CN104917793A - 一种访问控制方法、装置及系统 - Google Patents

Abstract

本发明实施例公开了一种访问控制方法，包括：接收访问请求，所述访问请求至少携带用户信息和/或分站点信息；根据所述用户信息和/或分站点信息，以及预设的数据访问控制策略和/或资源访问控制策略，进行访问控制。本发明实施例还公开了一种访问控制装置，包括：接收模块，用于接收访问请求；存储模块，用于存储预设的数据访问控制策略和/或资源访问控制策略；控制模块，用于根据接收的访问请求，以及预设的数据访问控制策略和/或资源访问控制策略，进行访问控制。本发明实施例还公开了一种访问控制系统，该系统包括：主站点、至少一用户设备和至少一分站点；其中，所述主站点包括所述访问控制装置。

Description

一种访问控制方法、装置及系统

技术领域

本发明涉及访问控制技术领域，尤其涉及一种访问控制方法、装置及系统。

背景技术

在分布式的数据库环境中，经常需要访问远端数据库的数据。现有访问远端数据库的方案主要有两种：

方案一：每次访问都需要提供远端数据库的用户和密码登陆远端数据库，将读取的数据通过中间表放置到本地数据库。

方案二：建立到远端数据库的数据链路，数据链路的建立需要远端数据库用户和密码以及到远端数据库的网络配置。使用该数据链路，在本地数据库建立远端表的视图或者同义词，使用该视图或者同义词即可。

但是，上述方案一需要远端数据库的用户名和密码，从安全性考虑，分布式环境中经常为省级、市级类似的环境，不同的数据库环境的系统管理员有着不同的权限，而采用方案一，无法对不同的数据库分权管理；上述方案二由超级管理员建立数据链路后，由本地管理员像使用本地的表那样查询远端表的数据，但是，对于远端数据库该用户下的其他表的查询无法控制，对一个表中的不同数据也无法限制访问。

总而言之，现有访问远端数据库的方案均无法控制对远端数据库的查询颗粒度，并且，无法控制对远端数据库的资源使用，如会话的个数，CPU资源占用等，灵活性不高，用户体验效果较差。

发明内容

有鉴于此，为解决现有存在的技术问题，本发明实施例提供：

一种访问控制方法，包括：

接收访问请求，所述访问请求至少携带用户信息和/或分站点信息；

根据所述用户信息和/或分站点信息，以及预设的数据访问控制策略和/或资源访问控制策略，进行访问控制。

较佳的，所述根据用户信息和/或分站点信息，以及预设的数据访问控制策略进行访问控制，包括：

根据所述用户信息和/或分站点信息，查询角色、权限及用户和/或分站点的对应关系表，确定与用户和/或分站点对应的角色及权限，并根据所述确定的角色及权限进行相应的访问控制。

较佳的，所述一个或多个用户对应一个或多个角色，所述一个或多个角色对应一项或多项权限。

较佳的，所述根据用户信息和/或分站点信息，以及预设的资源访问控制策略进行访问控制，包括：

根据所述用户信息和/或分站点信息，查询配置、资源及用户和/或分站点的对应关系表，确定与用户和/或分站点对应的配置及资源，并根据所述确定的配置及资源进行相应的访问控制。

较佳的，所述一个或多个用户对应一项或多项配置，所述一项或多项配置对应一项或多项资源。

较佳的，所述资源包括以下一项或多项：指定限制用户的并发会话的数目、每个SESSION占用的CPU的时间、一次调用的CPU时间限制、一个会话允许读的数据块的数目、一次执行SQL调用所允许读的数据块的最大数目、会话允许连续不活动的总的时间、会话的总的连接时间。

一种访问控制装置，包括：接收模块、存储模块和控制模块；其中，

所述接收模块，用于接收访问请求，所述访问请求至少携带用户信息和/或分站点信息；

所述存储模块，用于存储预设的数据访问控制策略和/或资源访问控制策略；

所述控制模块，用于根据所述接收的访问请求中的用户信息和/或分站点信息，以及存储模块存储的预设的数据访问控制策略和/或资源访问控制策略，进行访问控制。

较佳的，所述存储模块，具体用于存储角色、权限及用户和/或分站点的对应关系表；

所述控制模块，具体用于根据所述用户信息和/或分站点信息，查询角色、权限及用户和/或分站点的对应关系表，确定与用户和/或分站点对应的角色及权限，并根据所述确定的角色及权限进行相应的访问控制。

