绩效考核系统中用户访问权限设计

摘要:绩效考核系统是企业对员工在工作过程中表现出来的业绩――工作的数量、质量和社会效益、工作能力、工作态度等进行评价的信息系统。在绩效考核过程中所涉及到的用户种类多,这就需要对不同的用户设置不同的权限来确保绩效考核数据的安全性,保障系统正常运行。该文针对绩效考核系统中用户的特殊性,对各级用户的访问权限进行设计,按照角色对应控制其登录访问权限。

关键词:绩效考核;访问控制;角色分配

中图分类号:TP311文献标识码:A文章编号:1009-3044(2010)21-6003-02

21世纪的今天,信息技术已经渗透到人们生活的各个方面,随着信息化的不断普及越来越多的企事业单位都建立起了自己的信息管理系统。绩效考核系统是企业对员工在工作过程中表现出来的业绩――工作的数量、质量和社会效益、工作能力、工作态度等进行评价的信息管理系统。绩效考核是管理者与员工之间进行管理沟通的一项重要活动。绩效考核的结果可以直接影响到薪酬调整、奖金发放及职务升降等诸多员工的切身利益。

绩效考核系统的数据访问量一般都很大,并且大量的数据信息存储于数据库服务器平台。因为该系统用户种类繁多,不同种类的用户所具有的权限也不尽相同,并且系统的重要数据信息都是处于集中存放的状态,且被大量的用户所共享使用。正因为如此,我们在开发绩效考核系统的过程中不得不认真考虑系统用户访问权限控制这一重要问题。本文所讨论的就是在绩效考核系统中如何实现用户访问权限控制的问题。

1 系统功能及用户角色的分配设计

基于角色的访问控制(RBAC)是20世纪90年代初提出的一种新的访问控制技术,该访问控制技术主要是进行面向企业级安全策略的一种访问控制技术。其核心的思想是信息系统的各种访问操作权限不直接分配给具体的系统用户,而是在系统用户与系统权限之间建立一种对应的关联关系,也就是我们所说的角色对应关系。首先将系统的功能进行整理分类,使每一种用户角色对应一组相应的系统操作。系统用户如果被分配了一定的角色,也就将该角色所具有的访问控制权限分配给了该用户,那么该用户就拥有一定的系统操作权限。这种系统功能角色分配的方式在实际应用中有许多的优点,每次创建新用户的时候我们不必进行繁琐的系统权限分配操作,只需将所创建的新用户指定相应的角色即可。其次,当我们需要改变某一类用户权限时,也不必对这些用户进行一一的修改,只需要改变这些用户所对应角色的权限即可。这样就大大的简化了用户权限的管理,减少了系统不必要的开销。

1.1 用户角色级控制

角色是一个抽象的概念,最早来源于戏剧,用来说明个体在舞台上的身份及其行为。在一个企业和团队中角色还代表着一定的职务,在实际的工作中一个具体的职务具有处理某种事务的权利,也就是该职务所具有一定的功能。因此从角色和权限之间的关联关系来看,角色指的是拥有某种权限的集合;从角色与用户的关联关系来看,角色是指具有相同身份的一类用户的集合。角色、权限和用户它们三者之间的关系,充分说明了角色级访问控制在系统中的应用。

由于绩效考核系统中用户的种类繁多,并且许多的用户具有完全相同的使用权限,如果逐一得给每一个用户分别指定系统使用权限,那么势必会大大增加系统管理的难度,增加许多不必要的工作量。因此,根据用户权限的不同,在数据库中建立了用户组表UserGroup,用来描述一组具有相同系统使用权限的用户,也就是利用UserGroup表对用户进行角色分配。再根据用户组功能的不同,分别赋予各个用户组不同的权限,也就是将角色映射到不同的权限集合上。在数据库中我们使用用户组权限表GROUP_POPEDOM来进行系统功能的描述。然后根据部门的不同将不同的角色分配给不同的系统用户,这样就保证了用户登录时只能访问到其具有相应角色权限的数据信息,从而大大简化了用户的管理,提高了系统的安全性。

