CN107896220A - 一种基于多租户的云平台租户管理方法及实现该方法的工业物联云平台 - Google Patents

Abstract

本发明提供一种基于多租户的云平台租户管理方法及实现该方法的工业物联云平台，解决了现有云平台用户信息验证方法单一、无法确保数据信息安全等问题。本发明中云平台租户管理方法包括接收注册接入请求消息，为用户分配用户账号及对应的固定密码并进行存储；获取用户账号及固定密码，进行第一次鉴权操作；获取用户输入的动态密码，进行第二次鉴权操作；为用户划分特定的虚拟存储区域，并生成唯一对应的用户ID标识。本发明中工业物联云平台包括租户管理单元、企业管理单元、设备管理单元、云平台配置单元与后台管理单元。本发明确保了用户在云平台的数据信息安全，实现云平台中多租户数据的安全隔离，适于推广使用。

Description

一种基于多租户的云平台租户管理方法及实现该方法的工业 物联云平台

技术领域

本发明涉及计算机通信技术领域，特别是一种基于多租户的云平台租户管理方法及实现该方法的工业物联云平台。

背景技术

随着云计算快速发展及商业模式发生的变化，“数据”作为生存的基石，种类繁多、应用复杂、频发的被泄露等呈现出数据安全问题日益显著，放到云平台的数据安全成为用户最为担心的问题。

用户担心的问题主要是以下两种：

一、担心云运营商或云运维人员非法查看、使用或泄露云端数据；

二、担心其他租户非授权访问自身数据，或担心租户使用模式下数据迁移或服务取消后，租户数据删除不彻底，引发关键数据泄露隐患。

目前国内外市场数据安全类产品种类繁多，主要是解决传统的数据安全问题，传统用户信息验证方法单一，无法确保用户在公有云平台的数据信息安全，云平台带来的多租户数据安全问题亟需应对。

发明内容

针对上述现有技术存在的问题，本发明提供一种基于多租户的云平台租户管理方法及实现该方法的工业物联云平台。

一种基于多租户的云平台租户管理方法，包括以下步骤：

1)接收用户首次登入云平台时发起注册接入请求消息，为用户分配用户账号及对应的固定密码，并将生成的用户账号及对应的固定密码进行存储；

2)经过步骤1)的用户登录云平台，获取用户账号及固定密码，进行第一次鉴权操作；

3)对通过步骤2)中第一次鉴权操作的用户生成动态密码，获取用户输入的动态密码，进行第二次鉴权操作；

4)为通过步骤3)中第二次鉴权的操作的用户划分特定的虚拟存储区域，并生成唯一对应的用户ID标识。

作为优选，所述的步骤1)及步骤4)中，固定密码或用户ID标识开始传输前，使用哈希加盐法对固定密码或用户ID标识进行加密。

作为优选，所述的步骤2)及步骤3)中，当进行第一次鉴权操作及第二次鉴权操作时，实时获取访问设备的cookie及IP地址并存储。

作为优选，所述的步骤4)中，划分特定的虚拟存储区域时，利用分布式存储软件提供的接口，将每个用户的数据信息存储在独立的逻辑存储区域中，每个用户数据模型的更改不会影响其他租户的数据。

作为优选，所述的步骤4)中，划分特定的虚拟存储区域时，每个特定的虚拟存储区域进行比特级的数据加解密，并对虚拟硬盘进行加密操作。

作为优选，所述的步骤4)中，划分特定的虚拟存储区域时，在数据服务层,通过PaaS平台数据服务提供的接口，提供数据授权访问和异常检测的服务。

一种实现上述方法的工业物联云平台，包括：

租户管理单元，用于处理用户注册账号的需求及用户登入云平台时的安全认证，所述的用户包括个人用户及企业用户；

企业管理单元，用于处理企业用户的内部管理需求，所述的内部管理需求包括员工权限设置及企业后台数据处理；

设备管理单元，用于设备登入云平台时的安全验证；

云平台配置单元，用于提供配置服务、系统日志服务、用户操作日志服务及用户中心接口服务；与

后台管理单元，用于系统管理人员查看平台运行情况，进行参数配置及修改。

作为优选，工业物联云平台还包括：

加密单元，用于数据加密及登录加密。

作为优选，所述的租户管理单元包括：

用户注册模块，用于处理用户注册账号的需求；

用户认证模块，用于用户登入云平台时的安全认证；及

用户存储隔离模块，用于为用户划分的特定的虚拟存储区域。

与现有技术相比，本发明具有以下有益效果：

1)通过租户管理方法，在传统用户信息注册和认证方法的基础上，增加多种认证方法完善身份验证系统，访问控制和多种安全保障措施，共同确保了用户在云平台的数据信息安全；

2)租户管理方法中，通过为用户划分独立的逻辑存储分区，来实现用户之间的数据存储隔离，提高用户私有数据的安全性，对于用户来说，系统对数据的隔离分散存储过程是自动完成的，对云平台上多租户数据在物理存储盘阵的卷级透明加解密，实现云平台中多租户数据的安全隔离，解决云服务提供商管理员非授权查看、篡改、删除租户敏感数据的问题；

