[發(fā)明專利]一種云應(yīng)用訪問控制方法及系統(tǒng)

有效

• 申請?zhí)枺?/td>: 201611199019.9
• 申請日: 2016-12-22
• 公開（公告）號: CN106790082B
• 公開（公告）日: 2019-10-01
• 發(fā)明（設(shè)計）人: 張愛武;張如輝;郭春梅
• 申請（專利權(quán)）人: 北京啟明星辰信息安全技術(shù)有限公司;啟明星辰信息技術(shù)集團股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京集佳知識產(chǎn)權(quán)代理有限公司 11227
• 代理人: 王寶筠

本發(fā)明公開了一種云應(yīng)用訪問控制方法及系統(tǒng)，該方法包括：當認證服務(wù)器接收到攜帶有云應(yīng)用地址的SAML請求時，判斷預先加載的云應(yīng)用映射表中是否存在云應(yīng)用地址，其中，云應(yīng)用映射表包含至少一個預設(shè)云應(yīng)用地址及其對應(yīng)的預設(shè)云應(yīng)用標識；當認證服務(wù)器判定云應(yīng)用映射表中存在云應(yīng)用地址時，從云應(yīng)用映射表中獲取云應(yīng)用地址對應(yīng)的云應(yīng)用標識，生成攜帶有云應(yīng)用標識的SAML響應(yīng)，并將SAML響應(yīng)發(fā)送至云應(yīng)用地址對應(yīng)的代理服務(wù)器；代理服務(wù)器從預先加載的云應(yīng)用映射表中獲取云應(yīng)用標識對應(yīng)的云應(yīng)用地址，并將SAML響應(yīng)發(fā)送至云應(yīng)用地址，以實現(xiàn)訪問云應(yīng)用地址對應(yīng)的云應(yīng)用。基于本發(fā)明公開的方法，實現(xiàn)了代理服務(wù)器對至少一個云應(yīng)用的全流量監(jiān)控。

技術(shù)領(lǐng)域

本發(fā)明涉及通信安全技術(shù)領(lǐng)域，更具體地說，涉及一種云應(yīng)用訪問控制方法及系統(tǒng)。

背景技術(shù)

云計算是一種動態(tài)的、易擴展的、基于虛擬化的資源計算方式，通常是由互聯(lián)網(wǎng)提供，因此用戶也就不需要了解云內(nèi)部的細節(jié)。

云應(yīng)用在云計算環(huán)境下主要采用應(yīng)用服務(wù)托管的方式。而用戶在訪問云上的應(yīng)用過程中，可能存在敏感信息泄露的問題或者訪問異常、越權(quán)訪問的情況。

有鑒于此，如何對多個云應(yīng)用進行全流量控制，是本領(lǐng)域技術(shù)人員亟需解決的問題。

發(fā)明內(nèi)容

有鑒于此，本發(fā)明提供云應(yīng)用訪問控制方法及系統(tǒng)，以解決用戶在訪問云上的應(yīng)用過程中，可能存在敏感信息泄露的問題或者訪問異常、越權(quán)訪問的問題。技術(shù)方案如下：

一種云應(yīng)用訪問控制方法，包括：

當認證服務(wù)器接收到攜帶有云應(yīng)用地址的SAML請求時，判斷預先加載的云應(yīng)用映射表中是否存在所述云應(yīng)用地址，其中，所述云應(yīng)用映射表包含至少一個預設(shè)云應(yīng)用地址及其對應(yīng)的預設(shè)云應(yīng)用標識；

當所述認證服務(wù)器判定所述云應(yīng)用映射表中存在所述云應(yīng)用地址時，從所述云應(yīng)用映射表中獲取所述云應(yīng)用地址對應(yīng)的云應(yīng)用標識，生成攜帶有所述云應(yīng)用標識的SAML響應(yīng)，并將所述SAML響應(yīng)發(fā)送至所述云應(yīng)用地址對應(yīng)的代理服務(wù)器；

所述代理服務(wù)器從預先加載的所述云應(yīng)用映射表中獲取所述云應(yīng)用標識對應(yīng)的所述云應(yīng)用地址，并將所述SAML響應(yīng)發(fā)送至所述云應(yīng)用地址，以實現(xiàn)訪問所述云應(yīng)用地址對應(yīng)的云應(yīng)用。

優(yōu)選的，還包括：

管理服務(wù)器預先構(gòu)建所述云應(yīng)用映射表，并向所述認證服務(wù)器和所述代理服務(wù)器分別發(fā)送加載通知，使得所述認證服務(wù)器和所述代理服務(wù)器分別根據(jù)所述加載通知對所述云應(yīng)用映射表進行加載。

優(yōu)選的，所述管理服務(wù)器預先構(gòu)建所述云應(yīng)用映射表的過程，包括：

所述管理服務(wù)器判斷當前網(wǎng)絡(luò)環(huán)境中是否存在域名解析服務(wù)器；

當不存在所述域名解析服務(wù)器時，為接收到的各個所述預設(shè)云應(yīng)用地址隨機生成端口形式的云應(yīng)用標識，所述端口為代理服務(wù)器端口；

當存在所述域名解析服務(wù)器時，判斷是否有添加泛域名解析規(guī)則的權(quán)限；

當有添加所述泛域名解析規(guī)則的權(quán)限時，為接收到的各個所述預設(shè)云應(yīng)用地址隨機生成字符串形式的云應(yīng)用標識，所述字符串的長度為預先設(shè)定的；

當沒有添加所述泛域名解析規(guī)則的權(quán)限時，為接收到的各個所述預設(shè)云應(yīng)用地址隨機生成端口形式的云應(yīng)用標識，所述端口為代理服務(wù)器端口。

優(yōu)選的，當所述認證服務(wù)器判定所述云應(yīng)用映射表中不存在所述云應(yīng)用地址時，生成用于表征云應(yīng)用不存在的提示信息。

一種云應(yīng)用訪問控制系統(tǒng)，包括：認證服務(wù)器和代理服務(wù)器；