[發明專利]訪問控制方法、裝置、網關、客戶端和安全令牌服務

有效

• 申請號: 202010915331.3
• 申請日: 2020-09-03
• 公開（公告）號: CN112187724B
• 公開（公告）日: 2023-03-21
• 發明（設計）人: 李嚴
• 申請（專利權）人: 北京金山云網絡技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L9/32;H04L9/06
• 代理公司: 北京開陽星知識產權代理有限公司 11710
• 代理人: 祝樂芳

1.一種訪問控制方法，所述方法應用于網關，其特征在于，包括：

網關接收客戶端發送的應用程序接口API訪問請求，所述API訪問請求中包含用于請求簽名驗證的參數和用于權限鑒定的參數；

所述網關根據所述用于請求簽名驗證的參數進行請求簽名驗證，根據所述用于權限鑒定的參數進行權限鑒定；

所述請求簽名驗證通過并且所述權限鑒定通過，所述網關將所述API訪問請求轉發至對應的業務線接口；

其中，所述用于請求簽名驗證的參數包括：訪問密鑰標識AK和秘密訪問密鑰SK；

所述用于權限鑒定的參數包括：角色的權限信息和角色的臨時身份有效期；

所述API訪問請求中包含所述AK、第一請求簽名和第一安全令牌；

其中，所述第一請求簽名為客戶端根據AK、第一SK和請求簽名算法生成的；所述第一安全令牌為根據加密算法對第一初始安全令牌加密處理得到的，所述第一初始安全令牌包括：第一SK、第一角色的權限信息、第一角色的臨時身份有效期。

2.根據權利要求1所述的方法，其特征在于，所述網關根據所述用于請求簽名驗證的參數進行請求簽名驗證，根據所述用于權限鑒定的參數進行權限鑒定，包括：

所述網關采用所述加密算法對應的解密算法對所述第一安全令牌進行解密，得到第二初始安全令牌，所述第二初始安全令牌包括：第二SK、第二角色的權限信息和第二角色的臨時身份有效期；

所述網關根據所述請求簽名算法、所述AK和所述第二SK，對所述第一請求簽名進行請求簽名驗證；

所述網關根據所述第二角色的權限信息和所述第二角色的臨時身份有效期進行權限鑒定。

3.根據權利要求2所述的方法，其特征在于，所述第一初始安全令牌中還包括：第一令牌簽名；所述第一令牌簽名為根據角色密鑰、第一SK、第一角色的權限信息、所述第一角色的臨時身份有效期和令牌簽名算法得到；所述第二初始安全令牌中還包括：第二令牌簽名；

所述網關根據所述用于請求簽名驗證的參數進行請求簽名驗證，根據所述用于權限鑒定的參數進行權限鑒定之前，還包括：

所述網關根據所述令牌簽名算法、第二SK、第二角色的權限信息、第二角色的臨時身份有效期和角色密鑰，對所述第二令牌簽名進行令牌簽名驗證，確定所述第二令牌簽名和所述第一令牌簽名相同。

4.根據權利要求2或3所述的方法，其特征在于，所述網關采用所述加密算法對應的解密算法對所述安全令牌進行解密之前，還包括：

所述網關確定所述AK為臨時AK。

5.根據權利要求4所述的方法，其特征在于，所述加密算法為AES-128加密算法，和/或，所述請求簽名算法為AWS V4簽名算法。

6.一種訪問控制方法，所述方法應用于客戶端，其特征在于，包括：

客戶端生成應用程序接口API訪問請求，其中，所述API訪問請求中包含用于請求簽名驗證的參數和用于權限鑒定的參數；

所述客戶端向網關發送所述API訪問請求，以使所述網關根據所述用于請求簽名驗證的參數進行請求簽名驗證，和用于權限鑒定的參數進行權限鑒定；

其中，所述用于請求簽名驗證的參數包括：訪問密鑰標識AK和秘密訪問密鑰SK；

所述用于權限鑒定的參數包括：角色的權限信息和角色的臨時身份有效期；

所述API訪問請求中包含所述AK、第一請求簽名和第一安全令牌；

其中，所述第一請求簽名為客戶端根據AK、第一SK和請求簽名算法生成的；所述第一安全令牌為根據加密算法對第一初始安全令牌加密處理得到的，所述第一初始安全令牌包括：第一SK、第一角色的權限信息、第一角色的臨時身份有效期。

7.根據權利要求6所述的方法，其特征在于，所述客戶端生成API訪問請求之前，還包括：

所述客戶端向安全令牌服務發送臨時身份信息請求，所述臨時身份信息請求用于請求臨時身份信息；

所述客戶端接收所述安全令牌服務發送的臨時身份信息響應，所述臨時身份信息響應中包含用于請求簽名驗證的參數和用于權限鑒定的參數。