SE528169C2 - Metod för åtkomsthantering på Internet-portaler - Google Patents

Description

25 30 528 169 administrationssystem hantera det begränsade antalet nya klienter. har antalet nya användare och program emellertid exploderat, vilket har medfört att frågan om åtkomstkontroll och användarroller i olika program har blivit ett stort problem. Problemet beror delvis på det faktum att många företag använder allt fler webbaserade Sedan dess program och att allt fler program görs tillgängliga via Internet. Problemet går ibland under namnet MUP (Million User Problem).

Detta visar tydligt att traditionella system för användaradministration inte är tillräckliga för hantering av alla användare på en portal. Ett annat problem är de skilda kulturella aspekter och beslutsvägar i olika länder, som näste hanteras i ett och samma system.

Det traditionella begreppet användaradministration är en metod för âtkomstkontroll av användare i ett enstaka program. Det kan vara svårt att administrera, exempelvis 100 program i olika miljöer soul AS400, OS390, UNIX, vidare. Det traditionella angreppssättet, nämligen att låta behörighetskontrollen utföras av själva programmet, fungerar inte på Internet.

Den traditionella lösningen kräver avsevärd mantid och Windows, och så ekonomiska resurser eftersom den är komplicerad att administrera.

Detta begrepp håller på att ersättas av ett nytt: identitetshantering. àtkomstkontroll Begreppet består av två delar: och autentisering, med aspekter som 10 15 20 25 30 528 169 SSO och autentisering (authentication). exempelvis (single-sign-on) Flera befintliga metoder kan med hög säkerhetsnivå hantera ett stort antal användare på Internet-portaler.

Dessa kända lösningar bygger på konceptet tidig bindning (early binding).

Tidig bindning är en lösning med vilken alla rättigheter, roller och behörigheter definieras i förväg. Detta har oftast redan. gjorts när användaren loggar in pà en portal eller till ett system.

Principarkivet i en lösning med tidig bindning aktiverar en cookie som inbegriper alla roller och rättigheter för den inloggade användaren. Denna cookie skickas med ett http-huvud till alla länkar till portalen eller systemet och kan läsas av alla som har som är anslutna intresse av informationen. Ett exempel på sådan information är vilka länkar som en viss användare har rätt att använda. PKI-metoden (Public-Key- Infrastructure) är ett Lösningen går ibland under namnet brandväggslösning och exempel pà tidig bindning. illustreras i fig. l.

I brandväggslösningen används en brandvägg i kombination med en modul som innehåller exempelvis domäner, roller, kategorier och åtgärder som bygger på begreppet tidig bindning. Modulen kallas ibland principarkiv. Lösningen en hög säkerhetsnivà för alla bakom använda ger samt möjlighet att informationen som bestäms av den cookie som skickas i http-huvudet till alla länkar som är kopplade till Detta är En nackdel är den stora mängd data som användare samma brandvägg brandväggen. den vanligaste befintliga lösningen. 10 15 20 25 30 528 169 skickas mellan http-huvuden när nya länkar aktiveras. En annan nackdel är avsaknaden av en relationsdatabas.

Detta resulterar i ett statiskt och oflexibelt sätt att ange användarattribut.

En annan befintlig lösning är kopplad till en specifik databas. Ett exempel på en databaslösning illustreras i fig. 2. I denna lösning inbegriper databasen en modul domäner, kategorier och åtgärder. Lösningen fungerar bra när alla (ett principarkiv) med exempelvis roller, program använder samma databas. För program som använder andra databaser krävs speciallösningar. Samma sak gäller databaslösningar som måste samverka med andra náljöer, exempelvis när det inte finns en version av ett visst program för sama miljö. En annan nackdel är att alla potentiella användare måste registreras i databasen även sällan Registreringen kräver ofta en licens, om vissa användare eller aldrig utnyttjar portalen. som måste betalas för varje registrerad användare.

Den största svagheten hos dessa kända lösningar är att de inte kan hantera och anpassas till flera olika användare och program pà ett flexibelt och interaktivt sätt.

