DMS - Berechtigungssystem mit vererbbaren Berechtigungen

[Aviator]

Hallo Delphianer,

ich bin gerade dabei, eine bestehende, von mir programmierte, Dokumentenverwaltung umzuprogrammieren. Und zwar geht es mir um den Aspekt der Sicherheit aller abgelegten Dokumente.
Um es kurz vorweg zu nehmen: Ich habe bereits Google und die Forensuche bemüht, jedoch nicht wirklich etwas zu dem Thema gefunden. Alle gefundenen Themen bezogen sich direkt auf Windows oder Active Directory bzw. Domainumgebungen.

Aktuell wird es so gehandhabt, dass jedem Dokument die Benutzer mit bestimmten Berechtigungen zugeordnet werden. Dies ist allerdings sehr mühsam und zeitaufwendig. Je mehr Benutzer das DMS benutzen, desto schwieriger wird es, die Benutzer den Dokumenten zuzuordnen.

Im Zuge von anderen Umstellungen schwebte mir vor, ein komplett neues Berechtigungssystem zu erstellen.


Hier mal das Grundkonzept wie es später in etwa aussehen soll:

• Die Dokumente sollen in Zukunft in einer Ordnerstruktur abgelegt werden
• Jedem Ordner sollen Berechtigungen zugeteilt werden können
• Berechtigungen werden hauptsächlich durch Gruppen vergeben, es kann aber auch nur ein Benutzer diesem Ordner zugeteilt werden
• Die Berechtigungen sollen von übergeordneten Ordnern übernommen werden (Vererbung)
• Es soll die Möglichkeit bestehen, die Vererbung zu deaktivieren bzw. die vererbten Rechte zu erweitern
• Berechtigungen von einzelnen Dokumenten sollen ebenfalls bei Bedarf angepasst werden können. Hauptberechtigungen sind aber über die Ordner zu verteilen

Wie man sieht, soll das Berechtigungssystem in etwa aufgebaut werden wie es bei Windows der Fall ist. Zwar nicht mit ganz so vielen Rechten, aber es sollte wenn möglich erweiterbar sein.

Berechtigungen die auf jeden Fall existieren müssen:

• Dokumente auflisten
• Dokumente erstellen
• Dokumente bearbeiten
• Dokumente sperren / freigeben
• Diese Berechtigungen sollen sowohl für eigene Dokumente, als auch für Dokumente von anderen Usern seperat verwaltet werden können --> Das bedeutet, dass bereits mindestens 8 Rechte pro Gruppe/Dokument/Benutzer existieren

In wie weit es sinnvoll ist, auch eine Berechtigung zum Auflisten der Ordner zu machen weiß ich nicht. Die Möglichkeit zur Erweiterung sollte aber generell für alles bestehen.

Die Dokumente werden mit einem Verweis auf den Speicherort der Datei in einer Datenbank abgelegt. Hierbei handelt es sich um den Microsoft SQL-Server falls das wichtig sein sollte.


Meine Frage ist jetzt, wie man so etwas überhaupt umsetzen kann. Wie muss bspw. meine Klasse aufgebaut sein um schnell an Informationen heranzukommen. Meine Benutzer- und Gruppenobjekte müssten ja einen Verweis auf die Gruppen haben, in denen diese Mitglied sind. Analog dazu braucht dies auch das Dokument. Oder wird an der Stelle dann nach dem Berechtigungen des Ordners geschaut und wiederrum kombiniert mit den Berechtigungen des Dokumentes?

Wie kann ich das System am effektivsten in mein Programm einbauen, ohne das ich nachher bei 100 Gruppen und 100 Usern 10 Minuten auf das Auflisten von Dokumenten warten muss, weil das Prüfen der Berechtigungen zu lange dauert?


Ich wäre um jeden Vorschlag dankbar, der in die gewünschte Richtung geht.

Wenn noch Rückfragen bestehen bin ich gerne bereit hier weitere Auskünfte zu geben.

[BUG]

Ich würde mir mal Unix-Dateisystem-Rechte angucken, dass geht ja in eine ähnliche Richtung. Damit kann man schon ganz gut arbeiten.

[Sherlock]

Wenn ich den Flieger richtig verstanden habe, ist das Was nicht das Problem, sondern das Wie. Und darüber gibt die Wikipedia an der Stelle leider wenig Auskunft. Ich denke aber, daß man mit Dictionaries gut voran kommen müsste. Die Zugriffe sind schnell, man muss sich halt überlegen, wie man das organisiert.

Sherlock

[hoika]

Hallo,
wo liegen den die Dokumente?
In einer DB oder auf der Platte.

