[發明專利]一種公有云與私有云之間的訪問控制系統及方法

有效

• 申請號: 201310013736.8
• 申請日: 2013-01-14
• 公開（公告）號: CN103067406A
• 公開（公告）日: 2013-04-24
• 發明（設計）人: 姚國祥;羅偉其;黃彩婷;官全龍;魏林鋒;朱淑華;詹麗;葉林
• 申請（專利權）人: 暨南大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 廣州市華學知識產權代理有限公司 44245
• 代理人: 陳燕嫻

1.一種公有云與私有云之間的訪問控制系統，其特征在于，包括私有云端的私有云控制模塊和公有云端的公有云控制模塊，所述私有云控制模塊包括云間數據交換模塊和用戶訪問控制模塊；所述云間數據交換模塊通過網絡分別與所述用戶訪問控制模塊和公有云控制模塊連接；

云間數據交換模塊：用于處理具有訪問權限用戶的訪問請求，根據其權限綁定到相應的權限賬號，再通過該權限賬號使私有云的用戶能夠得到公有云相應的服務和資源；

公有云控制模塊：用于判斷請求訪問的私有云租戶信息，審核所屬私有云租戶的權限賬號信息，獲取公有云中用戶賬號所屬的角色信息，根據角色帶有的權限提供相關資源和服務；

用戶訪問控制模塊：用于處理私有云中用戶對公有云的訪問請求，進行用戶屬性匹配，判定用戶對公有云的訪問權限。

2.一種基于權利要求1所述訪問控制系統的公有云與私有云之間的訪問控制方法，其特征在于，包括以下步驟：

（1）私有云向公有云申請租戶，登記租戶信息，根據私有云中的權限賬號在公有云中創建與私有云中權限賬號具有相同賬號名和密碼的用戶賬號，然后根據與用戶賬號具有相同賬號名和密碼的權限賬號所具備的權限，對各個用戶賬號賦予相應的角色；所述用戶賬號為從屬于該私有云租戶下的用戶賬號；

（2）私有云中的用戶向私有云提出訪問請求，若私有云中的資源或服務不能滿足用戶的需求，則首先由用戶訪問控制模塊對該用戶的信息進行審核，判斷該用戶是否為私有云的合法用戶；

若是，則執行步驟（3）；

若否，則拒絕訪問；

（3）若用戶訪問控制模塊檢測到用戶為合法用戶，則將該用戶的屬性與用戶訪問控制策略進行匹配，

若匹配不成功，則拒絕用戶的訪問；

若匹配成功，即該用戶具有訪問公有云的權限，由用戶訪問控制模塊將用戶信息和用戶的訪問權限提交到云間數據交換模塊，同時記錄提交日志；

（4）云間數據交換模塊將接收到的用戶信息進行暫存，并對用戶的訪問權限進行判斷，然后選擇相應的權限賬號與用戶信息進行綁定，使用綁定后的權限賬號訪問公有云；

（5）公有云控制模塊接收到來自私有云權限賬號的訪問請求后，先核實該私有云的租戶信息，確定其是否為合法租戶，

若該租戶為不合法的，則拒絕訪問，并將拒絕訪問提示發送給云間數據交換模塊；

若該租戶為合法的，確定該租戶為合法租戶后，執行步驟（6）；

（6）公有云控制模塊審核請求訪問的權限賬號的賬號信息是否屬于該租戶，

若否，則拒絕訪問請求，并將拒絕訪問提示發送給云間數據交換模塊；

若是，則請求訪問的權限賬號信息審核通過，云間數據交換模塊向用戶信息綁定在該權限賬號的用戶返回訪問請求成功的信息；公有云控制模塊獲取與該權限賬號具有相同賬號名和密碼的用戶賬號所屬的角色信息，根據該用戶賬號所屬角色帶有的訪問權限，提供資源和服務。

3.根據權利要求2所述的公有云與私有云之間的訪問控制方法，其特征在于，所述私有云的用戶對公有云具有資源讀取、增加、修改、刪除以及運行的權限。

4.根據權利要求2所述的公有云與私有云之間的訪問控制方法，其特征在于，所述步驟（1）中的租戶信息為企業基本信息，包括企業的名稱、地址和聯系方式。

5.根據權利要求2所述的公有云與私有云之間的訪問控制方法，其特征在于，所述步驟（1）中由租戶管理員在公有云中創建用戶賬號。

6.根據權利要求2所述的公有云與私有云之間的訪問控制方法，其特征在于，所述步驟（1）中由公有云服務提供商保存租戶信息和公有云上用戶賬號信息。

7.根據權利要求6所述的公有云與私有云之間的訪問控制方法，其特征在于，所述用戶賬號信息包括賬號名、密碼、從屬私有云租戶及角色信息。

8.根據權利要求2所述的公有云與私有云之間的訪問控制方法，其特征在于，所述步驟（1）中每一種角色對應一組相應的權限。

9.根據權利要求2所述的公有云與私有云之間的訪問控制方法，其特征在于，所述權限賬號的賬號信息包括賬號名、密碼、所屬私有云租戶及權限信息。