CN102263809A - 一种基于企业服务总线实现服务安全管控的方法及装置 - Google Patents

Abstract

本发明公开了一种基于企业服务总线实现服务安全管控的方法及装置，包括：预先在企业服务总线上建立服务消费者账号信息源以及服务授权项信息源；根据存储的服务消费者账号信息源对接收的服务访问请求进行身份认证；查询存储的服务授权项信息源，获取服务访问请求对应的服务消费者的服务授权项；根据服务授权项从服务提供商获取相应的服务。应用本发明，可以针对不同类型的服务消费者，提供具体服务的访问控制和服务方法的访问控制，实现不同的服务安全管控。

Description

一种基于企业服务总线实现服务安全管控的方法及装置

技术领域

本发明涉及业务支撑安全管控技术，特别涉及一种基于企业服务总线(ESB，Enterprise Service Bus)实现服务安全管控的方法及装置。

背景技术

在面向服务架构(SOA，Service-Oriented Architecture)中，业务是最核心的抽象手段，业务被划分(组件化)为一系列粗粒度的业务服务和业务流程。其中，业务服务通过一个或者多个分布的系统、基于对象(Object)机制实现，包含多个操作方法，业务流程由业务服务组装而来。

SOA服务协作过程中，为了实现标准化，一般会利用基于超文本传输协议(HTTP，Hyper Text Transfer Protocol)中的简单对象访问协议(SOAP，Simple Object Access Protocol)封装消息，即业务信息，SOAP协议采用可扩展标记语言(XML，Extensible Markup Language)描述。当然，也可以利用其他传输协议封装消息。

SOA服务协作模式一般采用请求-响应的阻塞模式。业务及流程是服务的识别和定义的基础，服务定义的原则是高内聚、松耦合。服务采用基于对象的机制，包含多种业务操作。

随着通信技术的发展以及企业间共享业务服务应用需求的增强，企业之间通过建立企业服务总线，在企业服务总线上开放来源于包括信息服务、功能服务、流程服务等多个系统的大量的服务，作为SOA架构的重要组成部分，以消除不同应用之间的技术差异，使得不同的应用服务器协调运作，从而实现不同服务之间的通信与整合。

企业服务总线是一种开放的、基于标准的分布式同步或异步信息传递中间件，基于事件驱动和文档导向，并支持内容的路由和过滤，通过将业务逻辑封装到中间件中，支持更为灵活的面向消息和面向事件的交互模式。

现有SOA已经成为企业信息化的重要目标，企业服务总线应用越发广泛，在电信行业其他的运营商得到广泛应用，其带来的优点有：1)通过屏蔽物理服务的位置和开放细节，简化系统间协作的成本，例如：当某个系统进行升级或者替换时，其作为服务提供商提供的服务只需在企业服务总线上进行简单的替换，而大量的服务消费者系统或终端无需进行任何修改，可以有效节约维护成本。2)企业服务总线可以帮助大量的现有系统开放服务，因企业服务总线可以通过中介流进行消息格式、通讯协议的转换，可以将对现有系统的改造要求减到最小，可以快速实现业务需求，适应市场的变化。

现有企业服务总线支持的服务的访问控制一般采用WS-SECURITY的协议机制，该WS-SECURITY提供在Web服务上应用安全方法的网络传输协议，包含了关于如何在Web服务消息上保证完整性和机密性的规约。WS-SECURITY协议包括安全断言标记语言(SAML，Security AssertionMarkup Language)、Kerberos和认证证书格式(如X.509)使用的详细信息。主要描述如何将签名和加密头加入SOAP消息头以及如何在消息中加入安全令牌，包括二进制安全令牌，如X.509认证证书和Kerberos门票(ticket)。

