CN101785276A - 用于执行资源委托的方法和系统 - Google Patents

Abstract

一种执行具体为服务的资源的委托的方法，其中，作为资源所有者的用户具有对服务提供方所提供的资源的访问权，并且所述资源通过使用委托凭证被委托给至少一个作为受委托者的其他用户，其特征在于，所述方法包括以下步骤：为与资源访问限制有关的受委托者定义授权规则，并在身份提供方处登记所述授权规则从而采用所述委托凭证，在服务提供方处执行对受委托者的认证，以及基于所述授权规则在身份提供方处执行对受委托者的授权。此外，公开了相应的系统。

Description

用于执行资源委托的方法和系统

技术领域

本发明涉及一种用于执行资源(特别是业务)委托的方法，其中，用户(资源所有者)可以访问服务提供方提供的资源，并且该资源是通过使用委托凭证委托给至少一个其他用户(受委托者)的。

此外，本发明涉及一种在具体服务中执行资源委托的系统，该系统包括用于提供资源的服务提供方，其中用户(资源所有者)可以访问资源，并且该资源是通过使用委托凭证委托给至少一个其他用户(受委托者)的。

背景技术

涉及每个人或个体的偏好和数据使得在某种程度上难以区分ISP(互联网服务提供方)处的帐户与与该ISP所提供的服务有关的订单。更一般地，由于个人简档被链接到订单，所以传输订单(网络访问)是共享的，并且单独的服务提供方订单是被持有的。在联邦身份环境下，用户简档被链接到不同的订单。尽管这是已经有解决方案的公知问题，然而利用委托来共享订单的问题仍然是开放的领域，已经有的解决方案如在Liberty Alliance(参见http://www.projectliberty.org)以及OpenID(http://www.openid.net)中提出的那些解决方案。

发明内容

因此，本发明的目的是改进并进一步开发一种最初描述类型的方法和系统，该方法保持用户隐私并允许紧密地控制委托过程和环境以允许用户与其他人共享他们对资源的访问，通过这种方式来执行资源委托。

根据本发明，包括权利要求1的特征在内的方法实现了上述目的。根据该权利要求，该方法的特征在于该方法包括以下步骤：在服务提供方处执行对受委托者的认证，以及基于授权规则在身份提供方处执行对受委托者的授权。

此外，利用包括独立权利要求18的特征在内的系统实现了前述目的。根据该权利要求，该系统的特征在于所述服务提供方被配置来执行对受委托者的认证，以及提供了身份提供方，所述身份提供方被配置来基于授权规则执行对受委托者的授权。

根据本发明，首先认识到，现有的机制并未提供利用委托来共享资源的充分灵活和安全的可能性。本发明解决了如何将身份管理功能、服务提供方订单管理以及密码学原语相结合，以产生允许用户将订单或支付委托给其他用户的方法和系统。尽管服务提供方仍然具有认证用户和确认委托的权利，然而身份提供方仍然能够基于访问控制规则(即，授权规则)来准许或拒绝访问。该过程将认证与授权分开，这提高了系统的灵活性。服务提供方并不一定需要知道授权规则，并且身份提供方可以不是用户针对服务访问的认证的一部分。

此外，认证和针对服务消耗的授权的分开还允许了附加的隐私好处：服务提供方并不需要知道受委托用户，仅需要知道其与订户的关系。根据现有技术在同一个订单下支持多个用户的一般方式包括对链接的服务提供方侧的认知或者对不同用户的凭证共享(从而无差别)的认知。通过采用密码学原语形式的委托凭证(如，标记并验证消息和证书)，确保了根据本发明的方法和系统的健全和安全。

提供了一种灵活的委托方法和系统，允许对与不同委托有关的账户用户的多个配置和控制。这将意味着资源或订单持有者并不简单地提供用户的凭证或身份，而是可以要求服务分发该持有者与该持有者的订单链接的新凭证。然后，受委托的实体可以使用这些凭证来访问服务。由于新用户并不直接涉及交易，所以服务提供方知道资源持有者或订户允许该新用户使用该账户但是不必知道该新用户是谁(责任落在订户上)。

根据本发明的方法和系统构成了集中式的委托管理并产生了以下优点：易于订单管理(从用户的角度来看是便于操纵)，提高了其用户的隐私(保护受委托者的身份，同时在受委托者的身份方面维持高的安全参数)，以及为身份提供方提供新的商业模式。

根据优选实施例，可以在身份提供方处登记针对受委托者定义的授权规则，从而采用所述委托凭证。授权规则可以准许受委托者没有限制地完全访问资源。另一方面，可能针对受委托者定义的授权规则包括资源访问限制。

