[發明專利]一種云計算訪問控制系統及方法

在審

• 申請號: 201410570687.2
• 申請日: 2014-10-23
• 公開（公告）號: CN104333542A
• 公開（公告）日: 2015-02-04
• 發明（設計）人: 張勇平
• 申請（專利權）人: 張勇平
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 北京輕創知識產權代理有限公司 11212
• 代理人: 王新生

1.一種云計算訪問控制系統，其特征在于，包括：

用戶接入模塊：用于實現用戶向云計算提供商的服務器發送登錄請求，服務器響應該用戶的登錄請求；

訪問控制模塊：用于將所述用戶的登錄請求轉化為XACML格式請求，并控制和管理訪問權限；

資源服務管理模塊：用于對不同用戶訪問資源進行管理，監控記錄用戶使用過程的信息日志管理；

應用服務管理模塊：用于通過一個公開接口實現向資源服務管理模塊發起調用請求。

2.根據權利要求1所述的云計算訪問控制系統，其特征在于，所述用戶接入模塊包括：

身份認證模塊：用于驗證登陸請求用戶的身份；

用戶管理模塊：用于對用戶的信息的管理與控制。

3.根據權利要求1所述的云計算訪問控制系統，其特征在于，所述訪問控制模塊包括：

訪問控制策略實施模塊：用于將XACML格式請求發送到訪問控制決策模塊；

訪問控制決策模塊：用于根據XACML格式請求向策略管理點模塊查詢所述用戶的屬性；

策略管理點模塊：用于向訪問控制決策模塊提供策略支持，通過訪問控制決策模塊對策略的評估，返回評估結果給訪問控制策略實施模塊處理；

訪問控制信息管理點模塊：用于向訪問控制決策模塊提供用戶的屬性查詢結果。

4.根據權利要求3所述的云計算訪問控制系統，其特征在于，所述訪問控制策略實施模塊包括：

監聽模塊：用于實施處理用戶的請求，檢查系統的環境信息、用戶的授權值與授權條件是否相符合，如發現變化，向訪問控制決策模塊重新發出請求，要求訪問控制決策模塊對決策重新評估；

更新模塊：用于實時監控用戶屬性的變化，如果用戶的權限不滿足權限執行的要求時，通知服務器暫停對用戶授權，并將相應的信息發給用戶。

5.根據權利要求1所述的云計算訪問控制系統，其特征在于，所述訪問控制決策模塊包括：

授權規則模塊：用于根據用戶的屬性和使用規則檢查訪問是否合法；

條件模塊：利用使用規則和上下文信息決定授權請求的條件是否滿足；

評估模塊：結合授權規則模塊和條件模塊一起對主體的訪問請求進行策略評估。

6.根據權利要求1所述的云計算訪問控制系統，其特征在于，所述應用服務管理模塊包括：

應用服務注冊模塊：用于用戶注冊資源管理服務的訪問地址、功能描述、訪問方式的應用服務信息；

應用服務刪除模塊：用于刪除用戶的應用服務信息；

應用服務調用模塊：用于通過應用服務信息向資源服務管理模塊發起調用請求。

7.一種云計算訪問控制方法，其特征在于，包括用戶接入控制步驟和用戶訪問控制步驟：

用戶接入控制步驟包括：

步驟S1：用戶聲明一個證明身份的密鑰，將所述密鑰KEY存儲在用戶端的USB?Key中和云計算提供商的服務器中；

步驟S2：用戶向云計算提供商的服務器發送登錄請求，服務器響應該用戶的請求，所述服務器返回給所述用戶一個隨機數X，X和KEY經MD5算法得到信息摘要f；

步驟S3：將信息摘要f返回給所述服務器，所述服務器將存儲在本地的隨機數X與存儲在服務器中的秘鑰KEY進行MD5運算；

步驟S4：如果所述服務器端的運算結果與所述用戶端的信息摘要f相同時，則認為用戶端是一個合法的用戶，否則為非法用戶；

訪問控制步驟包括：進行訪問控制策略的實施，將用戶登錄請求轉化為XACML格式請求，將所述XACML格式請求發送到訪問決策控制點，根據多策略評估后返回的結果實施相應的允許或拒絕。

8.根據權利要求7所述的云計算訪問控制方法，其特征在于，所述進行訪問控制策略的實施還包括訪問監聽：

實時處理用戶的請求，檢查系統的環境信息、用戶的授權值與授權條件是否相符合，如發現變化，向訪問決策控制點重新發出請求，要求問決策控制點對決策重新評估。