CN104009959A - 一种基于xacml的可验证的云访问控制方法 - Google Patents

Abstract

本发明公开了一种基于XACML的可验证的云访问控制方法，本方法为：1)用户向物联网的传感器节点发出访问请求信息；2)该传感器节点的策略实施点PEP将访问请求生成决定权请求并将其转发给该传感器节点的云决策与验证点CDVP；3)CDVP将访问请求发给位于云A的策略决策点CPDP_A和云B的策略决策点CPDP_B；4)CPDP_A和CPDP_B分别对该访问请求进行访问控制决策，然后将决策结果返回给CDVP，对两返回结果进行比较：若一致则将PEP执行返回结果；否则选择一返回结果发送给该传感器节点的策略决策点，然后CDVP做出授权决策发送给PEP执行。本方法充分利用云计算的计算能力，大大提高了计算效率。

Description

一种基于XACML的可验证的云访问控制方法

技术领域

本发明属于信息安全中的访问控制领域，具体涉及一种云计算环境下，云端的访问控制决策结果可验证的访问控制方法。

背景技术

随着物联网的发展，传感器节点采集的环境数据日益丰富，同时环境中存在大量的敏感区域和隐私区域，WSN所采集到的环境数据也就包含敏感数据和隐私数据，如何保证这些数据不被非法用户访问，对用户的访问行为进行控制，是物联网应用必须解决的安全问题之一。当前WSN对数据的访问控制通常部署在安全网关，为用户提供对环境数据的受限的访问服务，这种方式有一定的局限性，首先它无法阻止敌手对传感器节点的入侵及数据篡改等攻击，其次未来的物联网应用将大部分是基于观测者触发，比如单兵作战或环境检测信息查询，用户需要直接对传感器节点进行访问，显然这种方式不能满足直接对传感器节点进行控制的需求。因此物联网的安全要求将访问控制部署在传感器节点。然而一方面WSN中无线传感器节点的计算能力，存储能力等都及其有限，使得其无法支持复杂的传统的访问控制方案，另一方面，随着物联网应用的发展，出现节点跨管理域和跨应用的资源访问需求，访问控制系统难以在传感器节点完成访问控制决策过程及策略存储过程。

将计算能力有限的传感器节点的访问控制决策过程作为服务转移到云服务器，将极大的提高访问控制的效率，实现策略复杂的访问控制，提升服务的灵活性，实现物联网对传感器节点的安全控制目标，因此云访问控制服务是一大趋势。然而直接将访问控制引擎配置在云服务器不一定能实现访问控制服务化的目标，当前云计算存在大量安全风险并不完全可信，云平台可能会做出错误的决策结果，因此云访问控制服务的用户需要对决策的结果进行验证。

解决云计算可验证问题的技术主要有四类：一是基于计算复杂性理论的研究，针对通用计算的可验证性，如Goldwasser等人从计算复杂性角度提出的高效的知识证明系统对外包计算的结果进行验证的方案；二是基于一般可验证模型的研究，利用密码学技术，结合可证明安全理论进行研究，如Gennaro以及Chung等人利用全同态加密技术，通过对计算信息的隐藏来对最终的计算结果进行验证，Parno等人使用新型的基于属性的加密技术(ABE，Attribute-Based Encryption)，利用支持非单调访问结构的KP-ABE(Key-Policy ABE)方案构造了一个较为高效的对任意布尔函数计算结果进行验证的方案；这两类技术由于构造复杂，计算量大而难以在实际中应用。三是基于可信计算技术的研究，利用可信芯片来保证计算环境的可信性，这种技术由于与硬件紧密相关且计算代价较高，而不适用于云环境；四是基于仲裁游戏模型的研究，例如Ran等人基于Feige等人提出的RG(Refereed Games)模型，将任意计算转换为一个特定的图灵机，通过对图灵机的输出进行比较来实现对计算结果的高效验证。

