[發明專利]實現云計算環境中數據的粒度自主訪問控制的方法和系統

有效

• 申請號: 201110360021.0
• 申請日: 2011-11-15
• 公開（公告）號: CN102567454A
• 公開（公告）日: 2012-07-11
• 發明（設計）人: S·P·克魯格;O·S·派克祖爾
• 申請（專利權）人: 國際商業機器公司
• 主分類號: G06F17/30
• 分類號: G06F17/30
• 代理公司: 中國國際貿易促進委員會專利商標事務所 11038
• 代理人: 杜娟

1.一種計算環境中的方法，包括：

由在云計算環境中操作的訪問管理器服務獲得數據請求和對于數據請求的響應消息，其中，所述響應消息是由云計算環境的數據存儲服務響應于數據請求而產生的，其中，所述響應消息指示對于由數據存儲服務存儲的數據人工制品的訪問的允許和拒絕中的至少一個；

識別適用于數據請求的至少一個所有者規定的訪問規則和至少一個所有者規定的訪問例外中的至少一個的存在；

基于識別的至少一個所有者規定的訪問規則和至少一個所有者規定的訪問例外確定對于數據請求的訪問響應，其中，所述訪問響應指示對于在數據請求中請求的數據人工制品的訪問的允許和拒絕中的至少一個，其中所有者規定的訪問規則定義限制訪問數據人工制品的至少一個參數，并且其中所有者規定的訪問例外定義允許訪問數據人工制品的條件，其中訪問被數據存儲服務和至少一個所有者規定的訪問規則中的至少一個拒絕；

比較確定的訪問響應與響應消息；

如果確定的訪問響應不匹配響應消息，則否決響應消息以表達確定的訪問響應；和

如果確定的訪問響應匹配響應消息，則將響應消息傳輸到數據請求的發起實體。

2.根據權利要求1的方法，其中，獲得數據請求和響應消息還包含：

檢測數據存儲服務對數據請求的接收；和

從數據存儲服務請求所述數據請求的副本。

3.根據權利要求1的方法，其中，獲得數據請求和響應消息還包含：

檢測數據存儲服務對響應消息的傳送；和

截斷響應消息的傳送。

4.根據權利要求1的方法，其中，如果所述識別的結果是存在所有者規定的訪問例外，則所述方法還包括：

請求來自數據請求的發起實體的認證數據；

在接收到認證數據時，證實所述認證數據；和

如果認證數據被確定為有效，則立即否決響應消息以表達所有者規定的訪問例外。

5.根據權利要求4的方法，還包括：

評估所有者規定的訪問例外是否要保持激活以供訪問管理器服務使用；和

如果所有者規定的訪問例外被評估為不保持激活，則自動去激活所有者規定的訪問例外，其中，所述所有者規定的訪問例外不可用于訪問管理器服務。

6.根據權利要求4的方法，還包括：

如果認證數據被確定為無效，則將無效認證數據通知給數據請求的發起實體；和

重復請求和證實來自發起實體的認證數據，其中，對于數據人工制品的訪問被拒絕，直到有效認證數據的接收、由數據存儲服務創建的與數據請求相關聯的會話的終止、和預定的時間限制的期滿中的至少一個。

7.根據權利要求1的方法，其中，訪問響應的確定還包含：

聚合所述至少一個識別的所有者規定的訪問規則；

識別所有者規定的訪問規則的聚合內沖突的存在，其中，如果至少兩個所有者規定的訪問規則的參數值相互排斥，則所述至少兩個所有者規定的訪問規則被視為沖突，

如果沖突存在，通過使用與識別為沖突的每個所有者規定的訪問規則相關聯的優先權值來解決所述沖突，其中，具有最高優先權值的所有者規定的訪問規則優先于具有較低優先權值的所有者規定的訪問規則被使用，其中從所有者規定的訪問規則的聚合去除具有較低優先權值的所有者規定的訪問規則；

比較與由所有者規定的訪問規則的聚合表達的參數值對應的來自數據請求的數據值；

如果所述比較表示數據值滿足參數值，則將訪問響應設為拒絕對于數據人工制品的訪問；和

如果所述比較表示參數不被數據值滿足，則將訪問響應設為允許對于數據人工制品的訪問。

8.根據權利要求1的方法，其中，響應消息的否決還包含：

實施對于由數據存儲服務為數據請求創建的會話的至少一個參數的修改，其中，所述至少一個參數控制對會話準予的訪問；

修改響應消息以反映確定的訪問響應；和

將響應消息傳輸到數據請求的發起實體。