较佳的，所述存储模块，具体用于存储配置、资源及用户和/或分站点的对应关系表；

所述控制模块，具体用于根据所述用户信息和/或分站点信息，查询配置、资源及用户和/或分站点的对应关系表，确定与用户和/或分站点对应的配置及资源，并根据所述确定的配置及资源进行相应的访问控制。

一种访问控制系统，包括：主站点、至少一用户设备和至少一分站点；其中，

所述分站点，用于将来自用户设备的访问请求发送至主站点；

所述主站点，包括上述的访问控制装置。

本发明实施例所述的访问控制方法、装置及系统，接收访问请求，所述访问请求至少携带用户信息和/或分站点信息；根据所述用户信息和/或分站点信息，以及预设的数据访问控制策略和/或资源访问控制策略，进行访问控制。通过本发明实施例所述的访问控制方法、装置及系统，主站点可以对访问请求进行数据访问控制和/或资源访问控制，从而能有效控制访问的查询颗粒度和/或资源使用情况，提高了访问灵活度及用户体验效果。

附图说明

图1为本发明实施例一种访问控制方法流程示意图；

图2为本发明实施例一种访问控制装置结构示意图；

图3为本发明实施例1中，为实现远端数据库数据访问控制和/或资源访问控制的配置流程示意图；

图4为本发明实施例2所述的访问控制系统结构示意图；

图5为本发明实施例3涉及的访问控制系统结构示意图；

图6为本发明实施例4涉及的访问控制系统结构示意图。

具体实施方式

在本发明的各种实施例中：接收访问请求，所述访问请求至少携带用户信息和/或分站点信息；根据所述用户信息和/或分站点信息，以及预设的数据访问控制策略和/或资源访问控制策略，进行访问控制。

本发明实施例提出了一种访问控制方法，如图1所示，该方法包括：

步骤11：接收访问请求，所述访问请求至少携带用户信息和/或分站点信息；

步骤12：根据所述用户信息和/或分站点信息，以及预设的数据访问控制策略和/或资源访问控制策略，进行访问控制。

可选的，步骤12所述根据用户信息和/或分站点信息，以及预设的数据访问控制策略进行访问控制，包括：

根据所述用户信息和/或分站点信息，查询角色、权限及用户和/或分站点的对应关系表，确定与用户和/或分站点对应的角色及权限，并根据所述确定的角色及权限进行相应的访问控制。

可选的，所述一个或多个用户对应一个或多个角色，所述一个或多个角色对应一项或多项权限。

可选的，步骤12所述根据用户信息和/或分站点信息，以及预设的资源访问控制策略进行访问控制，包括：

根据所述用户信息和/或分站点信息，查询配置、资源及用户和/或分站点的对应关系表，确定与用户和/或分站点对应的配置及资源，并根据所述确定的配置及资源进行相应的访问控制。

可选的，所述一个或多个用户对应一项或多项配置，所述一项或多项配置对应一项或多项资源。

可选的，所述资源包括以下一项或多项：指定限制用户的并发会话的数目、每个SESSION占用的CPU的时间、一次调用的CPU时间限制、一个会话允许读的数据块的数目、一次执行SQL调用所允许读的数据块的最大数目、会话允许连续不活动的总的时间、会话的总的连接时间。

本发明实施例还相应地提出了一种访问控制装置，如图2所示，该装置包括：接收模块21、存储模块22和控制模块23；其中，

接收模块21，用于接收访问请求，所述访问请求至少携带用户信息和/或分站点信息；

存储模块22，用于存储预设的数据访问控制策略和/或资源访问控制策略；

控制模块23，用于根据接收模块21接收的访问请求中的用户信息和/或分站点信息，以及存储模块22存储的预设的数据访问控制策略和/或资源访问控制策略，进行访问控制。

可选的，

存储模块22，具体用于存储角色、权限及用户和/或分站点的对应关系表；

控制模块23，具体用于根据所述用户信息和/或分站点信息，查询角色、权限及用户和/或分站点的对应关系表，确定与用户和/或分站点对应的角色及权限，并根据所述确定的角色及权限进行相应的访问控制。

