CN105808985A - 一种访问资源的方法及装置 - Google Patents

Abstract

本发明实施例提供了一种访问资源的方法及装置，其中的方法包括：接收自动化程序所提出的连接请求；与所述自动化程序建立连接；接收所述自动化程序发来的对资源的访问请求及身份认证信息；对所述身份认证信息进行核查；当所述身份认证信息核查通过后，为所述自动化程序打开访问所述资源的通道，以使所述自动化程序访问所述资源。当自动化程序欲访问资源时，需要经过安全管控平台才可访问资源，且只有在核查通过后才会为所述自动化程序打开访问所述资源的通道。这样就对自动化程序的执行进行了有效的监管和控制，杜绝了现有技术中程序本身或者操作人员自行登录到企业核心服务器上进行执行而不受监控的现象，消除了安全隐患。

Description

一种访问资源的方法及装置

技术领域

本发明涉及计算机网络信息安全技术领域，尤其涉及一种访问资源的方法及装置。

背景技术

在企业中，对于集中备份、各类集中维护操作、维护人员自行开发的维护脚本等自动化程序，通常都是由自动化程序本身或者操作人员自行登录到企业核心服务器上进行访问各种资源，从而执行自动化程序。

然而，发明人在实现本发明的过程中发现，这种由自动化程序本身或者操作人员自行登录核心服务器，访问资源的执行方式不经过企业的安全管理软件，不受安全管理软件的控制，给企业核心服务器和数据安全带来很大风险隐患。

发明内容

为克服现有技术中存在的问题，本发明提供一种访问资源的方法及装置，以解决自动化程序运行时的安全监管问题。

根据本发明实施例的第一方面，提供一种访问资源的方法，所述方法包括：

接收自动化程序所提出的连接请求；

根据所述连接请求与所述自动化程序建立连接；

接收所述自动化程序发来的对资源的访问请求及身份认证信息；

对所述身份认证信息进行核查；

当所述身份认证信息核查通过后，为所述自动化程序打开访问所述资源的通道，以使所述自动化程序访问所述资源。

可选的，所述方法还包括：

对所述自动化程序访问所述资源时的行为进行记录，生成记录信息；

对所述记录信息进行审计。

可选的，所述身份认证信息为：

账号和口令，其中所述账号和口令由所述自动化程序的执行用户输入；

所述对所述身份认证信息进行核查，包括：

根据数据库中已记录的账号和口令对所述身份认证信息中的账号和口令进行核查。

可选的，所述身份认证信息为：

账号和口令以及所述自动化程序的IP地址，其中所述账号和口令预设在所述自动化程序中；

所述对所述身份认证信息进行核查，包括：

根据数据库中已记录的账号和口令对所述身份认证信息中的账号和口令进行核查，并判断所述IP地址是否具有使用所述安全管控平台的权限。

可选的，所述身份认证信息为：

账号和所述自动化程序的IP地址，其中所述账号由所述自动化程序的执行用户输入或预设在所述自动化程序中；

所述对所述身份认证信息进行核查，包括：

根据数据库中已记录的账号对所述身份认证信息中的账号核查，并判断所述自动化程序的IP地址与指定IP地址是否相同，其中所述指定IP地址为所述自动化程序之前使用web方式登录安全管控平台时所用的IP地址，且所述指定IP地址具有使用所述安全管控平台的权限。

可选的，所述身份认证信息为：

账号和认证密码串，其中所述账号由所述自动化程序的执行用户输入或预设在所述自动化程序中，所述认证密码串是安全管控平台根据所述自动化程序之前发来的参数信息而生成并发送给所述自动化程序的，所述参数信息包括下述信息中的一种或多种：账号、口令、IP地址、使用安全管控平台的时间、自动化程序名称、随机字符串；

