支持 Multi-tenancy 的 IBM DB2 Content Manager 解决方案的数据隔离

核心提示： 访问控制列表访问控制列表（Access Control List，ACL）是 Content Manager 的权限控制中最为关键的特性，支持 Multi-tenancy 的 IBM DB2 Content Manager 解决方案的数据隔离(5)，访问控制列表由用户或者用户组和权限集的对应关系

访问控制列表

访问控制列表（Access Control List，ACL）是 Content Manager 的权限控制中最为关键的特性。访问控制列表由用户或者用户组和权限集的对应关系组成，也就是说访问控制列表决定了特定的用户可以对哪些资源进行特定的权限控制，但是并不能决定是哪些资源。这是因为访问控制列表将用户和权限集进行了关联，但是并没有和需要进行访问控制的 Content Manager 资源进行关联。

图 4. 访问控制列表中用户和权限集的对应关系

查看原图（大图）

如图 4，访问控制列表中包含了多个用户或者用户组和权限集的对应关系。对于其中的任意一个对应关系，用户或者用户组决定了哪些用户将受到控制，而与其对应的权限集则决定了这些用户将受到什么样的权限控制。当访问控制列表与 Content Manager 资源关联时，用户或者用户组决定了哪些用户可以访问这些资源。权限集则决定了这些用户可以对资源进行哪些访问，也就是决定了对资源的访问程度，例如完全不能访问，只读或者修改。一个访问控制列表可以包含多个用户或者用户组和权限集的对应关系，所以不同的用户对于资源的不同程度的访问可以定义在一个访问控制列表中。

Content Manager 的数据隔离

IBM DB2 Content Manager 提供了许多数据模型来满足解决方案的建模需求，这些模型分别是 itemtype，工作节点和流程，工作列表。Content Manager 解决方案凭借这些模型建立自身的数据模型，这些模型是解决方案需要进行访问控制的资源，在对 Content Manager 解决方案进行数据隔离时必须隔离解决方案的数据模型。对解决方案进行数据隔离后，Multi-tenancy 环境中 tenant 只能访问属于自己的数据模型而不能访问其他 tenant 的数据模型。