本发明涉及一种档案管理机制，特别是一种在一访问控制列表管理下的群组档案管理系统与方法。
背景技术：
云端档案储存技术日新月异，各种云端档案服务也随之提出，然而，各种云端储存方案还需考虑其信息安全性，因此各种有效管理云端档案的技术也相继推出。
在常见技术中，云端档案储存方案系建构于服务器与客户端的架构下，服务器管理各方使用者所上传的档案，服务器同时也对其中档案进行加密与保护。传统上，使用者登入服务器后，可以依照权限使用档案，并可以特定方式分享档案。
对于云端档案的安全性，现有技术如美国专利公开第20090106549号(申请日：2008年7月30日)所揭露的延伸加密文件系统的技术，其中提出的系统让用户藉由用户识别信息分享加密档案，用户端程序(clientagent)与被信赖的服务账号之间具有加密凭证，当有档案产生时，即对该档案加密。每个加密档案的表头(header)包括有签署加密数据区块、文件系统元数据(metadata)、数字签名(digitalsignature)。因此，在此措施下，当有使用者要开启加密档案时，用户端程序传输表头数据与加密凭证到被信赖的服务账号，并请求将使用者加密凭证加入文件系统元数据，如此可授权用户存取该档案。
然而，现有技术仍是基于服务器与客户端的架构下实施安全凭证、数字签名的授权方式的档案管理技术，并没有具有阶层管理与弹性使用档案的有效应用措施。
技术实现要素：
本发明涉及一种群组档案管理系统，通过一服务器以访问控制列表(accesscontrollist,acl)作为管理档案存取的基础，提出档案权限管理与策略群组对于档案的管理机制，用以管理和控制加密档案的存取与使用，所提出的群组档案管理系统让用户可以自定义工作项目的访问控制列表，访问控制列表下可设有一或多个管理档案访问权限的策略群组，每个策略群组可以具有一或多个成员，每个成员也可以同时隶属多个不同的策略群组。策略群组运作后，各群组成员依照所取得的群组权限档使用访问控制列表内各策略群组产生的档案，包括存取、传递、编辑、执行以及/或禁止等动作。
具体地，根据群组档案管理系统的实施例的一个，系统包括有访问控制列表管理模块，用以管理用户通过群组档案管理系统自定义一工作项目的访问控制列表；存取凭证管理模块，用以管理群组档案管理系统中提供用户下载各访问控制列表的凭证；策略群组管理模块，用以管理访问控制列表所关联的各策略群组中成员使用档案的权限的群组权限档；以及档案权限管理模块，用以管理控制用户使用档案的权限的档案权限档。其中，群组档案管理系统提供各用户下载并安装一档案管理驱动程序，于自定义工作项目时，档案管理驱动程序自档案管理系统取得凭证、所属策略群组的群组权限档，以及/或档案权限档。
进一步地，策略群组管理模块管理各策略群组内成员使用档案的权限还包括时间权限，也就是可以根据时间演进设定不同时段的权限。各策略群组之间可以具有一档案权限继承管理机制，让在非相同访问控制列表下的不同策略群组内的用户取得档案控制权。进一步地，其中工作项目下的档案的文件头包括访问控制列表标识符、创建者权限、访问控制列表权限、特殊权限、时间权限与存取次数，另可包括与安全相关的档案加密密钥、档案救援密钥以及档案用户密钥等。
根据群组档案管理方法的实施例中的一个，方法包括：
先选择或建立一工作项目的访问控制列表，或取得预设的访问控制列表；
自一群组档案管理系统取得对应访问控制列表的凭证；
建立访问控制列表关联的一或多个策略群组，其中各策略群组包括一或多个成员；
各策略群组的成员自群组档案管理系统取得对应访问控制列表的凭证，各成员依据凭证同步取得一或多个所属策略群组的群组权限档，各成员同时属于一或多个策略群组，依据各群组权限档而同时取得一或多个策略群组的档案访问权限；以及
各策略群组开始运作，各成员依照所取得的该群组权限档执行对应各访问控制列表内一档案的存取、传递、编辑、执行以及/或禁止(suspend)等动作。
具体地，当选择或建立访问控制列表，或取得预设的一访问控制列表，经用户要求，相关凭证系由群组档案管理系统以信息传递的方式传送到客户端装置上。其中各成员的客户端装置安装一档案管理驱动程序，档案管理驱动程序执行后用以依工作项目下各成员所属的策略群组约束使用档案的方式以及/或追踪各成员使用行为。