SAMANFATTNING: Syftet med uppfinningen är att tillhandahålla en nætod för förbättrad åtkomsthantering som på ett enkelt, stabilt och kostnadseffektivt sätt kan hantera flera användare och program.

Enligt uppfinningen uppnås detta syfte med den metod som beskrivs i krav 1. Övriga krav innehåller fördelaktiga 10 15 20 25 30 528 169 utföringsexempel och vidareutvecklingar av metoden enligt uppfinningen.

Med en nætod för åtkomsthantering på en portal löses problemet genom följande steg: - att inhämta principarkiv, användarspecifika data från ett - att anropa ett program med dessa användarspecifika data, - att aktivera programet med dessa användarspecifika data.

Detta första utföringsexempel av' metoden enligt uppfinningen utgör en åtkomstmetod där ett program anropas med användarspecifika data. Syftet är att kunna använda ett standardprogram som kan anpassas till den aktuella användaren.

I en första vidareutveckling av metoden används sen bindning. Fördelen med denna lösning är enkel och dynamisk administration av alla nödvändiga attribut för specifika användare med sen bindning.

I en andra vidareutveckling av metoden komer att innehålla detaljerad information för varje intresserad part. Syftet är att göra det möjligt att ange behörighet på metodnivå och fältnivà för varje användare. relationsmodellen även I en tredje vidareutveckling av metoden används en Fördelen med denna lösning är enkel och dynamisk administration av alla nödvändiga attribut för specifika användare med kombination av tidig och sen bindning. 10 15 20 25 30 528 169 sen bindning, kombinerat med hög säkerhet via brandvägg med tidig bindning.

KORTFATTAD BESKRIVNING AV ILLUSTRATIONERNA: detalj hänvisningar till fördelaktiga utföringsexempel enligt Uppfinningen beskrivs i mer nedan, mfid bifogade illustrationer, i vilka FIG 1 visar ett befintligt system för åtkomsthantering, baserat på en brandvägg, FIG 2 visar ett befintligt system för àtkomsthantering, baserat pà en databas, FIG 3 visar en första tillämpning av ett system för åtkomsthantering enligt uppfinningen, och FIG 4 visar en andra tillämpning av ett system för àtkomsthantering enligt uppfinningen.

BESKRIVNING AV PLANERADE TILLÄMPNINGAR De fördelaktiga utföringsexemplen och vidareutvecklingarna av uppfinningen som finns beskrivna nedan skall uteslutande betraktas som exempel och skall på intet sätt begränsa patentkravens omfattning.

Denna tillämpning avser en metod för åtkomsthantering på en portal på Internet. Åtkomsthanteringen är en del av identitetshanteringen, som även inbegriper autentisering. Autentiseringen hanteras av en brandvägg. Åtkomsthanteringen som beskrivs i denna tillämpning utan är tänkt att kunna köras mot en godtycklig brandvägg. avser inte själva brandväggen, Fig. 1 visar ett traditionellt för åtkomsthantering på en portal, baserad på en brandvägg där en programvarumodul är ansluten till brandväggen. system 10 15 20 25 30 528 169 7 Modulen, även kallad principarkivet, innehåller alla användarattribut som exempelvis domäner, roller, kategorier och åtgärder för varje användare som har rätt att av LDAP- standarden. antingen av använda portalen. Åtkomsten hanteras Brandväggen kan utgöras maskinvara eller programvara, eller av en kombination av båda.

Domäner utgör hårda brandväggsbegränsningar för att nå URL:er att använda program utanför domänen även om de känner till utanför domänen. Användarna förhindras den fullständiga URL:en. Detta är en nödvändig säkerhetsfunktion hos brandväggar.

Eftersom LDAP-standarden saknar en naturlig administrationsfunktion, krävs ett särskilt administrationsverktyg. Alla ändringar i användarprofilen, exempelvis tillstànd att använda nya progrann måste lagras i principarkivet med hjälp av administrationsverktyget. Portalen är en godtycklig portal som används av exempelvis ett företag.

