CN108780391A - 网络服务组件访问上下文数据的方法、装置及系统 - Google Patents

Abstract

本发明提供了一种网络服务组件访问用户上下文数据的方法、装置及系统，能够避免用户上下文数据错误访问。该方法包括：用户数据管理服务组件接收服务组件实例发送的上下文数据访问请求，之后，向服务注册中心发送请求获取该服务组件实例对应的服务组件的上下文访问策略，服务注册中心向数据管理组件发送该服务组件的上下文访问策略，数据管理服务组件根据上下文数据访问请求及上下文访问策略进行上下文数据的访问操作。本发明通过数据管理服务组件保证网络中各服务组件按照确定的上下文数据访问策略进行上下文数据的访问操作，避免服务组件对用户的上下文数据执行不允许的操作，保证了用户上下文数据的安全性。

Description

网络服务组件访问上下文数据的方法、装置及系统 技术领域

本发明涉及通信领域，尤其涉及的是一种网络服务组件访问上下文数据的方法、装置及系统。

背景技术

目前，在演进分组核心网络(Evolved Packet Core，EPC)中采用了网元(Network Element，NE)的架构方式，该架构包含的典型网元如移动性管理实体(Mobility Management Entity，MME)，服务网关(Serving Gateway，S-GW)，分组数据网络网关(Packet Data Network Gateway，P-GW)等。当前EPC的网络功能是通过网元中固化的服务特性和处理逻辑以及网元之间的流程消息来实现的，例如实现移动性管理，承载管理、位置管理等。举例来说，用户的接入服务需要MME、S-GW、P-GW以及网络中其他网元如策略与计费规则功能单元(Policy and Charging Rules Function，PCRF)、归属用户服务器(Home Subscriber Server，HSS)等共同协作并且通过标准化定义的业务流程逻辑来完成的。因此当前EPC所能提供的网络功能服务的特性是固化的。

而随着商业模式的不断拓展以及技术的不断发展，用户的业务需求也会随之发生变化。用户业务会需求更多的服务模式和更优的服务特性，例如超低时延通信的需求，高可靠性通信的需求等等，并由此带来对新的网络功能的需求。而EPC网络所提供的网络功能服务是固化并分散在各个网元中的，因此如果需要引入新的网络功能来支持用户的需求，则EPC网络需要重新定义和设计网元的处理逻辑和流程交互。这样的重新设计对于设备商来说意味着开发周期长，成本高，对于网络运营商来说意味着不能及时发布新的网络服务，提供新业务给用户。

因此，传统EPC的网元架构在支持网络服务的扩展方面存在困难，很难根据不断变化的用户需求进行网络功能服务的新增、更新或删除等动态性调 整，难以满足用户新型用例的需求。整个架构的扩展性和灵活性受到很大的限制。这样在采用该网络架构为用户提供网络功能服务时就不能快速的响应用户的请求，并为用户提供相应的服务，灵活度较差。

为快速支持新业务的需求，未来网络可以基于虚拟化等技术在一个共同的网络基础设施上切分出不同的专有网络(也可以称为网络切片(Network Slice)，网络架构图如图1所示，由某个专属网络实现某个或某些业务需要的网络服务。在专属网络中可采用服务化架构(Service oriented architecture)，原来网络架构中的网元(例如MME，S-GW)中的功能按照功能的类别拆分为不同的服务组件，例如：认证和安全功能、承载管理功能、移动管理功能、接入控制功能等，这些功能由对应的服务组件实现，每个服务组件通过定义的服务接口对其他服务组件或功能提供服务。通过服务管理框架的服务注册和实例化等功能，服务组件可以根据网络支持的网络服务按需配置到网络中，其中网络不需要的功能可以不配置在网络。在网络需要支持新的服务或者对现有的服务进行升级时，不需要对网络的所有功能或服务停止运行，只需要更新或配置新业务相关的服务组件就可以实现。

因此，网络引入服务化架构可以实现网络服务的灵活化、轻量化，以及对业务的快速支持，解决现有网络的复杂，厚重和在新业务支持方面的低效率问题。

在网络引入服务化架构后，每个服务组件完成其支持的网络功能时需要访问网络用户(subscriber)的上下文数据(context data)，并对上下文执行有关操作，包括：创建(create)，读取(read)，更新(update)，删除(Delete)。为了实现不同服务组件之间的解耦，每个服务组件的网络功能和访问的数据都需要实现和其他服务组件的解耦。例如：认证和安全服务组件需要访问和更新用户的安全上下文；承载管理服务组件需要访问和更新用户的承载上下文。

由于网络中存在多个服务组件，在网络服务组件管理中需要实现服务组件正确的访问上下文：即只访问该服务组件允许的用户上下文、执行其许可的对上下文数据的操作。而在现有技术中，会存在对用户的上下文数据的越 权访问或攻击，出现用户上下文数据错误或不一致等问题。

发明内容

本发明提供了一种网络服务组件访问用户上下文数据的方法、装置及系统，能够避免用户上下文数据错误访问，保证用户上下文数据的安全性。

本发明实施例第一方面提供了一种网络服务组件访问上下文数据的方法，该方法包括：用户数据管理服务组件(User data management，UDM)接收服务组件实例发送的上下文数据访问请求，之后，向服务注册中心发送获取该服务组件实例对应的服务组件的上下文访问策略的请求，之后，服务注册中心向UDM发送该服务组件实例对应的服务组件的上下文访问策略，数据管理服务组件根据上下文数据访问请求及上下文访问策略进行上下文数据的访问操作。

