多租户模式下数字底座子域三员架构模型的实现方法

技术领域

本发明涉及计算机技术领域，具体涉及多租户模式下数字底座子域三员架构模型的实现方法。

背景技术

传统的三员管理模式由系统管理员、安全保密员及安全审计员三类角色组成；其中，系统管理员负责各类人员与应用的增删改查，安全保密员负责权限授权和安全审计员的日志审计，安全审计员负责系统管理员和安全保密员的日志审计；至此形成闭环，三员互相牵制，任何一员都无法完整地控制系统。

在多租户模式下，目前尚未有公布的任何三员管理模式，但是随着机关、集团的组织架构的多级扩充和复杂安全要求的出现，多租户模式下的三员管理模式亟需构建，从而保证根租户和子租户在隔离情况下的各自管理安全。

发明内容

针对上述存在的拘束局限性，本发明提出了一种多租户模式下数字底座子域三员架构模型的实现方法，实现了在多租户模式下的按照三员管理模式进行系统组织管理。

为实现上述目的，本发明采用了以下技术方案：

一种多租户模式下数字底座子域三员架构模型的实现方法

所述方法包括：

步骤1、初始化根租户三员数据及若干子租户的子域三员数据，开启子域三员；

所述根租户三员数据包括根系统管理员数据、根安全保密员数据、根安全审计员数据；

所述子域三员数据包括子域系统管理员数据、子域安全保密员数据、子域安全审计员数据；

步骤2、创建并配置根租户数据，并配置子租户数据；

步骤3、在若干子租户的各自子域内，配置子域部门数据、子域人员数据，并进行子域人员授权操作。

本发明与现有技术相对比，本发明具有以下优点：

（1）在多租户模式下实现了三员架构模型，从而保证了根租户和子租户在隔离情况下各自管理的安全性；

（2）保证根租户的三员设定不会对子租户的三员设定造成入侵性的损害。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其他目的、特征和优点能够更明显易懂，以下特举较佳实施例，并配合附图，详细说明如下。

附图说明

图1为本发明实施例提供的一种子域三员架构模型的结构图。

图2为本发明实施例提供的一种根租户三员的示意图。

图3为本发明实施例提供的一种子域三员架构模型实现方法的步骤图。

具体实施方式

以下由特定的具体实施例说明本发明的实施方式，熟悉此技术的人士可由本说明书所揭露的内容轻易地了解本发明的其他优点及功效，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。为了进一步了解本发明，下面结合最佳实施例对本发明作进一步的详细说明。

本发明的发明点是提供多租户模式下数字底座子域三员架构模型的实现方法，参考图1，所述子域三员架构模型由根租户三员及若干子租户的子域三员组成；

根租户三员包括根系统管理员、根安全保密员及根安全审计员；子域三员包括子域系统管理员、子域安全保密员、子域安全审计员。

根租户三员拥有对根租户的相应管理权限，参考图2，具体地，根系统管理员具有以下权限：对根租户的组织数据、部门数据、人员数据、系统数据、应用数据、角色数据进行增删改查；创建子租户及对应子域三员；

根安全保密员具有以下权限：开启子域三员权限；对根安全审计员的操作日志数据进行审计；

根安全审计员具有以下权限：对根系统管理员和根安全保密员的操作日志数据进行审计；对子租户的子域安全保密员和子域系统管理员的操作日志进行审查校验。

子域三员拥有对其所在子租户的相应管理权限，具体地，子域系统管理员具有以下权限：对所在子租户的子域部门数据、子域人员数据、子域应用数据进行增删改查；

子域安全保密员具有以下权限：在所在子租户内进行授权操作、对所在子租户的子域安全审计员的操作日志数据进行审计；上传子域安全审计员的操作日志数据至根安全保密员；

子域安全审计员具有以下权限：对所在子租户的子域系统管理员、子域安全保密员的操作日志数据进行审计；上传所在子租户的子域系统管理员、子域安全保密员的操作日志数据至根安全审计员。

