CN103179115A - 一种面向云电视终端跨云应用的云服务访问控制方法 - Google Patents

Abstract

本发明公开了一种面向云电视终端跨云应用的云服务访问控制方。本方法为：1)云电视终端通过云服务商的云服务App客户端向统一身份认证中心系统申请一身份断言凭证；2)App客户端将该凭证发送给该云服务商的IdP中心；3)IdP中心为该云电视终端创建一账号，然后对该凭证和账号绑定并创建一云访问控制令牌返回给App客户端；4)App客户端对令牌进行本地存储；5)该云电视终端访问该云服务商提供的云服务时，App客户端监测本地是否存在该令牌，若不存在则拒绝该访问；若存在则将该令牌发送给IdP中心进行验证确定是否允许该访问。本发明保证了多系统的互联互通，简化了用户登录过程，用户体验效果好、业务耦合性低。

Description

一种面向云电视终端跨云应用的云服务访问控制方法

技术领域

本发明属于信息安全中的身份联合领域，具体涉及一种云电视终端跨云应用的身份绑定与单点登录的实现方法。

背景技术

在云计算、物联网新一代网络场景中，跨云应用访问将成为一种主流的用户访问模式，其中身份联合(身份绑定)是一个重要的要素，也是整个信息安全体系的重要组成之一。云电视作为智能电视与物联网、云计算等新兴技术的融合体，引领着国内外彩电产业的发展方向，是智能电视发展的高级阶段。在云电视领域中传统的身份联合技术，诸如Kerberos、OpenID和CAS等技术，已不能很好地满足云电视终端跨云应用访问中身份联合的发展需要。同时，面对云电视这一新兴的事物，在保证云服务商自身域内的业务流程不变的基础之上，相关的组织和机构还没有明确地提出较为完善的身份联合方案(即保证不同业务实体自身业务逻辑不变的基础之上，解决其在不同网络、不同业务间建立可靠的身份联合以满足用户跨云访问的需要)。

针对上述挑战，本方案拟在保证云服务商自身业务最大自由度的基础之上，通过一种跨云应用的身份绑定(或者称为令牌交换)方式，实现各个业务系统的互通互联。其核心是构建服务于云电视终端用户和云服务商的身份联合，并生成云服务商自身业务系统认可的云访问控制令牌，实现用户“一点联合，多点访问”，全面提升用户体验，加快云电视终端的推广普及。

发明内容

本发明旨在云电视产业所面临的身份联合技术挑战，提供一种面向云电视终端跨云应用的云服务访问控制方法。

简要介绍本方案的基本思想，本发明吸取了已有解决方案的优点，具体来说，本发明技术方案包括下列几个方面：

方面一：通过云电视终端的统一身份认证中心系统为用户签发的身份断言凭证(SAML，包括制造商ID+云电视终端设备ID)与云服务身份提供中心(IdP)建立基于身份断言凭证的可靠的域间身份联合，并生成云服务商自身域内的云访问控制令牌，为云电视终端(用户)的跨云应用访问提供令牌服务。该过程的实施将为各个业务系统的互联互通奠定坚实的基础。

方面二：借助云电视终端在身份联合过程中获得的云服务商自身域内的云访问控制令牌，实现用户对云应用服务的授权访问，全面提升用户跨云应用访问的用户体验，“一点联合，多点访问”。

方面三：由于云电视终端用户访问云服务App应用时，需要用户提供由云服务IdP中心颁发的在有效期地云访问控制令牌，云服务App客户端在监测到云访问控制令牌过期后，向云服务IdP中心发起更新令牌请求。云服务IdP中心在用户没有被注销情况下，为用户颁发新的云访问控制令牌，以减少用户身份联合过程。同时，由于该过程对用户透明，提升了用户云存储访问的体验。

方面四：由于云电视终端用户访问跨云应用的身份断言凭证依赖于统一身份认证中心系统，基于该原则，需要云服务IdP中心在一定的时间间隔内与统一身份认证中心系统进行注销用户同步服务，以保证各方的利益的最大化。

本发明的技术方案为：

一种面向云电视终端跨云应用的云服务访问控制方法，其步骤为：

1)云电视终端通过云服务商的云服务App客户端向统一身份认证中心系统申请一身份断言凭证；

2)该云服务App客户端将该云电视终端的身份断言凭证发送给该云服务商的云服务IdP中心；

3)该云服务IdP中心对该身份断言凭证进行验证，如果验证通过则为该云电视终端创建一账号，然后对该云电视终端的身份断言凭证和账号进行绑定并创建一云访问控制令牌，返回给该云服务App客户端；

