吴 昊,徐致远
(交通部天津水运工程科学研究院,天津 300456)
活动目录在GIS用户管理中的应用
吴 昊,徐致远
(交通部天津水运工程科学研究院,天津 300456)
GIS用户的普通数据库管理模式会造成系统维护复杂、用户管理分散、平台间协同性差和用户信息安全性差等问题。为了安全统一地管理 GIS用户,便捷地分配和控制各级用户的操作权限,严格认证登录系统用户的合法性,将微软的活动目录技术应用于 GIS的用户管理中,根据活动目录的内部机制、使用方法以及 GIS系统的需求,提出2种解决方案。阐述各种方案的系统架构,并对比2种方案的优点和缺点,为GIS的用户管理提供一种新的思路。关键词:活动目录;GIS;用户管理
地理信息系统(GIS)的建设涉及多个部门或地区,功能复杂、接口众多,且其中含有大量、高精度,甚至涉密的基础地理数据,容易出现网络被入侵、信息丢失、机密泄露等安全隐患。随着科技的不断进步,GIS的计算机硬件和软件方面的安全体系越来越完善,而相比之下,用户管理、自定义的访问控制等却还是薄弱环节,是目前安全隐患的主要所在之一。
活动目录(Active Directory,简称 AD)是一种存储网络资源信息的目录,它优化了读取、浏览和搜索操作,可以保存描述性的信息,并且支持复杂的过滤搜索能力,是管理用户信息非常有效的一种方式[1]。本文研究了如何将活动目录应用于 GIS的用户管理,提出2种解决方案,并对比这2种方案的优点和缺点。
1 通常的 GIS用户管理
用户管理涉及2个重要方面,首先是用户身份管理,为用户的身份认证服务;其次是用户权限管理,为用户的访问控制服务。在通常的 GIS开发中,用户的信息管理、认证授权多采用数据库来完成。配置一个用户数据库,将用户的用户名、密码、个人信息、系统访问权限信息等都存储到数据表中。用户登录系统时,首先要验证输入的用户名和密码与数据库中存储的是否完全匹配;完全匹配后,再从数据库中提取出该用户的个人信息、享有的操作权限信息等反馈给系统;系统再根据反馈结果来确定对该用户开放哪些功能和加载哪些模块。这种解决方案虽然简便易用,但却存在着很多缺陷:
1)每个 GIS平台都有自己的用户系统,在平台混合使用情况下,用户需要单独的账户来访问每个平台。由于身份和存取政策不一致,可能会导致单用户多登录名、多密码的情况。既增加了用户操作的复杂度,又不利于异构 GIS平台间的协同合作和将来的统一整合。
2)当同一地区或部门拥有多个 GIS平台时,可能存在用户重叠。用户信息也就需要被重复输入,既增加了用户管理的难度,还会造成平台间的用户信息不统一、人员变动时难以及时同步更新等问题。
3)存储用户信息所使用的数据库多为关系数据库,由于关系数据库的结构无法在逻辑上对不同等级的用户进行分层、分组,从而较难实现对用户集中授权、注销等高级管理。
4)用户的用户名、密码、个人信息、系统操作权限信息等均以字符串等明文形式存储在数据库中,数据库服务器容易被攻击;且传输通讯过程中没有审核,用户信息容易被中途窃取,安全性存在很大隐患。
鉴于此,需要寻找一种能实现用户集中管理、统一认证授权、安全性高的解决方案。
2 活动目录
活动目录是面向 Window s Standard Server、Window s Enterp rise Server以及 Window s Datacenter Server的目录服务[2]。它是一种存储网络资源信息的目录,类似于分布式数据库,可以将分散在各计算机上的信息统一集中管理,存储的信息包括用户账户、文件数据、打印机、计算机等[3]。它使用了一种结构化的数据存储方式,可以方便地对用户账户等目录信息进行分层和分组,从而可以对用户进行统一删除、授权等高级管理。每个活动目录中的对象都有一个访问控制列表,其中包含有资源列表和访问权限列表[4],可以使存储信息不被盗取或越权访问,从而保证信息的安全。活动目录使用轻量目录访问协议(Lightw eight Directo ry Access Protocol,简称LDAP)来对目录信息进行组织、管理和访问[5]。LDAP提供了严格的用户认证机制和数据传输加密机制[6],从而可以保证通讯传输中信息的完整性和私密性。
利用微软提供的活动目录服务接口技术[7](A ctive Directo ry Service Interfaces,简称 ADSI),可以开发应用程序访问活动目录。ADSI提供的System.DirectoryServices命名空间中封装了DirectoryEntry和DirectorySearcher两个组件类[8],使用这两个类可以从托管代码简便的访问活动目录,而无须关心后台机制如何运行。
3 解决方案
3.1 轻量级用户管理方案
在AD中创建域账户代表 GIS系统的用户,将用户的相关信息存储到域账户中。用户登录系统时,系统向AD发出用户验证请求,在AD中查询用户是否合法,将验证结果返回给 GIS系统,系统根据返回的结果确定该用户的操作权限。
本方案仅仅把活动目录当作存储用户账户和用户信息的数据库,GIS系统根据用户输入的用户名和密码连接到活动目录服务器,通过查询AD服务器来判断是否与AD中存储的账户信息匹配。如果匹配成功,则登录成功,同时用户的操作权限由各个GIS系统自己来定义,简单明了,易于实现。由于活动目录中只存储了用户的基本信息,各个 GIS系统需要开发自己的权限管理模块,所以在子系统较多或多系统配合的情况下,重复的开发量会较大。并且如果各个 GIS系统是异构系统,如有的基于JAVA、有的基于.NET,那么在这种模式下用户认证会变得更复杂。因此,本解决方案适于在单个系统或子系统较少时采用,其管理流程如图1所示。