所述对所述身份认证信息进行核查，包括：

根据数据库中已记录的账号对所述身份认证信息中的账号核查，并判断所述身份认证信息中的所述认证密码串与安全管控平台之前发送给所述自动化程序的认证密码串是否一致。

根据本发明实施例的第二方面，提供一种访问资源的装置，所述装置包括：

连接请求接收单元，用于接收自动化程序所提出的连接请求；

连接建立单元，用于根据所述连接请求接收单元接收的连接请求与所述自动化程序建立连接；

访问请求接收单元，用于接收所述自动化程序发来的对资源的访问请求及身份认证信息；

身份核查单元，用于对所述身份认证信息进行核查；

通道建立单元，用于当所述身份认证信息核查通过后，为所述自动化程序打开访问所述资源的通道，以使所述自动化程序访问所述资源。

可选的，所述装置还包括：

审计单元，用于对所述自动化程序访问所述资源时的行为进行记录，生成记录信息，并对所述记录信息进行审计。

可选的，所述身份认证信息为：

账号和口令，其中所述账号和口令由所述自动化程序的执行用户输入；

所述身份核查单元用于：

根据数据库中已记录的账号和口令对所述身份认证信息中的账号和口令进行核查；

或者，

所述身份认证信息为：

账号和口令以及所述自动化程序的IP地址，其中所述账号和口令预设在所述自动化程序中；

所述身份核查单元用于：

根据数据库中已记录的账号和口令对所述身份认证信息中的账号和口令进行核查，并判断所述IP地址是否具有使用所述安全管控平台的权限。

可选的，所述身份认证信息为：

账号和所述自动化程序的IP地址，其中所述账号由所述自动化程序的执行用户输入或预设在所述自动化程序中；

所述身份核查单元用于：

根据数据库中已记录的账号对所述身份认证信息中的账号核查，并判断所述自动化程序的IP地址与指定IP地址是否相同，其中所述指定IP地址为所述自动化程序之前使用web方式登录安全管控平台时所用的IP地址，且所述指定IP地址具有使用所述安全管控平台的权限；

或者，

所述身份认证信息为：

账号和认证密码串，其中所述账号由所述自动化程序的执行用户输入或预设在所述自动化程序中，所述认证密码串是安全管控平台根据所述自动化程序之前发来的参数信息而生成并发送给所述自动化程序的，所述参数信息包括下述信息中的一种或多种：账号、口令、IP地址、使用安全管控平台的时间、自动化程序名称、随机字符串；

所述身份核查单元用于：

根据数据库中已记录的账号对所述身份认证信息中的账号核查，并判断所述身份认证信息中的所述认证密码串与安全管控平台之前发送给所述自动化程序的认证密码串是否一致。

本发明的实施例提供的技术方案可以包括以下有益效果：

在本发明实施例中建立了安全管控平台，以对自动化程序访问资源的过程进行监管。具体的，当自动化程序欲访问资源时，需要经过安全管控平台才可访问资源，而在连接了安全管控平台后，自动化程序需提供身份认证信息，安全管控平台会对该身份认证信息进行核查，只有在核查通过后才会为所述自动化程序打开访问所述资源的通道，以使所述自动化程序访问所述资源。这样就对自动化程序的执行进行了有效的监管和控制，杜绝了现有技术中程序本身或者操作人员自行登录到企业核心服务器上进行执行而不受监控的现象，消除了给企业核心服务器和数据安全带来的风险隐患。

此外，安全管控平台还可对自动化程序的执行过程进行记录，生成日志并进行审计，这样就能在出现问题时追究原因和责任，从而进一步加强了对自动化程序的监管。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本发明。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本发明的实施例，并与说明书一起用于解释本发明的原理。

图1是根据一示例性实施例示出的一种访问资源的方法的流程图；

图2是根据一示例性实施例示出的安全管控平台组成示意图；

图3是根据一示例性实施例示出的一种访问资源的方法的流程图；

图4是根据一示例性实施例示出的一种访问资源的方法的信令示意图；

图5是根据一示例性实施例示出的一种访问资源的装置的框图；

图6是根据一示例性实施例示出的一种访问资源的装置的框图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本发明相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本发明的一些方面相一致的装置和方法的例子。

