CN101997876B - 基于属性的访问控制模型及其跨域访问方法 - Google Patents

Abstract

本发明公开了一种基于属性的访问控制模型及其跨域访问方法，基于属性的访问控制模型包括第一管理域和第二管理域，其特征在于：还包括证书服务器和属性管理服务器。系统的跨域访问方法包括、证书服务器分别给第一管理域和第一管理域颁发服务器证书；用户通过登录第一管理域，将属性证书下载至本地磁盘保存；用户向第二管理域提交属性证书；第二访问控制服务器确认属性证书；第二访问控制服务器提取属性值，判定该用户操作的合法性。其显著特点是：可以将用户的角色和管理域都视为用户的单一属性，能够有效解RBAC模型中关于复杂角色条件下用户-角色-权限赋值的效率问题。同时对于开放网络环境中的匿名用户也提供了相应的访问控制方法。

Description

基于属性的访问控制模型及其跨域访问方法

技术领域

本发明涉及一种在开放的网络环境下基于属性的通用访问控制技术，尤其涉及一种基于属性的访问控制模型及其跨域访问方法。

背景技术

访问控制系统决定了在网络环境中哪些用户能够访问系统，访问系统中的哪些资源以及对这些资源具备何种操作。开放的网络环境中的跨域访问的核心问题是：访问控制系统如何识别来自其它应用系统中的用户，然后根据系统内的访问控制策略来判断用户的操作是否合法。

在基于属性的访问控制提出以前，对访问控制方法的研究主要集中在自主访问控制、强制访问控制以及基于角色的访问控制，其它类型访问控制方法如基于任务或工作流的访问控制、基于身份的访问控制不具有代表性，在此不予讨论。

传统的访问控制中，自主访问控制是一种比较弱的访问控制策略，它有着致命的弱点，即访问权的授予是可以传递的。其后果是一旦访问权被传递出去将难以控制，访问权的管理是相当困难的，这会带来严重的安全问题。再者，自主访问控制不保护受保护的客体产生的副本，即一个用户不能访问某一客体，但能够访问它的拷贝，这更增加了管理的难度。访问许可的转移使得客体的所有者最终都不能控制对该客体的所有访问许可并且容易被非法用户绕过而获得访问。

总之，自主访问控制的安全级别较低，加之需要维护的主、客体数目的开销较大，而且对于分布式网络系统不利于实现统一的全局访问控制，不满足大型网络系统的应用需要。

强制访问控制通过增加不能回避的访问权限虽能够防止在自主访问控制模型中存在的访问权的传递问题，但是降低了系统的灵活性。此外，它利用上读/下写来保证数据的完整性，利用下读/上写来保证数据的保密性，虽然增强了信息的机密性，但不能有效实施完整性控制，而且实现起来工作量较大，由于过分强调保密性，在对系统的连续工作能力和授权的灵活管理方面也考虑不足。目前主要用于保密性要求较高的军事方面，难以支持当前对信息的完整性较高的互联网系统。

基于角色的访问控制模型(RBAC)及其扩展模型作为对以上传统访问控制方法的代替，与前述的传统访问控制方法相比，通过引入角色在用户和权限之间进行解耦，实现了用户和权限的逻辑分离，使得权限的管理更为灵活和容易维护。突出的优点使得系统管理员能够根据部门、企业安全政策的不同划分不同的角色，执行特定的任务，因此得到了广泛的应用。

但是，RBAC模型通常是为用户分配固定的角色，难以根据用户属性变化而更改的动态授权模式。特别是随着系统中用户自主性的增强和数目的增长，这种做法会使认证授权中心成为瓶颈，可扩展性差。

RBAC模型的另一不利之处是，随着当前网络资源应用域范围的扩大，不同应用域之间的交互以及应用域内不同客户端和服务器端的交互愈加频繁，现有的基于集中管理模式的RBAC模型已不能适应这种环境。

