CN101325493A - 用于认证用户的方法和系统 - Google Patents

Abstract

本发明公开了用于认证用户的方法和系统。本发明涉及一种在异构计算机环境中认证用户(1、3、5)的方法，该方法包括以下步骤：定义一组唯一前缀(201)，每个前缀(201)标识一种用户资料库；定义一组抽象资料库名称，每个抽象资料库名称标识用户资料库(20，22)的地址；并且通过为在由到抽象资料库名称的引用(203)所表示的用户资料库(20，22)内的用户(1、3、5)分配包括唯一前缀(201)、到所述抽象资料库名称的引用(203)和唯一标识符(205)的序列，来在异构计算机环境中认证用户(1、3、5)。

Description

用于认证用户的方法和系统

技术领域

本发明涉及一种在异构计算机环境中认证用户的方法。

背景技术

计算机系统通常要求用户向系统认证他自己。认证是用于向用户进行任何授权的必要的技术上的先决条件。仅在计算机系统或连接的计算机系统的网络可认证用户时，即确信他的身份时，可授权用户在网络内执行某些动作，例如添加、修改或删除数据。

在因特网时代之前，用户身份仅在有限空间内使用，通常为单个计算机。一个用户资料库(例如，一个LDAP目录)足够用于认证单个计算机系统的所有用户。然而，随着计算机网络的发展，仅使用单个用户资料库不再够用。因此，概念发展为用于在包括多个计算机系统的整个计算机环境中认证。一个示例是Microsoft的当前活动目录模型，其中多个域组合为一个“森林”。在这个概念中，域名在实际用户id之前的表示法足够用于唯一标识。

然而，当今的大多数计算机环境不再是同构的，而是代替地使用应用不同认证策略的来自各种厂商的硬件和软件。例如，用户可在使用MS程序的指定的活动目录上认证他自己，如：

“euro\jdoe”

然而，相同用户可在UNIX系统上认证他自己，这产生以下Id：

“cn＝John Doe，ou＝users，ou＝England，dc＝euro，dc＝company，dc＝com”

另一示例是Windows NT：在内部，由SID(安全标识符)表示用户，SID是可在windows域内唯一全局标识用户的数值。可由人类读取并且也由非Windows软件处理的SID的形式看起来象：

jdoe@myorg.com.

在轻量级目录访问协议(LDAP)中，LDAP目录是维护用户条目等条目的在中心可获得的服务。任何LDAP对象总是通过其在分级树中的位置来表示：

“cn＝john doe，ou＝user，o＝eur，dc＝mycomp，dc＝org”

很明显，没有容易的方式来识别实际上指代相同用户的所有上面的表示法。不管用户是在异构计算机环境中访问资源的人类还是也是计算机或应用，都出现了上面的困难。

如果在异构计算机环境中委托任务，这种不一致性尤其是一个问题。为此，以这样的方式来传递某用户的凭证，其中接收系统必须能够认出这些凭证。因此，必须能够将特定凭证与其它相比较，并且这些凭证必须是有意义的并且不仅仅是一块数据。仅在接收者理解用户凭证时，他可接着采取进一步的授权动作。将(计算机环境的一部分的)一个用户id映射到另一个仅仅部分地解决了问题，因为每个映射过程导致信息的损失，即其中用户可能已经在整个计算机环境中第一次认证他自己。

鉴于上面，本发明的第一方面下面的技术问题是提供一种认证异构计算机环境的人类或非人类用户的方法，其克服了上述现有技术的缺点中的至少一些。

发明内容

通过根据本申请的权利要求1的方法来解决该问题。在一个实施例中，所述方法包括以下步骤：

a.定义一组唯一前缀，每个前缀标识一种用户资料库；

b.定义一组抽象资料库名称，每个抽象资料库名称标识用户资料库的地址；和

c.通过为在由到抽象资料库名称的引用所表示的用户资料库内的用户分配唯一前缀、到抽象资料库名称的引用和唯一标识符来在异构计算机环境中认证用户。

因此，提供了唯一认证或命名方案，其允许标识曾在异构计算机环境中认证用户的用户资料库的类型和起源，其中可为每种资料库指定不同的规则。基于所提供的唯一方案，可比较人类或非人类用户的身份，以验证是否正确认证某用户并且授权其执行所请求的动作。例如如果通过不同的认证过程收集一个特定用户的凭证而使用相同的基础资料库的话，这不再是一个问题，因为使用所定义的认证方案可解决所有多义性。

此外，可自由地交换关于用户的信息，因为异构计算机环境的所有参与者关于用户的描述“说同样的语言”，其对人类来说也是容易读取的。后者是重要的，因为现代通信协议，例如XML(SOAP)要求使用可印刷的(人类可读的)形式。

