CN101257377B - 一种基于社区授权服务的动态访问控制方法 - Google Patents

Abstract

基于社区授权服务的动态访问控制方法借鉴基于角色的访问控制RBAC模型的思想，针对网格计算环境的动态性特征，提出了一个基于社区授权服务CAS的动态访问控制方案。该方法基于社区授权服务，主要针对网格环境的动态性特征，通过加入资源控制模块，实现对资源分层、监控、动态访问控制，对社区授权服务器和数据库作修改，使之能够实现根据用户所在上下文环境动态改变用户角色，并通过与资源控制模块交互，实现网格环境下对资源的动态、透明访问和无缝集成；该方法能够很好地解决网格环境的动态性特征带来的访问控制问题以及对资源的透明访问。

Description

一种基于社区授权服务的动态访问控制方法

技术领域

本发明是一种网格计算环境下实现用户对资源或服务的动态访问控制的方案。主要针对网格计算环境的动态性特点提出的一个网格访问控制模型，属于网格计算、计算机软件安全技术领域。

背景技术

随着人们对高性能计算和资源分布共享需求的增加，传统的高性能计算模式和计算共享模式已经不能满足人们的需要，人们期望能够像访问电力资源一样随时随地的获取需要的计算和存储等资源，期望不仅仅是在本地计算机上找到所需的服务，而是在整个网络范围内找到最佳的服务，希望将整个网络虚拟成为一个整体。传统的高性能计算模式和资源共享模式因其灵活性差、系统扩充和升级代价高而无法适应这些持续增长的计算要求。网格计算就是在这一需求下应运而生的一种新的计算模式。通俗的说，网格计算就是整合不同组织、机构的计算机资源(包括存储资源、计算资源等)，形成一台巨大的虚拟计算机，完成超大规模的计算，以实现资源的充分利用和信息的整合。资源需求相对集中的用户群按照某种资源共享规则形成一个虚拟组织VO，相互协作完成任务。支持VO的基础设施就是网格。在虚拟组织VO中，网格计算环境具有如下特殊属性：1)用户和资源可以随时加入或退出；2)资源的访问控制即受到虚拟组织的访问策略控制又受到所属自治域的访问策略的控制；3)参与VO的各自治域认证和授权机制各不相同。4)参与一个计算的资源可能来自多个不同自治域。正是由于这些特殊属性，在设计网格安全机制时特别要考虑网格计算环境的动态性和异构特性。

访问控制是网格安全的一个重要方面，主要是针对越权使用系统资源的防御措施，通过限制资源的访问，防止非法用户的侵入或合法用户的不慎操作而造成的破坏，从而保证系统资源的合法使用。访问控制的核心是授权策略，即用于确定一个主体是否能对客体拥有访问能力的一套规则。传统的访问控制方法如自主访问控制DAC、强制访问控制MAC和基于角色的访问控制RBAC都不能满足网格环境由于动态性、异构性、管理域自治性等特点所带来的访问控制问题。针对网格环境的动态性特点，我们基于虚拟组织VO中的社区授权服务CAS及所采用的基于角色的访问控制RBAC方法，制定一种适合于网格环境的动态访问控制模型，以实现网格环境下的动态访问控制，达到资源的充分利用和协同问题求解。

发明内容

技术问题：本发明的目的是提供一种基于社区授权服务的动态访问控制方法，解决网格环境下由于资源和用户的动态加入、退出、根据资源负载动态授权、资源的时效性等所带来的访问控制问题，实现资源的无缝集成和动态访问控制。

技术方案：本发明的方法是一种改进的方法，通过对虚拟组织VO中社区授权服务CAS采用的基于角色的访问控制机制做改进、对资源分层，将用户注册的资源形成物理资源，在物理资源之上汇聚成虚拟资源，在虚拟资源之上再形成有效资源。授予用户的角色都有相应的上下文环境限制，只有用户处在要求的上下文环境时，授予的角色才被激活。用户登录网格时，根据用户的主体上下文环境(如在无线接入环境下可以根据用户的接入链路激活赋予用户的相应角色，用户从内部安全链路接入时激活角色1，从外部安全链路接入激活角色2，从外部非安全链路接入激活角色3)激活用户相应的角色，当用户所在的上下文环境改变时，上下文代理触发社区授权服务CAS改变用户角色，借此实现网格环境下的动态访问控制方案。

