CN109756527B - 数据共享方法、装置及系统 - Google Patents

Abstract

本发明公开了一种数据共享方法、装置及系统。其中，该方法包括：检测第二约束条件的权限范围是否小于第一约束条件的权限范围，其中，第一约束条件为第一租户使用共享资源的条件，第二约束条件为第二租户使用共享资源的条件；在第二约束条件的权限范围小于第一约束条件的权限范围的情况下，创建共享资源的镜像的记录，以便第二租户内的成员根据镜像访问共享资源。本发明解决了现有的多租户之间数据共享方式，资源开销较大且成本较高的技术问题。

Description

数据共享方法、装置及系统

技术领域

本发明涉及数据存储领域，具体而言，涉及一种数据共享方法、装置及系统。

背景技术

云存储是在云计算概念上延伸和发展出来的一个新兴的网络存储技术，当云计算系统运算和处理的核心是大量数据的存储和管理时，云计算系统中就需要配置大量的存储设备，云计算系统需要转变为一个云端存储系统，因此，云存储系统是一个以数据存储和管理为核心的云计算系统。

图1是根据现有技术的一种完整的数据的组成部分的示意图，如图1所示，一份完整的数据在云计算系统的存储结构包括以下三部分数据：原始数据、元数据和访问控制数据。在传统的多租户系统之间，以上三部分数据是完全隔离的，以此保障租户间数据的隔离，但是，当多个租户之间需要共享同一份数据时，只能从持有数据的租户中导出该数据，再将该数据导入到需要该数据的租户中。

上述的云存储的数据共享方式，不仅消耗计算资源、带宽资源和存储资源，并且这种消耗会随着资源规模的增大而增大，导致多租户之间数据共享的成本较高。

针对上述现有的多租户之间数据共享方式，资源开销较大且成本较高的问题，目前尚未提出有效的解决方案。

发明内容

本发明实施例提供了一种数据共享方法、装置及系统，以至少解决现有的多租户之间数据共享方式，资源开销较大且成本较高的技术问题。

根据本发明实施例的一个方面，提供了一种数据共享系统，包括：第一租户管理模块，用于设置共享资源以及使用上述共享资源的第一约束条件；设置第二租户管理模块使用上述共享资源的第二约束条件；处理模块，用于在上述第二约束条件的权限范围小于上述第一约束条件的权限范围的情况下，创建上述共享资源的镜像的记录；第二租户管理模块，用于在检测到存在上述记录的情况下，上述第二租户管理模块内的管理子模块根据上述镜像访问上述共享资源。

根据本发明实施例的另一方面，还提供了一种数据共享方法，包括：检测第二约束条件的权限范围是否小于第一约束条件的权限范围，其中，第一约束条件为第一租户使用共享资源的条件，第二约束条件为第二租户使用共享资源的条件；在第二约束条件的权限范围小于第一约束条件的权限范围的情况下，创建共享资源的镜像的记录，以便第二租户内的成员根据镜像访问共享资源。

根据本发明实施例的另一方面，还提供了一种数据共享装置，包括：检测模块，用于检测第二约束条件的权限范围是否小于第一约束条件的权限范围，其中，第一约束条件为第一租户使用共享资源的条件，第二约束条件为第二租户使用共享资源的条件；创建模块，用于在第二约束条件的权限范围小于第一约束条件的权限范围的情况下，创建共享资源的镜像的记录，以便第二租户内的成员根据镜像访问共享资源。

根据本发明实施例的另一方面，还提供了一种存储介质，存储介质包括存储的程序，其中，在程序运行时控制存储介质所在设备执行下述步骤：检测第二约束条件的权限范围是否小于第一约束条件的权限范围，其中，上述第一约束条件为第一租户使用共享资源的条件，上述第二约束条件为第二租户使用上述共享资源的条件；在上述第二约束条件的权限范围小于上述第一约束条件的权限范围的情况下，创建上述共享资源的镜像的记录，以便上述第二租户内的成员根据上述镜像访问上述共享资源。

根据本发明实施例的另一方面，还提供了一种处理器，处理器用于运行程序，其中，程序运行时执行下述步骤：检测第二约束条件的权限范围是否小于第一约束条件的权限范围，其中，上述第一约束条件为第一租户使用共享资源的条件，上述第二约束条件为第二租户使用上述共享资源的条件；在上述第二约束条件的权限范围小于上述第一约束条件的权限范围的情况下，创建上述共享资源的镜像的记录，以便上述第二租户内的成员根据上述镜像访问上述共享资源。

根据本发明实施例的另一方面，还提供了一种计算机终端，包括：处理器；以及存储器，与处理器连接，用于为处理器提供处理以下处理步骤的指令：检测第二约束条件的权限范围是否小于第一约束条件的权限范围，其中，上述第一约束条件为第一租户使用共享资源的条件，上述第二约束条件为第二租户使用上述共享资源的条件；在上述第二约束条件的权限范围小于上述第一约束条件的权限范围的情况下，创建上述共享资源的镜像的记录，以便上述第二租户内的成员根据上述镜像访问上述共享资源。

