[發(fā)明專利]軟件即服務(wù)中基于門限與密鑰的授權(quán)方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201010577492.2
• 申請(qǐng)日: 2010-12-07
• 公開（公告）號(hào): CN102012989A
• 公開（公告）日: 2011-04-13
• 發(fā)明（設(shè)計(jì)）人: 高志前;任勛益;李濤;張偉;周明中;張俊鋒
• 申請(qǐng)（專利權(quán)）人: 江蘇風(fēng)云網(wǎng)絡(luò)服務(wù)有限公司
• 主分類號(hào): G06F21/00
• 分類號(hào): G06F21/00;G06Q10/00
• 代理公司: 南京蘇高專利商標(biāo)事務(wù)所(普通合伙) 32204
• 代理人: 柏尚春

1.一種軟件即服務(wù)中基于門限與密鑰的授權(quán)方法，其特征在于該方法采用經(jīng)典的薩莫爾秘密共享方案作為構(gòu)造門限簽名方案，軟件即服務(wù)SaaS軟件開發(fā)商、運(yùn)營商、客戶三方共享密鑰，SaaS數(shù)據(jù)操作權(quán)限分級(jí)并建立權(quán)限表，具體如下：

1)SaaS數(shù)據(jù)操作權(quán)限分級(jí)并建立權(quán)限表：

步驟11).根據(jù)SaaS客戶的需求，將數(shù)據(jù)操作權(quán)限進(jìn)行分級(jí)，經(jīng)SaaS軟件開發(fā)商、運(yùn)營商、客戶三方協(xié)商后確立對(duì)應(yīng)級(jí)別人員的權(quán)限；

步驟12).在服務(wù)器MSP上建立權(quán)限表，包括SaaS軟件開發(fā)商、運(yùn)營商、客戶三方各自對(duì)應(yīng)的權(quán)限；

步驟13).根據(jù)三方權(quán)限表建立相應(yīng)的角色；

2)SaaS客戶提供完整的密鑰后，還必須在密鑰認(rèn)證成功后進(jìn)一步授權(quán)，此時(shí)，采用基于角色的授權(quán)機(jī)制，這個(gè)角色將對(duì)SaaS運(yùn)營商、SaaS開發(fā)商以及內(nèi)部的管理員和一般維護(hù)人員等進(jìn)行限定，具體流程為：

基于角色的SaaS數(shù)據(jù)操作授權(quán)：

步驟21).設(shè)置角色并映射用戶：將用戶到角色的映射存儲(chǔ)在管理服務(wù)提供商MSP的數(shù)據(jù)存儲(chǔ)區(qū)中，SaaS客戶的角色即是從MSP的數(shù)據(jù)庫中提取；

步驟22).在客戶登錄時(shí)分配角色：SaaS客戶登錄時(shí)，應(yīng)用程序從MSP數(shù)據(jù)庫或“目錄服務(wù)”中查找角色，然后將角色放置在設(shè)定的對(duì)象中，成功驗(yàn)證身份后可以登錄后臺(tái)，在代碼中實(shí)現(xiàn)角色分配，Roles是一個(gè)數(shù)據(jù)庫中幫助器類，它從角色數(shù)據(jù)庫中提取角色并將它們放在內(nèi)部角色數(shù)組中；由于應(yīng)用程序?qū)⒔巧宰址男问酱鎯?chǔ)在身份驗(yàn)證票中，該類的字符串轉(zhuǎn)化方法把數(shù)組轉(zhuǎn)換成字符串表達(dá)形式，角色幫助器類接受三個(gè)參數(shù)：已驗(yàn)證身份的用戶、應(yīng)用程序名稱和到包含角色的數(shù)據(jù)庫的連接字符串；

用戶提交的后繼請(qǐng)求將在請(qǐng)求標(biāo)題中包含身份驗(yàn)證票，而服務(wù)器上的運(yùn)行庫將基于已登錄用戶的詳細(xì)信息創(chuàng)建標(biāo)識(shí)和主體，然而，并不會(huì)自動(dòng)提取和分配添加到身份驗(yàn)證票的角色，要使用適當(dāng)?shù)挠脩艚巧O(shè)置主體，需要在下面的步驟中描述的運(yùn)行線程上創(chuàng)建一個(gè)新主體并進(jìn)行替換；

