[發明專利]私有云環境下訪問控制策略構建系統

有效

• 申請號: 201410791627.3
• 申請日: 2014-12-19
• 公開（公告）號: CN104580163B
• 公開（公告）日: 2018-08-24
• 發明（設計）人: 馬曉普;劉金江;蘭義華;程寧;趙莉;沈鵾霄;陳思媛
• 申請（專利權）人: 南陽師范學院
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 鄭州紅元帥專利代理事務所(普通合伙) 41117
• 代理人: 秦舜生

1.一種私有云環境下訪問控制策略構建系統，其特征在于，該系統包括有數據庫(100)、上下文感知模塊(200)、局部訪問控制策略構建模塊(300)、局部訪問控制策略優化模塊(400)、全局訪問控制策略構建模塊(500) 和全局訪問控制策略分解模塊(600)、敏感信息管理模塊(700)、領域信息管理模塊(800) 和審計模塊(900) ；其中，數據庫(100) 用于存儲局部訪問控制策略以及影響局部訪問控制策略構建的各種上下文信息及領域知識信息，存放通過沖突檢測與調整和融合后的全局訪問控制策略以及影響全局訪問控制策略調整和融合的服務信息，同時存放對全局訪問控制策略進行分解所需的策略敏感信息以及分解后的訪問控制策略信息；上下文感知模塊(200) 用于感知主體上下文信息、權限上下文信息和環境上下文信息，進而利用領域知識信息形成統一的上下文信息并將結果存儲于數據庫(100) 中；局部訪問控制策略構建模塊(300) 用于利用獲取到的功能性特征和非功能性特征，共同為局部訪問控制策略優化模塊提供滿足企業安全和功能需求的初始局部訪問控制策略集合；局部訪問控制策略優化模塊(400)從局部訪問控制策略構建模塊(300)獲取初始局部訪問控制策略，進而依據角色狀態的最小性和角色功能的可解釋性，將系統構建的訪問控制策略目標因素進行抽取并量化，然后基于對應的目標函數表示各因素對特定目標的影響程度，并在約束限定下基于多目標決策選取在各個目標總體評價最優的局部訪問控制策略并存儲于數據庫(100)中；全局訪問控制策略構建模塊(500)通過檢測參與服務組合的局部訪問控制策略中的不一致性，并在可控范圍內對整個構建的全局訪問控制策略進行動態調整并將最終構建的全局訪問控制策略存儲于數據庫(100)中；全局訪問控制策略分解模塊(600) 依據參與服務組合的局部訪問控制策略所屬訪問控制域之間的關系，將全局訪問控制策略分解到不同的局部訪問控制域中并將分解后的訪問控制策略存儲在數據庫(100) 中；敏感信息管理模塊(700) 接收來自系統管理員對參與服務組合構建的各個局部訪問控制策略服務提供方在全局訪問控制策略中的敏感信息進行增加、修改、刪除操作，并將操作的結果以及操作記錄存儲在數據庫(100) 中；領域信息管理模塊(800) 接收來自系統管理員對影響不同上下文獲取與融合的領域知識信息進行增加、修改、刪除操作，以及指導服務組合構建所需服務信息的增加、修改、刪除操作，并將操作的結果以及操作記錄存儲在數據庫(100) 中；審計模塊(900) 接收來自系統管理員輸入的查詢消息，通過與數據庫(100) 的信息交互，獲得滿足查詢條件的所有記錄；

所述功能性特征為上下文信息庫中描述局部訪問控制策略所反映的業務流程相關的特征；

所述非功能性特征為上下文信息庫中描述局部訪問控制策略中角色被指派依據的非功能性特征信息，包括：用戶的職位、部門上下文信息，以及角色所涉及的用戶數量和權限數量信息；

所述領域知識信息，包括：描述主體、客體、操作以及環境屬性的信息。

2.根據權利要求1 所述的私有云環境下訪問控制策略構建系統，其特征在于： 所述數據庫（100）包括：領域知識庫（110）、上下文信息庫（120）、局部策略庫（130）、服務信息庫（140）、全局訪問控制策略庫（150）、分解策略庫（160）、策略敏感信息庫（170）和審計信息庫（180），其中，領域知識庫（110）用來存放描述主體、客體、操作以及環境屬性的領域知識信息；上下文信息庫（120）用來存放主體上下文感知、權限上下文感知以及環境上下文感知模塊融合后的影響局部訪問控制策略構建的上下文信息；局部策略庫（130）用來存放基于上下文信息構建與優化的局部訪問控制策略集合；服務信息庫（140）用來存放描述服務組合過程中的輸入和輸出信息的范圍限制；全局訪問控制策略庫（150）用來存放消解沖突和融合后的描述服務組合的全局訪問控制策略集合；分解策略庫（160）用來存放基于敏感信息分解后的策略之間關聯關系的信息；策略敏感信息庫（170）用來存放系統管理員標注的參與服務組合的局部訪問控制策略中的敏感信息；審計信息庫（180）存放管理員對領域知識庫、服務信息庫以及敏感信息進行操作的記錄。