CN109495514A - 基于边缘终端的角色访问控制系统及方法 - Google Patents

Abstract

本发明公开了一种基于边缘终端的角色访问控制系统及方法，所述系统包括认证模块M1，用于向用户提供角色信息；授权管理模块(M2)，用于为电表管理员提供对于整个访问控制系统中的角色以及权限信息进行配置与管理的服务；权限验证模块(M3)，用于接受来自用户发来的访问请求，与用户发来的访问请求进行匹配；角色/数据权限管理引擎(M4)，用于提供与角色/权限信息库(M5)进行交互的操作接口；角色/数据权限信息库(M5)，用于记录访问控制系统中的用户信息和权限信息；本发明可以满足对使用电表在边缘数据中心存放敏感数据的安全性需求。

Description

基于边缘终端的角色访问控制系统及方法

技术领域

本发明涉及访问控制技术领域，尤其涉及基于角色的访问控制技术。

背景技术

随着网络与通信技术的快速发展，智能家居，能源互联网等一系列电力供需领域新技术普及和推广，对电力系统智能化，自动化提出新的需求。物联网技术已广泛应用于智能电网发、输、变、配、用及调度等各环节，有效为电网中发、输、变、配、用等环节提供重要技术支撑，物联网技术的应用，使得电力智能化和自动化进入一个新的阶段。自动化事实上是一个以“控制”为核心。控制是基于“信号”的，而“计算”则是基于数据进行的，边缘计算是在高带宽、时间敏感型、物联网集成这个背景下发展起来的技术。边缘计算提供低时延的数据处理，因此，边缘计算是“基于信息的控制”；同时，数据传输不再经过距离遥远的网络传输，在安全性方面更加可控。

边缘终端的存储容量很小，为了节省本地存储和计算资源，通常将私有数据外包存储到边缘数据中心，数据的保密性很容易受到外部和内部攻击的威胁。因此，保密性和访问控制是确保系统安全性和保护用户隐私的关键技术和重要方法。传统的基于角色的访问控制的实现都是针对复杂的环境而实现的，其特点是适用于大型分布式网络环境，成本高，技术过于复杂，对系统整体依赖性强，独立性低，访问控制策略复杂，这些特点对边缘设备不适用，所以急需一种既能保证其安全性又适用于存储容量小的边缘设备的访问控制机制。

发明内容

本发明为解决上述问题，本发明提供了一种基于边缘终端的角色访问控制系统及方法，针对已有的基于角色的访问控制机制对系统整体依赖性强，独立性低，成本过高，存储容量大以及电表存储容量受限的特征，基于边缘设备的电表轻量级的访问控制机制来满足人们对使用电表在边缘数据中心存放的敏感数据的安全性的需求。

根据本发明的一个方面，提供一种基于边缘终端的角色访问控制系统，包括：

认证模块M1，用于向用户、电表维护员P2提供角色信息；所述认证模块M1包括身份认证模块和角色转换模块两部分，身份认证模块用于验证用户、电表维护员在登录系统时向其的身份信息，角色转换模块用于在对所述身份信息进行有效性验证以后，从角色/权限信息库M5中检索出属于该用户的角色信息并返回给用户；

授权管理模块M2，用于以图形用户界面的方式为电表管理员P1提供对于整个访问控制系统中的角色以及权限信息进行配置与管理的服务；

权限验证模块M3，用于接受来自用户发来的访问请求，通过角色/数据权限搜索引擎M4从角色/数据权限信息库M5中调取该用户的身份信息、角色和权限，与用户发来的访问请求进行匹配，核对成功，则向系统数据资源转发访问请求并告知访问权限；核对失败，权限验证模块向电表用户返回权限不足，拒绝访问系统数据资源；

角色/数据权限管理引擎M4，用于为授权管理模块M2和权限验证模块M3提供与角色/权限信息库M5进行交互的操作接口；

角色/数据权限信息库M5，用于记录访问控制系统中的用户信息和权限信息；在信息库中建立权限集合，将权限集合中的权限组合成权限控制集合；将用户分配到相应的角色中，生成用户与角色的对应表；将所述对应表与所述权限控制集合进行关联，形成所述对应表与所述权限控制集合的关联关系。

根据本发明的另一个方面，提供一种基于边缘终端的角色访问控制方法，包括以下步骤：

步骤1，用户P2向认证模块M1发送个人身份信息及请求；

步骤2，认证模块M1验证用户P2的身份信息，从角色/数据权限信息库M5获得用户P2的角色信息并返回给用户P2；

步骤3，用户P2以分配的角色和密码登录，发送访问请求，权限验证模块M3接受到用户发来的访问请求，权限验证模块M3通过角色/数据权限搜索引擎M4从角色/数据权限信息库M5中调取该用户的身份信息、角色和权限，与用户发来的访问请求进行匹配，核对成功，则向系统数据资源转发访问请求并告知访问权限；核对失败，权限验证模块向电表用户返回权限不足，拒绝访问系统数据资源；

