应用效果和企业后续运维管理水平。

参考文献

Delphi简易权限设置方法篇6

首先建一操作员表“operator”,有四个主要字段名称:“char (10)”、“password:char (10)”、“privilege:integer”和“ismanager:boolean”,分别表示用户姓名、口令、权限和是否为系统管理员。

Delphi中的每个控件都有一个属性tag,该属性的值默认为0,现在将系统中的每个功能项对应的控件(比如菜单项)的tag按以下规律设置:

第一项:1 (二进制00001);第二项:2 (二进制00010);第三项:4 (二进制00100);……;第n项:2n-1(即其二进制的第n位为1)。

operator表中某用户的权限为他能操作的所有菜单项tag值之和。如只能操作第一项,其privilege=1;只能操作二、三项,其Privilege=2+4=6……

利用位“与运算”来决定系统中各菜单项或功能按钮是否有效,即当前登录用户是否有权操作此项功能。结果不为0表示有效,否则无效。

2 授权

当用户登录系统后,取出其privilege值和每一个菜单项的tag进行“与运算”,结果不为0者,即令该菜单项有效,否则令其无效,这样就决定了此用户的操作权限。

授权代码示例如下:

3 权限设置

建一个form放置若干checkbox控件,设置每个checkbox的caption和tag属性与相应菜单项的caption和tag一样,在保存设置时,遍历form上的所有checkbox,将被选中者的tag属性值累加写入operator表的privilege字段,即完成了权限设置。

权限设置代码示例如下:

4结语

本文介绍的方法应用于功能简单,安全性要求不是很高的系统中十分方便。同时还可以将权限数据privilege适当加密以增强安全性。本文示例用的是两级菜单,可以扩展其级数,利用递归遍历进行授权。

参考文献

[1]吕宗智,汪世攀,王晟等.Delphi实用技术精粹[M].北京:人民邮电出版社,2000.

[2]邓毅,李华,李涵等.Delphi4.0入门与提高[M].北京:清华大学出版社,1999.

外商投资项目核准权限明确篇7

通知明确, 《外商投资产业指导目录》中总投资 (含增资) 3亿美元及以上限制类项目, 由国家发展改革委核准, 其中总投资 (含增资) 20亿美元及以上项目报国务院备案;《外商投资产业指导目录》中总投资 (含增资) 3亿美元以下限制类项目, 由省级政府核准。

上述两项规定之外且属于《政府核准的投资项目目录 (2016年本) 》第一至十项所列的外商投资项目, 按照《政府核准的投资项目目录 (2016年本) 》第一至十项的规定核准。对于核准范围之外且不属于《外商投资产业指导目录》中禁止类的外商投资项目, 由地方发展改革部门备案。

大型管理信息系统权限控制策略篇8

权限对于一个信息系统来说, 就是用户在系统中能够做哪些操作。说来简单, 但是系统实现起来并不是一件容易的事, 这要涉及到系统的用户管理、角色管理、权限对象管理、权限分配管理、内控互斥检查等。要求系统在最初设计时就要考虑每个系统功能都要关联权限控制的问题。

2 权限控制的设计

2.1 明确权限控制的精度

对于一个大型管理信息系统, 在系统建设的最初设计时要考虑系统的权限要控制到什么程度才能满足管理需求, 一般从低到高会分为3个级别:用户级、程序级、权限对象级。用户级就是只要系统中设定了用户, 用户就可以使用系统的所有功能, 这样的权限控制一般会在比较小的系统中应用。程序级就是在系统中给用户分配可以访问具体的哪些程序, 可以利用角色定义一组程序来管理用户权限。这样的权限控制一般会在中型规模的信息系统中应用。权限对象级就是系统中给用户分配可以访问某一个程序中的某个给定的权限对象, 如操作对象的“创建”、“修改”、“删除”、“浏览”, 组织架构对象中的某些单位信息等等, 这是大型管理信息系统建设应该采用的权限控制模式。

2.2 权限控制设计的功能

(1) 用户管理:系统用户基本信息的添加、删除、修改、查询、锁定、重置密码等功能。

(2) 程序管理:程序信息的添加、删除、修改、查询功能, 以及在程序中应用的权限对象的添加、删除、修改、查询和分配功能。

(3) 权限对象管理:权限对象的添加、删除、修改、查询功能。

(4) 角色管理:角色的添加、删除、修改、查询功能。

(5) 角色-权限对象“1对多”关系分配:包括在角色中添加、删除、修改、查询程序和程序中要访问的权限对象。

(6) 用户-角色“1对多”关系分配:给用户分配定义好的角色, 达到用户权限控制的目的。

3 权限分配的原则

3.1 满足内控的权限互斥要求

大型管理信息系统的管理功能一定要符合内控管理的要求, 权限的分配要满足权限互斥的要求, 一般系统在上线前都要按系统的特点和管理的要求, 制定权限职责分离矩阵, 明确互斥权限关系, 矩阵中定义了哪些功能在应用时与其他功能是互斥的, 一个人不能拥有具有互斥关系的功能。用户权限互斥关系要定期检查, 避免管理员在赋权是给予了用户更大的权限或是赋权时出现了权限叠加。权限的检查可以人工按照互斥矩阵检查, 也可以开发一套权限管理系统, 在系统中定义用户权限互斥矩阵, 系统自动判断权限互斥。

3.2 满足系统应用的需求

大型管理信息系统的权限赋值既要满足内控管理要求, 还要满足企业的管理需求, 有时这是一对矛盾, 解决这个问题需要系统在实施时要合理地调整管理人员的岗位设置, 必要时要按内控管理要求增设岗位以满足企业的管理需求。对于确实无法避免用户权限互斥的问题, 在管理上要对这些岗位人员的操作加强监控, 定期检查, 避免出现管理风险, 给企业造成不必要的损失。

4 系统的实现逻辑

4.1 数据结构设计

用户:用户ID、账号、用户名、密码。

角色:角色ID、角色描述。

程序:程序ID、程序描述。

权限对象:权限对象ID、权限对象描述。

程序-权限对象:程序-权限对象ID, 程序ID, 权限对象ID。

角色-程序:角色-程序ID, 角色ID, 程序ID。

用户-角色:用户-角色ID, 用户ID, 角色ID。

4.2 程序控制设计

登录程序:用户登录时, 比较用户名和密码, 成功后将用户名和登录状态放在相应的变量中, BS模式可以将用户和登录状态保存在session中。

应用程序:在程序的入口处, 判断用户登录状态, 成功后, 在使用权限对象对应的功能时, 判断用户在这个程序拥有的权限对象和权限对象赋值, 如果有, 执行该功能;如果没有, 提示退出。