由上述可见，WS-SECURITY协议主要涉及：(1)服务验证(authentication)、(2)数据完整性(data integrity)和(3)数据机密性(dataconfidentiality)，通过建立业务系统(服务消费者系统)与企业服务总线间的认证关系，由企业服务总线上的WEB容器(Container)实现基于证书的认证，还不能提供完整的服务安全管控机制，例如，不能针对不同类型的服务消费者进行灵活的管理、审计，不能提供对具体服务的访问控制和服务方法的访问控制、以及认证信息如何被使用。而随着SOA的大量应用，服务安全管控是每个使用企业服务总线的企业(服务消费者系统)都会面临的问题，举例来说，以人员信息服务为例：服务消费者系统可以在企业服务总线上通过对业务的梳理和分析，获取人员的服务信息，包括：人员基本信息、人员的工作分配信息、员工用工形式信息、员工奖惩信息、员工的专业资格信息、员工的薪酬信息等，这样，在SOA服务协作的企业服务总线模式下，如果服务消费者通过证书的认证，则可以获取人员的服务信息中的任何一种或多种信息，但实际应用中，对于人员基本信息、人员的工作分配信息、员工用工形式信息等，可以开放给大多数内部管理系统；而对于员工奖惩信息、员工的专业资格信息、员工的薪酬信息等，为较为敏感的信息，一般只能开放给少数指定的系统或服务消费者使用、查询。因而，需要针对不同类型的服务消费者，提供不同的具体服务的访问控制和服务方法的访问控制，实现相应的服务安全管控。

发明内容

有鉴于此，本发明的主要目的在于提出一种基于企业服务总线实现服务安全管控的方法，针对不同类型的服务消费者，提供具体服务的访问控制和服务方法的访问控制，实现不同的服务安全管控。

本发明的另一目的在于提出一种基于企业服务总线实现服务安全管控的装置，针对不同类型的服务消费者，提供具体服务的访问控制和服务方法的访问控制，实现不同的服务安全管控。

为达到上述目的，本发明提供了一种基于企业服务总线实现服务安全管控的方法，该方法包括：

预先在企业服务总线上建立服务消费者账号信息源以及服务授权项信息源；

根据存储的服务消费者账号信息源对接收的服务访问请求进行身份认证；

查询存储的服务授权项信息源，获取服务访问请求对应的服务消费者的服务授权项；

根据服务授权项从服务提供商获取相应的服务。

所述服务消费者账号信息源采用数据库表或者轻量目录访问协议或文件形式进行存储。

所述服务消费者账号信息源包括：服务消费者标识信息、服务消费者名称信息、服务消费者访问密码信息、密码是否有效标识信息、密码到期时间信息以及服务消费者证书信息。

所述服务授权项信息源包括：服务标识信息、服务名称信息、服务端点地址信息、服务方法信息、服务消费者标识信息、是否允许访问信息以及访问有效期信息。

所述服务访问请求中携带服务消费者标识信息、服务标识信息以及服务消费者访问密码信息。

所述服务访问请求以SOAP协议进行封装，并将服务消费者标识信息、服务标识信息以及服务消费者访问密码信息封装在SOAP协议头中。

进一步包括：

记录所述服务访问的访问日志信息。

所述访问日志信息包括：服务消费者标识信息、服务访问标识信息、访问的服务方法信息、服务访问时间信息以及服务认证是否成功信息。

一种基于企业服务总线实现服务安全管控的装置，该装置包括：业务服务中介单元、安全管控中介单元、服务消费者账号信息源存储单元、以及服务授权项信息源存储单元，其中，

业务服务中介单元，用于接收服务访问请求，发送至安全管控中介单元；接收安全管控中介单元返回的认证结果信息，如果认证结果为通过，根据认证结果信息中包含的服务标识信息、服务端点地址信息以及服务方法信息，向服务端点地址信息对应的服务提供商调用服务，并将返回的服务发送至服务访问请求对应的服务消费者；

安全管控中介单元，接收服务访问请求，从服务消费者账号信息源存储单元读取服务访问请求对应的服务消费者账号信息，进行身份认证；在身份认证通过后，从服务授权项信息源存储单元中读取服务访问请求对应的服务授权项信息，进行授权认证，向业务服务中介单元返回认证结果信息；