为了解决RBAC模型日益凸现的问题，同时要实现跨域的安全访问控制和资源共享，需要在RBAC的基础上扩展，建立基于属性的访问控制模型(ABAC)，实现面向开放网络环境且支持动态授权机制和跨管理域的访问控制系统。

发明内容

本发明提供了一种基于属性的访问控制模型及其跨域访问方法，该模型将用户的角色和管理域都视为用户的某个属性，因此能够兼容现有的RBAC模型，同时又能有效解决RBAC模型中关于复杂角色条件下用户-角色-权限赋值的效率问题。同时可以在开放网络环境中的匿名用户提供了跨域访问控制的机制。

为达到上述目的，本发明所述的一种基于属性的访问控制模型，为简化描述，以两个管理域，第一管理域和第二管理域为例说明。模型包括来接入到Inter网上的第一管理域和第二管理域，其中第一管理域设置有第一访问控制服务器，该第一访问控制服务器连接有至少一台第一应用服务器，其中第二管理域设置有第二访问控制服务器，该第二访问控制服务器连接有至少一台第二应用服务器，其关键在于：还包括有证书服务器和属性管理服务器；

其中证书服务器用于：

I、通过给第一管理域和第二管理域中第一访问控制服务器和第二访问控制服务器颁发服务器证书，建立第一管理域和第二管理域之间的信任链，保证第一管理域和第二管理域之间的信任关系；

II、给用户颁发用户证书，用户证书包含的内容有用户名、序列号、签名算法、颁发者、有效起始日期、有效终止日期、主题、公钥信息；

其中属性管理服务器用于：

I、负责建立统一的属性定义库，统一访问控制规则中的语义问题；

II、负责建立统一的属性定义库，用来统一访问控制服务器中的访问控制规则具有相同的语义；

属性包括：

I、用户的基本属性：姓名、年龄、职称、角色、职务、当前费用、积分；

II、资源的基本属性：资源名称、资源类型、所需费用；

III、操作的基本属性：下载、查看、删除、上传、修改；

IV、上下文对象的基本属性：服务器端的当前CPU利用率、访问用户数量，客户端的IP地址、访问类型；

所述第一访问控制服务器和第二访问控制服务器之间由所述证书服务器颁发的服务器证书保证相互之间的信任链关系；

管理域中的属性库均源自于由属性管理机构所维护的属性库，各管理域可向该机构申请使用属性及注册新的属性。

所述第一访问控制服务器和第二访问控制服务器用于：

I、基于统一语义的属性来定义访问控制规则；

II、给用户颁发属性证书，维护用户的信息。

所述用户证书采用X.509标准，用户证书的内容有：用户名、用户ID(序列号)、签名算法、颁发者、有效起始日期、有效终止日期、主题、公钥信息；

用户证书是基于用户或ID的身份鉴别，用户证书相当于网络环境下的一种身份证，它通过将某用户的身份与其公钥相绑定，并由证书服务器进行签名，以向公钥的使用者证明公钥的合法性和权威性。

所述属性证书为一个用户的所有<属性名，属性值>这样的属性值对的集合，其基本的结构为：属性ID1，属性值1；属性ID2，属性值2；…，属性名n，属性值n；

属性证书中存储了用户的具体属性值，看作是有签名机制的一种特殊的数据结构或文件。

用户或者只使用属性证书实现匿名访问第一访问控制服务器和第二访问控制服务器；

或者同时使用用户证书和属性证书实现透明访问第一访问控制服务器和第二访问控制服务器。

所述属性证书应用于单一管理域和跨管理域；

在单一管理域和跨管理域应用中，用户通过提交用户证书和属性证书来简化登录操作，由所述第一访问控制服务器或第二访问控制服务器中的访问控制策略计算引擎来判断用户的合法性以及查询用户的操作权限。

