[發(fā)明專利]基于LDAP的多租戶云中身份管理系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201380055658.6
• 申請(qǐng)日: 2013-09-06
• 公開(kāi)（公告）號(hào): CN104769908B
• 公開(kāi)（公告）日: 2017-11-17
• 發(fā)明（設(shè)計(jì)）人: U·絲瑞尼瓦薩;V·阿索庫(kù)瑪
• 申請(qǐng)（專利權(quán)）人: 甲骨文國(guó)際公司
• 主分類(lèi)號(hào): H04L29/06
• 分類(lèi)號(hào): H04L29/06;H04L29/12
• 代理公司: 中國(guó)國(guó)際貿(mào)易促進(jìn)委員會(huì)專利商標(biāo)事務(wù)所11038
• 代理人: 鮑進(jìn)

1.一種計(jì)算機(jī)實(shí)現(xiàn)的方法，包括：

在具有根節(jié)點(diǎn)的LDAP目錄中，在從根節(jié)點(diǎn)下行的第一目錄子樹(shù)中存儲(chǔ)與第一身份域關(guān)聯(lián)但不與第二身份域關(guān)聯(lián)的實(shí)體的身份；

在該LDAP目錄中，在也從根節(jié)點(diǎn)下行但是與第一目錄子樹(shù)分離的第二目錄子樹(shù)中存儲(chǔ)與第二身份域關(guān)聯(lián)但不與第一身份域關(guān)聯(lián)的實(shí)體的身份；

響應(yīng)于將第一服務(wù)實(shí)例部署到第一身份域但未部署到第二身份域，生成第一憑證，該第一憑證當(dāng)被維護(hù)LDAP目錄的LDAP服務(wù)器檢查時(shí)，使LDAP服務(wù)器允許第一服務(wù)實(shí)例訪問(wèn)存儲(chǔ)在第一目錄子樹(shù)中的身份但不能訪問(wèn)存儲(chǔ)在第二目錄子樹(shù)中的身份；

向第一服務(wù)實(shí)例提供第一憑證；

響應(yīng)于將第二服務(wù)實(shí)例部署到第二身份域但未部署到第一身份域，生成第二憑證，該第二憑證當(dāng)被LDAP服務(wù)器檢查時(shí)，使LDAP服務(wù)器允許第二服務(wù)實(shí)例訪問(wèn)存儲(chǔ)在第二目錄子樹(shù)中的身份但不能訪問(wèn)存儲(chǔ)在第一目錄子樹(shù)中的身份；及

向第二服務(wù)實(shí)例提供第二憑證。

2.如權(quán)利要求1所述的計(jì)算機(jī)實(shí)現(xiàn)的方法，還包括：

在第一目錄子樹(shù)中存儲(chǔ)與第一身份域關(guān)聯(lián)但不與第二身份域關(guān)聯(lián)的用戶實(shí)體的身份；

在第一目錄子樹(shù)中存儲(chǔ)與第一身份域關(guān)聯(lián)但不與第二身份域關(guān)聯(lián)的服務(wù)實(shí)例實(shí)體的身份；

阻止用戶實(shí)體直接與維護(hù)LDAP目錄的LDAP服務(wù)器交互；及

允許服務(wù)實(shí)例實(shí)體代表用戶實(shí)體直接與LDAP服務(wù)器交互。

3.如權(quán)利要求1所述的計(jì)算機(jī)實(shí)現(xiàn)的方法，還包括：

在LDAP目錄中存儲(chǔ)訪問(wèn)控制策略，該訪問(wèn)控制策略從多個(gè)身份域中指定各種身份域；及

至少部分地基于訪問(wèn)控制策略控制對(duì)LDAP目錄中與身份域關(guān)聯(lián)的子樹(shù)的訪問(wèn)。

4.如權(quán)利要求3所述的計(jì)算機(jī)實(shí)現(xiàn)的方法，還包括：

在LDAP目錄中存儲(chǔ)第一訪問(wèn)控制策略，該第一訪問(wèn)控制策略指定應(yīng)用于第一目錄子樹(shù)但不應(yīng)用于第二目錄子樹(shù)的訪問(wèn)限制；及

在LDAP目錄中存儲(chǔ)第二訪問(wèn)控制策略，該第二訪問(wèn)控制策略指定應(yīng)用于第二目錄子樹(shù)但不應(yīng)用于第一目錄子樹(shù)的訪問(wèn)限制。

5.如權(quán)利要求1所述的計(jì)算機(jī)實(shí)現(xiàn)的方法，還包括：

通過(guò)把第一身份域的標(biāo)識(shí)符附連到第一用戶的登錄名，為第一用戶生成全局唯一標(biāo)識(shí)符；

在第一目錄子樹(shù)中存儲(chǔ)第一用戶的全局唯一標(biāo)識(shí)符；

通過(guò)把第二身份域的標(biāo)識(shí)符附連到第二用戶的登錄名，為第二用戶生成全局唯一標(biāo)識(shí)符；及

在第二目錄子樹(shù)中存儲(chǔ)第二用戶的全局唯一標(biāo)識(shí)符。

6.如權(quán)利要求5所述的計(jì)算機(jī)實(shí)現(xiàn)的方法，還包括：

與第一統(tǒng)一資源定位符(URL)相關(guān)聯(lián)地存儲(chǔ)指定第一身份域的標(biāo)識(shí)符的第一登錄網(wǎng)頁(yè)；

與和第一URL不同的第二URL相關(guān)聯(lián)地存儲(chǔ)指定第二身份域的標(biāo)識(shí)符的第二登錄網(wǎng)頁(yè)；

通過(guò)特定登錄網(wǎng)頁(yè)從特定用戶接收該特定用戶的登錄名，其中特定登錄網(wǎng)頁(yè)是第一登錄網(wǎng)頁(yè)或第二登錄網(wǎng)頁(yè)；

基于(a)特定用戶的登錄名和(b)由特定登錄網(wǎng)頁(yè)指定的特定身份域標(biāo)識(shí)符二者為該特定用戶重構(gòu)全局唯一標(biāo)識(shí)符；及

基于該特定用戶的全局唯一標(biāo)識(shí)符認(rèn)證該特定用戶。

7.如權(quán)利要求1所述的計(jì)算機(jī)實(shí)現(xiàn)的方法，還包括：

響應(yīng)于將特定服務(wù)實(shí)例部署到第一身份域，自動(dòng)生成既指定特定服務(wù)實(shí)例的名字又指定隨機(jī)生成的口令的綁定憑證；及

響應(yīng)于將特定服務(wù)實(shí)例部署到第一身份域，向LDAP目錄自動(dòng)添加新訪問(wèn)控制策略，該新訪問(wèn)控制策略指定具有特定服務(wù)實(shí)例的名字的實(shí)體只能訪問(wèn)與該特定服務(wù)實(shí)例被部署到的身份域有關(guān)的信息。