吳 昊,徐致遠(yuǎn)

(交通部天津水運(yùn)工程科學(xué)研究院,天津 300456)

活動(dòng)目錄在GIS用戶(hù)管理中的應(yīng)用

吳 昊,徐致遠(yuǎn)

(交通部天津水運(yùn)工程科學(xué)研究院,天津 300456)

GIS用戶(hù)的普通數(shù)據(jù)庫(kù)管理模式會(huì)造成系統(tǒng)維護(hù)復(fù)雜、用戶(hù)管理分散、平臺(tái)間協(xié)同性差和用戶(hù)信息安全性差等問(wèn)題。為了安全統(tǒng)一地管理 GIS用戶(hù),便捷地分配和控制各級(jí)用戶(hù)的操作權(quán)限,嚴(yán)格認(rèn)證登錄系統(tǒng)用戶(hù)的合法性,將微軟的活動(dòng)目錄技術(shù)應(yīng)用于 GIS的用戶(hù)管理中,根據(jù)活動(dòng)目錄的內(nèi)部機(jī)制、使用方法以及 GIS系統(tǒng)的需求,提出2種解決方案。闡述各種方案的系統(tǒng)架構(gòu),并對(duì)比2種方案的優(yōu)點(diǎn)和缺點(diǎn),為GIS的用戶(hù)管理提供一種新的思路。關(guān)鍵詞:活動(dòng)目錄;GIS;用戶(hù)管理

地理信息系統(tǒng)(GIS)的建設(shè)涉及多個(gè)部門(mén)或地區(qū),功能復(fù)雜、接口眾多,且其中含有大量、高精度,甚至涉密的基礎(chǔ)地理數(shù)據(jù),容易出現(xiàn)網(wǎng)絡(luò)被入侵、信息丟失、機(jī)密泄露等安全隱患。隨著科技的不斷進(jìn)步,GIS的計(jì)算機(jī)硬件和軟件方面的安全體系越來(lái)越完善,而相比之下,用戶(hù)管理、自定義的訪問(wèn)控制等卻還是薄弱環(huán)節(jié),是目前安全隱患的主要所在之一。

活動(dòng)目錄(Active Directory,簡(jiǎn)稱(chēng) AD)是一種存儲(chǔ)網(wǎng)絡(luò)資源信息的目錄,它優(yōu)化了讀取、瀏覽和搜索操作,可以保存描述性的信息,并且支持復(fù)雜的過(guò)濾搜索能力,是管理用戶(hù)信息非常有效的一種方式[1]。本文研究了如何將活動(dòng)目錄應(yīng)用于 GIS的用戶(hù)管理,提出2種解決方案,并對(duì)比這2種方案的優(yōu)點(diǎn)和缺點(diǎn)。

1 通常的 GIS用戶(hù)管理

用戶(hù)管理涉及2個(gè)重要方面,首先是用戶(hù)身份管理,為用戶(hù)的身份認(rèn)證服務(wù);其次是用戶(hù)權(quán)限管理,為用戶(hù)的訪問(wèn)控制服務(wù)。在通常的 GIS開(kāi)發(fā)中,用戶(hù)的信息管理、認(rèn)證授權(quán)多采用數(shù)據(jù)庫(kù)來(lái)完成。配置一個(gè)用戶(hù)數(shù)據(jù)庫(kù),將用戶(hù)的用戶(hù)名、密碼、個(gè)人信息、系統(tǒng)訪問(wèn)權(quán)限信息等都存儲(chǔ)到數(shù)據(jù)表中。用戶(hù)登錄系統(tǒng)時(shí),首先要驗(yàn)證輸入的用戶(hù)名和密碼與數(shù)據(jù)庫(kù)中存儲(chǔ)的是否完全匹配;完全匹配后,再?gòu)臄?shù)據(jù)庫(kù)中提取出該用戶(hù)的個(gè)人信息、享有的操作權(quán)限信息等反饋給系統(tǒng);系統(tǒng)再根據(jù)反饋結(jié)果來(lái)確定對(duì)該用戶(hù)開(kāi)放哪些功能和加載哪些模塊。這種解決方案雖然簡(jiǎn)便易用,但卻存在著很多缺陷:

1)每個(gè) GIS平臺(tái)都有自己的用戶(hù)系統(tǒng),在平臺(tái)混合使用情況下,用戶(hù)需要單獨(dú)的賬戶(hù)來(lái)訪問(wèn)每個(gè)平臺(tái)。由于身份和存取政策不一致,可能會(huì)導(dǎo)致單用戶(hù)多登錄名、多密碼的情況。既增加了用戶(hù)操作的復(fù)雜度,又不利于異構(gòu) GIS平臺(tái)間的協(xié)同合作和將來(lái)的統(tǒng)一整合。