进一步地，各成员使用所属访问控制列表关联的策略群组中档案的步骤包括：
于执行一档案管理驱动程序后，开启档案；
档案管理驱动程序检验成员的用户身份，检验对档案的访问权限，包括检验成员所取得的凭证；
若成员的客户端装置并未有凭证数据，档案管理驱动程序即自群组档案管理系统下载凭证与群组权限档，并根据群组权限档检验档案访问权限，并据此使用档案；
若成员的客户端装置已经载有凭证与群组权限档，即确认档案访问权限后，允许开启档案。
特别地，策略群组管理模块管理各策略群组内成员使用档案的权限还包括时间权限。各策略群组内运作的档案档头中写入的信息包括每个档案登录于群组档案管理系统的访问控制列表标识符、创建者权限、访问控制列表权限、特殊权限、时间权限与存取次数以及与安全相关的档案加密密钥、档案救援密钥以及档案用户密钥等。各成员根据一档案权限档存取所属各访问控制列表关连的策略群组内的档案，包括对档案读、写、删以及执行的权限。
附图说明
图1显示本发明群组档案管理系统架构实施例示意图；
图2显示本发明群组档案管理系统基本架构实施例示意图；
图3显示本发明群组档案管理方法的实施例的一流程图；
图4显示本发明群组档案管理方法的实施例的二流程图；
图5显示本发明群组档案管理方法的实施例的三流程图；
图6a示意显示应用本发明群组档案管理方法的权限管理实施例图；
图6b显示权限关系实施例图；
图7示意显示应用本发明群组档案管理方法的群组成员权限关系实施例图；
图8示意显示应用本发明群组档案管理方法的权限管理实施例图；
图9显示本发明群组档案管理系统的实施例情境示意图；
图10显示应用本发明群组档案管理方法的继承时间序实施例图。
具体实施方式
本发明实施例提出一种群组档案管理方法，方法系基于一访问控制列表(acl,accesscontrollist)下建立的策略群组(policygroup)的一种档案权限管理方案，由访问控制列表持有凭证，各访问控制列表辖下的策略群组成员可以取得此凭证，并具有可存取特定档案的权限，以策略群组为单位设定其中成员存取档案的权限，包括针对特定档案读、写、执行的权限，不致因为成员或策略群组变动(包括增加或减少)而需要修改档案档头(header)，实现有效运作与有效管理权限的系统。
实现本发明群组档案管理系统与方法时，设有一档案管理核心，此可以一服务器实现，或是为计算机系统的核心，用以配发各访问控制列表所持的凭证，并可用以管理各策略群组权限、各用户权限等。如图1所示本发明群组档案管理系统架构实施例示意图，其中群组档案管理系统1设有一群组档案管理主机10，可以一远程服务器、近端计算机系统或为载于个人计算机的服务来实现，群组档案管理主机10除了为各计算机内的服务外，亦可通过因特网或局域网络与成员终端计算机联机，并针对特定项目(project)工作项目产生的档案提供管理机制，群组档案管理主机10提供策略群组管理101、档案权限管理102、存取凭证管理103与访问控制列表管理104等服务，让各端用户可以取得信息。策略群组管理101、档案权限管理102、存取凭证管理103与访问控制列表管理104等服务可以软件程序实现，即分别形成群组档案管理主机10中的策略群组管理模块、档案权限管理模块、存取凭证管理模块与访问控制列表管理模块。
其中，以软件手段实现的策略群组管理模块(101)用以管理各策略群组，设有各策略群组的群组权限文件(groupprofile)，其中记载各策略群组各自的档案权限，方便设定各成员权限与管理成员存取档案；档案权限管理模块(102)也就是管理每个档案的权限，设有档案权限文件(fileprofile)，当用户欲存取档案时，除了自身在特定策略群组内的权限外，还依循档案权限档使用档案；存取凭证管理模块(103)为系统管理各访问控制列表凭证的手段，当建立或选择访问控制列表，或取得预设的一访问控制列表时，提供用户下载一验证身份的凭证，并将写入相关访问控制列表关连群组内档案的档头(header)中；访问控制列表管理模块(104)则是用以管理系统所建立的访问控制列表。
