[發(fā)明專利]一種基于角色的域間訪問控制系統(tǒng)

無效

• 申請?zhí)枺?/td>: 200810047656.3
• 申請日: 2008-05-12
• 公開（公告）號: CN101286845A
• 公開（公告）日: 2008-10-15
• 發(fā)明（設(shè)計）人: 吳砥;張成偉;白紅梅;程文青;周杰;嚴(yán)鶴
• 申請（專利權(quán)）人: 華中科技大學(xué)
• 主分類號: H04L9/32
• 分類號: H04L9/32;G06F17/30
• 代理公司: 華中科技大學(xué)專利中心
• 代理人: 曹葆青

1、一種基于角色的域間訪問控制系統(tǒng)，包括用戶認證模塊(31)，其特征在于，還包括用戶上下文安全信息庫(34)、域控制模塊(32)和客體訪問控制模塊(33)，

用戶上下文安全信息庫(34)用于記錄當(dāng)前經(jīng)過用戶認證模塊(31)認證通過的用戶信息；

域控制模塊(32)用于接收經(jīng)過用戶認證模塊(31)認證通過的訪問請求，根據(jù)用戶信息和訪問請求中的客體信息確認用戶是本域訪問還是跨域訪問，根據(jù)訪問類型分配用戶角色，將角色分配結(jié)果傳送給用戶上下文安全信息庫(34)，并將用戶訪問請求傳送給客體訪問控制模塊(33)；

客體訪問控制模塊(33)用于接收來自用戶上下文安全信息庫(34)的用戶信息和來自域控制模塊(32)的訪問請求，判斷經(jīng)過角色分配后的用戶是否有權(quán)訪問客體，若是，用戶實施訪問，并將訪問結(jié)果返回給用戶。

2、根據(jù)權(quán)利要求1所述的一種基于角色的域間訪問控制系統(tǒng)，其特征在于，所述域控制模塊包括域上下文感知器(321)、子域控制器(322)、中央域控制器(323)和角色分配器(324)；

域上下文感知器(321)用于接收來自用戶上下文安全信息庫(34)的用戶信息和經(jīng)過用戶認證模塊(31)認證通過的訪問請求，判斷用戶和客體是否屬于同一域，若是，則將用戶信息和訪問請求傳送給子域控制器(322)，否則將用戶信息和訪問請求傳送給中央域控制器(323)；

子域控制器(322)用于接收來自域上下文感知器(321)的用戶信息和訪問請求，復(fù)位用戶原本域角色，將用戶訪問請求傳送給所述客體訪問控制模塊(33)；

中央域控制器(323)用于接收來自域上下文感知器(321)的用戶信息和訪問請求，查詢預(yù)存的客體域間可訪問性列表以判斷來自用戶所屬域的用戶是否有權(quán)訪問客體所屬域，若是，將客體域間可訪問性列表、用戶信息和訪問請求傳送給角色分配器(324)；

所述客體域間可訪問性列表包括客體名稱、客體所屬域ID、異域可訪問域ID列表和客體可訪問角色列表，客體可訪問角色列表包括本域用戶可訪問角色列表和異域用戶可訪問角色列表；

角色分配器(324)用于接收來自中央域控制器(323)的客體域間可訪問性列表、用戶信息和訪問請求，判斷用戶是否為全局用戶，若是，保持用戶角色不變；否則，將用戶當(dāng)前角色的權(quán)限集P1與所述本域用戶可訪問角色列表對應(yīng)的權(quán)限集P2作比較：若P1包含P2，將用戶所屬域作為異域的異域用戶可訪問角色列表分配給用戶；若P1與P2交集為空，將隨機生成的例外角色分配給用戶；否則，將P1與P2的權(quán)限交集對應(yīng)的角色列表分配給用戶；將角色分配結(jié)果傳送給用戶上下文信息庫(34)，并將訪問請求傳送給所述客體訪問控制模塊(33)。

3、根據(jù)權(quán)利要求1或2所述的一種基于角色的域間訪問控制系統(tǒng)，其特征在于，所述客體訪問控制模塊(33)包括事前評估單元(331)、客體訪問單元(332)和事后審查單元(333)，

事前評估單元(331)接收來自角色分配器(324)的訪問請求和來自用戶上下文安全信息庫(34)的用戶信息，判斷經(jīng)過角色分配后的用戶是否有權(quán)訪問客體，若是，驅(qū)動客體訪問單元(332)以實施具體訪問，訪問完畢后驅(qū)動事后審查單元(333)對訪問結(jié)果作進一步的審核以濾掉不屬于當(dāng)前用戶權(quán)限的結(jié)果對象，最后將審核后的訪問結(jié)果反饋給用戶。

4、根據(jù)權(quán)利要求3所述的一種基于角色的域間訪問控制系統(tǒng)，其特征在于，所述事前評估單元(331)和事后審查單元(333)的審核方法為：逐一提取用戶被分配的角色，采用投票制判斷擔(dān)任該角色的用戶是否有權(quán)訪問客體，匯總投票結(jié)果，根據(jù)預(yù)定授權(quán)策略確定用戶是否有權(quán)訪問客體或者訪問結(jié)果屬于用戶權(quán)限；

投票規(guī)則如下：

I若角色包含于預(yù)存所述客體可訪問角色列表，投贊成票；

II若角色不包含于所述客體可訪問角色列表：當(dāng)角色為例外角色，且客體可訪問角色列表不包括任一例外角色，保持中立；否則，投反對票。