[發明專利]一種公有云與私有云之間的訪問控制系統及方法

有效

• 申請號: 201310013736.8
• 申請日: 2013-01-14
• 公開（公告）號: CN103067406A
• 公開（公告）日: 2013-04-24
• 發明（設計）人: 姚國祥;羅偉其;黃彩婷;官全龍;魏林鋒;朱淑華;詹麗;葉林
• 申請（專利權）人: 暨南大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 廣州市華學知識產權代理有限公司 44245
• 代理人: 陳燕嫻

技術領域

本發明屬于計算機安全訪問領域，特別涉及一種公有云與私有云之間的訪問控制系統及方法。

背景技術

對于現今IT時代來說，云計算代表著未來信息技術領域的核心競爭力，無論是云計算的研究者，還是各種IT企業，甚至是世界各國的政府都對此十分的關注。云計算以其便利、經濟、高可拓展性等優勢吸引了越來越多的企業的目光，將其從IT基礎設施管理與維護的沉重壓力中解放出來，更專注于自身的核心業務發展。現已存在多種云的部署形式，比如公有云、私有云、混合云等。公有云是由公有云服務提供商提供者提供的計算資源，這些計算資源可供所有的網絡用戶使用，是指由若干企業和用戶共享使用的云環境。但出于安全性的考慮，有能力的大企業偏向于搭建自身的私有云，私有云可由企業自身的IT機構，也可由云提供商進行構建，其中的資源僅供企業內部的用戶或者與該企業相關的特定外部用戶使用。在此“托管式專用”模式中，像Sun，IBM這樣的云計算提供商可以安裝、配置和運營基礎設施，以支持一個企業數據中心內的私有云，此模式賦予公司對于云資源使用情況極高水平的控制能力，同時帶來建立并運作該環境所需的專門知識。

雖然私有云比公有云具有更高的安全性和穩定性，但企業仍然是需要使用到公有云上的資源與服務的，比如說郵件服務，因此企業的私有云必定要與公有云進行數據交換，也就是說它們之間需要進行相互的訪問，基于這種潛在的需要，公有云與私有云之間的數據交換安全問題顯得非常重要。而目前針對公有云與私有云之間訪問方式的技術方案仍然非常的少。較多的是用戶與云端的數據訪問方案，其中比較有代表性的就是基于角色的訪問控制。一般IT企業處理數據交換問題都是站在數據格式轉換的角度，出現了較多的云端數據庫與本地數據庫進行數據交換時的數據類型透明轉換。

在公開號為CN102571821A的中國專利申請公開了一種云安全訪問控制模型，該專利結合基于角色的訪問控制模型RBAC（Role-Based?Access?Control，基于角色的訪問控制模型），針對云計算的多租戶架構特點，將租戶和云服務提供商概念引入訪問控制模型中，通過模型元素的定義和模型函數的形式化描述，構成統一的租戶訪問控制模型和用戶訪問控制模型。但是該模型只是針對云內部的訪問控制模型，并沒有涉及到公有云與私有云之間的訪問控制，而且，該模型僅是針對租戶內部用戶訪問云服務提供商提供的客戶關系管理CRM（Customer?Relationship?Management，客戶關系管理）服務而設計的。

發明內容

本發明的一個目的在于克服現有技術的缺點與不足，提供一種公有云與私有云之間的訪問控制系統，該訪問控制系統使得云間的訪問更加安全。

本發明的另一個目的在于利用上述系統實現一種公有云與私有云之間的訪問控制方法。

為了達到上述第一個目的，本發明采用以下技術方案：一種公有云與私有云之間的訪問控制系統，包括私有云端的私有云控制模塊和公有云端的公有云控制模塊，所述私有云控制模塊包括云間數據交換模塊和用戶訪問控制模塊；所述云間數據交換模塊通過網絡分別與所述用戶訪問控制模塊和公有云控制模塊連接；

云間數據交換模塊：用于處理具有訪問權限用戶的訪問請求，根據其權限綁定到相應的權限賬號，再通過該權限賬號使私有云的用戶能夠得到公有云相應的服務和資源；

公有云控制模塊：用于判斷請求訪問的私有云租戶信息，審核所屬私有云租戶的權限賬號信息，獲取公有云中用戶賬號所屬的角色信息，根據角色帶有的權限提供相關資源和服務；

用戶訪問控制模塊：用于處理私有云中用戶對公有云的訪問請求，進行用戶屬性匹配，判定用戶對公有云的訪問權限。

為了達到上述第二個目的，本發明采用以下技術方案：一種公有云與私有云之間的訪問控制方法，包括以下步驟：

（1）私有云向公有云申請租戶，登記租戶信息，根據私有云中的權限賬號在公有云中創建與私有云中權限賬號具有相同賬號名和密碼的用戶賬號，然后根據與用戶賬號具有相同賬號名和密碼的權限賬號所具備的權限，對各個用戶賬號賦予相應的角色；所述用戶賬號為從屬于該私有云租戶下的用戶賬號；

（2）私有云中的用戶向私有云提出訪問請求，若私有云中的資源或服務不能滿足用戶的需求，則首先由用戶訪問控制模塊對該用戶的信息進行審核，判斷該用戶是否為私有云的合法用戶；

若是，則執行步驟（3）；

若否，則拒絕訪問；

（3）若用戶訪問控制模塊檢測到用戶為合法用戶，則將該用戶的屬性與用戶訪問控制策略進行匹配，

若匹配不成功，則拒絕用戶的訪問；