CN108243165A - 一种鉴权方法及装置 - Google Patents

Abstract

本发明实施例公开了一种鉴权方法及装置，所述方法包括：接收用户发送的鉴权请求；其中，所述鉴权请求中携带租户标识Project_ID和鉴权标识Endpoint_ID；判断所述Project_ID与所述Endpoint_ID是否存在关联关系；当所述Project_ID与所述Endpoint_ID存在关联关系时，查找所述Project_ID对应的鉴权策略；当查找到所述Project_ID对应的鉴权策略时，按照所述Project_ID对应的鉴权策略对所述鉴权请求进行鉴权。

Description

一种鉴权方法及装置

技术领域

本发明涉及数据通信技术领域，尤其涉及一种鉴权方法及装置。

背景技术

Keystone是OpenStack云平台中负责管理身份验证、服务规则和服务令牌功能的模块。Keystone中主要涉及到如下几个概念：用户User、租户Tenant、角色Role和令牌Token。其中，User是使用OpenStack服务的用户，只要是使用了Openstack服务的对象都可以称为用户。Tenant是OpenStack服务的租户，在一个租户中可以拥有很多个用户，这些用户可以根据权限的划分使用租户中的资源。Role是用户的角色，使得用户获得角色对应的操作权限。Token是一串比特值或者字符串，用来作为访问资源的记号，Token中含有可访问资源的范围和有效时间。

在现有的OpenStack中，首先用户向Keystone提供用于身份认证的信息，如：用户名和密码。Keystone会从数据库中读取数据对其身份进行认证；若认证通过，Keystone会向用户返回一个Token，此后用户所有的请求都会使用该Token进行身份验证。例如，用户向Keystone中的Nova申请虚拟机服务，Nova会将用户提供的Token发给Keystone进行验证，Keystone会根据Token判断用户是否拥有进行此项操作的权限；若验证通过，Nova会向其提供相对应的服务。

在现有的Keystone中，用户在通过了Keystone的身份认证后，用户会向OpenStack中的各个项目发起鉴权请求，Keystone针对用户发起的各个鉴权请求都会鉴权。具体地，Keystone采用“Policy.json”文件的方式进行鉴权。在Policy.json文件中，鉴权内容采用“Action：Rule”的格式进行定义；其中，“Action”表征请求操作的最小粒度；“Rule”表征权限的规则，例如，“Action：Rule”可以为“Create：Admin”。

在实现本发明的过程中，发明人发现现有技术中至少存在如下问题：

现有的鉴权方法中，Keystone采用“Policy.json”文件的方式进行鉴权，该鉴权文件对于全部用户都是通用的，鉴权方案不够灵活；并且该文件一旦被修改，全部用户的鉴权方案都会发生改变，存在较大的安全隐患。