下面先给出该网格访问控制模型中基本元素的定义及其功能：

1)物理资源：用户向虚拟组织注册的可以供其它用户使用的实体。物理资源的属性包括：标识、类别(cpu、内存、外存等)、访问类别(读、写、执行)、大小、使用时间限制(开始时间、结束时间)、资源负载限制(当cpu负载＞80％，拒绝访问)等。

2)虚拟资源：根据VO中用户注册的物理资源的类别及访问类别合并形成虚拟资源，比如一个VO中有三个用户注册内存资源，大小分别为：50M、65M、120M，因此，VO中形成的虚拟资源-内存资源大小为235M，虚拟资源的属性包括：标识、类别、大小、访问类别等。

3)有效资源：合并形成的虚拟资源中，有的物理资源因为时间限制、负载限制或不在线等原因不可用。有效资源就是虚拟资源中去掉不可用的资源而形成的可用资源。有效资源随着资源状态的变化而不断变化。

4)用户：在VO中注册并能够提交任务的实体，其属性包括：标识、角色、身份。

5)角色：在VO中一群用户根据职务或执行任务需要赋予一组相同的权限，这一组权限就形成一个角色。一个角色由多个权限组成。角色根据所要执行的任务或所在职位需要的权限形成。一个角色由多个权限组成，可以赋予多个用户。

6)上下文环境：表示和时间、地点、统计相关的一些动态信息的集合，用来限制用户的活动角色。

7)用户活动角色：根据用户所处的上下文环境激活用户被赋予的一部分角色，形成用户活动角色。

8)用户活动权限：由用户活动角色获得的权限。

9)社区授权服务CAS：虚拟组织VO中实现资源集中访问控制所采用的措施，包括CAS服务器和CAS数据库。

10)资源控制模块：用来时时监控VO中各个资源，当资源状态改变时将资源从有效资源层中去掉或重新添加进去。当资源注册后，根据资源注册信息，将资源汇聚到相应类的虚拟资源中，并根据资源状态和访问限制决定是否添加到有效资源层中，随后开始时时监控该资源的状态。

本发明在传统的基于角色的访问控制RBAC模型的基础上增加了上下文环境、用户活动角色、用户活动权限等的概念，并将资源分层形成物理资源、虚拟资源、有效资源三层，以达到资源的汇聚和透明访问。在虚拟组织VO中增加了资源控制模块，用来实时监控各个资源的状态、新注册的资源，并根据相应限制条件修改VO中的虚拟资源和有效资源，实现网格环境下的动态访问控制。具体如下：

一.体系结构

基于社区授权服务CAS的动态访问控制在CAS的基础上做了些改动：增加了资源控制模块，对CAS服务器和CAS数据库也稍微作了些改动，以支持用户角色随环境动态改变以及对资源的无缝集成和透明、动态访问控制。资源控制模块主要用来实现对资源的汇聚、时时监控以根据一定的条件将资源添加到有效资源中或从有效资源中去掉、以及将用户请求映射到物理资源。图3给出了基于CAS的动态访问控制结构图。

基于社区授权服务的动态访问控制方法基于社区授权服务，主要针对网格环境的动态性特征，通过加入资源控制模块，实现对资源分层、监控、动态访问控制，对社区授权服务器和数据库作修改，使之能够实现根据用户所在上下文环境动态改变用户角色，并通过与资源控制模块交互，实现网格环境下对资源的动态、透明访问和无缝集成；具体实现方法如下：

第一步：用户向虚拟组织注册自己的信息，社区授权服务根据用户注册的信息赋予用户一定的角色，这些角色都有相应的上下文环境限制，只有用户处在对应的上下文环境下时，赋予的角色才被激活，

第二步：资源提供者向虚拟组织注册自己拥有的可以被其它用户使用的资源，用户可以限定资源的访问时段、可访问的资源量、负载限制、访问类型限制，资源控制模块根据注册的资源信息将资源汇聚到相应的虚拟资源类中，并根据资源的访问限制和当前状态决定是否将该资源添加到有效资源中，随后开始监控该资源的状态，并在一定条件下将资源从有效资源中去掉或重新添加到有效资源中去，

第三步：用户登录到虚拟组织中，在某一时刻使用用户凭证向虚拟组织提交任务请求，社区授权服务根据用户凭证和任务请求，查询社区授权策略数据库，如果用户活动角色具有执行该任务的权限；则社区授权服务器访问资源控制模块确定虚拟组织当前的有效资源是否满足该请求，若有效资源满足，则社区授权服务器返回用户一个用户凭证，