在所描述的群组档案管理机制下，使用档案的实施方式包括系统下成员依项目工作需求可自定义或默认工作项目的访问控制列表(acl)，并登录于群组档案管理系统，所产生的项目文件将依据访问控制列表设定的档案权限运作，档案的档头(header)包含有访问控制列表标识符(aclid)，以及创建者权限、访问控制列表权限、特殊权限、时间权限与存取次数等，用户依照是否为相关策略群组成员来决定档案存取权；依用户所在的策略群组来管理与控制用户使用档案的方式。值得一提的是，在此机制下，可以当有使用者/成员在特定访问控制列表下产生档案后，档案的访问权限范围涵盖此使用者所属的访问控制列表下所有的策略群组的使用者，这个设计不同于现有技术(一般公司的档案管理方式)当于特定群组(如公司部门)下的使用者产生档案后，即便也是在某个项目下，却仅能以所属群组(如公司部门)的权限限定，而排除其他群组的访问权限。
当依照不同的需求(不同工作项目)选择或建立一或多个访问控制列表(第一访问控制列表11、第二访问控制列表12与第三访问控制列表13)之后，某项目下的访问控制列表(acl)可关联一或多个策略群组，各策略群组还纳入有一或多个成员，而相同策略群组下的成员可以同属于不同的访问控制列表，因此面对不同的访问控制列表也具有不同的权限需求。
根据图示的实施例，第一访问控制列表11下设有第一策略群组111与第二策略群组112，分别包括有一或多个成员，而成员可以同时属于不同策略群组，也就是可以依照各别策略群组赋予的权限使用各访问控制列表所关联的群组中的档案。其他如第二访问控制列表12下设有第三策略群组121，以及第三访问控制列表13下设有第四策略群组131与第五策略群组132。
当中在客户端系以一软件手段管理相关运作，例如在客户端计算机装置内安装有一档案管理驱动程序，根据一实施例，每个属于某策略群组的成员(用户)自群组档案管理主机10先取得管理项目文件的档案管理驱动程序，此为一种安装并执行于客户端装置的软件程序，档案管理驱动程序用于处理在客户端装置内开始自定义一项目工作项目，包括创建属于此项目的档案，并自访问控制列表取得凭证，以及根据所属策略群组下存取某档案的权限，包括链接档案管理主机10而同步下载群组权限档(groupprofile)以及/或档案权限档(fileprofile)，并因此取得策略群组与访问控制列表的关联信息。
图2接着显示本发明群组档案管理系统基本架构实施例示意图，图中显示某用户可创建一工作项目，自定义工作项目的访问控制列表21，访问控制列表21中设有自群组档案管理系统所提供下载的凭证211，凭证211用以验证其中用户身份，并据此判断用户所属策略群组23，随同用户的权限系记录在群组权限文件(groupprofile)中。策略群组23管理辖下用户201,202,203的访问权限231，或可加上时间权限233。其中，访问权限231(或说访问权限)主要管理用户201,202,203对于某档案的访问权限；时间权限233也提供了一种权限选择，就是对于特定工作项目内档案的权限，或特定项目内的一或多个档案，可以依照用户在不同策略群组内的时间设定，如用户加入到策略群组后的设定，演进而在每个时间片段设定不同的权限。值得一提的是，设定时间权限233同时也可以针对特定档案的权限依照时间演进设定不同的权限。
图3显示本发明群组档案管理方法的实施例的一流程图，
根据图标的实施例，群组档案管理系统设定一因应特定项目(project)工作项目的访问控制列表(acl)。当一管理者启始一项目时(步骤s301)，例如建立一群组分享的档案，于群组档案管理系统注册，通过上述访问控制列表管理机制建立一访问控制列表(步骤s303)，访问控制列表即用于启始此专案。接着，于群组档案管理系统以前述存取凭证管理机制产生对应访问控制列表的凭证，并由启始项目者主动要求而自群组档案管理系统提供下载的凭证(certificate)，例如群组档案管理系统通过信息(如简信、电子邮件、推播信息等)传递凭证到启始项目者的客户端计算机装置中，其中安装与执行有前述的档案管理驱动程序(步骤s305)。