CN103236969A - 一种用于云服务计费管理的网关系统和方法 - Google Patents

Abstract

本发明公开了一种用于云服务计费管理的网关系统和方法。系统包括客户端、云服务访问网关、云资源服务器，云服务访问网关中的用户交互层、安全认证层和单点登录层，根据云服务访问网关系统安全和管理的需要，与客户端和云资源服务器进行频繁的数据传输和同步信息处理，实现加密认证和单点登录的协同动作。方法包括：开始；云网关登录；云服务登录，计费开始；云服务迁移，计费迁移；云服务登出，计费结束；费用请求，结束；客户端由此实现用户与云服务交互。本发明采用三个功能层交互传输的技术手段，解决用于云服务计费管理的网关系统的执行效率和安全性。

Description

一种用于云服务计费管理的网关系统和方法

技术领域

本申请涉及云计算领域，特别涉及一种用于云服务计费管理的网关系统和方法。

背景技术

云服务区别于传统应用服务的本质特点是云服务的可度量性。云服务提供方通过量化用户使用的云资源进行计费，从而达到阻止用户滥用资源和优化整体资源配置的目的。云服务涉及到多种计算机资源的交互和整合，如硬件基础设施和各种应用软件服务系统等。这些资源在物理上异地分布、逻辑上单一呈现，不同资源之间存在不同的用户管理策略和调用接口，它们可以通过单独或联合的形式，为用户提供根据其业务需求变化的可选择服务。随着云环境下用户数量的增多和用户对异种云服务利用的增多，需要用户在多个云服务之间进行频繁的登录和登出操作，从而使针对多用户多目标服务的计费管理就变得越来越复杂。此外，云服务间的迁移需要在多台服务器上进行登录认证，用户信息受到非法截获和破坏的可能性会增大，安全性得不到保障，还会导致系统访问的延迟。

2010年广东中兴通讯股份有限公司林向东等发明人，公开了一种用于云计算的计费方法。该发明包括：云计算平台根据央行使用云计算平台资源的情况下产生原始话单日志；计费代理从云计算平台获取所述原始话单日志，并生成云计算资源计费话单；营帐系统根据所述云计算资源计费话单进行相应的计费处理。

现有技术一种用于云计算的计费方法，面向海量用户计费，特别是单一用户以不同ID访问不同云服务时，系统由于不具备用户一元化管理功能而导致数据和事件和处理的消耗非常大。此外，由于云资源计费涉及到用户的个人隐私和切身利益，是一个高度敏感的话题。如果安全性得不到保证，会影响云服务的推广。因此，一种用于云计算的计费方法尽管给出了计费的具体方案，但在系统安全方面仍有所欠缺。

2010年北京交通大学李晓勇等发明人，公开了基于云服务的网络安全控制方法和云安全网关。该发明包括如下步骤：在用户登录云服务系统时，通过云服务提供商对该用户进行身份认证和越界访问的判断；在所述用户通过身份认证并且没有超越访问权限的情况下，检查所述用户是否符合客户内部安全策略；若否，拒绝访问，若是，许可访问云资源。

现有技术基于云服务的网络安全控制方法和云安全网关，通过用户身份认证和资源越界访问判断的方法，来提供系统安全管理权限并保护用户隐私。但是该方法不适合系统进行用户一元化管理，资源越界访问的限制也和云计算所倡导的弹性服务及自助服务在功能上有所抵触，不利于用户实现按需使用和进行云服务迁移，如果是用在云资源计费管理上，还会增加系统实现的难度。

发明内容

有鉴于此，本发明的目的是：从用户使用源头上对计费方式进行约束，提供一种云服务访问网关系统。该系统综合采用用户交互层、安全认证层、单点登录层和云服务访问技术，该三个功能层能够同时提高系统安全性、降低系统处理延迟、加强对用户的一元化管理，便于实现云服务间迁移，便于进行多种资源交互的计费管理。

本发明的技术方案是：

一种用于云服务计费管理的访问网关系统，包括客户端、云服务访问网关、云资源服务器，其中：

所述客户端，通过因特网与各个云资源服务器、云服务访问网关建立连接，进行数据和事件交互，该客户端包括硬件和软件，其中硬件为计算机，或为智能手机，或为触摸式电脑，硬件之间通过网络有线或无线连接；

所述云服务访问网关，包括至少一个网关服务器，用来接收和处理来自用户的请求和来自云计算中心的事件响应，并为二者建立数据和事件交互的通道；

所述云资源服务器，包括云服务和云服务管理数据库，是部署在云计算中心的服务器，为云服务提供物理和逻辑依托，该云服务包括至少一个用户最终访问的基础设施服务，或应用系统服务，如：邮件系统服务、数据库系统服务。