När användaren ska logga in på portalen via Internet, identifiering àtkomstkontroll av brandväggen i Alla användarspecifika inställningar och attribut lagras i hanteras och kombination med principarkivet. principarkivet och används när användaren loggar in på portalen.

Fig. 2 visar ett traditionellt för åtkomsthantering, baserat på en databas. Detta är en väl system fungerande lösning när alla program: på en portal är kopplade till en specifik databas. Med denna lösning utgör principarkivet en del av databasen, vilket medför 10 15 20 25 30 528 169 8 att alla säkerhetsfunktioner och egenskaper hos databasen kan användas för att skydda åtgärder i systemet. Lösningen utnyttjar även utlösare på databasnivå för att aktivera filter och andra användarspecifika attribut.

Denna lösning ger en hög säkerhetsnivå. En nackdel är att alla databasen.

Registreringen måste göras även om användarna sällan Detta licenskostnad för varje registrerad användare. Lösningen användare mäste registreras i eller aldrig använder portalen. medför en inbegriper även ett system för användaradministration.

Systemet för àtkomsthantering måste specialanpassas varje gång ett program som inte finns i sama miljö ska användas.

Dessa befintliga lösningar bygger på begreppet tidig bindning såsom beskrivits ovan.

Metoden för systemet för àtkomsthantering enligt uppfinningen bygger på sen bindning. Sen bindning tillåter mer dynamiska åtgärder under bearbetningen och eliminerar behovet av att definiera varje nßjlighet i förväg. Regelbaserade motorer analyserar och utvärderar användarattribut och fattar beslut direkt.

I ett första fördelaktigt utföringsexempel av ett för uppfinningen tillhandahålls en åtkomstmetod med sen bindning. Denna system àtkomsthantering enligt tillämpning tillåter åtkomstkontroll på begäran.

Metoden utgår från en relationsobjektmodell som innehåller alla användarprofiler, behörigheter och filter med sen bindning. Fördelen med denna lösning är enkel och dynamisk administration av alla nödvändiga 10 15 20 25 30 528 169 attribut för specifika användare med sen bindning. detaljerad information för varje intresserad part. Detta gör det möjligt att ange behörighet på metod- och fältnivå för varje användare.

Relationsmodellen innehåller även I detta åtkomsthanteringssystemet skilt från brandväggen samt från de Alla användarattribut, exempelvis domäner, roller, kategorier och åtgärder, En illustration av tillämpningen visas i fig. 3. I principarkivet sparas utföringsexempel är principarkivet i databaser som används av portalen. lagras i principarkivet. användarattribut på finkornig nivå. Med finkornig nivå menas att alla definitioner för en specifik användare och/eller ett specifikt program kan anges ned till en mycket detaljerad nivå. Detta innebär exempelvis att när en användare startar ett specifikt program, aktiveras alla användarens förinställningar. Förinställningarna kan inbegripa åtgärder som användaren har rätt att utföra, till exempel bakgrundsfärg, språk och dylikt.

Andra möjliga förinställningar kan vara filter för vilken information som ska visas, samt användarprofiler och länkar som ska visas för användaren på en portal.

Modellen utgör en dynamisk vy av portalen för den specifika användaren denne en och ger personligt anpassad portal.

Som, exempel beskrivs åtkomsten till en portal av en användare.

Användaren når brandväggen eller proxyn genom att skriva till önskad portal. anger användaren sitt ID-nurmner och lösenord. Proxyn utför en autentisering. Om användaren har behörighet att använda in adressen Vid proxyn 10 15 20 25 30 528 169 10 till principarkivet så att portalen aktiveras. Principarkivet Utifrån ID-numret hämtas aktuella användarprofilen i en relationsdatabas, så att portalen, skickas exempelvis ID-numret tar emot ID-numret. den portalen kan startas med korrekta användarspecifika På detta sätt skickas information från principarkivet till portalen om 'vilka länkar som. ska får därmed åtkomst till en inställningar. aktiveras. Användaren specifik länk.