更者，当建立在此清单下关联的策略群组与各策略群组关联的一或多个用户之后，其中各策略群组用户取得凭证的方式的一个系由系统中群组档案管理主机以信息传递的方式传送到客户端装置上，其中，根据一实施方式，系由客户端向群组档案管理主机主动要求凭证，再以信息方式传递到客户端装置，随附于项目的访问控制列表，成为访问控制列表下策略群组中存取项目文件的凭证。之后，管理者通过访问控制列表取得一或多个策略群组的控制权，与各策略群组建立关联性(步骤s307)。接着，各策略群组依据需求纳入用户成为群组成员(步骤s309)，成员即依据凭证同样取得访问控制列表所取得一或多个策略群组的档案控制权，包括同步下载群组权限档(groupprofile)，也就是档案的访问权限(步骤s311)，每一个成员依照所属策略群组的权限使用项目文件，策略群组即开始运作(步骤s313)，而一个用户可以同时属于不同的策略群组，各成员的客户端装置执行的档案管理驱动程序依用户所在的策略群组约束使用档案的方式，以及/或可追踪各成员使用行为。
运作时，各策略群组内运作的档案档头(header)写入的信息例如每个档案登录于群组档案管理系统的访问控制列表标识符(aclid)、档案加密密钥(fek,fileencryptionkey)、档案救援密钥、档案用户密钥(userfek)等，依照访问控制列表下的凭证，各策略群组的成员取得群组档案管理主机对各档案的访问权限，此策略群组开始运作，包括执行对应各访问控制列表的档案存取、传递、编辑以及/或执行、禁止等动作。
运作于群组档案管理系统下用户的客户端计算机中安装档案管理驱动程序，经此确认用户具有存取权后依据访问控制列表与策略群组架构(groupprofile)关联性来约束用户使用档案的方式。根据实施例的一个，可参考图4所述的群组档案管理方法实施例流程，在初始阶段中，每个策略群组下的成员先至群组档案管理系统取得档案管理驱动程序(步骤s401)，档案管理驱动程序安装于成员的计算机系统中，经此开启目标档案后(步骤s403)，档案管理驱动程序即检验用户身份，包括检验对档案的访问权限(步骤s405)，档案管理驱动程序先检验用户所取得的凭证，以凭证确认身份(步骤s407)，若成员的计算机系统(客户端装置)并未有凭证数据，档案管理驱动程序即自系统同步下载系统管理的凭证、群组权限档(groupprofile)等，并根据下载的群组权限档检验档案访问权限(步骤s409)；若于执行档案管理驱动程序后，成员计算机系统已经载有凭证与群组权限档，并经确认档案访问权限后，允许开启档案，依照策略群组的权限(groupprofile，由群组档案管理系统管理)使用档案(步骤s411)。
在此群组档案管理系统运行下，除了各访问控制列表下的策略群组的档案管理机制外，还提供一档案继承管理机制，使得策略群组之间可以具有上下阶层继承关系，可让在非相同访问控制列表下的不同策略群组藉由继承机制取得档案控制权。例如，在某一访问控制列表下的策略群组的某用户创建一档案，配置文件案向上层其他策略群组继承的权限，让其他用户不论在相同访问控制列表下或是不同访问控制列表下的策略群组用户可获得档案访问控制权。
接着如图5所示群组档案管理方法中继承档案存取权的实施例流程，根据前述实施例，每个策略群组下的成员可以依照策略群组权限使用档案。当客户端计算机以档案管理驱动程序开启档案时(步骤s501)，档案管理驱动程序即检验用户身份，检验某策略群组成员对档案的访问权限(步骤s503)，若档案存取权涉及继承关系，将套用群组权限档(groupprofile)中规范的继承关系(步骤s505)，此时，档案管理驱动程序将要求对应的凭证，即群组档案管理系统取得凭证(步骤s507)，成员即依据凭证继承某个访问控制列表的档案控制权，并经确认档案访问权限后，依照继承关系的权限使用档案(步骤s509)。
上述策略群组管理者可将某策略群组阶层关系设定为向上继承，被继承的策略群组可获得受继承的档案访问权限，可依照档案访问权限使用经加密的档案，向上继承的阶层数与开放继承的权限属性可设定于策略群组的属性中，项目或工作项目外的策略群组可藉由继承获取档案存取权。