4)该云服务App客户端对该云访问控制令牌进行本地存储；

5)该云电视终端访问该云服务商提供的云服务时，云服务App客户端监测本地的安全存储区是否存在该云访问控制令牌，若不存在，则拒绝该访问；若存在，则该云服务App客户端将该云访问控制令牌发送给该云服务IdP中心进行验证；如果未通过验证，则拒绝该访问；如果通过验证，则允许该访问。

进一步的，所述云访问控制令牌设有一有效期；所述云服务App客户端位于所述云电视终端上。

进一步的，所述身份断言凭证包括云电视终端的制造商ID和云电视终端设备ID；所述身份断言凭证设有一有效期。

进一步的，所述云电视终端内置一安全代理、云电视终端证书；所述云服务App客户端内置一认证代理；所述云电视终端访问该云服务商提供的云服务时，所述云服务App客户端检查该云电视终端的身份断言凭证是否超过有效期，如果超过有效期，则所述认证代理调用该安全代理向所述统一身份认证中心系统申请一新的身份断言凭证。

进一步的，步骤6)中，若该云服务App客户端存在该云访问控制令牌，则首先检查其有效期，如果超过有效期，则更新该云访问控制令牌；如果未超过有效期，则将其发送给该云服务IdP中心进行验证。

进一步的，更新该云访问控制令牌的方法为：

61)云服务App客户端将过期的云访问控制令牌和令牌更新请求发送给云服务IdP中心；

62)云服务IdP中心接收到该令牌更新请求后，云服务IdP中心验证该过期的云访问控制令牌正确性，若验证不通过，则停止更新操作；否则，依据过期的云访问控制令牌，判断该云电视终端是否已被注销，若已被注销，则停止更新操作；若未被注销，云服务IdP中心为该云电视终端新生成一个有时间期限的云访问控制令牌返回给云服务App客户端；

63)云服务App客户端接收到新的云访问控制令牌后，用其替换过期的云访问控制令牌。

进一步的，步骤3)中，该云服务IdP中心对该身份断言凭证进行验证的方法为：该云服务IdP中心检查云电视终端是否被注销，如果已注销，则停止为该云电视终端创建账号和云访问控制令牌。

所述云服务IdP中心验证所述云访问控制令牌通过之后，检查该云电视终端是否注销，若已被注销，则拒绝该访问。

进一步的，云服务IdP中心检查云电视终端是否注销的方法为：统一身份认证中心系统监测云电视终端的注销情况，形成一注销列表并将其发送给云服务IdP中心；云服务IdP中心根据该注销列表判断云电视终端是否被注销。

进一步的，云服务IdP中心根据该注销列表对自身域下的账号与云电视终端进行解绑，同时撤销云电视终端的云访问控制令牌，然后发送注销同步完成信息到统一身份认证中心系统。

本发明与现有技术相比，具有以下显著优点：

本发明不需要对原来业务系统的流程进行较大改造，用户体验效果好和业务耦合性低。由于本发明是在确保云服务商自身业务逻辑不变基础之上，采用了基于身份断言凭证的身份联合技术，保证了多系统、多平台的互联互通，简化了用户登录过程，因此用户体验效果好、业务耦合性低。

附图说明

下面结合附图对本发明作进一步的说明。

图1为本发明实施总体框架；

图2跨云应用账户绑定的流程图；

图3云服务访问流程图；

图4云访问控制令牌更新流程图；

图5注销用户同步流程图。

具体实施方式

为使本发明的目的、优点以及技术方案更加清楚明白，以下通过具体实施，并结合附图，对本发明进一步详细说明。

对于图1从整体上描述了该方案实施的总体框架，主要包括下面四部分的内容。

一、基于身份断言凭证跨云应用的账户绑定的实现方法

云电视终端用户要访问除本地制造商门户之外的相关跨云应用时，需要用户在获得统一身份认证中心系统给签发的身份断言凭证的前提下，云服务App客户端通过该身份断言凭证与云服务IdP中心进行身份联合(账户绑定)操作。该过程执行完毕后，用户就获得了访问云服务商授权的云访问控制令牌，同时在令牌的有效期内用户不用登录就可访问云服务商的云资源，减少了登录频率，实现“一次绑定，多点访问”。下面结合图2具体描述其执行过程：

