0 引言
產品數據管理PDM（Product Data Management）是當今計算機應用領域的重要技術之一。近幾年來PDM是產品工業中發展最快的一種技術，是一種與企業文化相結合的技術。PDM是以軟件為基礎、以產品管理為核心，以數據、過程和資源為管理信息，從而將所有與產品有關的數據、過程和資源集成在一起，貫穿于整個產品生命周期的產品數據和開發過程。數據的安全管理同整個產品開發當中各個環節緊密相關，為了滿足國防行業信息安全保密的要求，需要深入研究PDM系統的安全機制，使PDM有效地對各類信息進行合理、正確和安全的管理，提供一個并行工作環境。任何PDM系統的使用者，可以在產品生命周期中的任一階段，在權限的允許之下，取得產品生命過程中的各種相關信息，下面以以Teamcenter產品為例，分析PDM系統的安全性問題。
1 PDM系統安全性控制機制
PDM系統的權限機制用來控制用戶操作數據的能力，對用戶訪問數據的控制主要是考慮信息的安全性和用戶使用的便利性。規定誰能夠對什么數據進行什么操作以支持以前定義的業務流程和數據完整性的要求。
PDM系統的安全控制是靠認證、訪問控制、審計、加密等多種技術共同協作來保證的，但訪問控制技術處于系統安全的中心環節。由于PDM系統的協同特性，資源共享成了安全控制的最大隱患。訪問控制技術和授權技術在很大程度上影響著PDM系統的可用性、易用性和安全性。由于企業對PDM系統授權的各種特定需求，如何準確、有效、及時地滿足這些授權需求，是PDM系統實施和應用過程中必須解決的問題。
PDM系統的運行需要網絡、數據庫和各種應用軟件的支撐，因此其安全機制應該是一套完整、可靠、自內而外的安全控制體系。首先是PDM系統外圍形成基于網絡環境的安全控制機制，其次是在PDM系統內部采用多層次的安全控制體系。
1.1 基于網絡環境的安全控制機制
在企業內部的PDM系統，著重從以下幾個方面考慮網絡環境的安全機制：
1.1.1 網絡安全性
客戶端和服務器之間、服務器和磁盤陣列之間均存在著大量的數據交互及通訊。如何有效保證數據通訊之間的安全，則必須要建立一套完整、可靠、自內而外的安全控制體系，主要解決網絡資源的訪問控制、數據傳輸的保密與完整性和網絡層的身份認證等機制。如建立防火墻、人侵檢測系統、網絡審計、網絡管理系統、網絡防病毒等手段實施檢查控制。
1.1.2 操作系統安全性
建立全網的域用戶控制、訪問控制列表和完善的操作系統補丁管理，確保服務器群及終端的整體安全性等。加強終端的端口管理、補丁管理和策略管理，避免個別單機的薄弱形成安全跳板。
1.1.3 數據庫安全
采用ORACLE安全性好的數據庫。通過ORACLE數據庫的安全加固，實現數據庫訪問權限和角色的控制。
1.1.4 應用安全性
重點解決應用軟件、數據安全性和防病毒、木馬的威脅。
為了確保數據的安全，對于PDM系統集中存儲的數據，除了加密和授權外，還必須有效控制信息的輸出和信息的完整性保護。建立嚴格的輸入/輸出區域，并采用經過授權的可信介質實施數據的導入、導出；同時采用審計措施記錄所有的輸入、輸出操作。
1.1.5 管理安全性
建立完善的安全管理制度和組織機構，合理劃分安全職責和角色配置，確保監督、檢查到位。
1.2 基于PDM系統的權限機制
隨著數據的創建、審批、歸檔等活動，數據的存儲位置不斷地變化，同時，數據的狀態也不斷提升。對于相同對象，如果所處的位置不同，或者位置相同，狀態不同，用戶對它們的訪問權限也不同。PDM系統的權限機制提供了三種靈活的控制方式：普通業務規則(MAR) 、數據授權(ACL) 、流程權限(LCM) 。PDM系統提供的權限控制采用疊加原則，也就是說，如果設計師既屬于某一小組又參與某一項目，則他同時具有這個小組和這個項目組成員的權限。
圖1 PDM系統中的MAR權限
1.2.1 普通業務規則(MAR)
根據用戶參與的項目、擔任的角色、所在的不同組，所瀏覽的對象類型、對象所處于的位置狀態以及用戶執行的操作功能動態地解算用戶對數據的操作權限。系統權限的劃分主要考慮五個因素：人員+數據+操作+數據位置+數據狀態+特定條件（哪些人員對處于特定位置 和狀態并滿足特定條件的哪些數據能夠進行什么樣的操作）。
1.2.2 數據授權(ACL)
用于超越消息訪問規則的限制單獨對某個對象進行權限設置；可以管理由用戶自行設置管理對象的權限；可以限制規則權限高的人在特定對象上的操作。
由具有授權權限的管理者用戶(如主管設計師)在某些特殊情況下，對某個具體的數據對象為某個用戶或者用戶小組授權(如：復制、創建關系、瀏覽、檢出/檢入等)，并且可以靈活設定授權的有效時限。