应用实施例所述的档案继承关系，举例来说，可参考图6a示意显示应用本发明群组档案管理方法的权限管理实施例图。
此例显示群组档案管理系统应用在学习系统的案例。图中显示有一学习数据库6，由此学习数据库6可以衍生出多种科目，如图显示的科目一61、科目二62、科目三63，每个科目如同一个工作项目，个别建立一个访问控制列表(acl)，分别具有验证存取档案权限的凭证，每个访问控制列表下建立策略群组，如科目一61下建立群组a611，其中包括有可以存取此科目一61档案的学生，示意表示有学生001与002，学生001与002具有从系统取得存取相关科目档案权限的凭证，以及取得群组a611所赋予的档案访问权限(读、写与执行等)，以图示权限关系601、602表示。
科目二62设有群组b621，如一策略群组，以下同样可以包括多位具有存取科目二62档案的学生(此图省略)，群组b621下的学生取得科目二62的凭证，取得存取此科目相关档案的权限，而读、写与执行科目档案的访问权限则是承自群组b621。科目三63下设有策略群组如群组c631，群组c631具有多位学生，例如以权限关系603联系学生001，学生001即因此取得科目三63档案的相关权限。值得注意的是，此例学生001同时隶属群组a611与群组c631，也就是学生001可以同时取得科目一61与科目三63的档案，并分别依据群组a611与群组c631的访问权限使用对应科目档案。
图6b则示意表示前例学生001与002的权限关系实施例图，并引入一种时间权限的机制。
根据图标范例，因为每个科目在设计时有时间上的演进，引入一时间权限机制，如此例所示，权限关系601表示为学生001在不同时间对相关科目(如科目一61)档案的访问权限，如在1/1-15这段时间内并没有访问权限(n/a)；在1/16-31即具有读(read)的权限(r)；再于2/1-15具有读(read)与写(write)的权限(r/w)。
同理，权限关系603表示为学生001具有另一科目档案的访问权限，不过在此例增加了时间权限，此例显示在不同时间对相关科目三63档案的访问权限，如在1/1-15这段时间内对科目三63档案同时具有读与写的访问权限(r/w)；在1/16-31将取消访问权限(n/a)；于2/1-15再恢复读与写的权限(r/w)。
权限关系602表示为学生002在几个时间段落对科目二62档案的访问权限，如在1/1-15这段时间内具有读与写的访问权限(r/w)；在1/16-31仍继续取得读与写的权限(r/w)；再于2/1-15取消读写权限(n/a)。
具体来说，依据图6a与6b的范例，学生001可以上科目一61与科目三63的课程；学生002仅能上科目二62的课程。学生001在1/1-15不得存取科目一61的档案，而在时间1/16-31对科目一61仅具有读档案的权限，此段可为试读期间，接着到了2/1-15，则具有较为完整的访问权限，可以读与写入科目档案的权限。
接着如图7所示范例，此例示意显示应用本发明群组档案管理方法的群组成员权限关系实施例图，也就是在前例学习数据库6之下，其中的一个科目四64下设有策略群组：群组d641，其中纳入多位学生具有取得科目四64课程档案的权限，如学生003,004,005,006,007等，但是根据群组d641的群组权限档，对各个学生设定使用科目四64课程档案有不同的访问权限，如学生003对科目四64课程档案具有读与写的访问权限(r/w)、学生004对科目四64档案同样可以读与写的权限(r/w)，以及学生005、学生006与学生007仅能读取科目四64档案(r)。
具体来说，此例显示的学生003与学生004为科目四64以下的正式学生，具有较为完整的课程访问权限，包括读与写；而学生005、学生006与学生007则可以表示为试听科目四64相关课程的学生，因此对相关档案仅具有读取的权限，也就是相对限缩的权限。
