企業(yè)PDM系統(tǒng)網絡安全控制方法剖析

申請免費試用、咨詢電話：400-8352-114

PDM（Product Data Manager）是管理、存取和控制與企業(yè)產品相關的所有數(shù)據(jù)和相關過程的系統(tǒng)。PDM系統(tǒng)管理的不僅是設計階段的數(shù)據(jù)，跟隨著產品的生命周期而傳遞的任何信息，都可以透過PDM系統(tǒng)去加以管理。這些管理的動作包括了在任何時間下，任何PDM系統(tǒng)的使用者，都可以在產品生命周期中的任一階段，在權限的允許之下，取得產品生命過程中的各種相關信息。從而在計算機硬件平臺上，構成了一個大型的信息管理系統(tǒng)，PDM將有效地對各類信息進行合理、正確和安全的管理，并提供一個并行工程環(huán)境，強調協(xié)同設計和資源共享。

PDM系統(tǒng)的安全控制是靠認證、訪問控制、審計、加密等多種技術共同協(xié)作來保證的，但訪問控制技術處于系統(tǒng)安全的中心環(huán)節(jié)。訪問控制技術和授權模型在很大程度上影響著PDM系統(tǒng)的可用性、易用性和安全性。由于企業(yè)對PDM系統(tǒng)授權的各種特定需求，如何準確、有效、及時地滿足這些授權需求，既是PDM軟件廠商需要考慮的問題，更是企業(yè)用戶在PDM系統(tǒng)實施和應用過程中必須解決的問題。

分析應用環(huán)境：PDM系統(tǒng)的體系結構

了解了PDM系統(tǒng)的體系結構，才能針對其實施多層次的安全控制。通常PDM系統(tǒng)的體系結構可以分解為四個層次：

第一層是支持層。目前流行的通用商業(yè)化的關系型數(shù)據(jù)庫是PDM系統(tǒng)的支持平臺。多數(shù)選擇安全性好的ORACLE平臺。

第二層是面向對象層。由于商用關系型數(shù)據(jù)庫側重管理事務性數(shù)據(jù)，不能滿足產品數(shù)據(jù)動態(tài)變化的管理要求。因此，在PDM系統(tǒng)中，PDM系統(tǒng)將其管理的動態(tài)變化數(shù)據(jù)的功能轉換成幾個二維關系型表格，實現(xiàn)面向產品對象管理的要求。

第三層是功能層。一類是基本功能模塊，包括文檔管理、產品配置管理、工作流程管理、零件分類和檢索及項目管理等；另一類是系統(tǒng)管理模塊，包括系統(tǒng)管理和工作環(huán)境。

第四層是用戶層。在PDM系統(tǒng)中，通常除了提供標準的、不同硬件平臺上的人機界面外，還要提供開發(fā)用戶化人機界面的工具，以嵌入各類專用軟件。整個PDM系統(tǒng)、相應的關系型數(shù)據(jù)庫(如 Oracle )和各式各樣的應用軟件都建立在計算機的操作系統(tǒng)和網絡系統(tǒng)的平臺上。

第一關：基于網絡環(huán)境的安全控制機制

PDM系統(tǒng)的運行需要網絡、數(shù)據(jù)庫和各種應用軟件的支撐，因此其安全機制應該是一套完整、可靠、自內而外的安全控制體系。首先是PDM系統(tǒng)外圍形成基于網絡環(huán)境的安全控制機制，其次是在PDM系統(tǒng)內部采用多層次的安全控制體系。

在企業(yè)內部的PDM系統(tǒng)，著重從以下幾個方面考慮網絡環(huán)境的安全機制：

1） 網絡安全性：主要解決網絡資源的訪問控制、數(shù)據(jù)傳輸?shù)谋Ｃ芘c完整性和網絡層的身份認證等機制。可采用入侵檢測系統(tǒng)、網絡審計、網絡管理系統(tǒng)、網絡設施防病毒等手段實施控制。

2） 操作系統(tǒng)安全性：建立全網的域用戶控制、訪問控制列表和完善的操作系統(tǒng)補丁管理，確保服務器群及終端的整體安全性等 。

3）數(shù)據(jù)庫安全：采用ORACLE安全性好的數(shù)據(jù)庫。通過ORACLE數(shù)據(jù)庫的安全加固，實現(xiàn)數(shù)據(jù)庫訪問權限和角色的控制。

4）應用安全性：重點解決應用軟件、數(shù)據(jù)安全性和防病毒的威脅。

5）管理安全性：建立完善的安全管理制度和組織機構，合理劃分安全職責和角色配置。

第二關：PDM內部多層次安全控制機

身份鑒別

身份鑒別是保證合法使用PDM系統(tǒng)的第一道防線。對于企業(yè)內部PDM系統(tǒng)多時關鍵業(yè)務系統(tǒng)，因此身份鑒別應采用基于指紋或智能卡與口令相結合的方式，取代系統(tǒng)中原有的單口令保護方式。所選用的指紋或智能卡必須支持Windows域管理模式，確保操作系統(tǒng)域用戶與PDM系統(tǒng)用戶可采用同模式的認證。

