[發(fā)明專利]非http協(xié)議應用的策略中心、控制系統(tǒng)、方法、介質及設備

有效

• 申請?zhí)枺?/td>: 202011052740.1
• 申請日: 2020-09-29
• 公開（公告）號: CN112311768B
• 公開（公告）日: 2022-06-28
• 發(fā)明（設計）人: 岳炳詞
• 申請（專利權）人: 新華三信息安全技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L67/02
• 代理公司: 北京辰權知識產(chǎn)權代理有限公司 11619
• 代理人: 劉廣達

1.一種非http協(xié)議應用的訪問控制系統(tǒng)，包括：外網(wǎng)用戶設備以及業(yè)務系統(tǒng)主機，其特征在于，還包括：

可信訪問控制系統(tǒng)和策略中心；

所述策略中心用于生成用戶的訪問控制策略，對用戶的訪問請求進行鑒權，將鑒權結果發(fā)送給所述可信訪問控制系統(tǒng)；

所述策略中心與所述可信訪問控制系統(tǒng)相連接；

所述可信訪問控制系統(tǒng)用于對用戶的訪問請求，進行可信訪問控制；

所述外網(wǎng)用戶設備通過路由設備連接所述可信訪問控制系統(tǒng)，通過所述可信訪問控制系統(tǒng)的可信訪問控制的外網(wǎng)用戶設備連接內網(wǎng)的所述業(yè)務系統(tǒng)主機；

所述策略中心，包括：

身份認證單元，用于對用戶進行認證，認證通過后生成用戶token；

傳輸單元，用于將用戶token發(fā)送到可信訪問控制系統(tǒng)；

所述身份認證單元具體通過生物識別認證和/或用戶口令認證和/或電子簽名認證對用戶的身份進行認證；

所述生物識別認證具體包括：指紋認證和/或人臉識別認證。

2.根據(jù)權利要求1所述的系統(tǒng)，其特征在于，所述可信訪問控制系統(tǒng)具體用于：

當用戶訪問非http應用業(yè)務的業(yè)務請求到達后，提取源IP地址；

使用所述源IP地址做用戶名查詢身份ID信息，進行判斷是否有所述身份ID信息，若沒有所述身份ID信息，重新定向到認證頁面。

3.根據(jù)權利要求1所述的系統(tǒng)，其特征在于，

所述策略中心還用于用戶認證，當用戶認證通過后，為用戶生成用戶令牌并發(fā)送給所述可信訪問控制系統(tǒng)；

所述可信訪問控制系統(tǒng)還用于獲取所述用戶令牌后，建立用戶身份ID表項。

4.根據(jù)權利要求3所述的系統(tǒng)，其特征在于，所述用戶身份ID表項具體包括：

用戶名、用戶IP地址和用戶token。

5.一種非http協(xié)議應用的可信訪問控制方法，應用于權利要求1～4任一項中所述的非http協(xié)議應用的訪問控制系統(tǒng)上，其特征在于，包括：

用戶訪問非http協(xié)議的IP應用，將請求送達所述可信訪問控制系統(tǒng)；

所述可信訪問控制系統(tǒng)提取請求報文的源IP，根據(jù)所述源IP查詢所述用戶身份ID表項，并在所述用戶身份ID表項中進行有無匹配項的查詢判斷；

若有則獲取所述用戶身份ID表項，提取其中的用戶token；

若沒有則重新定向到用戶認證界面，對用戶進行認證。

6.根據(jù)權利要求5所述的方法，其特征在于，

所述提取其中的用戶token之后，還包括：

所述可信訪問控制系統(tǒng)將用戶訪問資源標識發(fā)送到所述策略中心進行權限鑒權，其中，所述用戶訪問資源標識具體包括：目的IP地址、端口號和/或用戶token的信息；

所述策略中心根據(jù)所述用戶token和所述用戶訪問資源標識對用戶進行鑒權，若鑒權通過則對所述請求報文放行；若不通過則將所述請求報文丟棄。

7.根據(jù)權利要求5所述的方法，其特征在于，所述對用戶進行認證的過程具體包括：

所述策略中心對用戶進行認證，認證通過后生成用戶token；

所述策略中心將用戶token發(fā)送到所述可信訪問控制系統(tǒng)；

所述可信訪問控制系統(tǒng)創(chuàng)建用戶身份ID表項。

8.根據(jù)權利要求7所述的方法，其特征在于，所述策略中心對用戶進行認證具體包括：

利用所述身份認證單元通過生物識別認證和/或用戶口令認證和/或電子簽名認證對用戶的身份進行認證。