在本发明实施例中，采用共享特定数据资源的元数据和原始数据的方式，通过检测第二约束条件的权限范围是否小于第一约束条件的权限范围，其中，第一约束条件为第一租户使用共享资源的条件，第二约束条件为第二租户使用共享资源的条件；在第二约束条件的权限范围小于第一约束条件的权限范围的情况下，创建共享资源的镜像的记录，以便第二租户内的成员根据镜像访问共享资源，达到了在多租户之间安全高效共享数据资源的目的，从而实现了降低共享数据资源的开销的技术效果，进而解决了现有的多租户之间数据共享方式，资源开销较大且成本较高的技术问题。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据现有技术的一种完整的数据的组成部分的示意图；

图2是根据本申请实施例的一种数据共享系统的结构示意图；

图3是根据本发明实施例的一种可选的第一租户管理模块授予第二租户管理模块共享权限的交互示意图；

图4是根据本发明实施例的一种可选的共享数据的组成部分的示意图；

图5是根据本发明实施例的一种可选的第二租户管理模块建立共享关系和管理共享资源的示意图；

图6是根据本发明实施例的一种可选的镜像数据的示意图；

图7是根据本发明实施例的一种可选的管理子模块访问共享资源的鉴权流程示意图；

图8是根据本发明实施例的一种资源共享和共享资源使用的交互示意图；

图9是根据本发明实施例的一种收回资源共享权限的交互示意图；

图10是根据本发明实施例的一种取消资源共享的交互示意图；

图11是根据本发明实施例的一种数据共享方法的流程图；

图12是根据本发明实施例的一种可选的数据共享方法的流程图；

图13是根据本发明实施例的一种可选的数据共享方法的流程图；

图14是根据本申请实施例的一种数据共享装置的结构示意图；以及

图15是根据本申请实施例的一种计算机终端的硬件结构框图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

首先，在对本申请实施例进行描述的过程中出现的部分名词或术语适用于如下解释：

多租户(multi-tenancy technology)：或称为多重租赁技术，是指相对多实例的一种软件架构技术。多个租户共享一个运行实例，但是拥有相互隔离的数据资源、计算资源、配置和访问控制。

元数据：描述数据的数据。一般指明原始数据的存储格式、存储位置等。数据的读接口通过识别元数据才能返回正确的用户数据。

访问控制：由主体、客体、权限组成的三元组数据，描述“哪些用户”对“哪些数据”有“哪些权限”，上述数据包括共享资源。

鉴权：是指验证用户是否拥有访问系统的权利，目前主流的鉴权方式是利用认证授权来验证数字签名的正确与否。

镜像：是指文件的一种存储形式，将特定的一系列文件按照一定的格式制作成单一的文件，以方便用户下载和使用，一个磁盘上的数据在另一个磁盘上存在一个完全相同的副本即为镜像。

实施例1

在描述本申请的各实施例的进一步细节之前，将参考图2来描述可用于实现本申请原理的一个合适的数据共享系统。

图2是根据本申请实施例的一种数据共享系统的结构示意图，出于描述的目的，所绘结构仅为合适环境的一个示例，并非对本申请的使用范围或功能提出任何局限。也不应将该数据共享系统，解释为对图2所示的任一组件或其组合具有任何依赖或需求。

本申请实施例所提供的数据共享系统，可用于多个租户之间需要共享云计算平台中存储的数据资源时，无需将该数据资源进行导入和导出，通过共享特定数据资源的元数据和原始数据，即可实现该数据资源的共享，进而可以降低共享数据资源的开销。

具体的，图2示出了一种数据共享系统的结构示意图，如图2所示，该系统包括：第一租户管理模块10、处理模块12和第二租户管理模块14。

第一租户管理模块10，用于设置共享资源以及使用上述共享资源的第一约束条件；设置第二租户管理模块使用上述共享资源的第二约束条件；处理模块12，用于在上述第二约束条件的权限范围小于上述第一约束条件的权限范围的情况下，创建上述共享资源的镜像的记录；第二租户管理模块14，用于在检测到存在上述记录的情况下，上述第二租户管理模块内的管理子模块根据上述镜像访问上述共享资源。

可选的，上述第一租户管理模块10可以为资源共享方中的第一租户管理模块，其中，资源共享方也即，共享资源所在的租户，如图3所示，共享资源所在的租户(第一租户)内有权限的成员(例如，租户管理员)，可以通过上述第一租户管理模块10将特定资源设置为共享状态(即为上述的共享资源)，并设置第二租户管理模块14使用共享资源的第一约束条件。

在一种可选的实施方式中，资源共享方可以单独为每个共享资源设置约束条件，进而可以更加有效的保护共享资源所在的租户的数据安全。

可选的，上述处理模块12可以为云平台，例如，云计算平台；上述第二租户管理模块14可以为共享资源的接收方(第二租户)中的第二租户管理模块，其中，共享资源的接收方也即，使用资源共享方的共享资源的租户。

在一种可选的实施方式中，上述约束条件包括以下至少之一：对方租户(即共享资源的接收方)访问共享数据的时间段、访问共享数据的IP地址、权限列表；其中，权限列表用于指示对共享资源的操作。

