為了便於管理資料庫與確保安全,因此必須限定只有特定的人員和組織才可以存取 WebSphere Commerce。 限制存取的程序稱為存取控制或授權。存取控制可按如下定義成安全方針:
- 容許或拒絕特定系統的使用者存取由特定系統管理的資源。
- 指定使用者對每一項資源所能執行的動作。
WebSphere Commerce 的存取控制模型是以施行存取控制原則為基礎。 存取控制原則是透過存取控制「原則管理程式」實施。一般而言,當使用者嘗試對受保護的資源執行某個動作時, 存取控制原則管理程式會先判斷哪些存取控制原則適用於該資源,然後再依據適用的存取控制原則, 來判斷使用者能否對特定的資源執行所要求的動作。
網站管理者負責管理套用在整個網站的存取控制原則, 且可管理套用在某個商店上的存取控制原則。 有關管理存取控制原則的進一步資訊,請參閱 WebSphere Commerce 安全手冊。
存取控制原則群組
在電子商務網站中,各組織所需的存取控制原則集可能不同。舉例來說, 賣方組織需要購物的相關原則,但對買方組織而言卻不需要。為了顧及這類需求, 在 WebSphere Commerce 中,存取控制原則被分割成幾個存取控制原則群組。 為了讓存取控制原則能套用在網站中, 存取控制原則必須隸屬在某個存取控制原則群組下。然後視組織的商業與存取控制需求而定, 而將組織定期抄寫至適當的存取控制原則群組。網站管理者可使用管理主控台來定期抄寫至存取控制原則群組。
存取控制原則
存取控制原則可授權某個使用者群組, 對 WebSphere Commerce 中的某個資源群組執行特定的動作。除非由一或多項存取控制原則授權,否則使用者無權存取任何功能。 存取控制原則授權給特定的使用者群組,讓他們可以對指定資源群組中的資源執行特定動作。
存取控制原則包含下列四個部份:
- 存取群組:將套用該原則的使用者群組。
- 動作群組:動作的群組。
- 資源群組:該原則所控制的資源。資源群組可包含商業物件(像是 "合約" 或 "訂單")或一組相關指令。
- 關係(選用):每一個資源類型可有一組相關聯的關係。每一個資源可有一組將履行每一種關係的使用者。
附註:隸屬於特定存取群組的使用者,可針對隸屬指定資源群組的資源, 執行指定動作群組中的動作,但前提是使用者符合與資源之間的特定關係。
網站管理者可以審視整個網站的存取控制原則。WebSphere Commerce 附有兩組預設存取控制原則可供沿用或自訂。 預設存取控制原則如下:
- 可分組的標準原則(原則類型 -2)
- 可分組的範本原則(原則類型 -3)
可分組的範本與可分組的標準原則必須隸屬於原則群組下, 才能在系統中套用。如果組織是定期抄寫至內含原則的原則群組中, 則在該組織中會套用一次可分組的標準原則。
可分組的範本原則本質上為動態的, 會在系統執行期間,將存取群組限定在擁有該資源的組織範圍內。舉例來說,如果此種原則類型被套用在組織 XYZ 所擁有的資源上, 則此原則會檢查使用者是否有在組織 XYZ(或其上層)中擔任指定職務之一。
在「管理主控台」中,網站管理者可執行的作業如下:
資源和資源群組
資源為系統中需受保護的任何物件。舉例來說, RFQ、拍賣、使用者和訂單都是 WebSphere Commerce 中需受保護的一些資源。每個資源都有一位擁有者。資源的所有權可用來判斷該資源所套用的是哪些存取控制原則。
資源群組代表一組相關的資源。資源群組可包含商業物件,像是:合約或一組相關指令。在存取控制中,資源群組會指定存取控制原則授權存取的資源。 資源群組可以是明確的或隱含的。
- 隱含的資源群組符合特定的一組屬性,例如 "abc 部門的使用者"、"經理" 或 "買方",或資源的 Java 類別名稱。
- 明確的資源群組則是依名稱識別。
隱含地新增資源至群組(藉由指定其屬性)的方式,較便利於授權存取許多資源, 而不需要逐一指定資源。這種方式也可以避免在資源有變動時,重新新增或刪除資源的麻煩。
藉由列出名稱,明確地新增資源至群組的方式,可讓您將不具有相同屬性的個別資源納入同一個群組。
附註:資源與資源群組屬於根組織所擁有。其他組織無法擁有資源或資源群組。 WebSphere Commerce Professional Edition 中不提供 RFQ。
在「管理主控台」中,網站管理者可執行的作業如下:
資源種類
資源種類會參照一種資源類別。資源種類為一些 Java 類別,像是:訂單、RFQ(報價要求)及拍賣等。資源為這些類別的實例。舉例來說,拍賣管理者 A 建立的 Auction1 即為一種資源; 而拍賣管理者 B 所建立的 Auction2 則為另一種資源。這兩種資源皆隸屬於「拍賣」資源種類下。 WebSphere Commerce 元件使用的所有資源都登錄在 ACRESCGRY 表格中。
資源關係
每一項資源可能具有某種相關的關係以及一組履行各關係的成員。舉例來說, 所有資源都具有 "擁有者" 關係,這個關係是由資源的擁有者履行。 其他關係還可包括文件的收件人以及型錄項目的提供者。在決定哪些人可對特定資源實例執行某些動作方面,這些資源關係相當重要。例如,文件建立者無法刪除文件,但審核者卻可以。 同樣地,檢視者只能讀取和核准文件,但卻不能轉遞文件或執行其他作業。
動作和動作群組
動作是指使用者可對資源執行的一組作業。 動作通常會對映至 WebSphere Commerce 指令。如果資源群組是指某個商業物件 (如合約),其動作可能是 "建立" 或 "核准"。在 WebSphere Commerce 中,當指令套用在其他資源上時,該指令便成為動作。舉例來說, UserProfileUpdate 指令可視為是套用在使用者設定檔上的一種動作。
動作群組是相關動作的集合。像 AccountManage 群組即為一種動作群組,其所含的指令如下:
- com.ibm.commerce.account.commands.AccountDeleteCmd
- com.ibm.commerce.account.commands.AccountSaveCmd
在「管理主控台」中,網站管理者可執行的作業如下:
有關存取控制以及非「管理主控台」中之作業的進一步資訊,請參閱 WebSphere Commerce 安全手冊。