CN108900483A - 云存储细粒度访问控制方法、数据上传和数据访问方法 - Google Patents

Abstract

本发明提供一种云存储细粒度访问控制方法，以Plugin插件的方式兼容Hadoop组件的访问控制，通过中央授权服务器来进行访问控制；从Plugin插件截获并发送到中央授权服务器的请求先通过访问绑定层来接入到策略引擎中，通过策略加密/解密层对权限策略进行加/解密，并最后通过引擎后台完成权限策略的存储和读取，存储形式为权限加密密文；解密后的权限策略由策略引擎负责解析，解析得到各Plugin插件能够识别的权限并返回给相应的Plugin插件，由Plugin插件完成权限的验证，判断本次用户请求是否被允许。本发明通过引入自主访问控制来实现数据上传者对数据的访问控制授权；引入基于属性基加密的方法，实现通过数据的属性标签来进行访问控制结构的自我描述。

Description

云存储细粒度访问控制方法、数据上传和数据访问方法

技术领域

本发明涉及云存储技术领域，尤其是一种云存储的访问控制方法。

背景技术

近年来，随着云计算、大数据技术的飞速发展，给社会带来了巨大的变化。网络带宽的提速和移动互联网时代的来临，终端用户越来越习惯将数据上云以防止数据丢失；中小型企业由于自建集群成本高昂，也越来越多的使用企业云(如阿里云、腾讯云)；甚至于大型企业也会由于大数据存储经验的缺失和企业云良好的服务而选择数据上云。然而，将数据交给“第三方”来管理之后，就会带来数据隐私安全的问题。Hadoop及其相关组件是用于搭建云存储服务的最重要的技术之一，对其进行细粒度访问控制有着很高的现实意义。

目前，Hadoop的访问控制主要有两个开源的组件：Ranger、Sentry。它们都以插件的形式运行在存储组件上，有着良好的兼容性，但却都从设计上有着极大的弊端：

1、都是基于强制访问控制模型的，由管理员进行数据资源的权限授予的，授权过程复杂，且无法避免“恶意管理员”问题。

2、都是基于传统RBAC(Role-Based Access Control基于角色的访问控制)授权模型的，用户的权限是通过赋予给他的角色来描述的，无法达到细粒度的访问控制。

3、授权模式都是grant(授权)/revoke(撤销授权)模式，无法通过数据的属性标签完成访问控制结构的自我描述。

发明内容

本发明的目的在于克服现有技术中存在的不足，提供一种云存储细粒度访问控制方法，解决强制访问控制模型授权管理的困难，通过引入自主访问控制来实现数据上传者对数据的访问控制授权；另外，针对传统RBAC模型的缺陷，引入基于属性基加密的方法，实现通过数据的属性标签来进行访问控制结构的自我描述，达到细粒度的访问控制要求。本发明采用的技术方案是：

一种云存储细粒度访问控制方法，以Plugin插件的方式兼容Hadoop组件的访问控制，中央授权服务器中设有访问绑定层、策略引擎、策略加密/解密层、引擎后台，通过中央授权服务器来进行访问控制；

从Plugin插件截获并发送到中央授权服务器的请求先通过访问绑定层来接入到策略引擎中，通过策略加密/解密层对权限策略进行加/解密，并最后通过引擎后台完成权限策略的存储和读取，存储形式为权限加密密文；解密后的权限策略由策略引擎负责解析，解析得到各Plugin插件能够识别的权限并返回给相应的Plugin插件，由Plugin插件完成权限的验证，判断本次用户请求是否被允许。

具体地，该云存储细粒度访问控制方法以层级对象的形式表示需要进行访问控制的数据资源，在各层级中，从根节点逐层到叶子节点表示了云存储平台中的一个具体的资源对象，对于每个资源对象，有相应的权限集合；

一个资源对象+权限操作符的组合被作为一个具体的授权对象，每个授权对象都会对应一个访问控制树，表示该授权对象对应的目标使用用户，只有当用户的属性集合满足该访问控制树的时候，加密算法机制才能解密成功，只有解密成功的用户才能获得授权对象。