根据另一优选实施例，可以由持有服务订单的资源所有者来建立对资源的访问。资源所有者可以例如直接订购由服务提供方提供的服务。

优选地，服务提供方分发并(在认证过程中)验证委托凭证。在委托的情况下，可以假定将委托凭证从资源所有者(例如，订单持有者)移交给受委托者。换言之，服务提供方持有认证的权利。服务提供方持有、产生、并检验被受委托者用来访问服务的凭证。然而，提供授权的访问控制策略(在这种情况下可以准许访问)可以是单独的，并且可以存储在身份提供方处。好处在于，服务提供方并不需要处理授权规则(通常基于在服务提供方的领域之外的组、上下文等等)，而仅仅处理认证以及用户与订单的绑定。

关于高安全性，可以假定在服务提供方处对受委托者的认证是基于委托凭证来执行的。备选地或附加地，当受委托者在服务提供方处请求服务时，可以基于委托凭证在身份提供方处执行对受委托者的认证。此外，可以在服务提供方处执行授权，这产生了责任上的好处，如身份提供方可以主张由于在服务提供方处完成了授权的一部分，所以该身份提供方不能对任何的用户不当行为负责。

根据优选实施例，可以在身份提供方处提供用户账户，其中每个账户链接到用户的另一数字身份。在这种情况下，可以以数字身份专用的方式来定义为受委托者定义的授权规则。具体地，可以假定在服务提供方处对受委托者的认证基于受委托者的数字身份。具体地，可以假定允许一个数字身份访问或使用资源/服务，其中，针对另一数字身份，该访问/使用被拒绝。在这种情况下，重要的是注意到清楚地区分用户的数字身份与物理身份。因为一个物理人可以具有多个数字身份，所以在一些情况下，该人可能无法以一个数字身份访问服务但是可以以另一数字身份访问该服务。

应注意，身份提供方还可以用于同时针对多个服务处理访问控制。所以，同一个委托下的同一个用户可以在不同凭证下使用同一个的授权规则来访问不同的服务。另一方面，可以指定一般的授权规则，该一般的授权规则可以应用于多于一个的委托。在任何情况下，资源持有者都可以在不与服务提供方联系的情况下改变委托授权。

访问控制特性发生改变的不同的实例是可能的。例如，资源持有者可以使其授权规则基于若干方面。具体地，这些授权规则可以基于要委托的服务的类型。此外，可以指定时间，在所述时间期间允许受委托者访问要委托的资源。此外，可以指定用户，其中，可以考虑到用户的数字身份。此外，可以在授权规则内指定访问或使用资源/服务的成本，例如，在指定成本限额方面。所列标准仅将被理解为示例，即，可以想到用于限定授权规则的其他标准，并且可以根据特定需要和需求来指定其他标准。

根据优选实施例，该优选实施例提供了高安全性并且易于实现，委托凭证可以包括证书和密钥。然后，在委托的情况下密钥所移交到的每个实体将能够使用所委托的资源。

关于授权的易于处理，可以假定授权信息集中在身份提供方处，其中针对每个受委托者聚集该信息。备选地或附加地，可以在身份提供方处集中授权信息，其中针对每项服务来总计该信息。然而，授权规则的分布式管理也是可能的。

附图说明

有多种方法以有利的方式来设计并进一步开发本发明的教导。为此，一方面参考从属于权利要求1和18的专利权利要求，另一方面参考以下附图所示的对本发明的实施例的优选示例的说明。借助于附图，结合对本发明实施例的优选示例的说明，将说明对一般优选实施例和教导的进一步发展。附图中：

图1是具有多个身份的示例家庭的示意图，

图2示出了采用各种委托示例的场景，在该场景中可应用根据本发明的方法，

图3示出了根据本发明第一实施例的消息序列图的示例，

图4示出了根据本发明实施例的应用场景，

图5示意性地示出了受委托者的服务访问，

图6示出了建立阶段内的消息流，用户在建立阶段中建立委托，

图7示出了服务消耗阶段内的消息流，受委托者在服务消耗阶段中访问所委托的服务。

具体实施方式

在下文中，详细说明了IPTV领域内针对委托的特定用例场景。理想的委托对服务订单共享的特殊情况进行处理。用例引入身份管理平台来作为对委托场景中的访问控制进行处理的监督实体。

