CN102299812A

CN102299812A - 一种访问控制方法及网络设备

Info

Publication number: CN102299812A
Application number: CN2010102108065A
Authority: CN
Inventors: 李岩; 张彬; 李国辉
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2010-06-22
Filing date: 2010-06-22
Publication date: 2011-12-28

Abstract

本发明涉及通信领域，尤其涉及一种访问控制方法，包括获取访问控制策略包括的主体、动作和全部绝对路径；接收访问请求方发送的访问请求，根据所述访问请求获取所述访问请求的主体、动作和请求访问的数据路径的XPATH表达式；获取所述XPATH表达式包含的全部绝对路径；将所述访问请求的主体、动作和全部绝对路径分别与所述访问控制策略的主体、动作和全部绝对路径进行匹配，根据匹配结果确定所述访问请求是否符合所述的访问控制策略。本发明根据访问请求针对的内容的路径信息来判断所述访问请求是否被允许，而不是根据内容进行判断，大幅减少了查询、匹配的操作，使效率明显提升。

Description

一种访问控制方法及网络设备

技术领域

本发明涉及通信领域，尤其涉及一种访问控制方法及网络设备。

背景技术

在网络管理系统中通常包含两个对象：网管设备和被管设备。网络管理员操纵网管设备向被管设备发出网络管理请求，比如查询设备状态的请求或修改设备配置标识的请求；被管设备接收所述请求，并按请求执行操作，然后向网管设备应答操作结果。网管设备和被管设备间的报文交互需遵从网管协议。网络配置协议(Network Configuration Protocol，NETCONF)就是这样一种网管协议，所述网管协议采用可扩展标记语言(ExtensibleMarkup Language，XML)语言描述网管的请求/应答报文，以及网管数据。

为了网络设备的安全，需要对访问设备的网管请求进行访问控制。不同管理员的访问权限是不同的，他们可能只被允许访问网管数据的不同子集，因此需要识别管理员的身份和访问企图，判断该请求是否符合预先定义的访问策略，对于符合策略的请求予以执行。这种根据用户身份来限制用户对某些信息项的访问的过程就是访问控制。

可扩展的访问控制标记语言(eXtensible Access Control MarkupLanguage，XACML)是一种基于XML的开放标准语言，用于详细说明访问控制策略。XACML定义了一种通用的XML数据访问控制处理模型。依照该处理模型，在确定一个网管请求是否被允许时，在资源库中对网管请求需要访问或控制的资源进行查询，获得一个结果集；根据预设的规则查询资源库，获得另一个结果集，然后在对所述两个结果集比较。当网管请求对应的结果集是预设的规则对应的结果集的子集时，允许网管请求的访问或控制操作。

由于对资源进行查询需要占用很大的性能，且对所述两个结果集进行比较运算的开销也很大，因此现有机制的整体效率较低。

发明内容

本发明的一个目的为提供一种访问控制方法及网络设备。

本发明技术方案如下：

一种访问控制方法，包括：获取访问控制策略的主体、动作和全部绝对路径；接收访问请求方发送的访问请求，根据所述访问请求获取所述访问请求的主体、动作和请求访问的数据路径的XPATH表达式；获取所述XPATH表达式包含的全部绝对路径；将所述访问请求的主体、动作和全部绝对路径分别与所述访问控制策略的主体、动作和全部绝对路径进行匹配，根据匹配结果确定所述访问请求是否符合所述的访问控制策略。

一种网络设备，包括：策略管理单元、策略决策单元、策略实施单元；所述策略管理单元用于获取访问控制策略的主体、动作和全部绝对路径；所述策略实施单元用于接收访问请求方发送的访问请求，根据所述访问请求获取所述访问请求的主体、动作和请求访问的数据路径的XPATH表达式，并获取所述XPATH表达式包含的全部绝对路径；所述策略决策单元用于将所述访问请求的主体、动作和全部绝对路径分别与所述访问控制策略的主体、动作和全部绝对路径进行匹配，根据匹配结果确定所述访问请求是否符合所述的访问控制策略。

本发明的优点在于根据访问请求针对的内容的路径信息来判断所述访问请求是否被允许，而不是根据内容进行判断，大幅减少了查询、匹配的操作，使效率明显提升。

附图说明

图1所示为本发明一实施例的示意图；

图2所示为本发明一实施例的示意图；

图3所示为本发明一实施例的示意图。

具体实施方式

下面结合附图和具体实施例对本发明展开详细说明。但需要注意，下面的这些实施例，仅为帮助理解技术方案所举的例子，并不用于限定本发明。

本发明的一个实施例的内容如下。

获取访问控制策略中允许访问的数据的全部绝对路径。所述访问控制策略被预先配置，包括主体、动作和允许访问的数据的地址信息，所述全部绝对路径可根据所述允许访问的数据的地址信息获取。