因此，本发明实施例通过UDM按照网络中的各服务组件的上下文数据访问策略集中处理各服务组件的上下文数据访问请求，保证了网络中服务组件按照确定的所述服务组件的上下文数据访问策略进行上下文数据的访问操作，避免服务组件对用户的上下文数据执行不允许的操作，保证了用户上下文数据的安全性。

结合第一方面，在第一方面的第一种可能的实现方式中，所述上下文数据访问请求中包括服务组件实例请求访问的目标数据标识及请求访问的目标操作，其中，目标操作为需对所述目标数据标识指示的上下文数据所执行的操作；上述数据管理服务组件根据上下文数据访问请求及上下文访问策略进行上下文数据的访问操作包括：数据管理服务组件根据上下文访问策略判断是否允许对目标数据标识指示的上下文数据执行目标操作，若允许，则对所述目标数据标识所指示的上下文数据执行目标操作。

如此，本发明实施例通过UDM集中管理服务组件的上下文数据访问请求，只有在服务组件实例的访问请求符合该服务组件的上下文访问策略时，才接受该服务实例的上下文数据访问请求，才执行访问请求中的相应的操作，因此，能够避免服务组件对用户的上下文数据执行不允许的操作，保证了用户上下文数据的安全性。

结合第一方面的第一种可能的实现方式，在第一方面的第二种可能的实现方式中，通过对用户上下文数据进行归类，分成不同的数据类型，每种数据类型通过唯一的数据类型标识进行标识。上述目标数据标识为目标数据类型标识，或目标上下文数据标识。在一种可能的实现方式中，目标数据标识仅包括目标数据类型标识，则在此种情况下，访问请求是对该目标数据类型中的所有上下文数据执行所述目标操作；在另一种可能的实现方式中，目标数据标识仅包括上下文数据标识，则此种情况下，访问请求是对所述目标上下文数据标识所指示的上下文数据执行所述目标操作。在另一种可能的实现方式中，目标数据标识包括目标数据类型标识以及上下文数据标识，则此种情况下，访问请求是对所述目标上下文数据标识所指示的上下文数据执行所述目标操作。

因此，本发明实施例通过对用户上下文数据的分类，可以有助于进一步定义所述服务组件可以访问的上下文数据，实现对数据访问的精确管理。

结合第一方面的第二种可能的实现方式，在第一方面的第三种可能的实现方式中，分别通过以下方式确定请求访问的数据的数据类型，即目标数据类型：若目标数据标识为目标数据类型标识，则目标数据类型即为目标数据类型标识指示的类型；若目标数据标识为目标上下文数据标识，则目标数据类型为根据目标上下文数据标识获得，具体是通过上下文数据标识与数据类型标识之间的映射关系获得。

数据管理服务组件根据上下文访问策略判断是否允许对目标数据标识指示的上下文数据执行操作包括：数据管理服务组件判断目标数据类型是否存在于上下文访问策略的数据类型中，若存在，则判断目标操作是否存在于目标数据类型在上下文访问策略中对应的操作类型集合中，若存在，则数据管理服务组件确定允许对目标数据标识指示的上下文数据执行目标操作，若不存在，则数据管理服务组件确定不允许对目标数据标识指示的上下文数据执行目标操作。

上下文访问策略维护了服务组件允许访问的上下文数据类型与对每种数据类型允许的操作之间的映射关系，通过判断上下文数据访问请求中的目标数据类型与目标操作是否符合该映射关系来确定是否接受该服务实例的上下文 数据访问请求，若符合，才执行访问请求中的相应的操作，因此，能够避免服务组件对用户的上下文数据执行不允许的操作，保证了用户上下文数据的安全性。

结合第一方面的第一种可能的实现方式至第一方面的第三种可能的实现方式，在第一方面的第四种可能的实现方式中，该方法还包括：若数据管理服务组件不允许对目标数据标识指示的上下文数据执行目标操作，则向服务组件实例发送拒绝消息。可选的，该拒绝消息中携带拒绝理由。

第二方面，本发明实施例提供了一种网络服务组件访问上下文数据的方法，包括：服务注册中心接收数据管理服务组件UDM发送的上下文访问策略获取请求，上下文访问策略获取请求中包含服务组件标识，服务组件标识为服务组件实例对应的服务组件的标识，服务组件实例为数据管理服务组件接收的上下文数据访问请求的发送方；服务注册中心将服务组件的标识对应的上下文访问策略发送给数据管理服务组件，以使得数据管理服务组件根据上下文数据访问请求及上下文访问策略进行上下文数据的访问操作。

结合第二方面，在第二方面的第一种可能的实现方式中，该方法还包括：服务部署中心在部署服务组件时，服务注册中心接收服务部署中心部署该服务组件时的服务组件信息，服务组件信息中包括服务组件的上下文访问策略；服务注册中心将该服务组件信息保存。

本发明实施例在部署和注册所述网络服务组件时将服务组件的用户上下文访问策略信息保存在服务注册中心，增强网络服务管理框架在服务组件数据访问方面的管理功能。

结合第二方面或第二方面的第一种可能的实现方式，在第二方面的第二种可能的实现方式中，上下文访问策略包括数据类型与操作之间的映射关系，数据类型为允许服务组件标识对应的服务组件访问的上下文数据类型，操作为允许对数据类型执行的操作。