在单一应用域时，属性证书的作用与用户输入用户名和密码的作用相同都是作为身份验证和资源操作权限的判断；

在跨域应用时，用户通过提交用户证书和属性证书来简化登录操作，由所述第一访问控制服务器或第二访问控制服务器通过访问控制策略计算引擎来判断用户的合法性以及用户的操作权限信息。

一种基于属性的访问控制模型的跨域访问方法，其关键在于：

步骤一、证书服务器分别给第一管理域和第一管理域颁发服务器证书，用于维护第一访问控制服务器和第二访问控制服务器之间的信任链关系；

步骤二、用户通过第一应用服务器登录第一管理域，第一访问控制服务器给用户颁发包含数字签名的属性证书，用户将属性证书下载至第一应用服务器的本地磁盘保存；

步骤三、用户登录第二管理域，匿名访问第二管理域下的资源时，向第二管理域提交由第一管理域颁发的属性证书；

步骤四、第二访问控制服务器通过服务器证书的信任链关系，确认由第一管理域颁发给用户的属性证书；

步骤五、第二访问控制服务器提取属性证书中用户的属性值，根据访问控制策略判定通过访问控制计算引擎判定该用户操作的合法性。

一种基于属性的访问控制模型的跨域访问方法，其关键在于：

步骤一、证书服务器分别给第一管理域和第一管理域颁发服务器证书，用于维护第一访问控制服务器和第二访问控制服务器之间的信任链关系；

步骤二、用户通过第一应用服务器登录第一管理域，由证书服务器和第一访问控制服务器分别给用户颁发用私钥加密过的用户证书和包含数字签名的属性证书，用户将两种证书下载至第一应用服务器的本地磁盘保存；

步骤三、用户透明访问第二管理域下的资源时，向第二管理域同时提交用户证书和属性证书；

步骤四、第二访问控制服务器通过证书服务器提供的公钥对用户证书进行解密，验证用户证书的真实性与合法性；

步骤五、第二访问控制服务器通过服务器证书的信任链关系，确认由第一管理域颁发给用户的属性证书；

步骤六、第二访问控制服务器提取属性证书中用户的属性值，根据访问控制策略判定通过访问控制计算引擎判定该用户操作的合法性。

本发明的显著效果是：由于采用了基于统一语义的属性的描述系统中的资源、用户、操作和运行上下文环境，并基于这些对象的属性描述合法的访问规则，因此可以将用户的角色和管理域等都视为用户的一个属性，则基于角色的访问控制方法(RBAC)就可以视为本发明中单用户属性的特例，同时利用本方法又能够有效解决RBAC模型中关于复杂角色条件下用户-角色-权限赋值的效率问题。

本发明的一方面是对各个管理域中的用户提供了统一语义的属性的描述方式，并利用统一语义的属性描述用户、资源、操作和运行上下文视四类对象。这些对象分别用来表示访问控制过程中的主体、客体、访问类型和访问时系统的运行状态。对四类对象的定义如下：用户是指可以独立访问被保护数据或资源的一类对象，它往往是提出请求或要求的发起者，可以是用户，也可以是任何发出访问请求的智能体，包括进程、服务、程序等，此处简化为人；资源是需要接受用户访问的一类对象，包括所有受访问控制机制所保护下的系统资源包括系统的功能、数据库、文件等；操作是用来定义用户行为的一类对象，它具体定义了用户对资源进行何种类型的访问；运行上下文对象记录了当前系统运行的一些动态属性，例如当前用户的IP、服务器负载，当前的时间、系统运行的安全等级、CPU的利用率等，它不依赖于某个特殊的用户和资源，但往往会应用在访问控制策略中。利用上述四类对象的属性，可以提供多种粒度的访问控制策略。

各个对象按照属性服务器中预先定义的属性集来描述。这种统一的属性管理模式不仅有利于系统管理员建立一致的和多粒度的访问控制策略，而且有利于实现不同管理域之间的跨域访问。