2)當(dāng)同一地區(qū)或部門(mén)擁有多個(gè) GIS平臺(tái)時(shí),可能存在用戶(hù)重疊。用戶(hù)信息也就需要被重復(fù)輸入,既增加了用戶(hù)管理的難度,還會(huì)造成平臺(tái)間的用戶(hù)信息不統(tǒng)一、人員變動(dòng)時(shí)難以及時(shí)同步更新等問(wèn)題。

3)存儲(chǔ)用戶(hù)信息所使用的數(shù)據(jù)庫(kù)多為關(guān)系數(shù)據(jù)庫(kù),由于關(guān)系數(shù)據(jù)庫(kù)的結(jié)構(gòu)無(wú)法在邏輯上對(duì)不同等級(jí)的用戶(hù)進(jìn)行分層、分組,從而較難實(shí)現(xiàn)對(duì)用戶(hù)集中授權(quán)、注銷(xiāo)等高級(jí)管理。

4)用戶(hù)的用戶(hù)名、密碼、個(gè)人信息、系統(tǒng)操作權(quán)限信息等均以字符串等明文形式存儲(chǔ)在數(shù)據(jù)庫(kù)中,數(shù)據(jù)庫(kù)服務(wù)器容易被攻擊;且傳輸通訊過(guò)程中沒(méi)有審核,用戶(hù)信息容易被中途竊取,安全性存在很大隱患。

鑒于此,需要尋找一種能實(shí)現(xiàn)用戶(hù)集中管理、統(tǒng)一認(rèn)證授權(quán)、安全性高的解決方案。

2 活動(dòng)目錄

活動(dòng)目錄是面向 Window s Standard Server、Window s Enterp rise Server以及 Window s Datacenter Server的目錄服務(wù)[2]。它是一種存儲(chǔ)網(wǎng)絡(luò)資源信息的目錄,類(lèi)似于分布式數(shù)據(jù)庫(kù),可以將分散在各計(jì)算機(jī)上的信息統(tǒng)一集中管理,存儲(chǔ)的信息包括用戶(hù)賬戶(hù)、文件數(shù)據(jù)、打印機(jī)、計(jì)算機(jī)等[3]。它使用了一種結(jié)構(gòu)化的數(shù)據(jù)存儲(chǔ)方式,可以方便地對(duì)用戶(hù)賬戶(hù)等目錄信息進(jìn)行分層和分組,從而可以對(duì)用戶(hù)進(jìn)行統(tǒng)一刪除、授權(quán)等高級(jí)管理。每個(gè)活動(dòng)目錄中的對(duì)象都有一個(gè)訪問(wèn)控制列表,其中包含有資源列表和訪問(wèn)權(quán)限列表[4],可以使存儲(chǔ)信息不被盜取或越權(quán)訪問(wèn),從而保證信息的安全?；顒?dòng)目錄使用輕量目錄訪問(wèn)協(xié)議(Lightw eight Directo ry Access Protocol,簡(jiǎn)稱(chēng)LDAP)來(lái)對(duì)目錄信息進(jìn)行組織、管理和訪問(wèn)[5]。LDAP提供了嚴(yán)格的用戶(hù)認(rèn)證機(jī)制和數(shù)據(jù)傳輸加密機(jī)制[6],從而可以保證通訊傳輸中信息的完整性和私密性。

利用微軟提供的活動(dòng)目錄服務(wù)接口技術(shù)[7](A ctive Directo ry Service Interfaces,簡(jiǎn)稱(chēng) ADSI),可以開(kāi)發(fā)應(yīng)用程序訪問(wèn)活動(dòng)目錄。ADSI提供的System.DirectoryServices命名空間中封裝了DirectoryEntry和DirectorySearcher兩個(gè)組件類(lèi)[8],使用這兩個(gè)類(lèi)可以從托管代碼簡(jiǎn)便的訪問(wèn)活動(dòng)目錄,而無(wú)須關(guān)心后臺(tái)機(jī)制如何運(yùn)行。