图1是根据一示例性实施例示出的一种访问资源的方法的流程图。该方法的执行主体为安全管控平台。参见图1所示，该方法可以包括：

S101，接收自动化程序所提出的连接请求。

S102，根据所述连接请求与所述自动化程序建立连接。

作为示例，安全管控平台可参见图2所示，在图2中，安全管控平台可以由程序调用接口模块、认证鉴权模块及审计模块组成，这些模块可以分布在不同的服务器上，也可以分布在同一个服务器上。自动化程序不能直接访问资源(资源可以为终端、服务器等实体对象或数据、软件等虚拟对象，对此本实施例并不进行限制)，而是必须要经过安全管控平台的程序调用接口模块才可，因此当自动化程序欲访问某资源时，需要先与安全管控平台程序调用接口模块建立连接。

S103，接收所述自动化程序发来的对资源的访问请求及身份认证信息。

自动化程序需要告知程序调用接口模块自己要访问哪些资源，同时需要提供身份认证信息以证明自己的合法性。对于身份认证信息的具体内容本实施例并不进行限制，例如可以包括账号、口令、IP地址等等。

S104，对所述身份认证信息进行核查。

作为示例仍可参见图2所示，安全管控平台的认证鉴权模块负责对自动化程序的身份认证信息进行核查，程序调用接口模块可以通过与认证鉴权模块的通信获知核查结果。

S105，当所述身份认证信息核查通过后，为所述自动化程序打开访问所述资源的通道，以使所述自动化程序访问所述资源。

例如程序调用接口模块可以采用标准的Sshd接口，根据资源配置的通讯协议及授权信息为该自动化程序提供单点登录功能，然后自动化程序登录到该资源上进行相应维护操作。

在本实施例中建立了安全管控平台，以对自动化程序访问资源的过程进行监管。具体的，当自动化程序欲访问资源时，需要经过安全管控平台才可访问资源，而在连接了安全管控平台后，自动化程序需提供身份认证信息，安全管控平台会对该身份认证信息进行核查，只有在核查通过后才会为所述自动化程序打开访问所述资源的通道，以使所述自动化程序访问所述资源。这样就对自动化程序的执行进行了有效的监管和控制，杜绝了现有技术中程序本身或者操作人员自行登录到企业核心服务器上进行执行而不受监控的现象，消除了给企业核心服务器和数据安全带来的风险隐患。

参见图3所示，在本实施例或本发明其他某些实施例中，所述方法还可以包括：

S106，对所述自动化程序访问所述资源时的行为进行记录，生成记录信息。例如可以对自动化程序的全部脚本执行行为进行记录。

S107，对所述记录信息进行审计。

作为示例，安全管控平台的程序调用接口模块对自动化程序的执行过程进行记录，生成日志并发送给审计模块以进行审计，这样就能在出现问题时追究原因和责任，从而进一步加强了对自动化程序的监管。

下面对身份认证信息的具体内容进行举例说明。表1示例性的给出了身份认证信息的四种情况：

表1

对于身份认证信息为“账号+口令”，所述账号及口令由所述自动化程序的执行用户输入，这就相当于账号和口令都是动态的。自动化程序可以在开发时即设置为动态获取自动化程序的执行用户输入的账号及口令的方式访问程序调用接口，此时自动化程序即使用输入的账号及口令访问资源，执行相关指令并由安全管控平台记录日志。此种认证方式适用于维护人员自行开发的自动化程序且运行地点不固定的场景，此时账号与口令每次由自动化程序的执行用户手动输入。

对于身份认证信息为“账号+口令+自动化程序的IP地址”，所述账号及口令预设在所述自动化程序中，这就相当于账号和口令都是静态的。静态口令安全性较差，所以在这种身份认证信息中附加了IP地址的限制。自动化程序可以在固定IP地址使用预设的账号、口令访问程序调用接口，此种认证方式适用于自动化程序IP地址相对较为固定的场景。

对于身份认证信息为“账号+认证密码串”，如果需要将口令明文保存在自动化程序中时，须使用认证加密串代替口令以保证安全。认证密码串由自动化程序向安全管控平台申请，申请时自动化程序需提供生成认证密码串的相关因素，可以是账号、口令、IP地址、使用程序调用接口模块的时间、自动化程序名称、随机字符串等的任意组合，安全管控平台生成认证密码串后将其反馈给自动化程序。之后自动化程序即可使用该认证密码串做为口令。在实际使用时，使用时间、IP地址、账号、自动化程序名称等内容必须与自动化程序申请认证密码串时提供的相关信息保持一致。