步骤4，系统数据资源收到转发访问请求后，向电表用户发送响应请求并同意其对系统数据资源的访问。

本发明的有益效果在于，提出了一种基于边缘终端的角色访问控制系统及方法，解决了已有的基于角色的访问控制机制对系统整体依赖性强，独立性低，成本过高，存储容量大以及电表存储容量受限的问题，满足了人们对使用电表在边缘数据中心存放的敏感数据的安全性的需求。

附图说明

图1是本发明实施例提供的一种基于边缘终端的角色访问控制系统结构示意图；

图2是本发明的实施例提供的一种基于边缘终端的角色访问控制系统中的认证模块结构图；

图3是本发明的实施例提供的一种基于边缘终端的角色访问控制系统中的认证模块的认证流程图；

图4是本发明的实施例提供的一种基于边缘终端的角色访问控制方法流程图。

具体实施方式

下面本发明具体的实施方式进行阐述，来进一步说明本发明的出发点以及相应的技术方案。

图1是本发明实施例提供的一种基于边缘终端的角色访问控制系统结构示意图，包括所述系统，以及使用系统的电表后台管理员P1和用户、抄表员、外部协同用户、电表数据抽查员等相关人员P2，所述系统包括五个模块：

认证模块M1，用于向用户、电表维护员P2提供角色信息；所述认证模块M1包括身份认证模块和角色转换模块两部分，身份认证模块用于验证用户、电表维护员在登录系统时向其的身份信息，角色转换模块用于在对所述身份信息进行有效性验证以后，从角色/权限信息库M5中检索出属于该用户的角色信息并返回给用户。

图2是本发明的实施例提供的一种基于边缘终端的角色访问控制系统中的认证模块结构图。作为一种可实现的实施例，所述认证模块M1可以是一种远程电脑端，或者位于远程电脑端中。所述认证模块M1进一步包括：

数据通信模块N1，用于将认证信息生成模块N3生成的认证信息发送给电表用户；

认证用户名及密码的安全管理模块N2，用于加密密码给认证信息生成模块N3；

认证信息生成模块N3，用于接收认证请求，检测请求对象是否为电表用户；通过认证权重计算模块N4获得认证权重；通过信息与密码安全管理模块N2获得加密密码后生成认证信息；

权重计算模块N4，用于检测交互事件是否达到交互事件判断门限，当交互事件达到判断门限时，根据交互事件信息计算出认证权重。

优选的，所述权重计算模块N4检测的交互事件可以为电表用户收发的短信，所述交互事件信息可以是短信的条数，交互事件的认证权重计算公式为：

w(x)＝exp(a·(x-θ))-1(x＞θ)

其中w(x)为认证权重，x为交互事件信息衡量值，a为调节系数，θ为交互事件的判断门限，θ可以是最短的访问时长。

随着系统中交互事件信息值x的确定，交互事件的认证权重值w(x)也将被确定，当系统中设定的认证权重值w(x)小于或等于由交互事件计算出的电表用户的认证权重值时，则认为交互事件为可信，即电表用户依然在使用这个电表。电表后台管理员在一段时间内设置个权重值，一次低于这个权重值，给予提醒，多次低于权重值，需要用户重新认证自己的身份，防止电表用户长时间不用这个电表，而角色/权限信息库还存在。

图3是本发明的实施例提供的一种基于边缘终端的角色访问控制系统中的认证模块的认证流程图。优选的，认证模块M1验证用户P2的身份信息，依次进行以下判断：

判断消息的有效性R1、判断认证信息的有效性R2、判断用户身份的匹配性R3、返回认证信息并分配角色R4，三项判断全部通过则返回认证信息并分配角色；否则，认证失败，提示重新输入信息进行认证。所述身份信息作为一种认证信息处理。

授权管理模块M2，用于以图形用户界面的方式为电表管理员提供对于整个访问控制系统中的角色以及权限信息进行配置与管理的服务。

所述授权管理模块M2将系统中角色间的继承关系、资源以及操作等权限信息以树型结构显示出来，这样，电表后台管理员将无需了解角色/权限库的具体结构，就可以实现对于系统角色以及权限的配置与管理。授权管理模块提供以下管理操作：

