CHƢƠNG 3 CÀI ĐẶT VÀ THỰC NGHIỆM
3.4. Kết quả thực nghiệm
Sau khi triển khai, quy trình sẽ đƣợc thực thi nhƣ sau:
Bất kì ngƣời dùng nào trong tổ chức đăng nhập vào hệ thống đều có quyền đều có khởi tạo riêng một instance của quy trình cho yêu cầu của mình. Vào Process > Process definitions > chọn quy trình > Start process, một Form xuất hiện, ngƣời dùng cần điền đầy đủ thông tin.
Phê duyệt yêu cầu: Từ thông tin mà ngƣời yêu cầu xe cung cấp, hệ thống sẽ kiểm tra trƣờng Role, nếu Role là Staff thì yêu cầu sẽ đƣợc chuyển cho ngƣời có vai trò Manager để phê duyệt. Ngƣời này đăng nhập hệ thống, vào Tasks > Queued. Do task này đƣợc gán cho Group nên chƣa có một Assignee cụ thể nào đƣợc gán, vì vậy mọi thông tin trong task đều ẩn.
Hình 3.21: Màn hình Task Manager Approval
Gán ngƣời thực hiện quy trình: Khi nhấn Reassign, hệ thống sẽ bắt đầu kiểm tra chính sách an ninh của ngƣời đƣợc gán cho Task. Ở đây, Separation Of Duty đƣợc dùng để ràng buộc cho Manager và CarSupervisior nên bất kì ngƣời dùng nào thuộc cả hai nhóm này đều không có quyền thực hiện Task. Nếu user đăng nhập vi phạm, thông báo hiện ra :
Hình 3.22: Thông báo vi phạm chính sách RBAC
Còn nếu không vi phạm thì ngƣời đăng nhập có thể gán lại task cho ngƣời khác trong cùng nhóm. Cửa sổ hiện lên danh sách ngƣời dùng thuộc nhóm. Nếu ngƣời
đăng nhập lại chọn một user vi phạm Separation Of Duty thì thông báo lỗi lại hiện ra, còn không thì Task sẽ đƣợc gán cho user vừa đƣợc chọn. Khi user đó đăng nhập thì mọi thông tin trong task đều hiện lên và user có quyền thực hiện Task.
Hình 3.23: Chọn người thực hiện Task
Gửi thông báo cho các bên liên quan: thực hiện bởi MailTask, cấu hình gửi mail đƣợc thiết lập trong Activiti Designer, kết quả nhận đƣợc là :
Hình 3.25: Mail thông báo kết quả phê duyệt
Nhƣ vậy, quy trình đã đƣợc thực thi công, các chính sách an ninh đã đƣợc kiểm tra trƣớc khi gán cho ngƣời dùng.
Sau gần 5 tháng thử nghiệm quy trình, kết quả thu đƣợc có 22 lần quy trình đƣợc thực hiện. Phân bố theo các tháng nhƣ sau:
Hình 3.26: Thống kê số lần quy trình được thực hiện theo tháng
Số liệu trên đƣợc lấy trực tiếp từ việc truy vấn cơ sở dữ liệu của Acitivti:
SELECT MONTH(START_TIME_) Month_ ,COUNT(PROC_INST_ID_) TotalCount FROM ACT_HI_PROCINST
GROUP BY MONTH(START_TIME_) ORDER BY month_;
Tỷ lệ thực hiện thành công của quy trình là 100% chứng tỏ độ ổn định khi triển khai quy trình trên Activiti. Nói cách khác, Activiti là một công cụ đơn giản và hiệu quả cho việc thực thi các quy trình nghiệp vụ của doanh nghiệp.
3.5. Tổng kết chƣơng
Kết quả của thực nghiệm đã chứng minh công cụ Activiti tích hợp thêm mô đun RBAC đã giải quyết đƣợc bài toán vận tải nói riêng và các bài toán liên quan đến quy trình nghiệp vụ trong doanh nghiệp nói chung. Các yêu cầu an ninh đã đƣợc mô hình hóa ngay từ ban đầu tại pha thiết kế và từ sơ đồ BPMN cả chuyên gia nghiệp vụ, chuyên gia an ninh và chuyên gia hệ thống đều có thể hiểu chung một ngôn ngữ. Việc thực thi các chính sách RBAC cũng đã đƣợc thực hiện ở pha triển khai, cung cấp các thông báo thân thiện với ngƣời dùng về các vi phạm chính sách an ninh. Các bƣớc cài đặt quy trình trên Activiti khá không quá phức tạp giúp cho một ngƣời không hiểu sâu về kỹ thuật cũng có thể tự thực hiện đƣợc.
