CN108768948A - 一种访问权限管理方法、服务器及计算机可读存储介质 - Google Patents

Abstract

本发明公开了一种访问权限管理方法、服务器及计算机可读存储介质，针对现有分布式文件系统权限策略设置过程麻烦，资源耗费大的问题，提供一种访问权限管理方法，在给各管控节点设备设置权限策略时，不再要求分布式文件系统的管理人员到各个节点设备上进行访问控制列表的设置操作，而只需要在配置平台上统一配置出对应的权限策略，将权限策略发送给策略提供设备，并将权限策略的存储位置发送给对应的管控节点设备即可，极大的降低了为分布式文件系统各节点设置权限管理策略的繁琐过程，降低了权限策略设置过程对资源的需求；本发明实施例还提供一种服务器及计算机刻度存储介质，服务器通过执行访问权限管理方法，提升了设置权限策略的方便程度。

Description

一种访问权限管理方法、服务器及计算机可读存储介质

技术领域

本发明涉及通信技术领域，更具体地说，涉及一种访问权限管理方法、服务器及计算机可读存储介质。

背景技术

随着移动通信以及移动互联网的快速发展，用户量以及网络信息量不断剧增，网络系统需要处理的业务数据量也急剧增加，因此各种大数据的框架组件在互联网业务产品中的应用越来越广泛，越来越多的重要业务数据都存储在诸如HDFS(Hadoop DistributedFile System，Hadoop分布式文件系统)等大数据存储组件中。大数据平台作为开放的统一数据处理中心，需要对各个其他互联网业务产品开放数据的访问权限，所以业务数据访问的权限控制越来越重要。

在当前的HDFS中，使用的是每一台节点设备原生的ACL(Access Control List，访问控制列表)作为权限策略，权限策略即节点设备对用户访问进行权限管理的依据。不过，当需要为分布式文件系统中的各节点设备设置权限策略时，需要单独在每一台节点设备上设置ACL，这使得分布式文件系统中权限管理依据的设置过程麻烦，需要消耗大量的人力、时间资源，不利于实现资源的优化配置。

发明内容

本发明要解决的技术问题在于：现有技术中分布式文件系统中的权限策略设置过程麻烦，资源耗费大；针对该技术问题，提供一种访问权限管理方法、服务器及计算机可读存储介质。

为解决上述技术问题，本发明提供一种访问权限管理方法，包括：

配置平台配置权限策略，权限策略表征管理对象对分布式文件系统中资源的访问权限；

配置平台将配置出的权限策略发送给策略提供设备，策略提供设备用于向管控节点设备提供权限策略，以供管控节点设备基于权限策略对管理对象的访问进行控制；

配置平台将策略提供设备存储权限策略的存储位置发送给管控节点设备。

可选的，策略提供设备为zookeeper服务节点，存储位置为zookeeper服务节点下的临时节点；配置平台将策略提供设备存储权限策略的存储位置发送给管控节点设备之后，还包括：

配置平台对权限策略进行更新；

配置平台将更新后的权限策略及权限策略的版本标识发送给zookeeper服务节点。

进一步地，本发明还提供了一种访问权限管理方法，包括：

策略提供设备接收并存储配置平台发送的权限策略，权限策略表征管理对象对分布式文件系统中资源的访问权限；

策略提供设备接收管控节点设备发送的策略获取请求，策略获取请求中包括权限策略在策略提供设备内的存储位置；

策略提供设备向管控节点设备发送权限策略，以供管控节点设备基于权限策略对管理对象的访问进行控制。

可选的，策略提供设备为zookeeper服务节点，策略提供设备接收并存储配置平台发送的权限策略包括：

zookeeper服务节点接收配置平台发送的权限策略；

zookeeper服务节点将权限策略存储在配置平台指定的临时节点中。

可选的，策略提供设备向管控节点设备发送权限策略之后，还包括：

zookeeper服务节点监测临时节点中的数据更新情况；

zookeeper服务节点在临时节点存在数据更新后向需要从临时节点获取权限策略的管控节点设备发送更新通知。

进一步地，本发明还提供了一种访问权限管理方法，包括：

管控节点设备从配置平台处获取权限策略的存储位置，权限策略表征管理对象对分布式文件系统中资源的访问权限；

管控节点设备根据获取的存储位置向策略提供设备发送策略获取请求，策略获取请求中包括权限策略在策略提供设备内的存储位置；

管控节点设备接收策略提供设备根据策略获取请求发送的权限策略；

管控节点设备基于本地存储的权限策略对管理对象的访问进行控制。

可选的，管控节点设备基于本地存储的权限策略对管理对象的访问进行控制包括：

管控节点设备获取管理对象的访问请求；

管控节点设备判断本地存储的权限策略中是否有与访问请求对应的权限指示；

若是，则管控节点设备根据权限指示确定是否接受管理对象的此次访问。

可选的，管控节点设备基于本地存储的权限策略对管理对象的访问进行控制，还包括：

若确定本地存储的权限策略中没有与访问请求对应权限指示，则管控节点设备根据原生访问控制列表对管理对象的此次访问进行控制。

可选的，策略提供设备为zookeeper服务节点，存储位置为zookeeper服务节点下的临时节点；管控节点设备接收策略提供设备根据策略获取请求发送的权限策略之后，还包括：