在目前的典型IPTV场景中，基本服务的用户订单通常是被共享的，因为针对服务并不存在特定的每个用户的认证。将预期的是，随着身份管理和个性化服务的激增，这将发生改变。用户订单(到目前为止，是用户访问服务的标识符)将不再足够了。

IPTV所支持的服务远超过数字电视当前所提供的那些服务。除了现有系统已经提供的那些服务之以外，这些服务还包括：IP电话、游戏服务以及甚至对第三方服务的访问。IPTV提供方与外部服务之间的交互是以下详细描述的用例所要处理的重要方面。

用户必须独立地管理对IPTV提供方和服务提供方的所有不同订单，而不管这些订单是否是由同一个运营商提供的还是由第三方提供方提供的。身份管理可以提供一种使得用户账户的管理变得容易的公共平台。具体地，由于与身份管理平台交互的服务通常还依赖于身份的概念，所以对与不同数字身份绑定的用户订单的管理是问题的另一方面。

在所描述的场景中，假定用户及其数字表示(或虚拟身份(VID))是不同的实体。用户持有订单，该订单是该用户与该用户的服务提供方之间的契约性绑定，然而可以根据需要使该订单与该用户的VID有关。在图1中，示出了一个家庭，将使用该家庭来描述根据本发明的方法与IPTV有关的实施例。在图1中示出了可以建立合同并创建服务订单的不同用户及其数字身份，利用这些数字身份，这些用户将在这些服务中被识别出来、保持个性和历史信息以及可能地认证凭证。更具体地，所示出的家庭包括三个人：父亲、母亲和儿子。这些人的数字身份指的是他们的家族以及他们的职业。例如，父亲与数字身份“父亲”(关于他的家族背景)以及“雇员”(关于他的职业背景)有关。对于母亲这个人提供了两个家族相关的数字身份：“母亲”和“妻子”。将注意，图1所示的数字身份仅仅是出于说明性目的而选择的，可以想到与各种用户背景有关的其他数字身份(成员、体育等等)。

在图2中，详细描述了可能在例如IPTV的背景下出现的委托场景。在图2的上部描述了三个不同的资源或服务，它们是：电话服务(左)、互联网服务(中)和基于信用卡的支付或购买服务(右)。在支付服务的情况下，用户(即，所示情况中的母亲)可以将使用他/她的账户来支付其他服务或电子商务的权利进行委托。

在这些服务下方，示出了账户的持有者以及负责订单的主数字身份。在一些情况下，可以将多于一个的数字身份直接链接到订单。订户将订单的使用委托给其他数字身份；该其他数字身份中的一些属于他们自己，另一些属于其他可信任的实体。在图2所示的用例中，用户创建订单的形式一定程度上是将该订单映射到数字身份的正交问题。

在图2左侧所示的示例中，父亲(电话服务的订户)将服务订单完全委托给母亲。对于电话服务被认证为“母亲”的这个用户将可以完全地访问该服务，然后将在父亲的账户下对该服务进行支付。

该委托问题的一个扩展是针对每个委托添加更复杂的访问控制规则。以上述示例为例，电话服务的订户“父亲”将电话服务的使用委托给“儿子”，但是限制用户“儿子”可以在该服务上花费的钱数。示出了另一受限的委托，其中被认证为“雇员”的父亲仅被允许呼叫儿子。关于互联网服务，对儿子有两个不同的限制：在其作为儿子的身份下，该限制基于服务的特定类型(例如，拒绝对某些游戏服务的访问)，另一方面，在其作为学生的身份下，该限制基于时间(例如，仅在白天的某些小时期间准许访问)。

将注意，根据图2的特定实施例，父亲在其作为父亲的身份下(作为受委托者)有权允许进一步的委托，通过这种方式实现了与购买服务有关的委托。在这种情况下，关于特定服务，儿子在其作为儿子的身份下再次受到限制。

在图3中，示出了针对IPTV中的委托的特定情况的消息序列图。该图包括属于被称作建立阶段的序列的消息(虚线上方示出的消息)以及属于被称作服务使用阶段的后续序列的消息(虚线下方示出的消息)。假定订单所有者已经具有与IPTV提供方以及至第三方服务提供方的订单。

建立阶段

A.1)在该步骤中，订单的所有者在IPTV服务提供方处创建链接，这允许只要IPTV提供方遵守身份提供方处的访问控制规则，另一用户便能使用该所有者的账户。

A.2)利用第三方服务提供方来执行类似的操作。

A.3)订单的所有者在身份提供方处建立访问控制规则。该操作可以被看做将“经过认证”的信息添加到受委托者的简档或者给受委托者针对他们的凭证以添加到他们自己的简档。将注意，在该步骤中，用户可以建立影响这两种服务的一般访问控制策略，这是使用身份管理系统来执行访问控制的优点之一。