特别是：所述云服务访问网关，包括用户交互层、安全认证层和单点登录层；

所述用户交互层，包括用户请求交互单元，用户请求解析单元，用户事件响应单元，用户登陆控制单元，用于和客户端进行信息交互，进行用户注册、用户登录、账户修改、云服务定制、云服务访问、云服务前移；

所述安全认证层，包括用户信息审查单元，用户账户设定单元，加密认证单元，认证信息数据库，用于对用户登录信息进行合法性验证，安全认证层在账户生成后和单点登录层的登录信息数据库进行账户信息同步；

所述单点登录层，包括资源授权管理单元，云服务生命周期管理单元，会话初始化单元，

会话迁移单元，登录信息数据库，用于实现利用单一用户ID进行跨应用服务访问，单点登录层将登陆状态的信息和账户修改信息同步到云资源服务器，同时将信息同步完成的结果通知安全认证层，单点登录层处理服务定制请求、服务创建请求、服务迁移请求后，反馈通知用户交互层；

云服务访问网关中的用户交互层、安全认证层和单点登录层三个功能层，根据云服务访问网关系统安全和管理的需要，与客户端和云资源服务器进行频繁的数据传输和同步信息处理，实现加密认证和单点登录的协同动作。

一种用于云服务计费管理的访问网关系统的方法，特别是：云服务访问网关系统的执行流程包括如下步骤：

用户请求交互单元，接收来自客户端的请求，并将云服务访问网关的请求处理结果向客户端回复；

用户请求解析单元，根据用户请求内容将请求分为账户注册请求、用户登录请求、账户修改请求、云服务定制请求、云服务访问请求和云服务迁移请求；

用户事件响应单元，将具体请求发送到安全认证层或单点登录层将请求回复通知给用户，请求交互单元；

用户信息审查单元，接受并对具体请求信息或资源需求信息进行验证，确认这些信息是否合法且符合云服务访问网关系统规范，加密认证单元将加密的随机数作为加密认证请求，返回给用户交互层；

用户账户设定单元，创建和修改用户账户及用户公钥，并将用户信息设置到认证信息数据库，资源授权管理单元，为用户所请求资源进行授权，并将用户注册、登录、资源利用状况，设置到登录信息数据库；

云服务生命周期管理单元，记录用户登陆系统的时刻及用户状态；

会话初始化单元，建立用户与应用服务的通信连接，会话迁移单元针对用户对资源的利用变更，请求为用户重建通信连接，并保证用户无需登出云服务平台即进行会话迁移；

一种用于云服务计费管理的访问网关系统的方法，该方法还包括：

开始；云网关登录；云服务登录，计费开始；云服务迁移，计费迁移；云服务登出，计费结束；费用请求，结束；

其中：云网关登录的流程步骤为：

用户通过客户端以用户ID向云服务访问网关提交登录请求；

云服务访问网关针对登录请求对用户身份合法性进行验证，首先云服务访问网关生成随机数，并通过用户事先登录的公钥对该随机数加密，将加密结果作为加密认证请求发送给客户端；

客户端使用与事先登陆在网关上公钥相对应的私钥，将所述加密结果进行解密，并将解密结果作为加密认证回复返回到云服务访问网关；

如果所述解密结果与所述随机数相同，云服务访问网关认为登陆成功，向客户端返回，登录认证成功；

云服务登录，计费开始请求云服务的流程步骤为：

登录云服务访问网关后，用户通过客户端发出云服务访问请求；

云服务访问网关尝试与目标服务建立通信通道，向云服务发出会话创建请求；

云服务根据当前资源使用情况和服务定制情况，创建会话ID、启动云服务并向云服务访问网关回复会话创建成功；

云服务访问网关将会话信息录入数据库后，向客户端回复云服务访问成功；

客户端的用户与云服务交互；

云服务迁移，计费迁移，进行云服务迁移的流程步骤为：

当业务需求发生改变时，用户向云服务访问网关发送云服务迁移请求；

云服务访问网关负责注销当前云服务的会话连接，并向新的目标云服务发送会话迁移请求；

云服务根据当前资源使用情况和服务定制情况，创建会话ID、启动云服务并向云服务访问网关回复会话迁移成功；

云服务访问网关将会话信息录入数据库后，向客户端回复云服务迁移成功；

云服务登出，计费结束；费用请求，结束；客户端由此实现用户与云服务交互。

现有技术情况分析：

目前现有技术中，云计算解决了分布式计算环境中软硬件资源的整合和利用模式，将物理上异地分布的资源以云服务的形式提供给用户，并能按照用户需求重新配置和组合这些资源。用户访问云服务时虽然无须考虑资源的物理依托，但用户的每一个操作都会导致数据在不同地理位置的多个物理服务器之间进行传输，这不仅增加了系统处理的延迟，也增加了用户信息被截获和盗取的可能。另一方面，业务需求发生变化时，用户会登出当前云服务系统转而登录下一个目标服务，频繁的登录认证不仅降低系统的安全性，也为用户管理和云资源管理带来不便。