Endast de länkar och program som den aktuella användaren har behörighet till, Det införs âtkomstkontroll och filter för alla program på en http-sida genom att det skickas instruktioner till aktiveras och visas på portalen. sidan, exempelvis information om vilka knappar som ska samt tillåtna nætoder och fält. diverse personliga inställningar, liknande. specialanpassas med andra ord för varje användare, och aktiveras/inaktiveras, Dessutom aktiveras till exempel språk och Sama portal varje användare ser bara de länkar och program som han/hon har behörighet till.

Om användaren exempelvis är en bilförsäljare på en specifik marknad, kanske han/hon bara ser de bilmodeller som är tillgängliga på den aktuella marknaden. En kund, däremot, kanske bara ser tillgängliga reservdelar till modellerna som säljs på den aktuella marknaden. språk och andra marknadsspecifika egenskaper, exempelvis reklamkampanjer, definieras för den aktuella marknaden. Även När användaren vill starta ett program aktiverar han/hon en av de tillåtna förfrågan till principarkivet om användarens behörighet, till exempel vilka knappar och fält som ska visas på den länkarna. Programmet skickar en 10 '15 20 25 30 528 169 11 nya sidan. Relevant behörighetssträng hämtas i relationsdatabasen och information om användarens behörighet skickas till programmet. Den nya sidan visas med aktuella inställningar, i det här fallet de knappar och länkar som användaren har rätt att använda på sidan. alla för programet hanteras av principarkivet, behöver databasen inte för enskild innehålla användarspecifika data. I stället kan portalen Eftersom användarspecifika inställningar begränsas varje användare eller få åtkomst till databasen som superanvändare, eftersom begränsas av själva Portalen hämtar bara de data som är tillgängliga för den aktuella användaren. Åtkomsten till databasen begärs av användarátkomsten programet. en enda användare, själva portalen. Eftersom databasen bara "ser" en användare, portalen, behövs inte fler än en licens till databasen. Detta innebär i sin tur att det bara behövs en licens oavsett hur många användare som använder databasen.

Med denna nya metod kan ett företag med anställda över hela OaVSett världen använda samma databaser och program, land, språk faktiska behörigheter. En fördel är att programen bara behöver utvecklas användarnas och en enda gång och att alla användare kan använda fullständiga versioner av dessa program. Detta är praktiskt exempelvis när en användare flyttar eller får nya arbetsuppgifter på företaget. detsama, men inställningar och utseende kan variera. En annan fördel är Programmet är att uppdateringar databaser införs automatiskt, databas superanvändaren. av program och eftersom exempelvis en bara anropas av en enda användare, 10 15 20 25 30 528 169 12 Kategorier och åtgärder vidarebefordras vanligtvis till själva programen. Det kan vara svårt att administrera exempelvis 100 program i olika miljöer som AS400, 08390, UNIX, Windows, Det traditionella sättet att administrera nämligen att låta skötas i själva programet, fungerar inte på Internet. Den traditionella och så vidare. program, administrationen av behörigheterna lösningen kräver avsevärd mantid och ekonomiska resurser eftersom den är komplicerad att administrera. använder inte LDAP i stället från en relationsobjektmodell som innehåller alla användarprofiler, behörigheter filter i Fördelen med denna lösning är att alla nödvändiga användarattribut blir enkla att administrera.

Relationsmodellen innehåller även detaljerad information om varje HTTP-länk i portalen, vilket gör det nßjligt att ange behörighet på nætod- och fältnivà för varje användare.

Metoden enligt principarkivet. uppfinningen Metoden utgår i och principarkivet.

Rollerna kopplas till användaren och placerar denne i rätt kategori, exempelvis Bilförsäljare. Kategorierna kppplas i sin tur till ett specifikt program och ger användaren till Användaren kan sedan användarbehörighet exempelvis skrivskyddad. åtkomst. programmet, utföra åtgärder för varje kategori i programmet, som att ta bort, spara och uppdatera data.