第三方面，本发明实施例提供了一种网络服务管理系统，该系统包括：

服务组件实例，用于向数据管理服务组件UDM发送上下文数据访问请求；数据管理服务组件，用于在接收服务组件实例发送的上下文数据访问请求之 后，向服务注册中心发送获取上下文访问策略的请求，上下文访问策略为服务组件实例对应的服务组件的上下文访问策略；服务注册中心，用于接收数据管理服务组件发送的上下文访问策略获取请求，将服务组件实例对应的服务组件的上下文访问策略发送给数据管理服务组件；数据管理服务组件，还用于根据上下文数据访问请求及上下文访问策略进行上下文数据的访问操作。

结合第三方面，该系统中的数据管理服务组件还用于执行第一方面网络服务组件访问上下文数据的方法中的全部或部分步骤，该系统中的服务注册中心还用于执行第二方面的网络服务组件访问上下文数据的方法中的全部或部分步骤。

第四方面，本发明实施例提供了一种数据管理服务装置，该装置包括：

接收单元，用于接收服务组件实例发送的上下文数据访问请求；发送单元，用于在接收到上下文数据访问请求后，向服务注册中心发送获取上下文访问策略的请求，上下文访问策略为服务组件实例对应的服务组件的上下文访问策略；接收单元，还用于接收服务注册中心发送的上下文访问策略；处理单元，用于根据上下文数据访问请求及上下文访问策略进行上下文数据的访问操作。

结合第四方面，在第四方面的第一种可能的实现方式中，接收单元接收的上下文数据访问请求中包括目标数据标识及目标操作，目标操作为对目标数据标识指示的上下文数据所执行的操作；处理单元，具体用于根据上下文访问策略判断是否允许对目标数据标识指示的上下文数据执行目标操作，若允许，则对目标数据标识所指示的上下文数据执行目标操作。

结合第四方面的第一种可能的实现方式，在第四方面的第二种可能的实现方式中，接收单元接收的上下文数据访问请求中的目标数据标识包括目标数据类型标识和目标上下文数据标识中的至少一个。

结合第四方面的第二种可能的实现方式，在第四方面的第三种可能的实现方式中，处理单元，具体用于判断目标数据类型是否存在于上下文访问策略的数据类型中，若存在，则判断目标操作是否存在于目标数据类型在上下文访问策略中对应的操作类型集合中，若存在，则数据管理服务组件确定允许对目标数据标识指示的上下文数据执行目标操作，则对目标数据标识所指示的上下文 数据执行目标操作。其中，目标数据类型满足以下之一：目标数据类型为通过目标数据类型标识指示的类型；或，目标数据类型为根据目标上下文数据标识获得。

结合第四方面的第一种可能的实现方式至第四方面的第三种可能的实现方式，在第四方面的第四种可能的实现方式中，发送单元，还用于当处理单元确定不允许对目标数据标识指示的上下文数据执行目标操作时，向服务组件实例发送拒绝消息。

第五方面，本发明实施例提供了一种服务注册装置，包括：

接收单元，用于接收数据管理服务组件UDM发送的上下文访问策略获取请求，上下文访问策略获取请求中包含服务组件标识，服务组件标识为服务组件实例对应的服务组件的标识，服务组件实例为数据管理服务组件接收的上下文数据访问请求的发送方；发送单元，用于将服务组件的标识对应的上下文访问策略发送给数据管理服务组件，以使得数据管理服务组件根据上下文数据访问请求及上下文访问策略进行上下文数据的访问操作。

结合第五方面，在第五方面的第一种可能的实现方式中，接收单元，还用于接收服务部署中心部署服务组件标识对应的服务组件时的服务组件信息，服务组件信息中包括服务组件的上下文访问策略；装置还包括：存储单元，用于保存服务组件信息。

结合第五方面或第五方面的第一种可能的实现方式，在第五方面的第二种可能的实现方式中，发送单元向服务管理组件发送的上下文访问策略包括数据类型与操作之间的映射关系，数据类型为允许服务组件标识对应的服务组件访问的上下文数据类型，操作为允许对数据类型执行的操作。

第六方面，本发明实施例提供了一种主机，该主机包括：存储器和处理器。存储器用于存储多个虚拟机模块，各服务组件运行在各虚拟机模块对应的虚拟环境中；存储器还用于存储服务组件的上下文访问策略；处理器用于运行服务组件实例对应的应用程序，具体用于执行上述网络服务管理系统中的各功能模块(例如：服务组件实例、数据管理服务组件、服务注册中心等功能模块)执行的功能。

第七方面，本发明实施例还提供一种计算机存储介质，该介质存储有程序，该程序被执行时能够实现上述本发明前述方法提供的任意一种实现方式的部分或者全部步骤。

从以上技术方案可以看出，本发明实施例的方案具有如下有益效果：

本发明实施例的网络服务管理系统包括服务组件实例、数据管理服务组件(UDM)以及服务注册中心，通过数据管理服务组件接收服务组件实例发送的上下文数据访问请求，数据管理服务组件在接收到上下文数据访问请求后，向服务注册中心发送获取该服务组件实例对应的服务组件的上下文访问策略的请求，服务注册中心向数据管理服务组件发送上下文访问策略，数据管理服务组件再根据上下文访问策略进行上下文数据的访问操作。因此，本实施例是通过UDM组件按照服务组件的上下文数据访问策略集中处理服务组件的访问请求，保证了网络中的服务组件实例按照确定的服务组件的用户上下文数据访问策略进行上下文数据的访问操作，避免服务组件对用户的上下文数据执行不允许的操作，保证了用户上下文数据的安全性。

