[發(fā)明專利]授權(quán)應(yīng)用對安全資源的訪問

有效

• 申請?zhí)枺?/td>: 201210507142.8
• 申請日: 2012-11-30
• 公開（公告）號: CN102938043A
• 公開（公告）日: 2013-02-20
• 發(fā)明（設(shè)計(jì)）人: R·M·霍華德;T·C·米龍;W·D·泰勒;朱韶峰;E·艾登;V·維拉拉哈萬
• 申請（專利權(quán)）人: 微軟公司
• 主分類號: G06F21/62
• 分類號: G06F21/62
• 代理公司: 上海專利商標(biāo)事務(wù)所有限公司 31100
• 代理人: 羅婷婷

技術(shù)領(lǐng)域

本發(fā)明涉及如何授權(quán)對安全資源的訪問的技術(shù)。

背景技術(shù)

許多萬維網(wǎng)（“Web”）應(yīng)用允許安裝并使用擴(kuò)展web應(yīng)用的能力的自定義第三方應(yīng)用。這些第三方應(yīng)用從許可角度來說一般作為web應(yīng)用的當(dāng)前用戶來執(zhí)行。結(jié)果，這樣的第三方應(yīng)用一般可以執(zhí)行當(dāng)前用戶能夠執(zhí)行的任何動(dòng)作，這些動(dòng)作通常在與web應(yīng)用結(jié)合在一起執(zhí)行的應(yīng)用的某一受限邊界集內(nèi)。這要求安裝該第三方應(yīng)用的系統(tǒng)管理員給予該應(yīng)用顯著的信任，因?yàn)樵搼?yīng)用可以讀取、修改或刪除Web應(yīng)用中該應(yīng)用的任何用戶都具有訪問權(quán)的任何信息。

以上描述的問題的一個(gè)解決方案是將第三方應(yīng)用的訪問權(quán)限制于web應(yīng)用所提供的僅某一功能。例如，可通過限制向第三方應(yīng)用展示的應(yīng)用編程接口（API）來僅給予該應(yīng)用對web應(yīng)用的某些能力的訪問權(quán)。對以上描述的問題的另一方案是限制安全該應(yīng)用的系統(tǒng)管理員所作出的信任決定的范圍。例如，可以使web應(yīng)用內(nèi)的各環(huán)境彼此境隔離，使得各第三方應(yīng)用可被安裝在分開的環(huán)境中，而沒有破壞其他環(huán)境的風(fēng)險(xiǎn)。例如，可利用該解決方案來限制應(yīng)用對展示了敏感數(shù)據(jù)的環(huán)境的訪問。然而，在給定利用第三方應(yīng)用的最普通理由之一是跨不同的環(huán)境聚集數(shù)據(jù)的事實(shí)的情況下，該解決方案嚴(yán)重地受限。結(jié)果，跨web應(yīng)用部署應(yīng)用于所有公司的環(huán)境的應(yīng)用在這種場景下難以或無法安裝。

如上所述，第三方應(yīng)用從許可角度來說一般作為web應(yīng)用的當(dāng)前用戶來執(zhí)行。這意味著這些應(yīng)用僅可執(zhí)行它們的用戶具有執(zhí)行許可的那些動(dòng)作。然而，在許多情況下，需要允許用戶或用戶組通過使用應(yīng)用來執(zhí)行他們的許可不準(zhǔn)許他們直接執(zhí)行的動(dòng)作。例如，費(fèi)用報(bào)告應(yīng)用可能在符合某些條件（例如，較小的值）時(shí)批準(zhǔn)費(fèi)用報(bào)表，但用戶不應(yīng)具有直接批準(zhǔn)費(fèi)用報(bào)表而無需通過該應(yīng)用來執(zhí)行該操作的許可。當(dāng)該應(yīng)用作為當(dāng)前用戶來執(zhí)行時(shí)，這種類型的操作并不可能。一些系統(tǒng)通過允許應(yīng)用提高給系統(tǒng)賬戶的許可來闡明這種限制，該系統(tǒng)賬戶在系統(tǒng)內(nèi)不具有許可限制。然而，這種解決方案使得系統(tǒng)管理員甚至更不愿意將程序安裝在展示了敏感信息的環(huán)境中。