需要说明的是，上述“时间段”可以为限制对方租户(相对于“资源共享方”而言)使用共享数据的时间段，确保本租户内部数据更新时，中间态的数据不会被对方租户看到；上述“IP地址”可以把访问的来源限制到一个可控的范围内；上述“权限列表”用于指示对共享资源的操作，可以包括“读”、“写”、“更改”、“下载”等操作权限。

图4是根据本发明实施例的一种可选的共享数据的组成部分的示意图，如图4所示，相对于现有的数据的组成形式，共享数据的组成部分在云计算系统的存储结构还可以包括：共享状态、共享约束条件和对其他租户的授权列表。

需要说明的是，只有被设置成共享状态的数据资源才可以被其它租户使用，同一个数据资源可以共享给多个租户，每个租户又可以基于上述的第一约束条件设置新的权限列表和使用条件(第二约束条件)。

在一种可选的实施例中，仍如图3所示，第一租户管理模块10还用于设置第二租户管理模块14使用共享资源的第二约束条件，也即，设置允许某个租户可以使用的特定的共享资源，以及权限列表约束条件、过期时间。

仍需要说明的是，第二约束条件需要比第一约束条件中设置的更加严格，可选的，第二约束条件的权限范围可以小于第一约束条件的权限范围。例如，在设置第一约束条件时，第一租户的管理员给出了一个数据表的“读”、“写”、“更改”、“下载”的权限，在设置第二约束条件时，可以适应性缩小给出权限的范围，例如，仅将“读”的权限共享给具体的租户。

在一种可选的实施方式中，上述处理模块12，例如，云平台，可以在第二约束条件的权限范围小于第一约束条件的权限范围的情况下，创建共享资源的镜像的记录，其中，上述镜像的记录可以为未安装的资源镜像的记录。

如图5所示，上述第二租户管理模块14可以检测到外部资源区是否存在共享资源的镜像的记录，并在检测到外部资源区存在记录的情况下，将该镜像的状态设置为安装状态，进而将使用权限授予第二租户管理模块14内的管理子模块。

此外，上述处理模块12还可以在第一租户管理模块10和第二租户管理模块14上创建一条资源共享的记录，以便于将共享资源的使用记录同时分发给资源的使用者和拥有者。

在一种可选的实施方式中，图6是根据本发明实施例的一种可选的镜像数据的示意图，如图6所示，上述镜像包括以下至少之一：描述数据、第一约束条件、第二约束条件；其中，上述描述数据用于指示共享资源的元数据的存储位置，上述第一约束条件为资源共享方授予共享权限时，设置的约束条件。

需要说明的是，上述描述数据、第一约束条件对于安装该镜像的租户而言是只读数据，并不能对其执行修改操作。

在一种可选的实施例中，上述镜像还可以包括以下信息：共享资源的接收方(即第二租户)再授权产生的访问控制数据，需要说明的是，上述访问控制数据指的是资源的接收方，在安装镜像后，将资源再授权给租户内成员的访问控制数据，可以理解为再授权操作。

在另外一种可选的实施例中，资源共享方可以将共享资源打包(组织)之后，再进行资源的共享，例如，可以将一个租户的资源全部打成一个包，或者把相近的资源打成一个包。资源共享时只需执行一个操作，就可以把一个包里的资源共享出去，并且，可以在包的级别上设置使用资源的约束条件。

基于上述实施例所限定的方案可以获知，第一租户管理模块10，用于设置共享资源以及使用上述共享资源的第一约束条件；设置第二租户管理模块使用上述共享资源的第二约束条件；处理模块12，用于在上述第二约束条件的权限范围小于上述第一约束条件的权限范围的情况下，创建上述共享资源的镜像的记录；第二租户管理模块14，用于在检测到存在上述记录的情况下，上述第二租户管理模块内的管理子模块根据上述镜像访问上述共享资源。

容易注意到的是，由于云计算平台中用户数据的物理存储是共享的，本申请上述实施例在实现多租户间数据资源共享的过程中，通过共享特定数据资源的元数据和原始数据，实现该数据资源的共享，进而可以降低共享数据资源的开销，解决了现有的多租户之间数据共享方式，资源开销较大且成本较高的技术问题。并且，本申请上述实施方式，通过设置共享资源的约束条件，还可以实现共享资源的安全共享。

通过本申请上述实施例所提供的方案，达到了在多租户之间安全高效共享数据资源的目的，从而实现了降低共享数据资源的开销的技术效果，进而解决了现有的多租户之间数据共享方式，资源开销较大且成本较高的技术问题。

在一种可选的实施方式中，上述第二租户管理模块14，还用于设置上述管理子模块访问上述镜像的第三约束条件；处理模块12，还用于在第三约束条件的权限范围小于第二约束条件的权限范围的情况下，生成鉴权通过指示消息。

可选的，在第二租户管理模块14在检测到外部资源区存在镜像的记录，并根据该记录安装镜像之后，第二租户的管理员可以将镜像的访问权限授予给本租户内的成员。

需要说明的是，处理模块12可以根据在授权之前设置的第三约束条件，对成员访问镜像进行鉴权，并在第三约束条件的权限范围小于第二约束条件的权限范围的情况下，生成鉴权通过指示消息。

