[發(fā)明專利]基于零信任安全網(wǎng)絡(luò)的訪問授權(quán)方法、系統(tǒng)及存儲(chǔ)介質(zhì)

在審

• 申請(qǐng)?zhí)枺?/td>: 202210979300.3
• 申請(qǐng)日: 2022-08-16
• 公開（公告）號(hào): CN115580424A
• 公開（公告）日: 2023-01-06
• 發(fā)明（設(shè)計(jì)）人: 陳璽;金源
• 申請(qǐng)（專利權(quán)）人: 北京理房通支付科技有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40
• 代理公司: 北京德琦知識(shí)產(chǎn)權(quán)代理有限公司 11018
• 代理人: 鄭紅娟;宋志強(qiáng)

1.一種基于零信任安全網(wǎng)絡(luò)的訪問授權(quán)方法，其特征在于，該方法包括：

服務(wù)請(qǐng)求方將訪問請(qǐng)求消息發(fā)送給網(wǎng)關(guān)；

所述網(wǎng)關(guān)根據(jù)所述訪問請(qǐng)求向決策中心發(fā)起第一授權(quán)請(qǐng)求消息；

所述決策中心從所述第一授權(quán)請(qǐng)求消息中獲取第一訪問服務(wù)信息、第一訪問資源信息、第一訪問環(huán)境信息和第一訪問主體信息，根據(jù)所述第一訪問服務(wù)信息獲取已有的第一授權(quán)策略，根據(jù)所述第一訪問資源信息、第一訪問環(huán)境信息和第一訪問主體信息從所述第一授權(quán)策略中確定匹配的第二授權(quán)策略，所述第一訪問服務(wù)信息表示服務(wù)提供方提供的服務(wù)，所述第一訪問資源信息表示所述服務(wù)提供方所提供的服務(wù)中的資源，所述第一訪問環(huán)境信息表示所述服務(wù)請(qǐng)求方所處的環(huán)境，所述第一訪問主體信息表示所述訪問請(qǐng)求方的身份；

所述決策中心從所述第二授權(quán)策略中獲取相應(yīng)的第二授權(quán)屬性值，所述第二授權(quán)屬性值表示是否為訪問進(jìn)行授權(quán)的值，并向所述網(wǎng)關(guān)返回第一授權(quán)響應(yīng)消息，所述第一授權(quán)響應(yīng)消息攜帶有所述第二授權(quán)屬性值；

所述網(wǎng)關(guān)根據(jù)所述第一授權(quán)響應(yīng)消息處理所述訪問請(qǐng)求消息。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，

所述網(wǎng)關(guān)根據(jù)所述第一授權(quán)響應(yīng)消息處理所述訪問請(qǐng)求消息的步驟包括：所述網(wǎng)關(guān)從所述第一授權(quán)響應(yīng)消息中獲取所述第二授權(quán)屬性值，響應(yīng)于所述第二授權(quán)屬性值為允許，則將所述訪問請(qǐng)求消息轉(zhuǎn)發(fā)給所述服務(wù)提供方，使得所述服務(wù)請(qǐng)求方訪問所述服務(wù)提供方；

或者，

所述網(wǎng)關(guān)根據(jù)所述第一授權(quán)響應(yīng)消息處理所述訪問請(qǐng)求消息的步驟包括：所述網(wǎng)關(guān)從所述第一授權(quán)響應(yīng)消息中獲取所述第二授權(quán)屬性值，響應(yīng)于確定所述第二授權(quán)屬性值為禁止，則向所述服務(wù)請(qǐng)求方返回禁止訪問響應(yīng)消息，使得所述服務(wù)請(qǐng)求方無法訪問所述服務(wù)提供方。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，

所述根據(jù)第一訪問服務(wù)信息獲取已有的第一授權(quán)策略，根據(jù)所述第一訪問資源信息、第一訪問環(huán)境信息和第一訪問主體信息從所述第一授權(quán)策略中無法確定匹配的第二授權(quán)策略時(shí)，該方法進(jìn)一步包括：

所述網(wǎng)關(guān)向所述決策中心發(fā)起第二授權(quán)請(qǐng)求消息；

所述決策中心從所述第二授權(quán)請(qǐng)求消息中獲取第二訪問服務(wù)信息、第二訪問資源信息、第二訪問環(huán)境信息和所述第二訪問主體信息，根據(jù)所述第二訪問服務(wù)信息確定已有的第三授權(quán)策略，根據(jù)所述第二訪問資源信息、所述第二訪問環(huán)境信息和所述第二訪問主體信息從所述第三授權(quán)策略中確定匹配的第四授權(quán)策略；所述第二訪問服務(wù)信息表示服務(wù)提供方提供的服務(wù)，所述第二訪問資源信息表示所述服務(wù)提供方所提供的服務(wù)中的資源，所述第二訪問環(huán)境信息表示所述服務(wù)請(qǐng)求方所處的環(huán)境，所述第二訪問主體信息表示所述訪問請(qǐng)求方的身份；

所述決策中心從所述第四授權(quán)策略中獲取相應(yīng)的第四授權(quán)屬性值，所述第四授權(quán)屬性值表示是否為訪問進(jìn)行授權(quán)的值，并向所述網(wǎng)關(guān)返回第二授權(quán)響應(yīng)消息，所述第二授權(quán)響應(yīng)消息攜帶有所述第四授權(quán)屬性值；

所述網(wǎng)關(guān)根據(jù)所述第二授權(quán)響應(yīng)消息處理所述訪問請(qǐng)求消息。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述網(wǎng)關(guān)向所述決策中心發(fā)起第二授權(quán)請(qǐng)求消息之前，該方法進(jìn)一步包括：

所述決策中心向所述網(wǎng)關(guān)發(fā)送觸發(fā)認(rèn)證消息；

所述網(wǎng)關(guān)根據(jù)所述觸發(fā)認(rèn)證消息向?qū)⒄J(rèn)證中心發(fā)送認(rèn)證請(qǐng)求消息，由所述認(rèn)證中心對(duì)所述服務(wù)請(qǐng)求方進(jìn)行認(rèn)證，并獲取補(bǔ)充訪問主體信息，所述補(bǔ)充訪問主體信息表示所述訪問請(qǐng)求方身份的補(bǔ)充信息；

所述認(rèn)證中心向所述網(wǎng)關(guān)返回?cái)y帶有所述補(bǔ)充訪問主體信息的認(rèn)證響應(yīng)消息；

所述網(wǎng)關(guān)根據(jù)所述認(rèn)證響應(yīng)消息中的補(bǔ)充訪問主體信息對(duì)所述訪問主體信息進(jìn)行更新，獲得更新后的第二訪問主體信息。

5.根據(jù)權(quán)利要求1～4任一項(xiàng)所述的方法，其特征在于，所述根據(jù)第一訪問服務(wù)信息獲取已有的第一授權(quán)策略的步驟包括：

根據(jù)所述第一訪問服務(wù)信息從策略數(shù)據(jù)庫中獲取與所述第一訪問服務(wù)信息匹配的所述第一授權(quán)策略，所述第一訪問服務(wù)信息包括應(yīng)用層協(xié)議、目的IP地址、目的端口地址。