群组档案管理系统与方法可适用公司管理自上至下的组织架构，包括公司组织下的各阶层部门形成策略群组，每个策略群组内包括一或多个成员(用户)，其中可以包括一个管理者(如总经理、部门经理、小组长等)与其他用户，而每个策略群组的管理者可自定义策略群组成员，亦可提供其他访问控制列表或工作项目制定者加入工作项目或项目执行。
举例来说，本发明群组档案管理系统如同一个档案管理中心，所述的策略群组如同在一个公司部门，或是因应特定项目组成的项目小组，其中成员为部门或项目成员，每个成员在此机制下也可同时属于一或多个策略群组，每个策略群组具有一个群组权限文件，用以记载在此策略群组内的档案权限，包括设定相关策略群组存取档案的权限，如复制、移动或删除档案等存取档案的使用方式。
范例如图8示意显示应用本发明群组档案管理方法的权限管理实施例图，在此组织架构下，如同在访问控制列表辖下的多层策略群组(公司管理阶层8、部门a81、部门b82、小组811,812,821,822)，每个策略群组的成员具有存取群组关联的访问控制列表内档案的权限，取得群组权限档；策略群组同样可以对各成员设定不同的权限，记录于群组权限文件。运作时，各访问控制列表内运作的档案档头(header)写入的信息包括档案登录于群组档案管理系统的访问控制列表标识符(aclid)与相关密钥(fek)，能够依照访问控制列表下的凭证验证各群组成员，各群组成员则依据群组权限档所载访问权限使用档案，包括档案存取、传递、编辑以及/或执行、禁止等动作。
图中公司管理阶层8如公司最上阶层，设有总经理801，下层设有部门a81，其中主管为部门a经理802，以及部门b82，主管为部门b经理803。部门a81下有小组811与小组812，部门b82下则有小组821与小组822。以上公司管理阶层8、以下部门以及各小组运作如策略群组。
此例中，小组811下有小组成员804、805；小组812有小组成员806、807；小组821下有小组成员808；小组822下有小组成员809。各小组下成员皆依照群组权限文件记载权限使用所属群组内的档案。
除了以上所示应用本发明群组档案管理系统下各策略群组内规范其中成员使用群组内档案的权限外，不同群组的成员仍可经由取得凭证与档案权限档后取得不同访问控制列表关联的档案的权限，如图9显示的群组档案管理系统的实施例情境示意图。
根据此范例，除了在同一访问控制列表下的一或多个策略群组的成员可以具有存取相关档案的权限外，不同访问控制列表下的策略群组成员仍可存取另一方产生的档案。
图9中显示群组档案管理系统90设有档案数据库95，群组档案管理系统90下建立两个访问控制列表(第一访问控制列表901、第二访问控制列表902)，第一访问控制列表901辖下有策略群组a(905)，第二访问控制列表902下设有策略群组b(906)，各策略群组也具有各自的用户，如策略群组a(905)下具有用户01,02与03；策略群组b(906)有用户04与05。
在本发明机制下，各策略群组的用户可以在所属群组内取得其中档案的访问权限，包括对档案的读、写与执行权限，还可以通过申请程序跨越访问控制列表而存取其他不属同一访问控制列表的策略群组内的档案，例如跨越不同工作项目可以在不同访问控制列表下分享存取某个档案的权限。可配合图9流程。
当有第二访问控制列表902下策略群组b(906)的用户04要存取第一访问控制列表901下策略群组a(905)的档案903，实施例开始如步骤s901，用户04向第二访问控制列表902管理者申请加入第一访问控制列表901，例如系统提供一申请接口/页面让成员填写申请表，由系统管理员或欲取得档案权限的相关策略群组管理者审核，第二访问控制列表902的管理者向第一访问控制列表901管理者提出申请，第一访问控制列表901的管理者同意后，将该用户04加入至第一访问控制列表901，即获得第一访问控制列表901下策略群组a(905)中的档案903的访问权限。另有方式是让第二访问控制列表902下的用户04直接向第一访问控制列表901管理者申请加入第一访问控制列表901，完成后即拥有对于档案903的访问权限。