在一种可选的实施方式中，上述系统还包括：管理子模块，用于在检测到处理模块生成的鉴权通过指示消息的情况下，根据镜像访问共享资源。

在一种可选的实施方式中，如图7所示，上述处理模块12，还用于当管理子模块访问共享资源时，判断成员对应的第二租户管理模块14是否已安装共享资源的镜像；若已安装，检测管理子模块是否有第二租户管理模块14授予成员的权限；若有，检测管理子模块是否满足共享资源的第一约束条件；其中，在成员满足第一约束条件的情况下，管理子模块访问共享资源。

需要说明的是，若上述管理子模块对应的第二租户管理模块14没有安装共享资源的镜像，或者，检测到第二租户管理模块没有授予管理子模块权限，再或者，检测到管理子模块不满足共享资源的第一约束条件，如满足上述任意一个条件，则上述管理子模块不能访问该共享资源。

作为一种可选的实施方式，在上述管理子模块访问共享资源时，仍如图7所示，上述处理模块12，还用于将共享资源的使用记录同步至第一租户管理模块10和第二租户管理模块14。

可选的，上述共享资源的使用记录可以为但不限于：管理子模块访问镜像数据的访问控制记录。

在一种可选的实施方式中，图8是根据本发明实施例的一种资源共享和共享资源使用的交互示意图，如图8所示，第一租户、第二租户和云平台可以以如下可选的实施方式进行交互：

步骤S80，第一租户的租户管理员设置资源为共享状态，以及使用共享资源的第一约束条件。

步骤S81，第一租户的租户管理员把资源共享给第二租户，并设置第二租户使用共享资源的第二约束条件。

步骤S82，云平台检测第二约束条件的权限范围是否小于第一约束条件的权限范围，若是，则在第二租户的外部资源区创建一条“未安装的资源”的记录。

步骤S83，第二租户在检测到外部资源区存在记录的情况下，根据记录安装镜像

步骤S84，第二租户将安装镜像的资源授权给租户内成员。

步骤S85，云平台检测第三约束条件的权限范围是否小于第二约束条件的权限范围，若是，则生成鉴权通过指示信息。

步骤S86，第二租户判断成员对应的租户是否已安装共享资源的镜像。

步骤S87，云平台检测成员是否有第二租户授予该成员的权限。

步骤S88，鉴权通过后，第二租户的成员根据镜像访问共享资源。

步骤S89，云平台把资源的使用记录同步给第一租户和第二租户。

在一种可选的实施方式中，上述第一租户，还用于回收第一约束条件中的第一权限；向云平台发送回收指示消息；上述云平台，还用于根据接收到的回收指示消息，确定共享资源对应的第二租户；回收第二租户的第一权限以及回收第二租户内的成员的第一权限；将回收第一权限的记录同步至第二租户。

作为一种可选的实施方式，上述第一权限可以为但不限于：权限列表中的“读”、“写”、“更改”、“下载”等操作权限中的任意一个权限。

以上述第一权限为“下载”权限为例，资源共享方(第一租户)发起的权限回收的实施例，可以如图9所示，第一租户的租户管理员收回其中一个共享资源的“下载”权限，并向云平台发送回收指示消息；云平台确定该共享资源对应的第二租户，并回收第二租户的“下载”权限以及第二租户内的成员对该共享资源的“下载”权限，将回收“下载”权限的记录同步至第二租户。

在完成多租户间数据资源共享之后，可以取消资源数据共享，如图10所示，在一种可选的实施方式中，上述第二租户(共享资源接收方)，还用于根据共享授权列表，删除其它租户内安装的镜像；上述第一租户(资源共享方)，还用于删除共享资源的记录，并取消共享资源的共享状态。

基于本申请上述可选的实施例，整个数据共享的生命周期大致可以包括：步骤S1，资源共享方设置共享资源以及使用共享资源的第一约束条件；步骤S2，资源共享方设置资源接收方使用共享资源的第二约束条件，建立共享关系；步骤S3，资源接收方使用共享数据；步骤S4，取消共享关系；步骤S5，取消数据共享。

需要说明的是，上述步骤S1、S2、S3中“访问控制数据”存在以下关系：步骤S3的“访问控制数据”是步骤S2的子集，步骤S2又是步骤S1的一个子集。在设置各个步骤中的“访问控制数据”时，云计算平台会检测是否满足上述关系的限制，用户在回收共享资源的共享权限时，对各个步骤中的“访问控制数据”执行级联删除。例如，租户A(第一租户)的管理员在步骤S1中共享表中的“读”“下载”权限给租户B(第二租户)，租户B安装该表，并将上述两个权限授予租户内的一个成员。当租户A删除了“下载”权限时，云计算平台会相应的回收成员的“下载”权限。

仍需要说明的是，出于描述的目的，上述可选的实施例可以对在整个数据共享的生命周期中，“访问控制数据”在各个步骤中存在的关系进行解释说明，仅为合适环境的一个示例，并非对本申请的使用范围或功能提出任何局限，在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

