[發明專利]一種訪問控制系統、訪問控制方法及相關裝置

有效

• 申請號: 202110045196.6
• 申請日: 2021-01-13
• 公開（公告）號: CN112866232B
• 公開（公告）日: 2022-03-29
• 發明（設計）人: 岳炳詞
• 申請（專利權）人: 新華三信息安全技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種訪問控制系統，其特征在于，包括安全防護可信控制中心和策略中心，所述安全防護可信控制中心中劃分了多個虛擬可信控制節點，每個虛擬可信控制節點用于為一個虛擬化私有云提供服務，每個虛擬化私有云用于提供業務服務，其中：

所述虛擬可信控制節點，用于接收用戶的業務訪問許可請求，并根據所述業務訪問許可請求生成認證頁面并將所述認證頁面的認證統一資源定位符URL發送給所述策略中心，所述URL包括所述虛擬可信控制節點所提供服務的虛擬化私有云的云標識；

所述策略中心，用于在接收到認證URL后，向所述用戶展示所述認證頁面；以及接收所述用戶基于所述認證頁面反饋的用戶信息，根據所述用戶信息和所述云標識對所述用戶進行身份認證；在認證通過后為所述用戶生成身份令牌并發送給所述用戶；

所述虛擬可信控制節點，還用于接收所述用戶發送的業務訪問請求，所述業務訪問請求攜帶所述身份令牌和所請求訪問的業務的業務信息；向所述策略中心發送鑒權請求，所述鑒權請求中攜帶所述身份令牌、所述業務信息和所述云標識；

所述策略中心，還用于在接收到所述鑒權請求后，根據所述鑒權請求攜帶的所述身份令牌、所述業務信息和所述云標識對所述用戶的訪問權限進行鑒權；并向所述虛擬可信控制節點反饋鑒權結果；

所述虛擬可信控制節點，還用于在接收到所述鑒權結果后，對所述業務訪問請求進行控制。

2.根據權利要求1所述的系統，其特征在于，

所述策略中心，具體用于若所述鑒權請求攜帶的所述身份令牌、所述業務信息和所述云標識在預先維護的訪問權限關系列表中，則確認對所述用戶針對所請求的業務的訪問權限鑒權成功，所述訪問權限關系列表中包括用戶信息、云標識與業務信息三者之間的對應關系。

3.根據權利要求2所述的系統，其特征在于，

每個虛擬可信控制節點，還用于向所述策略中心發送注冊請求；

所述策略中心，還用于在接收到所述注冊請求后，為該虛擬可信控制節點分配身份標識和該虛擬可信控制節點所要提供服務的虛擬化私有云的云標識；

該虛擬可信控制節點，還用于接收所述策略中心為所述虛擬可信控制節點分配的身份標識和所述虛擬可信控制節點所要提供服務的虛擬化私有云的云標識；

所述策略中心，還用于獲取允許訪問所述虛擬化私有云的用戶的用戶信息和所述虛擬化私有云所能提供的業務服務中所述用戶所能訪問的業務的業務信息；以及在所述訪問權限關系列表中記錄所述虛擬化私有云的云標識、允許訪問所述虛擬化私有云的用戶的用戶信息和所能訪問的業務的業務信息三者之間的對應關系。

4.根據權利要求1所述的系統，其特征在于，

所述策略中心，還用于獲取用戶的終端安全評估信息和用戶的行為安全評估信息；根據所述終端安全評估信息和所述行為安全評估信息對所述用戶進行安全評估，得到所述用戶的可信度；根據所述用戶的可信度調整所述用戶所能訪問的業務的訪問權限并更新訪問權限關系列表。

5.一種訪問控制方法，其特征在于，應用于安全防護可信控制中心中，所述安全防護可信控制中心中劃分了多個虛擬可信控制節點，每個虛擬可信控制節點用于為一個虛擬化私有云提供服務，每個虛擬化私有云用于提供業務服務，所述方法包括：

接收用戶的業務訪問許可請求；

根據所述業務訪問許可請求生成認證頁面并將所述認證頁面的認證統一資源定位符URL發送給策略中心，所述URL包括所述虛擬可信控制節點所提供服務的虛擬化私有云的云標識；

接收所述用戶發送的業務訪問請求，所述業務訪問請求攜帶身份令牌和所請求訪問的業務的業務信息；

向所述策略中心發送鑒權請求，所述鑒權請求中攜帶所述身份令牌、所述業務信息和所述云標識；

接收所述策略中心反饋的鑒權結果，根據所述鑒權結果對所述業務訪問請求進行控制。

6.根據權利要求5所述的方法，其特征在于，還包括：

向所述策略中心發送注冊請求；

接收所述策略中心為該虛擬可信控制節點分配的身份標識和該虛擬可信控制節點所要提供服務的虛擬化私有云的云標識。