论文部分内容阅读
摘要：随着计算机信息管理技术的不断发展，计算机信息管理技术的应用领域也越来越广泛。本文对访问控制技术进行了概述，研究了访问控制技术在高校后勤管理系统中的应用，并对系统的安全性能和访问控制的效果进行了描述。
关键词：访问控制技术；高校后勤管理；系统；应用
中图分类号：TP311.52文献标识码：A文章编号：1007-9599 (2012) 04-0000-02
一、对访问控制技术的概述
所谓的访问控制（access control）就是指能够对系统既定的安全进行防护的技术，访问控制能够防止对用户对系统的任何资源（包括计算资源、信息资源和通信资源）进行非授权的访问。目前访问控制技术的应用领域非常的广泛，一些高校的后勤管理系统和学生信息管理系统中都有运用到访问控制技术。访问控制系统一般包括主体（subject）、客体（object）和安全访问策略，主体是主动发出访问操作和数据存储的一方；客体是提供给主体进行访问的资源；安全访问策略则是对主体访问客体权限的一种规定方法。如下图一所示的就是访问控制系统的功能组件图：
目前运用比较广泛的访问控制策略主要有三种：自主访问控制、强制访问控制和基于角色的访问控制。强制访问控制和自主访问控制是两种不同类型的访问控制机制，但是它们常常会结合起来使用。以下是对三种访问控制技术的介绍：
（一）自主访问控制（Discretionary Access Control，DAC）。在20世纪70年代初期的分时系统中就有提及自主访问控制，是目前计算机系统中出现最多的访问控制技术。主体可以对自己所拥有的客体进行管理，而且主体还可以将自己所拥有客体的访问权限全部或者部分授予其他主体，由此可见这种控制方式是自主的，所以也可以称为是基于拥有者的访问控制。这也就是说，如果系统是自主访问控制的，那么用户就可以按照自己的想法，有选择性的把自己系统中间的信息与其他用户共享，所以它主要缺点是在资源共享方面难以控制；
（二）强制访问控制（Mandatory Access Control，MAC）。安全级别很高的系统一般会采用这种访问控制策略，因为它强调对主、客体的密级进行划分，并且分为一般、机密和绝密等等级，通过敏感标识来对主体和客体的密级进行标识。这是系统强加给主体访问控制的权限，只有主体达到访问的密级才能够对客体进行访问。这种访问控制策略的安全性比较好，但是使用起来不是很灵活，而且应用的领域也相对较狭窄，一般只有应用在国家安全机构和军队中，对授权的管理方面存在欠缺，同级间的控制机制不明确，级别划分也不够准确；
（三）基于角色的访问控制技术（RBAC）。20世纪年代就已经提出RBAC的概念，但直到20世纪90年代，他才开始慢慢受到重视。基于角色的访问控制在用户和访问许可权限之间添加了角色的概念，这样就能够有效地将用户与用户拥有的权限进行分隔开。每个用户都分配了合适的角色，每个角色都有对应的权限，一个用户可以有多个角色，一个角色也可以有多个用户。角色把用户和权限联系起来，从而实现对系统有效的、安全的访问控制。
二、访问控制技术在高校后勤管理系统中的应用
后勤管理系统借助C#语言进行开发，以 VS2008 为开发工具，SQL Server 2005为后台数据库，并做好相关的设计工作，主要从需求分析，系统设计，数据库设计和详细设计等方面阐述系统的开发过程。
（一）需求分析。高校后勤管理信息系统主要包括食堂管理、学生宿舍管理、物资采购管理、文件资料管理、水电暖管理、机构人员管理等等。基于角色的访问控制技术的后勤管理系统本身应当实现以下目标：
1.该系统需要综合全面的管理功能，还能够实现多点操作信息共享，准确和快捷传递相互间的信息；2.该系统需将员工的信息与后勤各项业务联系起来；3.该系统的结构和界面要美观友好，用户能够方便的查询和使用；4.该系统数据库中数据的存储要可靠安全，且对于数据的控制要严密；5.该系统要能够方便管理者对于后勤的管理，提高员工的综合素质。
另外，对于功能需求的设计，该系统要能够对员工的工作任务进行管理，包括：任务分配、任务进度管理、值班查询等；能够对员工的信息进行添加、修改、删除等操作；能够对食堂物资采购和收入的相关数据进行统计管理；能够对教学设备和学生宿舍设备的维修情况进行管理；能够对学校水电气费进行管理等。
（二）系统设计。在后勤管理系统中，主要包含3种实体：用户（User）、角色（Role）、权限（Permission）。
