[發(fā)明專利]基于零信任訪問策略的安全微服務(wù)架構(gòu)及實(shí)現(xiàn)方法

有效

• 申請?zhí)枺?/td>: 202110122187.2
• 申請日: 2021-01-27
• 公開（公告）號: CN112765639B
• 公開（公告）日: 2022-11-04
• 發(fā)明（設(shè)計）人: 崔曉暉;樸楊鶴然;陶啟;鄭承良;張寬
• 申請（專利權(quán)）人: 武漢大學(xué)
• 主分類號: G06F21/60
• 分類號: G06F21/60;G06F21/31;G06F21/57;G06F21/64
• 代理公司: 武漢科皓知識產(chǎn)權(quán)代理事務(wù)所(特殊普通合伙) 42222
• 代理人: 石超群

1.一種基于零信任訪問策略的安全微服務(wù)架構(gòu)，其特征在于，包括：身份認(rèn)證中心、微服務(wù)域、內(nèi)部安全域、公共API代理、私有API代理以及安全風(fēng)險中心，

其中，所述身份認(rèn)證中心包括：訪問策略模塊、加脫密模塊、安全生產(chǎn)認(rèn)證模塊和信任引擎模塊，所述訪問策略模塊依據(jù)最小特權(quán)原則制定基于角色的訪問控制策略；所述加脫密模塊用于對數(shù)據(jù)進(jìn)行透明加密；所述安全生產(chǎn)認(rèn)證模塊用于安全地標(biāo)識動態(tài)和異構(gòu)環(huán)境中的微服務(wù)；所述信任引擎模塊負(fù)責(zé)身份驗(yàn)證，并生成短期Access Token和RefreshToken，用戶通過Token訪問微服務(wù)，

所述微服務(wù)域用于存儲公共服務(wù)，

所述內(nèi)部安全域用于存儲特定的高感級服務(wù)或管理服務(wù)，

所述公共API代理用于提供單點(diǎn)登錄并具有過濾機(jī)制，用于接受用戶的訪問請求并調(diào)用所述身份認(rèn)證中心的所述信任引擎模塊，

所述私有API代理具有額外的授權(quán)方案，在調(diào)用方需要到達(dá)所述內(nèi)部安全域時，通過Facade服務(wù)訪問所述私有API代理并傳遞匹配的額外授權(quán)級別，

所述安全風(fēng)險中心包含：中心日志聚合模塊、漏洞檢測模塊和任務(wù)編排模塊，所述中心日志聚合模塊用于持續(xù)監(jiān)控服務(wù)和用戶記錄活動；所述漏洞檢測模塊用于掃描系統(tǒng)并幫助開發(fā)者盡快識別漏洞；所述任務(wù)編排模塊用于將安全掃描任務(wù)按照邏輯關(guān)系進(jìn)行組合以形成自動化監(jiān)測和反饋機(jī)制。

2.一種基于零信任訪問策略的安全微服務(wù)訪問實(shí)現(xiàn)方法，基于權(quán)利要求1所述的基于零信任訪問策略的安全微服務(wù)架構(gòu)實(shí)現(xiàn)微服務(wù)授權(quán)過程，其特征在于，該方法包括以下步驟：

用戶請求托管在微服務(wù)上的受保護(hù)資源；

用戶進(jìn)行單點(diǎn)登錄，公共API代理進(jìn)行多因子身份驗(yàn)證；

驗(yàn)證通過后生成Credential并提交，通過公共API代理對信任引擎模塊進(jìn)行調(diào)用；

信任引擎模塊請求訪問策略模塊對用戶動態(tài)分配權(quán)限；

信任引擎模塊向前端返回短期Access Token和Refresh Token；

前端存儲Refresh Token，并通過Access Token再次調(diào)用微服務(wù)；

公共API代理執(zhí)行過濾機(jī)制，向信任引擎模塊發(fā)出授權(quán)檢查以執(zhí)行訪問授權(quán)操作。

3.根據(jù)權(quán)利要求2所述的基于零信任訪問策略的安全微服務(wù)訪問實(shí)現(xiàn)方法，其特征在于：

所述訪問授權(quán)操作包括：

在信任引擎模塊驗(yàn)證Access Token為有效時，將請求發(fā)送到微服務(wù)以傳遞用戶所需的請求，使用戶訪問微服務(wù)；和/或

在信任引擎模塊驗(yàn)證Access Token為無效時，拒絕用戶訪問微服務(wù)；和/或

在信任引擎模塊驗(yàn)證Access Token過期時，通過Refresh Token從信任引擎模塊請求新的Access Token并再次執(zhí)行驗(yàn)證操作。

4.根據(jù)權(quán)利要求2所述的基于零信任訪問策略的安全微服務(wù)訪問實(shí)現(xiàn)方法，其特征在于：

所述信任引擎模塊請求訪問策略模塊對用戶動態(tài)分配權(quán)限的步驟包括：

用戶向信任引擎請求權(quán)限；

信任引擎模塊向訪問策略模塊請求評估用戶信任度；

訪問策略模塊檢測賬戶及關(guān)聯(lián)屬性；

查詢?nèi)罩揪酆夏K基于以往用戶行為進(jìn)行自動分析以得到用戶訪問的可接受風(fēng)險級別以執(zhí)行分配權(quán)限操作。

5.根據(jù)權(quán)利要求4所述的基于零信任訪問策略的安全微服務(wù)訪問實(shí)現(xiàn)方法，其特征在于：

所述分配權(quán)限操作包括：

在用戶訪問的可接受風(fēng)險級別為接受時，檢測請求資產(chǎn)狀態(tài)，向安全生產(chǎn)認(rèn)證模塊調(diào)用微程序的動態(tài)標(biāo)識，對用戶進(jìn)行權(quán)限分配；和/或

在用戶訪問的可接受風(fēng)險級別為不接受時，則不予用戶分配權(quán)限。

6.根據(jù)權(quán)利要求2所述的基于零信任訪問策略的安全微服務(wù)訪問實(shí)現(xiàn)方法，其特征在于：

在用戶調(diào)用內(nèi)部安全域中微服務(wù)時，該方法還包括以下步驟：

用戶調(diào)用Facade服務(wù)，通過Facade向私有API代理發(fā)出請求；

私有API代理執(zhí)行過濾機(jī)制，驗(yàn)證用戶提供的額外授權(quán)Credential；

基于額外授權(quán)Credential的驗(yàn)證結(jié)果執(zhí)行內(nèi)部安全域訪問授權(quán)操作。

7.根據(jù)權(quán)利要求6所述的基于零信任訪問策略的安全微服務(wù)訪問實(shí)現(xiàn)方法，其特征在于：

所述內(nèi)部安全域訪問授權(quán)操作包括：

在信任引擎模塊驗(yàn)證額外授權(quán)Credential成功時，私有API代理請求訪問策略模塊對用戶動態(tài)分配額外權(quán)限，并允許用戶訪問內(nèi)部安全域中微服務(wù)；和/或

在信任引擎模塊驗(yàn)證額外授權(quán)Credential失敗時，拒絕用戶的訪問請求。