发明内容

为解决上述技术问题，本发明实施例期望提供一种鉴权方法及装置，不仅能够提高鉴权方案的灵活性，而且安全程度更有保障。

本发明的技术方案是这样实现的：

本发明实施例提供了一种鉴权方法，所述方法包括：

接收用户发送的鉴权请求；其中，所述鉴权请求中携带租户标识Project_ID和鉴权标识Endpoint_ID；

判断所述Project_ID与所述Endpoint_ID是否存在关联关系；

当所述Project_ID与所述Endpoint_ID存在关联关系时，查找所述Project_ID对应的鉴权策略；

当查找到所述Project_ID对应的鉴权策略时，按照所述Project_ID对应的鉴权策略对所述鉴权请求进行鉴权。

在上述实施例中，所述判断所述Project_ID与所述Endpoint_ID是否存在关联关系，包括：

查找所述Project_ID对应的关联标识Endpoint_ID1；

当查找到所述Endpoint_ID1时，判断所述Endpoint_ID与所述Endpoint_ID1是否相同；

当所述Endpoint_ID与所述Endpoint_ID1相同时，判定所述Project_ID与所述Endpoint_ID存在关联关系。

在上述实施例中，所述查找所述Project_ID对应的关联标识Endpoint_ID1，包括：

查找所述Project_ID对应的鉴权策略标识Policy_ID；

当查找到所述Policy_ID时，查找所述Policy_ID对应的所述Endpoint_ID1。

在上述实施例中，所述查找所述Project_ID对应的鉴权策略，包括：

查找所述Project_ID对应的Policy_ID；

当查找到所述Policy_ID时，查找所述Policy_ID对应的鉴权策略。

在上述实施例中，在所述判断所述Project_ID与所述Endpoint_ID是否存在关联关系之前，所述方法还包括：

按照预先保存的鉴权策略对所述鉴权请求进行鉴权；

当对所述鉴权请求鉴权通过时，判断所述Project_ID与所述Endpoint_ID是否存在关联关系。

本发明实施例还提供了一种鉴权装置，所述装置包括：接收单元、判断单元、查找单元和第一鉴权单元；其中，

所述接收单元，用于接收用户发送的鉴权请求；其中，所述鉴权请求中携带Project_ID和Endpoint_ID；

所述判断单元，用于判断所述Project_ID与所述Endpoint_ID是否存在关联关系；

所述查找单元，用于当所述Project_ID与所述Endpoint_ID存在关联关系时，查找所述Project_ID对应的鉴权策略；

所述第一鉴权单元，用于按照所述Project_ID对应的鉴权策略对所述鉴权请求进行鉴权。

在上述实施例中，所述判断单元包括：查找子单元和判断子单元；其中，

所述查找子单元，用于查找所述Project_ID对应的关联标识Endpoint_ID1；

所述判断子单元，用于当查找到所述Endpoint_ID1时，判断所述Endpoint_ID与所述Endpoint_ID1是否相同；当所述Endpoint_ID与所述Endpoint_ID1相同时，判定所述Project_ID与所述Endpoint_ID存在关联关系。

在上述实施例中，所述查找子单元，具体用于查找所述Project_ID对应的鉴权策略标识Policy_ID；当查找到所述Policy_ID时，查找所述Policy_ID对应的所述Endpoint_ID1。

在上述实施例中，所述查找单元，具体用于查找所述Project_ID对应的Policy_ID；当查找到所述Policy_ID时，查找所述Policy_ID对应的鉴权策略。

在上述实施例中，所述装置还包括：

第二鉴权单元，用于按照预先保存的鉴权策略对所述鉴权请求进行鉴权；

所述判断单元，具体用于当对所述鉴权请求鉴权通过时，判断所述Project_ID与所述Endpoint_ID是否存在关联关系。

由此可见，在本发明实施例的技术方案中，接收用户发送的鉴权请求；其中，鉴权请求中携带Project_ID和Endpoint_ID，先判断Project_ID与Endpoint_ID是否存在关联关系，当Project_ID与Endpoint_ID存在关联关系时，再获取Project_ID对应的鉴权策略，最后按照Project_ID对应的鉴权策略对鉴权请求进行鉴权。也就是说，在本发明实施例的技术方案中，不同的Project_ID可以对应不同的鉴权策略，在接收到用户发送的鉴权请求之后，可以先获取Project_ID对应的鉴权策略，然后按照Project_ID对应的鉴权策略对鉴权请求进行鉴权。而在现有技术中，Keystone采用“Policy.json”文件的方式进行鉴权，该鉴权文件对于全部用户都是通用的。因此，和现有技术相比，本发明实施例提出鉴权方法与装置，不仅能够提高鉴权方案的灵活性，而且安全程度更有保障；并且，本发明实施例的技术方案实现简单方便、便于普及，适用范围更广。

附图说明

图1为本发明实施例中鉴权方法的实现流程示意图；

图2为本发明实施例中判断Project_ID与Endpoint_ID是否存在关联关系的实现方法流程示意图；

图3为本发明实施例中鉴权装置的第一组成结构示意图；

图4为本发明实施例中鉴权装置的第二组成结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。

图1为本发明实施例中鉴权方法的实现流程示意图。如图1所示，鉴权方法可以包括以下步骤：

步骤101、接收用户发送的鉴权请求；其中，鉴权请求中携带Project_ID和Endpoint_ID。

在本发明的具体实施例中，可以预先保存三个用于对鉴权请求进行鉴权的数据表，分别为：Policy数据表；Policy_Association数据表和Policy_Strategy数据表。具体地，Policy数据表的数据结构可以如下述表1所示：

表1

其中，在上述表1中：ID，用于唯一指定权限策略；Type，表示类型；Blob，用于指定鉴权的内容；Extra，用于额外信息的存储。

在本发明的具体实施例中，Policy_Association数据表的数据结构包括：ID、Policy_ID、Endpoint_ID、服务标识Service_ID和域标识Region_ID。其中，ID，Policy_Association数据表中的唯一标识；Policy_ID，用于关联鉴权策略；Endpoint_ID，用于关联鉴权请求的统一资源定位符URL；Service_ID，用于关联服务；Region_ID，用于指明所处的域。

