[發明專利]一種基于數據中臺的數據權限控制系統

在審

• 申請號: 202011167184.2
• 申請日: 2020-10-27
• 公開（公告）號: CN112329031A
• 公開（公告）日: 2021-02-05
• 發明（設計）人: 蔣鑫;楊啟帆;林靈婷;蔡宇翔;王維蘭;鄭蔚濤
• 申請（專利權）人: 國網福建省電力有限公司信息通信分公司
• 主分類號: G06F21/60
• 分類號: G06F21/60;G06F21/53;H04L29/06;G06F21/62
• 代理公司: 北京國昊天誠知識產權代理有限公司 11315
• 代理人: 任兵

1.一種基于數據中臺的數據權限控制系統，包括運維模塊、Maxcompute數據中臺模塊、Maxcompute用戶模塊及Dataworks權限控制模塊，其特征在于：所述Maxcompute數據中臺模塊通過Maxcompute用戶模塊及Dataworks權限控制模塊進行權限管理與控制，其中Maxcompute用戶模塊主要負責數據倉庫服務的權限管理，包括用戶認證、項目空間整體保護、平臺底層運營和運維、項目空間級別的強制訪問控制策略以及ACL、角色權限管理，Dataworks權限控制模塊主要實現數據處理之間的權限控制，負責企業之間的數據安全隔離、劃分角色權限以便管理人員對數據的操作權限。

2.根據權利要求1所述的一種基于數據中臺的數據權限控制系統，其特征在于：所述Maxcompute數據中臺模塊包括安全隔離模塊和權限控制模塊；

安全隔離模塊：針對不同的用戶數據進行數據存儲隔離，確保各個用戶之間對于計算資源和存儲資源的隔離性、安全性，租戶獨立管理自有的數據、權限、用戶、角色，彼此隔離，以確保數據安全；

權限控制模塊：ACL授權和Policy授權兩種方式對賬號的訪問權限進行控制，未經授權的賬號不能獲得資源的訪問權限。

3.根據權利要求1所述的一種基于數據中臺的數據權限控制系統，其特征在于：所述Maxcompute用戶模塊包括資源劃分模塊、空間保護模塊及IP白名單模塊；

資源劃分模塊：對數據資源權限進行定義，制定合適的數據資源目錄清單，建立數據資源到數據權限集合的對應管理，保障數據資源的安全可控；

空間保護模塊：實現項目空間中“數據只能本地循環，允許寫入，不能讀出”，保護項目中的敏感數據不發生外露；

IP白名單模塊：項目空間的多租戶及安全認證機制，確保獲取了正確的經過授權的AccessKey ID及AccessKey Secret才能通過鑒權。

4.根據權利要求1所述的一種基于數據中臺的數據權限控制系統，其特征在于：所述Dataworks權限控制模塊包括開發和生產權限隔離模塊、沙箱隔離模塊及權限管理模塊；

開發和生產權限隔離模塊：以工作空間為單位管理代碼與配置，可區分開發環境和生產環境，調度訪問身份以主賬號和子賬號劃分為準；

沙箱隔離模塊：工作空間是DataWorks用戶數據隔離的基本單位，工作空間內的所有任務均運行在沙箱內，以保證數據不被泄露；

權限管理模塊：對工作空間中的數據權限進行管理，可細化到表級、字段級授權，并實現權限的查看與審計。

5.根據權利要求1所述的一種基于數據中臺的數據權限控制系統，其特征在于：所述Maxcompute數據中臺模塊向Maxcompute用戶模塊提供的數據接口由DataWorks組件數據服務模塊實現，接口調用對不安全的數據輸入進行轉義、過濾等操作；記錄所有對數據接口的訪問行為，提供的接口使用加密通道。

6.根據權利要求1所述的一種基于數據中臺的數據權限控制系統，其特征在于：所述Maxcompute數據中臺模塊對外批量共享的接口由云盾-數據安全組件實現。

7.根據權利要求1所述的一種基于數據中臺的數據權限控制系統，其特征在于：所述Maxcompute數據中臺模塊由Maxcompute等組件實現數據操作的權限控制以及監控，實時展示基于規則配置的敏感數據的訪問量，訪問趨勢，導出量，導出明細。

8.根據權利要求6所述的一種基于數據中臺的數據權限控制系統，其特征在于：對外提供數據接口通過API認證和鑒權方式，保證接口調用的安全，提供的接口使用加密通道，接口調用中應通過帶時間戳的簽名驗簽機制保證完整性，通過甄別對核心組件中敏感數據的異常操作行為，提升數據接口交互威脅感知與預警能力。