[Sherlock]

Zitat von Aviator:

Die Dokumente werden mit einem Verweis auf den Speicherort der Datei in einer Datenbank abgelegt. Hierbei handelt es sich um den Microsoft SQL-Server falls das wichtig sein sollte.

Sherlock

[mkinzler]

Zitat von hoika:

Hallo,
wo liegen den die Dokumente?
In einer DB oder auf der Platte.

Wie es aussieht auf der Platte

Zitat:

Die Dokumente werden mit einem Verweis auf den Speicherort der Datei in einer Datenbank abgelegt.

[Aviator]

Zitat von mkinzler:

Zitat von hoika:

Hallo,
wo liegen den die Dokumente?
In einer DB oder auf der Platte.

Wie es aussieht auf der Platte

Zitat:

Die Dokumente werden mit einem Verweis auf den Speicherort der Datei in einer Datenbank abgelegt.

Danke @Sherlock und @mkinzler,

das ist korrekt. In der Datenbank wird lediglich vermerkt, dass es das Dokument gibt. Die eigentliche Datei wird auf einem Server gespeichert. Die Berechtigungen im Filesystem zu erstellen funktioniert leider nicht. Es handelt sich hierbei um einen Linux Server. Außerdem sollen ja auch die Dokumente schon je nach Berechtigungen des Benutzers im DMS angezeigt bzw. ausgeblendet werden. Da würden Filesystemberechtigungen nichts bringen.

Zitat von Sherlock:

Wenn ich den Flieger richtig verstanden habe, ist das Was nicht das Problem, sondern das Wie. Und darüber gibt die Wikipedia an der Stelle leider wenig Auskunft. Ich denke aber, daß man mit Dictionaries gut voran kommen müsste. Die Zugriffe sind schnell, man muss sich halt überlegen, wie man das organisiert.

Sherlock

Genau das ist jetzt die Frage. Reichen Dictionaries dafür aus oder muss es eine eigene Klassenstruktur sein. Und die Organisation der Dictionaries ist dann die nächste Frage.

Unix/Linux Dateisystemrechte reichen vmtl. nicht aus. Dort gibt es oft nur die Möglichkeit mit "rwx". Ich bräuchte aber eben die im ersten Beitrag angegebenen Möglichkeiten um die Rechte zu vergeben.

[mkinzler]

Ich würde deshalb auch auf die Speicherung im Filesystem verzichten und die "Dateien" auch gleich in der Datenbank ablegen.

[BUG]

Zitat von Aviator:

Dort gibt es oft nur die Möglichkeit mit "rwx". Ich bräuchte aber eben die im ersten Beitrag angegebenen Möglichkeiten um die Rechte zu vergeben.

Gerade um "rwx" ging es mir nicht.

1. Die Dokumente sollen in Zukunft in einer Ordnerstruktur abgelegt werden passt
2. Jedem Ordner sollen Berechtigungen zugeteilt werden können passt
3. Berechtigungen werden hauptsächlich durch Gruppen vergeben, es kann aber auch nur ein Benutzer diesem Ordner zugeteilt werden Owner-, Group-, und Other-Rechte
4. Die Berechtigungen sollen von übergeordneten Ordnern übernommen werden (Vererbung) OK, da müsste man sich etwas überlegen.
5. Es soll die Möglichkeit bestehen, die Vererbung zu deaktivieren bzw. die vererbten Rechte zu erweitern Späteres Anpassen der Rechte möglich, unabhängig von den Rechten des Ordners
6. Berechtigungen von einzelnen Dokumenten sollen ebenfalls bei Bedarf angepasst werden können. Hauptberechtigungen sind aber über die Ordner zu verteilen OK, da müsste man sich etwas überlegen.

Im Prinzip würde ich die Ordnerhierarchie absteigen und immer überprüfen ob man den nächsten Schritt machen kann. Wenn keine neuen Rechte/Werte für Owner, Group oder Other gesetzt sind, werden jeweils die des Ordners darüber übernommen.

[Aviator]

Zitat von mkinzler:

Ich würde deshalb auch auf die Speicherung im Filesystem verzichten und die "Dateien" auch gleich in der Datenbank ablegen.

Hat zwar mit dem eigentlichen Problem wenig zu tun, aber darüber hatte ich mir ganz zu Beginn des Projektes bereits Gedanken gemacht. Die Dateien selbst sind ja verschlüsselt abgelegt. Es kommt also keiner dran ohne über das DMS zu gehen. Deshalb würde ich die Berechtigungen gerne über mein DMS laufen lassen. Wir haben eben auch auf die Größe der Datenbank geachtet und uns deshalb für die externe Speicherung entschieden.