管控节点设备接收zookeeper服务节点发送的更新通知；

管控节点设备从临时节点中获取更新后的权限策略。

可选的，管控节点设备从临时节点中获取更新后的权限策略包括：

管控节点设备请求获取本地存储的数据访问锁；

在获取到数据访问锁后，管控节点设备将从临时节点获取的更新后的权限策略写入本地存储。

可选的，管控节点设备请求获取本地存储的数据访问锁之后，还包括：

若请求预设次数仍未获取到数据访问锁，或若请求预设时长仍未获取到数据访问锁，则管控节点设备在本地存储中设置失效标识，失效标识表征当前存储的权限策略已经失效。

可选的，管控节点设备基于本地存储的权限策略对管理对象的访问进行控制之前，还包括：管控节点设备确定本地存储中没有失效标识；

若管控节点设备确定本地存储中有失效标识，则管控节点设备基于本地存储的权限策略对管理对象的访问进行控制之前，还包括：

管控节点设备从临时节点获取新的权限策略；

管控节点设备采用新的权限策略覆盖本地存储中原有的权限策略。

进一步地，本发明还提供了一种服务器，包括处理器、存储器及通信总线；

通信总线用于实现处理器和存储器之间的连接通信；

处理器用于执行存储器中存储第一访问权限管理程序，以实现如上任一项的访问权限管理方法的步骤；或处理器用于执行存储器中存储第二访问权限管理程序，以实现如上任一项的访问权限管理方法的步骤；或，处理器用于执行存储器中存储第三访问权限管理程序，以实现如上任一项的访问权限管理方法的步骤。

进一步地，本发明还提供了一种计算机可读存储介质至少存储有第一访问权限管理程序、第二访问权限管理程序、第三访问权限管理程序中的至少一个，第一访问权限管理程序可被一个或者多个处理器执行，以实现如上任一项的访问权限管理方法的步骤；第二访问权限管理程序可被一个或者多个处理器执行，以实现如上任一项的访问权限管理方法的步骤；第三访问权限管理程序可被一个或者多个处理器执行，以实现如上任一项的访问权限管理方法的步骤。

有益效果

本发明提供一种访问权限管理方法、服务器及计算机可读存储介质，针对现有分布式文件系统中的权限策略设置过程麻烦，资源耗费大的问题，提供一种访问权限管理方法，由配置平台先配置出权限策略，然后将配置出的权限策略发送给策略提供设备，并将策略提供设备存储该权限策略的存储位置发送给管控节点设备，让管控节点设备可以根据该存储位置向策略提供设备发送策略获取请求，以便策略提供设备接收到策略获取请求后，向管控节点设备发送配置平台配置的权限策略。管控节点设备获取到权限策略后，可以基于获取到的权限策略对管理对象对资源的访问进行控制。为了给分布式文件系统中的各管控节点设备设置权限策略，本发明实施例提供的访问权限管理方法不再要求分布式文件系统的管理人员到各个节点设备上进行访问控制列表的设置操作，而只需要在配置平台上统一配置出对应的权限策略，将权限策略发送给策略提供设备，并将权限策略的存储位置发送给对应的管控节点设备即可，极大的降低了为分布式文件系统各节点设置权限管理策略的繁琐过程，降低了权限策略设置过程对人力、时间资源的需求；本发明实施例还提供一种服务器及计算机刻度存储介质，服务器通过执行访问权限管理方法，提升了设置权限策略的方便程度。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1为本发明第一实施例提供的访问权限管理系统的一种结构示意图；

图2为本发明第一实施例提供的访问权限管理方法的一种流程图；

图3为本发明第二实施例提供的对管控节点设备中权限策略进行更新的一种流程图；

图4为本发明第三实施例提供的访问权限管理系统的一种结构示意图；

图5为本发明第三实施例提供的配置平台为第一管控节点设备设置权限策略的一种流程图；

图6为本发明第三实施例提供的第一管控节点设备对管理对象的访问进行管理的一种流程图；

图7为本发明第三实施例提供的配置平台更新第一管控节点设备中权限策略的一种流程图；

图8为本发明第四实施例提供的一种服务器的硬件结构示意图。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

第一实施例：

为了解决现有技术中为分布式文件系统中各节点设备设置权限策略的过程过于麻烦，需要耗费大量资源的问题，本实施例提供一种访问权限管理方法，在介绍该访问权限管理方法之前，这里先对本实施例提供的访问权限管理系统进行介绍，请参见图1：

访问权限管理系统1包括配置平台11、至少一个策略提供设备12，以及至少一个管控节点设备13，配置平台11主要用于为各管控节点设备13配置权限策略，配置好的权限策略先发送给策略提供设备12。为了让管控节点设备13能够获取到配置平台11为其配置的权限策略，配置平台11会将策略提供设备12存储该权限策略的存储位置发送给管控节点设备13。策略提供设备12则用于接收、存储来自配置平台11的权限策略，并在管控节点设备13需要获取该权限策略的时候，将该权限策略发送给管控节点设备13。管控节点设备13可以根据从配置平台11处获取到的存储地址向策略提供设备12发送策略获取请求，从而获取策略提供设备12根据该策略获取请求发送的权限策略，随后根据该权限策略对管理对象的访问进行控制管理。

下面结合图2对本实施例提供的访问权限管理方法进行介绍，图2示出的是访问权限管理方法中配置平台11、策略提供设备12以及管控节点设备13之间的一种交互图：

S202：配置平台配置权限策略。

权限策略能够表征管理对象对分布式文件系统中资源的访问权限，本实施例所谓的管理对象通常是指分布式文件系统的访问用户，所以权限策略实际上就是管控节点设备13管理控制用户对分布式文件系统中资源的访问的依据。由于权限策略表征的是管理对象、资源以及权限三者之间的对应关系，所以，在本实施例的一种示例当中，可以将权限策略表示为“用户-资源-权限”三者间的对应关系。其中，用户为User或Group(用户组)，Group为用户所属的用户组。资源可以通过Path来表示，Path表征着相应的资源在HDFS中的存储位置。权限可以通过授权访问控制表和拒绝访问控制表中的至少一个来表示，在本实施例的一些实例当中，可以采用(授权访问控制表,拒绝访问控制表)二元组来表示权限。