服务消费者账号信息源存储单元，用于存储服务消费者账号信息源；

服务授权项信息源存储单元，用于存储服务授权项信息源。

进一步包括服务访问日志存储单元，用于存储安全管控中介单元生成的服务访问日志信息。

由上述的技术方案可见，本发明提供的一种基于企业服务总线实现服务安全管控的方法及装置，通过预先在企业服务总线上建立服务消费者账号信息源以及服务授权项信息源；根据存储的服务消费者账号信息源对接收的服务访问请求进行身份认证；查询存储的服务授权项信息源，获取服务访问请求对应的服务消费者的服务授权项；根据服务授权项从服务提供商获取相应的服务。这样，将不同服务提供商提供的服务访问控制权限信息设置在企业服务总线上，对服务消费者进行身份认证，根据身份认证后的服务消费者权限提供相应的服务，从而可以针对不同类型的服务消费者，提供不同的具体服务的访问控制和服务方法的访问控制，实现不同的服务安全管控。

附图说明

图1为本发明实施例基于企业服务总线实现服务安全管控的方法流程示意图。

图2为本发明实施例基于企业服务总线实现服务安全管控的装置结构示意图。

图3和图4为本发明实施例基于企业服务总线实现服务安全管控的方法具体流程示意图。

图5为本发明实施例SOAP协议结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图及具体实施例对本发明作进一步地详细描述。

现有WS-SECURITY提供的服务验证、数据完整性和数据机密性仅涉及服务访问认证方法，而实际应用中，需要针对不同类型的服务消费者，提供不同的具体服务的访问控制和服务方法的访问控制，以实现相应的服务安全管控，其中，服务安全管控方法至少需要包含服务消费者帐号管理方法、服务访问认证方法、服务授权管理方法、以及服务访问的安全审计方法。因而，现有技术中还缺乏服务消费者帐号管理方法、服务授权管理方法、服务访问的安全审计方法。也就是说，现有的WS-SECURITY协议只定义到消息格式的体系，没有进一步定义服务消费者帐号管理方法、服务授权管理方法以及服务访问的安全审计方法，使之不能针对不同类型的服务消费者进行灵活的管理、审计。

图1为本发明实施例基于企业服务总线实现服务安全管控的方法流程示意图。参见图1，该流程包括：

步骤101，预先在企业服务总线上建立服务消费者账号信息源；

本步骤中，在企业服务总线上建立服务消费者账号信息源，即在企业服务总线上设置服务消费者帐号管理方法。

服务消费者账号信息源可以采用数据库表或者轻量目录访问协议(LDAP，Lightweight Directory Access Protocol)形式进行存储，也可以采用文件形式进行存储，还可以采用其他的物理形式进行存储。

服务消费者账号信息源包括：服务消费者标识(ID，Identifier)信息、服务消费者名称信息、服务消费者访问密码信息、密码是否有效标识信息、密码到期时间信息、服务消费者证书信息等，可以是其中的任意一种或任意组合。一个服务消费者对应一个服务消费者标识或服务消费者名称，服务消费者标识与服务消费者访问密码、密码是否有效标识、密码到期时间以及服务消费者证书一一对应。

实际应用中，服务消费者标识信息也可以为服务应用标识信息或服务消费者系统标识信息；服务消费者访问密码使用密钥加密后存储。

后续流程中，企业服务总线还可以对存储的服务消费者账号信息源进行维护，例如，根据实际需要，对服务消费者账号信息源进行增加、删除、修改、查询操作，以更新服务消费者账号。

步骤102，预先在企业服务总线上建立服务授权项信息源；

本步骤中，在企业服务总线上建立服务授权项信息源，即在企业服务总线上通过建立服务授权项实现服务访问的授权管理。

服务授权项信息源可以采用数据库表或者LDAP形式进行存储，也可以采用文件形式进行存储，还可以采用其他的物理形式进行存储。

服务授权项信息源中包含的授权项至少包括：服务ID信息、服务名称信息、服务端点地址信息、服务方法信息、服务消费者ID信息、是否允许访问信息、访问有效期信息等。也就是存储了服务消费者有权限访问的服务，提供服务的服务提供商端点地址，访问服务的方法以及访问的有效期限等。

