[發明專利]基于網絡層聲明的訪問控制

有效

• 申請號: 201110184790.X
• 申請日: 2011-06-23
• 公開（公告）號: CN102299915B
• 公開（公告）日: 2017-03-01
• 發明（設計）人: Y·托爾;D·羅斯;E(J)·尼斯塔德特;P·施奈爾;M·薩皮爾;O·阿納尼耶夫;A·扎瓦科夫斯基;A·埃亞勒
• 申請（專利權）人: 微軟技術許可有限責任公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 上海專利商標事務所有限公司31100
• 代理人: 楊潔

1.至少一個其上存儲有指令的有形計算機可讀存儲介質制品(404、405)，所述指令在由采用網絡層安全協議的系統中的計算機(400)執行時，執行作出訪問控制策略決策的方法，所述方法包括：

(A)接收(235)與請求訪問網絡資源(202)的計算機(201)有關的信息，所述與計算機(201)有關信息被包括在被格式化以符合網絡層安全協議的通信中，并且描述所述計算機的一個或多個屬性：計算機的用戶、以及計算機在其中請求對網絡資源的訪問的上下文；

(B)接收(235)與網絡資源(202)有關的信息，所述與網絡資源有關的信息被包括在被格式化以符合網絡層安全協議的通信中，并且描述所述網絡資源的一個或多個屬性：所述網絡資源與之有關的組織、所述網絡資源的所有者、所述網絡資源的部署的階段以及所述網絡資源的敏感性；以及

(C)至少部分地基于在(A)和(B)中接收的信息來發出(245)準予或者拒絕所述計算機對所述網絡資源的訪問的決策。

2.如權利要求1所述的至少一個有形計算機可讀存儲介質制品(404、405)，其特征在于，(C)包括還至少部分地基于從靜態儲存庫(208)檢索的策略來發出決策。

3.如權利要求2所述的至少一個有形計算機可讀存儲介質制品，其特征在于，還包括定義以下內容的指令：

(D)呈現界面(207)以使用戶能夠創作用于靜態儲存庫中的存儲的策略。

4.如權利要求2所述的至少一個有形計算機可讀存儲介質制品(404、405)，其特征在于，響應于來自網絡資源的對訪問控制策略決策的請求(235)來執行(C)。

5.如權利要求1所述的至少一個有形計算機可讀存儲介質制品(404、405)，其特征在于，(A)包括接收(235)包括與所述計算機有關的信息的聲明，以及(B)包括接收(235)包括與所述網絡資源有關的信息的聲明。

6.一種系統，包括：

至少一個處理器(403)，其被編程為：

(A)從計算機接收(210)對一個或多個請求方聲明的請求，所述請求被包括在被格式化以符合網絡層安全協議的通信中；

(B)從網絡資源接收(225)對一個或多個資源聲明的請求，所述請求被包括在被格式化以符合網絡層安全協議的通信中；

(C)接收(235)對訪問控制策略決策的請求，所述請求被包括在被格式化以符合網絡層安全協議的通信中，并且所述請求提供一個或多個請求方聲明和一個或多個資源聲明中所包括的信息；以及

(D)至少部分地基于在(C)中接收的信息來發出(245)是準予還是拒絕所述計算機對網絡資源的訪問的訪問控制策略決策。

7.如權利要求6所述的系統，其特征在于，還包括多個聲明提供方(203)，所述聲明提供方用于響應于在(A)中接收的請求向所述計算機提供一個或多個請求方聲明，并且響應于在(B)中接收的請求向所述網絡資源提供一個或多個資源聲明。

8.如權利要求7所述的系統，其特征在于，還包括靜態儲存庫(204A)，在所述靜態儲存庫中存儲用于在一個或多個請求方聲明和一個或多個資源聲明中提供的信息。

9.如權利要求7所述的系統，其特征在于，還包括至少一個動態聲明源(204B)，所述動態聲明源可操作地使用在(A)中接收的請求中所包括的信息來生成一個或多個請求方聲明，并且使用在(B)中接收的請求中所包括的信息來生成一個或多個資源聲明。

10.如權利要求6所述的系統，其特征在于，還包括在其中存儲多個策略的靜態儲存庫(208)，并且其中所述至少一個處理器被編程為，在(D)中訪問所述靜態儲存庫以檢索策略，并且還至少部分地基于所述策略發出(245)訪問控制策略決策。