实施例2

根据本发明实施例，还提供了一种数据共享方法实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

需要说明的是，本申请实施例所提供的数据共享方法，可用于多个租户之间需要共享云计算平台中存储的数据资源时，无需将该数据资源进行导入和导出，通过共享特定数据资源的元数据和原始数据，即可实现该数据资源的共享，进而可以降低共享数据资源的开销。

在上述运行环境下，本申请提供了如图11所示的数据共享方法。图11是根据本发明实施例的一种数据共享方法的流程图，如图11所示，该方法包括如下方法步骤：

步骤S202，检测第二约束条件的权限范围是否小于第一约束条件的权限范围，其中，第一约束条件为第一租户使用共享资源的条件，第二约束条件为第二租户使用共享资源的条件。

具体的，上述步骤S202的执行主体可以为云计算平台。第一约束条件及第二约束条件均为第一租户设置的。

在一种可选的实施例中，上述第一租户可以为资源共享方，也即，共享资源所在的租户，第一租户内有权限的成员(例如，租户管理员)，可以将特定资源设置为共享状态，并设置使用共享资源的第一约束条件；第二租户可以为共享资源的接收方，也即，使用资源共享方的共享资源的租户。

在一种可选的实施方式中，上述约束条件包括以下至少之一：对方租户访问共享数据的时间段、访问共享数据的IP地址、权限列表；其中，权限列表用于指示对共享资源的操作。

在一种可选的实施例中，第一租户还用于设置第二租户使用共享资源的第二约束条件，也即，设置允许某个租户可以使用的特定的共享资源，以及权限列表约束条件、过期时间。

仍需要说明的是，第二约束条件需要比第一约束条件中设置的更加严格，可选的，第二约束条件的权限范围可以小于第一约束条件的权限范围。例如，在设置第一约束条件时，第一租户的管理员给出了一个数据表的“读”、“写”、“更改”、“下载”的权限，在设置第二约束条件时，可以适应性缩小给出权限的范围，例如，仅将“读”的权限共享给具体的租户。

步骤S204，在第二约束条件的权限范围小于第一约束条件的权限范围的情况下，创建共享资源的镜像的记录，以便第二租户内的成员根据镜像访问共享资源。

在一种可选的实施方式中，上述云平台在第二约束条件的权限范围小于第一约束条件的权限范围的情况下，可以创建共享资源的镜像的记录，其中，上述镜像的记录可以为未安装的资源镜像的记录，第二租户用于检测到外部资源区存在记录，并在检测到外部资源区存在记录的情况下，将该镜像的状态设置为安装状态，并将使用权限授予第二租户内的成员。

在另外一种可选的实施例中，上述镜像包括以下至少之一：描述数据、第一约束条件、第二约束条件；其中，上述描述数据用于指示共享资源的元数据的存储位置，上述第一约束条件为资源共享方授予共享权限时，设置的约束条件。

基于上述步骤S202至步骤S204所限定的方案可以获知，检测第二约束条件的权限范围是否小于第一约束条件的权限范围，其中，第一约束条件为第一租户使用共享资源的条件，第二约束条件为第二租户使用共享资源的条件；在第二约束条件的权限范围小于第一约束条件的权限范围的情况下，创建共享资源的镜像的记录，以便第二租户根据记录安装镜像后，第二租户内的成员根据镜像访问共享资源。

容易注意到的是，由于云计算平台中用户数据的物理存储是共享的，本申请上述实施例在实现多租户间数据资源共享的过程中，通过共享特定数据资源的元数据和原始数据，实现该数据资源的共享，进而可以降低共享数据资源的开销，解决了现有的多租户之间数据共享方式，资源开销较大且成本较高的技术问题。并且，本申请上述实施方式，通过设置共享资源的约束条件，还可以实现共享资源的安全共享。

通过本申请上述实施例所提供的方案，达到了在多租户之间安全高效共享数据资源的目的，从而实现了降低共享数据资源的开销的技术效果，进而解决了现有的多租户之间数据共享方式，资源开销较大且成本较高的技术问题。

在一种可选的实施方式中，图12是根据本发明实施例的一种可选的数据共享方法的流程图，如图12所示，上述方法还包括如下方法步骤：

步骤S302，检测第三约束条件的权限范围小于第二约束条件的权限范围，其中，第三约束条件为成员访问镜像的条件。

可选的，在上述步骤S302中，可以由第二租户设置成员访问镜像的第三约束条件，并由云计算平台检测第三约束条件的权限范围小于第二约束条件的权限范围。

步骤S304，在第三约束条件的权限范围小于第二约束条件的权限范围的情况下，生成鉴权通过指示消息。

在一种可选的实施方式中，上述系统还包括：成员，用于在检测到云平台生成的鉴权通过指示消息的情况下，根据镜像访问共享资源。

在一种可选的实施方式中，当成员访问共享资源时，图13是根据本发明实施例的一种可选的数据共享方法的流程图，如图13所示，上述方法还包括如下方法步骤：

步骤S402，判断成员对应的租户是否已安装共享资源的镜像；

步骤S404，若已安装上述共享资源的镜像，检测成员是否有第二租户授予成员的权限；

步骤S406，若上述成员有第二租户授予成员的权限，检测成员是否满足共享资源的第一约束条件；其中，在成员满足第一约束条件的情况下，成员访问共享资源。

在本申请实施例中，上述步骤S402至步骤S406的执行主体，可以为但不限于云平台。

并且，需要说明的是，若上述成员对应的租户没有安装共享资源的镜像，或者，检测到成员没有第二租户授予成员的权限，再或者，检测到成员不满足共享资源的第一约束条件，如满足上述任意一个条件，则成员不能访问该共享资源。