3 解決方案

3.1 輕量級(jí)用戶(hù)管理方案

在AD中創(chuàng)建域賬戶(hù)代表 GIS系統(tǒng)的用戶(hù),將用戶(hù)的相關(guān)信息存儲(chǔ)到域賬戶(hù)中。用戶(hù)登錄系統(tǒng)時(shí),系統(tǒng)向AD發(fā)出用戶(hù)驗(yàn)證請(qǐng)求,在AD中查詢(xún)用戶(hù)是否合法,將驗(yàn)證結(jié)果返回給 GIS系統(tǒng),系統(tǒng)根據(jù)返回的結(jié)果確定該用戶(hù)的操作權(quán)限。

本方案僅僅把活動(dòng)目錄當(dāng)作存儲(chǔ)用戶(hù)賬戶(hù)和用戶(hù)信息的數(shù)據(jù)庫(kù),GIS系統(tǒng)根據(jù)用戶(hù)輸入的用戶(hù)名和密碼連接到活動(dòng)目錄服務(wù)器,通過(guò)查詢(xún)AD服務(wù)器來(lái)判斷是否與AD中存儲(chǔ)的賬戶(hù)信息匹配。如果匹配成功,則登錄成功,同時(shí)用戶(hù)的操作權(quán)限由各個(gè)GIS系統(tǒng)自己來(lái)定義,簡(jiǎn)單明了,易于實(shí)現(xiàn)。由于活動(dòng)目錄中只存儲(chǔ)了用戶(hù)的基本信息,各個(gè) GIS系統(tǒng)需要開(kāi)發(fā)自己的權(quán)限管理模塊,所以在子系統(tǒng)較多或多系統(tǒng)配合的情況下,重復(fù)的開(kāi)發(fā)量會(huì)較大。并且如果各個(gè) GIS系統(tǒng)是異構(gòu)系統(tǒng),如有的基于JAVA、有的基于.NET,那么在這種模式下用戶(hù)認(rèn)證會(huì)變得更復(fù)雜。因此,本解決方案適于在單個(gè)系統(tǒng)或子系統(tǒng)較少時(shí)采用,其管理流程如圖1所示。

圖1 輕量級(jí)用戶(hù)管理方案流程

3.2 通用中間件用戶(hù)管理方案

該方案是開(kāi)發(fā)一個(gè)單獨(dú)的用戶(hù)管理系統(tǒng),作為第三方管理中間件來(lái)實(shí)現(xiàn) GIS系統(tǒng)的用戶(hù)權(quán)限分配、用戶(hù)身份認(rèn)證、用戶(hù)信息提取、用戶(hù)權(quán)限提取等功能。在AD中創(chuàng)建域賬戶(hù)代表 GIS系統(tǒng)的用戶(hù),將用戶(hù)的個(gè)人信息存儲(chǔ)到域賬戶(hù)中;通用中間件用戶(hù)管理系統(tǒng)對(duì)AD中的 GIS用戶(hù)進(jìn)行自定義的權(quán)限分配,將該用戶(hù)的權(quán)限信息保存到授權(quán)數(shù)據(jù)庫(kù)中;將用戶(hù)認(rèn)證、權(quán)限提取等功能通過(guò)功能接口對(duì)外發(fā)布;GIS系統(tǒng)調(diào)用這些功能接口,通過(guò)通用中間件用戶(hù)管理系統(tǒng)來(lái)訪問(wèn)AD,進(jìn)行用戶(hù)身份認(rèn)證、用戶(hù)信息提取、用戶(hù)權(quán)限提取等操作。

該方案的用戶(hù)認(rèn)證流程如下:

1)用戶(hù)登錄 GIS系統(tǒng)時(shí)輸入用戶(hù)名和密碼,GIS系統(tǒng)將該用戶(hù)名和密碼通過(guò)功能接口提交給通用中間件用戶(hù)管理系統(tǒng)。通用中間件用戶(hù)管理系統(tǒng)訪問(wèn)AD,在AD中驗(yàn)證該用戶(hù)名和密碼是否合法,如非法則直接返回“用戶(hù)非法”提示,停止 GIS系統(tǒng)登錄。

2)用戶(hù)驗(yàn)證合法后,通用中間件用戶(hù)管理系統(tǒng)從授權(quán)數(shù)據(jù)庫(kù)中提取該用戶(hù)的 GIS系統(tǒng)自定義的操作權(quán)限,并從AD中獲取所需要的用戶(hù)個(gè)人信息、組織結(jié)構(gòu)信息等,一并返回給 GIS系統(tǒng)。

3)GIS系統(tǒng)根據(jù)返回的用戶(hù)操作權(quán)限加載功能模塊,設(shè)置相應(yīng)的用戶(hù)信息,系統(tǒng)啟動(dòng)。