在本发明的具体实施例中，Policy_Strategy数据表的数据结构包括：ID、Policy_ID、Project_ID和User_ID。其中，ID，Policy_Strategy数据表中的唯一标识；Policy_ID，用于关联鉴权策略；Project_ID,用于关联租户；User_ID，用于关联用户。

步骤102、判断Project_ID与Endpoint_ID是否存在关联关系；当Project_ID与Endpoint_ID存在关联关系，执行步骤103；当Project_ID与Endpoint_ID不存在关联关系时，执行步骤105。

在本发明的具体实施例中，在接收到用户发送的鉴权请求之后，可以先判断鉴权请求中携带的Project_ID与Endpoint_ID是否存在关联关系。图2为本发明实施例中判断Project_ID与Endpoint_ID是否存在关联关系的实现方法流程示意图。如图2所示，判断Project_ID与Endpoint_ID是否存在关联关系的方法可以包括以下步骤：

步骤102a、查找Project_ID对应的关联标识Endpoint_ID1；当查找到Endpoint_ID1时，执行步骤102b；当没有查找到Endpoint_ID1时，执行步骤102d。

在本发明的具体实施例中，在接收到用户发送的鉴权请求之后，可以通过Policy_Strategy数据表和Policy_Association数据表查找Project_ID对应的关联标识Endpoint_ID1；当查找到Endpoint_ID1时，执行步骤102b；当没有查找到Endpoint_ID1时，执行步骤102d。

具体地，在本发明的具体实施例中，在接收到用户发送的鉴权请求之后，可以先在Policy_Strategy数据表中查找Project_ID对应Policy_ID；当查找到Policy_ID时，在Policy_Association数据表中查找Policy_ID对应的Endpoint_ID1。

步骤102b、判断Endpoint_ID与Endpoint_ID1是否相同；当Endpoint_ID与Endpoint_ID1相同时，执行步骤102c；当Endpoint_ID与Endpoint_ID1不相同时，执行步骤102d。

在本发明的具体实施例中，在查找到Endpoint_ID1时，可以判断Endpoint_ID与Endpoint_ID1是否相同；当Endpoint_ID与Endpoint_ID1相同时，执行步骤102c；当Endpoint_ID与Endpoint_ID1不相同时，执行步骤102d。

步骤102c、判定Project_ID与Endpoint_ID存在关联关系。

在本发明的具体实施例中，当Endpoint_ID与Endpoint_ID1相同时，判定Project_ID与Endpoint_ID存在关联关系。

步骤102d、判定Project_ID与Endpoint_ID不存在关联关系。

在本发明的具体实施例中，当Endpoint_ID与Endpoint_ID1不相同时，判定Project_ID与Endpoint_ID不存在关联关系。

根据上述的分析可知，通过上述的步骤102a～102d，可以判断出Endpoint_ID与Endpoint_ID1是否存在关联关系，当Endpoint_ID与Endpoint_ID1存在关联关系时，可以获取Project_ID对应的鉴权策略；然后按照Project_ID对应的鉴权策略对所述鉴权请求进行鉴权。

步骤103、查找Project_ID对应的鉴权策略；当查询到Project_ID对应的鉴权策略时，执行步骤104；当没有查找到Project_ID对应的鉴权策略时，执行步骤105。

在本发明的具体实施例中，当Project_ID与Endpoint_ID存在关联关系时，可以通过Policy_Strategy数据表和Policy_Association数据表查找Project_ID对应的鉴权策略；当查找到Project_ID对应的鉴权策略时，执行步骤104；当没有查找到Project_ID对应的鉴权策略时，执行步骤105。

具体地，在本发明的具体实施例中，当Project_ID与Endpoint_ID存在关联关系时，可以先在Policy_Strategy数据表中查找Project_ID对应Policy_ID；当查找到Policy_ID时，在Policy数据表中查找Policy_ID对应的鉴权策略。

步骤104、按照Project_ID对应的鉴权策略对鉴权请求进行鉴权。

在本发明的具体实施例中，当查找到Project_ID对应的鉴权策略时，可以按照Project_ID对应的鉴权策略对鉴权请求进行鉴权。例如，假设查找到Project_ID对应的鉴权策略为鉴权策略1，可以按照鉴权策略1对鉴权请求进行鉴权；假设查找到Project_ID对应的鉴权策略为鉴权策略2，可以按照鉴权策略2对鉴权请求进行鉴权。