本申请综合考虑这几方面的问题，提出一种用于云服务计费管理的访问网关系统和方法，以加密认证确保用户登录云服务的安全性，以单点登录确保用户利用云服务的便利性，避免认证信息和云服务管理信息在不同服务器之间的传输，防止系统处理延迟。从云服务提供方的角度来看，一次登陆认证和多次服务迁移的实现，用于解决分布式计算环境中跨服务器访问的安全问题和跨资源访问的一元化管理问题。

对于本发明的有益效果分析如下：

其一，相对于现有技术，本发明提供的一种用于云服务计费管理的访问网关系统，包括客户端、云服务访问网关、云资源服务器，用来接收和处理来自客户端用户的请求和来自云计算中心云资源服务器的事件响应。作为建立数据和事件响应的交互通道，云服务访问网关上集成有安全认证层、单点登陆层和用户交互层；

用户通过用户交互层进行用户注册、用户登录、账户修改、云服务定制、云服务访问、云服务前移；云服务访问网关接收到客户端登录请求后，客户端和安全认证层中的加密认证单元对用户身份合法性进行加密验证，安全认证层账户生成后和单点登录层的登录信息数据库进行账户信息同步；

用户登录云服务访问网关后，提出云服务利用请求，单点登陆层根据用户预先定制的云服务内容，为用户进行服务连接；当用户业务需求发生改变而提出新的服务申请后，单点登录层将登陆状态的信息和账户修改信息同步到云资源服务器，同时将信息同步完成的结果通知安全认证层，单点登录层处理服务定制请求、服务创建请求、服务迁移请求后，反馈通知用户交互层；

本发明具体实施方式中，在云服务访问网关系统图4到图7中，三个功能层因为安全和管理的需要，与客户端和云资源服务器进行频繁的数据传输和信息处理，实现加密认证和单点登录的协同动作，通过一次加密认证的登录，实现跨云服务的访问；云服务访问网关采用各层交互传输的技术手段，解决云服务访问网关系统的执行效率和安全性。

其二，在一种云服务访问网关系统的方法中，通过密钥认证的方式对用户进行一次性身份验证，允许对所有被授权的云服务进行访问，同时允许用户根据自身业务需求的转变来重定向目标云服务。云服务访问网关能够保护用户与云计算中心云资源服务器之间数据传输的安全性和事件响应的简洁性。

用户进行一次性身份验证过程中传输的数据，都是经过密钥加密的密文信息，而不是基于明文的用户密码信息，因此可以防止第三方对密码的恶意推断和盗取。而且，云服务访问网关对用户身份进行验证是基于用户密钥对，即经过密钥对中的公钥和私钥协同工作才能实现验证目的，即使网关服务器和客户端被恶意攻击，也不会由于公钥或私钥的泄漏而造成安全漏洞。

云服务发生迁移的过程中，用户不需要对当前服务进行登出操作和对新的目标服务进行登入操作，只需根据初次加密认证登陆在网关数据库中的用户信息实现目标的转移。这样，通过采取统一的用户身份和密钥管理方法，既能实现单一用户ID跨不同应用系统的云服务访问和云服务切换，又能减少多个用户ID和多套密码系统造成的管理成本和安全漏洞。现有技术是安全了就繁琐，简单了就不安全，而本发明是既简单又安全。

云服务有别于其他应用服务系统的本质区别是，云服务是一种可度量的服务模式。云服务提供方通过量化用户使用的云资源进行计费，从而达到阻止用户滥用资源和优化整体资源配置的目的。面向海量云用户，如何对云计算中心成千上万种异构异质的云服务进行量化在技术上和管理上都有难度，就连单一用户以多种身份访问云服务的度量也会为管理带来很大的系统消耗。而本发明提供的一种用于云服务计费管理的访问网关系统，通过一次注册、一次登陆和多次访问的形式，不仅简化了用户利用云服务的手续，也便于系统进行多种云服务的交叉计费管理，为云资源管理提供极大的先决便利条件。

