CN109067809B - 安全组件的权限配置方法、装置、设备及存储介质 - Google Patents

Abstract

本发明公开了一种安全组件的权限配置方法，该方法包括：接收基于安全组件的权限配置请求；获取所述权限配置请求中携带的组件类型信息、组件标识信息，以及与所述组件标识信息对应的组件功能配置信息；调用与所述组件类型信息对应的授权接口，根据所述组件标识信息确定所述授权接口下待配置权限的的目标组件；根据所述组件功能配置信息对所述目标组件的组件功能进行权限配置。本发明还公开了一种安全组件的权限配置装置、设备和一种存储介质。本发明能够提高对安全组件进行权限配置的灵活性。

Description

安全组件的权限配置方法、装置、设备及存储介质

技术领域

本发明涉及计算机技术领域，尤其涉及安全组件的权限配置方法、装置、设备及存储介质。

背景技术

在早期的网络安全设备授权场景中，一般是卖出一台设备，然后根据设备ID生成授权序列号发给客户，这时的授权是以网络安全设备为单位，以服务(软件升级和规则库升级等额外服务)为载体进行的授权。

虚拟化平台诞生后，网络安全设备作为平台的一部分，走进了虚拟化的世界，这时候安全组件的授权，是由平台进行统一控制的，具体授权方式为：在平台填入一类安全组件的授权序列号，该授权序列号可以对一类安全组件进行无差异化授权。

上述授权方式中，所有同类型的安全组件，授权信息都来自同一个序列号，而随着软件定义网络，软件定义安全时代的到来，对于网络安全组件的灵活性要求越来越高，授权的方式也需要更加灵活，不但需要能对每个组件进行单独的授权，还需要对一个组件的功能进行授权裁剪，达到真正的按需购买，因此上述一个序列号对应一类安全组件的授权方式已无法满足软件定义安全对授权灵活性的要求。