KẾT LUẬN VÀ HƢỚNG PHÁT TRIỂN
BPM là một công cụ giúp cho việc quản lý và vận hành doanh nghiệp đƣợc hiệu quả hơn. Vấn đề an ninh là một trong các vấn đề quan trọng cần phải đƣợc xem xét trong tất cả các pha của vòng đời BPM và việc cài đặt chính sách an ninh vào BPM là thực sự cần thiết. Luận văn đã trình bày phƣơng pháp tích hợp các chính sách truy nhập (cụ thể là điều khiển truy nhập theo vai trò RBAC) vào pha mô hình hóa của vòng đời BPM bằng mở rộng ngôn ngữ BPMN 2.0 cho các yêu cầu an ninh. Ứng dụng phƣơng pháp để mở rộng công cụ Activiti BPM cho việc cài đặt các chính sách an ninh. Tại pha mô hình hóa của Activti, xây dựng metamodel cho BPMN tích hợp RBAC và sinh ra cú pháp trừu tƣợng; sau đó, tại pha thực thi quy trình, kiểm tra một số chính sách an ninh trƣớc khi phân quyền cho ngƣời sử dụng. Kết quả của luận văn đã đƣợc ứng dụng vào việc xây dựng một số quy trình nghiệp vụ tại Trung tâm Tƣ vấn Thiết kế Mobifone.
Tuy nhiên, trong luận văn mới chỉ dừng lại ở bƣớc tích hợp các chính sách an ninh vào pha mô hình hóa của BPM và tại pha thực thi, việc kiểm tra tính thỏa mãn của các chính sách an ninh khi phân quyền cho ngƣời dùng đang dừng lại ở các trƣờng hợp đơn giản. Hệ thống lớn lên, các chính sách an ninh ngày càng phức tạp thì việc kiểm tra, phát hiện việc vi phạm các ràng buộc lại trở nên nan giải hơn. Ví dụ, trong trƣờng hợp, ngƣời dùng đƣợc gán nhiều quyền, các quyền lại đƣợc kế thừa lẫn nhau,... Để giảm sự phức tạp của việc quản lý an ninh, cần phải sử dụng các công cụ hỗ trợ việc kiểm tra tính đúng đắn, tính toàn vẹn của các yêu cầu an ninh trong BPM. USE tool là một công cụ cho phép mô hình hóa phần mềm và kiểm tra tính chính xác của các mô tả UML, USE rất đơn giản và hiệu quả cho việc kiểm tra các chính sách an ninh. Vì vậy, hƣớng phát triển tiếp theo của luận văn là sử dụng USE tool cho việc thực thi chính sách an ninh của BPM. Hy vọng trong thời gian tới, tôi có thể phát triển và hoàn thiện nội dung này.
Qua việc thực hiện luận văn, tôi đã thu đƣợc rất nhiều kiến thức bổ ý về hệ thống quản lý quy trình nghiệp vụ trong doanh nghiệp cũng nhƣ kiến thức về các kỹ thuật phát triển phần mềm hiện đại. Tuy nhiên, do kiến thức có hạn nên trong luận văn không thể tránh khỏi những sai sót, khiếm khuyết, tôi rất mong nhận đƣợc sự góp ý của quý thầy cô để luận văn đƣợc hoàn thiện hơn.
TÀI LIỆU THAM KHẢO
Tiếng Việt
1. Chu Thị Minh Huệ. (2011), “Ngôn ngữ mô hình chuyên biệt miền cho mô hình bảo mật RBAC”, Đại học Quốc Gia Hà Nội, Luận văn thạc sĩ trên Thƣ viện số Đại học Quốc Gia Hà Nội.
Tiếng Anh
2. Alfonso RODRIGUEZ, Eduardo FERNANDEZ-MEDINA, Marlo PIATTINI. (2007) “A BPMN Extension for the Modeling of Security Requirement in Business Processes”.
3. American National Standards Institute Inc.(2004) “Role Based Access Control”, ANSI-INCITS 359-2004.
4. R. Sandhu, E. Coyne, H. Feinstein, C. Youman. (1996) “Role-based access control models”, IEEE Computer, vol. 29, no. 2, pp. 38–47.
5. Achim D.Brucker, Isabelle Hang, Gero Luckemeyer, Raj Ruparel. (2012) “SecureBPMN: Modeling and Enforcing Access Control Requirements in Business Processes”.
6. Steven Kelly, Juha-Pekka Tolvanen. (2008), “Domain-Specific Modeling”, pp. 1-92.
7. Tanveer Mustafa, Karsten Sohr, Duc-Hanh Dang, Michael Drouineaud. (2008), “Implementing Advanced RBAC Administration Functionality with USE”. 8. Achim D. Brucker and J¨urgen Doser. (2012),“Metamodel-based UML
Notations for Domain-specific Languages”.
9. Marlon Dumas. (2014), “Business Process Management Course - Lecture 1: Introduction to BPM”.
10.Object Management Group. (2011), “Business process model and notation (BPMN)”, version 2.0.
11. Zakir Laliwala. (2014),” Activiti 5.x Business Process Management”. 12.OASIS. (2005), “eXtensible Access Control Markup Language (XACML)”. 13. Vogella. (2016), “http://www.vogella.com/tutorials/EclipseEMF/article.html”,
Last visit was on 12/4/2018.