应当理解的是，权限策略可以通过列表的形式存储，也可以通过其他形式存储，例如文本等。假定以列表形式存储权限策略，则可以在一个列表中仅存储某一个用户/用户组针对各资源的访问权限，例如，存储用户A针对资源a、b、c、d、e的访问权限；然后用户B对各资源的访问权限则采用另外的列表进行记录。也可以在一个列表中存储各用户/用户组对某一资源的访问权限从存储可以仅对一个用户或一个用户组对各种资源的访问权限，例如在权限列表中存储所有用户(如用户A、B、C、D)对资源a的访问权限，各用户针对资源b、c、d、e的访问权限，则存储在其他权限列表中。

S204：配置平台将配置出的权限策略发送给策略提供设备。

配置平台配制出权限策略之后，可以将配置出的权限策略发送给策略提供设备。在本实施例的一些示例当中，策略提供设备存储该权限策略的位置是由配置平台指定的，因此，配置平台向策略提供设备发送权限策略的时候，还会通知配置平台该权限策略的存储位置。当然，如果策略提供设备存储权限策略的位置是自己确定的，则策略提供设备也需要将该存储位置告知给配置平台，例如在接收并存储权限策略之后将权限策略的存储位置发送给配置平台，或者在从配置平台处接收权限策略之前，就把拟将存储权限策略的存储位置发送给配置平台。

可以理解的是，权限策略并不是固定不变的，其可能随着用户权限的变化而出现更新，因此，在本实施例的一种示例当中，配置平台在配置权限策略的时候会为该权限策略生成版本标识，当将该权限策略发送给策略提供设备的时，也会将该权限策略的版本标识一通发送给策略提供设备，策略提供设备获取到权限策略和权限策略的版本标识后，会将二者进行关联存储，便于后续对权限策略的更新进行管理。

S206：配置平台将策略提供设备存储权限策略的存储位置发送给管控节点设备。

由于管控节点设备需要从配置平台处获取信息后才能了解权限策略的存储位置，因此，在本实施例中，配置平台还会将策略提供设备存储权限策略的存储位置发送给管控节点设备。存储位置至少能够表征权限策略在一个策略提供设备内的存储位置，当一个访问权限管理系统当中包括不只一个策略提供设备的时候，存储位置还能够表征权限策略所在的策略提供设备。在一些示例当中，当管控节点设备启动后，会主动访问配置平台，此时，配置平台可以向该管控节点设备发送对应权限策略的存储位置。例如，管控节点设备启动后通过http(Hyper Text Transfer Protocol，超文本传输协议)协议访问配置平台的接口获取权限策略的存储位置。

可以理解的是，虽然配置平台通常是在向策略提供设备发送了权限策略之后才会将该权限策略存储权限策略的位置发送给管控节点设备，但在本实施例的一些示例中，配置平台发送权限策略和发送权限策略存储位置的时序可以交换。

S208：管控节点设备根据获取的存储位置向策略提供设备发送策略获取请求。

当管控节点设备从配置平台处获取到权限策略的存储位置之后，可以根据该存储位置进行访问获取权限策略。可选地，在本实施例的一种示例当中，管控节点设备可以根据获取到的存储位置向策略提供设备发送策略获取请求，以便让策略提供设备接收到策略获取请求后，将对应的权限策略发送给管控节点设备自己。在本实施例中策略获取请求中包括权限策略在策略提供设备内的存储位置。

S210：策略提供设备向管控节点设备发送权限策略。

策略提供设备接收到管控节点设备发送的权限策略之后，会根据策略获取请求提取对应的权限策略，并将提取出的权限策略发送给管控节点设备。

S212：管控节点设备基于本地存储的权限策略对管理对象的访问进行控制。

当管控节点设备从策略提供设备处接收到权限策略之后，可以将该权限策略存储到本地。在后续过程中，当有管理对象请求对某项资源进行访问时，管控节点设备基于本地存储的权限策略确定是否允许管理对象的访问。

可选地，管控节点设备可以获取管理对象的访问请求，该访问请求中可以包括该管理对象请求访问的资源，在本实施例的一些示例当中，该访问请求中还可以进一步包括管理对象请求对该资源的访问类型。通常访问类型包括读(Read)、写(Write)、执行(Execute)三种。管控节点设备可以以管理对象作为键值在本地存储的权限策略中查找该管理对象对应的权限详情。例如管理对象为用户，则管控节点设备以用户为键值，在本地存储的权限策略中查找该用户对其请求访问的资源的权限。

在本实施例的一些示例当中，由于配置平台没有在权限策略中未某一用户配置资源访问权限，因此，管控节点设备可以先判断本地存储的权限策略中是否有与当前访问请求对应的权限指示，如果管控节点设备确定权限策略中没有对当前访问用户的权限指示，或者是权限策略中有对该用户的权限指示，但是没有对其当前要访问的资源的权限指示，则管控节点设备可以依据原生的访问控制列表ACL确定如何控制此次访问。

本实施例提供的访问权限管理方法及系统，在为分布式文件系统中的管控节点设备设置权限策略的时候，可以直接在配置平台上进行权限策略的配置，在配置完成以后，将该权限策略推送到策略提供设备中，并将权限策略的存储位置发送给需要获取该权限策略的管控节点设备，让管控节点设备可以依据该存储位置到策略提供设备中获取到权限策略，从而基于该权限策略对来自管理对象的访问进行控制。本实施例提供的访问权限管理方案，摒弃了单独到每一管控节点设备上设置权限策略的方式，简化了权限策略配置过程，降低了权限策略设置过程对资源的需求。