对于用户管理方面，授权管理模块M2将系统中所有用户的角色分配信息登记在角色/权限信息库M5中，电表后台管理员通过授权管理模块M2可以完成对系统中用户的对应角色信息的检索、修改操作，同时电表管理员可以添加、删除系统用户；

对于角色管理方面，依据基于角色的访问控制RBAC的基本模型，电表后台管理员可以设置出系统中的角色以及角色之间的相互关系并通过授权管理模块(M2)提供的界面创建、删除角色，为角色添加或删除权限，灵活地为角色配置相应的权限；

对于权限管理方面，定义与管理系统中的权限。访问控制系统中将权限Pa定义为某种系统资源Sa与某种操作Oa的绑定。电表后台管理员通过授权管理模块M2提供的图形化界面来实现Sa与Oa的绑定，由此定义系统中的某种权限Pa并实现权限信息的修改与删除，达到权限管理的目的。

权限验证模块M3，用于接受来自用户发来的访问请求，通过角色/数据权限搜索引擎M4从角色/数据权限信息库M5中调取该用户的身份信息、角色和权限，与用户发来的访问请求进行匹配，核对成功，则向系统数据资源转发访问请求并告知访问权限；核对失败，权限验证模块向电表用户返回权限不足，拒绝访问系统数据资源。

角色/数据权限管理引擎M4，用于为授权管理模块M2和权限验证模块M3提供与角色/权限信息库M5进行交互的操作接口。

通过所述角色/权限管理引擎M4，授权管理模块M2与权限验证模块M3不仅能检索角色/权限信息库获取相关的权限信息，而且还能改变角色/权限信息库的相关内容。

角色/数据权限信息库M5，用于记录访问控制系统中的用户信息和权限信息；在信息库中建立权限集合，将权限集合中的权限组合成权限控制集合；将用户分配到相应的角色中，生成用户与角色的对应表；将所述对应表与所述权限控制集合进行关联，形成所述对应表与所述权限控制集合的关联关系。

角色/权限信息库M5中记录了访问控制系统中的用户信息和权限信息，本发明使用可扩展标记语言XML文件这一标准的数据交换形式来记录系统中的用户与权限信息。XML文件本身结构清晰，具有良好的可扩展性，易于创建、存储与处理，描述能力强，能够很好的满足轻量级地应用。用于记录用户信息和其他权限信息的XML文件格式如下：

1)UserDef节点：记录用户的基本信息，包括用户的身份标识码、密码、组别信息、角色信息；

2)GroupDef节点：记录不同组别的基本信息，包括组别标识码、组别角色信息；

3)RoleDef节点：记录角色信息，包括角色识别码、角色继承标识位、权限信息组(多个子节点，每个子节点记录该角色拥有一项权限)；

4)SubjectDef节点：记录资源对象信息，包括标识码、资源对象名称、父资源对象标识码；

5)OperationDef节点：记录操作信息，包括操作标识码、操作名称、父操作标识码；

6)PrivilegeDef节点：记录权限信息，实现资源对象Subject与操作Operation的绑定，包括权限标识码、该权限的资源对象标识码、该权限操作标识码。

图4是本发明的实施例提供的一种基于边缘终端的角色访问控制方法流程图。所述方法包括：

步骤1，用户P2向认证模块M1发送个人身份信息及请求；

步骤2，认证模块M1验证用户P2的身份信息，从角色/数据权限信息库M5获得用户P2的角色信息并返回给用户P2；

步骤3，用户P2以分配的角色和密码登录，发送访问请求，权限验证模块M3接受到用户发来的访问请求，权限验证模块M3通过角色/数据权限搜索引擎M4从角色/数据权限信息库M5中调取该用户的身份信息、角色和权限，与用户发来的访问请求进行匹配，核对成功，则向系统数据资源转发访问请求并告知访问权限；核对失败，权限验证模块向电表用户返回权限不足，拒绝访问系统数据资源；

步骤4，系统数据资源收到转发访问请求后，向电表用户发送响应请求并同意其对系统数据资源的访问。

优选的，步骤1所述的请求可以为登录请求，注册请求，认证请求或者访问请求。

进一步的，当步骤2所述认证模块M1接收到的请求为注册请求时，包括步骤：

认证模块M1将用户身份信息反馈给电表后台管理员P1，电表后台管理员P1在远程电脑端通过授权管理模块M2核对信息，通过认证模块M1将分配的角色和权限发送给用户，同时将用户身份信息、角色和权限存储到角色/数据权限信息库M5。

