CN119494121A 一种数据权限的管理方法及相关设备 （深圳华为云计算技术有限公司）

道万科城社区华为公司华为总部办公本申请实施例公开了一种数据权限的管理实现分布式微服务系统中数据权限的转移和自关系的用户标识指示的用户对业务数据的标识2确定第一微服务节点和第二微服务节点；所述第一微服务获取所述第一微服务节点中的权限数据；所述权限数据获取所述第一微服务节点的操作日志；所述操作日志用于记录用接收由客户端发送的对第二业务数据的第一访问请求；所述第一访问请第二业务对象的业务数据的标识与第一业务对象的业务其中，第一微服务节点用于对第一业务对象的业务数据执行业根据权限数据和所述第一用户的用户标识，确定第一访问结果；所述权3其中，所述操作日志用于记录用户触发所述第一微服务节点述第二业务对象的业务数据的标识与第一业务对象的业务数据的其中，第一微服务节点用于对第一业务对象的业务数据执行业接收所述第二微服务节点发送的第一访问结果；所述第一其中，所述操作日志用于记录用户触发所述第一微服务节点采集模块，用于获取所述第一微服务节点中的权限数据；所述权限识指示的用户对所述业务数据的标识指示的4执行如权利要求9_11中任一项所述的数5[0003]在相关技术中，通常采用基于属性的访问控制（Attribute_BasedAccess据库中进行存储和管理，每个微服务内部的业务对象按照自有的属性规则通过ABAC或者业务对象的业务数据的标识与第一业务对象的业务数据的微服务节点，权限数据中包括第一用户的用户标识与第一业务数据的标识之间的映射关系，具有映射关系的用户标识指示的用户对业务数据的标识指示的业务数据具有操作权6限。由于第二业务对象的第二业务数据的标识与第一业务对象的第一业务数据的标识相用户触发第一微服务节点对第一业务对象的业务数据执行业务操作；通过解析操作日志，[0014]在一种可能实现的方式中，通过统一建模语言UML获取分布式微服务系统中各个[0015]由上可知，通过UML类图的方式标记分布式微服务系统中各个业务对象之间的关[0016]在一种可能实现的方式中，通过云服务将share模型中的权限数据同步到第二微78该计算节点执行上述第一方面或第二方面的各种可选实现方式中提供的数据权限的管理图3示出了相关技术提供的一种微服务架构下通过ABAC或者PBAC控制权限的CRM图8示出了本申请实施例提供的一种CRM系统中业务对象在业务层面的关联关系图9示出了本申请实施例提供的一种UML类图标记合同业务对象和客户业务对象9[0043]在相关技术中，针对CRM业务对象的数据权限控制的解决方案主要有基于属性的图1示出了相关技术提供的一种基于属性的访问控制模型ABAC的架构示意图。如图1所示，[0044]PBAC模型则是基于一种策略脚本来表达用户在某些条件下可以访问某些业务对路径上的策略执行点进行鉴权。策略执行点通过策略引擎判断用户是否有权访问数据资的业务对象按照自有的属性规则通过ABAC或者PBAC管理自己的数据权限。图3示出了相关微服务内部业务对象按照自有的属性规则通过ABAC或者PBAC管理[0046]由于在客户微服务和合同微服务内部分别有控制业务对象权限的ABAC或者PBA务对象的业务数据的标识与第一业务对象的业务数据节点根据上述权限数据和第一访问请求中包括的第一用户的用户标识，确定第一访问结[0050]图4示出了本申请实施例提供的一种分布式微服务系统100的架构示意图。如图4节点110用于对不同的业务对象的业务数据[0051]管理微服务节点120用于在多个微服务节点110中确定第一微服务节点和第二微各个业务对象以及各个业务对象对应的业务数据由各个微服务节点进行执行操作。具体[0055]终端设备210上运行有CRM系统的客户端，用户可以通过终端设备210上的客户端[0056]终端设备210用于向服务器220中的第二微服务节点发送对第二业务数据的第一[0058]可选的，图6示出了本申请实施例提供的一种数据权限管理系统的应用架构示意系统。CRM系统包括业务对象01以及对应的第一数据库、业务对象02以及对应的第二数据[0062]图7示出了本申请实施例提供的一种数据权限的管理方法流程示意图，该方法由[0065]在一种可能实现的方式中，通过统一建模语言UML获取分布式微服务系统中各个[0066]示例性的，通过UML类图的方式将分布式微服务系统中各个业务对象的关系标记提供的一种UML类图标记合同业务对象和客户业务对象的关联关系的示意图。如图9所示，[0069]其中，权限数据包含用户标识与第一业务对象的业务数据的标识之间的映射关系，具有映射关系的用户标识指示的用户对业务数据的标识指示的业务数据具有操作权第一数据库的二进制日志同步到kafka服务，从而使得管理微服务节点获取到包括第一用务数据的标识与第一用户的用户标识之间的映射关系。