第二实施例：

本实施例将在前述实施例的基础上继续对本发明提供的访问权限管理方法进行介绍，在第一实施例中主要介绍了通过配置平台为管控节点设备进行权限策略初次设置的过程，本实施将对管控节点设备中权限策略的更新过程进行阐述，请参见图3：

S302：配置平台对权限策略进行更新。

在本实施例中，配置平台对权限策略的更新包括修改原权限策略中某个或某些管理对象的权限进行修改，或者删除，也可以是新增一个或多个管理对象对资源的访问权限。

应当理解的是，为了便于配置平台、策略提供设备以及管控节点设备对权限策略进行管理，在本实施例的一些示例当中，配置平台在为管控节点设备配置权限策略，以及在后续对该权限策略进行更新时，都会为该权限策略生成版本标识，版本标识可以表征权限策略的新旧，在一种具体示例当中，权限策略的版本标识数字越大，则说明该权限策略越新。

S304：配置平台将更新后的权限策略发送给策略提供设备。

配置平台完成对权限策略的更新后，可以将权限策略发送给策略提供设备，让该策略提供设备将更新的权限策略存储到之前旧版权限策略的存储位置。这样，管控节点设备就无需重新获取新版权限策略的存储位置了。当然，如果配置平台为权限策略配置了版本标识，则配置平台可以将更新后的权限策略和版本标识一起发送给策略提供设备，策略提供设备可以将更新后的权限策略及其版本标识进行关联存储。

S306：策略提供设备在接收到更新后的权限策略后，向需要获取改权限策略的管控节点设备发送更新通知。

为了让管控节点设备及时获取到更新后的权限策略，从而让更新后的权限策略尽快生效、投入应用，在本实施例的一些示例当中，策略提供设备在接收到更新后的权限策略后，可以主动向需要获取该权限策略的管控节点设备发送更新通知，从而告知该管控节点设备，对应存储位置中存储的权限策略出现了更新。

当然，在本实施例的其他一些示例当中，策略提供设备可以不用主动向管控节点设备发送更新通知，在这种情况下，管控节点设备可以周期性向管控节点设备发送查询请求，向管控节点设备确定对应存储位置所存储的权限策略是否存在更新。不过，相较而言，前一种方式能够让管控节点设备更及时的了解到权限策略的更新信息，而且对访问权限管理系统中通信资源、处理资源的消耗更少。

S308：管控节点设备接收到更新通知后，从策略提供设备对应的存储位置获取更新后的权限策略。

管控节点设备根据策略提供设备发送的更新通知了解到权限策略有更新后，可以从对应的存储位置获取更新后的权限策略。例如，管控节点设备可以请求获取本地存储的数据访问锁，在获取到数据访问锁后，管控节点设备将从策略提供设备处获取的更新后的权限策略写入本地存储。数据访问锁是管控节点设备为了避免同时对本地存储的数据进行两种或两种以上类型的操作而实行的一种管理机制。对于权限策略来说，就是为了避免一边根据本地存储的权限策略对用户/用户组的访问进行控制，一边又对本地存储的该权限策略进行更新替换。

可以理解的是，当管控节点设备请求获取本地存储的数据访问锁时，权限策略可能正被读取以确定某一用户对某资源的访问权限，因此，此时管控节点设备无法获取到本地存储的数据访问锁，在这种情况下，管控节点设备通常是继续请求获取数据访问锁，直至获取到数据访问锁为止。不过为了避免管控节点设备长时间、连续多次请求数据访问锁，影响访问权限管理系统的健壮性，导致系统崩溃，在本实施例的一种示例当中，若管控节点设备请求预设次数仍未获取到数据访问锁，或若请求预设时长仍未获取到数据访问锁，则管控节点设备可以暂时在本地存储中设置失效标识，该失效标识可以表征当前存储的权限策略已经失效。

所以，在本实施例的一些示例当中，当管控节点设备需要基于本地存储的权限策略对管理对象的访问进行控制之前，还会先确定本地存储中是否存在失效标识，只有在本地存储中不存在失效标识的时候，管控节点设备才会基于该权限策略对管理对象的访问进行控制。如果管控节点设备确定本地存储中存在失效标识，则说明当前不能继续使用本地存储的权限策略了，需要重新从策略提供设备处获取新的权限策略。

可以理解的是，管控节点设备通常都是根据最新版的权限策略对管理对象的访问进行控制，因此，当管控节点设备从策略提供设备处获取到了新版的权限策略时，可以以覆盖的方式写入到本地存储中，替换旧版权限策略，从而街上存储空间。

可以理解的是，在访问权限控制系统不出现故障，例如掉电、崩溃等情况，则配置平台通常只需要对权限策略进行一次配置，随后可以在现有权限策略的基础上进行多次更新，换言之，并不是每次对管控节点设备中的权限策略进行更新之前要由配置平台进行一次权限策略的初始配置。

本实施例提供的权限策略的更新方案，配置平台可以对之前的权限策略进行更新，并在更新之后将新版的权限策略推送到策略提供设备中，策略提供设备接收到更新后的权限策略后，可以及时地通知需要改权限策略的管控节点设备，让该管控节点设备及时更新其本地存储的权限策略，这不仅使得权限策略更新过程简单，无需耗费大量的资源，有利于资源优化配置的实现，而且保证了权限策略更新的实时性。

第三实施例：

zookeeper是一种为分布式应用所设计的高可用、高性能且一致的开源协调服务。本实施例提供的访问权限管理系统中，可以采用zookeeper服务节点作为策略提供设备，下面以zookeeper服务节点作为策略提供设备对访问权限管理系统和访问权限管理方法进行介绍，请参见图4提供的访问权限管理系统的示意图：

