CN101026481A - 一种集中用户安全管理方法及装置 - Google Patents

Abstract

本发明涉及通信技术领域中一种集中用户安全管理方法及装置。所述方法包括：首先为用户分配权限，接收用户登录请求；之后，对登录的用户进行鉴权，分配用户一个当前会话的唯一标识，用户携带所述标识执行各应用域中权限允许的操作。利用本发明所述方法及装置实现了安全的集中用户管理、授权、鉴权和审核，达到单点登录的效果，由于支持自定义鉴权和授权的扩展，可以灵活的集成管理多个应用系统的安全。

Description

一种集中用户安全管理方法及装置

技术领域

本发明涉及通信技术领域，尤其涉及一种集中用户安全管理的方法及装置。

背景技术

在一个复杂的电信网络中，存在大量的不同厂商的设备以及同一厂商的不同业务类型的设备，而这些设备被不同的EMS系统管理。每个EMS系统本身具备完整的用户及权限管理，因此当某个用户维护不同厂商或不同业务类型设备时，管理员需要在多个EMS系统中给该用户创建帐号、口令和分配权限，而当需要删除某个用户时也需要到每个EMS系统中删除其帐号；并且该用户每次操作不同的EMS时都需要重新输入用户名和口令。随着网络规模的扩大，EMS系统的种类和数量也不断增加，这样导致帐号维护和管理的成本急遽上升。

为了降低运维成本及提高端到端的服务开通能力，因此运营商都希望能够只维护一套帐号并且只登录一次，就可以使用不同的EMS系统；而且也能够把不同的应用集成在一起使用。这就是统一用户管理和单点登录SSO(Single Sign-On)的需求。

现有的用户管理策略中，为了达到各系统间互通的目的，为应用系统间定义了北向接口，通过用户/口令获得对方服务对象的接口。此方案存在如下缺点：

1)由于应用系统之间暴露的接口中需要传递用户名和口令，造成安全隐患；

2)为了支持数字证书等其它用户认证方式，所有系统的北向接口都需要增加接口定义，增加了系统复杂度；

3)不能实现集中的用户管理和授权。

发明内容

本发明的目的在于提供一种集中用户安全管理方法及装置，利用集中用户管理域实现安全的集中用户管理、授权、鉴权及审核，达到单点登录的效果。

本发明的目的是通过以下技术方案实现的：

一种集中用户安全管理装置，包括：集中用户管理域及多个应用域，

所述集中用户管理域提供多个接口与各应用域交互，其至少包括集中用户管理及授权服务实体和集中用户认证及审核服务实体来统一管理多个应用域；

所述的集中用户管理及授权服务实体，用于为用户分配权限，并产生规则数据；

所述的集中用户认证及审核服务实体，用于提供集中认证、鉴权及记录日志的服务。

所述应用域为独立的业务系统，包括安全对象和对应的访问行为。

所述安全对象是应用域中需要安全权限控制的对象，至少包括安全对象类型、子类型、对象ID三种属性。

所述访问行为是对每种安全对象类型需要控制的访问行为，包括增加、删除、修改、读取。

所述应用域还包括角色，所述角色是安全对象及对应的访问行为的集合。

所述集中用户管理域提供的接口包括：登录/认证/日志接口、用户管理/授权接口。

所述集中用户管理域还包括：

域安全对象服务实体，用于接收各应用域上报的安全对象信息。

所述集中用户管理域提供的接口还包括：安全代理接口，用于获取各应用域安全对象信息。

所述集中用户管理域包括多个用户组，每个用户组中绑定多个角色，包含多个用户。

一种集中用户安全管理方法，包括：

A、为用户分配权限，接收用户登录请求；

B、对登录的用户进行鉴权，分配用户一个当前会话的唯一标识；

C、用户携带所述标识执行各应用域中权限允许的操作。

所述步骤A包括：

A1、集中用户管理及授权服务实体接收用户角色授权请求，从各应用域中获取应用域中的角色列表，或安全对象及对应的访问行为；

A2、从所述列表或安全对象及对应的访问行为中为该用户选取角色或安全对象及访问行为，绑定到集中用户管理域中所述用户的角色上；

A3、保存上述确定的用户角色或安全对象及对应的访问行为。

用户每执行一个应用域操作都需要集中用户认证及审核服务实体进行一次鉴权操作。

所述的标识是一个字节序列。

由上述本发明提供的技术方案可以看出，本发明实现了安全的集中用户管理、授权、鉴权和审核，达到单点登录的效果，由于支持自定义鉴权和授权的扩展，可以灵活的集成管理多个应用系统的安全。