服务消耗阶段

B.1)受委托者访问IPTV服务。

B.2)IPTV服务提供方联系身份提供方(也可以在IPTV运营商的域内)以认证用户。将要假定在这种情况下已经利用用户的身份提供方来认证了用户；否则，将在此时进行认证。

B.3)一旦身份提供方可以验证用户是经过认证的，使用该委托来验证对该服务的进行访问的访问控制限制。基于此，身份提供方将允许或拒绝访问该服务。

此外，IPTV提供方可以在向用户提供访问之前检验与服务委托相关的其他访问控制凭证。

步骤B.4)、B.5)描绘了涉及第三方服务提供方的类似场景。将注意，主要由身份管理系统来执行授权控制，并且可以在受委托者之间共享策略(减轻在用户订单管理方面的努力)。

图4示出了根据本发明另一实施例的应用场景。在第一步骤中，用户订购服务，该服务分发凭证以访问并管理该用户的订单。在步骤2中，用户请求服务以委托该用户的订单，并从服务提供方接收凭证集(证书和私钥)。具有该私钥的任何人都将能够使用该委托。

在步骤3，订单的受委托者或所有者建立他们的身份管理系统以负责委托。这意味着(在本文的场景中)使身份管理系统知道该委托属于儿子。此外，在步骤3中，所有者可以决定建立额外的访问控制规则，这些额外的访问控制规则是针对委托的单独授权。在步骤4，所有者向委托者提供密钥，利用该密钥，受委托者可以使用订单来访问服务。步骤5说明了如何才可以访问服务，并且在下文中对步骤5进行了进一步的详细描述。最后，订户接收每个委托以及订户自己对订户的订单的联合使用的账单。

图5示意性地示出了受委托者进行的服务访问。更具体地，服务是由服务提供方SP提供的游戏服务，其中父亲(例如，根据先前说明的应用示例)是将服务委托给其儿子的订单持有者。

服务提供方SP持有与父亲的订单有关的信息，包括例如在订购之后服务提供方SP已分发的委托凭证。通过采用凭证，父亲对身份提供方IdP进行配置。在图5所示的特定情况下，在IdP处产生条目，包括受委托者“儿子”、在儿子与父亲之间指示委托发起者的链接、由服务提供方SP分发的证书(包括例如服务名称)以及最后包括在该证书上配置的规则集合。换言之，在IdP处，将受委托者的数字身份与服务和针对委托的证书相链接。

一旦如上所述配置了服务提供方SP和身份提供方IdP，由于委托现在被激活，父亲便可以将委托凭证的密钥给儿子。当儿子与服务提供方SP联系并要求服务时(由从儿子指向SP的上部箭头进行指示)，SP将联系IdP以对儿子进行认证。关于图7在某种程度上更详细地描述了该步骤。在基于委托的证书向SP进行成功的认证之后，准许儿子访问服务(从而在IdP处考虑为该服务以及为该受委托者配置的授权规则)，并且可以开始服务消耗(由从SP指向儿子的下部箭头进行指示)。

图6描绘了在资源所有者建立委托时在建立阶段的消息流。首先，资源所有者联系服务提供方并使用其凭证(这种机制在本发明范围之外)来进行认证。然后，为资源所有者分发凭证--证书和密钥(与证书中的公钥相对应)。为此，可以采用相应服务提供方的所有权(例如，基于web的)协议。然后可以通过对称加密技术以使用两个加密密钥来验证尝试访问委托的用户的有效性。

一旦所有者拥有这些密钥，该所有者就通过发送证书并配置与该证书有关的规则集来配置受委托者的身份管理系统。在该步骤中，该所有者还可以呈现多于一个的证书并针对所有这些委托来设置联合委托规则。例如，为此，可以采用SAML(安全断言标记语言)或基于web的协议。

将注意，这没有引起安全性风险，因为：攻击可以是向受委托者不想要的订单提供委托(这没有向受委托者提供隐私或任何其他危险)，并且，由于证书由服务提供方分发并且包含所有者的身份，在允许所有者设置委托规则之前，身份提供方本地地或者在所有者的身份提供者处对该所有者进行认证。这种机制也在本发明的范围之外。一旦配置了服务提供方和身份提供方，由于现在激活了委托，所有者现在便可以给受委托者密钥(例如，通过物理传送)。

