ERP系统权限管理的研究与应用.pdf

《ERP系统权限管理的研究与应用.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、⋯⋯⋯⋯⋯⋯ERP系统权限管理的研究与应用詹伟(湖北电力信通中心，湖北武汉430077)一’’⋯⋯’摘要：ERP系统权限管理是电网企业信息安全工作的一个重要环节。为了保证系统重要数据的安全性，并提高日常运维中权限变更工作的效率，提出了模型化的权限设计方法及实施方案，为湖北电力公司ERP系统的信息安全管理提供了思路。关键词：ERP；信息安全；权限管理；捅色rrJ～⋯～0引言性，降低管理开销，而且还能为管(AuthorizationCheck)。SAP中理员提供一个较好的实现安全策略的单一角色是指事物代码的集合，2009年3月湖北省电力公司ERP的环境。在RBAC中，弓1人了角色也包

2、括事务代码所要求的权限对系统成功上线，该系统采用sAP这一重要概念。所谓“角色”，是象、权限字段、字段的值等，它们ECC6．0成熟套装软件，涉及了财指与特定操作活动相关的一组动作共同决定了具有该角色的用户访问务、项目、物资、人力资源以及设和权限集合。其特点是通过分配和数据的范围。SAP中的复合角色是备管理等关键业务。它的应用将对取消角色来完成用户权限的授予和指单一角色的集合。公司系统内生产经营管理的及时性取消，即访问权限与角色相关联，和流程的标准化产生重要的影响。合理的权限管理策略是ERP系统安角色再与用户关联，从而实现了用32种权限设计方案比较全运行的有力保证。户与访问权限逻辑

3、上的分离。基于在ERP项目的实施中，有2种权角色的访问控制的原理如图1所示。限设计方案：第1种方案可以直接将湖北省电力公司属于大型企业，单一角色分配给用户，以完成相应用户数多，业务庞杂，使得权限管权限的授予；第2种方案是将单一角理中的角色定义比较复杂。ERP系图1访问控制过程色组合成复合角色，然后将复合角统是一个集成的、多用户共享的系统，因此如何严格地保护重要数据2SAP系统角色色分配给用户。同时又为授权用户提供尽可能的方SAPECC6．0ERP系统采用的(1)以用户岗位为权限的基本便，如何有效地管理用户权限等都是基于角色的访问控制方法。用户单位设置单一角色，每个单一角色是不可忽

4、略的安全问题。在SAP中通过事务代码(Transaction包括多个事务代码的操作，直接将Code)来进行业务处理，每个事物单一角色分配给用户(见图2)。1基于角色的权限代码都对应着不同的具体业务操作，如事务代码FB50就代表总账凭基于角色的访问控制(Role-BasedAccessControl，RBAC)证输入的业务操作。事务代码是由是目前国际上流行的先进的权限控ABAP语言编写的程序来具体实现制方法。RBAC技术不仅有效地克的。程序的设计除了实现业务处理服了传统访问控制技术中存在的不的基本功能外，还包含了执行这个足之处，可以减少授权管理的复杂事务代码所必须的授权检查2010

5、年第8卷第3期目ELECTRICPoWERIT星塑星垂U力仁安全专慕这种传统的设置方式，有较多基于模型化的设计思路，选择果一组单一角色包含的事务代码相的资源可以利用，但是因为没有采方案2为最终权限设计方案：以用户同，仅组织级别不同，则可使用继用模型化的设计，每个岗位角色由每个具体操作为权限的基本单位设承功能进一步简化角色的创建和维护多个操作(事务代码)组成，测试置单一角色。由单一角色组合的复工作。继承功能的含义如图4所示。工作量较大，并且会有很多重复性合角色为用户的岗位权限，此方案的配置和测试工作量，后期运行维虽然前期配置工作量较大(单一角护难度较大。色数量多)，但是其测试工作简

6、单，无重复工作，特别是后期运行(2)以用户每个具体操作为权维护简单，运维人员根据权限设计限的基本单位设置单一角色。由单文档，能较容易进行权限变更工一角色组合成的复合角色表示用户作，降低了运维工作中权限管理的的岗位权限(见图3)。工作量。如湖北省电力公司下属C地市公司应收会图4继承功能计专责，按第2个方案，他会授予C地市公司一继承功能可定义模板角色，该级应收查询、应收账务角色可将其内含的事务代码传递给处理、总账查询、总账派生角色，派生角色接纳了来自模账务处理等4个复合角色板角色的所有事务代码，再仅需维的权限。总账查询复合护与组织级别相关的字段即可。在图3权限设计的第2种方案角色则包

7、括C地市公司模板角色之中，专门进行与组织级这种方案为全模型化的设计思一级科目及科目表查询、凭证查别无关的所有权限的更改，同时这路。将每个岗位角色分解为最小的询、查询科目发生额、查询总账报些更改会直接复制到所有派生角色单一角色，分解后的单一角色可以表等4个单一角色。如果财务部领导中，从而保证了模板角色与派生角灵活地配置给不同的岗位角色，并因财务保密的需要，不希望所有拥色，以及派生角色之间的一致性，且单一的操作角色测试工作简单，有总账查询角色的人员拥有查询科简化了对角色的控制。无重复