CN107612873B - 一种访问及证书下发方法、装置 - Google Patents

Abstract

本申请提供了一种访问方法，数据中心接收来自请求方的、携带请求方的证书的访问请求，所述证书包括针对数据中心为所述请求方预先分配的存储空间的访问路径信息，数据中心基于所述访问路径信息，访问所述存储空间。因为证书具有较高的可信性和安全性，所以，只要预先为请求方分配好存储空间并将针对存储空间的访问路径写入证书，就能够避免请求方发出对数据中心为其它请求方分配的存储空间的访问请求，在多个应用共用数据中心的情况下，降低数据被盗取的可能，从而提高安全性，并且，因为证书使用的普遍性，无需在请求方或数据中心进行额外的安全逻辑的配置。

Description

一种访问及证书下发方法、装置

技术领域

本申请涉及电子信息领域，尤其涉及一种访问及证书下发控制方法、装置。

背景技术

在分布式系统中，如图1所示，不同的应用的配置数据存储在数据中心中。具体地，在应用启动时，向数据中心请求配置数据，数据中心将进行请求的应用的配置数据发给进行请求的应用。进一步地，当应用的配置数据发生变化后，数据中心还可以主动向相应的应用发送更新后的配置数据。

在数据中心中存储有多个应用的配置数据的情况下，存在应用1伪装成应用2访问应用2的配置数据的可能性，现有技术中，数据中心通常会规定一套权限认证逻辑防止这种可能性的发生。而实际中，应用通常有自己的安全逻辑，应用的安全逻辑可能与数据中心的权限认证逻辑不兼容，从而导致应用无法使用数据中心。

发明内容

本申请提供了一种访问及证书下发方法、装置，目的在于解决因为应用的安全逻辑可能与数据中心的权限认证逻辑不兼容，而导致应用无法使用数据中心的问题。

为了实现上述目的，本申请提供了以下技术方案：

一种访问方法，包括：

接收来自请求方的访问请求，所述访问请求中携带所述请求方的证书，所述证书包括：针对所述数据中心为所述请求方预先分配的存储空间的访问路径信息；

从所述证书中获取所述访问路径信息；

基于所述访问路径信息，访问所述存储空间。

一种证书下发方法，包括：

生成证书，所述证书包括：针对数据中心为被签发方预先分配的存储空间的访问路径信息；

向所述被签发方下发所述证书。

一种访问装置，包括：

接收模块，用于接收来自请求方的访问请求，所述访问请求中携带所述请求方的证书，所述证书包括针对所述数据中心为所述请求方预先分配的存储空间的访问路径信息；

访问路径获取模块，用于从所述证书中获取所述访问路径信息；

访问模块，用于基于所述访问路径信息，访问所述存储空间。

一种证书下发装置，包括：

生成模块，用于生成证书，所述证书包括：针对数据中心为被签发方预先分配的存储空间的访问路径信息；

下发模块，用于向所述被签发方下发所述证书。

本申请所述的方法及装置，数据中心接收到的来自请求方的访问请求中携带请求方的证书，因为证书包括针对数据中心为请求方预先分配的存储空间的访问路径信息，所以，数据中心可以基于证书中的访问路径信息，访问预先为请求方分配的存储空间。因为证书通常由安全认证方签发，且被签发方无权修改，具有较高的可信度和安全性，所以，只要预先在证书中写入路径信息，就能避免请求方对除自身的存储空间之外的存储空间的访问。并且，通过证书验证请求方的权项的方式，无需对请求方进行安全逻辑的修改，因此，能够避免请求方与数据中心的安全逻辑不兼容而导致的请求方无法使用数据中心的问题。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为应用访问数据中心的示意图；