在本实施例中，访问权限管理系统4中包括一个配置平台41和两个zookeeper服务节点组成的zookeeper集群，也即访问权限管理系统4中包括两个策略提供设备，分别是第一zookeeper服务节点42a和第二zookeeper服务节点42b。当然，在本实施例提供的其他访问权限管理系统当中，还可以包括更多的zookeeper服务节点。另外访问权限管理系统4还包括三个管控节点设备和数据库44，分别是第一管控节点设备43a、第二管控节点设备43b以及第三管控节点设备43c。

图5示出的为第一管控平台43a初始设置权限策略以及后续更新权限策略的流程图：

S502：配置平台为第一管控平台配置第一权限策略及版本标识。

如果配置平台41之前并没有为各管控节点设备配置过权限策略，则配置平台41可以先为各管控节点设备配置权限策略，假定配置平台41为第一管控节点设备43a、第二管控节点设备43b、第三管控节点设备43c配置的权限策略分别为第一权限策略、第二权限策略、第三权限策略。第一权限策略、第二权限策略以及第三权限策略均用于表征“用户-资源-权限”三者间的对应关系。当然，这三个权限策略中，所包含的内容不同，例如第一权限策略表征的是各用户对资源x1和y1的访问权限，而第二权限策略表征的是各用户对资源x2的访问权限，第三权限策略表征的是各用户对资源y2的访问权限。

应当理解的是，配置平台41并不一定需要同时为多个管控平台配置权限策略，这里只是为了示意当访问权限管理系统中包括多个管控节点设备时，配置平台41会分别为各管控节点设备配置权限策略。当配置平台41配置出三个权限策略之后，还可以为各权限策略分别生成版本标识，例如三个权限策略的版本标识分别为“Va1”、“Vb1”和“Vc1”。

在本实施例中，配置平台41生成权限策略及其版本标识后，可以将这些权限策略及其对应的版本标识存储到数据库44当中，这样，当配置平台41出现故障、或zookeeper集群中的各zookeeper服务节点出现故障之后，可以从数据库44中获取最新版本的权限策略。在本实施例的一些示例当中，数据库44仅存储最新版本的权限策略，也即当一个权限策略出现更新之后，数据库44将会把新版本的权限策略以替代旧版本权限策略的形式写入。

S504：配置平台将第一权限策略及其版本标识发送给第一zookeeper服务节点。

随后，配置平台41可以将权限策略及其对应的版本标识推送到对应的zookeeper服务节点中。在zookeeper服务节点中，包括三种类型的存储节点，分别是持久节点、临时节点以及时序节点，其中临时节点的数据更新情况可以被监听，因此，如果将权限策略存储在zookeeper服务节点的临时节点中，能够提升权限策略的更新实时性。所以，在本实施例中，zookeeper服务节点可以采用临时节点存储权限策略。本实施例中，属于各权限策略在zookeeper集群中的存储位置由配置平台41确定。例如配置平台41确定第一管控节点的第一权限策略存储在第一zookeeper服务节点42a的临时节点K中，第二管控节点的第二权限策略存储在第一zookeeper服务节点42a的临时节点M中，而第三管控节点的第三权限策略存储在第二zookeeper服务节点42b的临时节点N中。所以，配置平台41可以将第一权限策略及其版本标识，以及第二权限策略及其版本标识发送给第一zookeeper服务节点42a，并控制第一zookeeper服务节点42a将第一权限策略及其版本标识存储在临时节点K中，将第二权限策略及其版本标识存储在临时节点M中。配置平台41会将第三权限策略及其版本标识发送给第二zookeeper服务节点42b，并控制第二zookeeper服务节点42b将第三权限策略及其版本标识存储在其临时节点N中。

S506：第一管控平台获取配置平台发送的第一权限策略在zookeeper集群中的存储位置。

在本实施例中，各管控节点设备启动以后，可以通过http协议访问配置平台41的接口获取自己所需权限策略在zookeeper集群中的存储位置，以第一管控节点设备43a为例，其访问配置平台41以获取第一权限策略的存储位置，配置平台4会把表征第一zookeeper服务节点42a，以及第一zookeeper服务节点42a内临时节点K的信息反馈给第一管控设备43a，从而让第一管控设备43a了解到自己所需的第一权限策略存储第一zookeeper服务节点42a内的临时节点K中。

S508：第一管控平台根据获取的存储位置向第一zookeeper服务节点发送策略获取请求。

因此，第一管控节点设备43a可以向第一zookeeper服务节点42a发送策略获取请求，在该策略获取请求中包含第一权限策略在第一zookeeper服务节点42a内的存储位置，即临时节点K的信息。同样地，对于第二管控节点设备43b和第三管控节点设备43c，也可以分别向第一zookeeper服务节点42a和第二zookeeper服务节点42b发送策略获取请求，在策略获取请求中也对应包含第二权限策略在第一zookeeper服务节点42a内的存储位置、第三权限策略在第二zookeeper服务节点42c内的存储位置。

S510：第一zookeeper服务节点根据策略获取请求提取存储在临时节点K中第一权限策略发送给第一管控节点设备。

第一管控节点设备43a接收到第一权限策略之后，可以将其存储到本地存储中，当存在管理对象请求对某一path的资源进行某种操作时，第一管控节点设备43a可以基于第一权限策略确定是否允许该操作。例如图6示出的示例：

S602：第一管控节点设备获取访问请求。

在本实施例中，第一管控节点设备43a以用户作为key值(键值)查询第一权限策略，所以当获取到访问请求后，第一管控节点设备43a确定发送该访问请求的用户或者用户组。

