[發明專利]一種云安全訪問控制模型

無效

• 申請號: 201210040435.X
• 申請日: 2012-02-22
• 公開（公告）號: CN102571821A
• 公開（公告）日: 2012-07-11
• 發明（設計）人: 李清玉
• 申請（專利權）人: 浪潮電子信息產業股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08;H04L12/24
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種云安全訪問控制模型，其特征在于：結合基于角色的訪問控制模型RBAC，針對云計算的多租戶架構特點，將租戶和云服務提供商概念引入訪問控制模型中，通過模型元素的定義和模型函數的形式化描述，構成統一的租戶訪問控制模型和云安全用戶訪問控制模型，其中：

所述的云安全訪問控制模型包括兩部分：

????(1)?租戶訪問控制：云服務提供商CSP對使用云服務的企業或機構租戶進行訪問控制，管理和控制租戶所要求的服務功能，審核并簽發租戶的云服務許可證、制定租戶管理策略、并通過服務計費向租戶收取相應的服務費用；

????(2)?用戶訪問控制：企業租戶管理人員對使用云服務的企業內用戶進行訪問控制，管理和控制租戶用戶所要求的服務功能，制定業務角色、分派權限并管理用戶、用戶角色分配、角色權限分配；

所述的云安全用戶訪問控制模型定義如下模型元素：

????(1)?云服務提供商CSP：云服務提供商CSP負責云服務的日常維護和管理，包括審核并簽發租戶的云服務許可證，管理租戶狀態、租戶日志、租戶費用、租戶權限等，記作CSPs={csp₁，csp₂，...，csp_n}，云服務提供商CSP不能對租戶的具體業務進行管理，如果租戶數量過大，還要對云服務提供商CSP的云服務管理人員劃分角色，或按地域劃分，或根據業務進行劃分；

????(2)?租戶：云服務的使用企業，各租戶用戶只能在租戶許可的范圍內使用云服務，記作Tenants={t₁，t₂，...，t_n}，表示所有租戶的集合，在云平臺中，各租戶之間信息是獨立的，租戶信息包括租戶名稱、地址及租戶企業的相關信息，主要用來區別各租戶，并由云服務提供商CSP對租戶帳號狀態進行管理，各租戶根據需要自行選擇云平臺服務功能并以此付費；

????(3)?用戶：獨立訪問云平臺所提供服務的主體，記作Users={u₁，u₂，...，u_n}，表示所有用戶的集合，用戶根據租戶管理員分配的權限以及自己的角色訪問云服務，進行相關的業務處理，各租戶用戶只能訪問該租戶選擇的云平臺的服務功能；

????(4)?角色：指一個組織或任務中的工作或崗位，記作Roles={r₁，r₂，...，r_n}，表示所有角色的集合，用戶擁有自己所屬角色的權限的并集，在云安全訪問控制模型中，角色包括平臺管理類角色和租戶自定義角色，根據業務功能，由租戶管理員進行租戶自定義角色的劃分，并對相應的角色進行權限分配；

????(5)?服務：云服務提供商CSP所提供的服務，記作Services={s₁，s₂，...，s_n}，表示所有服務的集合；

????(6)?操作：對服務所能執行的操作，包括：虛擬機啟動、遷移、終止、刪除，具體的業務操作，業務操作包括：查看、增加、打印業務數據、統計報表，記作Operations={Op₁，Op₂，...，Op_n}，表示所有操作的集合；

(7)?訪問權限：表示允許對服務進行的各項操作，記作Auths={a₁，a₂，...，a_n}，表示所有訪問權限的集合；

具體實施步驟如下：

????(1)?租戶訪問控制建模

????云服務提供商Cloud對外提供客戶關系管理CRM服務，根據其業務需求，根據業務功能，定義云服務管理人員的角色，包括職能、崗位、權限，并根據其安全要求，給每個云服務管理人員分派對應的角色，負責對一定數量的租戶進行管理和維護，從而完成與服務提供商Cloud內部訪問控制建模；

????(2)?注冊

????企業租戶計劃使用云服務提供商Cloud所提供的客戶關系管理CRM服務；首先企業租戶通過注冊流程，向云服務提供商Cloud提出申請，登記租戶信息，包括企業名稱、地址、聯系電話、所在省市的企業基本信息；接著提供租戶管理員信息，選擇客戶關系管理CRM服務的具體服務功能模塊，包括：客戶管理、聯系人管理、時間管理、潛在客戶管理、銷售管理、電話銷售、營銷管理、電話營銷、客戶服務、呼叫中心、合作伙伴關系管理、商業智能、知識管理、電子商務；