新电表用户加入系统，可以通过以下两种方式完成新用户的加入，可以是用户主动注册，也可以是电表后台管理员在角色/数据权限信息库中添加用户。

用户申请进入系统时向认证模块M1提交手机号码及用户的相关信息，提交设置好的密码。认证模块接收到这些信息后，电表后台管理员将其与用户的电表的编号关联在一起。新用户成功加入系统时，认证模块M1就为该新用户分配一个与认证模块M1之间相关联的角色及权限。

进一步的，步骤2所述认证模块M1接收到的请求为认证请求时，包括步骤：

认证信息的生成模块N3检测请求对象是否为电表用户。若是，认证权重计算模块N4检测交互事件是否达到交互事件判断门限；当交互事件达到判断门限时，根据交互事件信息计算出认证权重；认证信息的生成模块N3通过认证权重计算模块N4获得认证权重，通过信息与密码安全管理模块N2获得加密密码后生成认证信息并通过数据通信模块N1发送给电表用户；所述数据通信模块N1，认证用户名及密码的安全管理模块N2，认证信息生成模块N3，权重计算模块N4为认证模块M1中的模块。

优选的，步骤2所述的认证模块(M1)验证用户(P2)的身份信息，包括：

判断消息的有效性(R1)、判断认证信息的有效性(R2)、判断用户身份的匹配性(R3)、返回认证信息并分配角色(R4)，三项判断全部通过则返回认证信息并分配角色；否则，认证失败，提示重新输入信息进行认证。所述身份信息作为认证信息处理。

优选的，所述步骤3包括：

电表用户P2再次以角色的身份向验证模块发送访问请求，验证模块M3接收到请求后，向角色/数据管理引擎M4发送配置权限的消息，消息中携带有角色信息，管理引擎M4通过角色信息从权限信息库M5中依次查找，组别信息，角色信息，权限信息，将找到的权限信息及角色信息返回到管理引擎M4，管理引擎M4再传递给权限验证模块M3，验证模块M3再次核对角色信息和权限信息的是否匹配，如果匹配就将权限信息发送给电表用户P2，否则，返回验证失败。

以上的所述乃是本发明的具体实施例及所运用的技术原理，若依本发明的构想所作的改变，其所产生的功能作用仍未超出说明书及附图所涵盖的精神时，仍应属本发明的保护范围。

Claims (10)

1.一种基于边缘终端的角色访问控制系统，其特征在于，包括：

认证模块(M1)，用于向用户、电表维护员(P2)提供角色信息；所述认证模块(M1)包括身份认证模块和角色转换模块两部分，身份认证模块用于验证用户、电表维护员在登录系统时向其的身份信息，角色转换模块用于在对所述身份信息进行有效性验证以后，从角色/权限信息库(M5)中检索出属于该用户的角色信息并返回给用户；

授权管理模块(M2)，用于以图形用户界面的方式为电表管理员(P1)提供对于整个访问控制系统中的角色以及权限信息进行配置与管理的服务；

权限验证模块(M3)，用于接受来自用户发来的访问请求，通过角色/数据权限搜索引擎(M4)从角色/数据权限信息库(M5)中调取该用户的身份信息、角色和权限，与用户发来的访问请求进行匹配，核对成功，则向系统数据资源转发访问请求并告知访问权限；核对失败，权限验证模块向电表用户返回权限不足，拒绝访问系统数据资源；

角色/数据权限管理引擎(M4)，用于为授权管理模块(M2)和权限验证模块(M3)提供与角色/权限信息库(M5)进行交互的操作接口；

角色/数据权限信息库(M5)，用于记录访问控制系统中的用户信息和权限信息；在信息库中建立权限集合，将权限集合中的权限组合成权限控制集合；将用户分配到相应的角色中，生成用户与角色的对应表；将所述对应表与所述权限控制集合进行关联，形成所述对应表与所述权限控制集合的关联关系。

2.根据权利要求1所述的一种基于边缘终端的角色访问控制系统，其特征在于，所述认证模块(M1)还包括：

数据通信模块(N1)，用于将认证信息生成模块(N3)生成的认证信息发送给电表用户；

认证用户名及密码的安全管理模块(N2)，用于加密密码给认证信息生成模块(N3)；

认证信息生成模块(N3)，用于接收认证请求，检测请求对象是否为电表用户；通过认证权重计算模块(N4)获得认证权重；通过信息与密码安全管理模块(N2)获得加密密码后生成认证信息；

权重计算模块(N4)，用于检测交互事件是否达到交互事件判断门限，当交互事件达到判断门限时，根据交互事件信息计算出认证权重。

3.根据权利要求2所述的一种基于边缘终端的角色访问控制系统，其特征在于，所述交互事件为电表用户收发的短信，所述交互事件信息为短信的条数，交互事件的认证权重计算公式为：

w(x)＝exp(a·(x-θ))-1(x＞θ)

