访问权限管理系统及方法与流程

参考美国专利申请其申请日为2011年1月27日，专利申请号为13/014,762，名称为“自动资源所有权分配系统和方法”，根据美国联邦法规37 CFR的1.78（a）（1）和（2）（i），其所公开的内容在此引入作为参考和在此主张其优先权的内容。

参考美国专利临时申请，其申请日为2011年4月21日，专利申请号为61/477,662，名称为“访问权限管理系统和方法”，根据美国联邦法规37 CFR的1.78（a）（4）和（5）（i），其所公开的内容在此引入作为参考和在此主张其优先权的内容。

参考美国专利申请其申请日为2011年5月12日，专利申请号为13/106,023，名称为“自动资源所有权分配系统和方法”，根据美国联邦法规37 CFR的1.78（a）（1）和（2）（i），其所公开的内容在此引入作为参考和在此主张其优先权的内容。

参考美国专利申请其申请日为2011年6月14日，专利申请号为13/159,903，名称为“自动资源所有权分配系统和方法”，根据美国联邦法规37 CFR的1.78（a）（1）和（2）（i），其所公开的内容在此引入作为参考和在此主张其优先权的内容。

参考美国专利申请其申请日为2011年11月23日，专利申请号为13/303,826，名称为“自动资源所有权分配系统和方法”，根据美国联邦法规37 CFR的1.78（a）（1）和（2）（i），其所公开的内容在此引入作为参考和在此主张其优先权内容。

同时参考以下受让人所拥有的专利和专利申请，其所公开的内容在此引入作为参考：

美国专利号7,555,482和7,606,801；

美国公开专利申请号：2007/0244899，2008/0271157，2009/0100058，2009/0119298；2009/0265780；2011/0010758；2011/0060916；2011/0061093；2011/0061111和2011/0184989；

美国专利申请序列号：12/861,059；12/861,953；13/106,023；13/159,903以及13/303,826。

PCT申请：PCT/IL2011/000409和PCT/IL2011/000408。

技术领域

本发明涉及数据管理领域，尤其涉及访问权限管理。

背景技术：

以下公开的专利被认为是代表本领域技术的现况：美国专利号：5,465,387；5,899,991；6,338,082；6,393,468；6,928,439；7,031,984；7,068,592；7,403,925；7,421,740；7,555,482；7,606,801；7,743,420以及美国公开专利申请号：2003/0051026；2004/0249847；2005/0108206；2005/0203881；2005/0086529；2006/0064313；2006/0184530；2006/0184459；2007/0203872；2007/0244899；2008/0271157；2009/0100058；2009/0119298和2009/0265780。

技术实现要素：

本发明提供用于访问权限管理的改进的系统和方法。

因此，根据本发明一优选实施例，提供一种在一企业范围的网络内的多个SAC上提供多个用户的权限的双向可视化的系统。所述系统包括一功能，用以提供在至少一SAC上的一给定用户的权限的用户方面的可视化，其中所述用户对所述SAC具有权限，以及一功能，用以针对在一给定的SAC上至少一用户的权限的给定SAC，提供SAC方面的可视化。

根据本申请的目的，术语“SAC”被定义为一容器，其包括网络对象，例如计算机、用户组和打印机，但其不包括数据元素，例如文件和文件夹。根据本申请的目的，在一SAC上的一用户的权限被定义为一用户能够修改所述SAC内的网络对象的属性。

根据本申请的目的，术语“网络对象（network object）”被定义为包括企业计算机网络资源。网络对象的例子包括结构化和非结构化的计算机数据资源，例如文件和文件夹，不同的用户和用户组。

优选地，所述多个SAC未包括数据元素和用以提供用户方面的可视化功能，该功能未提供基于数据元素上的一给定用户的权限的可视化。或者，所述多个SAC未包括数据元素和用以提供用户方面的可视化功能，该功能还提供基于数据元素上的一给定用户的权限的可视化。或者，所述多个SAC包括数据元素和用以提供用户方面的可视化功能，该功能未提供基于所述数据元素上的一给定用户的权限的可视化。或者，所述多个SAC包括数据元素和用以提供用户方面的可视化功能，该功能还提供基于所述数据元素上的一给定用户的权限的可视化。