在本发明的另一方面可以将属性管理、访问控制规则的管理及访问的合法性判定相分离。各类对象的属性的维护，可以由属性的管理来完成，也可以随业务活动而发生变化。系统在运行过程中，属性是动态可变的量，而访问控制策略则相对稳定。因此系统能够满足根据业务变化而进行动态授权的机制。

本发明的基于PKI签名机制保证属性证书的安全性和管理域间建立可证明的信任关系。属性证书既可以作为在单一应用域内中匿名访问的权限判断的凭证又可以应用在跨域应用中，兼顾了精细的访问控制和用户使用的便捷性。

本发明另一显著的优势是通过引入上下文对象实现对不同类型的用户提供差异化的服务，例如在负载比较大的情况下可以优先保证具有某种特征的用户的访问。

本发明的其它方面将可以从下面结合附图的示例说明本发明的实现原理及相关描述中变得显而易见。但是本发明不局限于此番给出的解释及细节，可在权利要求的范围内改变。

附图说明

图1是基于属性的访问控制模型的结构框图。

具体实施方式

下面结合附图和具体实施例对本发明做进一步详细说明：

实施例1：

如图1所示，本发明所述的一种基于属性的访问控制模型，为简化描述本方法，以两个管理域，第一管理域1和第二管理域2为例说明。包括来接入到Inter网上的第一管理域1和第二管理域2，其中第一管理域1设置有第一访问控制服务器1a，该第一访问控制服务器1a连接有至少一台第一应用服务器1b，其中第二管理域2设置有第二访问控制服务器2a，该第二访问控制服务器2a连接有至少一台第二应用服务器2b，其关键在于：还包括有证书服务器3和属性管理服务器4；

其中证书服务器3用于：

I、通过给第一管理域1和第二管理域2中第一访问控制服务器1a和第二访问控制服务器2a颁发服务器证书，建立第一管理域1和第二管理域2之间的信任链，保证第一管理域1和第二管理域2之间的信任关系；

II、给用户颁发用户证书，用户证书包含的内容有用户名、序列号、签名算法、颁发者、有效起始日期、有效终止日期、主题、公钥信息；

其中属性管理服务器4用于：

I、负责建立统一的属性定义库，统一访问控制规则中的语义问题；

II、负责建立统一的属性定义库，用来统一访问控制服务器中的访问控制规则具有相同的语义；

属性包括：

I、用户的基本属性：姓名、年龄、职称、角色、职务、当前费用、积分；

II、资源的基本属性：资源名称、资源类型、所需费用；

III、操作的基本属性：下载、查看、删除、上传、修改；

IV、上下文对象的基本属性：服务器端的当前CPU利用率、访问用户数量，客户端的IP地址、访问类型；

所述第一访问控制服务器1a和第二访问控制服务器2a之间由所述证书服务器3颁发的服务器证书保证相互之间的信任链关系；

管理域中的属性库均源自于由属性管理机构所维护的属性库，各管理域可向该机构申请使用属性及注册新的属性。

所述第一访问控制服务器1a和第二访问控制服务器2a用于：

I、基于统一语义的属性来定义访问控制规则；

II、给用户颁发属性证书，维护用户的信息。

所述用户证书采用X.509标准，用户证书的内容有：用户名、用户ID，即序列号、签名算法、颁发者、有效起始日期、有效终止日期、主题、公钥信息；

用户证书是基于用户或ID的身份鉴别，用户证书相当于网络环境下的一种身份证，它通过将某用户的身份与其公钥相绑定，并由证书服务器3进行签名，以向公钥的使用者证明公钥的合法性和权威性。

所述属性证书为一个用户的所有<属性名，属性值>这样的属性值对的集合，其基本的结构为：属性ID1，属性值1；属性ID2，属性值2；…，属性名n，属性值n；

属性证书中存储了用户的具体属性值，看作是有签名机制的一种特殊的数据结构或文件。

用户或者只使用属性证书实现匿名访问第一访问控制服务器1a和第二访问控制服务器2a；

或者同时使用用户证书和属性证书实现透明访问第一访问控制服务器1a和第二访问控制服务器2a。

所述属性证书应用于单一管理域和跨管理域；

在单一管理域和跨管理域应用中，用户通过提交用户证书和属性证书来简化登录操作，由所述第一访问控制服务器1a或第二访问控制服务器2a中的访问控制策略计算引擎来判断用户的合法性以及查询用户的操作权限。