本解決方案將所有的用戶(hù)管理工作都交給通用中間件用戶(hù)管理系統(tǒng)來(lái)完成,實(shí)現(xiàn)了用戶(hù)信息和權(quán)限的集中管理,各個(gè) GIS系統(tǒng)不需再關(guān)注自己的用戶(hù)管理問(wèn)題。通用中間件用戶(hù)管理系統(tǒng)對(duì)外提供功能發(fā)布接口供 GIS系統(tǒng)使用,避免了各 GIS系統(tǒng)直接訪問(wèn)AD,所有的需求完全通過(guò)調(diào)用中間件中的方法訪問(wèn)AD完成,適合在各種異構(gòu)環(huán)境下部署和使用。由于本方案設(shè)計(jì)的通用中間件用戶(hù)管理系統(tǒng)既需要訪問(wèn)AD,又需要操作授權(quán)數(shù)據(jù)庫(kù),還需要提供供外部調(diào)用的功能接口,所以開(kāi)發(fā)設(shè)計(jì)工作較復(fù)雜,難度較大。因此,本方案適于在 GIS系統(tǒng)較多、異構(gòu)環(huán)境下采用,其管理方案流程如圖2所示。

圖2 通用中間件用戶(hù)管理方案流程

4 結(jié)束語(yǔ)

GIS的多源數(shù)據(jù)集成能力,對(duì)海量數(shù)據(jù)的管理、處理、查詢(xún)能力,強(qiáng)大的空間分析能力和輔助決策能力,使得它在國(guó)土、資源、規(guī)劃等眾多領(lǐng)域得到了廣泛應(yīng)用。地理信息的安全又直接關(guān)系到國(guó)家和地區(qū)的安全、社會(huì)的穩(wěn)定。因此,GIS用戶(hù)的安全管理問(wèn)題不容忽視。將活動(dòng)目錄技術(shù)應(yīng)用于 GIS的用戶(hù)管理,解決了數(shù)據(jù)庫(kù)用戶(hù)管理模式下的系統(tǒng)維護(hù)復(fù)雜、用戶(hù)管理分散、系統(tǒng)間協(xié)同性差、用戶(hù)信息安全性差等問(wèn)題,是 GIS用戶(hù)管理及認(rèn)證授權(quán)的一個(gè)良好的選擇。

[1]張冠東,王緒本.基于活動(dòng)目錄的域用戶(hù)認(rèn)證系統(tǒng)的研究與設(shè)計(jì)[J].微型電腦應(yīng)用,2005,21(5):5-6.

[2]楊上影.Window s 2003活動(dòng)目錄實(shí)現(xiàn)校園網(wǎng)信息化管理[J].廣西師范學(xué)院學(xué)報(bào):自然科學(xué)版,2005,22(1):82-85.

[3]李志民.基于活動(dòng)目錄的訪問(wèn)控制系統(tǒng)[J].中原工學(xué)院學(xué)報(bào),2004,15(2):33-35.

[4]吳曉斌,張?jiān)铝?基于LDAP的校園網(wǎng)統(tǒng)一身份認(rèn)證系統(tǒng)設(shè)計(jì)[J].華中科技大學(xué)學(xué)報(bào):自然科學(xué)版,2003,31(S):332-334.

[5]李瀾,王峰,錢(qián)華林.LDAP目錄服務(wù)安全及研究現(xiàn)狀[J].微電子學(xué)與計(jì)算機(jī),2005,22(6):48-56.

[6]龔強(qiáng).地理空間信息格網(wǎng)安全問(wèn)題解析安全體系結(jié)構(gòu)研究[J].地理信息世界,2007(3):64-69.

Application of active directory in user management for GIS

WU Hao,XU Zhi-yuan
(Tianjin Research Institute of Water Transport Engineering,Tianjin 300456,China)

There ism uch trouble in the Databasemode of GISU ser M anagement,fo r examp le,the comp lex system maintenance,the dispersion user management,the difficult cooperation among p latfo rm s,the bad security of user’s info rmation.In o rder to safely manage GIS users,conveniently distribute and control user’s power,strictly authenticate users,this paper puts active directory from M icrosoft in use of GIS user management.Combined w ith the active directory’s mechanism,app lication and the needs of GIS user management,this paper p romotes two solutions,expatiates the logo of every solution,and compares the advantages and disadvantagesw ith each other.This paper offers a new idea fo r GIS user management.

active directory;GIS;user management

TP31

A

1006-7949(2010)06-0070-03

2009-11-15

吳 昊(1984-),男,助理工程師,碩士.

[責(zé)任編輯張德福]