附图说明

图1是用于云服务计费管理的网关系统结构示意图；

图2是用于云服务计费管理的网关系统功能示意图；

图3是用于云服务计费管理的网关系统的流程示意图；

图4是用户交互层的处理流程示意图；

图5是安全认证层的处理流程示意图；

图6是单点登录层的处理流程示意图；

图7是用于云服务计费管理的网关系统计费流程图。

具体实施方式

下文将结合附图和实施例作进一步解释：

图1是云服务计费管理的网关系统结构示意图；

在图1中：客户端为1、云服务访问网关为2、云资源服务器为3。

客户端1提供云服务访问网关2的用户交互接口，包括基于浏览器的图形用户界面和基于命令行的字符用户界面，用于客户端1的用户向云服务访问网关2发送请求并接受响应；

因特网提供客户端1和云服务访问网关2的连接，是客户端1所在的局域网，可以是有线网或无线网；云服务访问网关2接收并处理来自客户端1的请求和来自云资源服务器3的响应，为用户和云服务建立事件处理通道；因特网还连接云服务访问网关2和云资源服务器3，位于云服务访问网关2和云资源服务器3所在的广域网，可以是有线网或无线网；

云资源服务器3是部署在云计算中心的服务器，为云服务提供物理和逻辑依托；云资源服务器3包括云服务，云服务是用户最终访问的应用系统，如：CPU、硬盘、网络等基础设施服务、邮件系统服务、数据库系统服务等。客户端1与各个云服务通过云服务访问网关2建立连接，进行数据和事件响应交互。

图2是云服务计费管理的网关系统功能示意图；

在图2中：云服务访问网关的系统的主体是云服务访问网关2，同时需要客户端1和云资源服务器3协同完成云服务访问过程。

客户端1中，用户请求单元101，用于构造基于浏览器图形用户界面或基于命令行的字符用户界面，向云服务网关提交用户登录和利用云服务的请求；请求响应单元102，基于浏览器或命令行接收来自云服务网关的请求处理结果和下一步操作的通知；密钥生成单元103，用于生成用户加密认证过程中的密钥对；加密认证单元104用于在加密认证过程中对网关返回的加密信息进行解密操作，密钥对生成和信息加密和解密都采用公开的算法。

云服务访问网关2包括三个功能层，即用户交互层21、安全认证层22和单点登录层23。

用户交互层21，用于和客户端1进行信息交互。其中，用户请求交互单元211，用于接收来自客户端1的请求，并将云服务网关请求处理结果向客户端1回复；用户请求解析单元212根据用户请求内容将请求分为账户注册请求、用户登录请求、账户修改请求、云服务定制请求、云服务访问请求和云服务迁移请求；用户事件响应单元213，用于将具体请求发送到安全认证层22或单点登录层23等待处理，然后将请求回复通知给用户交互层中的用户请求交互单元211；用户登陆控制单元214在用户登陆、账户修改以及云服务访问过程中，对系统无操作时间、密码错误次数、登陆IP等内容进行限制。

安全认证层22，用于对用户登录信息进行合法性验证。其中，用户信息审查单元221，用于对具体请求信息，如账户名、用户密钥、用户身份、住址、联系方式以及资源需求等进行验证，确认这些信息是否合法且符合系统规范；用户账户设定单元222，用于创建和修改用户账户及用户公钥，并将用户信息设置到认证信息数据库224，以利于统一用户ID和公钥的管理；加密认证单元223，用于将加密的随机数作为加密认证请求返回给用户交互层。

单点登录层23，用于实现利用单一用户ID进行跨应用服务访问。其中，资源授权管理单元231，为用户所请求资源进行授权，并将用户注册、登录、资源利用状况设置到登录信息数据库235；云服务生命周期管理单元232，用来记录用户登陆系统的时刻及用户状态；会话初始化单元233，用于建立用户与应用服务的通信连接；会话迁移单元234，针对用户对资源的利用变更，请求为用户重建通信连接，并保证用户无需登出云平台就可进行会话迁移，为平台管理提供便利。

所述云资源服务器3，用于提供云服务301和云服务管理数据库302。云资源服务器3在图2中只有一个图例，但实际上有很多这样的服务器部署在云计算中心，通过网络和网关连接对外提供服务。

云服务访问网关系统中，云服务访问网关2和云资源服务器3的软件环境及功能层都适用于计算机及其外设配件，客户端1可以是计算机、智能手机和触摸式电脑等设备，这些硬件通过网络相互连接。

云服务访问网关系统是由计算机及外设配件等硬件和控制这些硬件的软件所构成。

所述硬件中，包括：信息输入装置、信息存储装置、信息处理装置、信息传输装置和信息表示装置。信息输入装置由计算机、鼠标、键盘组成，也可以是触摸式的智能手机或平板电脑，其中客户端1用于为用户提供输入终端；信息存储装置可以是内存、硬盘、光盘等设备，用来存放所述云服务访问网关系统的通信数据；信息处理装置是具有计算功能的CPU；信息传输装置是各种有线网和无线网，及其对应的信息传输接口；信息表示装置是液晶显示器或触摸是液晶平板。