RG模型

Feige等人从计算复杂性角度出发，为降低知识证明的复杂度提出了RG模型。在该模型中，两个具有无限计算能力的游戏者(player)向一个计算能力受限的仲裁者(referee)发送两个相反的计算结果，仲裁者决策哪一个游戏者的计算结果是正确的。该模型要求在每一次运行过程中至少有一个游戏者是诚实的，但该信息对于仲裁者是未知的。

当前物联网环境检测采用在不同的云平台上运行访问控制系统的方式来保证访问控制决策的可靠性和安全性，RG模型可以用于该环境下双云的可验证访问控制服务中，通过高效的验证保证访问控制决策结果的可靠性。计算能力受限的传感器节点相当于RG模型中的仲裁者，计算能力无限的云相当于RG模型中的游戏者，资源节点将访问控制请求发送给两个云，双云同时运行访问控制过程，两云同时出现访问控制决策错误的概率是很小的，因此能够以较大的概率保证每次运算中至少有一个云返回的结果是正确的，资源节点通过较小的验证代价即可得到可靠的访问控制决策结果。

XACML策略及其决策过程

XACML策略语言是当前访问控制策略的较为通用的语言，它采用树状分层嵌套结构定义访问权限，其中包含三种类型的策略元素：规则Rule、策略Policy、策略集PolicySet。这三个核心策略元素的层次关系呈现树形结构。Rule是策略元素的最小单位，也是策略树的叶子节点，它定义了主体对客体执行的操作的授权值。Policy和PolicySet是两种策略容器，它们是独立的嵌套式结构，可以作为策略树的根节点，PolicySet可以包含若干Policy和其他PolicySet，Policy则由若干Rule组成。

XACML语言规定了4种规则/策略组合算法计算最终的评估结果，典型算法包括：

拒绝优先Deny-override，如果一个Rule或Policy元素的评估结果为Deny，无论任何其他Rule或Policy元素的评估结果如何，组合后的结果是Deny。

允许优先Permit-override，类似的，一个Permit评估结果将导致组合结果为Permit。

首次适用First-Applicable，组合评估结果等同于第一个适用于当前请求决策的Rule、Policy或PolicySet。

唯一适用Only-One-Applicable，该算法用于策略的组合，算法产生的组合结果保证有且仅有一个Policy或PolicySet适用于当前决策请求，而这个适用策略的评估结果就是最终的组合决策结果。如果没有任何策略或者策略集适用，则组合结果为Not-Applicable，如果多余一个的策略或者策略集合适用，则组合结果为Indeterminate。

XACML中的策略评估过程是从树形策略的叶节点，也就是规则开始，再到策略以及策略集的逐层评估，得到最终对于具体请求的授权结果。其具体过程为：首先对规则进行评估，如果目标值不匹配，那么规则的评估值应该是Not-Applicable，如果目标值匹配，那么Rule元素内指定的效果将决定规则的值；然后对策略评估，策略的评估值应该根据指定的规则组合算法评估规则组合得到的结果决定。接着对策略之上的策略集进行评估，策略集的值应该根据策略组合算法对策略集之下的策略和策略集合进行评估确定策略集合的评估值。

发明内容

当前物联网环境下，对传感器节点的访问控制多数部署的安全网关，然而传感器节点有易被攻击，篡改等特点，安全的物联网环境要求实现到节点层的访问控制，本发明将访问控制深入到节点，同时考虑到传感器节点的计算和存储资源有限，将传感器节点上访问控制策略的访问控制决策过程转移到计算能力强大的云端进行，同时基于RG模型，设计了一个可验证的访问控制决策方案，解决了由于云可信性问题所带来的访问控制决策结果不可靠的问题。

当前环境监测系统采用在不同的云平台上同时运行访问控制服务的方式，来保证访问控制服务的可靠性，本文在这种双云的物联网环境监测场景中，借鉴RG模型的思想，设计了如图2所示的可验证的云访问控制模型，每次运算中，两云同时出错的概率非常小，因此可以采纳RG模型假定在每次运算中，至少有一个云是可信的，即不会同时欺骗或计算错误，用户可以对决策信息进行验证，高效地获取可靠的访问控制决策结果。双云与传感器节点在可信信道中通讯，而云计算的结果不完全可信。