1.2 企业部门级控制

部门级安全性控制是指在一定的资源共享的前提下,一个部门的用户不能操作另外一个同等级别部门的某些关键数据,但允许高级别的用户操作访问低级别部门的数据。

比如某一用户a为企业某一部门A的普通员工,在该用户a登录系统时,系统会通过部门过滤将该部门级别以外的信息过滤掉,使其不能访问到A部门以外与该用户无关联的数据信息;然后还需要用到角色权限控制不允许他访问到A部门内与用户a角色不相符合的数据信息。而用户admin为绩效考核系统管理管理员,应允许其访问各个部门的数据。因此部门级控制实际上是要实现上级部门用户能访问和修改下级部门的数据,但不允许下级部门访问和修改上级部门的数据,也不允许同等级别部门用户之间相互操作对方的关键数据,其原理就像企业中的上下级层次管理结构一样。

2 系统用户访问的登录设计

系统访问控制是系统安全机制的重要组成部分,信息网格中访问控制的主要功能是防止非法的主体进入受保护的网格资源、允许合法的用户访问受保护的网格资源、防止合法的用户对受保护的网格资源进行非授权的访问。

在绩效考核系统中用户登录所涉及到的数据表包括用户信息表、用户权限表、系统功能表、用户组表和用户组权限表,他们之间的关系如图1所示。

该系统的用户访问登陆设计可以用以下步骤来进行描述:1) 分配角色,将系统用户分成若干个用户组,即角色划分;2) 给用户组分配系统功能,也就是指定角色的权限;3) 用户注册,在用户注册时给用户分配角色,指定所属用户组;4) 通过用户权限表对于个别特殊的用户进行访问权限调整;5) 获取用户登录口令,进行登录。

在系统用户访问信息系统时也会出现这样的问题:普通的系统用户需要查看一些重要信息,而系统管理员无法到达现场就需要委托其他工作人员打开其权限访问区域,这时就要把密码告诉给其他人,也就是把自己的权限交给了他人。将密码告知给别人需要承受一定的风险。解决上边所说的问题我们采用了授权密码控制的方式,设计如下:登录时先选择角色,然后每个角色有两个登录口,一个登录口使用原密码,另外一个使用授权密码,不同人员授权的密码访问权限也不相同。考虑到有限授权密码的使用同样存在着安全隐患,授权密码只能使用一次,引入随机生成密码方式,每次授权使用完毕又随机生成方式生成新的密码。访问记录:每次使用授权密码访问时,启用日志记录方式记录登录者的行为,并且权限内不能做删除日志操作,以便管理员查看。

3 结论

该访系统问权限设计通过角色的分配管理,可以有效地避免非法用户登陆该信息管理系统,对于那些不经常登录或者有破坏数据安全倾向的用户可以进行删除和禁用,也可以根据需要将某些禁用的用户取消禁用等,所以在信息系统的安全管理中起到了非常重要的作用。该设计方案使得不同类别的管理人员和操作人员能充分、有效而且合理地使用本绩效考核系统,不但能够充分的发挥该系统的优越性,而且在一定程度上还保证了系统的安全性。

参考文献:

[1] Clemens Szyperski.构件化软件――超越面向对象编程[M].王千祥,译.2版.北京:电子工业出版社,2004:38-39.

[2] 黄柳青.走向面向构件[J].程序员,2005(4):133-135.

[3] Iyad Alshabani,Riehard Olejnik,Bernard ponent-oriented Programming over GRID with CCADAJ[C].IEEE Computer SOS,2006.

[4] 欧阳星明,张华哲.大型网络MIS中基于角色的权限管理[J].计算机工程与应用,2000,36(4):138-140.

注:本文中所涉及到的图表、注解、公式等内容请以PDF格式阅读原文