附图说明

图1为本发明实施例应用的网络系统架构图；

图2为本发明实施例中的电信网络系统的主机示意图；

图3为本发明实施例的网络采用服务化架构时的服务管理框架图；

图4为本发明实施例网络服务组件访问用户上下文数据的信息交互流程图；

图5为本发明实施例的数据管理服务装置的功能模块结构图；

图6为本发明实施例的服务注册装置的功能模块结构图；

图7为本发明实施例中的网络服务管理系统的示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例，基于本发明中的实施例，本领域技术人员在没有做出创造性劳 动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明应用于部署了核心网网络的第三代合作伙伴计划(3rd Generation Partnership Project，3GPP)通信系统中，在该3GPP通信系统中部署一个或多个网络切片。每个网络切片是针对于某一类商业场景或用户需求而提供定制化的服务。根据实际的应用场景和终端类型，用户设备(User Equipment，UE)可能会支持一种或多种类型的服务，网络切片也可能会支持一种或多种类型的服务。本发明实施例的网络架构如图1所示，UE通过无线接入网络节点(Radio Access Network Node，RAN Node)接入到能够提供UE所需求服务的网络切片中，才能够获得网络切片所提供的针对性的定制化服务。

上述网络切片中支持的一种或多种类型的服务是采用服务化架构，将原EPC网络架构中网元(例如MME，S-GW)的功能按照功能的类别拆分为不同的服务组件，例如，认证和安全功能、承载管理功能、移动管理功能、接入控制功能等功能拆分成相应的服务组件，这些功能由对应的认证和安全服务组件、承载管理服务组件、移动管理服务组件、接入控制服务组件实现。

各服务组件运行在电信网络系统的云平台或虚拟平台上，每个服务组件可包括一个或多个应用程序，运行在各服务组件的虚拟环境中，每个服务组件通过定义的服务接口对其他服务组件或功能提供服务。

在一种实施方式中，如图2所示，该电信网络系统云平台或虚拟平台在硬件上可以是一台或多台主机，该主机至少包括处理器201和存储器202，还可以包括无线接入网(RAN)接口203用于连接至无线接入网，还可以包括网络接口204，用于连接至网络。其中，存储器202用于存储多个虚拟机模块，例如承载管理虚拟模块，移动管理虚拟模块，网络路由管理虚拟模块等；各服务组件则运行在各虚拟机模块对应的虚拟环境中，例如承载管理服务组件运行在承载管理虚拟模块对应的虚拟环境中；处理器201，用于执行与虚拟机模块相关联的指令(例如：服务组件的一个或多个应用程序)。

在本发明实施例中，3GPP通信系统特别是核心网络功能由对应的多个网络服务组件(简称：服务组件)实现，每个服务组件在完成其支持的网络功能时需要访问网络用户的上下文数据，访问用户的上下文数据时向UDM服务组 件请求获取用户的上下文数据，UDM再从服务注册中心获取该服务组件的上下文访问策略，根据该上下文访问策略判断是否允许该服务组件获取用户的上下文数据的请求。

在本发明实施例中，为支持用户上下文的访问策略，在本实施例中可以对用户的上下文数据进行分类，确定上下文数据的类型和每个类型包括的上下文数据，下面对用户的上下文数据类型(简称：数据类型)进行举例说明：

类型1、用户安全上下文：包括用户的鉴权信息、用户信令连接加解密使用的密钥信息等用户上下文数据。

类型2、移动管理上下文：包括终端的位置区域信息，移动管理的定时器信息等用户上下文数据。

类型3、承载上下文：为用户设备建立的承载的信息，包括承载的标识、承载对应的的IP地址等用户上下文数据。

类型4、终端能力上下文：描述用户设备支持的网络能力的信息等用户上下文数据。

需要说明的是，以上列出的4种类型只是对用户的上下文数据类型及相应的用户上下文数据进行的举例说明，除了这4种外，还包括其他的数据类型，例如网络路由管理数据类型、设备状态数据管理数据类型等。

需要说明的是，以上上下文数据类型与上下文数据之间的映射关系在数据库中是通过关系数据表存储。上下文数据类型具体通过数据类型的标识(Identity)表示，例如用户安全上下文数据类型的标识为0001，移动管理上下文类型的标识为0002。上下文数据具体通过上下文数据标识表示，上下文数据标识可以是上下文数据名称(context name)，也可以为编号标识(Identity)，只要是能唯一标识上下文数据即可。例如：用户安全上下文类型中的用户的鉴权信息为1001、用户信令连接加解密使用的密钥信息1002。

网络服务组件在执行网络功能时会访问某个或某些类别的用户上下文数据，执行的访问操作包括但不仅限于：创建(create)，读取(read)，更新(update)，删除(Delete)。除此之外，还可以是其他操作，例如：新增(Insert)。