具体的发明内容包括：利用RG(Refereed Games)模型，提出了一种高效的决策结果可验证的云访问控制模型，并针对当前通用的XACML访问控制策略，设计了该模型下对单条策略及策略集的可验证的云访问控制方案，正常情况下，传感器节点处策略决策点LPDP无需参与决策过程，当双云出现不可靠结果时资源节点处PDP只需对1条规则或很小的策略子树进行验证，即可获取可靠的决策结果。

一可验证的云访问控制模型

与XACML访问控制模型(如图1)不同，双云可验证访问控制模型包括传感器节点访问控制模块与云访问控制模块。传感器节点访问控制模块包括：策略实施点(Policy EnforcementPoint，PEP)，本地策略决策点(Local Policy Decision Point，LPDP)，本发明新增构建-云决策验证点(Cloud Decision Verification Point，CDVP)；云访问控制模块包括双云的策略决策点(Cloud Policy Decision Point A，CPDP_A；Cloud Policy Decision Point B，CPDP_B)。

其中策略执行点PEP，部署在传感器节点访问控制模块中，根据U的访问构造决定权请求，接收并执行CDVP做出的决定；

云决策验证点，是本发明中的新增构建，相当于RG模型中的仲裁者，部署在传感器节点访问控制模块中，负责对双云的决策结果进行处理和验证，以及向本地策略决策组件LPDP及策略执行组件PEP进行消息转发；

本地策略决策点LPDP，部署在传感器节点访问控制模块，它存储访问控制策略，并能够根据请决策出授权结果。

云策略决策点CPDP_A，CPDP_B是部署在云服务器Cloud_A，Cloud_B的与LPDP具有相同策略的访问控制决策部件，二者同时运行。

其可验证的云访问控制过程如下：

1)U向传感器节点发出访问请求

2)PEP根据用户的访问控制请求，构造决定权请求，并将决定权请求转发给CDVP；

3)CDVP同时将请求转发给位于Cloud_A，Cloud_B的CPDP_A，CPDP_B；

4)CPDP_A，CPDP_B进行访问控制决策，返回决策结果；

5)CDVP对结果进行比较，若决策结果一致，则PEP执行该结果，访问控制过程结束.

6)若不一致，CDVP选择其中一云的返回信息，由LPDP进行决策。

7)LPDP将决策结果发送给CDVP，并与相应的云端返回的结果进行对比，然后做出授权决策

8)将授权结果发送给PEP执行。

CDVP如何选择计算量最少的返回信息交给本地PDP进行验证，以及如何取得最终的授权结果，将在第二，三部分中说明，其中第二部分描述了基于单一策略的方案，第三部分中说明基于策略集的方案，在不同的场景下，适应更加复杂细粒度的访问控制体系。为不失一般性，方案不考虑Indeterminate情况(该情况说明云服务器出现了某种故障)。

二基于策略的可验证的云访问控制方案

XACML访问控制策略语言中，策略由至少1条规则组成，每条规则的编号唯一，在单条策略的场景下，云端PDP根据请求对规则逐条进行匹配，按照策略中定义的规则组合算法，对规则的判定结果进行合并计算，得到访问控制判定的最终结果。

用req(sub，res，act)来表示请求消息，其中sub表示请求的主体，res表示请求的资源，act表示请求执行的动作，云决策与验证点CDVP将请求消息同时发送给两个云端PDP，云端PDP进行决策，若云策略决策点对该请求的判定结果不是Not-Applicable，则还需返回判定所依据的规则编号，其表示形式如下：

Cloud_A-response(Decision，RuleID＝””)；

若Cloud_A-response与Cloud_B-response中的decision即决策结果相同，CDVP直接采纳此结果，并将决策值回给PEP执行。

若Cloud_A-response与Cloud_B-response的决策结果不相同，会有一个Not-Applicable决策值，以及不存在Not-Applicable决策值两种情况。