优选地，所述系统还包括一功能，用以通过在至少一SAC上的一给定用户，提供权限行使的用户方面的监视和报告，其中所述用户对所述SAC具有权限，以及一功能，用以通过对所述给定的SAC具有权限的至少一用户，提供在一给定SAC上的权限行使的SAC方面的监视和报告。

根据本发明的另一较佳实施例，还提供一种通过在一企业范围的网络内的多个用户和多个SAC提供权限行使的监视和双向报告的系统。所述系统包括一功能，用以通过在至少一SAC上的一给定用户，提供权限行使的用户方面的监视和报告，其中所述用户对所述SAC具有权限，以及一功能，用以通过对一给定的SAC具有权限的至少一用户，提供在所述给定SAC上的权限行使的SAC方面的监视和报告。

优选地，所述系统还包括一功能，用以提供在至少一SAC上的一给定用户的权限的用户方面的可视化，以及一功能，用以针对在一给定SAC上至少一用户的权限的所述给定的SAC，提供SAC方面的可视化。

优选地，所述多个SAC未包括数据元素和用以提供用户方面的可视化功能，该功能未提供基于数据元素上的一给定用户的权限的可视化。或者，所述多个SAC未包括数据元素和用以提供用户方面的可视化功能，该功能提供基于数据元素上的一给定用户的权限的可视化。或者，所述多个SAC包括数据元素和用以提供用户方面的可视化功能，该功能未提供基于所述数据元素上的一给定用户的权限的可视化。或者，所述多个SAC包括数据元素和用以提供用户方面的可视化功能，该功能提供基于所述数据元素上的一给定用户的权限的可视化。

根据本发明的另一较佳实施例，提供一种在一企业范围的网络内的多个SAC上提供多个用户的权限的双向可视化的方法，所述方法包括提供在至少一SAC上的一给定的用户的权限的用户方面的可视化，其中所述用户对所述SAC具有权限，以及针对在一给定SAC上至少一用户的权限的给定的SAC，提供SAC方面的可视化。

优选地，所述多个SAC未包括数据元素和用以提供用户方面的可视化功能，该功能未包括提供基于数据元素上的一给定用户的权限的可视化。或者，所述多个SAC未包括数据元素和用以提供用户方面的可视化功能，该功能还包括提供基于数据元素上的一给定用户的权限的可视化。或者，所述多个SAC包括数据元素和用以提供用户方面的可视化功能，该功能未包括提供基于所述数据元素上的一给定用户的权限的可视化。或者，所述多个SAC包括数据元素和用以提供用户方面的可视化功能，该功能还包括提供基于所述数据元素上的一给定用户的权限的可视化。

优选地，所述方法还包括通过在至少一SAC上的一给定用户，提供权限行使的用户方面的监视和报告，其中所述用户对所述SAC具有权限，以及通过对一给定的SAC有权限的至少一用户，提供在所述给定的SAC上的权限行使的SAC方面的监视和报告。

根据本发明的另一较佳实施例，提供一种通过在一企业范围的网络内的多个用户和多个SAC提供权限行使的监视和双向报告的方法，所述方法包括通过在至少一SAC上的一给定用户，提供权限行使的用户方面的监视和报告，其中所述用户对所述SAC具有权限，以及通过对一给定的SAC具有权限的至少一用户，提供在所述给定SAC上的权限行使的SAC方面的监视和报告。

优选地，所述方法还包括提供在至少一SAC上的一给定用户的权限的用户方面的权限的可视化，其中所述用户对所述SAC具有权限，以及针对在一给定SAC上至少一用户的权限的所述给定的SAC，提供SAC方面的可视化。

优选地，所述多个SAC未包括数据元素和用以提供用户方面的可视化功能，该功能未包括提供基于数据元素上的一给定用户的权限的可视化。或者，所述多个SAC未包括数据元素和用以提供用户方面的可视化功能，该功能还包括提供基于数据元素上的一给定用户的权限的可视化。或者，所述多个SAC包括数据元素和用以提供用户方面的可视化功能，该功能未包括提供基于所述数据元素上的一给定用户的权限的可视化。或者，所述多个SAC包括数据元素和用以提供用户方面的可视化功能，该功能还包括提供基于所述数据元素上的一给定用户的权限的可视化。