在本发明中，上下文访问策略是服务组件对上下文数据访问的策略信息， 包括该服务组件允许访问的上下文数据类型，以及对其中的每个上下文数据类型允许的操作。具体包括：

允许访问的上下文数据类型：具体通过上下文数据类型的标识表示。

对每个上下文数据类型允许执行的访问操作，实际是对每个上下文数据类型中的每种上下文数据允许执行的访问操作，包括：创建(create)，读取(read)，更新(update)，删除(Delete)中的一种或多种操作。

本发明实施例中，上下文访问策略是在服务部署中心部署服务时，将该服务组件对应的上下文访问策略提供给服务注册中心的。在3GPP通信系统中存在服务管理框架，如图3所示，该服务管理框架包括服务注册中心、服务监控等服务组件，实现服务组件的注册、实例化，服务的发现和服务的监控功能等。下面对服务管理框架中的各功能模块进行介绍。

1、服务部署中心(Service Deployment)

负责部署包含服务或服务组的软件包(映像)，并向服务注册中心和实例监控器登记相关信息。

2、服务组件实例(Instance)

服务组件对应的应用实例，具体为软件包，通过服务部署中心部署后，运行在服务组件对应的虚拟环境中。

需要说明的是，服务组件实例又可以称之为网络功能实例(Network function instance)。

3、服务注册中心(Service Registry)

服务注册中心用于登记有所有运行中的服务组件和服务组件不同版本的信息，以及这些服务组件和所实际运行服务组件实例的对应关系。

4、实例监控器(Instance Availability Monitor)

实例监控器用于登记所管理的服务组件实例以及这些实例所包含的节点信息，还用于负责实时监控所管理的节点，并及时更新实例和节点状态。

5、服务质量监控器(Business Monitor)

负责收集服务组件运行的信息，如运行次数，运行时间等等，并提供准实时统计。

在本发明实施例中，服务部署中心在网络中部署新的网络服务组件时，可获得服务组件的软件包，服务组件的标识，上下文访问策略等信息。具体的，获得的上下文访问策略可以是部署时人工进行配置的，也可以是选择系统预置用于匹配该服务组件的上下文访问策略。

服务部署中心向服务注册中心注册网络服务组件的步骤如下：

服务部署中心向网络部署新的服务组件时，网络部署中心向服务注册中心提供该服务组件的服务组件信息，服务注册中心接收服务部署中心提供的服务组件信息，服务注册完成后，服务注册中心保存该服务组件的服务组件信息，具体是保存在服务注册中心的该服务组件的注册信息中。

其中服务组件信息中包括用户上下文数据中的上下文访问策略，如上所述，上下文访问策略包括该服务组件允许访问的用户上下文类型，以及对其中的每个上下文类型允许的操作。

在实际应用中，服务组件信息还包括该服务组件的标识和该服务组件实例的信息。

以上描述了网络采用服务化架构时的服务管理框架，以及在服务管理框架下部署网络服务组件时将所述网络服务组件的上下文访问策略提供给服务注册中心，将服务组件的上下文访问策略信息保存在服务注册中心。通过该实施例，网络可以掌握部署的网络服务组件的上下文访问策略信息，所述策略信息进一步可用于对用户上下文数据的访问管理，使所述网络服务组件可以正常访问用户的上下文数据，避免出现上下文数据的越权访问和数据出现错误等问题。

结合图4，下面介绍本发明实施例中的网络服务组件访问用户上下文数据的管理方法，对上下文访问策略用于对用户上下文数据的访问管理，避免出现上下文数据的错误访问的过程进行介绍。

401、服务组件实例向UDM发送上下文数据访问请求，UDM接收服务组件实例发送的上下文数据访问请求。

在实际应用中，上下文数据访问请求中包括：请求访问的目标数据标识，以及请求的访问操作(即：目标操作)。其中，请求访问的目标数据标识可以 为数据类型标识，也可以直接是上下文数据标识，也可以同时包括数据类型标识和上下文数据标识。请求访问的操作为请求对上述目标数据标识所指示的数据所执行的操作。

当目标数据标识为目标数据类型标识时，访问请求是对该目标数据类型中的所有上下文数据执行所述目标操作，例如：请求访问中的目标数据标识为“用户安全上下文”类型标识，目标操作为“读取”操作，则表示读取用户安全上下文中的所有上下文数据；当目标数据标识为上下文数据标识时，访问请求是对所述目标上下文数据标识所指示的上下文数据执行所述目标操作，例如：请求访问中的目标数据标识为“移动管理上下文”数据类型中的“终端位置区域”数据标识，目标操作为“读取”操作，则表示读取终端的位置区域数据；；当目标数据标识包括目标数据类型标识以及上下文数据标识时，访问请求是对所述目标上下文数据标识所指示的上下文数据执行所述目标操作。

可选的，该请求访问的操作中还携带有和该操作对应的上下文数据，例如：请求更新时，需要携带更新至的上下文数据。举例说明：上下文数据访问请求中包括：上下文数据标识“1501”，该标识对应的数据为移动管理上下文中的终端的位置区域信息；请求的操作为“update”，携带的请求更新至的数据为“深圳”。表示将该标识对应的区域信息更新为深圳。

另外，上下文数据访问请求中还包括：用户标识，请求访问的用户上下文数据类型。其中，用户标识为该请求访问的服务组件实例的用户标识；请求访问的用户上下文数据类型为请求访问的用户上下文数据标识对应的数据的所属类型。