在单一应用域时，属性证书的作用与用户输入用户名和密码的作用相同都是作为身份验证和资源操作权限的判断；

在跨域应用时，用户通过提交用户证书和属性证书来简化登录操作，由所述第一访问控制服务器1a或第二访问控制服务器2a通过访问控制策略计算引擎来判断用户的合法性以及用户的操作权限信息。

访问控制计算引擎其实就是根据从属性证书中提出的属性值与访问控制策略中的访问规则进行匹配看是否满足，来判断该访问是否合法并将决策结果返回，即允许或拒绝，最终由应用服务器进行访问控制的实施。

访问控制规则由属性表达式来定义：

1属性表达式CE

属性表达式的CE定义如下：

CE-＞CE or AE

CE-＞CE and AE

CE-＞AE

CE-＞(CE)|not(CE)

AE-＞(属性变量操作符变量)|(属性变量操作符常量)

2常量

是指属性表达式在计算过程中不发生变化的值，常见的常量有：

数字常量，由1-9和小数点组成。例如：183.22。

字符串常量，必须放在引号中，字符串中间不能有空格、制表符。例如：‘视频数据’。

布尔常量，真为true，假为false。例如：true。

日期常量：年、月、日之间用“-“分割，YYYY-MM-DD，空位须补零。例如：1900-06-09。

3属性变量

是指在权限计算过程中，要根据当前参与操作的用户、资源、操作和运行上下文变化的量。例如：

User.用户属性i：取用户对象的第i个属性。

Res.资源属性j：资源对象的第j个属性。

Op.操作属性k：操作对象的第k个属性。

属性变量在进行权限判断时，将根据当前操作的用户，资源和操作进行实例化，并获得这些变量的具体值。

(4)运算符

运算符用来描述属性表达式中属性变量与其它属性变量或者常量之间满足何种关系。常见的运算符有：＝、＞、＜、＞＝、＜＝。

(5)属性表达式示例

User.年龄＞Res.可访问年龄and(User.余额＞Res.价格)

表示用户的年龄大于资源要求的访问年龄，且用户账户上余额大于资源需要的价格时，可以访问该资源。

综合示例

Res.可访问年龄＝18and User.年龄＞Res.可访问年龄and not(User.余额＜Res.价格)

②给用户颁发属性证书，维护用户的信息

此处用户的属性证书是本系统独有的，运用了数字签名的机制，是自己定义的结构：

具体包含了应用域的信息及用户的属性值对信息。具体来说：

用户属性证书是一个《属性ID，属性值》的集合，结构为：

属性ID1，属性值1；属性ID2，属性值2，…，属性IDn，属性值n。

为让接收方对属性证书进行鉴别，在属性值对中加入以下属性：

属性IDn 1＝“9998”，属性值＝“当前应用域”；

属性IDn＝“9999”，属性值＝“对用户属性签名后的字符串”。

属性证书的应用域分为单一应用域和跨应用域。在单一应用域时，属性证书的作用与用户输入用户名和密码的作用相同都是作为身份验证和资源操作权限的判断。在跨域应用时，用户可以通过提交用户证书和属性证书来简化登录操作，由服务器通过访问控制策略计算引擎来判断用户的合法性以及用户的操作权限等信息。

实施例2：

一种基于属性的访问控制模型的跨域访问方法，其关键在于：

步骤一、证书服务器分别给第一管理域1和第一管理域2颁发服务器证书，用于维护第一访问控制服务器1a和第二访问控制服务器2a之间的信任链关系；

步骤二、用户通过第一应用服务器1b登录第一管理域1，第一访问控制服务器1a给用户颁发包含数字签名的属性证书，用户将属性证书下载至第一应用服务器1b的本地磁盘保存；