訪問控制與授權管理

訪問控制技術和授權模型在影響著PDM系統(tǒng)的可用性、易用性和安全性。因此著重研究此部分控制機制。

1）PDM授權需求的多元化

主體的多元化：權限不僅需要定義到用戶和角色上，還需要定義到靜態(tài)組織和通過動態(tài)分組形成項目組。

權限的多元化：權限根據(jù)不同的客體應用，可以分為對象類權限、對象權限、屬性權限、部件權限、管理權限、二次分配權限、代理權限等。

對象在生命周期中的權限變化：同一個用戶，對同一個對象，在該對象的不同生命周期，有著不同的權限。

統(tǒng)一的授權模型框架： PDM系統(tǒng)還集成了工作流子系統(tǒng)和管理信息系統(tǒng)等。這就要求必須有一個統(tǒng)一的授權框架來支持在PDM中控制這些子系統(tǒng)中的數(shù)據(jù)的權限。

2）現(xiàn)有PDM系統(tǒng)中的授權機制

PDM系統(tǒng)通過靜態(tài)授權和動態(tài)授權兩種方式實現(xiàn)。

靜態(tài)授權方式包括：

對象訪問控制列表——針對單個對象定義訪問控制列表；

消息訪問規(guī)則——通過給單個用戶、角色、團隊、工作組以及部門單位的授權和安全驗證來控制用戶對各種信息的訪問；

授權數(shù)據(jù)訪問——對保密數(shù)據(jù)或受控數(shù)據(jù)及其相關數(shù)據(jù)進行控制；

動態(tài)授權方式主要是指在流程中的動態(tài)控制：

動態(tài)權限——在流程節(jié)點中自動動態(tài)賦予和收回權限；

流程簽發(fā)身份驗證——驗證簽發(fā)人員的身份；

訪問審計——系統(tǒng)關鍵事件自動記錄

3） 針對多元化PDM授權需求的關鍵技術問題

現(xiàn)有流行的PDM系統(tǒng)（WindChill、Teamcenter Enterprise）,可以較好地解決主體多元化、對象在生命周期中的權限變化的問題。但對于多級權限和統(tǒng)一授權的問題還不能很好解決。

統(tǒng)一授權框架技術思路：對流程和非流程的數(shù)據(jù)授權采用同一套機制，在進行權限驗證時，用戶可以完全不考慮是否需要通過流程任務來獲得權限，自動判斷是否需要進行流程授權驗證。在建立全局統(tǒng)一認證（CA）的基礎上，實現(xiàn)統(tǒng)一授權框架如圖1所示。

多級權限管理技術思路：采用基于管理角色樹的多級授權管理模型來進行權限的管理和分配。

PDM系統(tǒng)的信息的完整性控制

1）利用CA系統(tǒng)實現(xiàn)

在PDM系統(tǒng)內部利用CA系統(tǒng)提供的簽名機制，實現(xiàn)PDM流程中傳遞的所有信息的簽名和驗證，確保信息的完整性和防抵賴。

2）利用PDM自身的功能實現(xiàn)

利用PDM中電子資料室(DataVault)建立數(shù)據(jù)之上的相

關聯(lián)指針，建立不同類型的或異構的產品數(shù)據(jù)之間的聯(lián)系，實現(xiàn)文檔的層次與聯(lián)系控制。通過Check-in/Check-out功能，保證文件的完整性和一致性。

PDM系統(tǒng)的用戶管理

1）如何防范系統(tǒng)管理員的權限過大

目前大部分PDM系統(tǒng)的權限管理都由全局的系統(tǒng)管理員角色來擔任，該系統(tǒng)管理員負責分配整個PDM系統(tǒng)的權限，具有的管理功能有:項目管理、用戶管理、權限管理、工作流程定義等。因此需要對全局系統(tǒng)管理員進行約束和職責劃分。設置系統(tǒng)管理員、數(shù)據(jù)庫管理員和安全管理員三個角色，并在操作時相互制約，從管理規(guī)范上和審計技術方面，確保管理員的權限分級（至少2人在場時才能實施各種操作）。

2）防范合法用戶越權訪問和非法用戶入侵

要保證數(shù)據(jù)在權限控制的范圍內，隨時可以送到需要該資料的人手中，真正實現(xiàn)數(shù)據(jù)共享。

建立合理的人員管理模型，確保準確授權：首先建立人員的管理模型，給出各科室的人員機構表、各型號產品的開發(fā)隊伍或小組表、各類人員的角色及其相應權限表，并說明設計、校對、工藝、標檢和計劃等的讀/寫權限。然后確認用戶的存取權限，即明確規(guī)定用戶存取數(shù)據(jù)的范圍及可以實施的操作。最后實施存取權限控制，即對用戶進行存取權限控制，監(jiān)測用戶的操作行為，將用戶的數(shù)據(jù)訪問控制在規(guī)定的范圍內。

利用PDM系統(tǒng)特有的文件解釋機制：為了防止非法訪問，在操作系統(tǒng)目錄下，所有文件都隱含了真實的文件名，然后將讀/寫控制權全部交給操作系統(tǒng)的超級用戶。由系統(tǒng)管理員建立帳號，一般用戶無法找到具體所需的文件。一且將文件交給PDM管理，那么就在PDM中生成新的、只有PDM才能解釋的名字，并由PDM控制讀/寫控制權。這樣即使在操作系統(tǒng)的列表命令下，雖然在文件目錄中可以列出文件名，但無權限的用戶也無法讀/與和執(zhí)行。

利用產品配置管理實現(xiàn)了權限控制：集中管理產品數(shù)據(jù)資源及使用權限；統(tǒng)一管理產品生命周期內全部數(shù)據(jù)的有效性。

結束語

隨著PDM系統(tǒng)的廣泛應用，PDM系統(tǒng)統(tǒng)一授權、多級權限管理問題會更加突出，這將是PDM系統(tǒng)應用中急需研究和解決的問題。 （amteam）