途径获得了第一微服务中第一业务数据的访问权限。在CRM系统里面，最常见的有责任人原因的类型。行权原因字段可以进一步细分二级行权原因，比如行权原因是销售团队的情SA)或生态经理等不同角色的团队角色人员。PublicclassBinlog}上述数据结构中包含了数据行变更前后的字段Key/Value信息，以及数据变更的eventKey字段表示字符串键值；PrivateStringtableName字段表示字符串文件名称；Privatemap<string，string>afterDateMap字段表示本次更新后数据行所有字段；Privatemap<string，string>beforeDateMap字段表示本次更新前数据行所有字段；String>changedFields表示本次更新有CRM系统的账号等用户唯一标识符。若第一业务数据对应的责任人字段对应的用户的标识的数据库。源表选择管理微服务节点中的Share模型表。这样即可将管理微服务节点的有映射关系的用户标识指示的用户对业务数据的标识指示的业务数据具有操作权限能够[0092]上述从管理微服务节点的角度描述了分布式微服务系统[0096]其中，权限数据包含用户标识与第一业务对象的业务数据的标识之间的映射关系，具有映射关系的用户标识指示的用户对业务数据的标识指示的业务数据具有操作权服务器220中的第二微服务节点根据第一访问请求包括的第一用户的用户标识和中，若服务器220中的第二微服务节点确定权限数据中第一用户的用户标识与第二业务数第二用户申请了访问客户对象中客户A对应的数据，此时更新了第二用户的用户标识与客户想要访问客户A对应的合同的数据时，合同业务对象通过查询权限数据中第二用户的用户标识与对象中客户A之间权限数据，确定第二用户对于客户A的合同数据也有访问的权selectAccount.*whereAccount.id=AccountShare.AccandAccountShare.userId=selectContract.*通过share模型的方式，客户业务对象的关联对象就自动继承了客户业务对象的系，具有映射关系的用户标识指示的用户对业务数据的标识指示的业务数据具有操作权节点根据上述权限数据和第一访问请求中包括的第一用户的用户标识，确定第一访问结关系的用户标识指示的用户对业务数据的标识指示的业务数据具有操作权限能够自动同步到第二微服务节点中，第二微服务节点能够自动继承了第一微服务节点中的权限数据，[0104]本申请实施例可以根据上述方法示例对数据权限的管理装置进行功能单元的划[0105]示例性的，图12示出了本申请实施例提供的一种数据权限的管理装置400的结构[0106]在一种可能实现的方式中，采集模块420，还用于获取第一微服务节点的操作日志；操作日志用于记录用户触发第一微服务节点对第一业务对象的业务数据执行业务操[0107]由上可知，上述数据权限的管理装置400可以应用在图4所示的管理微服务节点[0110]同样，用于运行该代码的多个主机/虚拟机/容器可以分布在同一个虚拟私有云[0112]判断模块410包括的多个计算设备可以分布在相同的region中，也可以分布在不模块410、采集模块420和同步模块430分别实现数据权限的管理方法中不同的步骤来实现[0116]处理器902可以包括[0117]存储器903可以包括易失性存储器(volatilememory)，例如随机存取存储器(randomaccessmemory，RAM)。处理器902还可以包括非易失性存储器(non_volatile步模块430中的部分或全部功能可以通过图1集群包括至少一个服务器220。服务器集群中的一个或多个服务器220中的存储器903中可[0126]在一些可能的实现方式中，服务器集群中的一个或多个服务器可以通过网络连式中，第一服务器220A中的存储器903中存有执行判断模块410和采集模块420的功能的指[0127]图15所示的计算设备集群之间的连接方式可以是考虑到本申请提供的数据权限[0128]应理解，图15中示出的第一服务器220A的功能也可以由多个服务器220完成。同群中的一个或多个服务器220中的存储器903中可以存有相同的用于执行数据权限的管理[0133]本申请实施例还提供一种包含指令的计算机程序产品，使得计算机执行数据权限的管理方法所对应的任意一个实施方案及其各种可行的实施方[0139]示例性的，该芯片系统可以是现场可编程门阵列（fieldprogrammablegatearray，FPGA可以是专用集成芯片（AP设备plicationspecificintegratedcircuit，ASIC还可以是系统芯片（systemonchip，SoC还可以是中央处理器（central处理电路（digitalsignalprocessor，DSP还可以是微控制器（microcontroller