第四步：用户将任务请求和用户凭证发送给资源控制模块，资源控制模块根据虚拟组织的策略从有效资源中选取满足用户请求的一部分资源，将其映射到物理资源，然后将映射的各个物理资源及用户凭证发送给社区授权服务器，社区授权服务器为每个物理资源形成一个资源凭证发给资源控制模块，资源控制模块将每个物理资源分配的任务请求和对应的资源凭证发送给各个物理资源，

第五步：各个物理资源服务器首先根据本地授权策略决定是否允许这样的请求，再根据社区授权服务委托的资源凭证是否也允许这样的请求，如果两次检查都通过，则允许用户访问资源，

第六步：如果某个资源在任务未执行完之前中途退出虚拟组织或者由于负载过重或超过有效时间范围，则未执行完的任务被退回，资源服务器将分配的任务请求返回给资源控制模块，由资源控制模块从有效资源中重新选择合适的资源，并映射到物理资源，将物理资源和用户凭证发给社区授权服务器，形成资源凭证，再将分配的任务请求+资源凭证发给该物理资源重新执行，

第七步：每个资源成功执行完任务之后，将执行结果返回给资源控制模块，当所有执行结果都返回后，资源控制模块再将他们汇总后返回给用户。

至此，面向社区授权服务的动态访问控制实施方案结束。

有益效果：本发明方法在社区授权服务CAS的基础上作了改动，将资源分层，并加入了资源控制模块，能实现根据资源的负载、有效时间段、动态加入或退出等因素动态控制资源的使用，同时，可以根据用户所在的上下文环境动态改变用户的角色，解决了网格环境的动态性特征，实现了网格环境下的动态访问控制。具体说明如下：

1.能够为用户提供透明的问题求解方案。用户不需要知道社区内有哪些资源可以提供服务，只需要提交任务，由社区授权服务CAS根据当前的用户的活动角色和有效资源决定是否能满足用户的请求，用户不需要知道有哪些资源参加完成此次请求的。

2.可以根据资源提供者的要求动态控制资源的访问。比如当CPU负载＞80％时，将资源改为不可用状态，即将资源从有效资源池中去掉，停止对资源的继续访问，而当CPU负载＜60％时，将资源又改为可用状态，加入到有效资源中。另外还可以根据资源的有效时间段进行动态访问控制，此外也不会因为某个或某些资源中途退出而影响问题求解的执行。

3.可以根据用户所在的环境动态改变用户的角色，提供了更高的安全性和更细的访问控制粒度。比如在无线网格环境下，当用户通过内部安全链路接入时，具有角色R1(具有权限P1、P2、P3)，当用户通过外部安全链路接入时，具有角色R2(P2、P3)，用户通过外部非安全链路接入时，具有角色R3(P3).

4.通过将虚拟组织VO中的各种资源汇聚并在此之上形成有效资源池，可以更加充分、有效、合理地利用VO中的资源。

附图说明

图1是虚拟组织VO中资源分层的示意图。

图2是当前社区授权服务CAS用户访问资源的过程图。

图3是对社区授权服务CAS改进后形成的基于CAS的动态访问控制图。

图4是本发明的基于CAS的动态访问控制流程图。

具体实施方式

假设有一个用户社区，可以将用户闲置的计算资源、存储资源等整合起来，以供其它用户使用。资源提供者向虚拟组织VO注册资源时，可以指定在什么时间段是可用的、资源的类型、服务类别、大小、负载限制等。在社区中，由资源控制模块将注册的各种物理资源汇聚成虚拟资源，并且资源控制模块时时监控各个物理资源的状态，根据各个资源的状态形成有效资源。用户向虚拟组织注册时，社区授权服务CAS根据用户提供的信息，赋予用户一定的角色，这些角色都有一定的上下文环境限制，只有用户处在相应的上下文环境时，分配的角色才是有效的。具体访问控制过程如下：

第一步、资源提供者向虚拟组织VO注册资源，资源的信息除了标识资源名称、类型，还可以指定访问的条件：在什么时间段是可用的、访问的类型、可访问的资源大小、负载限制等。资源注册通过后由资源控制模块将其汇聚到对应的虚拟资源中，根据资源的状态及访问条件决定是否将其添加到有效资源中，并时时监控资源状态，直到该资源脱离虚拟组织。

第二步、用户向网格门户注册信息，注册通过后，虚拟组织VO根据用户注册的信息赋予用户一些角色，这些角色都有上下文环境条件限制，用户只有处在相应的上下文环境下，才能使用该角色。

