CN106230830A - 一种虚拟资源访问控制方法及装置 - Google Patents

Abstract

本发明公开了一种虚拟资源访问控制方法及装置。该方法包括以下步骤：接收用户针对目标虚拟资源的访问请求；确定用户的域属性和目标虚拟资源的域属性；根据预设的域属性对应关系，确定访问请求是否为合法请求；如果是，则接受访问请求；如果否，则拒绝访问请求。应用本发明实施例所提供的技术方案，可以有效控制虚拟化系统的用户对虚拟资源的访问，提高虚拟资源的安全性。

Description

一种虚拟资源访问控制方法及装置

技术领域

本发明涉及虚拟化安全技术领域，特别是涉及一种虚拟资源访问控制方法及装置。

背景技术

随着计算机技术和网络技术的快速发展，云计算技术已逐渐成为当前热门技术之一，作为云计算基础架构的虚拟化技术正进行着不断的技术发展与变革。

在虚拟化系统中，大量的计算资源、存储资源和软件资源形成能够共享的大规模的虚拟资源池。如何有效控制虚拟化系统的用户对虚拟资源的访问，提高虚拟资源的安全性，是目前亟需解决的技术问题。

发明内容

本发明的目的是提供一种虚拟资源访问控制方法及装置，以有效控制虚拟化系统的用户对虚拟资源的访问，提高虚拟资源的安全性。

一种虚拟资源访问控制方法，包括：

接收用户针对目标虚拟资源的访问请求；

确定所述用户的域属性和所述目标虚拟资源的域属性；

根据预设的域属性对应关系，确定所述访问请求是否为合法请求；

如果是，则接受所述访问请求；

如果否，则拒绝所述访问请求。

在本发明的一种具体实施方式中，所述根据预设的域属性对应关系，确定所述访问请求是否为合法请求，包括：

根据所述用户的域属性，确定所述用户所在的第一域；

根据所述目标虚拟资源的域属性，确定所述目标虚拟资源所在的第二域；

根据所述第一域和所述第二域的关系，确定所述访问请求是否为合法请求。

在本发明的一种具体实施方式中，所述根据所述第一域和所述第二域的关系，确定所述访问请求是否为合法请求，包括：

如果所述第一域为所述第二域的父域，或者，所述第一域和所述第二域相同，则确定所述访问请求为合法请求。

在本发明的一种具体实施方式中，所述根据所述第一域和所述第二域的关系，确定所述访问请求是否为合法请求，包括：

如果所述第一域与所述第二域不同，则根据所述访问请求的类型，确定所述访问请求是否为合法请求。

在本发明的一种具体实施方式中，所述根据所述访问请求的类型，确定所述访问请求是否为合法请求，包括：

如果所述第一域与所述第二域为同一父域的子域，且所述访问请求为查看类型的请求，则确定所述访问请求为合法请求；

如果所述第一域与所述第二域为同一父域的子域，且所述访问请求为操作动作类型的请求，则确定所述访问请求为非法请求；

如果所述第一域为所述第二域的子域，且所述访问请求为对所述目标虚拟资源的删除或者配置类型的请求，则确定所述访问请求为非法请求。

一种虚拟资源访问控制装置，包括：

访问请求接收模块，用于接收用户针对目标虚拟资源的访问请求；

域属性确定模块，用于确定所述用户的域属性和所述目标虚拟资源的域属性；

合法请求确定模块，用于根据预设的域属性对应关系，确定所述访问请求是否为合法请求，如果是，则触发访问请求接受模块，如果否，则触发访问请求拒绝模块；

所述访问请求接受模块，用于接受所述访问请求；

所述访问请求拒绝模块，用于拒绝所述访问请求。

在本发明的一种具体实施方式中，所述合法请求确定模块，包括：

第一域确定子模块，用于根据所述用户的域属性，确定所述用户所在的第一域；

第二域确定子模块，用于根据所述目标虚拟资源的域属性，确定所述目标虚拟资源所在的第二域；

合法请求确定子模块，用于根据所述第一域和所述第二域的关系，确定所述访问请求是否为合法请求。