在一种可选的实施方式中，上述方法还包括如下方法步骤：将共享资源的使用记录同步至第一租户及第二租户。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本发明所必须的。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例的方法。

需要说明的是，本实施例的优选实施方式可以参见实施例1中的相关描述，此处不再赘述。

实施例3

根据本发明实施例，还提供了一种用于实施上述数据共享方法的装置，如图14所示，该装置包括：第一检测模块141和创建模块143，其中，

第一检测模块141，用于检测第二约束条件的权限范围是否小于第一约束条件的权限范围，其中，第一约束条件为第一租户使用共享资源的条件，第二约束条件为第二租户使用共享资源的条件；创建模块143，用于在第二约束条件的权限范围小于第一约束条件的权限范围的情况下，创建共享资源的镜像的记录，以便第二租户内的成员根据镜像访问共享资源。

此处需要说明的是，上述第一检测模块141和创建模块143对应于实施例2中的步骤S202至步骤S204，两个模块与对应的步骤所实现的实例和应用场景相同，但不限于上述实施例所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例4提供的计算机终端15中。

基于上述实施例所限定的方案可以获知，第一检测模块，用于检测第二约束条件的权限范围是否小于第一约束条件的权限范围，其中，第一约束条件为第一租户使用共享资源的条件，第二约束条件为第二租户使用共享资源的条件；创建模块，用于在第二约束条件的权限范围小于第一约束条件的权限范围的情况下，创建共享资源的镜像的记录，以便第二租户根据记录安装镜像后，第二租户内的成员根据镜像访问共享资源。

容易注意到的是，由于云计算平台中用户数据的物理存储是共享的，本申请上述实施例在实现多租户间数据资源共享的过程中，通过共享特定数据资源的元数据和原始数据，实现该数据资源的共享，进而可以降低共享数据资源的开销，解决了现有的多租户之间数据共享方式，资源开销较大且成本较高的技术问题。并且，本申请上述实施方式，通过设置共享资源的约束条件，还可以实现共享资源的安全共享。

通过本申请上述实施例所提供的方案，达到了在多租户之间安全高效共享数据资源的目的，从而实现了降低共享数据资源的开销的技术效果，进而解决了现有的多租户之间数据共享方式，资源开销较大且成本较高的技术问题。

在一种可选的实施方式中，仍如图14所示，上述装置还包括：第二检测模块145和生成模块147，其中，

第二检测模块145，用于检测第三约束条件的权限范围小于第二约束条件的权限范围，其中，第三约束条件为成员访问镜像的条件；生成模块147，用于在第三约束条件的权限范围小于第二约束条件的权限范围的情况下，生成鉴权通过指示消息。

此处需要说明的是，上述第二检测模块145和生成模块147对应于实施例2中的步骤S302至步骤S304，两个模块与对应的步骤所实现的实例和应用场景相同，但不限于上述实施例所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例4提供的计算机终端15中。

在一种可选的实施方式中，当成员访问共享资源时，仍如图14所示，上述装置还包括：判断模块149、第三检测模块151和第四检测模块153，其中，

判断模块149，用于判断成员对应的租户是否已安装共享资源的镜像；

第三检测模块151，用于若已安装，检测成员是否有第二租户授予成员的权限；

第四检测模块153，用于若成员有第二租户授予成员的权限，检测成员是否满足共享资源的第一约束条件；其中，在成员满足第一约束条件的情况下，成员访问共享资源。

此处需要说明的是，上述判断模块149、第三检测模块151和第四检测模块153对应于实施例2中的步骤S402至步骤S406，两个模块与对应的步骤所实现的实例和应用场景相同，但不限于上述实施例所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例4提供的计算机终端15中。

在一种可选的实施方式中，仍如图14所示，上述装置还包括：同步模块155，用于将共享资源的使用记录同步至第一租户及第二租户。

需要说明的是，本实施例的优选实施方式可以参见实施例1和实施例2中的相关描述，此处不再赘述。

实施例4

本发明的实施例可以提供一种计算机终端，该计算机终端可以是计算机终端群中的任意一个计算机终端设备。可选地，在本实施例中，上述计算机终端也可以替换为移动终端等终端设备。

可选地，在本实施例中，上述计算机终端可以位于计算机网络的多个网络设备中的至少一个网络设备。

在本实施例中，上述计算机终端可以执行应用程序的数据共享方法中以下步骤的程序代码：检测第二约束条件的权限范围是否小于第一约束条件的权限范围，其中，第一约束条件为第一租户使用共享资源的条件，第二约束条件为第二租户使用共享资源的条件；在第二约束条件的权限范围小于第一约束条件的权限范围的情况下，创建共享资源的镜像的记录，以便第二租户根据记录安装镜像后，第二租户内的成员根据镜像访问共享资源。