发明内容

本发明的主要目的在于提出一种安全组件的权限配置方法、装置、设备及存储介质，旨在提高对安全组件进行权限配置的灵活性。

为实现上述目的，本发明提供一种安全组件的权限配置方法，所述安全组件的权限配置方法包括如下步骤：

接收基于安全组件的权限配置请求；

获取所述权限配置请求中携带的组件类型信息、组件标识信息，以及与所述组件标识信息对应的组件功能配置信息；

调用与所述组件类型信息对应的授权接口，根据所述组件标识信息确定所述授权接口下待配置权限的的目标组件；

根据所述组件功能配置信息对所述目标组件的组件功能进行权限配置。

优选地，所述接收基于安全组件的权限配置请求的步骤之前，还包括：

为不同类型的安全组件设置不同的授权接口。

优选地，所述根据所述组件功能配置信息对所述目标组件的组件功能进行权限配置的步骤包括：

获取所述组件功能配置信息中的功能标识和与所述功能标识对应的功能使能参数；

根据所述功能标识和与所述功能标识对应的功能使能参数，控制所述目标组件中相应的组件功能开启或关闭。

优选地，所述功能使能参数包括功能使能位和授权期限，所述根据所述功能标识和与所述功能标识对应的功能使能参数，控制所述目标组件中相应的组件功能开启或关闭的步骤包括：

根据所述功能使能位控制所述目标组件中相应的组件功能开启或关闭；

根据所述授权期限设定组件功能保持开启或关闭状态的持续时间。

优选地，所述根据所述组件功能配置信息对所述目标组件的组件功能进行权限配置的步骤之后，还包括：

生成与所述权限配置请求对应的权限配置信息，所述权限配置信息包括所述组件功能配置信息；

将生成的所述权限配置信息进行保存。

优选地，所述将生成的所述权限配置信息进行保存的步骤之后，还包括：

将所述权限配置信息发送至对应的授权客户端。

优选地，所述权限配置请求为云端权限配置请求或离线权限配置请求。

此外，为实现上述目的，本发明还提供一种安全组件的权限配置装置，所述安全组件的权限配置装置包括：

接收程序模块，用于接收基于安全组件的权限配置请求；

获取程序模块，用于获取所述权限配置请求中携带的组件类型信息、组件标识信息，以及与所述组件标识信息对应的组件功能配置信息；

调用程序模块，用于调用与所述组件类型信息对应的授权接口，根据所述组件标识信息确定所述授权接口下待配置权限的的目标组件；

权限配置程序模块，用于根据所述组件功能配置信息对所述目标组件的组件功能进行权限配置。

此外，为实现上述目的，本发明还提供一种安全组件的权限配置设备，所述安全组件的权限配置设备包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的安全组件的权限配置程序，所述安全组件的权限配置程序被所述处理器执行时实现如上所述的安全组件的权限配置方法的步骤。

此外，为实现上述目的，本发明还提供一种计算机可读存储介质，所述计算机可读存储介质上存储有安全组件的权限配置程序，所述安全组件的权限配置程序被处理器执行时实现如上所述的安全组件的权限配置方法的步骤。

本发明提出的安全组件的权限配置方法，通过接收基于安全组件的权限配置请求并获取权限配置请求中携带的组件类型信息、组件标识信息和组件功能配置信息，然后调用与所述组件类型信息对应的授权接口，根据所述组件标识信息确定所述授权接口下待配置权限的的目标组件；之后根据所述组件功能配置信息对所述目标组件的组件功能进行权限配置，实现了对同一组件类型下的不同组件、以及同一组件的不同组件功能进行单独的权限配置，相比于现有技术中仅能对一类安全组件进行无差异化授权的方式，本发明提高了对安全组件进行权限配置的灵活性。

附图说明

图1是本发明实施例方案涉及的硬件运行环境的安全组件的权限配置设备结构示意图；

图2为本发明安全组件的权限配置方法第一实施例的流程示意图；

图3为图2中步骤S40的细化步骤示意图；

图4为本发明安全组件的权限配置方法第二实施例的流程示意图；

图5为发明安全组件的权限配置装置一实施例的模块示意图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

本发明实施例的主要解决方案是：接收基于安全组件的权限配置请求；获取所述权限配置请求中携带的组件类型信息、组件标识信息，以及与所述组件标识信息对应的组件功能配置信息；调用与所述组件类型信息对应的授权接口，根据所述组件标识信息确定所述授权接口下待配置权限的目标组件；根据所述组件功能配置信息对所述目标组件的组件功能进行权限配置。

现有的组件授权方式中，所有同类型的安全组件，授权信息都来自同一个序列号，而随着软件定义网络，软件定义安全时代的到来，对于网络安全组件的灵活性要求越来越高，授权的方式也需要更加灵活，不但需要能对每个组件进行单独的授权，还需要对一个组件的功能进行授权裁剪，达到真正的按需购买，因此一个序列号对应一类安全组件的授权方式已无法满足软件定义安全对授权灵活性的要求。

本发明根据组件类型信息、组件标识信息和组件功能配置信息，能够实现对同一组件类型下的不同组件、以及同一组件的不同组件功能进行单独的权限配置，相比于现有技术中仅能对一类安全组件进行无差异化授权的方式，本发明提高了对安全组件进行权限配置的灵活性。

如图1所示，图1是本发明实施例方案涉及的硬件运行环境的安全组件的权限配置设备结构示意图。

本发明实施例安全组件的权限配置设备可以是搭载了虚拟化平台的PC机或服务器(如X86服务器)等终端设备。

如图1所示，该安全组件的权限配置设备可以包括：处理器1001，例如CPU，网络接口1004，用户接口1003，存储器1005，通信总线1002。其中，通信总线1002用于实现这些组件之间的连接通信。用户接口1003可以包括显示屏(Display)、输入单元比如键盘(Keyboard)，可选用户接口1003还可以包括标准的有线接口、无线接口。网络接口1004可选的可以包括标准的有线接口、无线接口(如WI-FI接口)。存储器1005可以是高速RAM存储器，也可以是稳定的存储器(non-volatile memory)，例如磁盘存储器。存储器1005可选的还可以是独立于前述处理器1001的存储装置。