出现一个Not-Applicable决策值，返回结果为Not-Applicable的云标记为Cloud_A，决策结果为Permit或Deny的云标记为Cloud_B，结果为Not-Applicable时云端不会返回规则信息，因此无法验证它的正确性，所以需要对Cloud_B的决策结果根据其返回的策略规则信息进行验证，CDVP将Cloud_B返回结果(Decision，RuleID＝””)中的的规则编号RuleID传给本地PDP进行评估，仅需检查该Rule与请求是否匹配即可：如果匹配证明Cloud_A计算错误，采纳Cloud_B的授权结果即可。否则不匹配，Cloud_B计算错误，CDVP采用Cloud_A的Not-Applicable评判结果，转发给PEP执行。

不存在Not-Applicable决策结果时，则必定存在一个云的决策结果为允许(即Permit)，记为Cloud_A另一个云的决策结果Deny，记为Cloud_B，这种情况下，根据策略组合算法的不同，有如下的3种情况：

1.如果策略的规则组合算法Permit-override，则CDVP选择Cloud_A的返回信息中的RuleID，并将其发送给本地PDP进行评估，如果评估结果为Permit，说明Cloud_A计算正确，则将授权策略定义为Permit交给PEP执行。否则PDP的返回结果可能是不适用(即Not-Applicable)或者是拒绝(即Deny)，这说明Cloud_A的决策结果不正确，即Cloud_A是计算错误的，那么判定Cloud_B就是计算正确的，因此采取Deny的授权策略。即这一过程仅需对策略的其中一条规则进行决策验证，充分利用了云计算的计算能力，大大提高了计算的效率。

2.若策略组合算法为Deny-override，同理CDVP将Cloud_B的云端响应中的RuleID，发送给本地PDP进行评估，其评估结果及授权决策方案原理同1，即如果评估结果为Permit，则将决策结果定义为Permit交给PEP执行；否则将Cloud_A的决策结果交给PEP执行。

3.若策略组合算法为First-Applicable或Only-One-Applicable，CDVP将云端返回结果中RuleID进行比较，若RuleID相同，说明该RuleID确实是首次出现，或者是唯一的匹配的Rule，将该规则发送给本地PDP进行评估，采纳与本地评估相同的云端结果交由PEP执行。若RuleID值不同，则选取id值较小的一个发送给本地PDP进行评估，CDVP将本地评估结果与云端评估结果进行比较，如果授权结果一致，那么说明该云是计算正确的，因此采用此授权结果。否则说明该云是计算错误的，采纳另外一个结果。即这一过程仅需对策略的其中一条规则进行决策验证，充分利用了云计算的计算能力，大大提高了计算的效率。

三基于策略集的可验证的云访问控制方案

策略集中通常包含一组策略或者其他的策略集，其中策略以及策略集在系统中的编号是唯一的。策略集判定和验证情况要比一条策略的情况要复杂的多，它是在单条策略的方案基础之上，对基于策略的方案进行扩展，实现的一种适用于策略集的方案。该方案将顶层策略集和次顶层之间的运算关系，类比为第二部分中策略与规则之间关系，返回相应策略子树信息，同样若两者返回的信息相同，则CDVP直接采纳云的决策结果，将决策值交给PEP执行，否则CDVP根据策略组合算法，选择其中一云返回的子树信息交本地PDP进行访问控制决策。传统的策略评估方案中，PDP需要沿着最底层的节点，一层一层的策略集根节点进行评估，而在本案中，最坏情况下本地PDP只需要对顶层策略集的一棵子树进行验证，具体的方案如下：

用户U用req(sub，res，ac)向PEP发送请求访问，云决策与验证点CDVP将请求消息同时发送给两个云端PDP，云端PDP进行决策，若决策结果不是Not-Applicable，则还需返回决策所依据策略子树根节点策略或策略集编号可以用图3粗线框所示，云端返回信息如下：

Cloud_A-response{Decision：decision；PolicySetID：Decision；}

若Cloud_A-response与Cloud_B-response的判定结果相同，不管他们的决策依据子树是否相同，CDVP直接采纳此结果，并将决策值回给PEP执行。