图2为本申请实施例公开的一种访问控制方法的流程图；

图3为本申请实施例公开的一种证书的示意图；

图4为本申请实施例公开的一种存储空间组织形式的示意图；

图5为本申请实施例公开的又一种访问控制方法的流程图；

图6为本申请实施例公开又一种证书的示意图；

图7本申请实施例公开的又一种存储空间组织形式的示意图；

图8为本申请实施例公开的组织单位字段的值与访问权限的对应关系的示意图；

图9为本申请实施例公开的一种访问装置的结构示意图；

图10为本申请实施例公开的一种证书下发装置的结构示意图；

图11为本申请实施例公开的数据中心对应用的访问进行控制的示意图。

具体实施方式

本申请实施例公开了一种访问控制方法，可以应用在图1所示的系统中。其中，应用可以访问数据中心(例如配置中心)，读取或者写入各自的配置数据。在以下各个实施例中，应用作为访问请求方，数据中心作为被访问对象。

需要说明的是，本申请实施例中，数据中心仅作为一种示例，以下所述的具体过程，其执行主体并不限定于数据中心，任意一种能够进行存储空间的访问的装置或者设备，均可以执行以下数据中心进行的操作。

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

图2为本申请公开的一种访问控制方法的流程，包括以下步骤：

S201：数据中心与应用进行相互认证。

本实施例中，数据中心与应用进行相互认证的过程可以参见现有技术，例如，应用和数据中心之间采用HTTPS双向认证方式，即：数据中心与客户端都需要提供由可信任的第三方提供的证书，并通过证书认可对方的身份。

S202：数据中心接收访问请求。本实施例中，访问请求携带访问请求方的证书。

如前所述，访问请求方为客户端中运行的应用。证书是指，在互联网中的身份标识，通常，数据中心的证书以及应用的证书由数据中心提供方或者第三方证书授证中心为数据中心以及应用分配，用于保证服务端(数据中心)和应用的合法性和相互信任。

如图3所示，本实施例所述的证书中包括组织字段，组织字段用于存储针对数据中心为拥有此证书的应用分配的存储空间的访问路径信息。可选地，证书中还可以包括主题名称字段、地域字段、名称字段和联系信息字段中的一种或者多种。具体地，地域字段可以包括国家字段、省字段、市字段以及自治区字段中的一种或者多种。联系信息字段可以为电子邮件或者电话号码、地址等。名称字段用于表示应用的名称。图3仅为本实施例公开的证书的一个示例，使用以上字段组合而成的其它示例不再一一举例，访问路径也可以被放置在其它字段中。

S203：数据中心通过解析所述证书，获取访问路径信息。

需要说明的是，如前所述，证书是应用的身份标识，因此，数据中心除了通过解析证书获取访问路径之外，还可以确认请求方的身份。并且，因为证书的特点(应用方不能更改内容以及较高的安全性)，使得请求方身份确认的可信度更高。

S204：基于访问路径信息，数据中心访问所述存储空间。

本实施例中，访问所述存储空间具体是指，通过访问路径找到存储空间后，读取所述存储空间中的数据，或者向所述存储空间中写入数据，或者，既读取所述存储空间中的数据又向所述存储空间中写入数据。数据中心可以从所述访问请求中获取需要读取的数据以及需要写入的数据。

例如，如图4所示，在数据中心中为应用1、应用2和应用3分别分配有存储空间，应用1的存储空间中存储有应用1的配置数据bar1，其访问路径为/business1，应用2的存储空间中存储有应用2的配置数据bar2，其访问路径为/business2，应用3的存储空间中存储有应用3的配置数据bar3，其访问路径为/business3。

假设数据中心接收到应用1的访问请求，访问请求中携带应用1的证书，证书中的组织字段的值为business1，则数据中心使用路径/business1找到存储空间，并从存储空间中读出配置数据bar1，并且将bar1发送给数据获取请求方。

从图2所示的过程可以看出，数据中心依据应用的证书中的组织字段的值，访问为此应用分配的存储空间，因此，只要通过组织字段的值即可限定应用可访问的存储空间。因为证书预先为应用颁发，且应用无权修改，所以，只要预先为应用分配好存储空间并将存储空间的访问路径写入证书，就能够避免应用发出对数据中心为其它应用分配的存储空间的访问请求，在多个应用共用数据中心的情况下，降低数据被盗取的可能，从而提高安全性。