S604：第一管控节点设备请求获取本地存储的数据访问锁。

由于第一管控节点设备43a读取本地存储的第一权限策略对用户的访问权限进行管理控制时，本地存储的第一权限策略正在被更新，因此，为了避免影响第一权限策略的更新过程，在本实施例中，当第一管控节点设备43a在读取本地存储的第一权限策略确定用户访问权限之前，需要先请求获取本地存储的数据访问锁。

S606：是否成功获取到本地存储的数据访问锁。

若判断结果为是，则进入S612，否则进入S608。

S608：判断获取访问锁的次数是否已达预设次数。

若判断结果结果为是，则说明第一管控节点设备43a已经连续多次请求获取本地存储的数据访问锁了，因此为了避免影响系统的稳定性，可以先暂停数据访问锁的获取，也即暂时不对该用户的访问请求进行控制，例如可以执行S610。若判断结果为否，则说明第一管控节点设备43a可以继续请求获取本地存储的数据访问锁，因此执行S604。

S610：向用户反馈失败信息。

第一管控节点设备43a向用户反馈失败信息，让其等待一段时间再请求访问对应资源。

S612：第一管控节点设备判断本地存储中是否存在失效标识。

若判断结果为是，则执行S614，否则进入S616。

S614：第一管控节点设备从第一zookeeper服务节点的临时节点K中获取更新后的第一权限策略(假定其版本标识为“Va2”)并以替代旧版权限策略(即版本标识为“Va1”的权限策略)的形式写入本地存储中。

当执行完S614之后，第一管控节点设备43a可以继续根据本地存储的第一权限策略对用户的访问进行控制管理，所以进入S616。

S616：第一管控节点设备判断第一权限策略中是否有与该用户对应的权限指示。

若判断结果为是，则说明第一权限策略中可能有对该用户本地需要访问的资源的权限指示，进入S618；否则说明在第一权限策略中没有任何关于该用户的权限指示，因此进入S622。

S618：第一管控节点设备判断在拒绝访问列表中是否有对应于用户此次访问的权限指示。

在第一权限策略中包括拒接访问列表与允许访问列表，如果第一管控节点设备确定在拒绝访问列表中有对应于用户此次访问的权限指示，则进入S624，若判断结果为否，则进入S620。

S620：第一管控节点设备判断在允许访问列表中是否有对应于用户此次访问的权限指示。

如果第一管控节点设备确定在拒绝访问列表中有对应于用户此次访问的权限指示，则进入S626，若判断结果为否，则进入S622。

S622：第一管控节点设备根据原生访问控制列表对该用户的此次访问进行控制。

如果在第一权限策略中没有该用户的任何权限指示，或者在第一权限策略中包括该用户的部分权限指示，但没有对是否允许用户对当前访问请求中所请求的资源进行访问的权限指示，则第一管控节点设备43a可以访问控制列表对该用户决定是否允许用户的此次访问。

S624：拒绝该用户的此次访问。

拒绝访问列表中所记录的用户与资源的对应关系表征不允许用户访问该资源，所以如果第一权限策略的拒绝访问列表中有用户此次访问请求对应的权限指示，则该用户没有权限访问其请求的资源，因此第一管控节点设备43a拒绝该用户的此次访问。

S626：允许该用户的此次访问。

允许访问列表中所记录的用户与资源的对应关系表征允许用户访问该资源，所以如果第一权限策略的允许访问列表中有用户此次访问请求对应的权限指示，则该用户可以访问其请求的资源，因此第一管控节点设备43a同意该用户的此次访问。

下面结合图7所示的流程图对本实施例中权限策略的更新过程进行简单介绍，这里继续以对第一权限策略进行更新为例，但应当明白的是，对第二权限策略以及第三权限策略的更新过程类似：

S702：配置平台对第一权限策略进行更新，并更新第一权限策略的版本标识。

假定这是配置平台41第一次对第一权限策略进行更新，则更新后的第一权限策略的版本标识为“Va2”。

S704：配置平台将更新后的第一权限策略及其版本标识发送给第一zookeeper服务节点。

在本实施例中，配置平台将第一权限策略及其版本标识发送给第一zookeeper服务节点42a时，会指示第一zookeeper服务节点42a将第一权限策略及其版本标识关联存储到临时节点K中，代替原有的版本标识位“Va1”的第一权限策略及其版本标识。

S706：第一zookeeper服务节点将接收到的第一权限策略及其版本标识关联存储在临时节点K中。

在本实施例中，第一zookeeper服务节点42a可以对其下各临时节点的数据更新情况进行监测，当第一zookeeper服务节点42a确定临时节点K中的数据存在更新时，可以向需要从临时节点K中获取权限策略的各管控节点设备发送更新通知。

S708：第一zookeeper服务节点向第一管控节点设备发送更新通知。

第一管控节点设备43a接收到来自第一zookeeper服务节点42a的更新通知后，可以了解到临时节点K中有了数据更新，因此第一权限策略可能出现了更新，因此需要做好更新第一权限策略的准备。

S710：第一管控节点设备请求获取本地存储的数据访问锁。

由于第一管控节点设备43a请求对本地存储的第一权限策略进行更新时，该第一权限策略可能正被读取以确定用户的访问权限，为了避免影响对用户访问权限的控制过程，在本实施例中，当第一管控节点设备43a接收到来自第一zookeeper服务节点42a的更新通知后，需要先请求获取本地存储的数据访问锁。