对于身份认证信息为“账号+自动化程序的IP地址”，如果自动化程序已经使用web方式登录了安全管控平台，同时安全管控平台判断出该自动化程序的账号具备使用程序调用接口模块的权限，且发起请求时使用的IP地址与已使用web方式登录的IP地址相同，则也可以通过认证。

相应的，当所述身份认证信息具有不同的具体内容时，安全管控平台(例如具体由安全管控平台的认证鉴权模块)可以采取相应不同的具体处理方式，例如：

1)当所述身份认证信息为账号和口令时，所述对所述身份认证信息进行核查，包括：

根据数据库中已记录的账号和口令对所述身份认证信息中的账号和口令进行核查；

2)当所述身份认证信息为账号和口令以及所述自动化程序的IP地址时，所述对所述身份认证信息进行核查，包括：

根据数据库中已记录的账号和口令对所述身份认证信息中的账号和口令进行核查，并判断所述IP地址是否具有使用程序调用接口模块的权限；

3)当所述身份认证信息为账号和认证密码串时，所述对所述身份认证信息进行核查，包括：

根据数据库中已记录的账号对所述身份认证信息中的账号核查，并判断所述身份认证信息中的所述认证密码串与安全管控平台之前发送给所述自动化程序的认证密码串是否一致，其中，发送给所述自动化程序的认证密码串是安全管控平台根据所述自动化程序之前发来的参数信息生成(例如可以采用base64+DES加密方法生成)，所述参数信息包括下述信息中的一种或多种：账号、口令、IP地址、使用程序调用接口模块的时间、自动化程序名称、随机字符串；

4)当所述身份认证信息为账号和所述自动化程序的IP地址时，所述对所述身份认证信息进行核查，包括：

根据数据库中已记录的账号对所述身份认证信息中的账号核查，并判断所述自动化程序的IP地址与指定IP地址是否相同，其中所述指定IP地址为所述自动化程序之前使用web方式登录安全管控平台时所用的IP地址，且所述指定IP地址具有使用程序调用接口模块的权限。

下面结合一个具体场景对本发明方案作进一步描述。

图4是根据一示例性实施例示出的一种访问资源的方法的信令示意图，包括：

S401，自动化程序访问程序调用接口模块所在的主机。

S402，程序调用接口模块反馈连接成功的提示信息。

S403，自动化程序向程序调用接口模块输入待访问的资源标识及身份认证信息。

S404，程序调用接口模块调用认证鉴权模块，向其提供自动化程序的身份认证信息，并等待认证鉴权模块的核查结果。

S405，认证鉴权模块在完成身份认证信息的核查后，向程序调用接口模块反馈核查结果。

S406，当核查成功时，程序调用接口模块为该自动化程序打开访问相应资源的通道。

S407，自动化程序通过该通道对该资源进行访问。

在本实施例中，只有在核查通过后程序调用接口模块才会为所述自动化程序打开访问所述资源的通道，以使所述自动化程序访问所述资源。这样就对自动化程序的执行进行了有效的监管和控制，杜绝了现有技术中程序本身或者操作人员自行登录到企业核心服务器上进行执行而不受监控的现象，消除了给企业核心服务器和数据安全带来的风险隐患。