在本发明的一种具体实施方式中，所述合法请求确定子模块，具体用于：

如果所述第一域为所述第二域的父域，或者，所述第一域和所述第二域相同，则确定所述访问请求为合法请求。

在本发明的一种具体实施方式中，所述合法请求确定子模块，具体用于：

如果所述第一域与所述第二域不同，则根据所述访问请求的类型，确定所述访问请求是否为合法请求。

在本发明的一种具体实施方式中，所述合法请求确定子模块，具体用于：

如果所述第一域与所述第二域为同一父域的子域，且所述访问请求为查看类型的请求，则确定所述访问请求为合法请求；

如果所述第一域与所述第二域为同一父域的子域，且所述访问请求为操作动作类型的请求，则确定所述访问请求为非法请求；

如果所述第一域为所述第二域的子域，且所述访问请求为对所述目标虚拟资源的删除或者配置类型的请求，则确定所述访问请求为非法请求。

应用本发明实施例所提供的技术方案，虚拟化系统中的用户和虚拟资源均具有预设的域属性，当接收到用户针对目标虚拟资源的访问请求时，可以根据用户的域属性和目标虚拟资源的域属性，确定该访问请求是否为合法请求，如果是，则接受该访问请求，否则，拒绝该访问请求，这样，可以有效控制虚拟化系统的用户对虚拟资源的访问，提高虚拟资源的安全性。

附图说明

为了更清楚的说明本发明实施例或现有技术的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例中虚拟资源访问控制方法的一种实施流程图；

图2为本发明实施例中虚拟资源访问控制方法的另一种实施流程图；

图3为本发明实施例中一种虚拟资源访问控制装置的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面结合附图和具体实施方式对本发明作进一步的详细说明。显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例提供了一种虚拟资源访问控制方法，应用于对虚拟化系统中的虚拟资源的访问控制，具体的，可以通过虚拟化系统中的控制器进行相应的访问控制。

参见图1所示，为本发明实施例所提供的一种虚拟资源访问控制方法的实施流程图，该方法可以包括以下步骤：

S110：接收用户针对目标虚拟资源的访问请求。

在虚拟化系统中，存在多种类型的虚拟资源，如虚拟存储资源、虚拟网络资源、虚拟机资源等。

当用户要访问目标虚拟资源时，通过虚拟化系统的身份认证可以向控制器发送针对目标虚拟资源的访问请求。控制器接收到用户的访问请求后，可以继续执行步骤S120的操作。

S120：确定用户的域属性和目标虚拟资源的域属性。

在本发明实施例中，在虚拟化系统中创建用户时，可以配置用户的域属性。具体的，可以由系统管理员进行域属性的预先配置，还可以根据用户的接入地址或者用户的其他属性信息，由虚拟化系统自动进行域属性的预先配置。

针对虚拟化系统中的每个虚拟资源，该虚拟资源的域属性可以由虚拟化系统根据该虚拟资源的创建者的域属性进行预先配置，或者由该虚拟资源的创建者根据实际情况进行预先配置，即用户创建的虚拟资源属于该用户所在的域，该域用户对该虚拟资源拥有全部操作权限，该用户可以对其他域的用户进行虚拟资源访问的授权。

如例1，用户U为域S用户，用户A为域S1用户，用户B为域S2用户，域S1和域S2同为父域S的子域，这些用户公用一套虚拟化系统，用户A的域属性可以配置为(S，S1)，用户B的域属性可以配置为(S，S2)，用户U的域属性可以配置为(S，*)。

如果用户U创建一个虚拟机，该虚拟机的域属性可以配置为(S，*)，用户A创建虚拟机1，该虚拟机1的域属性可以配置为(S，S1)，用户B创建虚拟机2，该虚拟机2的域属性可以配置为(S，S2)。