所述软件是由控制这些硬件的计算机程序和数据组成。软件可以通过信息存储装置来保存，通过信息处理装置来激活执行，也可以通过信息传输装置对外进行发布。

图3是云服务计费管理的网关系统的流程示意图；

在图3中：

客户端1在访问云服务时，通过云服务访问网关2进行数据传输和信号处理，最终与云服务建立信息通信通道。该云服务访问网关系统的方法流程如下：

步骤A01到步骤A04为用户登录云服务访问网关2的过程；

步骤A05到步骤A09为用户通过云服务访问网关2登录所请求云服务的过程；

步骤A10到步骤A14为用户进行云服务迁移的过程。

具体而言，用户通过客户端1以用户ID向云服务访问网关2提交登录请求A01；云服务访问网关针对登录请求A01对用户身份合法性进行验证，首先云服务访问网关2生成随机数，并通过用户事先登录的公钥对该随机数加密，然后将加密结果作为加密认证请求A02发送给客户端1；客户端1使用与事先登陆在云服务访问网关2上公钥相对应的私钥将所述加密结果进行解密，并将解密结果作为加密认证回复A03返回到云服务访问网关2；如果解密结果与随机数相同，云服务访问网关2认为登陆成功，向客户端1返回登录认证成功A04。

登录云服务访问网关2后，用户通过客户端1发出云服务访问请求A05；云服务访问网关2尝试与目标服务建立通信通道，向云服务301发出会话创建请求A06；云服务301根据当前资源使用情况和服务定制情况，创建会话ID、启动云服务301并向云服务访问网关2回复会话创建成功A07；云服务访问网关2将会话信息录入数据库后，向客户端1回复云服务访问成功A08；客户端1由此可以实现用户与云服务交互A09。

当业务需求发生改变时，用户向云服务访问网关2发送云服务迁移请求A10；云服务访问网关2负责注销当前云服务的会话连接，并向新的目标云服务发送会话迁移请求A11；云服务301根据当前资源使用情况和服务定制情况，创建会话ID、启动云服务301并向云服务访问网关2回复会话迁移成功A12；云服务访问网关2将会话信息录入数据库后，向客户端1回复云服务迁移成功A13；客户端1由此可以实现用户与云服务交互A14。

图4是用户交互层的处理流程示意图；在图4中：

用户交互层21把用户请求分为账户注册、用户登录、账户修改、云服务定制、云服务访问、云服务前移等具体用户事件。以下分别对各个用户事件的实施方式加以说明。

步骤B01到步骤B13，是账户注册事件的处理流程。用户请求交互单元211收到来自客户端1的用户请求B01后，通过用户请求解析单元212进行解析，判断用户事件为账户注册，然后由用户事件响应单元213提取注册信息并将其以账户注册请求B04发送给安全认证层22。安全认证层22进行注册信息审查B05，然后以认证密钥请求B06的形式通过用户请求交互单元211向用户发出密钥请求B07。客户端1通过密钥生成B08产生密钥对，并将其中的公钥进行公钥发送B09。用户请求交互单元211收到公钥后，向安全认证层22发出公钥注册请求，当用户ID、用户公钥以及用户其他信息录入数据库完成后，收到注册成功应答B12，然后向客户端1返回请求成功应答B13的通知。至此，用户注册完成。

步骤B14到步骤B32，是用户登录事件的处理流程。步骤B14到步骤B16是用户交互层21接收并解析用户请求；步骤B17到步骤B19是向用户登录控制单元214进行登录目标确认；步骤B20是向安全认证层22发出用户登录请求B20；步骤B21到步骤B25是进行加密认证；步骤B26到步骤B28是进行登录次数确认；步骤B29到步骤B31是安全认证层22进行登录认证并做出回复。步骤B32通过客户端通知用户登录请求成功应答。

步骤B33到步骤B42，是账户信息修改事件的处理流程。这个过程是建立在步骤B14到步骤B32的用户登录基础之上的，即用户登录云服务网关之后才能进行以下操作。步骤B33到步骤B35是用户交互层21接收并解析用户请求；步骤B36到步骤B38是向用户登录控制单元214进行登录时间确认，以防止登录后长时间无操作；步骤B39到步骤B41是安全认证层22进行账户信息修改并做出回复。步骤B42通过客户端1通知用户账户修改成功应答。