附图说明

图1为本发明所述装置一种实施例结构图；

图2为本发明安全管理模型示意图；

图3为本发明所述装置另一种实施例架构图；

图4为本发明所述方法一种实施例分配权限流程图；

图5为本发明所述方法一种实施例单点登录流程图。

具体实施方式

本发明的核心思想是提供一种集中用户安全管理方法及装置，利用集中用户管理域实现安全的集中用户管理、授权、鉴权及审核，达到单点登录的效果。

本发明提供一种集中用户安全管理装置，其一种实施例架构如图1所示，该装置包括：集中用户管理域及多个应用域；

所述集中用户管理域用于对多个应用域进行统一的管理，其至少包括：集中用户管理及授权服务实体及集中用户认证及审核服务实体；所述的集中用户管理及授权服务实体，用于实现用户的统一管理及授权，其授权策略可由用户根据本身实际需要定义，并存储在LADP(轻量级目录访问协议)数据库中；

所述的集中用户认证及审核服务实体，用于提供集中认证、鉴权及记录日志的服务，并负责判断用户的操作是否满足规则，记录操作信息；该实体可以有多个实例分别部署在不同的服务器上，用来提高认证和鉴权的性能。其鉴权策略可以由应用域本身定义，并存储在审核数据库中；

所述集中用户管理域对外提供多种服务接口，如，安全代理接口、用户管理和授权接口、登录/认证/日志等接口，使各应用域可以通过所述各接口定制更加灵活和便捷的授权视图；使用所述的安全代理接口，集中用户管理域可以获取应用域的安全对象信息；

所述的应用域为独立的业务系统，如图2所示，每个应用域中包括安全对象和访问行为；所述的安全对象为应用域中需要安全权限控制的对象，例如，设备、目录、文件等等，每个安全对象包括安全对象类型、子类型、对象ID等基本属性；所述的访问行为，是对每种安全对象类型需要控制的访问行为的定义，包括：增加、删除、修改、读取等，每一个安全对象可以对应多个访问行为；

所述集中用户管理域以用户组的方式管理用户，所述用户组是用户的集合，一个用户组中可以绑定多个角色，并可以包含多个用户；每个用户可以绑定多个角色，并可以从属于多个用户组；所述的角色是安全对象及对应的访问行为的集合，每个应用域可以包含多个角色，应用域与集中用户管理域交互过程中可以呈现安全对象角色，如图2中应用域A；也可以直接以安全对象与访问行为的方式与集中用户管理域进行交互，如图2中应用域B；上述各应用域中的安全对象的类型、子类型及该类型对应的访问行为等信息预先定义，并集中保存在LDAP服务器或数据库中。

本发明所述装置的另一种实施例架构如图3所示，该实施例与上述实施例的区别在于，由域安全对象服务实体取代原安全代理接口，各应用域主动同步、更新需要管理的安全对象信息到域安全对象服务实体，集中用户管理及授权服务实体和集中用户认证及审核服务实体从该域安全对象服务实体中获取各应用域安全对象信息。

本发明提供一种集中用户安全管理方法，具体包括如下步骤：

步骤1：为用户分配权限，采用集中安全管理策略管理用户；

由集中用户管理及授权服务实体为用户分配权限，其过程如图4所示，具体包括如下操作：

步骤10：集中用户管理及授权服务实体接收用户角色授权请求；

步骤11：集中用户管理及授权服务实体依次从各应用域中获取应用域中的角色列表，该角色列表中包含多个角色，若应用域中没有角色定义，则直接获取安全对象及对应的访问行为；获取各应用域的角色列表后，从中为该用户选取角色或安全对象及访问行为，其中选定的角色或安全对象及访问行为可以为多个；