附图说明

结合参考以下的附图和详细说明将更充分地理解和明白本发明，其中：

图1A、图1B和图1C是根据本发明一较佳实施例，用以表示一种在一企业范围的网络内的多个SAC上提供多个用户的权限的双向可视化的系统的结构和操作的示意图；

图2A、图2B和图2C是根据本发明另一较佳实施例，用以表示一种在一企业范围的网络内的多个SAC上提供多个用户的权限的双向可视化的系统的结构和操作的示意图；

图3A、图3B和图3C是根据本发明另一较佳实施例，用以表示一种在一企业范围的网络内的多个SAC上提供多个用户的权限的双向可视化的系统的结构和操作的示意图；以及

图4A、图4B和图4C是根据本发明一更较佳实施例，用以表示一种在一企业范围的网络内的多个SAC上提供多个用户的权限的双向可视化的系统的结构和操作的示意图；以及

图5是图1A至图4C的系统的框图。

具体实施方式

参考图1A、图1B和图1C，是根据本发明一较佳实施例，用以表示一种在一企业范围的网络内的多个SAC上提供多个用户的权限的双向可视化的系统的结构和操作的示意图。

根据本申请的目的，术语“SAC”被定义为一容器，其包括网络对象，例如计算机、用户组和打印机，但其不包括数据元素，例如文件和文件夹。根据本申请的目的，在一SAC上的一用户权限被定义为一用户能够修改所述SAC内的网络对象的属性。

根据本申请的目的，术语“网络对象”被定义为包括企业计算机网络资源。网络对象的例子包括结构化和非结构化的计算机数据资源，例如文件和文件夹，不同的用户和用户组。

在图1A～图1C中，在多个SACs（SPBDVAUS）上提供用户的权限的双向可视化的系统更加适合在一企业计算机环境中操作，其中企业计算机环境包括一能够对多个SACs进行管理的企业级目录服务管理系统，同时所述系统优选地包括一功能，用以提供在至少一SAC上的一给定用户的权限的用户方面的可视化，其中所述用户对所述SAC具有权限，以及一功能，用以针对在一给定的SAC上至少一用户的权限的所述给定SAC，提供SAC方面的可视化。

所述SPBDVAUS还优选地包括一功能，用以通过在至少一SAC上的一给定用户，提供权限行使的用户方面的监视和报告，其中所述用户对所述SAC具有权限，以及一功能，用以通过对一给定的SAC有权限的至少一用户，提供在所述给定的SAC上的权限行使的SAC方面的监视和报告。

如图1A所示，在一特定时间，例如2011年1月20日，下午3点15分，一公司的人事经理通知约翰（John），该公司的一雇员，其的雇佣关系已结束。不久之后，例如在3点20分，该公司的企业网络100的IT经理访问一SPBDVAUS的用户界面102，以获取权限的用户方面的可视化，其中所述网络100的用户在网络100内的多个SACs上具有权限。所述SPBDVAUS优选地存于一服务器104上，其与网络100连接。所述网络100优选地还包括多个不同的计算机106、服务器108和存储设备110。

如图1A所示，针对网络100中的每一用户，SPBDVAUS的用户界面102提供在网络100中的法务SAC120、人事SAC122和财务SAC124中任意一个SAC上的一给定用户的权限的用户方面的可视化。对于SAC120、SAC122、SAC124的每一个而言，SPBDVAUS的用户界面102还针对在一给定SAC上任意一用户具有权限的给定SAC，提供SAC方面的可视化。

如图1A所示，所述SAC120、SAC122和SAC124未包括数据元素，例如文件和文件夹。更进一步，用户界面102未提供对存在网络100内的数据元素132的用户的访问权限(access permissions)的可视化，其中该用户为包括在SAC120、SAC122和SAC124内的用户，所述数据元素132例如为文件和文件夹。

现转至图1B所示，显示为IT经理利用SPBDVAUS的用户界面102确认约翰（John）在法务SAC120、人事SAC122和财务SAC124上的授权，并立刻进一步利用用户界面102以撤销约翰在SAC120、SAC122和SAC124上的授权。