本领域技术人员可以理解，图1中示出的终端结构并不构成对终端的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

如图1所示，作为一种计算机存储介质的存储器1005中可以包括操作系统、网络通信模块、用户接口模块以及用户行为追踪程序。

在图1所示的终端中，网络接口1004主要用于连接后台服务器，与后台服务器进行数据通信；用户接口1003主要用于连接客户端(用户端)，与客户端进行数据通信；而处理器1001可以用于调用存储器1005中存储的用户行为追踪程序，并执行以下安全组件的权限配置方法实施例中的操作。

基于上述硬件结构，提出本发明安全组件的权限配置方法实施例。

参照图2，图2为本发明安全组件的权限配置方法第一实施例的流程示意图，所述方法包括：

步骤S10，接收基于安全组件的权限配置请求；

本实施例可以通过虚拟化平台HCI(Hyper-Converged Infrastructure，超融合基础架构)中的权限配置服务器实现。

在虚拟化平台中，网络安全设备作为平台的一部分，走进了虚拟化的世界。通过虚拟化功能，将传统的安全组件融合进云平台，以提供全面的安全保障和服务功能，被称为网络功能虚拟化。这时候安全组件的授权，是由平台统一控制的，具体可由平台提供的授权服务实现，所谓授权服务，即平台为运行在其上面的虚拟组件提供的一种合法性校验服务，用于保证平台的利益性。

本实施例的应用场景可以为：当用户需要购买安全组件时，基于购买客户端触发安全组件的购买指令，该购买指令包括购买的组件类型、组件名称、组件功能和对应的购买期限；购买客户端接收到用户触发的购买指令后，将该购买指令发送给云端安全服务管理平台CSSP(Cloud Security Service PLatform)，CSSP将该购买指令转换为基于安全组件的权限配置请求发送给虚拟化平台中的权限配置服务器，以使权限配置服务器对相应的安全组件进行使用权限配置。

需要说明的是，上述安全服务管理平台CSSP，是基于软件定义安全技术实现的安全服务化交付的平台。运营方只要通过标准X86服务器搭配安全资源池系统，就能以服务的形式向租户提供丰富的安全服务，大部分服务以安全组件的形式提供，比如vAF、vSSL、vAD、vDAS等安全组件。

具体地，权限配置服务器接收基于安全组件的权限配置请求，该权限配置请求中携带组件类型信息、组件标识信息、以及与组件标识信息对应的组件功能配置信息，其中，组件类型信息用于唯一标识用户想要购买的组件所属的组件类型，组件标识信息用于唯一标识一个组件，组件功能配置信息用于表示用户想要购买的组件下的具体功能和购买期限。本实施例中，一个安全组件对应一个或多个组件功能，组件功能包括但不限于WEb应用防护、入侵防御、网关杀毒、应用识别等。

需要说明的是，根据购买客户端是否在线，上述权限配置请求可分为云端权限配置请求和离线权限配置请求，其中云端权限配置请求由购买客户端在在线状态下触发，离线权限配置请求由客户端在离线状态下触发，也即，客户端在在线状态和离线状态下都可支持对安全组件的购买功能。

步骤S20，获取所述权限配置请求中携带的组件类型信息、组件标识信息，以及与所述组件标识信息对应的组件功能配置信息；

当权限配置服务器接收到基于安全组件的权限配置请求后，对该权限配置请求进行解析，以获得其中携带的组件类型信息、组件标识信息，以及与所述组件标识信息对应的组件功能配置信息。