若Cloud_A-response与Cloud_B-response的决策结果不同，同样会出现存在一个Not-Applicable的情况，以及不存在Not-Applicable的情况：

出现一个Not-Applicable决策结果的情况中，决策结果为Not-Applicable的云标记为Cloud_A，决策结果为Permit或Deny的云标记为Cloud_B，这种情况下，Cloud_A没有返回决策依据子树信息，只能对Cloud_B返回的决策依据验证，CDVP将Cloud_B-response中的策略子树交给本地PDP，本地LPDP对该策略子树从规则节点也就是叶节点开始进行决策，如果与Cloud_B的授权评估结果一致，说明Cloud_B是计算正确的，否则就说明Cloud_A是计算正确的。CDVP将正确的决策结果返回给PEP执行。

在没有出现Not-Applicable判定结果的情况中，决策结果为Permit的云标记为Cloud_A，决策结果为Deny的云标记为Cloud_B，这种情况下根据策略组合算法，又有如下的3种情况：

1.如果策略组合算法为Permit-override，则CDVP选择Cloud_A(其决策结果为Permit)返回的路径信息，转交给本地LPDP对以返回的路径起始节点为根节点的策略子树进行验证，若验证通过，则说明Cloud_A是正确计算的，评估结果被采纳，否则采用Cloud_B的决策结果。这一过程仅需对策略的其中一个子策略进行决策验证，充分利用了云计算的计算能力，大大提高了计算的效率。

2.若组合算法为Deny-override，同理CDVP将Cloud_B的云端响应发送给本地PDP进行决策，其策略决策方式同1，即LPDP对以返回的路径起始节点为根节点的策略子树进行验证，若验证通过，则Cloud_B返回结果是正确的，否则Cloud_A返回结果是正确的，CDVP将正确的返回结果交回给PEP执行。

3.若策略组合算法为First-Applicable或Only-One-Applicable，CDVP将云端返回结果中所依据的策略子树根节点策略ID进行比较，选取值较小的一个发送给本地PDP进行决策，CDVP将本地决策结果与云端评估结果进行比较，如果授权结果一致，采用此授权结果。否则说明该云是计算错误的，采纳另外一个授权结果。这一过程仅需对策略的其中一个子策略进行决策验证，充分利用了云计算的计算能力，大大提高了计算的效率。

与现有技术相比，本发明的优点在于：

本发明物联网环境下对传感器节点数据的访问控制深入到节点层，将计算量较大的访问控制策略决策过程转移到云端进行，同时考虑了委托计算的信任问题，正常情况下，本地PDP不需要参与访问控制过程，当云出现不可靠决策时，本地也仅需对策略的其中一条规则或者一个子策略进行决策验证，充分利用了云计算的计算能力，大大提高了计算的效率，降低了计算能力受限的传感器节点的计算代价，能够实现传感器节点上的复杂的细粒度的可靠的访问控制。

附图说明

图1访问控制模型；

图2可验证的云访问控制模型；

图3基于策略集的云访问控制方案云返回信息表示；

图4基于单条策略的可验证访问控制图示；

图5基于策略集的可验证访问控制图示。

具体实施方式

下面通过对单条策略及策略集的方案分别实施实例以对本发明做出更详细的说明。

例如某资源XACML访问控制策略如图4所示，应用基于云的访问控制决策过程，用户对该资源的访问，仅需应用基于策略的访问控制方案：

用户U对传感器节点数据资源R发起的访问请求：req＝(subAttr3，resAttr3，actAttr3)，本地及云端PDP存储如图4所示的XACML策略规则，其可验证的访问控制决策的过程：

A.用户U向传感器节点访问控制系统中的PEP发出的请求req(subAttr3，resAttr3，actAttr3)

B.PEP将请求转发给CDVP；

C.CDVP同时将请求转发给Cloud_A以及Cloud_B；

D.Cloud_A以及CloudB分别返回其评估结果，假定分别为

Cloud_A-response(Permit，RuleID＝”2”)

Cloud_B-response(Deny，RuleID＝”3”)