可选的，

存储模块22，具体用于存储配置、资源及用户和/或分站点的对应关系表；

控制模块23，具体用于根据所述用户信息和/或分站点信息，查询配置、资源及用户和/或分站点的对应关系表，确定与用户和/或分站点对应的配置及资源，并根据所述确定的配置及资源进行相应的访问控制。

本发明实施例还相应地提出了一种访问控制系统，该系统包括：主站点、至少一用户设备和至少一分站点；其中，

所述分站点，用于将来自用户设备的访问请求发送至主站点；

所述主站点，包括上述的访问控制装置。

通过上述的访问控制方法、装置及系统，主站点可以对访问请求进行数据访问控制和/或资源访问控制，从而能有效控制访问的查询颗粒度和/或资源使用情况，提高了访问灵活度及用户体验效果。

下面通过具体实施例对本发明的技术方案作进一步详细说明。

实施例1

本实施例在本地数据库和远端数据库之间，通过在远端数据库建立新的角色和用户，增加了一层类似防火墙功能的软控制。在这个控制层中，包括数据访问控制模块和资源访问控制模块，实现控制用户数据访问的颗粒度，控制用户访问资源的多少。本地数据库访问所用的数据链路建立在新的控制层上，从而实现了对远端数据库访问的控制。图3为本发明实施例1中，为实现远端数据库数据访问控制和/或资源访问控制的配置流程示意图，如图3所示，主流程如下：

在步骤S01中，在远端数据库建立用于远程控制的用户。

在步骤S02中，判断是否进行远程数据库列级别的数据访问控制；如果是则执行步骤S04，如果否则执行步骤S03。

在步骤S03中，在远程数据库建立列级别的视图，建立进行细颗粒度数据访问控制的对象。

在步骤S04中，判断是否进行远程数据库表级别的数据访问控制；如果是则执行步骤S05，如果否则执行步骤S06。

在步骤S05中，在远程数据库进行基于角色和表及视图用户权限的数据访问控制。

在步骤S06中，判断是否进行远程数据库资源访问控制；如果是则执行步骤S07，如果否则执行步骤S08。

在步骤S07中，在远程数据库，对访问控制用户设置资源控制的概要配置。

在步骤S08中，在本地数据库建立基于远端访问控制用户连接远端数据库的数据链路。

在步骤S09中，在本地数据库使用数据库链路建立远端数据库访问对象的同义词。

在步骤S10中，在本地数据库使用同义词，实现只访问远端数据库允许访问的数据和资源。

经过上述配置，便可实现远端数据库数据访问控制和/或资源访问控制，具体的，主站点接收访问请求，所述访问请求至少携带用户信息和/或分站点信息；根据所述用户信息和/或分站点信息，以及预设的数据访问控制策略和/或资源访问控制策略，进行远端数据库的访问控制。

实施例2

分布式数据库访问控制较常应用于远端数据库为集团或者省级的主站点数据中心，本地数据库为地市或者低级别的分站点数据中心，本实施例将以此场景进行访问控制系统结构的说明。

图4为本发明实施例2所述的访问控制系统结构示意图，如图4所示：

在分布式数据库系统中，主站点增加了访问控制模块，该模块包括数据访问控制和资源访问控制两个子模块，可以提高分布式数据库管理系统的安全性以及性能管控，它可以实现较精确的数据访问控制和资源访问控制。比如该场景常见主站点为省级数据中心，分站点为地市数据中心。

在分布式数据库系统中实现访问控制，即在主站点的数据访问控制子模块和资源访问控制子模块实现访问控制；并且，实现分布式数据库系统、访问控制管理系统、和会话管理工具的整合。按照设计的访问控制策略，生成实现脚本，在主站点进行运行部署，在分站点和分布式数据库系统的数据链路配合，最终通过在程序或者会话管理工具中使用，实现了访问控制。