S712：第一管控节点设备是否成功获取到本地存储的数据访问锁。

若判断结果为是，则进入S718，否则进入S714。

S714：判断获取访问锁的次数是否已达预设次数。

若判断结果结果为是，则说明第一管控节点设备43a已经连续多次请求获取本地存储的数据访问锁了，因此为了避免影响系统的稳定性，可以先暂停数据访问锁的获取，也即暂时不对本地存储的第一权限策略进行更新，例如可以执行S716。若判断结果为否，则说明第一管控节点设备43a可以继续请求获取本地存储的数据访问锁，因此执行S710。

S716：在本地存储中设置失效标识。

失效标识表征本地存储的第一权限策略可能需要更新，因此在后续过程中如果第一管控节点设备43a继续读取本地存储的第一权限策略对用户的访问进行控制时，其会发现本地存储中有失效标识，并根据该失效标识对本地存储的第一权限策略进行更新。

S718：第一管控节点设备从临时节点K中获取更新后的第一权限策略并以替代旧版权限策略的形式写入本地存储中。

应当理解的是，虽然第一管控节点设备43a接收到了第一zookeeper服务节点42a发送的更新通知，但该更新通知实际上只能表征临时节点K中存储的数据有更新，但这并不一定意味着第一权限策略被更新。例如当临时节点K中存储有多个权限策略时，可能是其他权限策略的更新导致了临时节点K中数据变化，因此此时第一权限策略实际并未更新。所以，为了避免获取未更新的第一权限策略，在本实施例的一种示例当中，在第一管控节点设备43a从临时节点K中获取更新后的第一权限策略之前，还可以先判断临时节点K中第一权限策略的版本标识是否大于“Va1”，若是，则说明临时节点K中所存储的第一权限策略的版本更新，因此执行S718，否则结束流程。

本实施例提供的访问权限管理系统及访问权限管理方法，在为分布式文件系统中的管控节点设备设置权限策略的时候，可以直接在配置平台上进行权限策略的配置，在配置完成以后，将该权限策略推送到zookeeper服务节点中，并将权限策略的存储位置发送给需要获取该权限策略的管控节点设备，让管控节点设备可以依据该存储位置到对应的zookeeper服务节点的临时节点中获取到权限策略，从而基于该权限策略对来自管理对象的访问进行控制。本实施例提供的访问权限管理方案，摒弃了单独到每一管控节点设备上设置权限策略的方式，简化了权限策略配置过程，降低了权限策略设置过程对资源的需求。

更进一步的，本实施例提供的方案利用了zookeeper服务节点中临时节点的数据更新情况可以被监听的特性，因此，将更新后的权限策略存储到zookeeper服务节点的临时节点中，可以让zookeeper服务节点将数据更新情况及时通知给对应的管控节点设备，从而让管控节点设备更快速的获取到新的权限策略，并将权限策略应用到对用户的访问控制中。

第四实施例：

本实施例先提供一种计算机可读存储介质，该计算机可读存储介质至少存储有第一访问权限管理程序、第二访问权限管理程序、第三访问权限管理程序中的至少一个。其中，第一访问权限管理程序可被一个或者多个处理器执行，以实现前述各实施例所提供的访问权限管理方法配置平台侧的步骤；第二访问权限管理程序可被一个或者多个处理器执行，以实现前述各实施例所提供的访问权限管理方法策略提供设备侧的步骤；第三访问权限管理程序可被一个或者多个处理器执行，以实现前述各实施例所提供的访问权限管理方法管控节点设备侧的步骤。

另外，本实施例还提供一种服务器，请参见图8所示的服务器的硬件结构示意图：

该服务器80包括处理器81、存储器82及通信总线83，其中，存储器82可以为前述存储有第一访问权限管理程序、第二访问权限管理程序、第三访问权限管理程序中的至少一个的计算机可读存储介质。处理器81读取存储器82存储的第一访问权限管理程序，可以实现前述各实施例所提供的访问权限管理方法配置平台侧的步骤。处理器81读取存储器82存储的第二访问权限管理程序，可以实现前述各实施例所提供的访问权限管理方法策略提供设备侧的步骤。处理器81读取存储器82存储的第一访问权限管理程序，可以实现前述各实施例所提供的访问权限管理方法管控节点设备侧的步骤。

应当理解的是，尽管图8中没有示出，该服务器80还可以包括通信装置等器件。可以理解的是，实现前述实施例中配置平台和策略提供设备以及管控节点设备的服务器可以是不同的服务器，也可以是相同的服务器。另外本实施例所说的访问权限管理方法的具体细节请参见前述各实施例中的介绍，这里不再赘述。

本发明实施例提供的服务器及计算机刻度存储介质，极大的降低了为分布式文件系统各节点设置权限管理策略的繁琐过程，降低了权限策略设置过程对人力、时间资源的需求，提升了设置权限策略的方便程度。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本发明各个实施例所述的方法。

上面结合附图对本发明的实施例进行了描述，但是本发明并不局限于上述的具体实施方式，上述的具体实施方式仅仅是示意性的，而不是限制性的，本领域的普通技术人员在本发明的启示下，在不脱离本发明宗旨和权利要求所保护的范围情况下，还可做出很多形式，这些均属于本发明的保护之内。

Claims (14)

1.一种访问权限管理方法，其特征在于，所述访问权限管理方法包括：

配置平台配置权限策略，所述权限策略表征管理对象对分布式文件系统中资源的访问权限；

所述配置平台将配置出的所述权限策略发送给策略提供设备，所述策略提供设备用于向管控节点设备提供权限策略，以供所述管控节点设备基于所述权限策略对管理对象的访问进行控制；

所述配置平台将所述策略提供设备存储所述权限策略的存储位置发送给所述管控节点设备。

2.如权利要求1所述的访问权限管理方法，其特征在于，所述策略提供设备为zookeeper服务节点，所述存储位置为所述zookeeper服务节点下的临时节点；所述配置平台将所述策略提供设备存储所述权限策略的存储位置发送给所述管控节点设备之后，还包括：