参考图3，多租户模式下数字底座子域三员架构模型的实现方法包括：

步骤1、初始化根租户三员数据及若干子租户的子域三员数据，开启子域三员；

所述根租户三员数据包括根系统管理员数据、根安全保密员数据、根安全审计员数据；

所述子域三员数据包括子域系统管理员数据、子域安全保密员数据、子域安全审计员数据。

步骤2、创建并配置根租户数据，并配置子租户数据；

所述根租户数据包括组织数据、部门数据、人员数据、系统数据、应用数据、角色数据；

所述子租户数据包括子域组织数据、子域部门数据、子域系统数据、子域应用数据、子域角色数据

步骤2具体包括：

步骤21、创建组织数据、部门数据、人员数据、系统数据、应用数据、角色数据；

步骤22、对根租户的角色进行授权操作，并将根租户的人员数据与对应角色数据进行关联；

步骤23、对子租户配置子域组织数据与子域部门数据，将子域系统数据、子域应用数据、子域角色数据的操作权限同步授权给子租户。

步骤3、在若干子租户的各自子域内，配置子域部门数据、子域人员数据，并进行子域人员授权操作；具体包括：

步骤31、在子域内配置子域部门数据、子域人员数据；

步骤32、为子域所具备的子域角色数据进行授权操作，并将子域的子域人员数据与对应的子域角色数据进行关联（即对人员进行授权）。

作为一种实施例，步骤1中，所述根租户三员数据在数据库中包括以下核心数据字段：租户ID、密码、租户名称、账号名称、权限标识。

所述密码在部署时自动生成，所述密码为16位包含英文大小写且至少包含一个特殊字符。

所述权限标识包括以下7种标识类型：根系统管理员、根安全保密员、根安全审计员、子域系统管理员、子域安全保密员、子域安全审计员及其他类型。

所述子域三员数据在数据库中存储时除上述核心数据字段外还包括以下数据字段：父租户ID、子域ID、子域名称。

作为一种实施例，步骤1中，开启子域三员的操作由具有根安全保密员权限标识的用户（即根安全保密员）完成；

当子域三员的权限开启后，子域三员均能以自己的账号和初始密码登入子租户进行各类管理操作。

作为一种实施例，步骤21由具有根系统管理员权限标识的用户（即根系统管理员）完成操作。

步骤22及步骤23由具有根安全保密员权限标识的用户（即根安全保密员）完成操作。

作为一种实施例，步骤23中，所述操作权限不包括删除权限和基本信息变更权限。

作为一种实施例，步骤2还包括：

根安全审计员的操作日志数据发送至根安全保密员；根系统管理员和根安全保密员的操作日志数据发送至根安全审计员。

作为一种实施例，步骤31由具有子域系统管理员权限的用户（即子域系统管理员）完成操作。

子域系统管理员无需配置子域系统数据、子域应用数据、子域角色数据，子域系统数据、子域应用数据、子域角色数据在根租户维护后自动同步至相应子域。

作为一种实施例，步骤3还包括：

将子域安全审计员的操作日志数据自动同步至根租户，根安全保密员具有查看该操作日志数据的权限；

将子域系统管理员和子域安全保密员的操作日志数据自动同步至根租户，根安全审计员具有查看该操作日志数据的权限。

作为一种实施例，步骤3后还包括：

步骤4、当子域安全保密员进行维护、变更及授权操作时，相应操作数据将以接口形式发送至根租户。

作为一种实施例，本发明所述方法可在软件和/或软件与硬件的组合体中被实施，例如，可采用专用集成电路(ASIC)、通用计算机或任何其他类似硬件设备来实现。

本发明所述的方法可以软件程序的形式实施，所述软件程序可以通过处理器执行以实现上文所述步骤或功能。同样地，所述软件程序(包括相关的数据结构)可以被存储到计算机可读记录介质中，例如，RAM存储器，磁或光驱动器或软磁盘及类似设备。

另外，本发明所述方法的一些步骤或功能可采用硬件来实现，例如，作为与处理器配合从而执行各个步骤或功能的电路。

另外，本发明所述的方法的一部分可被应用为计算机程序产品，例如计算机程序指令，当其被计算机执行时，通过该计算机的操作，可以调用或提供根据本申请的方法和/或技术方案。而调用本发明所述方法的程序指令，可被存储在固定的或可移动的记录介质中，和/或通过广播或其他信号承载媒体中的数据流而被传输，和/或被存储在根据所述程序指令运行的计算机设备的工作存储器中。

作为一种实施例，本发明还提供一个装置，该装置包括用于存储计算机程序指令的存储器和用于执行程序指令的处理器，其中，当该计算机程序指令被该处理器执行时，触发该装置运行基于前述的多个实施例的方法和/或技术方案。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于可选实施例，所涉及的动作和模块并不一定是本申请所必须的。

最后，需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者终端设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者终端设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者终端设备中还存在另外的相同要素。

以上所述，仅是本发明的较佳实施例而已，并非对本发明作任何形式上的限制，虽然本发明已以较佳实施例揭露如上，然而并非用以限定本发明,任何熟悉本专业的技术人员，在不脱离本发明技术方案范围内,当可利用上述揭示的技术内容作出些许更动或修饰为等同变化的等效实施例,但凡是未脱离本发明技术方案的内容，依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化与修饰，均仍属于本发明技术方案的范围内。