图5是根据一示例性实施例示出的一种访问资源的装置的框图，所述装置可以包括：

连接请求接收单元501，用于接收自动化程序所提出的连接请求；

连接建立单元502，用于根据所述连接请求接收单元接收的连接请求与所述自动化程序建立连接；

访问请求接收单元503，用于接收所述自动化程序发来的对资源的访问请求及身份认证信息；

身份核查单元504，用于对所述身份认证信息进行核查；

通道建立单元505，用于当所述身份认证信息核查通过后，为所述自动化程序打开访问所述资源的通道，以使所述自动化程序访问所述资源。

参见图6所示，在本实施例或本发明其他某些实施例中，所述装置还可以包括：

审计单元506，用于对所述自动化程序访问所述资源时的行为进行记录，生成记录信息，并对所述记录信息进行审计。

在本实施例或本发明其他某些实施例中，所述身份认证信息为：

账号和口令，其中所述账号和口令由所述自动化程序的执行用户输入；

所述身份核查单元用于：

根据数据库中已记录的账号和口令对所述身份认证信息中的账号和口令进行核查；

或者，

所述身份认证信息为：

账号和口令以及所述自动化程序的IP地址，其中所述账号和口令预设在所述自动化程序中；

所述身份核查单元用于：

根据数据库中已记录的账号和口令对所述身份认证信息中的账号和口令进行核查，并判断所述IP地址是否具有使用所述安全管控平台的权限。

在本实施例或本发明其他某些实施例中，所述身份认证信息为：

账号和所述自动化程序的IP地址，其中所述账号由所述自动化程序的执行用户输入或预设在所述自动化程序中；

所述身份核查单元用于：

根据数据库中已记录的账号对所述身份认证信息中的账号核查，并判断所述自动化程序的IP地址与指定IP地址是否相同，其中所述指定IP地址为所述自动化程序之前使用web方式登录安全管控平台时所用的IP地址，且所述指定IP地址具有使用所述安全管控平台的权限；

或者，

所述身份认证信息为：

账号和认证密码串，其中所述账号由所述自动化程序的执行用户输入或预设在所述自动化程序中，所述认证密码串是安全管控平台根据所述自动化程序之前发来的参数信息而生成并发送给所述自动化程序的，所述参数信息包括下述信息中的一种或多种：账号、口令、IP地址、使用安全管控平台的时间、自动化程序名称、随机字符串；

所述身份核查单元用于：

根据数据库中已记录的账号对所述身份认证信息中的账号核查，并判断所述身份认证信息中的所述认证密码串与安全管控平台之前发送给所述自动化程序的认证密码串是否一致。

关于上述实施例中的装置，其中各个单元执行操作的具体方式已经在有关该方法的实施例中进行了详细描述，此处将不做详细阐述说明。

在本实施例中建立了安全管控平台，以对自动化程序访问资源的过程进行监管。具体的，当自动化程序欲访问资源时，需要经过安全管控平台才可访问资源，而在连接了安全管控平台后，自动化程序需提供身份认证信息，安全管控平台会对该身份认证信息进行核查，只有在核查通过后才会为所述自动化程序打开访问所述资源的通道，以使所述自动化程序访问所述资源。这样就对自动化程序的执行进行了有效的监管和控制，杜绝了现有技术中程序本身或者操作人员自行登录到企业核心服务器上进行执行而不受监控的现象，消除了给企业核心服务器和数据安全带来的风险隐患。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本发明的其它实施方案。本申请旨在涵盖本发明的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本发明的一般性原理并包括本发明未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本发明的真正范围和精神由下面的权利要求指出。

应当理解的是，本发明并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本发明的范围仅由所附的权利要求来限制。

Claims (10)

1.一种访问资源的方法，其特征在于，所述方法包括：

接收自动化程序所提出的连接请求；

根据所述连接请求与所述自动化程序建立连接；

接收所述自动化程序发来的对资源的访问请求及身份认证信息；

对所述身份认证信息进行核查；

当所述身份认证信息核查通过后，为所述自动化程序打开访问所述资源的通道，以使所述自动化程序访问所述资源。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