使用时，用户04先链接群组档案管理系统90，从群组档案管理系统90取得第一访问控制列表901的凭证，以及档案权限档(fileprofile)，其中可以由客户端主动向系统90发出信息要求凭证与权限文件，让用户04使用档案管理驱动程序开启档案903，档案管理驱动程序(安装于用户04的计算机装置内)依照证书颁发机构使用档案903，并根据档案权限档所载权限存取档案。
通过以上机制，在特定项目下，其中负责项目的成员可以不受到原来所属公司、部门或组织的权限限制，而是在群组档案管理系统的管理机制下允许成员跨越公司、部门、组织等原本的群组，而取得其他公司、部门、组织的档案访问权限。
由此实施例可知，应用本发明群组档案管理系统的技术除了可以有效通过相应的策略群组管理公司内各部门、组织内的档案权限外，还可以在当有项目需求时，可以弹性设定项目的策略群组，建立如树一般的群组架构，将属于不同部门，甚至是不同实体(公司)的成员加入。其中技术涉及不同策略群组之间的继承关系。
藉此可以达成，当有项目开始，群组档案管理系统建立访问控制列表，产生相关档案，访问控制列表关联一或多个策略群组，访问控制列表关联决定存取档案的权限，亦决定是否可读取和编辑加密档案；与策略群组的关联进一步决定档案开启后的行为如复制、另存、移动、水印等。并且，在此架构下，在同一个访问控制列表下增加或是减少群组，不会影响当中交流的档案，不用修改档案的档头。
在本发明群组档案管理方法中，除了档案利用策略群组、继承关系管理档案外，还可让档案访问权限引入时间权限，如图10所示的继承时间序的示意图。
图中显示有不同阶段的时间序，并在群组档案管理系统中，可以对不同策略群组中的成员设定在不同时间段落中对特定档案有不同的访问权限，在档案的档头中除了成员访问权限外，可增设时间权限，或可加入存取次数等的限制，由群组档案管理系统管理。如此例，档案设有时间权限，规范使用者的访问时间，也就能超越前述策略群组的限制，包括不同策略群组可以协同作业或是其中成员个别的协同作业。例如，示意图显示在第一阶段s1中具有对某档案具有访问权限的成员为策略群组a与策略群组b的群组成员，而成员彼此之间仍可根据设计而有不同程度的访问权限，如读、写、执行等。
当时间进入第二阶段s2，此时具有对此特定档案有访问权限的策略群组成员已经变为策略群组a与策略群组c；当时间进入第三阶段s3，允许存取档案的群组为策略群组c与策略群组d；当时间进入第四阶段s4，允许存取档案的群组为策略群组c与策略群组e；到了最后第五阶段s5的时间时，仅允许策略群组e存取档案。
本发明群组档案管理系统可以适用一种产品生命周期管理(productlifemanagement，plm)，这是一种信息管理系统，能整合延伸型企业中的数据、流程、业务系统，并最终整合人员。plm软件可帮助您从产品的创意发想、设计与制造，一直到维修与后续处理，以高效率、高成本效益的方式，在整个产品生命周期中管理这些信息。
举例来说，在一个公司研发项目中，可以由多个策略群组负责不同阶段的研发，包括创意发想、设计与制造，一直到维修与后续处理，例如有负责初期开发的策略群组；到了下一个研发阶段就由另一策略群组负责，或是在原有的策略群组外加入另一策略群组，全力冲刺研发进度；到了成熟期，已经进入下一时间阶段，可以由其他策略群组负责完成。因此，可以通过此群组档案管理机制管理不同时间的权限。根据实施方式，其中有成员如负责研发项目的主管则可以同时属于多个策略群组，或是由上层策略群组负责管理下层研发策略群组。
在此相同的机制下，通过群组文件系统同样可以设定策略群组下的多个成员彼此之间有时间权限的差异，也就是每个成员对同一档案在不同时间有不同的读、写与执行的权限。
通过以上描述的群组档案管理系统与方法实施例，可知在访问控制列表的凭证、策略群组内档案的安全机制下，提供还有弹性管理档案的方案，系统采用策略群组访问控制列表为单位设定其中策略群组与群组成员存取档案的权限，包括针对特定档案读、写、执行的权限，达到不会因为群组或群组成员变动而需要修改档案档头而产生困扰或是管理不便的问题，藉此能有效管理档案权限。
以上所述仅为本发明的较佳可行实施例，非因此即局限本发明的保护范围，故凡运用本发明说明书及附图内容所为的等效结构变化，均同理包含于本发明的保护范围内，特此声明。