其中，组件类型信息可以是组件类型名称，如vAF、vSSL、vAD、vDAS等；组件标识信息可以是组件ID，具体可以是字符串或数字或两者的组合，比如同一组件类型vAF下的不同组件vAF1和vAF2可分别标识为“123456789”和“abcdefg”；组件功能配置信息可以包括组件功能标识，以及与功能标识对应的功能使能位和授权期限，比如，当用户想要购买组件vAF1下的waf(Web Application Firewall，WEb应用防护系统)功能至2019年6月1日时，对应的组件功能配置信息可以表示为：waf＝1，time＝2019.6.1。

步骤S30，调用与所述组件类型信息对应的授权接口，根据所述组件标识信息确定所述授权接口下待配置权限的的目标组件；

之后，权限配置服务器调用与上述获取到的组件类型信息对应的授权接口，然后根据组件标识信息确定授权接口下待配置权限的的目标组件。

进一步地，为保证本发明正常实施，上述步骤S10之前，还可以包括步骤：为不同类型的安全组件设置不同的授权接口。

一般地，为给用户提供多样化的安全服务，虚拟化平台所提供的安全服务功能众多，对应的安全服务组件也多种多样，为实现对不同类型的安全组件进行有效的授权管理以及提高授权管理的灵活性，可预先为不同类型的安全组件设置不同的授权接口，这些授权接口用于支撑业务层面客户的具体购买需求，使得各个组件的授权灵活多变。比如，基于vAF组件类型的授权接口可以表示为：resapi:af_auth，基于vAC组件类型的授权接口可以表示为：resapi:ac_auth。

当权限配置服务器获取到组件类型信息和组件标识信息后，将该信息转化为预设格式的请求参数，然后根据该请求参数调用对应的授权接口，并确定授权接口下待配置权限的目标组件。比如，当获取到的组件类型为vAF，组件标识为“123456789”时，将该信息转换为预设格式的请求参数resapi:af_auth，id＝123456789，即可调用对应的授权接口，并确定授权接口下待配置权限的目标组件。

步骤S40，根据所述组件功能配置信息对所述目标组件的组件功能进行权限配置。

在确定待配置权限的的目标组件后，权限配置服务器进一步根据组件功能配置信息对目标组件的组件功能进行权限配置，该权限配置包括但不限于对目标组件下的组件功能进行授权、取消授权，以及配置相应的授权期限等，以满足用户基于组件功能的购买需求。

具体地，参照图3，图3为图2中步骤S40的细化步骤示意图。上述步骤S40可以进一步包括：

步骤S41，获取所述组件功能配置信息中的功能标识和与所述功能标识对应的功能使能参数；

步骤S42，根据所述功能标识和与所述功能标识对应的功能使能参数，控制所述目标组件中相应的组件功能开启或关闭。

组件功能配置信息中可以包括功能标识和与功能标识对应的功能使能参数，其中，功能标识用于唯一标识组件的某一功能，功能使能参数用于控制组件功能的开启或关闭。比如，waf可以用于标识vAF1组件的WEb应用防护系统功能，而ips可以用于标识vAF1组件的入侵防御系统功能，通过这种方式，能够实现对同一个组件的功能进行授权裁剪，达到真正的按需购买。

进一步地，上述功能使能参数可以包括功能使能位和授权期限，此时步骤S42可以进一步包括：根据所述功能使能位控制所述目标组件中相应的组件功能开启或关闭；根据所述授权期限设定组件功能保持开启或关闭状态的持续时间。

其中，功能使能位可以用“1”和“0”表示，“1”代表开启功能，“0”代表关闭功能；授权期限可以用日期表示。比如当组件功能配置信息为waf＝1，ips＝0，time＝2019.6.1时，即控制waf功能开启，ips功能关闭，且waf功能保持开启和ips功能保持关闭状态的持续时间直至2019年6月1日。