图1 轻量级用户管理方案流程
3.2 通用中间件用户管理方案
该方案是开发一个单独的用户管理系统,作为第三方管理中间件来实现 GIS系统的用户权限分配、用户身份认证、用户信息提取、用户权限提取等功能。在AD中创建域账户代表 GIS系统的用户,将用户的个人信息存储到域账户中;通用中间件用户管理系统对AD中的 GIS用户进行自定义的权限分配,将该用户的权限信息保存到授权数据库中;将用户认证、权限提取等功能通过功能接口对外发布;GIS系统调用这些功能接口,通过通用中间件用户管理系统来访问AD,进行用户身份认证、用户信息提取、用户权限提取等操作。
该方案的用户认证流程如下:
1)用户登录 GIS系统时输入用户名和密码,GIS系统将该用户名和密码通过功能接口提交给通用中间件用户管理系统。通用中间件用户管理系统访问AD,在AD中验证该用户名和密码是否合法,如非法则直接返回“用户非法”提示,停止 GIS系统登录。
2)用户验证合法后,通用中间件用户管理系统从授权数据库中提取该用户的 GIS系统自定义的操作权限,并从AD中获取所需要的用户个人信息、组织结构信息等,一并返回给 GIS系统。
3)GIS系统根据返回的用户操作权限加载功能模块,设置相应的用户信息,系统启动。
本解决方案将所有的用户管理工作都交给通用中间件用户管理系统来完成,实现了用户信息和权限的集中管理,各个 GIS系统不需再关注自己的用户管理问题。通用中间件用户管理系统对外提供功能发布接口供 GIS系统使用,避免了各 GIS系统直接访问AD,所有的需求完全通过调用中间件中的方法访问AD完成,适合在各种异构环境下部署和使用。由于本方案设计的通用中间件用户管理系统既需要访问AD,又需要操作授权数据库,还需要提供供外部调用的功能接口,所以开发设计工作较复杂,难度较大。因此,本方案适于在 GIS系统较多、异构环境下采用,其管理方案流程如图2所示。
图2 通用中间件用户管理方案流程
4 结束语
GIS的多源数据集成能力,对海量数据的管理、处理、查询能力,强大的空间分析能力和辅助决策能力,使得它在国土、资源、规划等众多领域得到了广泛应用。地理信息的安全又直接关系到国家和地区的安全、社会的稳定。因此,GIS用户的安全管理问题不容忽视。将活动目录技术应用于 GIS的用户管理,解决了数据库用户管理模式下的系统维护复杂、用户管理分散、系统间协同性差、用户信息安全性差等问题,是 GIS用户管理及认证授权的一个良好的选择。
[1]张冠东,王绪本.基于活动目录的域用户认证系统的研究与设计[J].微型电脑应用,2005,21(5):5-6.
[2]杨上影.Window s 2003活动目录实现校园网信息化管理[J].广西师范学院学报:自然科学版,2005,22(1):82-85.
[3]李志民.基于活动目录的访问控制系统[J].中原工学院学报,2004,15(2):33-35.
[4]吴晓斌,张月琳.基于LDAP的校园网统一身份认证系统设计[J].华中科技大学学报:自然科学版,2003,31(S):332-334.
[5]李澜,王峰,钱华林.LDAP目录服务安全及研究现状[J].微电子学与计算机,2005,22(6):48-56.
[6]龚强.地理空间信息格网安全问题解析安全体系结构研究[J].地理信息世界,2007(3):64-69.
Application of active directory in user management for GIS
WU Hao,XU Zhi-yuan
(Tianjin Research Institute of Water Transport Engineering,Tianjin 300456,China)
There ism uch trouble in the Databasemode of GISU ser M anagement,fo r examp le,the comp lex system maintenance,the dispersion user management,the difficult cooperation among p latfo rm s,the bad security of user’s info rmation.In o rder to safely manage GIS users,conveniently distribute and control user’s power,strictly authenticate users,this paper puts active directory from M icrosoft in use of GIS user management.Combined w ith the active directory’s mechanism,app lication and the needs of GIS user management,this paper p romotes two solutions,expatiates the logo of every solution,and compares the advantages and disadvantagesw ith each other.This paper offers a new idea fo r GIS user management.
active directory;GIS;user management
TP31
A
1006-7949(2010)06-0070-03
2009-11-15
吴 昊(1984-),男,助理工程师,硕士.
[责任编辑张德福]