本文中所做出的公開正是針對這些以及其他考慮事項(xiàng)而呈現(xiàn)的。

發(fā)明內(nèi)容

在此描述了用于授權(quán)應(yīng)用對安全資源的訪問權(quán)的概念和技術(shù)。在此處公開的技術(shù)的整個(gè)實(shí)現(xiàn)中，安全資源的所有者可向應(yīng)用授予利用安全資源的特權(quán)。利用所授予的特權(quán)，應(yīng)用可以在運(yùn)行時(shí)以與安全資料的所有者相同的程度直接（即，沒有用戶）利用該資料。然而，如果用戶利用應(yīng)用來訪問安全資料，則將對該資源的使用限制于用戶的特權(quán)的程度。通過這種方式，可以在應(yīng)用直接訪問安全資源時(shí)，將該應(yīng)用的特權(quán)提高到安全資源的所用者的級別。但是，在用戶利用該應(yīng)用來訪問資源時(shí)，對安全資源的訪問被限制為用戶許可的程度。

根據(jù)在此呈現(xiàn)的一個(gè)方面，諸如文檔儲(chǔ)存庫應(yīng)用之類的web應(yīng)用被配置成允許使用自定義第三方應(yīng)用，該第三方應(yīng)用擴(kuò)展web應(yīng)用的能力。為了獲得用于訪問和利用web應(yīng)用所管理的安全資源（諸如，內(nèi)容數(shù)據(jù)庫中的項(xiàng)目）的許可，應(yīng)用首先向作為web應(yīng)用的一部分來執(zhí)行的資源服務(wù)器提交許可請求。該許可請求標(biāo)識該應(yīng)用所請求的范圍和權(quán)限。許可請求還可請求授予應(yīng)用以不代表用戶的直接調(diào)用方式來利用一個(gè)或多個(gè)安全資源的許可。可經(jīng)由超文本傳輸協(xié)議（HTTP）請求、應(yīng)用清單、web應(yīng)用所提供的用戶界面（UI）的方式通過web應(yīng)用所提供的API或以另一方式來提交許可請求。

響應(yīng)于接收到許可請求，資源服務(wù)器被配置成標(biāo)識與針對其請求了許可的安全資源相關(guān)聯(lián)的一個(gè)或多個(gè)許可提供者。資源服務(wù)器隨后從所標(biāo)識的每一許可提供者處請求描述了所請求的對相關(guān)聯(lián)的安全資源的許可的數(shù)據(jù)。隨后將該數(shù)據(jù)聚集在向web應(yīng)用的當(dāng)前用戶顯示的UI中。UI要求用戶向該應(yīng)用授予或拒絕所請求的許可。如果用戶授予該應(yīng)用所請求的許可，則存儲(chǔ)指示應(yīng)用具有所請求的許可的數(shù)據(jù)。在運(yùn)行時(shí)，該數(shù)據(jù)被利用來處理該應(yīng)用對由web應(yīng)用來管理安全資源的運(yùn)行時(shí)請求。

當(dāng)對安全資源執(zhí)行動(dòng)作的運(yùn)行時(shí)請求被資源服務(wù)器接收到時(shí)，該資源服務(wù)器確定該請求是已由用戶作出的、僅由應(yīng)用作出的、還是由應(yīng)用代表用戶作出的。如果該請求僅由應(yīng)用作出，則資源服務(wù)器僅在以前述方式授予了該應(yīng)用以不代表用戶的直接調(diào)用方式訪問安全資源的許可的情況下才準(zhǔn)許該請求。如果該請求是由應(yīng)用代表用戶作出的，則資源服務(wù)器僅在用戶和應(yīng)用都具有執(zhí)行所請求的動(dòng)作的許可的情況下準(zhǔn)許該請求。資源服務(wù)器還存儲(chǔ)將該動(dòng)作在安全資源上的執(zhí)行歸結(jié)于用戶、應(yīng)用或用戶和應(yīng)用兩者的歷史數(shù)據(jù)。