402、UDM向服务注册中心请求获取该服务组件实例对应的服务组件的上下文访问策略。

根据图2所示的实施例所述，本发明实施中，在服务组件部署和注册时，将服务组件的上下文访问策略信息保存在服务注册中心。因此，UDM向服务注册中心发送请求，获取该服务组件实例对应的服务组件的上下文访问策略。该请求消息中携带服务组件标识(Service ID)。

403、服务注册中心接收到UDM发送的上下文访问策略获取请求后，将 服务组件实例对应服务组件的上下文访问策略发送给UDM。

具体的，服务注册中心根据UDM发送的请求消息中的Service ID确定该服务组件的注册信息，将注册信息中的上下文访问策略提供给UDM。

404、UDM根据上下文数据访问请求及该服务组件的上下文访问策略进行上下文数据的访问操作。

具体的，UDM先根据上下文访问策略确定是否接受服务组件实例的的上下文数据访问请求，即是否允许对上下文数据访问请求中的目标数据标识指示的上下文数据执行上下文请求中的目标操作。

具体的，UDM判断是否接受服务组件实例的的上下文数据访问请求的具体原理为：

UDM根据目标数据标识确定目标数据类型，具体的，若目标数据标识为目标数据类型标识，则目标数据类型即为目标数据类型标识指示的类型；若目标数据标识为目标上下文数据标识，则目标数据类型为根据上下文数据标识与数据类型标识之间的映射关系获得。

之后，UDM判断目标数据类型是否存在于上下文访问策略的数据类型中，若存在，则判断目标操作是否存在于目标数据类型在上下文访问策略中对应的操作类型集合中，若存在，则确定允许对目标数据标识指示的上下文数据执行目标操作，若不存在，则数据管理服务组件确定不允许对目标数据标识指示的上下文数据执行目标操作。

405、UDM向服务组件实例返回操作反馈信息。

如果UDM接受该服务组件的上下文数据访问请求，UDM对目标数据标识指示的上下文数据执行请求访问的所述目标操作，同时，执行操作后，将操作反馈信息发送给服务组件实例。例如网络服务组件实例请求读取用户的安全上下文数据时，UDM根据该上下文类型所包括的上下文数据确定向用户上下文数据库请求读取的数据，从数据库读取数据后将所述数据提供给网络服务组件实例。

如果该服务组件实例的上下文数据访问请求不允许，例如所述网络服务组件只允许对某上下文数据类型执行读取操作，但所述服务组件实例却请求对该 上下文数据类型执行删除操作，UDM向所述网络服务组件实例发送拒绝消息。可选的，发送的拒绝消息中可以携带拒绝的原因指示信息。

另外，如果目标操作是更新操作，则UDM执行更新(Update)操作后，向服务组件实例返回更新成功或失败的结果信息。如果目标操作是创建(Create)操作，则UDM向服务组件实例返回创建成功或失败的结果信息。

本发明实施例通过UDM组件接收到服务组件实例发送的上下文数据访问请求后，向服务注册中心获取该服务组件的用户上下文数据访问策略，并根据该上下文访问策略信息判断所述服务组件的用户上下文数据访问请求是否允许，只有被允许时，才执行上下文请求中的相应的操作。因此，通过UDM组件按照各网络服务组件的上下文数据访问策略集中处理各网络服务组件的上下文数据访问请求，保证了网络中网络服务组件按照确定的所述网络服务组件的用户上下文数据访问策略进行上下文数据的访问操作，避免网络服务组件对用户的上下文数据执行不允许的操作，保证了用户上下文数据的安全性。

以上是对本发明实施例中的网络服务组件访问上下文数据的方法的介绍，下面从功能模块角度对本发明实施例中的数据管理服务装置以及服务注册装置进行介绍。

图5为本发明实施例中的数据管理服务装置的一种功能模块结构图，包括：

接收单元501，用于接收服务组件实例发送的上下文数据访问请求；发送单元502，用于在接收到上下文数据访问请求后，向服务注册中心发送获取上下文访问策略的请求，上下文访问策略为服务组件实例对应的服务组件的上下文访问策略；接收单元501，还用于接收服务注册中心发送的上下文访问策略；处理单元503，用于根据上下文数据访问请求及上下文访问策略进行上下文数据的访问操作。

在一些具体的实施中，接收单元501接收的上下文数据访问请求中包括目标数据标识及目标操作，目标操作为对目标数据标识指示的上下文数据所执行的操作；处理单元503，具体用于根据上下文访问策略判断是否允许对目标数据标识指示的上下文数据执行目标操作，若允许，则对目标数据标识所指示的 上下文数据执行目标操作。

在一些具体的实施中，接收单元501接收的上下文数据访问请求中的目标数据标识包括目标数据类型标识和目标上下文数据标识中的至少一个。

在一些具体的实施中，处理单元503，具体用于判断目标数据类型是否存在于上下文访问策略的数据类型中，若存在，则判断目标操作是否存在于目标数据类型在上下文访问策略中对应的操作类型集合中，若存在，则数据管理服务组件确定允许对目标数据标识指示的上下文数据执行目标操作，则对目标数据标识所指示的上下文数据执行目标操作。其中，目标数据类型满足以下之一：目标数据类型为通过目标数据类型标识指示的类型；或，目标数据类型为根据目标上下文数据标识获得。

