[發(fā)明專利]基于跨域?qū)傩援悩?gòu)的身份服務(wù)方法、介質(zhì)及設(shè)備

在審

• 申請?zhí)枺?/td>: 202010762460.3
• 申請日: 2020-07-31
• 公開（公告）號: CN112000936A
• 公開（公告）日: 2020-11-27
• 發(fā)明（設(shè)計(jì)）人: 徐潛;賀偉;嚴(yán)永峰
• 申請（專利權(quán)）人: 天翼電子商務(wù)有限公司
• 主分類號: G06F21/31
• 分類號: G06F21/31;G06F21/44
• 代理公司: 上海光華專利事務(wù)所(普通合伙) 31219
• 代理人: 徐秋平

1.一種基于跨域?qū)傩援悩?gòu)的身份服務(wù)方法，其特征在于，所述基于跨域?qū)傩援悩?gòu)的身份服務(wù)方法包括：

在各個(gè)信任域內(nèi)獲取用戶屬性集合之間的映射關(guān)系，并確定跨域?qū)傩哉Z義關(guān)系對；所述信任域是指用戶的身份管理系統(tǒng)；

根據(jù)所述跨域?qū)傩哉Z義關(guān)系對構(gòu)建用戶的跨域強(qiáng)身份屬性集合；所述跨域強(qiáng)身份屬性集合是指在各個(gè)信任域內(nèi)均可以關(guān)聯(lián)到唯一用戶的屬性集合，并用于各個(gè)信任域中對用戶進(jìn)行鑒權(quán)；

對所述跨域強(qiáng)身份屬性集合鑒權(quán)后確定的用戶進(jìn)行動態(tài)可信度評估，并根據(jù)評估結(jié)果作出是否授權(quán)訪問的決定。

2.根據(jù)權(quán)利要求1所述的基于跨域?qū)傩援悩?gòu)的身份服務(wù)方法，其特征在于，所述在各個(gè)信任域內(nèi)獲取用戶屬性集合之間的映射關(guān)系，并確定跨域?qū)傩哉Z義關(guān)系對的步驟包括：

將用戶發(fā)起資源訪問請求的信任域作為目標(biāo)信任域；

通過目標(biāo)信任域的服務(wù)提供方向所述目標(biāo)信任域的身份提供方發(fā)起鑒權(quán)請求；

根據(jù)所述鑒權(quán)請求，通過所述目標(biāo)信任域的身份提供方向至少一個(gè)屬性關(guān)聯(lián)信任域的屬性提供方獲取用戶投射的身份屬性，利用所述用戶投射的身份屬性確定跨域?qū)傩哉Z義關(guān)系對。

3.根據(jù)權(quán)利要求2所述的基于跨域?qū)傩援悩?gòu)的身份服務(wù)方法，其特征在于，所述根據(jù)所述跨域?qū)傩哉Z義關(guān)系對構(gòu)建用戶的跨域強(qiáng)身份屬性集合的步驟包括：

將所述目標(biāo)信任域與至少一個(gè)所述屬性關(guān)聯(lián)信任域之間兩兩建立跨域強(qiáng)身份屬性集合。

4.根據(jù)權(quán)利要求3所述的基于跨域?qū)傩援悩?gòu)的身份服務(wù)方法，其特征在于，所述將所述目標(biāo)信任域與至少一個(gè)所述屬性關(guān)聯(lián)信任域之間兩兩建立跨域強(qiáng)身份屬性集合的步驟包括：

將所述目標(biāo)信任域中的屬性信息與選定的屬性關(guān)聯(lián)信任域中的屬性信息取交集；

判斷所述交集是否確定唯一關(guān)聯(lián)的用戶身份；

若是，將所述交集作為跨域強(qiáng)身份屬性集合；若否，在所述目標(biāo)信任域和選定的屬性關(guān)聯(lián)信任域中分別添加屬性信息，判斷所述交集與所添加的屬性信息形成的并集是否確定唯一關(guān)聯(lián)的用戶身份；若是，將所述并集作為跨域強(qiáng)身份屬性集合；若否，繼續(xù)在所述目標(biāo)信任域和選定的屬性關(guān)聯(lián)信任域中分別添加屬性信息，直至所述交集與所添加的屬性信息形成的并集可以確定唯一關(guān)聯(lián)的用戶身份；

遍歷所有的屬性關(guān)聯(lián)信任域，在選定后執(zhí)行上述步驟。

5.根據(jù)權(quán)利要求2所述的基于跨域?qū)傩援悩?gòu)的身份服務(wù)方法，其特征在于，所述各個(gè)信任域?qū)τ脩暨M(jìn)行鑒權(quán)的步驟包括：

通過所述目標(biāo)信任域的身份提供方和所述屬性關(guān)聯(lián)信任域的身份提供方共同基于所述跨域強(qiáng)身份屬性集合對用戶進(jìn)行鑒權(quán)；

將各個(gè)所述屬性關(guān)聯(lián)信任域的身份提供方的鑒權(quán)結(jié)果匯總至所述目標(biāo)信任域的身份提供方；

將所述目標(biāo)信任域的身份提供方和所述屬性關(guān)聯(lián)信任域的身份提供方均鑒權(quán)成功的用戶判定為合法用戶。

6.根據(jù)權(quán)利要求2所述的基于跨域?qū)傩援悩?gòu)的身份服務(wù)方法，其特征在于，所述對所述跨域強(qiáng)身份屬性集合鑒權(quán)后確定的用戶進(jìn)行動態(tài)可信度評估，并根據(jù)評估結(jié)果作出是否授權(quán)訪問的決定的步驟包括：

通過所述跨域?qū)傩哉Z義關(guān)系對消除資源訪問策略與用戶跨域?qū)傩缘恼Z義沖突，進(jìn)行靜態(tài)授權(quán)；

在靜態(tài)授權(quán)通過時(shí)結(jié)合用戶的歷史行為，利用基于Beta分布的動態(tài)信任度評估機(jī)制對用戶動態(tài)可信度進(jìn)行評估；其中，所述歷史行為是在持續(xù)時(shí)間的監(jiān)控下基于時(shí)間先后順序?qū)τ脩粜袨樽鞒龅南鄬Χx。

7.根據(jù)權(quán)利要求6所述的基于跨域?qū)傩援悩?gòu)的身份服務(wù)方法，其特征在于，所述通過所述跨域?qū)傩哉Z義關(guān)系對消除資源訪問策略與用戶跨域?qū)傩缘恼Z義沖突，進(jìn)行靜態(tài)授權(quán)的步驟包括：

將各個(gè)所述屬性關(guān)聯(lián)信任域的用戶屬性集合統(tǒng)一映射到所述目標(biāo)信任域中，形成映射集合；

通過所述目標(biāo)信任域的身份提供方獲取所述目標(biāo)信任域的服務(wù)提供方中的資源訪問策略，并通過所述目標(biāo)信任域的身份提供方判斷所述映射集合中的屬性值與資源訪問策略中相應(yīng)屬性值的匹配情況；

若所述映射集合中的屬性值與資源訪問策略中相應(yīng)的屬性值均相等，則判定為靜態(tài)授權(quán)通過；若存在至少一個(gè)所述映射集合中的屬性值與資源訪問策略中相應(yīng)的屬性值不相等，則判定為靜態(tài)授權(quán)未通過。