[發明專利]網絡訪問控制系統中XACML框架擴展系統及方法

有效

• 申請號: 201410166273.3
• 申請日: 2014-04-23
• 公開（公告）號: CN103905468B
• 公開（公告）日: 2017-03-01
• 發明（設計）人: 馬文平;陸亞紅
• 申請（專利權）人: 西安電子科技大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 陜西電子工業專利中心61205
• 代理人: 田文英,王品華

1.一種網絡訪問控制系統中XACML框架擴展系統，包括本體構建模塊(1)、規則制定模塊(2)、規則推理模塊(3)、一致性檢測模塊(4)和策略規則生成模塊(5)；其中，

所述的本體構建模塊(1)用于利用網絡本體語言OWL，完成網絡訪問控制系統中的主體、客體、操作權限，以及主體和客體實例的屬性的本體構建；

所述的規則制定模塊(2)用于利用語義網規則語言SWRL，根據網絡訪問控制系統中主體對客體的訪問控制要求、主體的上下級關系、客體的上下層關系和訪問控制結果沖突消解算法類型，制定訪問控制規則、主體權限繼承規則、主體權限蘊含規則和沖突消解規則；

所述的規則推理模塊(3)用于對本體構建模塊(1)構建的本體和規則制定模塊(2)制定的規則進行規則推理，生成規則制定模塊(2)中的規則所對應的訪問控制結果；

所述的一致性檢測模塊(4)用于檢測規則推理模塊(3)生成的訪問控制結果之間是否存在沖突和沖突是否消解；

所述的策略規則生成模塊(5)用于將規則推理模塊(3)中不存在沖突的訪問控制結果，以及本體構建模塊(1)中對應此訪問控制結果的主體和客體的本體，轉換為可擴展訪問控制標記語言XACML格式的訪問控制策略規則，為可擴展訪問控制標記語言XACML框架中的策略決策點PDP提供用于決策的策略規則。

2.一種網絡訪問控制系統中XACML框架擴展方法，利用權利要求1所述的系統，擴展可擴展訪問控制標記語言XACML框架中的策略管理點PAP，以確保網絡訪問控制系統中授權用戶的正確訪問，同時拒絕非授權用戶的訪問，該方法包括如下步驟：

(1)構建本體：

(1a)本體構建模塊(1)將網絡訪問控制中發起請求的主體集合和請求操作的客體集合，利用網絡本體語言OWL，分別定義為主體類和客體類；

(1b)將發起請求的主體定義為主體類的實例，將操作的客體定義為客體類的實例；

(1c)將主體實例與不同類型數值的關系，用網絡本體語言OWL的數據屬性表示；

(1d)將主體實例對客體實例的操作權限，用網絡本體語言OWL的對象屬性表示；

(2)制定規則：

(2a)規則制定模塊(2)將主體實例本體和客體實例本體的連接，作為語義網規則語言SWRL訪問控制規則的前提，將該主體對該客體擁有的操作權限，作為語義網規則語言SWRL訪問控制規則的結論；

(2b)將下級主體的正向操作權限和上下級主體實例本體的連接，作為語義網規則語言SWRL權限繼承規則的前提，將上級主體繼承自下級主體對該客體的正向操作權限，作為語義網規則語言SWRL權限繼承規則的結論；

(2c)將主體對上層客體的負向操作權限和上下層客體實例本體的連接，作為語義網規則語言SWRL權限蘊含規則的前提，將該主體對該下層客體的負向操作權限，作為語義網規則語言SWRL權限蘊含規則的結論；

(3)生成訪問控制結果：

規則推理模塊(3)中的規則推理機，生成訪問控制規則對應的訪問控制結果，并生成隱含的本體知識和訪問控制結果；

(4)檢測是否存在沖突：

一致性檢測模塊(4)中的一致性檢測推理機，檢測生成的訪問控制結果之間是否存在沖突，若存在，則執行步驟(5)；否則，執行步驟(7)；

(5)消解沖突：

(5a)根據訪問控制結果之間的沖突類型和訪問控制系統中的訪問控制要求，選擇訪問控制結果沖突消解算法類型；

(5b)規則制定模塊(2)根據訪問控制結果沖突消解算法類型，將沖突的兩個訪問控制結果的連接作為語義網規則語言SWRL沖突消解規則的前提，將沖突消解后的訪問控制結果作為語義網規則語言SWRL沖突消解規則的結論；

(5c)將沖突消解規則輸入到規則推理模塊(3)，根據沖突消解規則，利用規則推理機，生成沖突消解規則對應的訪問控制結果；

(6)檢測沖突是否消解：

一致性檢測模塊(4)中的一致性檢測推理機，檢測經過步驟(5)后，訪問控制結果之間的沖突是否消解，若是，則執行步驟(7)；否則，執行步驟(5)；

(7)生成可擴展訪問控制標記語言策略規則：

策略規則生成模塊(5)中的可擴展標記語言XML文本轉換器，將生成的不存在沖突的訪問控制結果，以及構建的本體中對應此訪問控制結果的主體和客體的本體，轉換成可擴展訪問控制標記語言XACML格式的訪問控制策略規則，為可擴展訪問控制標記語言XACML框架中的策略決策點PDP提供用于決策的策略規則。