[發(fā)明專利]一種訪問控制方法及其裝置

在審

• 申請(qǐng)?zhí)枺?/td>: 201611238392.0
• 申請(qǐng)日: 2016-12-28
• 公開（公告）號(hào): CN106790147A
• 公開（公告）日: 2017-05-31
• 發(fā)明（設(shè)計(jì)）人: 張星;劉文懋
• 申請(qǐng)（專利權(quán)）人: 北京神州綠盟信息安全科技股份有限公司;北京神州綠盟科技有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 北京同達(dá)信恒知識(shí)產(chǎn)權(quán)代理有限公司11291
• 代理人: 黃志華

1.一種訪問控制方法，其特征在于，包括：

控制器接收交換機(jī)發(fā)送的訪問查詢指令，所述訪問查詢指令中攜帶有訪問終端的標(biāo)識(shí)信息和訪問對(duì)象；

所述控制器在確定未查詢到所述訪問終端的訪問控制策略時(shí)，觸發(fā)用戶認(rèn)證過程；

所述控制器在用戶認(rèn)證通過后，獲取所述用戶的訪問控制策略并作為所述訪問終端的訪問控制策略；

所述控制器從所述訪問終端的訪問控制策略中獲取所述訪問對(duì)象對(duì)應(yīng)的訪問控制策略；

所述控制器將所述訪問對(duì)象對(duì)應(yīng)的訪問控制策略發(fā)送給所述交換機(jī)，以使所述交換機(jī)對(duì)所述訪問終端的訪問請(qǐng)求進(jìn)行控制。

2.如權(quán)利要求1所述的方法，其特征在于，還包括：

所述控制器在確定查詢到所述訪問終端的訪問控制策略時(shí)，從所述訪問終端的訪問控制策略中獲取所述訪問對(duì)象對(duì)應(yīng)的訪問控制策略；

所述控制器將所述訪問對(duì)象對(duì)應(yīng)的訪問控制策略發(fā)送給所述交換機(jī)，以使所述交換機(jī)對(duì)所述訪問終端的訪問請(qǐng)求進(jìn)行控制。

3.如權(quán)利要求1所述的方法，其特征在于，所述觸發(fā)用戶認(rèn)證過程，包括：

所述控制器觸發(fā)重定向請(qǐng)求至訪問控制服務(wù)器；

獲取所述用戶的訪問控制策略，包括：

接收所述訪問控制服務(wù)器在對(duì)所述用戶認(rèn)證通過后，發(fā)送的所述用戶的訪問控制策略。

4.如權(quán)利要求1所述的方法，其特征在于，所述用戶的訪問控制策略通過以下方式獲得：

所述訪問控制服務(wù)器在對(duì)所述用戶認(rèn)證通過后，根據(jù)所述用戶的標(biāo)識(shí)信息確定所述用戶所屬的角色；

根據(jù)所述角色查詢?cè)L問控制策略庫，得到所述用戶的訪問控制策略。

5.如權(quán)利要求1所述的方法，其特征在于，還包括：

在檢測到所述用戶的訪問請(qǐng)求為可疑攻擊時(shí)，向所述訪問控制服務(wù)器發(fā)送訪問控制策略修改請(qǐng)求。

6.如權(quán)利要求1所述的方法，其特征在于，還包括：

所述控制器定期刪除所述控制器中存儲(chǔ)的用戶的訪問控制策略。

7.如權(quán)利要求1～6任一項(xiàng)所述的方法，其特征在于，所述控制器為SDN控制器，所述交換機(jī)為SDN交換機(jī)。

8.一種訪問控制方法，其特征在于，包括：

交換機(jī)接收訪問終端的訪問請(qǐng)求，所述訪問請(qǐng)求中攜帶有訪問終端的標(biāo)識(shí)信息和訪問對(duì)象；

所述交換機(jī)確定自身未存儲(chǔ)所述訪問終端的針對(duì)所述訪問對(duì)象的訪問控制策略時(shí)，向控制器發(fā)送訪問查詢指令；

所述交換機(jī)接收所述控制器發(fā)送的所述訪問終端的針對(duì)所述訪問對(duì)象的訪問控制策略，并根據(jù)所述訪問終端的針對(duì)所述訪問對(duì)象的訪問控制策略對(duì)所述訪問終端的訪問請(qǐng)求進(jìn)行控制。

9.一種訪問控制裝置，其特征在于，包括：

第一接收模塊，用于接收交換機(jī)發(fā)送的訪問查詢指令，所述訪問查詢指令中攜帶有訪問終端的標(biāo)識(shí)信息和訪問對(duì)象；

認(rèn)證模塊，用于在未查詢到所述訪問終端的訪問控制策略時(shí)，觸發(fā)用戶認(rèn)證過程；

獲取模塊，還用于在用戶認(rèn)證通過后，獲取所述用戶的訪問控制策略并作為所述訪問終端的訪問控制策略；

還用于從所述訪問終端的訪問控制策略中獲取所述訪問對(duì)象對(duì)應(yīng)的訪問控制策略；

第一發(fā)送模塊，用于將所述訪問對(duì)象對(duì)應(yīng)的訪問控制策略發(fā)送給所述交換機(jī)，以使所述交換機(jī)對(duì)所述訪問終端的訪問請(qǐng)求進(jìn)行控制。

10.如權(quán)利要求9所述的裝置，其特征在于

所述獲取模塊，還用于在確定查詢到所述訪問終端的訪問控制策略時(shí)，從所述訪問終端的訪問控制策略中獲取所述訪問對(duì)象對(duì)應(yīng)的訪問控制策略；

所述第一發(fā)送模塊，還用于將所述訪問對(duì)象對(duì)應(yīng)的訪問控制策略發(fā)送給所述交換機(jī)，以使所述交換機(jī)對(duì)所述訪問終端的訪問請(qǐng)求進(jìn)行控制。

11.如權(quán)利要求9所述的裝置，其特征在于，所述認(rèn)證模塊，具體用于：

觸發(fā)重定向請(qǐng)求至訪問控制服務(wù)器；

所述獲取模塊，具體用于：

接收所述訪問控制服務(wù)器在對(duì)所述用戶認(rèn)證通過后，發(fā)送的所述用戶的訪問控制策略。

12.如權(quán)利要求9所述的裝置，其特征在于，所述獲取模塊，具體用于：

在對(duì)所述用戶認(rèn)證通過后，根據(jù)所述用戶的標(biāo)識(shí)信息確定所述用戶所屬的角色；

根據(jù)所述角色查詢?cè)L問控制策略庫，得到所述用戶的訪問控制策略。