在控制器接收到用户针对目标虚拟资源的访问请求时，可以确定该用户的域属性和目标虚拟资源的域属性。

S130：根据预设的域属性对应关系，确定访问请求是否为合法请求，如果是，则执行步骤S140，如果否，则执行步骤S150。

S140：接受访问请求。

S150：拒绝访问请求。

为便于描述，将上述三个步骤结合起来进行说明。

在本发明实施例中，可以预设域属性对应关系，该域属性对应关系即为基于域属性的访问控制策略。

在步骤S120确定了用户的域属性和目标虚拟资源的域属性，根据预设的域属性对应关系，可以确定访问请求是否为合法请求。

具体的，参见图2所示，步骤S130可以包括以下步骤：

S131：根据用户的域属性，确定用户所在的第一域。

根据用户的域属性，可以确定用户所在的第一域。

如例1中，如果确定用户的域属性为(S，S1)，则可以确定用户所在的第一域为域S1，该第一域的父域为域S。

S132：根据目标虚拟资源的域属性，确定目标虚拟资源所在的第二域。

根据目标虚拟资源的域属性，可以确定该目标虚拟资源所在的第二域。

如例1中，如果确定目标虚拟资源的域属性为(S，S2)，则可以确定该目标虚拟资源所在的第二域为域S2，该第二域的父域为域S。

S133：根据第一域和第二域的关系，确定访问请求是否为合法请求。

在步骤S131和步骤S132分别确定了用户和目标虚拟资源所在的域，根据第一域和第二域的关系，可以确定访问请求是否为合法请求。

在本发明的一种具体实施方式中，步骤S133可以包括以下步骤：

如果第一域为第二域的父域，或者，第一域和第二域相同，则确定访问请求为合法请求。

如果第一域为第二域的父域，则父域内的用户可以对子域内的虚拟资源进行任何操作，可以直接确定该访问请求为合法请求。

如果第一域和第二域相同，表明目标虚拟资源为第一域用户创建的，则可以直接确定该访问请求为合法请求。

仍以例1为例，如果发送访问请求的用户为域S1内的用户或者为域S内的用户，则其对于用户A创建的虚拟机1的任何访问请求均可视为合法请求。

在本发明的一个具体实施方式中，步骤S133可以包括以下步骤：

如果第一域与第二域不同，则根据访问请求的类型，确定访问请求是否为合法请求。

在实际应用中，用户对于虚拟资源的访问请求的类型可以有多种，如查看类型、操作动作类型等。

如果第一域与第二域不同，则可以根据访问请求的类型，确定访问请求是否为合法请求。

具体的，如果第一域与第二域为同一父域的子域，且访问请求为查看类型的请求，则确定访问请求为合法请求；或者，如果第一域与第二域为属于同一父域的子域，且访问请求为操作动作类型的请求，则确定访问请求为非法请求。

在第一域与第二域为同一父域的子域时，如果用户对目标虚拟资源的访问请求为查看类型的请求，则可以确定该访问请求为合法请求，如果用户对目标虚拟资源的访问请求不是查看类型的请求，而是操作动作类型的请求，则可以确定该访问请求为非法请求。

如例1中，用户A创建的虚拟机1所在的第二域为域S1，用户B所在的第一域为域S2，用户B对于虚拟机1只能执行查看类操作。如果用户B针对虚拟机1的访问请求为关机或者迁移等操作动作类型的请求，则可以确定该访问请求为非法请求。

或者，如果第一域为第二域的子域，且访问请求为对目标虚拟资源的删除或者配置类型的请求，则确定访问请求为非法请求。

如果第一域为第二域的子域，且访问请求为对目标虚拟资源的删除或者配置类型的请求，则确定该访问请求为非法请求。

例如，用户U创建一个虚拟存储，该虚拟存储所在的第二域为域S，域S的子域内的用户可以使用该虚拟存储，但仅有使用权限，而不具有删除和配置权限，当域S1或者域S2内的用户对该虚拟存储的访问请求为删除或者配置类型的请求时，可以确定该访问请求为非法请求。