①云服务App客户端(装在云电视终端上)将判断本地安全存储区是否已存在当前云电视终端用户的云访问控制令牌，若云访问控制令牌已存在且未失效，则停止该账户绑定操作，用户可使用该令牌进行云服务访问；否则，云服务App客户端去验证统一身份认证中心系统签发的用户身份断言凭证(SAML，包括制造商标识+云电视终端标识)是否存在或者是否有效(在有效时间期限内)，若身份断言凭证不存在或者不在有效期内，则向统一身份认证中心系统申请重新为用户颁发身份断言凭证(在云电视终端已经内置安全代理、预装云电视终端证书，通过该证书标识用户(云电视终端)身份。通过云服务App客户端内置的认证代理程序向统一身份认证中心申请断言凭证时，认证代理会调用云电视终端的安全代理来完成此操作，如调用安全代理的读证书接口，读取用户证书(云电视终端证书)。)；否则，云服务App客户端将发送身份断言凭证给云服务身份提供(IdP)中心；

②云服务IdP中心依据接收到的用户的身份断言凭证，解析该身份断言凭证，判断用户是否已被注销，若用户已被注销，停止为用户创建自身域内账号及生成云访问控制令牌，提示用户不具备访问权限；否则，云服务IdP中心创建云服务商自身域下该用户的账号，然后将该身份断言凭证和该账号进行绑定，并为该用户生成一个有时间期限的云访问控制令牌，返回给云服务App客户端；

③云服务App客户端接收到云服务商颁发的云访问控制令牌后进行安全存储，以便用户下次访问云服务使用。

二、基于云服务商自身令牌的云服务访问的实现方法

云电视终端用户要访问各云服务商的云存储或其他云服务时，需要用户在获得各云服务商授权的云访问控制令牌的前提下(即已执行完步骤1的所有操作，并顺利存储云访问控制令牌)，云服务App客户端通过该令牌实现对云服务商的云服务资源的访问。下面结合图3具体描述其执行过程：

①云服务App客户端将判断App客户端本地的安全存储区是否存在云访问控制令牌，若云访问控制令牌不存在，则停止对云服务资源的访问过程，转而去执行步骤一的操作，身份绑定生成云访问控制令牌；若云访问控制令牌已存在且已失效(未在有效时间期限内)，转而执行步骤三的操作，更新云访问控制令牌；若云访问控制令牌已存在且有效(在有效时间期限内)，则云服务App客户端将存储在本地的云访问控制令牌发送给云服务IdP中心进行验证，同时云服务IdP中心验证用户注销情况；

②云服务IdP中心依据接收到用户的云访问控制令牌，验证该访问控制令牌的正确性(如判断是否是云服务商为其颁发的令牌)，若验证不通过，则停止为用户访问云服务资源授权；若验证通过，依据云服务商域下账号与身份断言凭证的绑定信息，判断该用户是否已被注销，若该用户已被注销，停止用户访问云服务资源，提示用户不具备访问权限；否则，返回给云服务App客户端验证通过信息，允许访问云服务资源；

③云服务App客户端判断接收到验证信息，若验证通过，访问云服务资源；否则拒绝访问云服务资源。

三、基于云服务商自身令牌更新的实现方法

云电视终端用户要访问各云服务商的云服务资源时，云服务App客户端监测到云访问控制令牌已失效(已过令牌的最大使用时间期限)，则云服务App客户端向云服务IdP中心发起访问控制令牌的更新请求，该过程的实施减少了用户身份联合操作，使云服务商便捷地管理自已的用户。下面结合图4具体描述其执行过程：

①云服务App客户端在监测到存储在本地的云访问控制令牌过期时，携带过期的云访问控制令牌，发送令牌更新请求给云服务IdP中心；

②云服务IdP中心接收到用户的云访问控制令牌更新请求后，云服务IdP中心验证该过期的云访问控制令牌的正确性(如判断是否是云服务商为其颁发的令牌)，若验证不通过，则停止用户令牌更新操作，返回给用户令牌更新失败；否则，依据过期的云访问控制令牌，判断该用户是否已被注销，若该用户已被注销，停止用户云访问控制令牌更新操作，提示用户没被授权；若该用户没被注销，云服务IdP中心为该用户新生成一个有时间期限的云访问控制令牌返回给云服务App客户端存储；

③云服务App客户端在接收到新的云访问控制令牌后，在客户端本地安全存储区替换过期的云访问控制令牌，进行安全保存。

四、基于统一身份认证中心的注销用户同步的实现方法

云电视终端用户对跨云应用的访问受控于统一身份认证中心系统的身份断言服务，考虑到该情况，云服务IdP中心应尽快与统一身份认证中心系统完成注销用户同步服务，以便保证只有合法注册用户才能访问云服务资源。下面结合图5具体描述其执行过程：

