0 引言
北方聯(lián)合電力有限責(zé)任公司(以下簡(jiǎn)稱北方公司)ERP項(xiàng)目從2006年4月開(kāi)始啟動(dòng),實(shí)施了財(cái)務(wù)管理模塊(FI/CO/TR)、物流管理模塊,于2009年6月成功通過(guò)驗(yàn)收并由專家評(píng)審達(dá)到國(guó)內(nèi)領(lǐng)先水平。
ERP系統(tǒng)所支持的業(yè)務(wù)處理以及有待處理的大量數(shù)據(jù)是企業(yè)的重要資源,應(yīng)予以特別保護(hù)。為了防止非法用戶使用系統(tǒng)及合法用戶對(duì)系統(tǒng)的非法訪問(wèn),需要對(duì)應(yīng)用系統(tǒng)的采取保護(hù)措施,合理的用戶及權(quán)限管理是一種有效的手段,可以很大程度降低應(yīng)用系統(tǒng)的安全風(fēng)險(xiǎn)。
在ERP系統(tǒng)中,系統(tǒng)權(quán)限管理員根據(jù)每個(gè)用戶的崗位和工作職責(zé),為其分配相應(yīng)的權(quán)限。如果給用戶分配的權(quán)限不夠,則不能滿足用戶業(yè)務(wù)操作的需求;但如果分配的權(quán)限過(guò)大,用戶可能會(huì)越權(quán)執(zhí)行一些操作,給系統(tǒng)數(shù)據(jù)及公司業(yè)務(wù)安全帶來(lái)風(fēng)險(xiǎn)。北方公司ERP系統(tǒng)應(yīng)用范圍涉及本部及下屬各核算單位,部門崗位多、用戶數(shù)量大,建立一個(gè)規(guī)范的系統(tǒng)用戶權(quán)限管理機(jī)制則顯得尤為重要。
1 ERP系統(tǒng)的授權(quán)機(jī)制
SAP ECC5.0 ERP系統(tǒng)采用的是目前國(guó)際上比較流行的基于角色的訪問(wèn)機(jī)制(Role-Based Access Control,RBAC)。角色又分為單一角色和復(fù)合角色,單一角色是指事物代碼(Transaction Code)的集合,也包括事務(wù)代碼所要求的權(quán)限對(duì)象、權(quán)限字段、字段的值等,它們共同決定了具有該角色的用戶在系統(tǒng)中的操作范圍;而復(fù)合角色是若干單一角色的集合。基于角色的授權(quán)機(jī)制如圖1所示。
圖1 授權(quán)機(jī)制
用戶在ERP系統(tǒng)中進(jìn)行業(yè)務(wù)處理是通過(guò)各種事務(wù)代碼來(lái)實(shí)現(xiàn)的,每個(gè)事務(wù)代碼都對(duì)應(yīng)著不同的功能程序。程序的設(shè)計(jì)除了實(shí)現(xiàn)業(yè)務(wù)處理的基本功能外,還包含執(zhí)行這個(gè)事務(wù)代碼所需要進(jìn)行的授權(quán)檢查(Authorization Check)。新建一個(gè)用戶ID時(shí),該用戶ID默認(rèn)的權(quán)限是空白,無(wú)權(quán)進(jìn)行任何操作。為用戶授權(quán)實(shí)際上是通過(guò)角色或者直接通過(guò)權(quán)限參數(shù)文件將不同的權(quán)限授予不同的用戶,授權(quán)后其用戶主記錄中記錄了他的授權(quán)信息。當(dāng)用戶執(zhí)行某事務(wù)代碼時(shí),事務(wù)代碼對(duì)應(yīng)的程序?qū)τ脩糁饔涗浿械氖跈?quán)信息進(jìn)行權(quán)限檢查,檢查通過(guò)了,就說(shuō)明該用戶具有該操作權(quán)限,業(yè)務(wù)得以順利進(jìn)行,反之,系統(tǒng)就自動(dòng)終止事務(wù)處理,并提示用戶無(wú)權(quán)使用。
2 用戶權(quán)限管理流程設(shè)計(jì)
2.1 傳統(tǒng)用戶權(quán)限變更的模式及存在的問(wèn)題
傳統(tǒng)的權(quán)限申請(qǐng)流程,是最終用戶根據(jù)實(shí)際需求,填寫(xiě)《用戶權(quán)限申請(qǐng)表》并提交給系統(tǒng)權(quán)限管理員,管理員根據(jù)用戶的崗位職責(zé)進(jìn)行審批,審批通過(guò)后在系統(tǒng)中做相應(yīng)的權(quán)限調(diào)整,同時(shí)反饋給最終用戶。