用户指的是所有能够访问后勤管理系统的每一个个体，这样的个体包括：学校领导、后勤管理人员、学校后勤员工等，这些个体组成了用户实体；角色是用来对用户分配权限的，通过角色可以实现用户与权限的分离，因为不同的用户应当拥有不同的权限，例如，后勤系统管理员既是用户也是角色，他应当具备有对后勤系统的各项功能、结构和数据管理的功能，而其他的一些用户，可能不能赋予更改后勤系统的权限；权限是指用户对后勤管理系统资源进行访问和操作的许可，访问控制技术在高校后勤管理中间的应用，其实还是对于权限的设定和分配，这样就能够实现对高校后勤管理系统的安全性进行控制。
（三）数据库设计。首先，要建立一个以后勤管理系统命名的数据库；第二，根据需求分析中的实体和关系创建对应的表；第三，添加表中各属性的约束条件，向表中输入相关的数据和信息；第四，对数据库的权限进行设定，这样就确保了数据库的安全性；第五，创建应用对象和应用平台，应用对象主要是学校后勤人员和学生，应用平台可以显示后勤管理系统的各项功能选择，方便用户进行操作，并且登陆界面必须友好；第六，创建数据窗口对象和数据窗口，数据窗口对象可以联结数据库，获取数据库的各项记录，并且能够及时的对数据库进行更新，用户可以通过它了解窗口的所有功能；第七，添加数据库后期维护的功能；第八，创建功能菜单，方便用户进入所要操作的窗口界面。
（四）测试。当后勤管理系统与访问控制技术结合后，我们需要对该系统的各项功能进行测试，这样才能正式的应用到高校的后勤管理当中去。对于新建的后勤管理系统的功能测试可以按以下方式进行：
1.登录界面。用户访问后勤管理系统是需进行身份验证，输入账号和密码，输入正确方可进入下一界面进行操作；输入错误则重新返回登陆界面，并提示错误；2.进入主菜单。主菜单中包含了后勤管理系统的各功能操作选项，用户可以根据目的查询所需信息，对于其他没有授予权限的资源，系统会自动提示无权访问；3.后勤系统管理中心。后勤管理系统的管理员和维修员具有对系统各项资源进行管理和控制的权利，并且管理员还具有授权给其他用户的功能；4.功能正确实现。用户访问后需保证用户在自己的权限内能够访问到后勤管理系统的资源，也就是当用户选择某项权限内功能时，系统能够及时提供用户所需信息。
四、结束语
访问控制技术能够有效地保障系统的安全性能，防止信息发生泄漏。访问控制技术在高校后勤管理当中的应用，可以帮助高校后勤管理人员进行科学的决策，提高高校后勤部门的工作效率。
参考文献：
[1]李建中.数据库系统原理[M].北京:电子工业出版社,1998
[2]杨立兴.学校后勤管理之我见[J],学校后勤管理之我见[J].教育管理与评价,2005,23(7)
关键词：访问控制技术；高校后勤管理；系统；应用
中图分类号：TP311.52文献标识码：A文章编号：1007-9599 (2012) 04-0000-02
一、对访问控制技术的概述
所谓的访问控制（access control）就是指能够对系统既定的安全进行防护的技术，访问控制能够防止对用户对系统的任何资源（包括计算资源、信息资源和通信资源）进行非授权的访问。目前访问控制技术的应用领域非常的广泛，一些高校的后勤管理系统和学生信息管理系统中都有运用到访问控制技术。访问控制系统一般包括主体（subject）、客体（object）和安全访问策略，主体是主动发出访问操作和数据存储的一方；客体是提供给主体进行访问的资源；安全访问策略则是对主体访问客体权限的一种规定方法。如下图一所示的就是访问控制系统的功能组件图：
目前运用比较广泛的访问控制策略主要有三种：自主访问控制、强制访问控制和基于角色的访问控制。强制访问控制和自主访问控制是两种不同类型的访问控制机制，但是它们常常会结合起来使用。以下是对三种访问控制技术的介绍：
（一）自主访问控制（Discretionary Access Control，DAC）。在20世纪70年代初期的分时系统中就有提及自主访问控制，是目前计算机系统中出现最多的访问控制技术。主体可以对自己所拥有的客体进行管理，而且主体还可以将自己所拥有客体的访问权限全部或者部分授予其他主体，由此可见这种控制方式是自主的，所以也可以称为是基于拥有者的访问控制。这也就是说，如果系统是自主访问控制的，那么用户就可以按照自己的想法，有选择性的把自己系统中间的信息与其他用户共享，所以它主要缺点是在资源共享方面难以控制；
（二）强制访问控制（Mandatory Access Control，MAC）。安全级别很高的系统一般会采用这种访问控制策略，因为它强调对主、客体的密级进行划分，并且分为一般、机密和绝密等等级，通过敏感标识来对主体和客体的密级进行标识。这是系统强加给主体访问控制的权限，只有主体达到访问的密级才能够对客体进行访问。这种访问控制策略的安全性比较好，但是使用起来不是很灵活，而且应用的领域也相对较狭窄，一般只有应用在国家安全机构和军队中，对授权的管理方面存在欠缺，同级间的控制机制不明确，级别划分也不够准确；