其中w(x)为认证权重，x为交互事件信息衡量值，a为调节系数，θ为交互事件的判断门限。

4.根据权利要求1至3任一所述的一种基于边缘终端的角色访问控制系统，其特征在于，认证模块(M1)验证用户(P2)的身份信息，包括：

判断消息的有效性(R1)、判断认证信息的有效性(R2)、判断用户身份的匹配性(R3)、返回认证信息并分配角色(R4)，三项判断全部通过则返回认证信息并分配角色；否则，认证失败，提示重新输入信息进行认证。

5.根据权利要求1所述的一种基于边缘终端的角色访问控制系统，其特征在于，所述角色/权限信息库(M5)记录用户信息和权限信息使用可扩展标记语言XML文件，所述XML文件格式包括：

(1)UserDef节点：记录用户的基本信息，包括用户的身份标识码、密码、组别信息、角色信息；

(2)GroupDef节点：记录不同组别的基本信息，包括组别标识码、组别角色信息；

(3)RoleDef节点：记录角色信息，包括角色识别码、角色继承标识位、权限信息组(多个子节点，每个子节点记录该角色拥有一项权限)；

(4)SubjectDef节点：记录资源对象信息，包括标识码、资源对象名称、父资源对象标识码；

(5)OperationDef节点：记录操作信息，包括操作标识码、操作名称、父操作标识码；

(6)PrivilegeDef节点：记录权限信息，实现资源对象Subject与操作Operation的绑定，包括权限标识码、该权限的资源对象标识码、该权限操作标识码。

6.一种基于边缘终端的角色访问控制方法，其特征在于，包括：

步骤1，用户(P2)向认证模块(M1)发送个人身份信息及请求；

步骤2，认证模块(M1)验证用户(P2)的身份信息，从角色/数据权限信息库(M5)获得用户(P2)的角色信息并返回给用户(P2)；

步骤3，用户(P2)以分配的角色和密码登录，发送访问请求，权限验证模块(M3)接受到用户发来的访问请求，权限验证模块(M3)通过角色/数据权限搜索引擎(M4)从角色/数据权限信息库(M5)中调取该用户的身份信息、角色和权限，与用户发来的访问请求进行匹配，核对成功，则向系统数据资源转发访问请求并告知访问权限；核对失败，权限验证模块向电表用户返回权限不足，拒绝访问系统数据资源；

步骤4，系统数据资源收到转发访问请求后，向电表用户发送响应请求并同意其对系统数据资源的访问。

7.根据权利要求6所述的一种基于边缘终端的角色访问控制方法，其特征在于，步骤2所述认证模块(M1)接收到的请求为注册请求时，包括步骤：

认证模块(M1)将用户身份信息反馈给电表后台管理员(P1)，电表后台管理员(P1)在远程电脑端通过授权管理模块(M2)核对信息，通过认证模块(M1)将分配的角色和权限发送给用户，同时将用户身份信息、角色和权限存储到角色/数据权限信息库(M5)。

8.根据权利要求6所述的一种基于边缘终端的角色访问控制方法，其特征在于，步骤2所述认证模块(M1)接收到的请求为认证请求时，包括步骤：

认证信息的生成模块(N3)检测请求对象是否为电表用户；若是，认证权重计算模块(N4)检测交互事件是否达到交互事件判断门限；当交互事件达到判断门限时，根据交互事件信息计算出认证权重；认证信息的生成模块(N3)通过认证权重计算模块(N4)获得认证权重，通过信息与密码安全管理模块(N2)获得加密密码后生成认证信息并通过数据通信模块(N1)发送给电表用户；所述数据通信模块(N1)，认证用户名及密码的安全管理模块(N2)，认证信息生成模块(N3)，权重计算模块(N4)为认证模块(M1)中的模块。

9.根据权利要求8所述的一种基于边缘终端的角色访问控制方法，其特征在于，所述交互事件为电表用户收发的短信，所述交互事件信息为短信的条数，交互事件的认证权重计算公式为：

w(x)＝exp(a·(x-θ))-1(x＞θ)

其中w(x)为认证权重，x为交互事件信息衡量值，a为调节系数，θ为交互事件的判断门限。

10.根据权利要求6所述的一种基于边缘终端的角色访问控制系统，其特征在于，认证模块(M1)验证用户(P2)的身份信息，包括：

判断消息的有效性(R1)、判断认证信息的有效性(R2)、判断用户身份的匹配性(R3)、返回认证信息并分配角色(R4)，三项判断全部通过则返回认证信息并分配角色；否则，认证失败，提示重新输入信息进行认证。