步骤三、用户登录第二管理域2，匿名访问第二管理域2下的资源时，向第二管理域2提交由第一管理域1颁发的属性证书；

步骤四、第二访问控制服务器2a通过服务器证书的信任链关系，确认由第一管理域1颁发给用户的属性证书；

步骤五、第二访问控制服务器2a提取属性证书中用户的属性值，根据访问控制策略判定通过访问控制计算引擎判定该用户操作的合法性。

实施例3：

一种基于属性的访问控制模型的跨域访问方法，其关键在于：

步骤一、证书服务器分别给第一管理域1和第一管理域2颁发服务器证书，用于维护第一访问控制服务器1a和第二访问控制服务器2a之间的信任链关系；

步骤二、用户通过第一应用服务器1b登录第一管理域1，由证书服务器和第一访问控制服务器1a分别给用户颁发用私钥加密过的用户证书和包含数字签名的属性证书，用户将两种证书下载至第一应用服务器1b的本地磁盘保存；

步骤三、用户透明访问第二管理域2下的资源时，向第二管理域2同时提交用户证书和属性证书；

步骤四、第二访问控制服务器2a通过证书服务器提供的公钥对用户证书进行解密，验证用户证书的真实性与合法性；

步骤五、第二访问控制服务器2a通过服务器证书的信任链关系，确认由第一管理域1颁发给用户的属性证书；

步骤六、第二访问控制服务器2a提取属性证书中用户的属性值，根据访问控制策略判定通过访问控制计算引擎判定该用户操作的合法性。

本发明不局限于第一管理域1和第一管理域2两个应用域，可以是若干个不同的应用域的相互跨域访问。各应用域的属性内容相互独立，但所有应用域的属性都能在属性管理服务器4中找到。

通过互联网进行跨域访问，应用服务器既作为第一管理域1的终端，也可作为第一管理域2的终端。

Claims (7)

1.一种基于属性的访问控制系统，包括接入到Inter网上的第一管理域（1）和第二管理域（2），其中第一管理域（1）设置有第一访问控制服务器（1a），该第一访问控制服务器（1a）连接有至少一台第一应用服务器（1b），其中第二管理域（2）设置有第二访问控制服务器（2a），该第二访问控制服务器（2a）连接有至少一台第二应用服务器（2b），其特征在于：还包括有证书服务器（3）和属性管理服务器（4）；

其中证书服务器（3）用于：

Ⅰ、通过给第一管理域（1）和第二管理域（2）中第一访问控制服务器（1a）和第二访问控制服务器（2a）颁发服务器证书，建立第一管理域（1）和第二管理域（2）之间的信任链，保证第一管理域（1）和第二管理域（2）之间的信任关系；

Ⅱ、给用户颁发用户证书，用户证书包含的内容有用户名、序列号、签名算法、颁发者、有效起始日期、有效终止日期、主题、公钥信息；

其中属性管理服务器（4）用于：

Ⅰ、负责建立统一的属性定义库，统一访问控制规则中的语义问题；

Ⅱ、负责建立统一的属性定义库，用来统一访问控制服务器中的访问控制规则具有相同的语义；

属性包括：

Ⅰ、用户的基本属性：姓名、年龄、职称、角色、职务、当前费用、积分；

Ⅱ、资源的基本属性：资源名称、资源类型、所需费用；

Ⅲ、操作的基本属性：下载、查看、删除、上传、修改；

Ⅳ、上下文对象的基本属性：服务器端的当前CPU利用率、访问用户数量，客户端的IP地址、访问类型；

所述第一访问控制服务器（1a）和第二访问控制服务器（2a）之间由所述证书服务器（3）颁发的服务器证书保证相互之间的信任链关系；

所述第一访问控制服务器（1a）和第二访问控制服务器（2a）用于：

Ⅰ、基于统一语义的属性来定义访问控制规则；

Ⅱ、给用户颁发属性证书并签名。

2.根据权利要求1所述的基于属性的访问控制系统，其特征在于：述用户证书采用X.509标准，用户证书的内容有：用户名、用户ID、签名算法、颁发者、有效起始日期、有效终止日期、主题、公钥信息；