3)本发明整合上下游数据资源，提供多级、分类的用户访问控制，针对多租户提供独立资源的安全隔离，为各级生产和管理决策者提供准确、可靠、及时、科学的依据，也为企业带来全面的业务价值与能力提升，帮助企业提高效率，及早发现潜在故障隐患，适于推广使用。

具体实施方式

下面结合具体实施方式对本发明作进一步的说明，本发明的实施方式包括但不限于下列实施例。

实施例

一种基于多租户的云平台租户管理方法，包括以下步骤：

1)接收用户首次登入云平台时发起注册接入请求消息，为用户分配用户账号及对应的固定密码，并将生成的用户账号及对应的固定密码进行存储；

步骤1)中，用户输入用户账号及对应的固定密码，系统获取到用户输入内容后，生成Token令牌环，后台通过数据库，进行Token认证，采用加密的手段，进行用户鉴权，故认证过程包括：Token生成、身份比较及权限获取3个过程；

2)经过步骤1)的用户登录云平台，获取用户账号及固定密码，进行第一次鉴权操作；

3)对通过步骤2)中第一次鉴权操作的用户生成动态密码，获取用户输入的动态密码，进行第二次鉴权操作；

基于用户登录的时间、事件和密钥三变量的子集算法生成的动态密码，每个动态密码对应唯一的密钥，在生成密钥的同时由后端服务器采用SQLservice数据库的方式存储起来，用户第二次身份鉴权过程时算法生成动态密码与服务器分别对应同样的密钥，同样的随机参数和同样的算法计算了认证的动态密码，从而确保密码的一致性和准确性，从而实现了用户的第二次鉴权；因为用户登录每次的时间不同，所以每次通过子集算法生成的一次性密码也不同，从而保证了每次密码的不可预测性和安全性，规避了因口令欺诈而导致的重大损失，解决了恶意入侵者或人为破坏，实现了用户身份的安全管理；

4)为通过步骤3)中第二次鉴权的操作的用户划分特定的虚拟存储区域，并生成唯一对应的用户ID标识；

步骤4)中，多租户数据存储采用隔离分散式存储，当用户申请数据存储空间时，调用运营商提供的存储软件API并根据用户的ID标识，为用户划分的特定的虚拟存储区域，每个用户的存储区域是相对独立、相对隔离的，用户在使用私有数据时，分布式存储软件会根据用户的ID标识，从物理层磁盘阵列中的私有空间中收集用户数据，集中为用户提供数据服务，对于用户来说，系统对数据的隔离分散存储过程是自动完成的，对云平台上多租户数据在物理存储盘阵的卷级透明加解密，实现云计算环境中多租户数据的安全隔离，解决云服务提供商管理员非授权查看、篡改、删除租户敏感数据的问题。

本实施例中，步骤1)及步骤4)中，固定密码或用户ID标识开始传输前，使用哈希加盐法对固定密码或用户ID标识进行加密。

本实施例中，步骤2)及步骤3)中，当进行第一次鉴权操作及第二次鉴权操作时，实时获取访问设备的cookie及IP地址并存储，多重手段防止恶意破解用户密码。

本实施例中，步骤4)中，划分特定的虚拟存储区域时，利用分布式存储软件提供的接口，将每个用户的数据信息存储在独立的逻辑存储区域中，每个用户数据模型的更改不会影响其他租户的数据。