在一个实施例中，唯一前缀组包括用于用户资料库类型组中的至少一种用户资料库类型的前缀，该用户资料库类型组包括：

-轻量级目录访问协议服务器(LDAP)

-Windows活动目录服务器(ADS)

-安全授权功能(SAF)，尤其是RACF、ACF2或TopSecret。

可替换地或附加地，唯一前缀组可包括任何原生操作系统的用户资料库的前缀。因为用户资料库的类型由前缀标识，所述方法对于认证由随后加入现有的计算机环境并且应用环境中其余方所不知道的规则的资料库来管理的用户也是完全灵活的。

优选地，步骤b.包括定义抽象资料库名称目录，其将引用映射到抽象资料库名称并且映射到物理地址。该目录定义了在引用、抽象资料库名称和各种真实地址(例如IP地址，取决于唯一前缀)之间的映射。如果可使用多于一种传输协议(例如TCP/IP、SSL、HTTP、HTTPS等)来访问相应的资料库，则可为单个抽象资料库名称提供多于一个物理地址。

在一个实施例中，如果相应资料库当从环境中的不同位置被访问时要求不同的地址信息，则对于单个抽象资料库名称存在多于一个引用。抽象资料库名称目录可实现为数据库。

上述方法的另外变化在进一步的从属权利要求中定义。

根据另一方面，本发明涉及具有用于执行根据前述方法中任意一个的方法步骤的指令的计算机程序。

最后，本发明涉及包括多个异构计算机系统的计算机环境，所述环境适于执行上述方法的任意一个。

附图说明

在随后的详细描述中，参考具有以下图形的附图来描述当前的优选实施例：

图1：根据本发明实施例的异构计算机环境的示意性表示；和

图2：用于在异构计算机环境中认证用户的字符串的三个示例。

具体实施方式

图1给出了包括三个访问应用10的客户端1、3、5的示例计算机环境的示意性表示。如果各种客户端和/或应用是异构的，优选地使用本发明。例如，客户端1、3和5和应用10可运行在不同的硬件平台(例如Windows服务器、UNIX服务器或大型机系统)上(图1中未示出)，或者使用相同硬件但使用不同的操作系统。然而，尽管在这种异构环境中本发明是尤其有用的，但本发明也可在同构环境中实现。

在图1系统中的用户可执行任何动作(例如访问应用10)之前，他必须被认证。为此，环境中存在所提供的一个或多个不同的用户资料库。图1的示例包括两个资料库20、22。在步骤100中，用户资料库20认证客户端1和3；在步骤102中，用户资料库22认证客户端5。要注意的是，基本简化了图1的环境。在真实情况下，可能有数百个广泛分布的资料库去认证大量的客户端。

图1的环境中的资料库20、22为每个人类或非人类用户(例如客户端1、3、5)提供了所谓的用户主体名称(UPN)。UPN在前缀中指定类型并且在进一步的条目中指定用于认证用户凭证的实际用户资料库。可根据相应资料库20、22的特定规则来执行认证过程。由于本发明提供的灵活性，不需要协调异构环境的各种资料库20、22的认证规则。此外，如果需要，可将新的资料库加入环境。

通过将抽象引用名称(ARN)包括在UPN中，这成为可能。该ARN唯一地标识用户资料库和与资料库名称所标识的资料库20、22通信所必须使用的所需地址信息。如果两个条目的ARN不相同，它们仍可指向相同的物理资料库。

所有活动ARN的列表存储在可由计算机环境中的所有相关实体经由网络访问的ARN目录30中。可使用数据库31实现ARN目录30。如在图1中可见，客户端1、3和5以及应用10都可访问ARN目录30。可复制该ARN目录30，以便获得计算机环境中的高可用性(图1中未示出)。

如上所述，对于某用户资料库可存在多个引用名称。为了找出两个不同引用名称是指代相同还是两个不同的资料库，可比较在ARN目录中存储的资料库名称。在UPN中使用引用具有如下优点，可改变实际资料库而不必使UPN无效。因此，可改变资料库的地址而不需要修改所有UPN，这导致对UPN的简单管理。最后，用于资料库的寻址信息不直接放在UPN中；而是使用符号名。

如图1中示意性示出，在一组第一步骤104中客户端1、3、5联系ARN目录30，以获得可用于当前会话的别名，即用于认证的当前主体资料库的名称。该别名203(参照下面论述的图2)将用于构成唯一主体名称。