图7示出了尝试访问服务的受委托者，其中该服务已经被委托给了该受委托者。第一步骤是，(通过采用服务提供方专用协议)与服务提供方联系并要求服务。如在普通身份管理场景中一样，SP将与身份提供方联系，以对用户进行认证。作为该认证的一部分，IdP将识别委托并检查与该委托有关的其他规则。如果可应用的话，身份提供方将把与对SP的委托有关的额外限制和该委托的证书同对受委托者的认证结果一起发送(可以将该步骤替换成对证书的简单参考，因为作为分发者，SP还可以存储证书)。

然后，SP将与受委托者接触并请求该受委托者基于委托的证书来进行认证(第二次)。该步骤确保了受委托者不拷贝委托，而是真实的受委托者。然后，受委托者可以使用密钥对来自SP的挑战作出应答，并且可以开始服务消耗。由于SP可以将委托与所有者的账户相关联，所以还将针对受委托者所访问的服务对所有者开账单。

得益于以上说明书以及相关附图中所提出的教导，本发明所属领域普通技术人员将能够想到这里所阐述的本发明的许多修改和其他实施例。因此，将理解，本发明不限于所公开的特定实施例，并且修改和其他实施例旨在包含于所附权利要求的范围之内。尽管本文采用了特定术语，然而这些术语仅用于一般和描述性情况而并不出于限制目的。

Claims (21)

1.一种执行具体为服务的资源的委托的方法，其中，作为资源所有者的用户具有对服务提供方所提供的资源的访问权，并且通过使用委托凭证将所述资源委托给作为受委托者的至少一个其他用户，

其特征在于，所述方法包括以下步骤：

在所述服务提供方处执行对受委托者的认证，以及

基于授权规则，在身份提供方处执行对受委托者的授权。

2.根据权利要求1所述的方法，其中，在所述身份提供方处登记针对受委托者定义的所述授权规则，从而采用所述委托凭证。

3.根据权利要求1或2所述的方法，其中，针对受委托者定义的所述授权规则包括资源访问限制。

4.根据权利要求1至3中任一项所述的方法，其中，持有服务订单的资源所有者建立对资源的所述访问权。

5.根据权利要求1至4中任一项所述的方法，其中，所述服务提供方分发所述委托凭证。

6.根据权利要求1至5中任一项所述的方法，其中，将所述委托凭证移交给受委托者。

7.根据权利要求1至6中任一项所述的方法，其中，基于所述委托凭证来执行在服务提供方处对受委托者的所述认证。

8.根据权利要求1至7中任一项所述的方法，其中，当受委托者请求服务提供方处的服务时，基于所述委托凭证来在身份提供方处执行对受委托者的认证。

9.根据权利要求1至8中任一项所述的方法，其中，在所述服务提供方处执行授权。

10.根据权利要求1至9中任一项所述的方法，其中，在所述身份提供方处提供用户账户，每个账户被链接到用户的另一数字身份。

11.根据权利要求10所述的方法，其中，以数字身份专用方式来定义针对受委托者定义的所述授权规则。

12.根据权利要求10或11所述的方法，其中，所述服务提供方处对受委托者的认证基于受委托者的数字身份。

13.根据权利要求1至12中任一项所述的方法，其中，所述授权规则基于资源/服务的类型、时间、资源/服务的用户成本和/或其它。

14.根据权利要求1至13中任一项所述的方法，其中，所述授权规则与其它委托的允许或拒绝有关。

15.根据权利要求1至14中任一项所述的方法，其中，所述委托凭证包括证书和密钥。

16.根据权利要求1至15中任一项所述的方法，其中，在身份提供方处集中按照每个受委托者所聚集的授权信息。

17.根据权利要求1至16中任一项所述的方法，其中，在身份提供方处集中按照每个服务所聚集的授权信息。

18.一种执行具体为服务的资源的委托的系统，所述系统包括用于提供资源的服务提供方，其中，作为资源所有者的用户具有对资源的访问权，并且其中，通过使用委托凭证将所述资源委托给作为受委托者的至少一个其他用户，其特征在于，

所述服务提供方被配置成执行对受委托者的认证，以及

提供了身份提供方，所述身份提供方被配置成基于授权规则执行对受委托者的授权。

19.根据权利要求18所述的系统，其中，所述身份提供方被配置成能够登记针对受委托者定义的所述授权规则，从而采用所述委托凭证。

20.根据权利要求18或19所述的系统，其中，针对受委托者定义的所述授权规则包括资源访问限制。

21.根据权利要求18至20中任一项所述的系统，包括用于执行用户的账户管理的身份管理系统。

Images