现转至图1C所示，随后IT经理利用SPBDVAUS的用户界面102，以获取一约翰的权限行使的用户方面的报告，其中约翰对多个SAC具有权限。图1C所示，所述IT经理确定约翰在结束他的雇佣关系之前，约翰已将一法务文件夹的访问权限给苏珊（Susan），将一人事文件夹的访问权限给杰瑞（Jerry），以及将一财务文件夹的访问权给蒂姆（Tim）。IT经理能够评估约翰给予的访问权限是否应该撤销。

图1C进一步表明，IT经理利用SPBDVAUS的用户界面102以获取一在法务SAC上的权限行使的SAC方面的报告，且用户在所述法务SAC上具有权限。图1C所示，IT经理确认约翰将一法务文件夹的访问权限给苏珊（Susan），确认玛丽（Mary）将一法务文件夹的访问权限给罗恩（Ron），以及确认吉姆（Jim）将一法务文件夹的访问权限给大卫（David）。

参见图2A、图2B和图2C所示，根据本发明另一较佳实施例，用以表示一种在一企业范围的网络内的多个SAC上提供多个用户的权限的双向可视化的系统的结构和操作的示意图。

在图2A～图2C中，在多个SACs（SPBDVAUS）上提供用户的权限的双向可视化的系统更加适合在一企业计算机环境中操作，其中企业计算机环境包括一能够对多个SACs进行管理的企业级目录服务管理系统，同时所述系统优选地包括一功能，用以提供在至少一SAC上的一给定用户的权限的用户方面的可视化，其中所述用户对所述SAC具有权限，以及一功能，用以针对在一给定的SAC上至少一用户的权限的所述给定SAC，提供SAC方面的可视化。

所述SPBDVAUS还优选地包括一功能，用以通过在至少一SAC上的一给定用户，提供权限行使的用户方面的监视和报告，其中所述用户对所述SAC具有权限，以及一功能，用以通过对一给定的SAC有权限的至少一用户，提供在所述给定的SAC上的权限行使的SAC方面的监视和报告。

如图2A所示，在一特定时间，例如2011年1月20日，下午3点15分，一公司的人事经理通知约翰（John），该公司的一雇员，其的雇佣关系已结束。不久之后，例如在3点20分，该公司的企业网络200的IT经理访问一SPBDVAUS的用户界面202，以获取权限的用户方面的可视化，其中所述网络200的用户在网络200内的多个SACs上具有权限。所述SPBDVAUS优选地存于一服务器204上，其与网络200连接。所述网络200优选地还包括多个不同的计算机206、服务器208和存储设备210。

如图2A所示，针对网络200中的每一用户，SPBDVAUS的用户界面202提供在网络200中的法务SAC220、人事SAC222和财务SAC224中任意一个SAC上的一给定用户的权限的用户方面的可视化。对于SAC220、SAC222和SAC224的每一个而言，SPBDVAUS的用户界面202还针对在一给定SAC上任意一用户具有权限的给定SAC，提供SAC方面的可视化。

如图2A所示，所述SAC220、SAC222和SAC224未包括数据元素，例如文件和文件夹。然而，用户界面202提供对存在网络200内的数据元素232的用户访问权限的可视化，其中该用户为包括在SAC220、SAC222和SAC224内的用户，所述数据元素232例如为文件和文件夹。

现转至图2B所示，显示为IT经理利用SPBDVAUS的用户界面202确认约翰（John）在法务SAC220、人事SAC222和财务SAC224上的授权，并立刻进一步利用用户界面202以撤销约翰在SAC220、SAC222和SAC224上的授权。

现转至图2C所示，随后IT经理利用SPBDVAUS的用户界面202，以获取一约翰的权限行使的用户方面的报告，其中约翰对多个SAC具有权限。图2C所示，所述IT经理确定约翰在结束他的雇佣关系之前，约翰已将一法务文件夹的访问权限给苏珊（Susan），将一人事文件夹的访问权限给杰瑞（Jerry），以及将一财务文件夹的访问权给蒂姆（Tim）。IT经理能够评估约翰给予的访问权限是否应该撤销。