①统一身份认证中心系统监测用户注销情况，形成注销用户的列表(如用户标识(云电视终端ID)信息列表)；统一身份认证中心系统可通过获取制造商提供的相应用户信息报表(如云电视终端报废信息报表)，以此为依据形成注销列表。被统一身份认证中心系统注销的用户是不会再获得云服务访问资格的。

②统一身份认证中心系统将用户注销列表发送给云服务IdP中心；

③云服务IdP中心接收到用户注销列表后，依据用户注销列表信息，实现云服务商自身域下的用户账号与用户的解绑(如注销云服务商下的用户账号)操作，同时撤销用户的云访问控制令牌，对正在访问云服务资源的用户进行停止访问操作。完成上述操作后，发送注销同步完成信息到统一身份认证中心系统。

④统一身份认证中心系统接收到注销完成同步信息后，该注销流程顺利结束，标识用户真正完成注销。

Claims (10)

1.一种面向云电视终端跨云应用的云服务访问控制方法，其步骤为：

1)云电视终端通过云服务商的云服务App客户端向统一身份认证中心系统申请一身份断言凭证；

2)该云服务App客户端将该云电视终端的身份断言凭证发送给该云服务商的云服务IdP中心；

3)该云服务IdP中心对该身份断言凭证进行验证，如果验证通过则为该云电视终端创建一账号，然后对该云电视终端的身份断言凭证和账号进行绑定并创建一云访问控制令牌，返回给该云服务App客户端；

4)该云服务App客户端对该云访问控制令牌进行本地存储；

5)该云电视终端访问该云服务商提供的云服务时，该云服务App客户端监测本地的安全存储区是否存在该云访问控制令牌，若不存在，则拒绝该访问；若存在，则该云服务App客户端将该云访问控制令牌发送给该云服务IdP中心进行验证；如果未通过验证，则拒绝该访问；如果通过验证，则允许该访问。

2.如权利要求1所述的方法，其特征在于所述云访问控制令牌设有一有效期；所述云服务App客户端位于所述云电视终端上。

3.如权利要求2所述的方法，其特征在于所述身份断言凭证包括云电视终端的制造商ID和云电视终端设备ID；所述身份断言凭证设有一有效期。

4.如权利要求3所述的方法，其特征在于所述云电视终端内置一安全代理、云电视终端证书；所述云服务App客户端内置一认证代理；所述云电视终端访问该云服务商提供的云服务时，所述云服务App客户端检查该云电视终端的身份断言凭证是否超过有效期，如果超过有效期，则所述认证代理调用该安全代理向所述统一身份认证中心系统申请一新的身份断言凭证。

5.如权利要求2所述的方法，其特征在于步骤5)中，若该云服务App客户端存在该云访问控制令牌，则首先检查其有效期，如果超过有效期，则更新该云访问控制令牌；如果未超过有效期，则将其发送给该云服务IdP中心进行验证。

6.如权利要求5所述的方法，其特征在于更新该云访问控制令牌的方法为：

61)云服务App客户端将过期的云访问控制令牌和令牌更新请求发送给云服务IdP中心；

62)云服务IdP中心接收到该令牌更新请求后，云服务IdP中心验证该过期的云访问控制令牌正确性，若验证不通过，则停止更新操作；否则，依据过期的云访问控制令牌，判断该云电视终端是否已被注销，若已被注销，则停止更新操作；若未被注销，云服务IdP中心为该云电视终端新生成一个有时间期限的云访问控制令牌返回给云服务App客户端；

63)云服务App客户端接收到新的云访问控制令牌后，用其替换过期的云访问控制令牌。

7.如权利要求1所述的方法，其特征在于步骤3)中，该云服务IdP中心对该身份断言凭证进行验证的方法为：该云服务IdP中心检查云电视终端是否被注销，如果已注销，则停止为该云电视终端创建账号和云访问控制令牌。

8.如权利要求1所述的方法，其特征在于所述云服务IdP中心验证所述云访问控制令牌通过之后，检查该云电视终端是否注销，若已被注销，则拒绝该访问。

9.如权利要求6或7或8所述的方法，其特征在于云服务IdP中心检查云电视终端是否注销的方法为：统一身份认证中心系统监测云电视终端的注销情况，形成一注销列表并将其发送给云服务IdP中心；云服务IdP中心根据该注销列表判断云电视终端是否被注销。

10.如权利要求9所述的方法，其特征在于云服务IdP中心根据该注销列表对自身域下的账号与云电视终端进行解绑，同时撤销云电视终端的云访问控制令牌，然后发送注销同步完成信息到统一身份认证中心系统。

Images