并且，需要强调的是，跟传统的用户名加密码的验证方式相比，证书的验证方式对于应用而言，是无感知的，因此，不仅能够改善应用的用户使用体验，还因为证书的安全性更高，所以，还能降低通过应用伪装身份而从数据中心恶意盗取数据的可能性。又因为证书的验证方式的兼容性好，所以，无需在应用或数据中心进行额外的安全配置，即能够实现数据中心对于存储空间访问的权限控制。

并且，除了提高安全性之外，因为对不同应用的存储空间进行了隔离，所以，在对于某个应用的访问路径的访问数量在单位时间内进行控制时，不会影响其它访问路径的访问效率，也就是说，可对实现单独对某一个应用获取配置数据的流量控制，而不影响其它应用对于配置数据的访问。

图5为本申请实施例公开的又一种访问控制方法，与图2所示的方法的主要区别在于，除了访问路径之外，在证书中还包括应用在访问路径下的访问权限。

图5所示的方法包括以下步骤：

S501：数据中心与客户端进行相互认证后，数据中心接收应用发送的、携带证书的访问请求。

本实施例中，证书的一种示例如图6所示，与图3所示的证书的区别在于，除了图3中所示的字段之外，还包括组织单位字段，所述组织单位字段的值用于表示对于图1中所示的存储空间的访问权限。组织单位字段仅为本实施例采用的举例说明，访问权限也可以被放置在证书的其它字段中。

具体地，组织单位字段的值为第一值，例如role1，表示对于存储空间的访问权限为可读可写(使用rw表示)，组织单位字段为第二值，例如role2，表示对于存储空间的访问权限为只读(使用r表示)，组织单位字段为第三值，例如role3，表示对于存储空间的访问权限为只写(使用w表示)。

下面对于证书中的组织字段和组织单位字段的组合进行举例：

例1：可以为应用访问图4所示的路径信息针对的存储空间设置访问权限：证书中的组织字段为/business1，组织单位字段为role1，表示应用对于组织字段中的访问路径针对的存储空间的访问权限为可读可写。

例2:如图7所示，相比于图4所示的存储空间组织形式，在根目录/business1下还包括有下一级路径/foo1和/foo2，在根目录/business3下还包括有下一级路径/foo3。因此，可以为应用访问/business1/foo1针对的存储空间赋予访问权限。例如，应用1的证书中的组织字段的值为/business1/foo1，组织单位字段的值为role3，表示应用1对于/business1/foo1针对的存储空间只有写权限。

可选地，对于不同的存储空间，相同的访问权限可以使用不同的值表示，同一个值表示的访问权限可以不同。

例3：针对于图7所示的存储空间组织形式，对于访问路径/business1/foo1针对的存储空间，值role1表示可读可写，role2表示只读，而对于访问路径/business2/foo2针对的存储空间，值role2表示可读可写，可见，对于权限“可读可写”，不同的访问路径针对的存储空间使用的组织字段的值不同，而对于相同的值，对于不同的访问路径针对的存储空间，表示的权限不同。组织单位字段的值与访问权限的对应关系如图8所示。

另外，需要说明的是，针对于图7所示的多级目录的形式，因为应用的证书中携带了根目录例如/business1，因此，应用发送的访问请求中仅需说明下一级访问路径例如/foo1即可。

S502：数据中心通过解析证书，获取访问路径和访问权限。

S503：数据中心依据访问权限对访问路径表示的存储空间进行访问。

针对例1，假设数据中心接收到的访问请求携带的证书中的组织字段为/business1，组织单位字段为role1，则数据中心对/business1针对的存储空间进行读和/或写操作。

针对例2，假设数据中心接收到的访问请求携带的证书中的组织字段为/business1/foo1，组织单位字段为role3，则数据中心对/business1/foo1针对的存储空间进行写操作。

针对例3，假设数据中心接收到的应用1发送的访问请求中携带的证书的组织字段为/business1/foo1，组织单位字段为role2，根据图8所示的映射关系，则数据中心对/business1/foo1针对的存储空间进行读操作。假设数据中心接收到的应用2发送的访问请求中携带的证书的组织字段为/business2/foo2，组织单位字段为role2，根据图8所示的映射关系，则数据中心对/business1/foo2针对的存储空间进行读和/或写操作。

