pdms访问控制权限.pdfVIP

访问控制权限(ACRs) 王元 AVEVA 中国 2004.10.14 ACR的作用 q 访问控制权限Access Control Rights(ACR) q ACR的作用 – 限制用户操作命名的元素或者某一个类型的元素 – 限制用户的操作，如生成，修改和删除 – 限制用户能操作具体的属性 郑重提醒 q 一旦决定使用DAC，所有普通用户(General users)都必须 设置相应的ACR ，否则用户对任何元素都没有写的权限 q ACR的顺序很重要 q 超级用户(Free users)始终具有所有权限 基本概念 q Permissible Operations (Perops ) q Role q Scope q ACR(Access Control Rights) q DAC(Data Access Control) ACRs, Roles and Scopes q 每一个用户可以赋给一个或者多个访问控制权限(ACRs ), 每个ACR 包含两部分: – 角色Role, 定义用户对元素的操作，如生成，修改和删除所以类型 的管道元素 – 范围Scope, 定义角色的作用范围，如具体的Zone或者一个范围内 的模型 q 角色(Roles)和范围(Scopes)必须在ACR之前建立 Permissible Operations (Perops) q 可允许的操作Permissible Operations (Perops) – 角色包括很多的可允许的操作，每一个定义一种操作状态 权限不能有冲突 q 可允许的操作的应用规则 – 可允许的操作中必须让用户可以操作 – 可允许的操作中不能拒绝用户操作,一旦定义了不允许的操作,将覆盖已 有的允许的操作 可允许的操作定义内容 q 对于每一个可允许的操作，定义如下内容 – 元素类型 – 在上述元素类型上的操作方式 – 不允许的操作 操作控制(Perops)的选项说明 q 操作控制的选项说明 – 忽略Ignore,没有定义用户允许操作,可能在其它的Perops 中定义了 允许的操作 – 不允许操作Disallow,即使其它的Perops有允许的操作 – 允许操作Allow, 但是要保证其它的Perops没有不允许的操作 分区权限控制实例 分区权限控制示例约定 q 在SAM项目测试 q 管道设计数据库PIPE/DESI为多写数据库，由两人完成 – USERA – USERB q Zone 的Area属性记录小分区的顺序号 – USERA对应的Area ＝1 – USERB对应的Area ＝2 q 每个设计人员只能修改属于自己的Zone及Zone 以下层次 生成USERA的Roles q 生成USERA的Roles USERA可允许的操作 q 3项操作，操作顺序非常重要 – 生成Zone及以下层次，用户首先生成Zone – 只能修改删除Area of Zone=0 的Zone及以下层次，对其他的Zone 没有权限，用户修改Zone 的Area=1 – 只能修改删除Area of Zone=1 的Zone及以下层次 USERA用户可允许的操作1 q Perop1:生成Zone及以下层次，第一个操作只用于生成，修 改和删除随后定义 Perop Elements Operations Attributes USERACREATE Zone Hierarchy Creat Allow All Modify Ignore Delete Ignore Cl