进一步地，对用户来说，权限的获取有两种方式：

1)用户是资源对象的拥有者；或者：

2)用户的公司，部门，职位属性满足访问控制树。

进一步地，访问控制树的根节点是一个或门，它连接了两个子节点，owner_id子节点表示的是资源对象的创建者id，也就是说，如果用户的属性中拥有owner_id，则能够访问该资源对象，含义就是数据的上传者拥有该数据的全部访问权限；

根节点的另一个子节点是一个与门，与门连接了三个或门，每个或门下面有n个子节点，分别代表公司、部门、职位，n大于等于1，这里的含义是，用户必须是某个公司，某个部门，某个职位的，用户的属性集合中必包含了这三个属性，如果访问控制树中包含了用户的这三个属性：公司、部门、职位，且同时存在，则该用户拥有授权对象中的权限。

进一步地，加密算法采用CP-ABE即密文策略属性基加密。

本发明的优点在于：

1)本发明提供了对Hadoop组件的非侵入式的访问控制，通过Plugin的形式拦截非法用户请求。

2)引入自主访问控制模型，通过数据上传者为数据打标签的方式，完成数据的访问控制授权，只有满足属性标签的用户才可以访问本数据。

3)实现了基于属性的访问控制授权，可以通过用户的属性集合来判断是否拥有权限，达到了细粒度访问控制的目的。

4)引入CP-ABE机制，对访问控制策略进行加密，即使授权中心CAS被攻破，也无法获得具体的策略明文，保证了策略的安全存储和不被篡改。

附图说明

图1为本发明的结构示意图。

图2为本发明的中央授权服务器示意图。

图3为本发明的访问控制树示意图。

图4为本发明的数据上传的流程图。

图5为本发明的数据访问的流程图。

具体实施方式

下面结合具体附图和实施例对本发明作进一步说明。

本发明提出一种云存储细粒度访问控制方法，在本发明的方案中，以Plugin的方式兼容Hadoop组件的访问控制；Hadoop组件通过Plugin插件访问中央授权服务器(以下简称CAS，即Center Authorization Server的缩写)，通过CAS来进行访问控制；

在图1中，实线框代表本方案所包含的角色，虚线框为Hadoop组件，比如HDFS组件、Hive组件、Impala组件、HBase组件；

CAS为一个中央的权限管理服务，它用于响应Plugin插件的请求，并返回具体的权限策略，用于Plugin中具体的权限控制；

Plugin是运行在Hadoop组件上的一个插件，它用于拦截对于该组件的数据访问请求，将本次访问涉及的用户、资源、访问类型发送给CAS，由CAS进行权限的查询，通过CAS返回的数据判断本次用户请求是否被允许；

Policy Metadata是权限策略存储介质，其中存储了具体对应的每个服务中每个数据资源的权限集合；

管理API是一个用于权限管理的Restful API，它用于进行权限策略的管理，用户上传数据时会调用管理API来进行权限策略的生成；

CAS内部的架构是在Sentry基础上，增加了策略加密/解密层，完成对权限策略的加/解密操作，加密算法使用CP-ABE(密文策略属性基加密，全称为Ciphertext-PolicyAttribute-Based Encryption)，该算法可以指定一个树状的访问控制结构，只有满足该树状结构的用户才能完成密文的解密，利用这个特性，可以达到基于属性的自主访问控制模型。CAS的架构如图2所示,中央授权服务器中设有访问绑定层、策略引擎、策略加密/解密层、引擎后台。

在图2中，从Plugin插件截获并发送到中央授权服务器的请求先通过访问绑定层(Access Binding Layer)来接入到策略引擎中，通过策略加密/解密层对权限策略进行加/解密，并最后通过引擎后台完成权限策略的存储和读取，存储形式为权限加密密文；解密后的权限策略由策略引擎负责解析，解析得到各Plugin插件能够识别的权限并返回给相应的Plugin插件，由Plugin插件完成权限的验证，判断本次用户请求是否被允许，过滤非法请求。