E.CDVP检查返回结果，发现二者的决策和返回rule值均不相同(这已经是最坏情况)，又因为策略Policy1的规则组合算法为Permit-override，因此CDVP选择Cloud_A-response中的RuleID＝“2”转发给本地PDP。

F.由图4的策略可知，本地PDP的评估结果是Permit，因此本地PDP将执行决策的结果Permit转发给CDVP。

G.CDVP对比本地PDP的评估结果与Cloud_A的结果进行比对，决策一致，由此判定Cloud_A是计算正确的，Cloud_B是计算错误的。

H.将Cloud_A的授权结果发送给PEP执行。

至此完成基于单条策略的可验证的云访问控制过程，最坏情况下，本地PDP也只需要对一条规则进行验证，而不需要遍历整个规则集合，极大的提高了访问控制判定的效率。

对于如图5所示的策略集的XACML访问控制策略，应用基于策略集的可验证的云访问控制方案的决策及验证方案如下：

用户U对传感器节点数据资源R发起的访问请求：req＝(subAttr3，resAttr3，actAttr3)，本地及云端PDP存储如图5所示的XACML策略规则，按照该策略决策的过程：

A.用户U向PEP发出访问请求req(subAttr3，resAttr3，actAttr3)

B.PEP将请求转发给CDVP

C.CDVP同时将请求转发给Cloud_A，Cloud_B

D.Cloud_A，Cloud_B返回其云端决策结果，假定分别为：

Cloud_A-response{Decision：Deny；PolicySet2；}

Cloud_B-response{Decision：Permit；PolicySet1；}

E.CDVP检查发现Cloud_A与Cloud_B的决策结果不同，对两者返回的路径进行比较，发现路径也完全不同，然后检测PolicySet1的策略组合算法为permit-override，因此选择Cloud_B的返回结果，交给本地PDP进行决策

F.将PolicySet1加入本地PDP，对其所在的子树进行验证，显而易见，在图5所示的策略中，Rule5对该请求的决策结果为允许，而policy4为允许优先，policySet2，PolicySet1同样是允许优先，于是验证表明Cloud_B的决策结果是正确的。PDP将Permit结果返回给CDVP。

G.CDVP选择Cloud_B的决策：Permit，转发给PEP执行该策略。

至此完成基于策略集的可验证的云访问控制过程，正常情况下，本地PDP无需参与访问控制决策过程，当一云出现不可靠结果时，本地PDP也只需要对策略集中的一棵子树进行验证，而不需要遍历整个策略集集合，充分利用了云的计算能力，降低了本地的访问控制决策的运算代价。同时传感器节点和云之间仅需传输一个决策值，一个策略ID，因此具有较小的通讯代价，能够实现传感器节点层面的对数据的复杂的细粒度的访问控制决策过程。

Claims (6)

1.一种基于XACML的可验证的云访问控制方法，其步骤为：

1)用户U向物联网的传感器节点发出访问请求信息；

2)该传感器节点的策略实施点PEP将访问请求生成决定权请求并将其转发给该传感器节点的云决策与验证点CDVP；

3)该云决策与验证点CDVP将该访问请求转发给位于云Cloud_A的策略决策点CPDP_A和云Cloud_B的策略决策点CPDP_B；

4)策略决策点CPDP_A和策略决策点CPDP_B分别根据XACML访问控制策略对该访问请求进行访问控制决策，然后将决策结果返回给该云决策与验证点CDVP；

5)该云决策与验证点CDVP对该访问请求的两返回结果进行比较：若决策结果一致，则将返回结果发送给该策略实施点PEP执行；若不一致，则选择其中一返回结果i发送给该传感器节点的策略决策点LPDP进行决策，然后该云决策与验证点CDVP将该策略决策点LPDP的决策结果与该返回结果进行对比，将做出的授权决策发送给该策略实施点PEP执行；

其中，LPDP、CPDP_A、CPDP_B具有相同的XACML访问控制策略。

2.如权利要求1所述的方法，其特征在于所述访问请求表示为：req(sub，res，act)；其中，sub表示请求的主体，res表示请求的资源，act表示请求执行的动作。