通过上述操作，控制器可以确定用户发送的访问请求是否为合法请求。当该访问请求为合法请求时，可以接受该访问请求，允许用户执行进一步操作。当该访问请求为非法请求时，可以拒绝该访问请求，不允许用户执行进一步操作。进一步的，当该访问请求为非法请求时，控制器还可以向用户返回拒绝提示信息，提示用户可能存在权限问题。

应用本发明实施例所提供的方法，虚拟化系统中的用户和虚拟资源均具有预设的域属性，当接收到用户针对目标虚拟资源的访问请求时，可以根据用户的域属性和目标虚拟资源的域属性，确定该访问请求是否为合法请求，如果是，则接受该访问请求，否则，拒绝该访问请求，这样，可以有效控制虚拟化系统的用户对虚拟资源的访问，提高虚拟资源的安全性。

在本发明实施例中,为进入虚拟化系统中的用户主体和用户创建的虚拟资源客体配置域属性。通过配置的域属性，使得主客体的存储更具层次和结构性。通过预设的访问控制策略，根据主客体的域属性来确定是否为主体授予相应的访问权限；这样可以进行不同粒度的虚拟资源访问控制，及域间资源隔离，增强系统的安全性。

相应于上面的方法实施例，本发明实施例还提供了一种虚拟资源访问控制装置，下文描述的一种虚拟资源访问控制装置与上文描述的一种虚拟资源访问控制方法可相互对应参照。

参见图3所示，该装置可以包括以下模块：

访问请求接收模块310，用于接收用户针对目标虚拟资源的访问请求；

域属性确定模块320，用于确定用户的域属性和目标虚拟资源的域属性；

合法请求确定模块330，用于根据预设的域属性对应关系，确定访问请求是否为合法请求，如果是，则触发访问请求接受模块340，如果否，则触发访问请求拒绝模块350；

访问请求接受模块340，用于接受访问请求；

访问请求拒绝模块350，用于拒绝访问请求。

应用本发明实施例所提供的装置，虚拟化系统中的用户和虚拟资源均具有预设的域属性，当接收到用户针对目标虚拟资源的访问请求时，可以根据用户的域属性和目标虚拟资源的域属性，确定该访问请求是否为合法请求，如果是，则接受该访问请求，否则，拒绝该访问请求，这样，可以有效控制虚拟化系统的用户对虚拟资源的访问，提高虚拟资源的安全性。

在本发明的一种具体实施方式中，合法请求确定模块330，包括：

第一域确定子模块，用于根据用户的域属性，确定用户所在的第一域；

第二域确定子模块，用于根据目标虚拟资源的域属性，确定目标虚拟资源所在的第二域；

合法请求确定子模块，用于根据第一域和第二域的关系，确定访问请求是否为合法请求。

在本发明的一种具体实施方式中，合法请求确定子模块，具体用于：

如果第一域为第二域的父域，或者，第一域和第二域相同，则确定访问请求为合法请求。

在本发明的一种具体实施方式中，合法请求确定子模块，具体用于：

如果第一域与第二域不同，则根据访问请求的类型，确定访问请求是否为合法请求。

在本发明的一种具体实施方式中，合法请求确定子模块，具体用于：

如果第一域与第二域为同一父域的子域，且访问请求为查看类型的请求，则确定访问请求为合法请求；

如果第一域与第二域为同一父域的子域，且访问请求为操作动作类型的请求，则确定访问请求为非法请求；

如果第一域为第二域的子域，且访问请求为对目标虚拟资源的删除或者配置类型的请求，则确定访问请求为非法请求。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

以上对本发明所提供的一种虚拟资源访问控制方法及装置进行了详细介绍。本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以对本发明进行若干改进和修饰，这些改进和修饰也落入本发明权利要求的保护范围内。