（三）基于角色的访问控制技术（RBAC）。20世纪年代就已经提出RBAC的概念，但直到20世纪90年代，他才开始慢慢受到重视。基于角色的访问控制在用户和访问许可权限之间添加了角色的概念，这样就能够有效地将用户与用户拥有的权限进行分隔开。每个用户都分配了合适的角色，每个角色都有对应的权限，一个用户可以有多个角色，一个角色也可以有多个用户。角色把用户和权限联系起来，从而实现对系统有效的、安全的访问控制。
二、访问控制技术在高校后勤管理系统中的应用
后勤管理系统借助C#语言进行开发，以 VS2008 为开发工具，SQL Server 2005为后台数据库，并做好相关的设计工作，主要从需求分析，系统设计，数据库设计和详细设计等方面阐述系统的开发过程。
（一）需求分析。高校后勤管理信息系统主要包括食堂管理、学生宿舍管理、物资采购管理、文件资料管理、水电暖管理、机构人员管理等等。基于角色的访问控制技术的后勤管理系统本身应当实现以下目标：
1.该系统需要综合全面的管理功能，还能够实现多点操作信息共享，准确和快捷传递相互间的信息；2.该系统需将员工的信息与后勤各项业务联系起来；3.该系统的结构和界面要美观友好，用户能够方便的查询和使用；4.该系统数据库中数据的存储要可靠安全，且对于数据的控制要严密；5.该系统要能够方便管理者对于后勤的管理，提高员工的综合素质。
另外，对于功能需求的设计，该系统要能够对员工的工作任务进行管理，包括：任务分配、任务进度管理、值班查询等；能够对员工的信息进行添加、修改、删除等操作；能够对食堂物资采购和收入的相关数据进行统计管理；能够对教学设备和学生宿舍设备的维修情况进行管理；能够对学校水电气费进行管理等。
（二）系统设计。在后勤管理系统中，主要包含3种实体：用户（User）、角色（Role）、权限（Permission）。
用户指的是所有能够访问后勤管理系统的每一个个体，这样的个体包括：学校领导、后勤管理人员、学校后勤员工等，这些个体组成了用户实体；角色是用来对用户分配权限的，通过角色可以实现用户与权限的分离，因为不同的用户应当拥有不同的权限，例如，后勤系统管理员既是用户也是角色，他应当具备有对后勤系统的各项功能、结构和数据管理的功能，而其他的一些用户，可能不能赋予更改后勤系统的权限；权限是指用户对后勤管理系统资源进行访问和操作的许可，访问控制技术在高校后勤管理中间的应用，其实还是对于权限的设定和分配，这样就能够实现对高校后勤管理系统的安全性进行控制。
（三）数据库设计。首先，要建立一个以后勤管理系统命名的数据库；第二，根据需求分析中的实体和关系创建对应的表；第三，添加表中各属性的约束条件，向表中输入相关的数据和信息；第四，对数据库的权限进行设定，这样就确保了数据库的安全性；第五，创建应用对象和应用平台，应用对象主要是学校后勤人员和学生，应用平台可以显示后勤管理系统的各项功能选择，方便用户进行操作，并且登陆界面必须友好；第六，创建数据窗口对象和数据窗口，数据窗口对象可以联结数据库，获取数据库的各项记录，并且能够及时的对数据库进行更新，用户可以通过它了解窗口的所有功能；第七，添加数据库后期维护的功能；第八，创建功能菜单，方便用户进入所要操作的窗口界面。
（四）测试。当后勤管理系统与访问控制技术结合后，我们需要对该系统的各项功能进行测试，这样才能正式的应用到高校的后勤管理当中去。对于新建的后勤管理系统的功能测试可以按以下方式进行：
1.登录界面。用户访问后勤管理系统是需进行身份验证，输入账号和密码，输入正确方可进入下一界面进行操作；输入错误则重新返回登陆界面，并提示错误；2.进入主菜单。主菜单中包含了后勤管理系统的各功能操作选项，用户可以根据目的查询所需信息，对于其他没有授予权限的资源，系统会自动提示无权访问；3.后勤系统管理中心。后勤管理系统的管理员和维修员具有对系统各项资源进行管理和控制的权利，并且管理员还具有授权给其他用户的功能；4.功能正确实现。用户访问后需保证用户在自己的权限内能够访问到后勤管理系统的资源，也就是当用户选择某项权限内功能时，系统能够及时提供用户所需信息。
四、结束语
访问控制技术能够有效地保障系统的安全性能，防止信息发生泄漏。访问控制技术在高校后勤管理当中的应用，可以帮助高校后勤管理人员进行科学的决策，提高高校后勤部门的工作效率。
参考文献：
[1]李建中.数据库系统原理[M].北京:电子工业出版社,1998
[2]杨立兴.学校后勤管理之我见[J],学校后勤管理之我见[J].教育管理与评价,2005,23(7)