需要说明的是，为了优先保证安全性，如果数据中心接收到的访问请求与证书中包括的访问权限不同，则数据中心优先以证书中包括的访问权限为依据。例如，数据中心接收到用于写入配置数据的请求，如果此应用的证书中包括的组织单位字段指示只读，则数据中心不响应访问请求，进一步地，数据中心还可以向应用反馈无权限进行操作的信息。

从图5所示的过程可以看出，除了使用证书中的组织字段隔离不同应用的数据之间的访问之外，还可以使用证书中的组织单位字段为应用访问存储空间分配权限，进一步细化对应用的访问控制，以进一步提高数据中心的安全性。

需要说明的是，图2或图5所示的证书可以由数据中心和应用之外第三方下发，也可以由数据中心下发。具体地，证书的颁发方可以依据预先设定的数据中心的存储空间、存储空间的访问路径以及应用之间的对应关系，为应用颁发证书，证书中包括此应用在数据中心中的存储空间的访问路径。

图9为本申请实施例公开的一种访问装置，可以设置在数据中心中，其中包括：

接收模块，用于接收访问请求，所述访问请求中携带请求方的证书，所述证书包括：针对数据中心为所述请求方预先分配的存储空间的访问路径信息。访问路径获取模块，用于从所述证书中获取所述访问路径信息。访问模块，用于基于所述访问路径信息，访问所述存储空间。

以上各个模块具体实现功能的步骤可以参见图2或图5所示，这里不再赘述。

图10为本申请实施例公开的一种证书下发装置，包括：

生成模块，用于生成图2或图5所示的实施例中所述的证书。以及下发模块，用于向所述被签发方下发所述证书。

所述证书下发装置可以设置在数据中心中，也设置在数据中心和应用之外的第三方设备中。

综合上述实施例，如图11所示，数据中心预先为应用1和应用2分配了存储空间，在为应用1分配的存储空间中存储有应用1的配置数据bar1，此存储空间在数据中心的访问路径为/business1/foo1。在为应用2分配的存储空间中存储有应用2的配置数据bar2，此存储空间在数据中心的访问路径为/business2/foo1。为了保证配置数据的安全性，数据中心预先规定对于上述存储空间的访问权限为只读。

数据中心或证书下发装置预先为应用1和应用2颁发了证书。为应用1颁发的证书的组织字段的值为/business1，组织单位字段的值为role1(表示只读)。为应用2颁发的证书的组织字段的值为/business2，组织单位字段的值为role1(表示只读)。需要说明的是，如果是证书下发装置为应用1和应用2颁发证书，则证书下发装置预先与数据中心协商确定证书中的访问路径和访问权项。

应用1启动后，向数据中心发送获取配置数据的请求，请求包括应用1的证书和路径/foo1。数据中心解析应用1的证书后获取访问路径/business1以及访问权限“只读”，再结合/foo1，确定应用1的访问路径/business1/foo1。数据中心依据访问路径/business1/foo1读取存储空间中的配置数据bar1，并将bar1发给应用1。

应用2在运行一段时间后，向数据中心发送存入数据的请求，请求中包括应用2的证书和路径/foo1。数据中心解析应用2的证书后获取访问路径/business2以及访问权限“只读”，再结合/foo1，确定应用1的访问路径/business2/foo1。因为从应用2证书中解析出的访问权限为“只读”，与应用2的存入数据的请求不符，所以，数据中心拒绝应用2向为应用2分配的存储空间存储数据的请求。

可见，通过对于证书的设置，可以实现应用对于数据中心预先分配的存储空间的访问权限的控制。而现在访问权项的控制方法，基于证书实现，所以无需对应用或数据中心进行额外设置，能够避免因为应用和数据中心的安全认证逻辑不兼容而导致的应用无法使用配置中心的问题。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (16)

1.一种访问方法，其特征在于，执行在数据中心中，包括：

接收来自请求方的访问请求，所述访问请求中携带所述请求方的证书，所述证书包括：针对所述数据中心为所述请求方预先分配的存储空间的访问路径信息；所述证书中包括第二字段；所述存储空间的访问权限被放置在所述第二字段中，所述访问权限为可读可写或只写中的一种；