步骤B43到步骤B52，是云服务定制事件的处理流程。这个过程是建立在步骤B14到步骤B32的用户登录基础之上的，即用户登录云服务网关之后才能进行以下操作。步骤B43到步骤B45是用户交互层21接收并解析用户请求；步骤B46到步骤B48是向用户登录控制单元214进行登录时间确认，以防止登录后长时间无操作；步骤B49是用户事件响应单元213向单点登录层23发出服务定制请求，以确定将来要使用的目标资源；步骤B50是单点登录层23进行云服务信息授权并做出定制成功应答B51。步骤B52通过客户端1通知用户云服务定制请求成功应答。

步骤B53到步骤B61，是云服务访问事件的处理流程。这个过程是建立在步骤B14到步骤B32的用户登录基础之上的，即用户登录云服务网关之后才能进行以下操作。步骤B53到步骤B55是用户交互层21接收并解析用户请求；步骤B56到步骤B58是向用户登录控制单元214进行登录时间确认，以防止登录后长时间无操作；步骤B59到步骤B60是向单点登录层23发出服务访问请求并得到访问成功应答。步骤B61通过客户端1通知用户云服务访问请求成功应答。

步骤B62到步骤B70，是云服务迁移事件的处理流程。这个过程是建立在步骤B53到步骤B61的云服务访问基础之上的，即用户已经登录某个云服务之后才能进行以下操作。步骤B62到步骤B64是用户交互层21接收并解析用户请求；步骤B65到步骤B67是向用户登录控制单元214进行登录时间确认，以防止登录后长时间无操作；步骤B68到步骤B69是向单点登录层23发出服务迁移请求并得到迁移成功应答。步骤B70通过客户端1通知用户云服务迁移请求成功应答。

图5是安全认证层的处理流程示意图；在图5中：

安全认证层22对用户交互层21传递来的用户事件进行处理。以下分别对各个用户请求的实现方式加以说明。

步骤C01到步骤C10，是账户注册请求的处理流程。用户信息审查单元221收到账户注册请求C01后，执行步骤C02，进行注册信息审查，对用户的账户名、用户ID、用户身份、住址、联系方式进行验证，确认这些信息是否合法且符合系统规范，如果合格则要求用户提供用于加密认证的公钥，于是向用户交互层21发出认证密钥请求C03；用户信息审查单元221收到是用户交互层21回复的公钥注册请求C04，向用户账户设定单元222发出账户创建请求C05；步骤C06是用户账户设定单元222进行账户创建并将公钥设置到认证信息数据库；步骤C07到步骤C09，在账户生成后和单点登录层23的登录信息数据库进行账户信息同步，由此实现加密认证和单点登录的协同动作；至此，账户创建和账户信息同已完成，用户账户设定单元222向用户交互层21回复注册成功应答C10。

步骤C11到步骤C23，是用户登录请求的处理流程。步骤C11到步骤C23是用户信息审查单元221对用户登录请求进行登录信息审查，并向加密认证单元223发出登录认证请求；步骤C14到步骤C19是加密认证单元223对用户身份合法性的最终验证，如果失败，再次发出密钥认证请求。在登录控制许可的范围内，直到该操作成功。然后，步骤C20到步骤C22向单点登录层23发布登陆成功信息，云服务访问网关系统由此获得跨云服务访问的信息联动；之后，步骤C23向用户交互层21回复登录成功应答。

步骤C24到步骤C30，是账户修改请求的处理流程。这个过程是建立在步骤C11到步骤C23的用户登录成功的基础之上，即用户登录云服务网关之后才能进行以下操作。步骤C24到步骤C26是对待修改账户信息进行审查并发出修改请求；步骤C27是用户账户设定单元222对账户信息修改或对公钥重新设置；步骤C28到步骤C30向单点登录层23发布账户修改信息；最后，步骤C31向用户交互层21回复修改成功应答。

图6是单点登录层的处理流程示意图。在图6中：

单点登录层23对用户交互层21和安全认证层22传递来的信息进行处理。以下分别对各个请求的实施方式加以说明。

步骤D01到步骤D06，是注册信息发布的处理流程。单点登录层23收到注册信息发布D01的通知后，资源授权管理单元231执行步骤D02，将注册信息登记到登录信息数据库，同时向云资源服务器3发出注册信息同步D03；云资源服务器3执行步骤D04，将账号注册信息登记到云服务管理数据库，由此获得有资格进行云服务访问的账户信息；资源授权管理单元231收到云资源管理服务器3回复的信息同步应答D05，然后通知安全认证层22同步完成，发出信息同步应答D06。

