[發(fā)明專利]一種跨域動態(tài)權(quán)限控制方法及系統(tǒng)

有效

• 申請?zhí)枺?/td>: 201811330911.5
• 申請日: 2018-11-09
• 公開（公告）號: CN109413080B
• 公開（公告）日: 2021-05-25
• 發(fā)明（設(shè)計）人: 鄭政宇;周海濤;齊戰(zhàn)勝
• 申請（專利權(quán)）人: 廈門市美亞柏科信息股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 廈門市精誠新創(chuàng)知識產(chǎn)權(quán)代理有限公司 35218
• 代理人: 何家富

1.一種跨域動態(tài)權(quán)限控制方法，其特征在于，包括：在云環(huán)境下注冊多個子域，每兩個子域之間均通過邊界設(shè)備進(jìn)行隔離，并且在云環(huán)境下部署統(tǒng)一認(rèn)證中心、域定位服務(wù)器和統(tǒng)一屬性注冊中心，所述統(tǒng)一認(rèn)證中心和域定位服務(wù)器分別用于對用戶進(jìn)行認(rèn)證和鑒定用戶具有權(quán)限的子域，用戶通過統(tǒng)一認(rèn)證中心登陸到云環(huán)境后，通過域定位服務(wù)器分配到所屬的子域，所述統(tǒng)一屬性注冊中心用于對所有子域的屬性進(jìn)行注冊和管理；

跨域的訪問控制方法具體包括以下步驟：

S301：A域用戶登陸云環(huán)境，通過該云環(huán)境對應(yīng)的統(tǒng)一認(rèn)證服務(wù)和域定位服務(wù)完成身份認(rèn)證，并跳轉(zhuǎn)到該用戶所屬的子域；

S302：發(fā)起跨域資源訪問請求；

S303：A域的策略實(shí)施點(diǎn)攔截該跨域資源訪問請求，根據(jù)屬性訪問控制模型對該跨域資源訪問請求添加A域的屬性后，將該跨域資源訪問請求發(fā)往A域的策略決策點(diǎn)來判斷該用戶是否有權(quán)限訪問B域資源；

S304：A域的策略決策點(diǎn)從A域的策略管理點(diǎn)調(diào)取策略規(guī)則集；

S305：A域的策略決策點(diǎn)從A域的策略信息點(diǎn)調(diào)取策略屬性；

S306：A域的策略決策點(diǎn)綜合策略規(guī)則集和策略屬性，對A域的策略實(shí)施點(diǎn)的跨域資源訪問請求進(jìn)行鑒權(quán)，判斷該用戶是否有權(quán)限訪問B域資源，并返回經(jīng)過鑒權(quán)的請求響應(yīng)至A域的策略實(shí)施點(diǎn)；

S307：A域的策略實(shí)施點(diǎn)根據(jù)請求響應(yīng)判斷該用戶是否有權(quán)限訪問B域資源，如果用戶具有訪問B域資源的權(quán)限，則調(diào)取統(tǒng)一屬性中心存儲的B域?qū)?yīng)的屬性，添加到跨域資源訪問請求中；

S308：將新的跨域資源訪問請求發(fā)送到B域的策略實(shí)施點(diǎn)；

S309：B域的策略實(shí)施點(diǎn)將該跨域資源訪問請求攔截，并發(fā)往B域的策略決策點(diǎn)；

S310：B域的策略決策點(diǎn)從B域的策略管理點(diǎn)調(diào)取策略規(guī)則集；

S311：B域的策略決策點(diǎn)從B域的策略信息點(diǎn)調(diào)取策略屬性；

S312：B域的策略決策點(diǎn)綜合策略規(guī)則集和策略屬性，對B域的策略實(shí)施點(diǎn)的跨域資源訪問請求進(jìn)行鑒權(quán)，判斷該用戶是否有權(quán)限訪問B域資源，并返回經(jīng)過鑒權(quán)的請求響應(yīng)至B域的策略實(shí)施點(diǎn)；

S313：B域的策略實(shí)施點(diǎn)根據(jù)請求響應(yīng)判斷該用戶是否有權(quán)限訪問B域資源，如果用戶具有訪問B域資源的權(quán)限則能夠獲得資源，如果用戶沒有權(quán)限則返回提示信息。

2.根據(jù)權(quán)利要求1所述的跨域動態(tài)權(quán)限控制方法，其特征在于，所述在云環(huán)境下注冊子域包括以下步驟：

S101：在云環(huán)境下創(chuàng)建子域；

S102：構(gòu)建該子域下的資源管理系統(tǒng)；

S103：基于屬性訪問控制模型，設(shè)定該子域的策略管理點(diǎn)、策略決策點(diǎn)、策略信息點(diǎn)和策略實(shí)施點(diǎn)；

S104：設(shè)定該子域的屬性和策略規(guī)則

S105：將該子域的屬性和策略規(guī)則注冊到統(tǒng)一屬性注冊中心；

S106：統(tǒng)一屬性注冊中心將該子域的屬性和策略規(guī)則分發(fā)到所述云環(huán)境下的所有子域。

3.根據(jù)權(quán)利要求1所述的跨域動態(tài)權(quán)限控制方法，其特征在于：還包括域內(nèi)的訪問控制方法，具體包括以下步驟：

S201：A域用戶登陸云環(huán)境，通過該云環(huán)境對應(yīng)的統(tǒng)一認(rèn)證服務(wù)和域定位服務(wù)完成身份認(rèn)證，并跳轉(zhuǎn)到該用戶所屬的子域；

S202：發(fā)起域內(nèi)資源訪問請求；

S203：A域的策略實(shí)施點(diǎn)攔截該請求，根據(jù)屬性訪問控制模型對該請求添加A域的屬性后，將該請求發(fā)往A域的策略決策點(diǎn)；

S204：A域的策略決策點(diǎn)從A域的策略管理點(diǎn)調(diào)取策略規(guī)則集；

S205：A域的策略決策點(diǎn)從A域的策略信息點(diǎn)調(diào)取策略屬性；

S206：A域的策略決策點(diǎn)綜合策略規(guī)則集和策略屬性，對A域的策略實(shí)施點(diǎn)的請求進(jìn)行鑒權(quán)，判斷該用戶是否有權(quán)限訪問A域資源，并返回經(jīng)過鑒權(quán)的請求響應(yīng)至A域的策略實(shí)施點(diǎn)；

S207：A域的策略實(shí)施點(diǎn)根據(jù)請求響應(yīng)判斷該用戶是否有權(quán)限訪問A域資源，如果用戶具有訪問A域資源的權(quán)限則能夠獲得資源，如果用戶沒有權(quán)限則返回提示信息。

4.一種跨域動態(tài)權(quán)限控制系統(tǒng)，其特征在于：包括位于同一云環(huán)境下的多個子域、統(tǒng)一認(rèn)證中心、域定位服務(wù)器和統(tǒng)一屬性注冊中心，所述系統(tǒng)實(shí)現(xiàn)如權(quán)利要求1～3中任一所述方法的步驟。