在一些具体的实施中，发送单元502，还用于当处理单元503确定不允许对目标数据标识指示的上下文数据执行目标操作时，向服务组件实例发送拒绝消息。

接收单元501、发送单元502以及处理单元503之间的信息交互请参考上述图3、图4所示的方法实施例，此处不做赘述。

在本发明实施例中，接收单元501接收服务组件实例发送的上下文数据访问请求；发送单元502向服务注册中心发送获取该服务组件实例对应的服务组件的上下文访问策略的请求；接收单元501接收服务注册中心发送的上下文访问策略；处理单元503再根据上下文数据访问请求及上下文访问策略进行上下文数据的访问操作。因此，本发明实施例中的数据管理服务装置能够按照网络中的各服务组件的上下文数据访问策略集中处理各服务组件的上下文数据访问请求，保证了网络中服务组件按照确定的所述服务组件的上下文数据访问策略进行上下文数据的访问操作，避免服务组件对用户的上下文数据执行不允许的操作，保证了用户上下文数据的安全性。

图6为本发明实施例中的服务注册装置的一种功能模块结构图，包括：

接收单元601，用于接收UDM发送的上下文访问策略获取请求，上下文访问策略获取请求中包含服务组件标识，服务组件标识为服务组件实例对应的服务组件的标识，服务组件实例为数据管理服务组件接收的上下文数据访问请 求的发送方；发送单元602，用于将服务组件的标识对应的上下文访问策略发送给数据管理服务组件，以使得数据管理服务组件根据上下文数据访问请求及上下文访问策略进行上下文数据的访问操作。

另外，接收单元601，还用于接收服务部署中心部署服务组件标识对应的服务组件时的服务组件信息，服务组件信息中包括服务组件的上下文访问策略；装置还包括：存储单元603，用于保存服务组件信息。

具体的，发送单元602向服务管理组件发送的上下文访问策略包括数据类型与操作之间的映射关系，数据类型为允许服务组件标识对应的服务组件访问的上下文数据类型，操作为允许对数据类型执行的操作。

接收单元601、发送单元602以及存储单元603之间的信息交互请参考上述图3、图4所示的方法实施例，此处不做赘述。

本发明实施例在部署和注册网络服务组件时将服务组件的用户上下文访问策略信息保存在服务注册装置的存储单元603中，一方面，增强网络服务管理框架在服务组件数据访问方面的管理功能。另一方面，所述上下文访问策略进一步可用于对用户上下文数据的访问管理，使所述网络服务组件可以正常访问用户的上下文数据，避免出现上下文数据的越权访问和数据出现错误等问题。

另外，结合图7，本发明实施例提供了一种网络服务管理系统，该系统包括：服务组件实例701、数据管理服务组件702和服务注册中心703。其中，分别对应上述方法实施例中的服务组件实例、UDM及服务注册中心，各自执行的操作请参阅图2、图3、图4所示的方法实施例，此处不做赘述。

本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”“第四”等(如果存在)是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的实施例能够以除了在这里图示或描述的内容以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出 的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (17)

1. 一种网络服务组件访问上下文数据的方法，其特征在于，包括：

   数据管理服务组件UDM接收服务组件实例发送的上下文数据访问请求；

   所述数据管理服务组件在接收到所述上下文数据访问请求后，向服务注册中心发送获取上下文访问策略的请求，所述上下文访问策略为所述服务组件实例对应的服务组件的上下文访问策略；

   所述数据管理服务组件接收所述服务注册中心发送的所述上下文访问策略；

   所述数据管理服务组件根据所述上下文数据访问请求及所述上下文访问策略进行上下文数据的访问操作。
2. 根据权利要求1所述的方法，其特征在于，所述上下文数据访问请求中包括目标数据标识及目标操作，所述目标操作为对所述目标数据标识指示的上下文数据所执行的操作；

   所述数据管理服务组件根据所述上下文数据访问请求及所述上下文访问策略进行上下文数据的访问操作包括：

   所述数据管理服务组件根据所述上下文访问策略判断是否允许对所述目标数据标识指示的上下文数据执行所述目标操作，若允许，则对所述目标数据标识所指示的上下文数据执行所述目标操作。
3. 根据权利要求2所述的方法，其特征在于，所述目标数据标识为目标数据类型标识或目标上下文数据标识。
4. 根据权利要求3所述的方法，其特征在于：

   所述数据管理服务组件根据所述上下文访问策略判断是否允许对所述目标数据标识指示的上下文数据执行所述操作包括：

   所述数据管理服务组件判断目标数据类型是否存在于所述上下文访问策略的数据类型中，若存在，则判断所述目标操作是否存在于所述目标数据类型在所述上下文访问策略中对应的操作类型集合中，若存在，则所述数据管理服务组件确定允许对所述目标数据标识指示的上下文数据执行所述目标操作，若不存在，则所述数据管理服务组件确定不允许对所述目标数据标识指示的上下文数据执行所述目标操作；

   其中，所述目标数据类型满足以下之一：

   所述目标数据类型为通过所述目标数据类型标识指示的类型；或，所述目标数据类型为根据所述目标上下文数据标识获得。
5. 根据权利要求2至4中任一项所述的方法，其特征在于，所述方法还包括：