对所述自动化程序访问所述资源时的行为进行记录，生成记录信息；

对所述记录信息进行审计。

3.根据权利要求1所述的方法，其特征在于，所述身份认证信息为：

账号和口令，其中所述账号和口令由所述自动化程序的执行用户输入；

所述对所述身份认证信息进行核查，包括：

根据数据库中已记录的账号和口令对所述身份认证信息中的账号和口令进行核查。

4.根据权利要求1所述的方法，其特征在于，所述身份认证信息为：

账号和口令以及所述自动化程序的IP地址，其中所述账号和口令预设在所述自动化程序中；

所述对所述身份认证信息进行核查，包括：

根据数据库中已记录的账号和口令对所述身份认证信息中的账号和口令进行核查，并判断所述IP地址是否具有使用所述安全管控平台的权限。

5.根据权利要求1所述的方法，其特征在于，所述身份认证信息为：

账号和所述自动化程序的IP地址，其中所述账号由所述自动化程序的执行用户输入或预设在所述自动化程序中；

所述对所述身份认证信息进行核查，包括：

根据数据库中已记录的账号对所述身份认证信息中的账号核查，并判断所述自动化程序的IP地址与指定IP地址是否相同，其中所述指定IP地址为所述自动化程序之前使用web方式登录安全管控平台时所用的IP地址，且所述指定IP地址具有使用所述安全管控平台的权限。

6.根据权利要求1所述的方法，其特征在于，所述身份认证信息为：

账号和认证密码串，其中所述账号由所述自动化程序的执行用户输入或预设在所述自动化程序中，所述认证密码串是安全管控平台根据所述自动化程序之前发来的参数信息而生成并发送给所述自动化程序的，所述参数信息包括下述信息中的一种或多种：账号、口令、IP地址、使用安全管控平台的时间、自动化程序名称、随机字符串；

所述对所述身份认证信息进行核查，包括：

根据数据库中已记录的账号对所述身份认证信息中的账号核查，并判断所述身份认证信息中的所述认证密码串与安全管控平台之前发送给所述自动化程序的认证密码串是否一致。

7.一种访问资源的装置，其特征在于，所述装置包括：

连接请求接收单元，用于接收自动化程序所提出的连接请求；

连接建立单元，用于根据所述连接请求接收单元接收的连接请求与所述自动化程序建立连接；

访问请求接收单元，用于接收所述自动化程序发来的对资源的访问请求及身份认证信息；

身份核查单元，用于对所述身份认证信息进行核查；

通道建立单元，用于当所述身份认证信息核查通过后，为所述自动化程序打开访问所述资源的通道，以使所述自动化程序访问所述资源。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括：

审计单元，用于对所述自动化程序访问所述资源时的行为进行记录，生成记录信息，并对所述记录信息进行审计。

9.根据权利要求7所述的装置，其特征在于，所述身份认证信息为：

账号和口令，其中所述账号和口令由所述自动化程序的执行用户输入；

所述身份核查单元用于：

根据数据库中已记录的账号和口令对所述身份认证信息中的账号和口令进行核查；

或者，

所述身份认证信息为：

账号和口令以及所述自动化程序的IP地址，其中所述账号和口令预设在所述自动化程序中；

所述身份核查单元用于：

根据数据库中已记录的账号和口令对所述身份认证信息中的账号和口令进行核查，并判断所述IP地址是否具有使用所述安全管控平台的权限。

10.根据权利要求7所述的装置，其特征在于，所述身份认证信息为：

账号和所述自动化程序的IP地址，其中所述账号由所述自动化程序的执行用户输入或预设在所述自动化程序中；

所述身份核查单元用于：

根据数据库中已记录的账号对所述身份认证信息中的账号核查，并判断所述自动化程序的IP地址与指定IP地址是否相同，其中所述指定IP地址为所述自动化程序之前使用web方式登录安全管控平台时所用的IP地址，且所述指定IP地址具有使用所述安全管控平台的权限；

或者，

所述身份认证信息为：

账号和认证密码串，其中所述账号由所述自动化程序的执行用户输入或预设在所述自动化程序中，所述认证密码串是安全管控平台根据所述自动化程序之前发来的参数信息而生成并发送给所述自动化程序的，所述参数信息包括下述信息中的一种或多种：账号、口令、IP地址、使用安全管控平台的时间、自动化程序名称、随机字符串；

所述身份核查单元用于：

根据数据库中已记录的账号对所述身份认证信息中的账号核查，并判断所述身份认证信息中的所述认证密码串与安全管控平台之前发送给所述自动化程序的认证密码串是否一致。