随后，当在步骤106中向应用10请求某动作时，在步骤108中应用10可联系ARN目录30，该应用10需要理解由客户端1、3和5转发的用户凭证。更精确地，客户端1、3和5在它们的请求106中包括它们的UPN，然后这些UPN可通过应用10首先联系ARN目录30并且然后分别联系相应的用户资料库20、22来验证。

除了前缀和引用，UPN包括所谓的主体标识符。主体标识符唯一地在某用户资料库中指定人类或非人类用户。用于主体标识符的语法表示法依赖于表示某用户资料库类型的上述前缀。对于每个可能的用户资料库类型，该主体标识符如何编码的规则对于环境的任何实体必须是可得到的。

图2给出了用于使用不同用户资料库来认证用户的UPN字符串的三个示例。为了可移植性的问题，将总是以UTF-8编码的Unicode来表示UPN字符串本身。

在图2中的a示例中，前缀201表示LDAP用户资料库。随后的引用203表示用户资料库“SouthEurope”。使用ARN目录，任何请求实体可获得例如适合IP地址的物理地址，在那里可得到所引用的用户资料库。最后，主体标识符205根据LDAP资料库的规则在引用的资料库中标识某用户。

在图2中的b示例中，前缀201表示Microsoft的活动目录服务器的用户资料库。引用203“AME”表示ADS类型的某用户资料库，而剩下的主体标识符205标识在具体引用的ADS资料库AME中的某用户“JDoe”。

最后，第三个示例给出了根据本发明实施例用于由用于IBM大型机的安全授权功能认证用户的UPN。因此，前缀201表示该类型的资料库。随后的引用203使得能够找到用户专用的SAF资料库，其中用户“JFK”已进行认证。

如在图2的字符串中所示的UPN的各种元素的顺序仅仅是示例性的。前缀、引用和主体标识符可以按照任何顺序排列并且由任何适合的分隔符分开。

明显的是，图2仅给出了对可为任何任意类型的用户资料库创建的可能无限数量的UPN的选择。实现本发明的原理，可唯一地标识用任何可访问用户资料库认证的用户，不必规定单个或有限数量的标识机制。相对照地，可使用任何已知或新类型的用户资料库，并且可生成对应的UPN。

Claims (12)

1.一种在异构计算机环境中认证用户(1、3、5)的方法，所述方法包括步骤：

a.定义一组唯一前缀(201)，每个前缀(201)标识一种用户资料库；

b.定义一组抽象资料库名称，每个抽象资料库名称标识用户资料库(20，22)的地址；和

c.通过为在由到抽象资料库名称的引用(203)所表示的所述用户资料库(20，22)内的所述用户(1、3、5)分配包括唯一前缀(201)、到所述抽象资料库名称的引用(203)和唯一标识符(205)的序列，来在所述异构计算机环境中认证所述用户(1、3、5)。

2.根据权利要求1所述的方法，其中所述唯一前缀(201)组包括用于用户资料库类型组中的至少一种用户资料库类型的前缀，该用户资料库类型组包括：

-轻量级目录访问协议服务器(LDAP)

-Windows活动目录服务器(ADS)

-安全授权功能(SAF)，尤其是RACF、ACF2或Top Secret。

3.根据权利要求1或2所述的方法，其中所述唯一前缀组包括原生操作系统的用户资料库的前缀(201)。

4.根据前述权利要求中任意一个所述的方法，其中步骤b.包括定义抽象资料库名称目录(30)，其将引用映射到抽象资料库名称并且映射到物理地址。

5.根据前一权利要求所述的方法，其中如果可使用多于一种传输协议访问所述相应的资料库，可为单个抽象资料库名称提供多于一个物理地址。

6.根据前述权利要求4或5中任意一个所述的方法，其中对于单个抽象资料库名称存在多于一个引用(203)。

7.根据前述权利要求4到6中任意一个所述的方法，其中所述抽象资料库名称目录(30)被实现为数据库(31)。

8.根据前述权利要求4到7中任意一个所述的方法，还包括步骤：由在所述异构计算机环境中运行的至少一个应用(10)访问所述抽象资料库名称目录(30)，以验证所述用户(20，22)的认证。

9.根据前述权利要求中任意一个所述的方法，其中所述序列中的所述抽象资料库名称标识曾认证所述用户的凭证的用户资料库(20，22)。

10.根据前述权利要求中任意一个所述的方法，其中所述序列是格式为“前缀：引用：标识符”的字符串。

11.包括适于执行根据前述权利要求1到10中任意一个的方法步骤的指令的计算机程序。

12.包括多个异构计算机系统的计算机环境，所述环境适于执行根据前述方法权利要求1到10中的任意一个来认证用户的方法。

Images