步驟23).主體替換：主體對(duì)象表示代碼運(yùn)行時(shí)所在的安全上下文，實(shí)現(xiàn)基于角色的安全性的應(yīng)用程序?qū)⒒谂c主體對(duì)象關(guān)聯(lián)的角色來授予權(quán)限；若要設(shè)置每次請(qǐng)求時(shí)與用戶關(guān)聯(lián)的角色，在此實(shí)現(xiàn)中，應(yīng)在用戶驗(yàn)證請(qǐng)求函數(shù)中替換主體；

步驟24).檢查角色成員資格：由于用戶的角色可以在線程的當(dāng)前主體中使用，因此代碼可以使用此角色信息來允許或拒絕對(duì)某些功能的訪問，這可以通過以下的三種方式之一來實(shí)現(xiàn)：設(shè)置代碼屬性、獲取角色信息方法調(diào)用、Web配置文件；

步驟25).根據(jù)角色授予用戶數(shù)據(jù)訪問操作權(quán)限：根據(jù)上步中驗(yàn)證的用戶角色進(jìn)行相應(yīng)的授權(quán)，以便SaaS用戶對(duì)數(shù)據(jù)庫的訪問和操作；

3)SaaS用戶進(jìn)行數(shù)據(jù)操作的具體流程為：

步驟31).SaaS用戶提供自己的密鑰A創(chuàng)建一個(gè)連接請(qǐng)求；

步驟32).對(duì)應(yīng)SaaS客戶的請(qǐng)求，SaaS軟件提供商和SaaS運(yùn)營商提供對(duì)應(yīng)的密鑰B和密鑰C；

步驟33).根據(jù)門限的思想生成多項(xiàng)式進(jìn)行群體簽名驗(yàn)證；

步驟34).簽名驗(yàn)證成功后，在MSP數(shù)據(jù)庫中獲取SaaS用戶對(duì)應(yīng)的角色；如果驗(yàn)證失敗，則直接結(jié)束返回；

步驟35).根據(jù)對(duì)應(yīng)的角色進(jìn)行數(shù)據(jù)操作授權(quán)；

步驟36).SaaS用戶獲得數(shù)據(jù)訪問權(quán)限后，進(jìn)行相應(yīng)數(shù)據(jù)操作；

步驟37).SaaS用戶數(shù)據(jù)操作結(jié)束后結(jié)束返回；

4)SaaS軟件提供商進(jìn)行數(shù)據(jù)操作的具體流程為：

步驟41).SaaS軟件提供商提供自己的密鑰B創(chuàng)建一個(gè)連接請(qǐng)求；

步驟42).對(duì)應(yīng)SaaS軟件提供商的請(qǐng)求，SaaS用戶和SaaS運(yùn)營商提供對(duì)應(yīng)的密鑰A和密鑰C；

步驟43).根據(jù)門限的思想生成多項(xiàng)式進(jìn)行群體簽名驗(yàn)證；

步驟44).簽名驗(yàn)證成功后，在MSP數(shù)據(jù)庫中獲取SaaS軟件提供商對(duì)應(yīng)的角色；如果驗(yàn)證失敗，則直接結(jié)束返回；

步驟45).根據(jù)對(duì)應(yīng)的角色進(jìn)行數(shù)據(jù)操作授權(quán)；

步驟46).SaaS軟件提供商獲得數(shù)據(jù)訪問權(quán)限后，進(jìn)行相應(yīng)數(shù)據(jù)操作；

步驟47).SaaS軟件提供商數(shù)據(jù)操作結(jié)束后結(jié)束返回；

5)SaaS運(yùn)營商進(jìn)行數(shù)據(jù)操作的具體流程為：

步驟51).SaaS運(yùn)營商提供自己的密鑰C創(chuàng)建一個(gè)連接請(qǐng)求；

步驟52).對(duì)應(yīng)SaaS運(yùn)營商的請(qǐng)求，SaaS用戶和SaaS軟件提供商提供對(duì)應(yīng)的密鑰A和密鑰B；

步驟53).根據(jù)門限的思想生成多項(xiàng)式進(jìn)行群體簽名驗(yàn)證；

步驟54).簽名驗(yàn)證成功后，在MSP數(shù)據(jù)庫中獲取SaaS運(yùn)營商對(duì)應(yīng)的角色；如果驗(yàn)證失敗，則直接結(jié)束返回；

步驟55).根據(jù)對(duì)應(yīng)的角色進(jìn)行數(shù)據(jù)操作授權(quán)；

步驟56).SaaS運(yùn)營商獲得數(shù)據(jù)訪問權(quán)限后，進(jìn)行相應(yīng)數(shù)據(jù)操作；

步驟57).SaaS運(yùn)營商數(shù)據(jù)操作結(jié)束后結(jié)束返回。