图2C进一步表明，IT经理利用SPBDVAUS的用户界面202，以获取一在法务SAC上的权限行使的SAC方面的报告，且用户在所述法务SAC上具有权限。图2C所示，IT经理确认约翰将一法务文件夹的访问权限给苏珊（Susan），确认玛丽（Mary）将一法务文件夹的访问权限给罗恩（Ron），以及确认吉姆（Jim）将一法务文件夹的访问权限给大卫（David）。

参见图3A、图3B和图3C所示，根据本发明另一较佳实施例，用以表示一种在一企业范围的网络内的多个SAC上提供多个用户的权限的双向可视化的系统的结构和操作的示意图。

在图3A～图3C中，在多个SACs（SPBDVAUS）上提供用户的权限的双向可视化的系统更加适合在一企业计算机环境中操作，其中企业计算机环境包括一能够对多个SACs进行管理的企业级目录服务管理系统，同时所述系统优选地包括一功能，用以提供在至少一SAC上的一给定用户的权限的用户方面的可视化，其中所述用户对所述SAC具有权限，以及一功能，用以针对在一给定的SAC上至少一用户的权限的所述给定SAC，提供SAC方面的可视化。

所述SPBDVAUS还优选地包括一功能，用以通过在至少一SAC上的一给定用户，提供权限行使的用户方面的监视和报告，其中所述用户对所述SAC具有权限，以及一功能，用以通过对一给定的SAC有权限的至少一用户，提供在所述给定的SAC上的权限行使的SAC方面的监视和报告。

如图3A所示，在一特定时间，例如2011年1月20日，下午3点15分，一公司的人事经理通知约翰（John），该公司的一雇员，其的雇佣关系已结束。不久之后，例如在3点20分，该公司的企业网络300的IT经理访问一SPBDVAUS的用户界面302，以获取权限的用户方面的可视化，其中所述网络300的用户在网络300内的多个SACs上具有权限。所述SPBDVAUS优选地存于一服务器304上，其与网络300连接。所述网络300优选地包括多个不同的计算机306、服务器308和存储设备310。

如图3A所示，针对网络300中的每一用户，SPBDVAUS的用户界面302提供在网络300中的法务SAC320、人事SAC322和财务SAC324中任意一个SAC上的一给定用户的权限的用户方面的可视化。对于SAC320、SAC322和SAC324的每一个而言，SPBDVAUS的用户界面302还针对在一给定SAC上任意一用户具有权限的给定SAC，提供SAC方面的可视化。

如图3A所示，所述SAC320、SAC322和SAC324包括数据元素332，例如文件和文件夹。然而，用户界面302未提供对存在网络300内的数据元素332的用户的访问权限的可视化，其中该用户为包括在SAC320、SAC322和SAC324内的用户，所述数据元素332例如为文件和文件夹。

现转至图3B所示，显示为IT经理利用SPBDVAUS的用户界面302确认约翰（John）在法务SAC320、人事SAC322和财务SAC324上的授权，并立刻进一步利用用户界面302以撤销约翰在SAC320、SAC322和SAC324上的授权。

现转至图3C所示，随后IT经理利用SPBDVAUS的用户界面302，以获取一约翰的权限行使的用户方面的报告，其中约翰对多个SAC具有权限。图3C所示，所述IT经理确定约翰在结束他的雇佣关系之前，约翰已将一法务文件夹的访问权限给苏珊（Susan），将一人事文件夹的访问权限给杰瑞（Jerry），以及将一财务文件夹的访问权给蒂姆（Tim）。IT经理能够评估约翰给予的访问权限是否应该撤销。

图3C进一步表明，IT经理利用SPDBVAUS的用户界面302以获取一在法务SAC上的权限行使的SAC方面的报告，且用户在所述法务SAC上具有权限。图3C所示，IT经理确认约翰将一法务文件夹的访问权限给苏珊（Susan），确认玛丽（Mary）将一法务文件夹的访问权限给罗恩（Ron），以及确认吉姆（Jim）将一法务文件夹的访问权给大卫（David）。

参见图4A、图4B和图4C所示，根据本发明一更较佳实施例，用以表示一种在一企业范围的网络内的多个SAC上提供多个用户的权限的双向可视化的系统的结构和操作的示意图。