   若所述数据管理服务组件不允许对所述目标数据标识指示的上下文数据执行所述目标操作，则向所述服务组件实例发送拒绝消息。
6. 一种网络服务组件访问上下文数据的管理方法，其特征在于，包括：

   所述服务注册中心接收所述数据管理服务组件UDM发送的上下文访问策略获取请求，所述上下文访问策略获取请求中包含服务组件标识，所述服务组件标识为服务组件实例对应的服务组件的标识，所述服务组件实例为所述数据管理服务组件接收的上下文数据访问请求的发送方；

   所述服务注册中心将所述服务组件的标识对应的上下文访问策略发送给所述数据管理服务组件，以使得所述数据管理服务组件根据所述上下文数据访问请求及上下文访问策略进行上下文数据的访问操作。
7. 根据权利要求6所述的方法，其特征在于，所述方法还包括：

   所述服务注册中心接收服务部署中心部署所述服务组件标识对应的服务组件时的服务组件信息，所述服务组件信息中包括服务组件的上下文访问策略；

   所述服务注册中心保存所述服务组件信息。
8. 根据权利要求6或7所述的方法，其特征在于，所述上下文访问策略包括数据类型与操作之间的映射关系，所述数据类型为允许所述服务组件标识对应的服务组件访问的上下文数据类型，所述操作为允许对所述数据类型执行的操作。
9. 一种网络服务管理系统，其特征在于，所述系统包括：

   服务组件实例，用于向数据管理服务组件UDM发送上下文数据访问请求；

   所述数据管理服务组件，用于在接收所述服务组件实例发送的所述上下文数据访问请求之后，向服务注册中心发送获取上下文访问策略的请求，所述上下文访问策略为所述服务组件实例对应的服务组件的上下文访问策略；

   服务注册中心，用于接收所述数据管理服务组件发送的上下文访问策略获取请求，将所述服务组件实例对应的服务组件的上下文访问策略发送给所述数据管理服务组件；

   所述数据管理服务组件，还用于根据所述上下文数据访问请求及上下文访问策略进行上下文数据的访问操作。
10. 一种数据管理服务装置，其特征在于，包括：

    接收单元，用于接收服务组件实例发送的上下文数据访问请求；

    发送单元，用于在接收到所述上下文数据访问请求后，向服务注册中心发送获取上下文访问策略的请求，所述上下文访问策略为所述服务组件实例对应的服务组件的上下文访问策略；

    所述接收单元，还用于接收所述服务注册中心发送的所述上下文访问策略；

    处理单元，用于根据所述上下文数据访问请求及所述上下文访问策略进行上下文数据的访问操作。
11. 根据权利要求10所述的装置，其特征在于：

    所述接收单元接收的所述上下文数据访问请求中包括目标数据标识及目标操作，所述目标操作为对所述目标数据标识指示的上下文数据所执行的操作；

    所述处理单元，具体用于根据所述上下文访问策略判断是否允许对所述目标数据标识指示的上下文数据执行所述目标操作，若允许，则对所述目标数据标识所指示的上下文数据执行所述目标操作。
12. 根据权利要求11所述的装置，其特征在于：

    所述接收单元接收的所述上下文数据访问请求中的所述目标数据标识包括目标数据类型标识和目标上下文数据标识中的至少一个。
13. 根据权利要求12所述的装置，其特征在于：

    所述处理单元，具体用于判断目标数据类型是否存在于所述上下文访问策略的数据类型中，若存在，则判断所述目标操作是否存在于所述目标数据类型在所述上下文访问策略中对应的操作类型集合中，若存在，则所述数据管理服务组件确定允许对所述目标数据标识指示的上下文数据执行所述目标操作，则 对所述目标数据标识所指示的上下文数据执行所述目标操作；

    其中，所述目标数据类型满足以下之一：

    所述目标数据类型为通过所述目标数据类型标识指示的类型；或，所述目标数据类型为根据所述目标上下文数据标识获得。
14. 根据权利要求11至13中任一项所述的装置，其特征在于，

    所述发送单元，还用于当所述处理单元确定不允许对所述目标数据标识指示的上下文数据执行所述目标操作时，向所述服务组件实例发送拒绝消息。
15. 一种服务注册装置，其特征在于，包括：

    接收单元，用于接收所述数据管理服务组件UDM发送的上下文访问策略获取请求，所述上下文访问策略获取请求中包含服务组件标识，所述服务组件标识为服务组件实例对应的服务组件的标识，所述服务组件实例为所述数据管理服务组件接收的上下文数据访问请求的发送方；

    发送单元，用于将所述服务组件的标识对应的上下文访问策略发送给所述数据管理服务组件，以使得所述数据管理服务组件根据所述上下文数据访问请求及上下文访问策略进行上下文数据的访问操作。
16. 根据权利要求15所述的装置，其特征在于：

    所述接收单元，还用于接收服务部署中心部署所述服务组件标识对应的服务组件时的服务组件信息，所述服务组件信息中包括服务组件的上下文访问策略；

    所述装置还包括：

    存储单元，用于保存所述服务组件信息。
17. 根据权利要求15或16所述的装置，其特征在于，所述发送单元向所述服务管理组件发送的所述上下文访问策略包括数据类型与操作之间的映射关系，所述数据类型为允许所述服务组件标识对应的服务组件访问的上下文数据类型，所述操作为允许对所述数据类型执行的操作。