后续流程中，企业服务总线还可以对存储的服务授权项信息源进行维护，例如，增加服务访问授权、查询服务访问授权、取消服务访问授权、设置服务访问授权有效期等操作。

所应说明的是，步骤101和步骤102并没有先后顺序之分，其信息可以从各服务提供商系统中获取。

步骤103，根据存储的服务消费者账号信息源对接收的服务访问请求进行身份认证；

本步骤中，服务消费者向企业服务总线发起服务访问请求，携带服务消费者ID信息、服务ID信息以及服务消费者访问密码信息。当然，也可以携带其他服务消费者账号信息源中的信息，例如，服务消费者名称信息、和/或服务消费者证书信息。

服务访问请求以SOAP协议进行封装，并将服务消费者ID信息以及服务消费者访问密码信息等安全认证信息封装在SOAP协议头中。

企业服务总线接收服务访问请求，通过解析SOAP协议头信息，获取服务消费者ID信息以及服务消费者访问密码信息，与存储的服务消费者账号信息源进行匹配，如果全部匹配，则通过身份认证。例如，根据获取的服务消费者ID查询存储的服务消费者账号信息源，获取该服务消费者ID对应的服务消费者访问密码，如果与服务访问请求中包含的服务消费者访问密码一致，则通过身份认证。当然，如果服务访问请求中还包含服务消费者名称信息、和/或服务消费者证书信息，则需要分别与服务消费者账号信息源中该服务消费者ID对应的服务消费者名称信息、和/或服务消费者证书信息相一致。

步骤104，查询存储的服务授权项信息源，获取服务访问请求对应的服务消费者的服务授权项；

本步骤中，在通过身份认证后，还需要进行授权认证，即服务访问权限认证，获取服务消费者的服务授权项。即获取服务消费者有权限访问的服务，提供服务的服务提供商端点地址，访问服务的方法以及访问的有效期限等。

本步骤中，如果没有存储通过身份认证后的服务消费者相应的服务授权项，则结束流程。

步骤105，根据服务授权项从服务提供商获取相应的服务并生成服务访问的访问日志。

该步骤中，生成服务访问的访问日志的步骤为可选。

图2为本发明实施例基于企业服务总线实现服务安全管控的装置结构示意图。参见图2，该装置包括：业务服务中介单元、安全管控中介单元、服务消费者账号信息源存储单元、以及服务授权项信息源存储单元，其中，

业务服务中介单元，用于接收服务访问请求，发送至安全管控中介单元；接收安全管控中介单元返回的认证结果信息，如果认证结果为通过，根据认证结果信息中包含的服务ID信息、服务端点地址信息以及服务方法信息，向服务端点地址信息对应的服务提供商调用服务，并将返回的服务发送至服务访问请求对应的服务消费者；

实际应用中，如果认证结果为不通过，拒绝服务访问请求。

安全管控中介单元，接收服务访问请求，从服务消费者账号信息源存储单元读取服务访问请求对应的服务消费者账号信息，进行身份认证；在身份认证通过后，从服务授权项信息源存储单元中读取服务访问请求对应的服务授权项信息，进行授权认证，向业务服务中介单元返回认证结果信息；

服务消费者账号信息源存储单元，用于存储服务消费者账号信息源；

本实施例中，服务消费者账号信息源包括：服务消费者标识信息、服务消费者名称信息、服务消费者访问密码信息、密码是否有效标识信息、密码到期时间信息、服务消费者证书信息等。