从所述证书中获取所述访问路径信息和所述访问权限；

基于所述访问路径信息和所述访问权限，访问所述存储空间。

2.根据权利要求1所述的方法，其特征在于，所述访问路径信息被放置在所述证书的第一字段中。

3.根据权利要求1所述的方法，其特征在于，基于所述访问路径信息，访问所述存储空间包括：

基于所述访问路径信息，依据所述访问权限，访问所述存储空间。

4.根据权利要求1所述的方法，其特征在于，接收到的所述访问请求与所述证书中包括的所述访问权限不同，基于所述访问路径信息，访问所述存储空间包括：

基于所述访问路径信息，依据所述访问权限，访问所述存储空间。

5.根据权利要求1所述的方法，其特征在于，所述证书由证书颁发方生成，所述证书颁发方包括所述数据中心。

6.根据权利要求1所述的方法，其特征在于，所述请求方包括应用；所述数据中心存储有所述应用的配置数据。

7.一种证书下发方法，其特征在于，包括：

生成证书，所述证书包括：针对数据中心为被签发方预先分配的存储空间的访问路径信息；所述证书中还包括第二字段；所述存储空间的访问权限被放置在所述第二字段中，所述访问权限为可读可写或只写中的一种；

向所述被签发方下发所述证书。

8.根据权利要求7所述的方法，其特征在于，所述访问路径信息被放置在所述证书的第一字段中。

9.一种访问装置，其特征在于，包括：

接收模块，用于接收来自请求方的访问请求，所述访问请求中携带所述请求方的证书，所述证书包括针对数据中心为所述请求方预先分配的存储空间的访问路径信息；所述证书中包括第二字段；所述存储空间的访问权限被放置在所述第二字段中，所述访问权限为可读可写或只写中的一种；

访问路径获取模块，用于从所述证书中获取所述访问路径信息和所述访问权限；

访问模块，用于基于所述访问路径信息和所述访问权限，访问所述存储空间。

10.根据权利要求9所述的装置，其特征在于，所述接收模块用于接收来自请求方的访问请求，所述访问请求中携带所述请求方的证书，所述证书包括针对所述数据中心为所述请求方预先分配的存储空间的访问路径信息包括：

所述接收模块具体用于，接收来自请求方的访问请求，所述访问请求中携带所述请求方的证书，所述证书包括针对所述数据中心为所述请求方预先分配的存储空间的访问路径信息，所述访问路径信息被放置在所述证书的第一字段中。

11.根据权利要求9所述的装置，其特征在于，所述访问模块用于基于所述访问路径信息，访问所述存储空间包括：

所述访问模块具体用于，基于所述访问路径信息，依据所述访问权限，访问所述存储空间。

12.根据权利要求9所述的装置，其特征在于，所述访问模块用于基于所述访问路径信息，访问所述存储空间包括：

所述访问模块具体用于，在接收到的所述访问请求与所述证书中包括的所述访问权限不同的情况下，基于所述访问路径信息，依据所述访问权限，访问所述存储空间。

13.根据权利要求9所述的装置，其特征在于，还包括：

证书生成模块，用于生成所述证书。

14.根据权利要求9所述的装置，其特征在于，所述请求方包括应用；所述装置还包括：

存储模块，用于存储所述应用的配置数据。

15.一种证书下发装置，其特征在于，包括：

生成模块，用于生成证书，所述证书包括：针对数据中心为被签发方预先分配的存储空间的访问路径信息；所述证书中还包括第二字段；所述存储空间的访问权限被放置在所述第二字段中，所述访问权限为可读可写或只写中的一种；

下发模块，用于向所述被签发方下发所述证书。

16.根据权利要求15所述的装置，其特征在于，所述生成模块用于生成证书，所述证书包括：针对数据中心为被签发方预先分配的存储空间的访问路径信息包括：

所述生成模块具体用于，生成证书，所述访问路径信息被放置在所述证书的第一字段中。

Images