步骤105、向用户返回鉴权失败的消息。

在本发明的具体实施例中，当Project_ID与Endpoint_ID不存在关联关系时，可以向用户返回鉴权失败的消息；或者，当没有查找到Project_ID对应的鉴权策略时，向用户返回鉴权失败的消息。

较佳地，在本发明的具体实施例中，在判断Project_ID与Endpoint_ID是否存在关联关系之前，还可以按照预先保存的鉴权策略对鉴权请求进行鉴权。当对鉴权请求鉴权通过时，再判断Project_ID与Endpoint_ID是否存在关联关系。具体地，可以采用现有技术中的鉴权方法，按照预先保存的鉴权策略对鉴权请求进行鉴权。

较佳地，在本发明的具体实施例中，在按照预先保存的鉴权策略对鉴权请求进行鉴权之前，还可以先对用户的用户身份进行认证；当对用户身份认证通过时，再按照预先保存的鉴权策略对鉴权请求进行鉴权。具体地，可以才有现有技术中的认证方法，对用户的用户身份进行认证。

本发明实施例提出的鉴权方法，接收用户发送的鉴权请求；其中，鉴权请求中携带Project_ID和Endpoint_ID，先判断Project_ID与Endpoint_ID是否存在关联关系，当Project_ID与Endpoint_ID存在关联关系时，再获取Project_ID对应的鉴权策略，最后按照Project_ID对应的鉴权策略对鉴权请求进行鉴权。也就是说，在本发明实施例的技术方案中，不同的Project_ID可以对应不同的鉴权策略，在接收到用户发送的鉴权请求之后，可以先获取Project_ID对应的鉴权策略，然后按照Project_ID对应的鉴权策略对鉴权请求进行鉴权。而在现有技术中，Keystone采用“Policy.json”文件的方式进行鉴权，该鉴权文件对于全部用户都是通用的。因此，和现有技术相比，本发明实施例提出鉴权方法，不仅能够提高鉴权方案的灵活性，而且安全程度更有保障；并且，本发明实施例的技术方案实现简单方便、便于普及，适用范围更广。

图3为本发明实施例中鉴权装置的第一组成结构示意图。如图3所示，所述装置包括：接收单元301、判断单元302、查找单元303和第一鉴权单元304；其中，

所述接收单元301，用于接收用户发送的鉴权请求；其中，所述鉴权请求中携带Project_ID和Endpoint_ID；

所述判断单元302，用于判断所述Project_ID与所述Endpoint_ID是否存在关联关系；

所述查找单元303，用于当所述Project_ID与所述Endpoint_ID存在关联关系时，查找所述Project_ID对应的鉴权策略；

所述第一鉴权单元304，用于按照所述Project_ID对应的鉴权策略对所述鉴权请求进行鉴权。

图4为本发明实施例中鉴权装置的第二组成结构示意图。如图4所示，所述判断单元302包括：查找子单元3021和判断子单元3022；其中，

所述查找子单元3021，用于查找所述Project_ID对应的关联标识Endpoint_ID1；

所述判断子单元3022，用于当查找到所述Endpoint_ID1时，判断所述Endpoint_ID与所述Endpoint_ID1是否相同；当所述Endpoint_ID与所述Endpoint_ID1相同时，判定所述Project_ID与所述Endpoint_ID存在关联关系。

进一步的，所述查找子单元3021，具体用于查找所述Project_ID对应的鉴权策略标识Policy_ID；当查找到所述Policy_ID时，查找所述Policy_ID对应的所述Endpoint_ID1。

进一步的，所述查找单元303，具体用于查找所述Project_ID对应的Policy_ID；当查找到所述Policy_ID时，查找所述Policy_ID对应的鉴权策略。

进一步的，所述装置还包括：

第二鉴权单元305，用于按照预先保存的鉴权策略对所述鉴权请求进行鉴权；

所述判断单元302，具体用于当对所述鉴权请求鉴权通过时，判断所述Project_ID与所述Endpoint_ID是否存在关联关系。

在实际应用中，所述接收单元301、判断单元302、查找单元303、第一鉴权单元304和第二鉴权单元305均可由位于鉴权平台的中央处理器(CPU)、微处理器(MPU)、数字信号处理器(DSP)、或现场可编程门阵列(FPGA)等实现。