3.如权利要求1所述的方法，其特征在于所述XACML访问控制策略为单一访问控制策略；策略决策点CPDP_A和策略决策点CPDP_B分别根据XACML访问控制策略对该访问请求进行访问控制决策，如果决策结果不是Not-Applicable，则所述返回结果包括决策结果所依据的规则编号。

4.如权利要求3所述的方法，其特征在于步骤5)中，若不一致，其中：a)云Cloud_A返回结果为Not-Applicable，云Cloud_B决策结果为Permit或Deny；或者b)云Cloud_A返回结果为Permit，云Cloud_B返回结果为Deny；

对于情况a)，CDVP将云Cloud_B返回结果中的的规则编号传给LPDP进行评估，检查该规则编号对应规则与访问请求是否匹配：如果匹配证明云Cloud_A返回结果错误，将云Cloud_B返回结果转发给PEP执行；如果不匹配，则云Cloud_B返回结果错误，将云Cloud_A的返回结果转发给PEP执行；

对于情况b)：

b1)如果所述访问控制策略的规则组合算法为Permit-override，则CDVP选择Cloud_A返回结果中的规则编号，并将其发送给LPDP进行评估，如果评估结果为Permit，则将授权策略定义为Permit交给PEP执行；否则将Cloud_B的返回结果交给PEP执行；

b2)如果规则组合算法为Deny-override，则CDVP将Cloud_B返回结果中的规则编号发送给LPDP进行评估，如果评估结果为Permit，则将授权策略定义为Permit交给PEP执行；否则将Cloud_A的返回结果交给PEP执行；

b3)如果规则组合算法为First-Applicable或Only-One-Applicable，则CDVP将云端返回结果中规则编号进行比较，若相同，则LPDP对该规则编号对应的规则进行评估，CDVP将与LPDP评估相同的云端返回结果交由PEP执行；若规则编号不同，则LPDP对规则编号值较小的规则进行评估，CDVP将该评估结果与云端返回结果进行比较，如果一致，则将云端返回结果交给PEP执行，否则将LPDP评估结果交给PEP执行。

5.如权利要求1所述的方法，其特征在于所述XACML访问控制策略为一访问控制策略集；策略决策点CPDP_A和策略决策点CPDP_B分别根据XACML访问控制策略对该访问请求进行访问控制决策，如果决策结果不是Not-Applicable，则所述返回结果包括所依据策略子树信息。

6.如权利要求5所述的方法，其特征在于，步骤5)中，若不一致，其中：a)云Cloud_A返回结果为Not-Applicable，云Cloud_B决策结果为Permit或Deny；或者b)云Cloud_A返回结果为Permit，云Cloud_B返回结果为Deny；

对于情况a)，CDVP将Cloud_B返回结果中的路径信息交给LPDP，LPDP对该路径所在的策略子树从规则节点开始进行评估，如果评估结果与Cloud_B的返回结果一致，则Cloud_B返回结果是正确的，否则Cloud_A返回结果是正确的，CDVP将正确的返回结果交回给PEP执行；

对应情况b)：

b1)如果所述访问控制策略的规则组合算法为Permit-override，则CDVP将Cloud_A返回结果中的路径信息交给LPDP，对以返回的路径起始节点为根节点的策略子树进行验证，若验证通过，则Cloud_A返回结果是正确的，否则Cloud_B返回结果是正确的，CDVP将正确的返回结果交回给PEP执行；

b2)如果规则组合算法为Deny-override，则CDVP将Cloud_B返回结果中的路径信息交给LPDP，对以返回的路径起始节点为根节点的策略子树进行验证，若验证通过，则Cloud_B返回结果是正确的，否则Cloud_A返回结果是正确的，CDVP将正确的返回结果交回给PEP执行；

b3)如果规则组合算法为First-Applicable或Only-One-Applicable，则LPDP对云端返回结果中策略子树编号值较小的策略子树进行决策，CDVP将LPDP决策结果与云端返回结果进行比较，如果一致，则将云端返回结果交给PEP执行，否则将LPDP评估结果交给PEP执行。