[發明專利]一種控制訪問權限的系統、認證服務器和方法

在審

• 申請號: 201710631030.6
• 申請日: 2017-07-28
• 公開（公告）號: CN107204995A
• 公開（公告）日: 2017-09-26
• 發明（設計）人: 許陸丹
• 申請（專利權）人: 鄭州云海信息技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京安信方達知識產權代理有限公司11262
• 代理人: 李紅爽,李丹

1.一種控制訪問權限的系統，其特征在于，包括：認證服務器、訪問服務器和服務器集群；其中，

認證服務器，用于將全部的用戶信息存儲在預先建立的數據庫中；將全部的用戶權限按層次樹狀結構存儲在輕量目錄訪問協議LDAP目錄中；當接收到訪問服務器發送的用戶信息時，判斷接收到的用戶信息是否是認證用戶；當判斷出接收到的用戶信息是認證用戶時，在LDAP目錄中查找與該用戶信息對應的用戶權限并根據查找到的用戶權限生成用戶憑據；將生成的用戶憑據發送給訪問服務器與服務器集群；

訪問服務器，用于將用戶輸入的用戶信息發送給認證服務器；接收認證服務器發送的用戶憑據；根據接收到的用戶憑據與服務器集群進行數據交互；

服務器集群，用于接收到來自認證服務器發送的用戶憑據，對該用戶開放與該用戶憑據對應的用戶權限以與訪問服務器進行數據交互。

2.根據權利要求1所述的系統，其特征在于，所述用戶信息包括：用戶名和口令；

所述認證服務器中用于將全部的用戶信息存儲在預先建立的數據庫中包括：

采用預先部署的網絡認證協議Kerberos服務Service分別對每個用戶的用戶名和口令進行加密；

將加密后的每個用戶的用戶名和口令對應存儲在所述預先建立的數據庫中。

3.根據權利要求2所述的系統，其特征在于，所述認證服務器中用于判斷接收到的用戶信息是否是認證用戶包括：

采用所述預先部署的Kerberos Service對接收到的用戶名和口令進行加密；

將對接收到的加密后的用戶名和口令與已存儲在所述預先建立的數據庫中的加密后的用戶名和口令進行比較；

當所述對接收到的加密后的用戶名和口令與所述已存儲在所述預先建立的數據庫中的加密后的用戶名和口令中的某一加密后的用戶名和口令一致時，判斷出接收到的用戶信息是認證用戶；

當所述對接收到的加密后的用戶名和口令與所述已存儲在所述預先建立的數據庫中的加密后的用戶名和口令中的任一加密后的用戶名和口令均不一致時，驗證出接收到的用戶信息不是認證用戶。

4.根據權利要求1所述的系統，其特征在于，所述認證服務器通過預先部署的LDAP服務Service將所述全部的用戶權限按層次樹狀結構存儲在LDAP目錄中。

5.一種認證服務器，其特征在于，包括：密碼管理單元、權限管理單元、收發單元、認證單元和處理單元；其中，

密碼管理單元，用于將全部的用戶信息存儲在預先建立的數據庫中；

權限管理單元，用于將全部的用戶權限按層次樹狀結構存儲在輕量目錄訪問協議LDAP目錄中；

收發單元，用于當接收到訪問服務器發送的用戶信息時，將接收到的用戶信息發送給認證單元；將生成的用戶憑據發送給訪問服務器和集群服務器；

認證單元，用于判斷接收到的用戶信息是否是認證用戶；當判斷出接收到的用戶信息是認證用戶時，通知處理單元；

處理單元，用于接收到來自匹配單元發送的通知，在LDAP目錄中查找與該用戶信息對應的用戶權限并根據查找到的用戶權限生成用戶憑據。

6.根據權利要求5所述的認證服務器，其特征在于，所述用戶信息包括：用戶名和口令；

所述密碼管理單元，具體用于：

采用預先部署的網絡認證協議Kerberos服務Service分別對每個用戶的用戶名和口令進行加密；

將加密后的每個用戶的用戶名和口令對應存儲在所述預先建立的數據庫中。

7.根據權利要求6所述的認證服務器，其特征在于，所述認證單元中用于判斷接收到的用戶信息是否是認證用戶包括：

采用所述預先部署的Kerberos Service對接收到的用戶名和口令進行加密；

將對接收到的加密后的用戶名和口令與已存儲在所述預先建立的數據庫中的加密后的用戶名和口令進行比較；

當所述對接收到的加密后的用戶名和口令與所述已存儲在所述預先建立的數據庫中的加密后的用戶名和口令中的某一加密后的用戶名和口令一致時，判斷出接收到的用戶信息是認證用戶；

當所述對接收到的加密后的用戶名和口令與所述已存儲在所述預先建立的數據庫中的加密后的用戶名和口令中的任一加密后的用戶名和口令均不一致時，驗證出接收到的用戶信息不是認證用戶。