[發明專利]一種基于Kerberos機制實現數據庫登錄認證的方法

有效

• 申請號: 202111279611.0
• 申請日: 2021-11-01
• 公開（公告）號: CN113704724B
• 公開（公告）日: 2022-01-11
• 發明（設計）人: 趙偉;崔杰;姚鑄
• 申請（專利權）人: 天津南大通用數據技術股份有限公司
• 主分類號: G06F21/31
• 分類號: G06F21/31;G06F21/46;G06F21/60
• 代理公司: 天津企興智財知識產權代理有限公司 12226
• 代理人: 石倩倩

本發明提供了一種基于Kerberos機制實現數據庫登錄認證的方法，包括準備認證和動態認證兩個階段，準備認證階段調取插件，建立Kerberos與數據庫間的聯系，動態認證階段客戶端將用戶名發送到服務端；服務端解析用戶名信息，確定否為Kerberos認證方式，若是，則進行標記并將相關認證數據發給客戶端；客戶端收到認證數據進行客戶端身份驗證；驗證通過后，客戶端把服務端的認證主體信息發給KDC，KDC對客戶端和服務端均進行身份合法信息認證；客戶端通過票據授權服務獲取授權票據憑證cred進而發送給服務端；服務端解密cred獲得客戶端信息，與客戶端認證標識進行比較，相同則登錄成功，kerberos認證杜絕了登錄密碼泄露的可能性，并且保證了數據請求方的合法性和數據供給方的合法性。

技術領域

本發明屬于數據庫登錄訪問領域，尤其是涉及一種基于Kerberos機制實現數據庫登錄認證的方法。

背景技術

數據庫的用戶登錄是關系用戶安全的重要保證，如何使這一過程更加安全和有效是數據庫開發者需要考慮的問題。雖然，Kerberos是比較成熟的認證方式，但是如何將其與數據庫用戶有效結合起來還沒有應用場景。實現GBase8a MPP數據庫用戶登錄與Kerberos機制有效結合，加強GBase8a MPP產品用戶安全性以及提升用戶認證性能具有重要意義。

發明內容

有鑒于此，本發明旨在提出一種基于Kerberos機制實現數據庫登錄認證的方法，以解決數據庫用戶登錄缺乏有效的認證方式的問題，提升數據庫用戶認證性能。

為達到上述目的，本發明的技術方案是這樣實現的：

一種基于Kerberos機制實現數據庫登錄認證的方法，數據庫包括服務端和客戶端，具體步驟如下：

S1、準備認證，具體步驟如下：

S11、數據庫調用票據授權服務、認證方式Kerberos插件，建立插件-行為關系；

S12、在服務端系統表中建立用戶和客戶端認證標識關系的用戶-認證方式關系表；

S13、Kerberos的密鑰分發中心KDC對應服務端和客戶端分別設置用戶-密碼文件；

S14、數據庫服務端配置參數，所述參數包括服務端認證主體、用戶-密碼文件所在的路徑，將用戶-密碼文件根據用戶-密碼文件所在的路徑存儲到客戶端和服務端；

S2、動態認證，具體步驟如下：

S21、客戶端發起登錄請求，并將其用戶名發送到服務端；

S22、數據庫服務端解析出用戶名信息，服務端根據用戶-認證方式關系表確定用戶名對應的認證方式，若用戶名有對應的認證方式，服務端則進行標記并將相關認證數據發給客戶端；若用戶名沒有對應的認證方式，服務端則按照默認的數據庫用戶名密碼方式進行登錄認證；

S23、客戶端收到服務端發過來的認證數據，進行客戶端身份驗證；

S24、客戶端身份驗證通過后，客戶端把服務端的認證主體信息發給密鑰分發中心KDC，密鑰分發中心KDC對客戶端和服務端均進行身份合法信息認證；

S25、票據授權服務中心從票據授權服務中心的數據庫中根據服務端認證主體找到對應的客戶端認證標識及授權票據憑證cred；所述授權票據憑證cred為客戶端訪問服務端的權限憑證；

S26、服務端收到客戶端授權票據憑證cred后，經過解密獲得客戶端信息，將客戶端信息與從系統表中拿到的客戶端認證標識進行比較，如果相同則成功，否則登錄失敗；

S27、客戶端設置授權票據憑證cred緩存機制，在一定時間內，憑借授權票據憑證cred訪問服務端可免驗證登錄，所述在一定時間內是指在服務端的配置文件設定的失效時間間隔。