图15示出了一种计算机终端的硬件结构框图。如图15所示，计算机终端15可以包括一个或多个(图中采用152a、152b，……，152n来示出)处理器152(处理器152可以包括但不限于微处理器MCU或可编程逻辑器件FPGA等的处理装置)、用于存储数据的存储器154、以及用于通信功能的传输装置156。除此以外，还可以包括：显示器、输入/输出接口(I/O接口)、通用串行总线(USB)端口(可以作为I/O接口的端口中的一个端口被包括)、网络接口、电源和/或相机。本领域普通技术人员可以理解，图15所示的结构仅为示意，其并不对上述电子装置的结构造成限定。例如，计算机终端15还可包括比图15中所示更多或者更少的组件，或者具有与图15所示不同的配置。

应当注意到的是上述一个或多个处理器152和/或其他数据处理电路在本文中通常可以被称为“数据处理电路”。该数据处理电路可以全部或部分的体现为软件、硬件、固件或其他任意组合。此外，数据处理电路可为单个独立的处理模块，或全部或部分的结合到计算机终端15中的其他元件中的任意一个。如本申请实施例中所涉及到的，该数据处理电路作为一种处理器控制(例如与接口连接的可变电阻终端路径的选择)。

处理器152可以通过传输装置调用存储器存储的信息及应用程序，以执行下述步骤：检测第二约束条件的权限范围是否小于第一约束条件的权限范围，其中，第一约束条件为第一租户使用共享资源的条件，第二约束条件为第二租户使用共享资源的条件；在第二约束条件的权限范围小于第一约束条件的权限范围的情况下，创建共享资源的镜像的记录，以便第二租户内的成员根据镜像访问共享资源。

存储器154可用于存储应用软件的软件程序以及模块，如本申请实施例中的数据共享方法对应的程序指令/数据存储装置，处理器152通过运行存储在存储器154内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的数据共享方法。存储器154可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器154可进一步包括相对于处理器152远程设置的存储器，这些远程存储器可以通过网络连接至计算机终端15。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

传输装置156用于经由一个网络接收或者发送数据。上述的网络具体实例可包括计算机终端15的通信供应商提供的无线网络。在一个实例中，传输装置156包括一个网络适配器(Network Interface Controller，NIC)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输装置156可以为射频(Radio Frequency，RF)模块，其用于通过无线方式与互联网进行通讯。

显示器可以例如触摸屏式的液晶显示器(LCD)，该液晶显示器可使得用户能够与计算机终端15的用户界面进行交互。

此处需要说明的是，在一些可选实施例中，上述图15所示的计算机终端15可以包括硬件元件(包括电路)、软件元件(包括存储在计算机可读介质上的计算机代码)、或硬件元件和软件元件两者的结合。应当指出的是，图15仅为特定具体实例的一个实例，并且旨在示出可存在于上述计算机终端15中的部件的类型。

在本实施例中，上述计算机终端可以执行应用程序的数据共享方法中以下步骤的程序代码：检测第二约束条件的权限范围是否小于第一约束条件的权限范围，其中，第一约束条件为第一租户使用共享资源的条件，第二约束条件为第二租户使用共享资源的条件；在第二约束条件的权限范围小于第一约束条件的权限范围的情况下，创建共享资源的镜像的记录，以便第二租户内的成员根据镜像访问共享资源。

处理器可以通过传输装置调用存储器存储的信息及应用程序，以执行下述步骤：检测第二约束条件的权限范围是否小于第一约束条件的权限范围，其中，第一约束条件为第一租户使用共享资源的条件，第二约束条件为第二租户使用共享资源的条件；在第二约束条件的权限范围小于第一约束条件的权限范围的情况下，创建共享资源的镜像的记录，以便第二租户内的成员根据镜像访问共享资源。

可选的，上述处理器还可以执行如下步骤的程序代码：检测第三约束条件的权限范围小于第二约束条件的权限范围，其中，第三约束条件为成员访问镜像的条件；在第三约束条件的权限范围小于第二约束条件的权限范围的情况下，生成鉴权通过指示消息。

可选的，上述处理器还可以执行如下步骤的程序代码：判断成员对应的租户是否已安装共享资源的镜像；若已安装，检测成员是否有第二租户授予成员的权限；若有，检测成员是否满足共享资源的第一约束条件；其中，在成员满足第一约束条件的情况下，成员访问共享资源。

可选的，上述处理器还可以执行如下步骤的程序代码：将共享资源的使用记录同步至第一租户及第二租户。

采用本发明实施例，提供了一种数据共享的方案。通过检测第二约束条件的权限范围是否小于第一约束条件的权限范围，其中，第一约束条件为第一租户使用共享资源的条件，第二约束条件为第二租户使用共享资源的条件；在第二约束条件的权限范围小于第一约束条件的权限范围的情况下，创建共享资源的镜像的记录，以便第二租户内的成员根据镜像访问共享资源，从而达到了在多租户之间安全高效共享数据资源的目的，进而解决了现有的多租户之间数据共享方式，资源开销较大且成本较高的技术问题。