接收访问请求方发送的访问请求，根据所述访问请求获取所述访问请求的主体、动作和请求访问的数据路径的XPATH表达式。

获取所述访问请求的XPATH表达式包含的全部绝对路径。

将所述访问请求的主体、动作和全部绝对路径分别与所述访问控制策略的主体、动作和全部绝对路径进行匹配，根据匹配结果确定所述访问请求是否符合所述的访问控制策略。

如图1所示，本发明的一个实施例的内容如下。

步骤11、获取访问控制策略包含的全部绝对路径。

所述访问策略以条为单位，每条访问控制策略包括主体、动作和允许访问的数据的地址信息。所述主体表示所述访问控制策略允许的访问请求方，所述动作表示所述访问控制策略允许所述访问请求方执行的动作。所述允许访问的数据的地址信息为所述访问控制策略允许所述访问请求方处理的数据的路径信息，可以为表示数据路径的XPATH表达式，也可以为绝对路径。

所述XPATH表达式是包含一个或多个绝对路径的XPATH表达式，在未对所述XPATH表达式进行转换的情况下，所述绝对路径不能被识别。所述绝对路径为能够直接表明数据的路径信息的路径。

当所述允许访问的数据的地址信息是绝对路径时，则可以直接获取所述绝对路径；当所述允许访问的数据的地址信息是XPATH表达式时，则对所述XPATH表达式进行转换，获取所述XPATH表达式包含的全部绝对路径。

例如，对于如表1所述的数据结构，当所述XPATH表达式为“/top//name”时，由于该表达式使用了符号“//”，且该符号在XPATH中的作用是表示匹配到达目标的任意的路径，因此，“/top//name”表示选取<top>下面的全部<name>元素，不论<name>位于<top>下的哪一层。参照表1，“/top//name”这个XPATH表达式包括两个绝对路径，分别为“/top/interfaces/name”和“/top/interfaces/interface/name”。

表1

可选地，在获取所述允许访问的数据的地址信息的全部绝对路径后，可根据所述全部绝对路径生成一个包含所述全部绝对路径的全路径XPATH表达式，所述全路径XPATH表达式的格式为将所述全部绝对路径通过分隔符依次相连，所述全路径XPATH表达式中的各个绝对路径均可以被直接读取。

步骤12、接收访问请求方发送的访问请求，根据所述访问请求获取所述访问请求的主体、动作和请求访问的数据路径的XPATH表达式。

访问请求方与配置了所述访问控制策略的设备建立会话，并向所述配置了访问控制策略的设备发送访问请求。

所述访问请求中携带所述访问请求的主体、动作和请求访问的数据的地址信息，所述请求访问的数据的地址信息包括子树形式信息或XPATH表达式。

当所述地址信息为子树形式的信息时，所述根据所述访问请求获取所述访问请求的请求访问的数据路径的XPATH表达式包括：获取所述访问请求中所述子树形式的地址信息，将所述子树形式的地址信息转换为请求访问的数据路径的XPATH表达式。

L1L2L3L4L5L6L7L8L9L10L11L12

<？xml version＝″1.0″？><rpc message-id＝″5″xmlns＝″urn:ietf:params:xml:ns:NETCONF:base:1.0″><get><filter type＝″subtree″><t:top xmlns:t＝″http://example.com/schema/1.2/config″><t:interfaces><t:interface/></t:interfaces></t:top></filter></get></rpc>

表2

如表2所示，第4行(L4)和第11行(L11)之间的内容为子树形式的地址信息，L4的type＝″subtree″指明了请求表达方式是子树过滤，它用XML形式表达要访问的数据。在本实施例中，所述子树形式的地址信息表示请求访问<top>元素下的<interfaces>元素下的<interface>元素，对应的XPATH表达式为：top/interfaces/interface。

当所述地址信息为XPATH表达式时，所述根据所述访问请求获取所述访问请求的请求访问的数据路径的XPATH表达式包括：直接获取所述访问请求中的所述XPATH表达式。

步骤13、获取所述访问请求的XPATH表达式包含的全部绝对路径。

对所述XPATH表达式进行转换，获取所述XPATH表达式包含的全部绝对路径。例如，“/top//name”这个XPATH表达式包括两个绝对路径，分别为“/top/interfaces/name”和“/top/interfaces/interface/name”。