所述配置平台对所述权限策略进行更新；

所述配置平台将更新后的权限策略及所述权限策略的版本标识发送给所述zookeeper服务节点。

3.一种访问权限管理方法，其特征在于，所述访问权限管理方法包括：

策略提供设备接收并存储配置平台发送的权限策略，所述权限策略表征管理对象对分布式文件系统中资源的访问权限；

所述策略提供设备接收管控节点设备发送的策略获取请求，所述策略获取请求中包括所述权限策略在所述策略提供设备内的存储位置；

所述策略提供设备向所述管控节点设备发送所述权限策略，以供所述管控节点设备基于所述权限策略对管理对象的访问进行控制。

4.如权利要求3所述的访问权限管理方法，其特征在于，所述策略提供设备为zookeeper服务节点，所述策略提供设备接收并存储配置平台发送的权限策略包括：

所述zookeeper服务节点接收所述配置平台发送的权限策略；

所述zookeeper服务节点将所述权限策略存储在所述配置平台指定的临时节点中。

5.如权利要求4所述的访问权限管理方法，其特征在于，所述策略提供设备向所述管控节点设备发送所述权限策略之后，还包括：

所述zookeeper服务节点监测所述临时节点中的数据更新情况；

所述zookeeper服务节点在所述临时节点存在数据更新后向需要从所述临时节点获取权限策略的管控节点设备发送更新通知。

6.一种访问权限管理方法，其特征在于，所述访问权限管理方法包括：

管控节点设备从配置平台处获取权限策略的存储位置，所述权限策略表征管理对象对分布式文件系统中资源的访问权限；

所述管控节点设备根据获取的所述存储位置向策略提供设备发送策略获取请求，所述策略获取请求中包括所述权限策略在所述策略提供设备内的存储位置；

所述管控节点设备接收所述策略提供设备根据所述策略获取请求发送的权限策略；

所述管控节点设备基于本地存储的所述权限策略对管理对象的访问进行控制。

7.如权利要求6所述的访问权限管理方法，其特征在于，所述管控节点设备基于本地存储的所述权限策略对管理对象的访问进行控制包括：

所述管控节点设备获取管理对象的访问请求；

所述管控节点设备判断本地存储的所述权限策略中是否有与所述访问请求对应的权限指示；

若是，则所述管控节点设备根据所述权限指示确定是否接受所述管理对象的此次访问。

8.如权利要求7所述的访问权限管理方法，其特征在于，所述管控节点设备基于本地存储的所述权限策略对管理对象的访问进行控制，还包括：

若确定本地存储的所述权限策略中没有与所述访问请求对应权限指示，则所述管控节点设备根据原生访问控制列表对所述管理对象的此次访问进行控制。

9.如权利要求6-8任一项所述的访问权限管理方法，其特征在于，所述策略提供设备为zookeeper服务节点，所述存储位置为所述zookeeper服务节点下的临时节点；所述管控节点设备接收所述策略提供设备根据所述策略获取请求发送的权限策略之后，还包括：

所述管控节点设备接收所述zookeeper服务节点发送的更新通知；

所述管控节点设备从所述临时节点中获取更新后的权限策略。

10.如权利要求9所述的访问权限管理方法，其特征在于，所述管控节点设备从所述临时节点中获取更新后的权限策略包括：

所述管控节点设备请求获取本地存储的数据访问锁；

在获取到所述数据访问锁后，所述管控节点设备将从所述临时节点获取的更新后的权限策略写入所述本地存储。

11.如权利要求10所述的访问权限管理方法，其特征在于，所述管控节点设备请求获取本地存储的数据访问锁之后，还包括：

若请求预设次数仍未获取到所述数据访问锁，或若请求预设时长仍未获取到所述数据访问锁，则所述管控节点设备在本地存储中设置失效标识，所述失效标识表征当前存储的权限策略已经失效。

12.如权利要求11所述的访问权限管理方法，其特征在于，所述管控节点设备基于本地存储的所述权限策略对管理对象的访问进行控制之前，还包括：所述管控节点设备确定本地存储中没有失效标识；

若所述管控节点设备确定本地存储中有失效标识，则所述所述管控节点设备基于本地存储的所述权限策略对管理对象的访问进行控制之前，还包括：

所述管控节点设备从所述临时节点获取新的权限策略；

所述管控节点设备采用新的权限策略覆盖本地存储中原有的权限策略。

13.一种服务器，其特征在于，所述服务器包括处理器、存储器及通信总线；

所述通信总线用于实现处理器和存储器之间的连接通信；

所述处理器用于执行所述存储器中存储第一访问权限管理程序，以实现如权利要求1或2所述的访问权限管理方法的步骤；或所述处理器用于执行所述存储器中存储第二访问权限管理程序，以实现如权利要求3-5任一项所述的访问权限管理方法的步骤；或，所述处理器用于执行所述存储器中存储第三访问权限管理程序，以实现如权利要求6-12任一项所述的访问权限管理方法的步骤。

14.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质至少存储有第一访问权限管理程序、第二访问权限管理程序、第三访问权限管理程序中的至少一个，所述第一访问权限管理程序可被一个或者多个处理器执行，以实现如权利要求1或2所述的访问权限管理方法的步骤；所述第二访问权限管理程序可被一个或者多个处理器执行，以实现如权利要求3至5任一项所述的访问权限管理方法的步骤；所述第三访问权限管理程序可被一个或者多个处理器执行，以实现如权利要求6至12任一项所述的访问权限管理方法的步骤。