通过根据功能使能位控制所述目标组件中相应的组件功能开启或关闭，并根据授权期限设定组件功能保持开启或关闭状态的持续时间，实现了对组件功能和使用期限的灵活配置，从而能够适应现实场景下不同用户的不同购买需求。

当然，功能使能参数并不限于上述形式，比如也可以仅包括功能使能位，具体实施时可灵活设置。

在本实施例中，权限配置服务器接收基于安全组件的权限配置请求；获取所述权限配置请求中携带的组件类型信息、组件标识信息，以及与所述组件标识信息对应的组件功能配置信息；调用与所述组件类型信息对应的授权接口，根据所述组件标识信息确定所述授权接口下待配置权限的的目标组件；根据所述组件功能配置信息对所述目标组件的组件功能进行权限配置。本实施例根据组件类型信息、组件标识信息和组件功能配置信息，能够实现对同一组件类型下的不同组件、以及同一组件的不同组件功能进行单独的权限配置，相比于现有技术中仅能对一类安全组件进行无差异化授权的方式，本实施例提高了对安全组件进行权限配置的灵活性。

进一步地，参照图4，图4为本发明安全组件的权限配置方法第二实施例的流程示意图。基于上述图2所示的实施例，在步骤S40之后，还可以包括：

步骤S50，生成与所述权限配置请求对应的权限配置信息，所述权限配置信息包括所述组件功能配置信息；

步骤S60，将生成的所述权限配置信息进行保存。

在本实施例中，在对目标组件的组件功能进行权限配置后，权限配置服务器可以进一步生成与权限配置请求对应的权限配置信息。具体地，权限配置服务器可以将权限配置请求中的组件类型信息、组件标识信息，以及与所述组件标识信息对应的组件功能配置信息相关联，同时结合配置时间、购买客户端标识等信息生成对应的权限配置信息。之后，将生成的权限配置信息进行保存，以便于后续查找和追溯。

进一步地，在上述步骤S60之后，还可以包括步骤：将所述权限配置信息发送至对应的授权客户端。

其中，授权客户端即组件客户端，其与权限配置服务器保持心跳连接，通过将权限配置信息发送至对应的授权客户端，能够使得相应的组件设备根据权限配置信息为购买客户端提供其所购买的服务功能。

本发明还提供一种安全组件的权限配置装置，参照图5，图5为本发明安全组件的权限配置装置一实施例的模块示意图，本实施例中，所述装置包括：

接收程序模块10，用于接收基于安全组件的权限配置请求；

获取程序模块20，用于获取所述权限配置请求中携带的组件类型信息、组件标识信息，以及与所述组件标识信息对应的组件功能配置信息；

调用程序模块30，用于调用与所述组件类型信息对应的授权接口，根据所述组件标识信息确定所述授权接口下待配置权限的的目标组件；

权限配置程序模块40，用于根据所述组件功能配置信息对所述目标组件的组件功能进行权限配置。

上述各功能模块实现的方法可参照本发明安全组件的权限配置方法实施例，此处不再赘述。

本实施例提出的安全组件的权限配置装置，通过接收程序模块10接收基于安全组件的权限配置请求，获取程序模块20获取权限配置请求中携带的组件类型信息、组件标识信息和组件功能配置信息，然后调用程序模块30调用与所述组件类型信息对应的授权接口，根据所述组件标识信息确定所述授权接口下待配置权限的的目标组件；之后权限配置程序模块40根据所述组件功能配置信息对所述目标组件的组件功能进行权限配置，实现了对同一组件类型下的不同组件、以及同一组件的不同组件功能进行单独的权限配置，相比于现有技术中仅能对一类安全组件进行无差异化授权的方式，本实施例提高了对安全组件进行权限配置的灵活性。