可选地，在获取所述全部绝对路径后，可根据所述全部绝对路径生成一个包含所述全部绝对路径的全路径XPATH表达式，所述全路径XPATH表达式的格式为将所述全部绝对路径通过分隔符依次相连，所述全路径XPATH表达式中的各个绝对路径均可以被直接读取。例如，全路径XPATH表达式可以为“/top/interfaces/name；/top/interfaces/interface/name”

步骤14、将所述访问请求的主体、动作和全部绝对路径分别与所述访问控制策略的主体、动作和全部绝对路径进行匹配，根据匹配结果确定所述访问请求是否符合所述的访问控制策略。

访问请求的主体、动作和全部绝对路径均不为空集。将访问请求的主体、动作和全部绝对路径分别与所述访问控制策略的主体、动作和全部绝对路径进行匹配。当所述访问请求与至少一条所述访问控制策略相匹配时，或者说，所述访问请求的主体、动作和全部绝对路径分别是所述至少一条访问控制策略的主体、动作和全部绝对路径的子集时，则所述访问请求符合访问控制策略，允许执行相应的动作；当所述访问请求无法与任何一条访问控制策略相匹配时，所述访问请求不符合访问控制策略，不允许执行相应的动作。

可选地，所述全部绝对路径可以为包含所述全部绝对路径的全路径XPATH表达式。

如图2所示，本发明的一个实施例公开了一种根据访问请求方的访问请求进行访问控制的方法，所述方法可由一种网络设备实现，所述网络设备包括策略管理单元、数据结构信息库单元、策略决策单元、策略实施单元。

步骤21、策略管理单元获取访问控制策略，并向所述数据信息库单元发送XPATH表达式转换请求，将访问控制策略中表示数据路径的XPATH表达式发送给数据结构信息库单元，并请求对其进行转换。所述访问控制策略以条为单位，每条访问策略包括：主体、动作和表示数据路径的XPATH表达式，所述访问控制策略被预先设置在策略管理单元中。

在本实施例中，所述XPATH表达式是包含一个或多个绝对路径的XPATH表达式，在未对所述XPATH表达式进行转换的情况下，所述绝对路径不能被识别。

步骤22、所述数据结构信息库单元接收所述XPATH表达式，并对所述XPATH表达式进行转换，获得所述XPATH表达式包含的全部绝对路径，向所述策略管理单元发送所述全部绝对路径。

可选地，所述数据结构信息库根据所述全部绝对路径生成一个包含所述全部绝对路径的全路径XPATH表达式；将所述全路径XPATH表达式发送给策略管理单元。所述全路径XPATH表达式的格式为将所述全部绝对路径通过分隔符依次相连。

步骤23、所述策略管理单元用所述全部绝对路径替换与所述全部绝对路径对应的XPATH表达式，然后将经更新的访问控制策略发送给所述策略决策单元。

可选地，用包含所述全部绝对路径的全路径XPATH表达式替换与所述全部绝对路径对应的XPATH表达式，然后将更新后的访问控制策略发送给所述策略决策单元。

步骤24、所述策略实施单元接收所述访问请求方发送的访问请求，所述访问请求中包含主体、动作和请求访问的数据的地址信息。所述请求访问的数据的地址信息包括子树形式信息或请求访问的数据路径的XPATH表达式。

步骤25、所述策略实施单元在接收所述访问请求后，根据所述访问请求获取所述请求访问的数据路径的XPATH表达式。

当所述地址信息为子树形式的信息时，所述根据所述访问请求获取所述访问请求的请求访问的数据路径的XPATH表达式包括：获取所述访问请求中所述子树形式的地址信息，将所述子树形式的地址信息转换为请求访问的数据路径的XPATH表达式；

当所述地址信息为请求访问的数据的XPATH表达式时，所述根据所述访问请求获取所述请求访问的数据路径的XPATH表达式包括：直接获取所述访问请求中的所述XPATH表达式。