服务消费者账号信息源可以采用数据库表或者轻量目录访问协议形式进行存储，也可以采用文件形式进行存储，还可以采用其他的物理形式进行存储。

服务授权项信息源存储单元，用于存储服务授权项信息源。

服务授权项信息源包括：服务ID信息、服务名称信息、服务端点地址信息、服务方法信息、服务消费者ID信息、是否允许访问信息、访问有效期信息等。

这样，通过将不同服务商提供服务设置的访问控制权限信息分别设置在该装置中，该装置在服务请求者与已存在的服务之间起到中介和消息转换的功能，完整地提供了企业服务总线上服务的安全管控方法，补充了WS-SECURITY协议的不足，首先提供了服务消费者管理方法；其次提供了服务总线上的服务的访问授权方法，实现了服务调用者与服务的访问管理；最后提供了服务访问审计的方法，能够实现服务消费者帐号管理、服务访问认证以及服务授权管理，从而可以针对不同类型的服务消费者，提供具体服务的访问控制和服务方法的访问控制，实现服务安全管控。也就是在企业服务总线采用服务中介的方式对物理服务进行封装，服务消费者无法直接访问服务提供商提供的服务(物理服务)，需要经过企业服务总线访问物理服务，屏蔽物理服务(服务提供商提供的服务)的细节，服务中介提供位置透明性的服务路由和定位服务，服务消费者无需知道所调用的物理服务是哪个系统提供，也无需知道对端IP和访问URL地址，只需要知道企业服务总线上开放的服务即可，以上路由和定位都是由企业服务总线实现，企业服务总线支持多种消息传递形式，例如，SOAP、XML、二进制数据等；支持广泛使用的传输协议，例如，web-service、http、https、FTP、JMS、platfile等。

本实施例中，安全管控中介单元在进行授权认证后，还可以生成服务访问日志信息，以便后续中进行服务访问审计，该装置进一步包括：

服务访问日志存储单元，用于存储安全管控中介单元生成的服务访问日志信息。

服务访问日志信息采用数据库表或者文件或者其他存储的形式，至少包含服务消费者ID信息、服务访问ID信息、访问的服务方法(Method)信息、服务访问时间信息以及认证是否成功信息等。

进一步地，服务访问日志存储单元根据服务访问日志信息生成统计查询报表。这样，通过服务访问的统计查询报表来满足企业的服务访问的安全审计要求。

基于图1和图2，下面举一具体实施例，对本发明进行详细说明。

图3和图4为本发明实施例基于企业服务总线实现服务安全管控的方法具体流程示意图。参见图3和图4，该流程包括：

步骤301，服务消费者向服务总线发起服务访问请求，携带服务消费者ID信息以及服务消费者访问密码信息；

本步骤中，服务消费者将服务消费者ID信息以及服务消费者访问密码信息等安全认证信息封装到SOAP协议头中。

以人力资源(HR，Human Resource)获取HR系统中员工编号为27007086的人员信息服务的请求为例，SOAP协议由SOAP信封、SOAP消息头、SOAP消息体组成。

图5为本发明实施例SOAP协议结构示意图。参见图5，包括SOAP信封、SOAP消息头、SOAP消息体，其中，SOAP信封用于描述整个服务的命名空间为“xmlns”以及需要调用的服务名称为“EmployeeInfoService”，SOAP消息头中增加了服务系统ID和服务消费者访问密码，其ID编号为“11”，密码为使用明文加密后并使用Base64方式编码的密码。当然，实际应用中，还可以根据实际需要增加验证码，用于校验整个SOAP消息的校验和，以避免有非法篡改消息体的信息攻击；消息体中包含调用该服务的方法“getEmployeeInfoByEmployeeID”、以及员工编号输入信息(服务消费者标识信息)“员工编号是27007086”。本实施例中，采用在消息头中而不在消息体中增加安全认证信息的优点是可以不破坏业务的可读性和完整性，消息体偏重在业务数据，便于系统的业务整合。

步骤302，企业服务总线的业务服务中介单元接收服务访问请求，将服务访问请求的上下文信息发送至安全管控中介单元；

本实施例中，业务服务中介单元在接收到服务访问请求之后通过解析SOAP协议头信息以及服务访问信息，把服务访问请求的上下文信息发送至安全管控中介单元。

步骤303，安全管控中介单元接收服务访问请求的上下文信息，进行认证；

本步骤中，安全管控中介单元接收服务访问请求的上下文信息，获取服务消费者ID信息及服务消费者访问密码信息，查询服务消费者账号信息源存储单元，进行身份认证，在身份认证通过后，查询服务授权项信息源存储单元，进行服务访问权限认证(授权认证)，获取服务的端点地址和服务消费者调用服务方法信息；

本步骤中，通过服务消费者账号信息源进行身份认证，包括密码是否正确，账号在有效期内等。

步骤304，安全管控中介单元在身份认证和服务访问权限认证通过后将认证结果通知业务服务中介单元；

步骤305，安全管控中介单元记录本次服务访问的访问日志；

本步骤中，访问日志采用数据库表或者文件或者其他存储的形式，至少包含服务消费者ID、服务访问ID、访问的服务方法(Method)、服务访问时间、服务认证是否成功等信息，同时还可提供统计查询报表，通过服务访问的统计查询报表来满足企业的服务访问的安全审计要求。