????(3)?審核簽發

????在租戶訪問控制模型控制下，云服務提供商Cloud的云服務管理人員審核企業租戶的信息，通過后簽發租戶的云服務許可證，指定租戶所申請的客戶關系管理CRM服務的服務功能模塊，并授予租戶管理員相應的權限；

????(4)?用戶訪問控制建模

????租戶通過創建的租戶管理員登錄客戶關系管理CRM服務，根據企業的業務需求，定義客戶關系管理CRM服務的角色，包括：系統管理、安全管理、一般操作、網絡管理、安全審計等，同時定義有關的權限和操作包括：增加客戶、刪除客戶、瀏覽客戶信息、查詢，指派用戶角色、角色權限，完成用戶訪問控制建模；

????(5)?訪問控制

????當租戶內部用戶訪問云服務提供商Cloud所提供的客戶關系管理CRM服務時，登錄服務界面，輸入用戶帳號和密碼，如果用戶通過云平臺身份驗證，則用戶訪問控制模型首先獲取該用戶所屬租戶信息，然后獲取該用戶所屬角色信息，最后通過該用戶角色獲取其對應的權限，這時，用戶就可以正常使用客戶關系管理CRM服務功能。

2.根據權利要求1所述的一種云安全訪問控制模型，其特征在于：所述的云安全訪問控制模型定義如下模型函數，表示模型元素之間的關系：

????(1)?租戶用戶創建：租戶集Tenants和用戶集Users之間的一個二元關系，TU?∈?Tenants?*?Users，租戶和用戶之間是一對多關系，一個租戶可以有多個用戶，一個用戶只能屬于某一個租戶，用戶只能訪問所屬租戶下的相應權限，不能超越跨租戶訪問云服務；

????(2)?租戶角色創建：租戶集Tenants?和角色集Roles?之間的一個二元關系，TR?∈?Tenants?*?Roles，在此云安全訪問控制模型中，為保證各租戶自定義的角色不發生沖突，租戶和角色之間是一對多關系，即一個租戶可以設置多個角色，一個角色只能屬于一個租戶，在云平臺中，允許每個租戶自己定義角色以方便權限管理，為避免各租戶角色定義混亂，租戶角色只在所屬租戶范圍內有效；

????(3)?用戶角色分配：角色集Roles?和用戶集Users?之間的二元關系，UR?∈?Users?*?Roles，在云平臺中，用戶和角色之間是多對多關系，用戶只能擁有所屬租戶的權限，該租戶的權限也只能分配給此租戶所有的用戶；

????(4)?角色權限配置：角色集Roles?和訪問權限集Auths?之間的二元關系，RA?∈?Roles?*?Auths?∈?TA，角色和權限之間是多對多關系，一個角色可以有多種權限，每種權限可以屬于多個角色，在云平臺中角色只能擁有所屬租戶權限內的相關權限；

????(5)?服務權限配置：服務集合Services和權限集合Auths之間的二元關系，SA?∈?Services?*?Auths，在云平臺中，服務和權限之間是多對一的關系，一個服務只能有一種權限，而每種權限可以分配給多個服務；

????(6)?操作權限配置：操作集合Operations和權限集合Auths之間的二元關系，OA?∈?Operations?*?Auths，在云平臺中，操作和權限之間是多對一的關系，一個操作只能有一種權限，而每種權限可以分配給多個操作；

????(7)?云服務提供商角色創建：云服務提供商集CSP和角色集Roles?之間的一個二元關系，CSP-R?∈?CSP?*?Roles，定義云服務提供商CSP的云服務管理人員與角色之間的關系，在此云安全訪問控制模型中，只考慮某個具體云服務提供商CSP，則CSP-R是一個多對多的關系；

????(8)?租戶權限指派：租戶集Tenants?和權限集Auths?之間的一個二元關系，TA?∈?Tenants?*?Auths，租戶和權限之間是多對多關系，即一個租戶可以擁有多個權限，一個權限也可以分配給多個租戶，在云平臺中，租戶可以根據自己的業務選擇權限并依此付費；

????(9)?返回指定角色的用戶集：return_users(r：Roles)?=?{u?∈?Users?|?(u，r)?∈?UR}；

????(10)?返回指定角色的權限集：return_auths(r：Roles)?=?{a?∈?Auths?|?(r，a)?∈?RA}。