实施例3

在分布式数据库系统中，主站点的数据访问控制子模块可以提高分布式数据库管理系统的安全性。它可以实现较精确的数据访问控制。本实施例描述访问控制中的数据访问控制实现，本实施例涉及的访问控制系统结构如图5所示，基于该结构，在分布式数据库系统中实现数据访问控制，主要的过程有：

1、主站点划分并设计角色

根据两个原则对角色进行划分：最小权利原则和分离权责原则。在划分人员所对应的用户时，要遵循角色划分的两个原则，为每种角色授予相应的系统权限。

2、主站点设计用户-角色-权限关系表

要实现用户、角色、权限之间的对应关系，需要建立以下几个列表：

用户列表：建立进行数据访问控制的用户列表

角色列表：建立不同数据访问控制需求的角色列表

角色和权限对应关系表：一个角色可以具有多项权限，一项权限也可以被赋予多个不同的角色。角色和权限之间的对应关系是多对多的关系。

用户和角色对应关系表：一个用户可以具有多项角色，一项角色也可以被赋予多个不同的用户。用户和角色之间的对应关系是多对多的关系。

3、实现分布式数据库系统、访问控制管理系统、和会话管理工具的整合。按照设计的访问控制策略，生成实现脚本，在主站点进行运行部署，在分站点和分布式数据库系统的数据链路配合，最终通过在程序或者会话管理工具中使用，实现了访问控制。

通过访问控制模块的数据访问控制，在主站点的数据保证各个分站点的数据共享的基础上，进行了精确控制。

通过视图的建立，实现了数据的行级、列级的精确控制，如可以按照地市建立视图，每个地市只可以看到自己地市的数据。

通过角色、权限、用户对应关系表的建立，实现了数据的多级控制。

当激活一个或多个角色时，用户可以建立会话。每个会话可以将用户分配到多个角色上。每个会话只能属于一个用户。但是，每个用户同时可以激活多个对话。如果一个用户属于多个角色，他在一个会话中只使用必要的角色权限。

实施例4

在分布式数据库系统中，主站点的资源访问控制子模块可以提高分布式数据库管理系统的性能，实现较精确的资源访问控制。本实施例描述访问控制中的资源访问控制实现，本实施例涉及的访问控制系统结构如图6所示，基于该结构，在分布式数据库系统中实现资源访问控制，主要的过程有：

1、主站点划分并设计配置

根据合理性能使用和总体规划的原则建立不同资源的配置。

2、主站点设计用户-配置-资源关系表

要实现用户、配置、资源之间的对应关系，需要建立以下几个列表：

用户列表：使用已有的数据访问控制的用户列表，对该列表添加标示，是否进行资源访问控制。针对只进行资源控制的用户，建立新的只进行资源访问控制的用户列表。

配置列表：建立不同资源访问控制需求的配置列表

配置和资源对应关系表：一个配置可以具有多项资源，一项资源也可以被赋予多个不同的配置。配置和资源之间的对应关系是多对多的关系。

用户和配置对应关系表：一个用户可以具有多项配置，一项配置也可以被赋予多个不同的用户。用户和配置之间的对应关系是多对多的关系。

3、实现分布式数据库系统、访问控制管理系统、和会话管理工具的整合

按照设计的资源访问控制策略，生成实现脚本，在主站点进行运行部署，在分站点和分布式数据库系统的数据链路配合，最终通过在程序或者会话管理工具中使用，实现了资源访问控制。

通过对资源访问控制用户设置资源控制的配置进行实现，配置可以具有的资源包括，即框架图中所示的资源1……资源N可以是如下资源：

指定限制用户的并发会话的数目；

每个SESSION占用的CPU的时间；

一次调用（解析、执行和提取）的CPU时间限制；

一个会话允许读的数据块的数目，包括从内存和磁盘读的所有数据块；

一次执行SQL（解析、执行和提取）调用所允许读的数据块的最大数目；

会话允许连续不活动的总的时间（单位：分钟）。超过该时间，会话将断开。但是长时间运行查询和其他操作的不受此限制；

会话的总的连接时间。

根据上述描述，本发明实施例所述的方案具备以下有益效果：

1）在本地数据库和远端数据库之间通过在远端数据库建立新的角色和用户，对远程数据库的访问增加了一层类似防火墙功能的软控制层。本地数据库访问所用的数据链路建立在新的控制层上，从而实现了对远端数据库访问的控制。比起传统的技术，整个访问控制模块无需购买额外的硬件设备，实现的成本低。