步骤12：将上述选定的角色或安全对象及访问行为绑定到集中用户管理域中所述用户的角色上；

步骤13：将上述确定的用户角色保存在LDAP服务器或数据库中，分配权限过程完成；

集中用户管理及授权服务实体支持的操作包括：读取、创建、修改、删除用户/用户组/角色；在用户组中增加、删除用户/角色；给用户/用户组分配或取消角色；给角色分配权限；

步骤2：在被分配权限的情况下，实现集中用户认证及审核服务的单点登录操作：

其操作过程如图5所示，具体包括如下步骤：

步骤20：被授权的用户登录一个应用域，由集中用户认证及审核服务实体验证用户名和口令；

步骤21：集中用户认证及审核服务实体验证用户名和口令后，发送一个令牌给所述用户，即分配用户一个针对当前会话的唯一标识，可以是一个字节序列；

步骤22：用户得到所述令牌后，携带所述令牌执行所登录的应用域的相应操作，所执行的操作为上述授权过程中所选取的角色或安全对象及访问行为中的任一种；

步骤23：用户执行完上述应用域的操作后，根据需要可以携带所述令牌执行其他应用域的操作，每执行一个应用域操作都需要集中用户认证及审核服务实体进行一次鉴权操作。

综上所述，本发明实现了安全的集中用户管理、授权、鉴权和审核，达到单点登录的效果，由于支持自定义鉴权和授权的扩展，可以灵活的集成管理多个应用系统的安全。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (13)

1、一种集中用户安全管理装置，其特征在于，包括：集中用户管理域及多个应用域，

所述集中用户管理域提供多个接口与各应用域交互，其至少包括集中用户管理及授权服务实体和集中用户认证及审核服务实体来统一管理多个应用域；

所述的集中用户管理及授权服务实体，用于为用户分配权限，并产生规则数据；

所述的集中用户认证及审核服务实体，用于提供集中认证、鉴权及记录日志的服务。

2、如权利要求1所述的一种集中用户安全管理装置，其特征在于，所述应用域为独立的业务系统，包括安全对象和对应的访问行为。

3、如权利要求2所述的一种集中用户安全管理装置，其特征在于，所述安全对象是应用域中需要安全权限控制的对象，至少包括安全对象类型、子类型、对象ID三种属性。

4、如权利要求2或3所述的一种集中用户安全管理装置，其特征在于，所述访问行为是对每种安全对象类型需要控制的访问行为，包括增加、删除、修改、读取。

5、如权利要求2所述的一种集中用户安全管理装置，其特征在于，所述应用域还包括角色，所述角色是安全对象及对应的访问行为的集合。

6、如权利要求1所述的一种集中用户安全管理装置，其特征在于，所述集中用户管理域提供的接口包括：登录/认证/日志接口、用户管理/授权接口。

7、如权利要求6所述的一种集中用户安全管理装置，其特征在于，所述集中用户管理域还包括：

域安全对象服务实体，用于接收各应用域上报的安全对象信息。

8、如权利要求6所述的一种集中用户安全管理装置，其特征在于，所述集中用户管理域提供的接口还包括：安全代理接口，用于获取各应用域安全对象信息。

9、如权利要求2所述的一种集中用户安全管理装置，其特征在于，所述集中用户管理域包括多个用户组，每个用户组中绑定多个角色，包含多个用户。

10、一种集中用户安全管理方法，其特征在于，包括：

A、为用户分配权限，接收用户登录请求；

B、对登录的用户进行鉴权，分配用户一个当前会话的唯一标识；

C、用户携带所述标识执行各应用域中权限允许的操作。

11、如权利要求10所述的一种集中用户安全管理方法，其特征在于，所述步骤A包括：

A1、集中用户管理及授权服务实体接收用户角色授权请求，从各应用域中获取应用域中的角色列表，或安全对象及对应的访问行为；

A2、从所述列表或安全对象及对应的访问行为中为该用户选取角色或安全对象及访问行为，绑定到集中用户管理域中所述用户的角色上；

A3、保存上述确定的用户角色或安全对象及对应的访问行为。

12、如权利要求10所述的一种集中用户安全管理方法，其特征在于，

用户每执行一个应用域操作都需要集中用户认证及审核服务实体进行一次鉴权操作。

13、如权利要求10至12中任一项所述的一种集中用户安全管理方法，其特征在于，所述的标识是一个字节序列。

Images