Det uppfinningsenliga systemet för åtkomsthantering är kopplat till ett system för användaradministration. Alla användare måste vara kopplade till ett ID i ett verktyg för användaradministration. ett Efter att en brandvägg och system för användaradministration har införts, 10 15 20 25 30 528 169 13 hanterar principarkivmodulen i âtkomsthanteringssystemet alla filter, behörigheter och åtgärder för varje länk eller program.

I kända kombinerat med brandväggen eller databasen. principarkivet Med den uppfinningsenliga lösningen kombineras principarkivet befintliga lösningar är med användaradministrationen och portalen. Med denna lösning àtskiljs användarsåkerheten från databasen och brandväggen. Lösningen gör det :möjligt att låta alla användare omfattas av en enanvändarlicens till databasen samt att köra systemet mot en godtycklig brandvägg som inför användar-cookies.

Lösningen är leverantörsoberoende och utgör en mer flexibel för systemutvecklare. mer och anpassningsbar lösning betydligt ekonomisk än traditionella lösningar där principarkivet Den är dessutom kombineras med databasen eller brandväggen.

I ett andra fördelaktigt utföringsexempel av 'åtkomsthanteringsmetoden enligt uppfinningen införs en enstaka inloggningspunkt för användarna på portalen. Om vill han/hon inte behöva logga in varje gång ett nytt program ska startas. Principarkivet tillhandahåller information till portalen åtkomst till alla användarspecifika data. Användarspecifika data behöver en användare har åtkomst till 20 program, för program med därför inte lagras i programet, och programet behöver inte inbegripa en inloggningsrutin.

I ett tredje fördelaktigt åtkomsthanteringsmetoden enligt uppfinningen används en utföringsexempel av kombination av tidig och sen bindning. En 10 15 528 169 1 4 relationsobj ektmodell används f ör lagring av alla användarprofiler, behörigheter ooh filter med sen bindning, och en brandvägg med tidig bindning används för åtkomstkontroll. Fördelen med denna lösning är enkel och dynamisk administration av alla nödvändiga attribut för en användare med sen bindning, samt hög säkerhetsnivà via brandväggen med tidig bindning.

Relationsmodellen innehåller även detaljerad information för varje HTTP-länk på portalen, vilket gör det möjligt att ange behörighet på metod- och fältnivâ för varje användare.

Uppfinningen skall inte anses vara begränsad till de ovan beskrivna utföringsexemplen, utan en rad ytter- ligare varianter och modifikationer är tänkbara inom ramen för efterföljande patentkrav

Claims (10)

5 10 15 20 25 30 528 1.69 15 PATENTKRÄV

1. En nætod för åtkomsthantering för en portal, innefattandes följande steg: - att inhämta användarspecifika data från ett principarkiv, ~ att anropa ett program med dessa användarspecifika data, - att aktivera programmet med dessa användarspecifika data, i vilken metod sen bindning används.

2. Metoden enligt krav 1, i vilken en relationsobjektmodell används för lagring av alla användarprofiler, behörigheter och filter med sen bindning.

3. Metoden enligt krav 2, innehåller detaljerad information för varje intresserad part. i vilken relationsobjektmodellen även

4. Metoden enligt något av krav 1 till 3, även innefattandes följande steg: att databas från användarspecifika data. anropa en programmet med

5. Metoden enligt något av krav 1 till 4, även innefattandes följande steg: att anropa en databas som superanvändare.

6. Metoden enligt krav 1 till 5, 10 15 20 528 169 Ib i vilken metoden används för inloggning från en enstaka inloggningspunkt för användare med behörighet till flera olika program.

7. Metoden enligt något av krav 1 till 6, i vilken en kombination av tidig och används. sen bindning

8. Metoden enligt något av krav 1 till 7, i vilken en brandvägg med tidig bindning används för àtkomstkontroll.

9. Datorprogram med programkod för exekvering av alla steg i något av kraven 1 till 8 när nämnda program körs pà en dator.

10. Datorprogramprodukt med programkod som lagras på ett nædiwn som kan läsas av dator för exekvering av metoden i något av kraven 1 till 8 när sagda program körs på en dator.