第三步、用户登录到网格社区中，某个时候使用用户凭证向虚拟组织VO提交一个任务请求，社区授权服务CAS根据用户任务请求和用户凭证查询CAS策略数据库，如果用户的活动角色具有执行该任务的权限，则CAS服务器访问资源控制模块确定VO当前的有效资源能否满足该请求，若有效资源满足请求，则CAS返回给用户一个S_Capability。

第四步、用户任务请求和S_Capability发送给资源控制模块，资源控制模块根据VO的策略从有效资源中选取满足用户请求的一部分资源，将其映射到物理资源，然后将映射的各个物理资源及S_Capability发给社区授权服务CAS，CAS为每个物理资源形成一个Capability发给资源控制模块，资源控制模块将每个物理资源分配的任务请求(这时的任务请求可能只是总任务的一部分)、和对应的Capability转发给各个物理资源。

第五步、各个物理资源服务器首先根据本地授权策略决定是否允许这样的请求，再根据CAS委托的Capability是否也允许这样的请求，如果两次检查都通过，则允许用户访问资源。

第六步、如果某个资源在任务未执行完之前中途退出VO或者由于负载过重或超过有效时间范围而不可访问，则未执行完的任务请求被退回，资源服务器将分配的任务请求返回给资源控制模块，由资源控制模块从有效资源中重新选择合适的资源，并映射到物理资源，再将任务请求发给该物理资源重新执行。

第七步、每个资源成功执行完任务之后，将执行结果返回给资源控制模块，当所有执行结果都返回后，资源控制模块再将他们汇总后返回给用户。

Claims (1)

1.一种基于社区授权服务的动态访问控制方法，其特征在于该方法基于社区授权服务，主要针对网格环境的动态性特征，通过加入资源控制模块，实现对资源分层、监控、动态访问控制，对CAS服务器和数据库作修改，使之能够实现根据用户所在上下文环境动态改变用户角色，并通过与资源控制模块交互，实现网格环境下对资源的动态、透明访问和无缝集成；具体实现方案如下：

第一步：用户向虚拟组织注册自己的信息，社区授权服务根据用户注册的信息赋予用户一定的角色，这些角色都有相应的上下文环境限制，只有用户处在对应的上下文环境下时，赋予的角色才被激活，

第二步：资源提供者向虚拟组织注册自己拥有的可以被其它用户使用的资源，用户可以限定资源的访问时段、可访问的资源量、负载限制、访问类型限制，资源控制模块根据注册的资源信息将资源汇聚到相应的虚拟资源类中，并根据资源的访问限制和当前状态决定是否将该资源添加到有效资源中，随后开始监控该资源的状态，并将资源从有效资源中去掉或重新添加到有效资源中去，

第三步：用户登录到虚拟组织中，在某一时刻使用用户凭证向虚拟组织提交任务请求，社区授权服务根据用户凭证和任务请求，查询社区授权策略数据库，如果用户活动角色具有执行该任务的权限；则CAS服务器访问资源控制模块确定虚拟组织当前的有效资源是否满足该请求，若有效资源满足，则CAS服务器返回用户一个用户凭证，

第四步：用户将任务请求和用户凭证发送给资源控制模块，资源控制模块根据虚拟组织的策略从有效资源中选取满足用户请求的一部分资源，将其映射到物理资源，然后将映射的各个物理资源及用户凭证发送给CAS服务器，CAS服务器为每个物理资源形成一个资源凭证发给资源控制模块，资源控制模块将每个物理资源分配的任务请求和对应的资源凭证发送给各个物理资源，

第五步：各个物理资源首先根据本地授权策略决定是否允许这样的请求，再根据社区授权服务委托的资源凭证是否也允许这样的请求，如果两次检查都通过，则允许用户访问资源，

第六步：如果某个资源在任务未执行完之前中途退出虚拟组织或者由于负载过重或超过有效时间范围，则未执行完的任务被退回，该资源将分配的任务请求返回给资源控制模块，由资源控制模块从有效资源中重新选择合适的资源，并映射到物理资源，将物理资源和用户凭证发给CAS服务器，形成资源凭证，再将分配的任务请求+资源凭证发给该物理资源重新执行，

第七步：每个资源成功执行完任务之后，将执行结果返回给资源控制模块，当所有执行结果都返回后，资源控制模块再将他们汇总后返回给用户。

Images