本发明还提供一种计算机可读存储介质。

本发明计算机可读存储介质上存储有安全组件的权限配置程序，所述安全组件的权限配置程序被处理器执行时实现如上所述的安全组件的权限配置方法的步骤。

其中，在所述处理器上运行的安全组件的权限配置程序被执行时所实现的方法可参照本发明安全组件的权限配置方法各个实施例，此处不再赘述。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者系统不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者系统所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者系统中还存在另外的相同要素。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在如上所述的一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本发明各个实施例所述的方法。

以上仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (8)

1.一种安全组件的权限配置方法，其特征在于，所述安全组件的权限配置方法包括如下步骤：

接收基于安全组件的权限配置请求；

获取所述权限配置请求中携带的组件类型信息、组件标识信息，以及与所述组件标识信息对应的组件功能配置信息；

调用与所述组件类型信息对应的授权接口，根据所述组件标识信息确定所述授权接口下待配置权限的的目标组件；

根据所述组件功能配置信息对所述目标组件的组件功能进行权限配置；

所述根据所述组件功能配置信息对所述目标组件的组件功能进行权限配置的步骤包括：

获取所述组件功能配置信息中的功能标识和与所述功能标识对应的功能使能参数；

根据所述功能标识和与所述功能标识对应的功能使能参数，控制所述目标组件中相应的组件功能开启或关闭；

所述功能使能参数包括功能使能位和授权期限，所述根据所述功能标识和与所述功能标识对应的功能使能参数，控制所述目标组件中相应的组件功能开启或关闭的步骤包括：

根据所述功能使能位控制所述目标组件中相应的组件功能开启或关闭；

根据所述授权期限设定组件功能保持开启或关闭状态的持续时间。

2.如权利要求1所述的安全组件的权限配置方法，其特征在于，所述接收基于安全组件的权限配置请求的步骤之前，还包括：

为不同类型的安全组件设置不同的授权接口。

3.如权利要求1或2所述的安全组件的权限配置方法，其特征在于，所述根据所述组件功能配置信息对所述目标组件的组件功能进行权限配置的步骤之后，还包括：

生成与所述权限配置请求对应的权限配置信息，所述权限配置信息包括所述组件功能配置信息；

将生成的所述权限配置信息进行保存。

4.如权利要求3所述的安全组件的权限配置方法，其特征在于，所述将生成的所述权限配置信息进行保存的步骤之后，还包括：

将所述权限配置信息发送至对应的授权客户端。

5.如权利要求1所述的安全组件的权限配置方法，其特征在于，所述权限配置请求为云端权限配置请求或离线权限配置请求。

6.一种安全组件的权限配置装置，其特征在于，所述安全组件的权限配置装置包括：

接收程序模块，用于接收基于安全组件的权限配置请求；

获取程序模块，用于获取所述权限配置请求中携带的组件类型信息、组件标识信息，以及与所述组件标识信息对应的组件功能配置信息；

调用程序模块，用于调用与所述组件类型信息对应的授权接口，根据所述组件标识信息确定所述授权接口下待配置权限的的目标组件；

权限配置程序模块，用于根据所述组件功能配置信息对所述目标组件的组件功能进行权限配置；

所述权限配置程序模块还用于：

获取所述组件功能配置信息中的功能标识和与所述功能标识对应的功能使能参数；

根据所述功能标识和与所述功能标识对应的功能使能参数，控制所述目标组件中相应的组件功能开启或关闭；

所述功能使能参数包括功能使能位和授权期限，所述权限配置程序模块还用于：

根据所述功能使能位控制所述目标组件中相应的组件功能开启或关闭；

根据所述授权期限设定组件功能保持开启或关闭状态的持续时间。

7.一种安全组件的权限配置设备，其特征在于，所述安全组件的权限配置设备包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的安全组件的权限配置程序，所述安全组件的权限配置程序被所述处理器执行时实现如权利要求1至5中任一项所述的安全组件的权限配置方法的步骤。

8.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有安全组件的权限配置程序，所述安全组件的权限配置程序被处理器执行时实现如权利要求1至5中任一项所述的安全组件的权限配置方法的步骤。

Images