步骤D07到步骤D12，是登录状态发布的处理流程。步骤D07到步骤D08将登录状态登记到由单点登录层23管理的登录信息数据库；步骤D09到步骤D11将登陆状态的信息同步到云资源服务器3；步骤D12将信息同步完成的结果通知安全认证层22。

步骤D13到步骤D18，是修改信息发布的处理流程。这个过程是建立在用户事先登录的基础上。步骤D13到步骤D14将账户修改信息登记到由单点登录层23管理的登录信息数据库；步骤D15到步骤D17将账户修改信息同步到云资源服务器3；步骤D18将信息同步完成的结果通知安全认证层22。

步骤D19到步骤D26，是服务定制请求的处理流程。这个过程建立在用户事先登录云服务访问网关的基础上。资源授权管理单元231收到服务定制请求D19之后，向云资源服务器3发出资源状态查询D20，确认当前资源使用情况；当收到状态查询应答D21，获得所请求资源的可用通知后，执行授权信息登录D22，将资源信息和用户信息登记到由单点登录层23管理的登录信息数据库；然后向云资源服务器3发出授权信息同步D23；云资源服务器3执行授权信息同步D24，由此获得有资格进行云服务访问的账户信息；资源授权管理单元231收到信息同步应答D25，确定同步完成，然后回复用户交互层21定制成功应答D26，通知其云服务定制完成。

步骤D27到步骤D36，是服务访问请求的处理流程。这个过程建立在用户事先登录的基础上。步骤D27到步骤D29对所请求的服务进行授权检查，如果在授权范围内，则向服务生命周期管理单元232发出服务创建请求；步骤D30到步骤D35是会话初始化单元233向云资源服务器3请求会话创建，如果创建成，将会话信息回复给服务生命周期管理单元232，便于它对该会话进行管理；最后，步骤D36通知用户交互层21云服务访问成功应答。

步骤D37到步骤D53，是服务迁移请求的处理流程。这个过程建立步骤D19到步骤D36的云服务访问基础之上的，即用户已经登录某个云服务之后才能进行以下操作。步骤D37到步骤D39对所打算迁移的云服务进行授权检查，如果在授权范围内，则向服务生命周期管理单元232发出服务迁移请求；步骤D40到步骤D46将进行中的会话注销；步骤D47到步骤D51执行新的会话创建；步骤D52到步骤D53通知用户交互层21云服务迁移成功应答。

图7是用于云服务计费管理的网关系统计费流程图。

在图7中，一种用于云服务计费管理的访问网关系统的方法流程还包括：开始E01；云网关登录E02；云服务登录E03，计费开始E05；云服务迁移E04，计费迁移E06；云服务登出E07，计费结束E08；费用请求E09，结束E10。

在图4到图7的附图中，用户交互层、安全认证层和单点登录层因为安全和管理的需要，进行频繁的数据传输和信息处理。将以上三个功能层都集成到云服务访问网关中，可以有效降低系统处理延迟。因此，一种用于云服务计费管理的访问网关系统和方法通过一次加密认证的登录，实现跨云服务的访问。

Claims (5)

1.一种用于云服务计费管理的网关系统，包括客户端（1）、云服务访问网关（2）、云资源服务器（3），其中：

所述客户端（1），通过因特网与各个云资源服务器（3）、云服务访问网关（2）建立连接，进行数据和事件交互；

所述云服务访问网关（2），包括至少一个网关服务器，用来接收和处理来自用户的请求和来自云计算中心的事件响应，并为二者建立数据和事件交互的通道；

所述云资源服务器（3），包括云服务（302）和云服务管理数据库（301），是部署在云计算中心的服务器，为云服务提供物理和逻辑依托；

其特征在于：

所述云服务访问网关（2），包括用户交互层（21）、安全认证层（22）和单点登录层（23）；

所述用户交互层（21），包括用户请求交互单元（211），用户请求解析单元（212），用户事件响应单元（213），用户登陆控制单元（214），用于和客户端（1）进行信息交互，进行用户注册、用户登录、账户修改、云服务定制、云服务访问、云服务前移；

所述安全认证层（22），包括用户信息审查单元（221），用户账户设定单元（222），加密认证单元（223），认证信息数据库(224)，用于对用户登录信息进行合法性验证，安全认证层（22 ）账户生成后和单点登录层（23）的登录信息数据库进行账户信息同步；

所述单点登录层（23），包括资源授权管理单元（231），云服务生命周期管理单元(232)，会话初始化单元(233)，会话迁移单元(234)，登录信息数据库（235），用于实现利用单一用户ID进行跨应用服务访问，单点登录层（23）将登陆状态的信息和账户修改信息同步到云资源服务器（3），同时将信息同步完成的结果通知安全认证层（22），单点登录层（23）处理服务定制请求、服务创建请求、服务迁移请求后，反馈通知到用户交互层（21）；