步骤306，业务服务中介单元向服务提供商物理服务发起访问请求；

本步骤中，物理服务是现有系统开放出来的为其它的系统提供服务的业务功能实体，例如：人力资源中的员工信息服务，其method方法包括：获取员工基本信息、获取员工薪酬信息、获取员工的联系信息、获取员工的奖惩信息等；员工操作服务，其method方法包括：员工升迁任免、员工入职、员工离职、员工休假等；合同管理中的合同信息服务，其method方法包括：获取合同基本信息、获取合同文本、获取合同审判记录等；合同操作服务，其method方法包括：合同创建、合同修改、合同销毁等。

在信息系统的建设中，物理服务由各专业系统提供，其如何识别和定义采用一定的方法论，包括业务流程拆解法、目标系统定义法和现有资产接口分析法，因该分析方法非本发明探讨的重点，不在本发明中做详细描述。

步骤307，服务提供商物理服务返回物理服务访问结果；

步骤308，企业服务总线向服务消费者返回物理服务访问结果。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换以及改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种基于企业服务总线实现服务安全管控的方法，其特征在于，该方法包括：

预先在企业服务总线上建立服务消费者账号信息源以及服务授权项信息源；

根据存储的服务消费者账号信息源对接收的服务访问请求进行身份认证；

查询存储的服务授权项信息源，获取服务访问请求对应的服务消费者的服务授权项；

根据服务授权项从服务提供商获取相应的服务。

2.如权利要求1所述的方法，其特征在于，所述服务消费者账号信息源采用数据库表或者轻量目录访问协议或文件形式进行存储。

3.如权利要求2所述的方法，其特征在于，所述服务消费者账号信息源包括：服务消费者标识信息、服务消费者名称信息、服务消费者访问密码信息、密码是否有效标识信息、密码到期时间信息以及服务消费者证书信息。

4.如权利要求1所述的方法，其特征在于，所述服务授权项信息源包括：服务标识信息、服务名称信息、服务端点地址信息、服务方法信息、服务消费者标识信息、是否允许访问信息以及访问有效期信息。

5.如权利要求1至4任一项所述的方法，其特征在于，所述服务访问请求中携带服务消费者标识信息、服务标识信息以及服务消费者访问密码信息。

6.如权利要求5所述的方法，其特征在于，所述服务访问请求以SOAP协议进行封装，并将服务消费者标识信息、服务标识信息以及服务消费者访问密码信息封装在SOAP协议头中。

7.如权利要求6所述的方法，其特征在于，进一步包括：

记录所述服务访问的访问日志信息。

8.如权利要求7所述的方法，其特征在于，所述访问日志信息包括：服务消费者标识信息、服务访问标识信息、访问的服务方法信息、服务访问时间信息以及服务认证是否成功信息。

9.一种基于企业服务总线实现服务安全管控的装置，其特征在于，该装置包括：业务服务中介单元、安全管控中介单元、服务消费者账号信息源存储单元、以及服务授权项信息源存储单元，其中，

业务服务中介单元，用于接收服务访问请求，发送至安全管控中介单元；接收安全管控中介单元返回的认证结果信息，如果认证结果为通过，根据认证结果信息中包含的服务标识信息、服务端点地址信息以及服务方法信息，向服务端点地址信息对应的服务提供商调用服务，并将返回的服务发送至服务访问请求对应的服务消费者；

安全管控中介单元，接收服务访问请求，从服务消费者账号信息源存储单元读取服务访问请求对应的服务消费者账号信息，进行身份认证；在身份认证通过后，从服务授权项信息源存储单元中读取服务访问请求对应的服务授权项信息，进行授权认证，向业务服务中介单元返回认证结果信息；

服务消费者账号信息源存储单元，用于存储服务消费者账号信息源；

服务授权项信息源存储单元，用于存储服务授权项信息源。

10.如权利要求9所述的装置，其特征在于，进一步包括服务访问日志存储单元，用于存储安全管控中介单元生成的服务访问日志信息。

Images