2）在这个控制层中，可以实现数据访问控制和资源访问控制，控制用户数据访问的颗粒度、进行数据隔离，控制用户访问资源的多少。比起传统技术，增加了数据的安全性和系统资源的可控性。

3）在数据访问控制和资源访问控制的模块中，通过角色和配置的引入，实现了对用户的多级和灵活配置。通过多级列表及对应关系，实现控制脚本的自动生成。针对用户的权限和资源的变更，可以通过角色和配置的变更实现，更加灵活可控。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims (10)

1.一种访问控制方法，其特征在于，该方法包括：

接收访问请求，所述访问请求至少携带用户信息和/或分站点信息；

根据所述用户信息和/或分站点信息，以及预设的数据访问控制策略和/或资源访问控制策略，进行访问控制。

2.根据权利要求1所述的方法，其特征在于，所述根据用户信息和/或分站点信息，以及预设的数据访问控制策略进行访问控制，包括：

根据所述用户信息和/或分站点信息，查询角色、权限及用户和/或分站点的对应关系表，确定与用户和/或分站点对应的角色及权限，并根据所述确定的角色及权限进行相应的访问控制。

3.根据权利要求2所述的方法，其特征在于，所述一个或多个用户对应一个或多个角色，所述一个或多个角色对应一项或多项权限。

4.根据权利要求1至3任一项所述的方法，其特征在于，所述根据用户信息和/或分站点信息，以及预设的资源访问控制策略进行访问控制，包括：

根据所述用户信息和/或分站点信息，查询配置、资源及用户和/或分站点的对应关系表，确定与用户和/或分站点对应的配置及资源，并根据所述确定的配置及资源进行相应的访问控制。

5.根据权利要求4所述的方法，其特征在于，所述一个或多个用户对应一项或多项配置，所述一项或多项配置对应一项或多项资源。

6.根据权利要求5所述的方法，其特征在于，所述资源包括以下一项或多项：指定限制用户的并发会话的数目、每个SESSION占用的CPU的时间、一次调用的CPU时间限制、一个会话允许读的数据块的数目、一次执行SQL调用所允许读的数据块的最大数目、会话允许连续不活动的总的时间、会话的总的连接时间。

7.一种访问控制装置，其特征在于，该装置包括：接收模块、存储模块和控制模块；其中，

所述接收模块，用于接收访问请求，所述访问请求至少携带用户信息和/或分站点信息；

所述存储模块，用于存储预设的数据访问控制策略和/或资源访问控制策略；

所述控制模块，用于根据所述接收的访问请求中的用户信息和/或分站点信息，以及存储模块存储的预设的数据访问控制策略和/或资源访问控制策略，进行访问控制。

8.根据权利要求7所述的装置，其特征在于，

所述存储模块，具体用于存储角色、权限及用户和/或分站点的对应关系表；

所述控制模块，具体用于根据所述用户信息和/或分站点信息，查询角色、权限及用户和/或分站点的对应关系表，确定与用户和/或分站点对应的角色及权限，并根据所述确定的角色及权限进行相应的访问控制。

9.根据权利要求7或8所述的装置，其特征在于，

所述存储模块，具体用于存储配置、资源及用户和/或分站点的对应关系表；

所述控制模块，具体用于根据所述用户信息和/或分站点信息，查询配置、资源及用户和/或分站点的对应关系表，确定与用户和/或分站点对应的配置及资源，并根据所述确定的配置及资源进行相应的访问控制。

10.一种访问控制系统，其特征在于，该系统包括：主站点、至少一用户设备和至少一分站点；其中，

所述分站点，用于将来自用户设备的访问请求发送至主站点；

所述主站点，包括权利要求7至9任一项所述的访问控制装置。