云存储中的数据资源有多种类型：如文件、表等，本方法以层级对象的形式表示需要进行访问控制的数据资源，其分层如下：

●Server 对应一个服务，如hive服务

■URI 对应文件路径，如HDFS路径

■Database 对应一个数据库名

◆Table 对应一个表名

●Partition 对应一个partition key/value对

●Columns 对应一个列名

◆View 对应一个视图名

Index 对应一个索引名

在各层级中，从根节点逐层到叶子节点表示了云存储平台中的一个具体的资源对象，如server1->db1->table1->col1,表示了服务server1上的db1数据库中的table1表的col1列，对于每个资源对象，有相应的权限集合；

对于文件来说，存在read读，write写，execute执行，三种权限；

对于表来说，存在以下几种权限：

●SELECT 表的查找

●INSERT 行的插入

●UPDATE 行的修改

●DELETE 行的删除

●CREATE 表的创建

●DROP 表的删除

一个资源对象+权限操作符的组合被作为一个具体的授权对象(如server1->db1->table1->col1+SELECT，表示对表table1中col1列的select权限)，每个授权对象都会对应一个访问控制树，表示该授权对象对应的目标使用用户，只有当用户的属性集合满足该访问控制树的时候，CP-ABE机制才能解密成功，只有解密成功的用户才能获得授权对象；

访问控制树为一个统一的通用格式，结构如图3所示；

访问控制树的根节点是一个或门，它连接了两个子节点，owner_id子节点表示的是资源对象的创建者id，也就是说，如果用户的属性中拥有owner_id，则可以访问该资源对象，含义就是数据的上传者拥有该数据的全部访问权限，这里就将超级管理员的角色赋予了资源对象拥有者；根节点的另一个子节点是一个与门，它连接了三个或门，或门下面有n个子节点，分别代表公司、部门、职位，n大于等于1，这里的含义是，用户必须是某个公司(company)，某个部门(department)，某个职位的，用户的属性集合中必包含了这三个属性，如果访问控制树中包含了用户的这三个属性：公司、部门、职位，且同时存在，则该用户拥有授权对象中的权限。

总的来说，权限的获取有两种方式：1，用户是该资源对象的拥有者；2，用户的公司，部门，职位属性满足访问控制树。

访问控制树在数据资源上传时已经定义好，之后的权限修改和撤销需要重新进行访问控制树的加密，此时不会对原始数据进行任何的重加密，只针对访问策略进行重加密即可。

下面对数据上传和数据访问的流程图做简单的描述；

数据上传的流程如图4所示：

a1)选择数据进行上传，支持文件和表(csv格式)；

a2)对新上传的数据打标签，该标签为本发明中的访问控制树，限定了数据使用者的范围；

a3)使用CP-ABE机制进行对权限进行加密，生成的权限加密密文中含有访问控制树结构，满足该访问控制树结构的用户能够成功解密；

a4)将权限加密密文入库保存，进行数据写入；权限加密密文入库和数据写入是个并发的过程，权限加密密文是要写入到关系型数据库中，数据写入则可能是HDFS或其他存储组件；

数据访问的流程如图5所示：

b1)获取数据的用户信息，要访问的数据资源对象，以及本次访问的操作类型，比如select；

b2)从权限策略存储介质中(关系型数据库)读出本次数据访问对应的权限加密密文，该密文中包含了访问控制树结构；

b3)使用该用户的私钥进行密文的解密：解密成功，允许本次数据访问，从数据平台中获取资源对象，返回访问结果；失败，返回错误信息。

本发明涉及的一些术语解释如下：

Hadoop是一个由Apache基金会所开发的分布式系统基础架构；

HDFS，Hadoop分布式文件系统；

Hive是Hadoop工具家族中一个重要成员，可以将结构化的数据文件映射为一张数据库表；

Impala是Cloudera公司推出的组件，提供对HDFS、Hbase数据的高性能、低延迟的交互式SQL查询功能；

HBase是一个构建在HDFS上的分布式列存储系统；

API，Application Programming Interface,应用程序编程接口；

RESTful API，就是REST风格的API，REST--Representational State Transfer，英语的直译就是“表现层状态转移”；

Apache Ranger组件提供集中式的权限管理框架；

Apache Sentry组件是Cloudera公司发布的一个Hadoop开源组件；

最后所应说明的是，以上具体实施方式仅用以说明本发明的技术方案而非限制，尽管参照实例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的精神和范围，其均应涵盖在本发明的权利要求范围当中。