雖然傳統(tǒng)權(quán)限申請(qǐng)流程也對(duì)系統(tǒng)用戶權(quán)限實(shí)行了統(tǒng)一集中管理,但也存在著很多弊端:
權(quán)限申請(qǐng)的審批、維護(hù)是由權(quán)限管理員完成的,管理員對(duì)業(yè)務(wù)單位部門崗位職責(zé)分配及業(yè)務(wù)操作的熟悉程度有限,很難確定最終用戶提交的權(quán)限申請(qǐng)的合理性;
最終用戶不了解權(quán)限的構(gòu)成情況,單從角色描述很難判斷角色所包含的具體內(nèi)容,從而造成最終申請(qǐng)到的權(quán)限與所需要的權(quán)限不一致;
用戶申請(qǐng)權(quán)限時(shí)通常都是通過(guò)電話或電子郵件,隨著時(shí)間的推移,申請(qǐng)變更的數(shù)據(jù)量逐漸增大,用戶和權(quán)限管理變得極其混亂;
權(quán)限管理員處理權(quán)限申請(qǐng)時(shí),往往需要反復(fù)溝通才能完成最終權(quán)限調(diào)整并記錄歸檔,而且在做權(quán)限調(diào)整時(shí)也不可避免的產(chǎn)生錯(cuò)誤,使得管理員的工作量大而且效率低。
2.2 流程化的用戶權(quán)限變更模式的實(shí)現(xiàn)
針對(duì)傳統(tǒng)權(quán)限申請(qǐng)流程存在的問(wèn)題,北方公司對(duì)傳統(tǒng)流程進(jìn)行了優(yōu)化,將用戶權(quán)限變更過(guò)程從技術(shù)維護(hù)轉(zhuǎn)變?yōu)榧夹g(shù)、業(yè)務(wù)部門共同參與的業(yè)務(wù)操作,實(shí)現(xiàn)了三級(jí)流程化的權(quán)限管理。優(yōu)化后的權(quán)限申請(qǐng)流程如圖2所示。
圖2 優(yōu)化權(quán)限申請(qǐng)流程
3 方案設(shè)計(jì)
3.1 模塊化結(jié)構(gòu)
通過(guò)對(duì)業(yè)務(wù)流程和管理需要進(jìn)行分析,整個(gè)用戶權(quán)限變更模塊設(shè)計(jì)包括三個(gè)主模塊:最終用戶創(chuàng)建申請(qǐng)子模塊、業(yè)務(wù)部門審批子模塊及信息部門執(zhí)行子模塊,兩個(gè)輔助模塊:管理員維護(hù)子模塊,報(bào)表查詢子模塊。程序流程設(shè)計(jì)如圖3所示。
圖3 程序設(shè)計(jì)流程
3.1.1 用戶創(chuàng)建申請(qǐng)子模塊
用戶提出權(quán)限變更申請(qǐng),在ERP系統(tǒng)中創(chuàng)建權(quán)限變更申請(qǐng)單,權(quán)限變更類型包括新增用戶及權(quán)限、已有用戶權(quán)限更改、鎖定/解鎖用戶。
3.1.2 業(yè)務(wù)部門審批子模塊
創(chuàng)建完成的權(quán)限變更申請(qǐng)?zhí)峤缓螅瑯I(yè)務(wù)部門審批負(fù)責(zé)人員根據(jù)用戶業(yè)務(wù)實(shí)際需要,進(jìn)行相應(yīng)的審批(流程Ⅱ-業(yè)務(wù)部門審批)。
3.1.3 信息部門執(zhí)行子模塊
業(yè)務(wù)部門審批通過(guò)后,該申請(qǐng)單自動(dòng)提交到信息部門進(jìn)行審批,信息部門負(fù)責(zé)人根據(jù)用戶實(shí)際需要,確認(rèn)變更申請(qǐng)合理后,即在系統(tǒng)中執(zhí)行該申請(qǐng)單,系統(tǒng)則自動(dòng)將所申請(qǐng)用戶的權(quán)限做出相應(yīng)修改(流程Ⅲ-信息部門執(zhí)行)。
3.2 程序設(shè)計(jì)
3.2.1 數(shù)據(jù)庫(kù)表結(jié)構(gòu)
在權(quán)限變更模塊中所執(zhí)行的每一步操作,都會(huì)在相關(guān)的自建數(shù)據(jù)庫(kù)表中產(chǎn)生記錄,由于流程的需要,一些表中的數(shù)據(jù)要相互關(guān)聯(lián)。用戶創(chuàng)建權(quán)限申請(qǐng)表結(jié)構(gòu)舉例如下:
3.2.2 流程關(guān)鍵點(diǎn)
用戶權(quán)限管理模塊包括三個(gè)流程,為了在程序中實(shí)現(xiàn)流程關(guān)鍵點(diǎn)控制,每一次權(quán)限申請(qǐng)都會(huì)自動(dòng)產(chǎn)生唯一的申請(qǐng)單編號(hào),通過(guò)申請(qǐng)單編號(hào)將所有自建數(shù)據(jù)庫(kù)表中的信息進(jìn)行關(guān)聯(lián);申請(qǐng)單狀態(tài)則是記錄申請(qǐng)被處理的進(jìn)度,保證權(quán)限申請(qǐng)?jiān)谌齻(gè)流程間的順利過(guò)度。
4 功能實(shí)現(xiàn)
為了確保用戶權(quán)限管理模塊的良好應(yīng)用,要求各模塊有專人負(fù)責(zé)業(yè)務(wù)操作。申請(qǐng)創(chuàng)建由各應(yīng)用單位設(shè)置權(quán)限維護(hù)主數(shù)據(jù)人員實(shí)現(xiàn)本單位用戶權(quán)限變更的申請(qǐng),審批環(huán)節(jié)由公司相應(yīng)業(yè)務(wù)部門人員進(jìn)行審批,執(zhí)行環(huán)節(jié)由公司權(quán)限維護(hù)人員完成。各子模塊功能及實(shí)施效果介紹如下:
4.1 權(quán)限申請(qǐng)子模塊
各應(yīng)用單位權(quán)限主數(shù)據(jù)人員登錄ERP系統(tǒng)中,通過(guò)菜單或直接輸入相應(yīng)事物代碼即可進(jìn)入到創(chuàng)建權(quán)限申請(qǐng)單的界面,來(lái)創(chuàng)建權(quán)限變更申請(qǐng)單。創(chuàng)建權(quán)限變更申請(qǐng)?zhí)峁┝藙?chuàng)建用戶、權(quán)限變更、鎖定用戶三種變更類型。輸入系統(tǒng)用戶名、公司代碼、部門崗位、修改備注等信息后,即可進(jìn)入到角色選擇界面(如果變更類型選擇“鎖定用戶”,不會(huì)出現(xiàn)角色選擇界面)。
在角色選擇界面,左側(cè)顯示用戶可以選擇添加的角色,右側(cè)為用戶已經(jīng)擁有的角色。用戶可以通過(guò)點(diǎn)擊添加和刪除按鈕,為所申請(qǐng)的用戶增加和刪除某些角色。如果刪除用戶原有角色,該角色就會(huì)在“用戶角色”欄下消失,同時(shí)增加到“可添加角色”欄下,并以紅色顯示;如果增加用戶沒(méi)有的角色,該角色就會(huì)在“可添加角色”欄下消失,同時(shí)增加到“用戶角色”欄下,并以綠色顯示。
在選擇增減角色界面,如果用戶對(duì)該角色包含功能不了解,可以通過(guò)雙擊該角色,進(jìn)入到該角色詳細(xì)信息的界面,了解該角色包含的可在系統(tǒng)內(nèi)執(zhí)行的事務(wù)代碼。
選擇所要增加或刪除的角色后,點(diǎn)擊“生成”功能按鈕,系統(tǒng)會(huì)自動(dòng)產(chǎn)生一個(gè)申請(qǐng)單號(hào),此時(shí)系統(tǒng)會(huì)彈出確認(rèn)對(duì)話框,提示用戶是否需要提交申請(qǐng)單。提交后的申請(qǐng)單就進(jìn)入到業(yè)務(wù)部門審批環(huán)節(jié),不可再修改。此外權(quán)限申請(qǐng)人員可以通過(guò)報(bào)表,查看權(quán)限申請(qǐng)的進(jìn)度。
4.2 權(quán)限審批子模塊
公司業(yè)務(wù)主管部門負(fù)責(zé)權(quán)限審批的人員,登錄到ERP系統(tǒng)中,通過(guò)系統(tǒng)菜單或直接輸入事物代碼即可進(jìn)入到權(quán)限審批界面,來(lái)完成對(duì)本業(yè)務(wù)部門權(quán)限申請(qǐng)單的審批。權(quán)限申請(qǐng)審批初始界面以列表形式顯示本業(yè)務(wù)部門各應(yīng)用單位提交的權(quán)限申請(qǐng)單,雙擊要審批的權(quán)限申請(qǐng)單,即可進(jìn)入該申請(qǐng)單的審批界面。