云服务访问网关（2）中的用户交互层（21）、安全认证层（22）和单点登录层（23）三个功能层，根据云服务访问网关系统安全和管理的需要，与客户端（1）和云资源服务器（3）进行频繁的数据传输和同步信息处理，实现加密认证和单点登录的协同动作。

2.根据权利要求1所述一种用于云服务计费管理的网关系统，其特征在于：所述客户端（1）包括硬件和软件，其中硬件为计算机，或为智能手机，或为触摸式电脑，硬件之间通过网络有线或无线连接。

3.根据权利要求1所述一种用于云服务计费管理的网关系统，其特征在于：所述云服务（302）包括至少一个用户，最终访问的是基础设施服务，或应用系统服务中的邮件系统服务、数据库系统服务。

4.一种用于云服务计费管理的网关系统方法，其特征在于云服务计费管理的网关系统的执行流程包括如下步骤：

用户请求交互单元（211），接收来自客户端（1）的请求，并将云服务访问网关的请求处理结果向客户端（1）回复；

用户请求解析单元（212），根据用户请求内容将请求分为账户注册请求、用户登录请求、账户修改请求、云服务定制请求、云服务访问请求和云服务迁移请求；

用户事件响应单元（213），将具体请求发送到安全认证层（22）或单点登录层（23）将请求回复通知给用户，请求交互单元（211）；

用户信息审查单元（221），接受并对具体请求信息或资源需求信息进行验证，确认这些信息是否合法且符合云服务访问网关系统规范，加密认证单元（223）将加密的随机数作为加密认证请求，返回给用户交互层（21）；

用户账户设定单元（222），创建和修改用户账户及用户公钥，并将用户信息设置到认证信息数据库（224），

资源授权管理单元（231），为用户所请求资源进行授权，并将用户注册、登录、资源利用状况，设置到登录信息数据库（235）；

云服务生命周期管理单元（232），记录用户登陆系统的时刻及用户状态；

会话初始化单元（233），建立用户与应用服务的通信连接，会话迁移单元（234）针对用户对资源的利用变更，请求为用户重建通信连接，并保证用户无需登出云平台即进行会话迁移。

5.根据权利要求4所述一种用于云服务计费管理的网关系统方法，其特征在于该方法还包括：

开始（E01）；

云网关登录（E02）；

云服务登录（E03），计费开始（E05）；

云服务迁移（E04），计费迁移（E06）；

云服务登出（E07），计费结束（E08）；

费用请求（E09），结束（E10）；

其中：云网关登录（E02）的流程步骤为：

用户通过客户端（1）以用户ID向云服务访问网关（2）提交登录请求（A01）；

云服务访问网关（2）针对登录请求（A01）对用户身份合法性进行验证，首先云服务访问网关（2）生成随机数，并通过用户事先登录的公钥对该随机数加密，将加密结果作为加密认证请求（A02）发送给客户端（1）；

客户端（1）使用与事先登陆在网关上公钥相对应的私钥，将所述加密结果进行解密，并将解密结果作为加密认证回复（A03）返回到云服务访问网关（2）；

如果所述解密结果与所述随机数相同，云服务访问网关（2）认为登陆成功，向客户端（1）返回，登录认证成功（A04）；

云服务登录（E03），计费开始（E05）请求云服务的流程步骤为：

登录云服务访问网关（2）后，用户通过客户端（1）发出云服务访问请求（A05）；

云服务访问网关（2）尝试与目标服务建立通信通道，向云服务发出会话创建请求（A06）；

云服务根据当前资源使用情况和服务定制情况，创建会话ID、启动云服务并向云服务访问网关（2）回复会话创建成功（A07）；

云服务访问网关（2）将会话信息录入数据库后，向客户端（1）回复云服务访问成功（A08）；

客户端（1）的用户与云服务交互（A09）；

云服务迁移（E04），计费迁移（E06），进行云服务迁移的流程步骤为：

当业务需求发生改变时，用户向云服务访问网关（2）发送云服务迁移请求（A10）；

云服务访问网关（2）负责注销当前云服务的会话连接，并向新的目标云服务发送会话迁移请求（A11）；

云服务根据当前资源使用情况和服务定制情况，创建会话ID、启动云服务并向云服务访问网关（2）回复会话迁移成功（A12）；

云服务访问网关（2）将会话信息录入数据库后，向客户端（1）回复云服务迁移成功（A13）；

云服务登出（E07），计费结束（E08）；费用请求（E09），结束（E10）；客户端（1）由此实现用户与云服务交互（A14）。

Images