用户证书是基于用户或ID的身份鉴别，用户证书相当于网络环境下的一种身份证，它通过将某用户的身份与其公钥相绑定，并由证书服务器（3）进行签名，以向公钥的使用者证明公钥的合法性和权威性。

3.根据权利要求1所述的基于属性的访问控制系统，其特征在于：所述属性证书为一个用户的所有<属性名，属性值>这样的属性值对的集合，其基本的结构为：属性ID1，属性值1；属性ID2，属性值2；…,属性名n,属性值n；

属性证书中存储了用户的具体属性值，是具有签名机制保证其真实性的数据结构或文件。

4.根据权利要求2或3所述的基于属性的访问控制系统，其特征在于：

用户或者只使用属性证书实现匿名访问第一访问控制服务器（1a）和第二访问控制服务器（2a）；

或者同时使用用户证书和属性证书实现透明访问第一访问控制服务器（1a）和第二访问控制服务器（2a）。

5.根据权利要求2或3所述的基于属性的访问控制系统，其特征在于：所述属性证书应用于单一管理域和跨管理域；

在单一管理域和跨管理域应用中，用户通过提交用户证书和属性证书来简化登录操作，由所述第一访问控制服务器（1a）或第二访问控制服务器（2a）中的访问控制策略计算引擎来判断用户的合法性以及查询用户的操作权限。

6.一种权利要求1所述基于属性的访问控制系统的跨域访问方法，其特征在于：

步骤一、证书服务器分别给第一管理域（1）和第二管理域（2）颁发服务器证书，用于维护第一访问控制服务器（1a）和第二访问控制服务器（2a）之间的信任链关系；

步骤二、用户通过第一应用服务器（1b）登录第一管理域（1），第一访问控制服务器（1a）给用户颁发包含数字签名的属性证书，用户将属性证书下载至第一应用服务器（1b）的本地磁盘保存；

步骤三、用户登录第二管理域（2），匿名访问第二管理域（2）下的资源时，向第二管理域（2）提交由第一管理域（1）颁发的属性证书；

步骤四、第二访问控制服务器（2a）通过服务器证书的信任链关系，确认由第一管理域（1）颁发给用户的属性证书；

步骤五、第二访问控制服务器（2a）提取属性证书中用户的属性值，根据访问控制策略判定通过访问控制计算引擎判定该用户操作的合法性。

7.一种权利要求1所述基于属性的访问控制系统的跨域访问方法，其特征在于：

步骤一、证书服务器分别给第一管理域（1）和第二管理域（2）颁发服务器证书，用于维护第一访问控制服务器（1a）和第二访问控制服务器（2a）之间的信任链关系；

步骤二、用户通过第一应用服务器（1b）登录第一管理域（1），由证书服务器和第一访问控制服务器（1a）分别给用户颁发用私钥加密过的用户证书和包含数字签名的属性证书，用户将两种证书下载至第一应用服务器（1b）的本地磁盘保存；

步骤三、用户透明访问第二管理域（2）下的资源时，向第二管理域（2）同时提交用户证书和属性证书；

步骤四、第二访问控制服务器（2a）通过证书服务器提供的公钥对用户证书进行解密，验证用户证书的真实性与合法性；

步骤五、第二访问控制服务器（2a）通过服务器证书的信任链关系，确认由第一管理域（1）颁发给用户的属性证书；

步骤六、第二访问控制服务器（2a）提取属性证书中用户的属性值，根据访问控制策略判定通过访问控制计算引擎判定该用户操作的合法性。