[發明專利]一種基于零信任策略的訪問控制方法及介質

有效

• 申請號: 202111148793.8
• 申請日: 2021-09-28
• 公開（公告）號: CN113904824B
• 公開（公告）日: 2022-11-04
• 發明（設計）人: 李虹達
• 申請（專利權）人: 貝殼找房（北京）科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L67/02
• 代理公司: 北京德琦知識產權代理有限公司 11018
• 代理人: 鄭紅娟;宋志強

1.一種基于零信任策略的訪問控制方法，其特征在于，該方法包括：

接收用戶的訪問請求消息，所述訪問請求消息包括用戶信息、受訪業務信息和訪問協議，所述用戶信息表示驗證用戶身份時所需要的信息，所述受訪業務信息表示驗證受訪業務是否允許被訪問時所需要的信息，所述訪問協議表示訪問受訪業務所采用的協議類型；所述受訪業務信息包括受訪地址、受訪路徑和受訪端口號；

判別所述訪問協議的類型；

響應于所述訪問協議屬于七層網絡協議，將所述用戶信息和所述受訪業務信息與事先設置的七層訪問控制信息進行比對，比對通過時，則允許所述訪問請求消息按照七層網絡協議對所述受訪業務進行訪問，所述七層訪問控制信息表示按照七層網絡協議訪問時需要驗證的信息；所述七層訪問控制信息包括第一領域層、第一服務層和第一策略層；所述第一領域層包括第一地址信息，所述第一領域層表示受訪業務所在領域的地址；所述第一服務層包括第一協議、第一子地址、第一端口號，所述第一服務層表示受訪業務提供的服務；所述第一策略層包括第一策略資源子層、第一策略主體子層、第一策略環境子層，所述第一策略層表示訪問受訪業務需配置的策略；所述第一策略資源子層包括表示訪問受訪業務路徑的第一路徑，所述第一策略主體子層包括表示允許訪問所述受訪業務的第一授權主體信息，所述第一策略環境子層包括表示訪問受訪業務時所處環境的第一環境信息；

響應于所述訪問協議屬于四層網絡協議，將所述用戶信息和所述受訪業務信息與事先設置的四層訪問控制信息進行比對，比對通過時，則允許所述訪問請求消息按照四層網絡協議對所述受訪業務進行訪問，所述四層訪問控制信息表示按照四層網絡協議訪問時需要驗證的信息。

2.根據權利要求1所述的方法，其特征在于，所述接收用戶的訪問請求消息的步驟包括：

網關接收到用戶的所述訪問請求消息，獲取所述用戶信息、所述受訪業務信息和所述訪問協議，并將所述訪問請求消息轉發給決策中心；

所述決策中心接收所述訪問請求消息，獲取所述用戶信息、所述受訪業務信息和所述訪問協議。

3.根據權利要求2所述的方法，其特征在于，所述響應于所述訪問協議屬于七層網絡協議，將所述用戶信息和所述受訪業務信息與事先設置的七層訪問控制信息進行比對，比對通過時，則允許所述訪問請求消息按照七層網絡協議對所述受訪業務進行訪問的步驟包括：

所述決策中心從數據庫獲取所述七層訪問控制信息；

所述決策中心將所述受訪業務信息與所述七層訪問控制信息進行比對，比對通過時，繼續執行后續步驟；否則，所述決策中心向所述網關返回拒絕訪問的消息，所述網關向用戶返回所述拒絕訪問的消息，并結束所述響應于所述訪問協議屬于七層網絡協議的步驟；

所述決策中心將所述用戶信息和所述七層訪問控制信息進行比對，比對通過時，所述決策中心向所述網關返回允許訪問的消息；所述網關將所述訪問請求消息轉發給受訪業務，并將所述受訪業務返回的業務消息轉發給用戶，以實現用戶對受訪業務的訪問；否則，所述決策中心向所述網關返回拒絕訪問的消息，所述網關向用戶返回所述拒絕訪問的消息，并結束所述響應于所述訪問協議屬于七層網絡協議的步驟。

4.根據權利要求3所述的方法，其特征在于，所述決策中心將所述受訪業務信息與所述七層訪問控制信息進行比對的步驟包括：

所述決策中心判別所述第一領域層的第一地址信息中是否記錄有所述受訪地址，如果有，則繼續執行；否則，確認比對未通過；

所述決策中心判別所述第一服務層的第一端口號中記錄有所述受訪端口號，且所述第一端口號對應的所述第一協議為所述訪問協議，所述第一端口號對應的第一子地址為所述受訪地址，如果均通過，則繼續執行；否則，確認比對未通過；

所述決策中心判別所述第一策略資源子層的第一路徑中是否記錄有所述受訪路徑，如果有，則繼續執行；否則，確認比對未通過；

所述決策中心將所述用戶信息和所述七層訪問控制信息進行比對的步驟包括：所述決策中心判別所述第一策略主體子層的第一授權主體信息是否記錄有所述用戶信息，如果有，則繼續執行；否則，確認比對未通過。