在權(quán)限申請(qǐng)審批界面下,審批人員可以通過(guò)“角色描述”及“崗位說(shuō)明”對(duì)權(quán)限申請(qǐng)的合理性進(jìn)行判斷,或者通過(guò)雙擊角色行,進(jìn)入到該角色的詳細(xì)信息界面?梢赃x擇同意或拒絕來(lái)完成對(duì)該申請(qǐng)單的審批,選擇同意后該權(quán)限中請(qǐng)就進(jìn)入到信息部門執(zhí)行環(huán)節(jié);選擇拒絕后該權(quán)限申請(qǐng)就駁回給相應(yīng)的權(quán)限申請(qǐng)人員。如果審核人員認(rèn)為申請(qǐng)的內(nèi)容,除有某一項(xiàng)或幾項(xiàng)角色申請(qǐng)不合理,其他內(nèi)容均為合理申請(qǐng),可選中不合理的行項(xiàng),點(diǎn)擊菜單欄的刪除功能按鈕,將選中的申請(qǐng)項(xiàng)目刪除,然后完成審批。此外權(quán)限審批人員可以通過(guò)報(bào)表,查看審批記錄等信息。
4.3 權(quán)限執(zhí)行子模塊
系統(tǒng)權(quán)限管理人員登錄到ERP系統(tǒng),進(jìn)入到執(zhí)行權(quán)限申請(qǐng)主界面,系統(tǒng)會(huì)將所有經(jīng)公司業(yè)務(wù)主管部門審批通過(guò)的申請(qǐng)單以列表形式顯示。選擇要執(zhí)行的權(quán)限申請(qǐng)單,雙擊即可進(jìn)入到權(quán)限申請(qǐng)執(zhí)行界面,執(zhí)行權(quán)限申請(qǐng)的功能及界面設(shè)計(jì)與審批權(quán)限申請(qǐng)類似。
系統(tǒng)權(quán)限管理人員如果選擇“拒絕”,該權(quán)限申請(qǐng)單會(huì)自動(dòng)駁回給對(duì)應(yīng)的權(quán)限申請(qǐng)人員:如果選擇“同意”則系統(tǒng)會(huì)自動(dòng)按照權(quán)限申請(qǐng)單的內(nèi)容對(duì)系統(tǒng)用戶權(quán)限做相應(yīng)的調(diào)整,并將處理信息保存到相關(guān)數(shù)據(jù)庫(kù)中,生成處理日志。
4.4 管理員維護(hù)子模塊
管理員維護(hù)子模塊主要包括期色維護(hù)、用戶維護(hù)、數(shù)據(jù)清理、日志查看、刪除用戶和物資用戶規(guī)范等功能。通過(guò)這些功能的應(yīng)用,充分保證了用戶權(quán)限管理模塊的是活性和可擴(kuò)屬性。
4.5 報(bào)表查詢于模塊
通過(guò)相關(guān)報(bào)表查詢功能,對(duì)備單位各部門的用戶權(quán)限分配情況、保管員與庫(kù)位的對(duì)應(yīng)情況.采購(gòu)員與采購(gòu)組對(duì)應(yīng)情況等信息進(jìn)行查詢。為最終用戶與系統(tǒng)權(quán)限管理員溝通提供了便利,也加強(qiáng)了最終用戶對(duì)系統(tǒng)權(quán)限的了解。
5 結(jié)語(yǔ)
優(yōu)化后的用戶權(quán)限管理流程,實(shí)現(xiàn)了公司業(yè)務(wù)主管部門參與其中的三級(jí)流程化管理模式.強(qiáng)化了對(duì)各應(yīng)用單位業(yè)務(wù)及崗位規(guī)范的監(jiān)督管理。用戶權(quán)限管理模塊成功地克服了傳統(tǒng)管理方式下存在的問(wèn)題,而且在界面的友好性、變更的準(zhǔn)確性和可靠性等方面都有很好的體現(xiàn)。
用戶權(quán)限管理模塊從2009年4月正式運(yùn)行以來(lái).各應(yīng)用單他的用戶權(quán)限變更全部在用戶權(quán)限管理模塊按照流程執(zhí)行.累計(jì)完成權(quán)限變更1700多條,運(yùn)行狀況良好,有效地規(guī)范了北方公司ERP系統(tǒng)用戶權(quán)限的管理,為公司ERP系統(tǒng)的安全穩(wěn)定運(yùn)行提供了有力保障。
轉(zhuǎn)載請(qǐng)注明出處:拓步ERP資訊網(wǎng)http://www.ezxoed.cn/
本文標(biāo)題:ERP系統(tǒng)用戶權(quán)限管理的設(shè)計(jì)與實(shí)現(xiàn)