Claims (7)

1.一种云存储细粒度访问控制方法，其特征在于，

以Plugin插件的方式兼容Hadoop组件的访问控制，中央授权服务器中设有访问绑定层、策略引擎、策略加密/解密层、引擎后台，通过中央授权服务器来进行访问控制；

从Plugin插件截获并发送到中央授权服务器的请求先通过访问绑定层来接入到策略引擎中，通过策略加密/解密层对权限策略进行加/解密，并最后通过引擎后台完成权限策略的存储和读取，存储形式为权限加密密文；解密后的权限策略由策略引擎负责解析，解析得到各Plugin插件能够识别的权限并返回给相应的Plugin插件，由Plugin 插件完成权限的验证，判断本次用户请求是否被允许。

2.如权利要求1所述的云存储细粒度访问控制方法，其特征在于，

该云存储细粒度访问控制方法以层级对象的形式表示需要进行访问控制的数据资源，在各层级中，从根节点逐层到叶子节点表示了云存储平台中的一个具体的资源对象，对于每个资源对象，有相应的权限集合；

一个资源对象+权限操作符的组合被作为一个具体的授权对象，每个授权对象都会对应一个访问控制树，表示该授权对象对应的目标使用用户，只有当用户的属性集合满足该访问控制树的时候，加密算法机制才能解密成功，只有解密成功的用户才能获得授权对象。

3.如权利要求2所述的云存储细粒度访问控制方法，其特征在于，

对用户来说，权限的获取有两种方式：

1）用户是资源对象的拥有者；或者：

2）用户的公司，部门，职位属性满足访问控制树。

4.如权利要求2所述的云存储细粒度访问控制方法，其特征在于，

访问控制树的根节点是一个或门，它连接了两个子节点，owner_id子节点表示的是资源对象的创建者id，也就是说，如果用户的属性中拥有owner_id，则能够访问该资源对象，含义就是数据的上传者拥有该数据的全部访问权限；

根节点的另一个子节点是一个与门，与门连接了三个或门，每个或门下面有n个子节点，分别代表公司、部门、职位，n大于等于1，这里的含义是，用户必须是某个公司，某个部门，某个职位的，用户的属性集合中必包含了这三个属性，如果访问控制树中包含了用户的这三个属性：公司、部门、职位，且同时存在，则该用户拥有授权对象中的权限。

5.如权利要求2所述的云存储细粒度访问控制方法，其特征在于，

加密算法采用CP-ABE即密文策略属性基加密。

6.一种数据上传方法，其特征在于，基于如权利要求2～5中任一项所述的云存储细粒度访问控制方法，包括以下步骤：

a1)选择数据进行上传；

a2)对新上传的数据打标签，该标签为所述访问控制树；

a3)使用CP-ABE机制进行对权限进行加密，生成的权限加密密文中含有访问控制树结构；满足该访问控制树结构的用户能够成功解密；

a4)将权限加密密文入库保存，进行数据写入；权限加密密文入库和数据写入是个并发的过程。

7.一种数据访问方法，其特征在于，基于如权利要求2～5中任一项所述的云存储细粒度访问控制方法，包括以下步骤：

b1)获取数据的用户信息，要访问的数据资源对象，以及本次访问的操作类型；

b2)从权限策略存储介质中读出本次数据访问对应的权限加密密文，该密文中包含了访问控制树结构；

b3)使用该用户的私钥进行密文的解密：解密成功，允许本次数据访问，从数据平台中获取资源对象，返回访问结果；失败，返回错误信息。