进一步地，所述策略实施单元向所述数据结构信息库单元发送包含所述请求访问的数据路径的XPATH表达式的转换请求。

步骤26、所述数据结构信息库单元对所述XPATH表达式进行转换，获取所述XPATH表达式包含的全部绝对路径，并将所述全部绝对路径发送给所述策略实施单元。

可选地，所述数据结构信息库单元根据所述全部绝对路径生成全路径XPATH表达式，将所述全路径XPATH表达式发送给所述策略实施单元。

步骤27、所述策略实施单元向所述策略决策单元发出访问策略决策请求，请求获知所述访问请求是否被允许。

所述访问策略决策请求包括所述访问请求的主体、动作以及所述全部绝对路径。策略决策请求中的所述访问请求的主体、动作以及所述全部绝对路径均不为空集。

可选地，所述策略决策请求包括所述访问请求的主体、动作以及所述全路径XPATH表达式。

步骤28、所述策略决策单元确定决策结果，并将所述决策结果发送给所述策略实施单元。所述决策结果为允许所述访问请求或不允许所述访问请求。

所述策略决策单元将所述访问请求的主体、动作以及全部绝对路径与所述访问控制策略的主体、动作以及全部绝对路径进行匹配。当所述访问请求的主体、动作以及所述全部绝对路径与至少一条所述访问控制策略相匹配时，或者说，所述访问请求的主体、动作和全部绝对路径分别是所述至少一条访问控制策略的主体、动作和全部绝对路径的子集时，则符合所述访问控制策略，所述访问请求被允许；当所述访问请求的主体、动作以及所述全部绝对路径不能与任意一条所述访问控制策略匹配时，则不符合所述访问控制策略，所述访问请求不被允许。

如图3所示，本发明的一个实施例的内容如下。

所述实施例中包括一种网络设备，所述网络设备包括策略管理单元、策略实施单元、策略决策单元。

所述策略管理单元用于获取访问控制策略包含的全部绝对路径。

所述策略管理单元中预先配置有所述访问控制策略，所述访问策略以条为单位，每条访问控制策略包括主体、动作和允许访问的数据的地址信息。所述主体表示所述访问控制策略允许的访问请求方，所述动作表示所述访问控制策略允许所述访问请求方执行的动作，所述请求访问的数据的地址信息为所述访问控制策略允许所述访问请求方处理的数据的路径信息，可以为表示数据路径的XPATH表达式，也可以为绝对路径。

所述XPATH表达式是包含一个或多个绝对路径的XPATH表达式，在未对所述XPATH表达式进行转换的情况下，所述绝对路径不能被识别。

所述绝对路径为能够直接表明数据的路径信息的路径。

当所述请求访问的数据的地址信息为绝对路径时，所述策略管理单元可以直接获取所述绝对路径。

可选地，所述策略管理单元可包括XPATH表达式转换子单元，用于当所述允许访问的数据的地址信息为XPATH表达式时，将所述XPATH表达式发送给数据结构信息库单元，从所述数据结构信息库单元获取所述XPATH表达式包含的全部绝对路径。

可选地，所述策略管理单元在获取所述全部绝对路径后，可根据所述全部绝对路径生成一个包含所述全部绝对路径的全路径XPATH表达式，所述全路径XPATH表达式的格式为将所述全部绝对路径通过分隔符依次相连，所述全路径XPATH表达式中的各个绝对路径均可以被直接读取。

所述策略实施单元用于接收访问请求方发送的访问请求，根据所述访问请求获取所述访问请求的主体、动作和请求访问的数据路径的XPATH表达式。

访问请求方与所述设备建立会话，并向所述配置了访问控制策略的设备发送访问请求。

当所述地址信息为XPATH表达式时，由所述策略管理单元直接获取所述访问请求中的所述XPATH表达式。

可选地，所述策略决策单元包括XPATH表达式获取子单元，当所述地址信息为子树形式的信息时，所述XPATH表达式获取子单元获取所述访问请求中所述子树形式的地址信息，将所述子树形式的地址信息转换为请求访问的数据路径的XPATH表达式；

进一步地，所述策略管理单元用于获取根据所述XPATH表达式进行转换而得出的全部绝对路径。

例如，“/top//name”这个XPATH表达式包括两个绝对路径，分别为“/top/interfaces/name”和“/top/interfaces/interface/name”。

可选地，在获取所述全部绝对路径后，所述策略管理单元可根据所述全部绝对路径生成一个包含所述全部绝对路径的全路径XPATH表达式，所述全路径XPATH表达式的格式为将所述全部绝对路径通过分隔符依次相连，所述全路径XPATH表达式中的各个绝对路径均可以被直接读取。

所述策略决策单元用于将所述访问请求的主体、动作和全部绝对路径分别与所述访问控制策略的主体、动作和全部绝对路径进行匹配，根据匹配结果确定所述访问请求是否符合所述的访问控制策略。

所述策略决策单元将访问请求的主体、动作和全部绝对路径分别与所述访问控制策略的主体、动作和全部绝对路径进行匹配。当所述访问请求与至少一条所述访问控制策略相匹配，所述访问请求的主体、动作和全部绝对路径分别是所述至少一条访问控制策略的主体、动作和全部绝对路径的子集时，则所述访问请求符合访问控制策略，允许执行相应的动作；否则，所述访问请求不符合访问控制策略，不允许执行相应的动作。其中，所述访问请求主体、动作和全部绝对路径均不为空。可选地，所述全部绝对路径可以为包含所述全部绝对路径的全路径XPATH表达式。