本发明实施例提出的鉴权装置，接收用户发送的鉴权请求；其中，鉴权请求中携带Project_ID和Endpoint_ID，先判断Project_ID与Endpoint_ID是否存在关联关系，当Project_ID与Endpoint_ID存在关联关系时，再获取Project_ID对应的鉴权策略，最后按照Project_ID对应的鉴权策略对鉴权请求进行鉴权。也就是说，在本发明实施例的技术方案中，不同的Project_ID可以对应不同的鉴权策略，在接收到用户发送的鉴权请求之后，可以先获取Project_ID对应的鉴权策略，然后按照Project_ID对应的鉴权策略对鉴权请求进行鉴权。而在现有技术中，Keystone采用“Policy.json”文件的方式进行鉴权，该鉴权文件对于全部用户都是通用的。因此，和现有技术相比，本发明实施例提出鉴权装置，不仅能够提高鉴权方案的灵活性，而且安全程度更有保障；并且，本发明实施例的技术方案实现简单方便、便于普及，适用范围更广。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用硬件实施例、软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器和光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims (10)

1.一种鉴权方法，其特征在于，包括：

接收用户发送的鉴权请求；其中，所述鉴权请求中携带租户标识Project_ID和鉴权标识Endpoint_ID；

判断所述Project_ID与所述Endpoint_ID是否存在关联关系；

当所述Project_ID与所述Endpoint_ID存在关联关系时，查找所述Project_ID对应的鉴权策略；

当查找到所述Project_ID对应的鉴权策略时，按照所述Project_ID对应的鉴权策略对所述鉴权请求进行鉴权。

2.根据权利要求1所述的方法，其特征在于，所述判断所述Project_ID与所述Endpoint_ID是否存在关联关系，包括：

查找所述Project_ID对应的关联标识Endpoint_ID1；

当查找到所述Endpoint_ID1时，判断所述Endpoint_ID与所述Endpoint_ID1是否相同；

当所述Endpoint_ID与所述Endpoint_ID1相同时，判定所述Project_ID与所述Endpoint_ID存在关联关系。

3.根据权利要求2所述的方法，其特征在于，所述查找所述Project_ID对应的关联标识Endpoint_ID1，包括：

查找所述Project_ID对应的鉴权策略标识Policy_ID；

当查找到所述Policy_ID时，查找所述Policy_ID对应的所述Endpoint_ID1。

4.根据权利要求1所述的方法，其特征在于，所述查找所述Project_ID对应的鉴权策略，包括：

查找所述Project_ID对应的Policy_ID；

当查找到所述Policy_ID时，查找所述Policy_ID对应的鉴权策略。

5.根据权利要求1所述的方法，其特征在于，在所述判断所述Project_ID与所述Endpoint_ID是否存在关联关系之前，所述方法还包括：

按照预先保存的鉴权策略对所述鉴权请求进行鉴权；

当对所述鉴权请求鉴权通过时，判断所述Project_ID与所述Endpoint_ID是否存在关联关系。

6.一种鉴权装置，其特征在于，所述装置包括：接收单元、判断单元、查找单元和第一鉴权单元；其中，

所述接收单元，用于接收用户发送的鉴权请求；其中，所述鉴权请求中携带Project_ID和Endpoint_ID；

所述判断单元，用于判断所述Project_ID与所述Endpoint_ID是否存在关联关系；

所述查找单元，用于当所述Project_ID与所述Endpoint_ID存在关联关系时，查找所述Project_ID对应的鉴权策略；

所述第一鉴权单元，用于按照所述Project_ID对应的鉴权策略对所述鉴权请求进行鉴权。

7.根据权利要求6所述的装置，其特征在于，所述判断单元包括：查找子单元和判断子单元；其中，

所述查找子单元，用于查找所述Project_ID对应的关联标识Endpoint_ID1；

所述判断子单元，用于当查找到所述Endpoint_ID1时，判断所述Endpoint_ID与所述Endpoint_ID1是否相同；当所述Endpoint_ID与所述Endpoint_ID1相同时，判定所述Project_ID与所述Endpoint_ID存在关联关系。

8.根据权利要求7所述的装置，其特征在于，所述查找子单元，具体用于查找所述Project_ID对应的鉴权策略标识Policy_ID；当查找到所述Policy_ID时，查找所述Policy_ID对应的所述Endpoint_ID1。

9.根据权利要求6所述的方法，其特征在于，所述查找单元，具体用于查找所述Project_ID对应的Policy_ID；当查找到所述Policy_ID时，查找所述Policy_ID对应的鉴权策略。

10.根据权利要求6所述的装置，所述装置还包括：

第二鉴权单元，用于按照预先保存的鉴权策略对所述鉴权请求进行鉴权；

所述判断单元，具体用于当对所述鉴权请求鉴权通过时，判断所述Project_ID与所述Endpoint_ID是否存在关联关系。