本实施例中，步骤4)中，划分特定的虚拟存储区域时，每个特定的虚拟存储区域进行比特级的数据加解密，并对虚拟硬盘进行加密操作；

本实施例中，步骤4)中，划分特定的虚拟存储区域时，在数据服务层,通过PaaS平台数据服务提供的接口，提供数据授权访问和异常检测的服务。

一种实现上述方法的工业物联云平台，包括：

租户管理单元，用于处理用户注册账号的需求及用户登入云平台时的安全认证，用户包括个人用户及企业用户；

企业管理单元，用于处理企业用户的内部管理需求，内部管理需求包括员工权限设置及企业后台数据处理；

设备管理单元，用于设备登入云平台时的安全验证；

云平台配置单元，用于提供配置服务、系统日志服务、用户操作日志服务及用户中心接口服务；与

后台管理单元，用于系统管理人员查看平台运行情况，进行参数配置及修改。

本实施例中，设备管理单元是用于对接入云平台的设备的身份和技术上的安全验证，只有能符合云平台要求的设备才能有效的接入到平台之中，可防止设备身份的冒用；具体的，在感知层可以通过密钥分配、安全路由、入侵检测和加密技术等，由此保证设备验证的安全性。

本实施例中，工业物联云平台还包括：

加密单元，用于数据加密及登录加密；基于底层国家密码管理局算法认证的硬件密码机，通过虚拟化技术，完善用户满足数据安全方面的监管合规要求，完善云平台上业务数据的隐私性要求，同时通过加密云功能，用户可以对密钥进行安全可靠的管理，同时也满足使用多重加密算法对数据进行加解密运算。

本实施例中，租户管理单元包括：

用户注册模块，用于处理用户注册账号的需求；

用户认证模块，用于用户登入云平台时的安全认证；及

用户存储隔离模块，用于为用户划分的特定的虚拟存储区域。

以上所述仅为本发明的优选实施例，实施例用于理解发明的结构、功能和效果，并不用于限制本发明的保护范围。本发明可以有各种更改和变化，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种基于多租户的云平台租户管理方法，其特征在于，包括以下步骤：

1)接收用户首次登入云平台时发起注册接入请求消息，为用户分配用户账号及对应的固定密码，并将生成的用户账号及对应的固定密码进行存储；

2)经过步骤1)的用户登录云平台，获取用户账号及固定密码，进行第一次鉴权操作；

3)对通过步骤2)中第一次鉴权操作的用户生成动态密码，获取用户输入的动态密码，进行第二次鉴权操作；

4)为通过步骤3)中第二次鉴权的操作的用户划分特定的虚拟存储区域，并生成唯一对应的用户ID标识。

2.根据权利要求1所述的基于多租户的云平台租户管理方法，其特征在于，所述的步骤1)及步骤4)中，固定密码或用户ID标识开始传输前，使用哈希加盐法对固定密码或用户ID标识进行加密。

3.根据权利要求1所述的基于多租户的云平台租户管理方法，其特征在于，所述的步骤2)及步骤3)中，当进行第一次鉴权操作及第二次鉴权操作时，实时获取访问设备的cookie及IP地址并存储。

4.根据权利要求1所述的基于多租户的云平台租户管理方法，其特征在于，所述的步骤4)中，划分特定的虚拟存储区域时，利用分布式存储软件提供的接口，将每个用户的数据信息存储在独立的逻辑存储区域中，每个用户数据模型的更改不会影响其他租户的数据。

5.根据权利要求4所述的基于多租户的云平台租户管理方法，其特征在于，所述的步骤4)中，划分特定的虚拟存储区域时，每个特定的虚拟存储区域进行比特级的数据加解密，并对虚拟硬盘进行加密操作。

6.根据权利要求5所述的基于多租户的云平台租户管理方法，其特征在于，所述的步骤4)中，划分特定的虚拟存储区域时，在数据服务层,通过PaaS平台数据服务提供的接口，提供数据授权访问和异常检测的服务。

7.一种实现权利要求1至7任一所述的方法的工业物联云平台，其特征在于，包括：

租户管理单元，用于处理用户注册账号的需求及用户登入云平台时的安全认证，所述的用户包括个人用户及企业用户；

企业管理单元，用于处理企业用户的内部管理需求，所述的内部管理需求包括员工权限设置及企业后台数据处理；

设备管理单元，用于设备登入云平台时的安全验证；

云平台配置单元，用于提供配置服务、系统日志服务、用户操作日志服务及用户中心接口服务；与

后台管理单元，用于系统管理人员查看平台运行情况，进行参数配置及修改。

8.根据权利要求7所述的工业物联云平台，其特征在于，还包括：

加密单元，用于数据加密及登录加密。

9.根据权利要求7所述的工业物联云平台，其特征在于，所述的租户管理单元包括：

用户注册模块，用于处理用户注册账号的需求；

用户认证模块，用于用户登入云平台时的安全认证；及

用户存储隔离模块，用于为用户划分的特定的虚拟存储区域。