可选地，所述网络设备还可以包括数据结构信息库单元，用于将所述XPATH表达式转换为所述XPATH表达式包含的全部绝对路径。所述数据结构信息库单元通常存储有数据结构信息，所述数据结构信息库单元根据所述XPATH表达式以及所述数据结构信息确定全部绝对路径。例如，对于如表1所述的数据结构，当所述XPATH表达式为“/top//name”时，由于该表达式使用了符号“//”，且该符号在XPATH中的作用是表示匹配到达目标的任意的路径，因此，“/top//name”表示选取<top>下面的全部<name>元素，不论<name>位于<top>下的哪一层。参照表1，“/top//name”这个XPATH表达式包括两个绝对路径，分别为“/top/interfaces/name”和“/top/interfaces/interface/name”。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉该技术的人在本发明所揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。

Claims

1.一种访问控制方法，其特征在于，包括：

获取访问控制策略的主体、动作和全部绝对路径；

接收访问请求方发送的访问请求，根据所述访问请求获取所述访问请求的主体、动作和请求访问的数据路径的XPATH表达式；

获取所述XPATH表达式包含的全部绝对路径；

2.根据权利要求1所述的方法，其特征在于，所述访问控制策略包括主体、动作和允许访问的数据的地址信息；

当所述允许访问的数据的地址信息为XPATH表达式时，所述获取访问控制策略的全部绝对路径包括：对所述XPATH表达式进行转换，获取所述XPATH表达式包含的全部绝对路径。

3.根据权利要求1所述的方法，其特征在于，

所述访问请求中携带所述访问请求的主体、动作和请求访问的数据的地址信息；

当所述请求访问的数据的地址信息为子树形式信息时，所述根据所述访问请求获取所述访问请求的请求访问的数据路径的XPATH表达式包括：获取所述访问请求中所述子树形式的地址信息，将所述子树形式的地址信息转换为请求访问的数据路径的XPATH表达式。

4.根据权利要求1至3任一项所述的方法，其特征在于，所述将所述访问请求中的主体、动作和全部绝对路径分别与所述访问控制策略的主体、动作和全部绝对路径进行匹配，根据匹配结果确定所述访问请求是否符合所述的访问控制策略包括：

将访问请求的主体、动作和全部绝对路径分别与各条访问控制策略的主体、动作和全部绝对路径进行匹配；

当所述访问请求的主体、动作和全部绝对路径分别是至少一条访问控制策略的主体、动作和全部绝对路径的子集时，则所述访问请求符合访问控制策略；

其中，所述访问请求的主体、动作和全部绝对路径均不为空集。

5.一种网络设备，其特征在于，包括：策略管理单元、策略决策单元、策略实施单元；

所述策略管理单元用于获取访问控制策略的主体、动作和全部绝对路径；

所述策略实施单元用于接收访问请求方发送的访问请求，根据所述访问请求获取所述访问请求的主体、动作和请求访问的数据路径的XPATH表达式，并获取所述XPATH表达式包含的全部绝对路径；

6.根据权利要求5所述的网络设备，其特征在于，所述策略管理单元包括：

XPATH表达式转换子单元，用于当所述允许访问的数据的地址信息为XPATH表达式时，将所述XPATH表达式发送给数据结构信息库单元，从所述数据结构信息库单元获取所述XPATH表达式包含的全部绝对路径。

7.根据权利要求5所述的网络设备，其特征在于，所述策略决策单元包括：

XPATH表达式获取子单元，用于当所述访问策略中请求访问的数据的地址信息为子树形式信息时，获取所述访问请求中所述子树形式的地址信息，将所述子树形式的地址信息转换为请求访问的数据路径的XPATH表达式。

8.根据权利要求5所述的网络设备，其特征在于，所述策略决策单元具体用于将访问请求的主体、动作和全部绝对路径分别与所述访问控制策略的主体、动作和全部绝对路径进行匹配；

当所述访问请求与至少一条所述访问控制策略相匹配，所述访问请求的主体、动作和全部绝对路径分别是所述至少一条访问控制策略的主体、动作和全部绝对路径的子集时，则所述访问请求符合访问控制策略，允许执行相应的动作；

否则，所述访问请求不符合访问控制策略，不允许执行相应的动作；

其中，所述访问请求主体、动作和全部绝对路径均不为空。

9.根据权利要求5所述的网络设备，其特征在于，所述网络设备还包括：

数据结构信息库单元，用于将所述XPATH表达式转换为所述XPATH表达式包含的全部绝对路径。