在图4A～图4C中，在多个SACs（SPBDVAUS）上提供用户的权限的双向可视化的系统更加适合在一企业计算机环境中操作，其中企业计算机环境包括一能够对多个SACs进行管理的企业级目录服务管理系统，同时所述系统优选地包括一功能，用以提供在至少一SAC上的一给定用户的权限的用户方面的可视化，其中所述用户对所述SAC具有权限，以及一功能，用以针对在一给定的SAC上至少一用户的权限的所述给定SAC，提供SAC方面的可视化。

所述SPBDVAUS还优选地包括一功能，用以通过在至少一SAC上的一给定用户，提供权限行使的用户方面的监视和报告，其中所述用户对所述SAC具有权限，以及一功能，用以通过对一给定的SAC有权限的至少一用户，提供在所述给定的SAC上的权限行使的SAC方面的监视和报告。

如图4A所示，在一特定时间，例如2011年1月20日，下午3点15分，一公司的人事经理通知约翰（John），该公司的一雇员，其的雇佣关系已结束。不久之后，例如在3点20分，该公司的企业网络400的IT经理访问一SPBDVAUS的用户界面402，以获取权限的用户方面的可视化，其中所述网络400的用户在网络400内的多个SACs上具有权限。所述SPBDVAUS优选地存于一服务器404上，其与网络400连接。所述网络400优选地还包括多个不同的计算机406、服务器408和存储设备410。

如图4A所示，针对网络400中的每一用户，SPBDVAUS的用户界面402提供在网络400中的法务SAC420、人事SAC422和财务SAC424中任意一个SAC上的一给定用户的权限的用户方面的可视化。对于SAC420、SAC422和SAC424的每一个而言，SPBDVAUS的用户界面402还针对在一给定SAC上任意一用户具有权限的所述给定SAC，提供SAC方面的可视化。

如图4A所示，所述SAC420、SAC422和SAC424包括数据元素，例如文件和文件夹。更进一步，用户界面402提供对存在网络400内的数据元素432的用户访问权限的可视化，其中该用户为包括在SAC420、SAC422和SAC424内的用户，所述数据元素432例如为文件和文件夹。

现转至图4B所示，显示为IT经理利用SPBDVAUS的用户界面402确认约翰（John）在法务SAC420、人事SAC422和财务SAC424上的授权，并立刻进一步利用用户界面402以撤销约翰在SAC420、SAC422和SAC424上的授权。

现转至图4C所示，随后IT经理利用SPBDVAUS的用户界面402，以获取一约翰的权限行使的用户方面的报告，其中约翰对多个SAC具有权限。图4C所示，所述IT经理确定约翰在结束他的雇佣关系之前，约翰已将一法务文件夹的访问权限给苏珊（Susan），将一人事文件夹的访问权限给杰瑞（Jerry），以及将一财务文件夹的访问权给蒂姆（Tim）。IT经理能够评估约翰给予的访问权限是否应该撤销。

图4C进一步表明，IT经理利用SPBDVAUS的用户界面402以获取一在法务SAC上的权限行使的SAC方面的报告，且用户在所述法务SAC上具有权限。图4C所示，IT经理确认约翰将一法务文件夹的访问权限给苏珊（Susan），确认玛丽（Mary）将一法务文件夹的访问权限给罗恩（Ron），以及确认吉姆（Jim）将一法务文件夹的访问权给大卫（David）。

参考图5所示，是图1A至图4C的系统的框图。如图5所示，所述SPBDVAUS500优选地包括一功能502，用以提供在至少一SAC上的一给定用户的权限的用户方面的可视化，其中所述用户对所述SAC具有权限，以及一功能504，用以针对在一给定的SAC上至少一用户的权限的所述给定SAC，提供SAC方面的可视化。

所述SPBDVAUS500还优选地包括一功能506，用以通过在至少一SAC上的一给定用户，提供权限行使的用户方向的监视和报告，其中所述用户对所述SAC具有权限，以及一功能508，用以通过对一给定的SAC具有权限的至少一用户，提供在所述给定的SAC上的权限行使的SAC方面的监视和报告。

本技术领域的普通技术人员应该可以理解本发明不是仅限于上文特别所表示和描述的。然而，本发明的范围也包括上文不同特征的集合和次集合，与包括普通技术人员在阅读上述描述后对特征所做的改进一样，且该改进的特征并未出现在现有技术中。