Claims (10)

1.一种虚拟资源访问控制方法，其特征在于，包括：

接收用户针对目标虚拟资源的访问请求；

确定所述用户的域属性和所述目标虚拟资源的域属性；

根据预设的域属性对应关系，确定所述访问请求是否为合法请求；

如果是，则接受所述访问请求；

如果否，则拒绝所述访问请求。

2.根据权利要求1所述的方法，其特征在于，所述根据预设的域属性对应关系，确定所述访问请求是否为合法请求，包括：

根据所述用户的域属性，确定所述用户所在的第一域；

根据所述目标虚拟资源的域属性，确定所述目标虚拟资源所在的第二域；

根据所述第一域和所述第二域的关系，确定所述访问请求是否为合法请求。

3.根据权利要求2所述的方法，其特征在于，所述根据所述第一域和所述第二域的关系，确定所述访问请求是否为合法请求，包括：

如果所述第一域为所述第二域的父域，或者，所述第一域和所述第二域相同，则确定所述访问请求为合法请求。

4.根据权利要求2所述的方法，其特征在于，所述根据所述第一域和所述第二域的关系，确定所述访问请求是否为合法请求，包括：

如果所述第一域与所述第二域不同，则根据所述访问请求的类型，确定所述访问请求是否为合法请求。

5.根据权利要求4所述的方法，其特征在于，所述根据所述访问请求的类型，确定所述访问请求是否为合法请求，包括：

如果所述第一域与所述第二域为同一父域的子域，且所述访问请求为查看类型的请求，则确定所述访问请求为合法请求；

如果所述第一域与所述第二域为同一父域的子域，且所述访问请求为操作动作类型的请求，则确定所述访问请求为非法请求；

如果所述第一域为所述第二域的子域，且所述访问请求为对所述目标虚拟资源的删除或者配置类型的请求，则确定所述访问请求为非法请求。

6.一种虚拟资源访问控制装置，其特征在于，包括：

访问请求接收模块，用于接收用户针对目标虚拟资源的访问请求；

域属性确定模块，用于确定所述用户的域属性和所述目标虚拟资源的域属性；

合法请求确定模块，用于根据预设的域属性对应关系，确定所述访问请求是否为合法请求，如果是，则触发访问请求接受模块，如果否，则触发访问请求拒绝模块；

所述访问请求接受模块，用于接受所述访问请求；

所述访问请求拒绝模块，用于拒绝所述访问请求。

7.根据权利要求6所述的装置，其特征在于，所述合法请求确定模块，包括：

第一域确定子模块，用于根据所述用户的域属性，确定所述用户所在的第一域；

第二域确定子模块，用于根据所述目标虚拟资源的域属性，确定所述目标虚拟资源所在的第二域；

合法请求确定子模块，用于根据所述第一域和所述第二域的关系，确定所述访问请求是否为合法请求。

8.根据权利要求7所述的装置，其特征在于，所述合法请求确定子模块，具体用于：

如果所述第一域为所述第二域的父域，或者，所述第一域和所述第二域相同，则确定所述访问请求为合法请求。

9.根据权利要求7所述的装置，其特征在于，所述合法请求确定子模块，具体用于：

如果所述第一域与所述第二域不同，则根据所述访问请求的类型，确定所述访问请求是否为合法请求。

10.根据权利要求9所述的装置，其特征在于，所述合法请求确定子模块，具体用于：

如果所述第一域与所述第二域为同一父域的子域，且所述访问请求为查看类型的请求，则确定所述访问请求为合法请求；

如果所述第一域与所述第二域为同一父域的子域，且所述访问请求为操作动作类型的请求，则确定所述访问请求为非法请求；

如果所述第一域为所述第二域的子域，且所述访问请求为对所述目标虚拟资源的删除或者配置类型的请求，则确定所述访问请求为非法请求。