圖2 PDM系統的基于對象的權限設置
圖3 PDM系統中的動態權限
1.2.3 流程權限(LCM)
用于在流程節點中動態賦予權限，流程參與者根據所參與活動類型的不同具有相對應的流程對象操作權限，這些活動類型包括簽審人員、作業分派任務、分發通知等。例如，在流程的審批節點中，審批人員被授予可以查看圖紙并進行批閱，但審批結束后同樣的操作就被拒絕。
2 PDM授權需要的關鍵技術
為了滿足信息安全保密要求，下面分析一下PDM系統如何解決對象在生命周期中的權限變化的問題。
2.1 信息的完整性、安全性控制
2.1.1 利用CA系統實現
作為信息系統，用戶身份的認證是整個信息系統的第一道關口。如何有效地控制好系統身份的認證，是保證信息系統安全的基礎。如果控制不當，可能出現嚴重的數據泄密問題。在PDM系統內部利用CA系統提供的簽名機制，實現PDM流程中傳遞的所有信息的簽名和驗證，確保信息的完整性和防抵賴。
2.1.2 利用PDM自身的功能實現
利用PDM中電子倉庫(DataVault)建立數據之間的相關聯指針，建立不同類型的或異構的產品數據之間的聯系，實現文檔的層次與聯系控制。通過Check-in/Check-out功能，保證文件的完整性和一致性。
2.1.3 利用數據加密實現
信息系統在數據的通訊過程中，如從客戶端到服務器端的傳輸過程中，都有可能遭受到攻擊，因此需要在這一過程中對數據進行加密。同時在客戶端本地存儲的信息也應該進行加密處理，以避免從客戶端出現數據泄露的情況。
2.2 用戶管理
2.2.1 PDM普通用戶的管理
在PDM系統中，要求對PDM用戶口令長度、復雜度、更換周期有強制要求；用戶口令在服務器上要求加密存儲；保證用戶在空閑鏈接超過規定值后，要求重新認證；對用戶本地或遠程登錄身份鑒別失敗后，要形成審計報告，并具有對帳戶自動鎖定功能。
2.2.2 如何防范系統管理員的權限過大
目前大部分PDM系統的權限管理都由全局的系統管理員角色來擔任，該系統管理員負責分配整個PDM系統的權限，具有的管理功能有：項目管理、用戶管理、權限管理、工作流程定義等。因此需要對全局系統管理員進行約束和職責劃分。設置系統管理員、數據庫管理員和安全管理員三個角色，并在操作時相互制約，從管理規范上和審計技術方面，確保管理員的權限分級(至少2人在場時才能實施各種操作)。
2.2.3 防范合法用戶越權訪問和非法用戶入侵
為了保證數據在權限控制的范圍內，隨時可以送到需要該資料的人手中，真正實現數據共享，需要建立合理的人員管理模型，確保準確授權：首先建立人員的管理模型，給出各科室的人員機構表、各型號產品的開發隊伍或小組表、各類人員的角色及其相應權限表，并說明設計、校對、工藝、標檢和計劃等的讀/寫權限；然后確認用戶的存取權限，即明確規定用戶存取數據的范圍及可以實施的操作；最后實施存取權限控制，即對用戶進行存取權限控制，監測用戶的操作行為，將用戶的數據訪問控制在規定的范圍內。
2.3 利用PDM系統特有的文件控制機制
為了防止非法訪問，在操作系統目錄下，所有文件都隱含了真實的文件名，然后將讀/寫控制權全部交給操作系統的超級用戶。由系統管理員建立賬號，一般用戶無法找到具體所需的文件。一旦將文件交給PDM管理，那么就在PDM中生成新的、只有PDM才能解釋的名字，并由PDM控制讀/寫控制權。這樣即使在操作系統的列表命令下，雖然在文件目錄中可以列出文件名，但無權限的用戶也無法讀/寫和執行。
3 結束語
隨著PDM系統的廣泛應用，PDM系統統一授權、多級權限管理問題會更加突出，這將是PDM系統應用中急需研究和解決的問題。統一授權技術思路：對流程和非流程的數據授權采用同一套機制，在進行權限驗證時，用戶可以完全不考慮是否需要通過流程任務來獲得權限，自動判斷是否需要進行流程授權驗證。在建立全局統一認證(CA)的基礎上，實現統一授權。多級權限管理技術思路：采用基于管理角色樹的多級授權管理模型來進行權限的管理和分配。所以在處理安全機制方面需要有針對性的規劃和設計來滿足不同的要求。
核心關注：拓步ERP系統平臺是覆蓋了眾多的業務領域、行業應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業務領域的管理，全面涵蓋了企業關注ERP管理系統的核心領域，是眾多中小企業信息化建設首選的ERP管理軟件信賴品牌。
轉載請注明出處：拓步ERP資訊網http://www.guhuozai8.cn/
本文網址：http://www.guhuozai8.cn/html/solutions/14019311444.html
相關文章