本领域普通技术人员可以理解，图15所示的结构仅为示意，计算机终端也可以是智能手机(如Android手机、iOS手机等)、平板电脑、掌声电脑以及移动互联网设备(MobileInternet Devices，MID)、PAD等终端设备。图15其并不对上述电子装置的结构造成限定。例如，计算机终端15还可包括比图15中所示更多或者更少的组件(如网络接口、显示装置等)，或者具有与图15所示不同的配置。

本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步骤是可以通过程序来指令终端设备相关的硬件来完成，该程序可以存储于一计算机可读存储介质中，存储介质可以包括：闪存盘、只读存储器(Read-Only Memory，ROM)、随机存取器(RandomAccess Memory，RAM)、磁盘或光盘等。

实施例5

本发明的实施例还提供了一种存储介质。可选地，在本实施例中，上述存储介质可以用于保存上述实施例所提供的数据共享方法所执行的程序代码。

可选地，在本实施例中，上述存储介质可以位于计算机网络中计算机终端群中的任意一个计算机终端中，或者位于移动终端群中的任意一个移动终端中。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：检测第二约束条件的权限范围是否小于第一约束条件的权限范围，其中，第一约束条件为第一租户使用共享资源的条件，第二约束条件为第二租户使用共享资源的条件；在第二约束条件的权限范围小于第一约束条件的权限范围的情况下，创建共享资源的镜像的记录，以便第二租户内的成员根据镜像访问共享资源。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：检测第三约束条件的权限范围小于第二约束条件的权限范围，其中，第三约束条件为成员访问镜像的条件；在第三约束条件的权限范围小于第二约束条件的权限范围的情况下，生成鉴权通过指示消息。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：判断成员对应的租户是否已安装共享资源的镜像；若已安装，检测成员是否有第二租户授予成员的权限；若有，检测成员是否满足共享资源的第一约束条件；其中，在成员满足第一约束条件的情况下，成员访问共享资源。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：将共享资源的使用记录同步至第一租户及第二租户。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

在本发明的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

在本申请所提供的几个实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (17)

1.一种数据共享系统，其特征在于，包括：

第一租户管理模块，用于设置共享资源以及使用所述共享资源的第一约束条件；设置第二租户管理模块使用所述共享资源的第二约束条件，所述第二约束条件用于指示允许指定租户使用的特定共享资源；

处理模块，用于在所述第二约束条件的权限范围小于所述第一约束条件的权限范围的情况下，创建所述共享资源的镜像的记录；

第二租户管理模块，用于在检测到存在所述记录的情况下，所述第二租户管理模块内的管理子模块根据所述镜像访问所述共享资源，其中，所述镜像包括描述数据，所述描述数据用于指示所述共享资源的元数据的存储位置。

2.根据权利要求1所述的系统，其特征在于，

所述第二租户管理模块，还用于设置所述管理子模块访问所述镜像的第三约束条件；

所述处理模块，还用于在所述第三约束条件的权限范围小于所述第二约束条件的权限范围的情况下，生成鉴权通过指示消息。

3.根据权利要求2所述的系统，其特征在于，还包括：

所述管理子模块，用于在检测到所述处理模块生成的所述鉴权通过指示消息的情况下，根据所述镜像访问所述共享资源。

4.根据权利要求3所述的系统，其特征在于，

所述处理模块，还用于当所述管理子模块访问所述共享资源时，判断所述管理子模块对应的第二租户管理模块是否已安装所述共享资源的镜像；若已安装，检测所述管理子模块是否有所述第二租户管理模块授予所述管理子模块的权限；若有，检测所述管理子模块是否满足所述共享资源的所述第一约束条件；其中，在所述管理子模块满足所述第一约束条件的情况下，所述管理子模块访问所述共享资源。

5.根据权利要求1所述的系统，其特征在于，

所述处理模块，还用于将所述共享资源的使用记录同步至所述第一租户管理模块及所述第二租户管理模块。

6.根据权利要求1所述的系统，其特征在于，

所述第一租户管理模块，还用于回收所述第一约束条件中的第一权限；向所述处理模块发送回收指示消息；

所述处理模块，还用于根据接收到的所述回收指示消息，确定所述共享资源对应的所述第二租户管理模块；回收所述第二租户管理模块的所述第一权限以及回收所述第二租户管理模块内的所述管理子模块的所述第一权限；将回收所述第一权限的记录同步至所述第二租户管理模块。

7.根据权利要求1所述的系统，其特征在于，

所述第二租户管理模块，还用于根据共享授权列表，删除其它租户内安装的镜像；

所述第一租户管理模块，还用于删除所述共享资源的记录，并取消所述共享资源的共享状态。

8.根据权利要求1至7中任一项所述的系统，其特征在于，所述约束条件包括以下至少之一：对方租户访问所述共享数据的时间段、访问所述共享数据的IP地址、权限列表；其中，所述权限列表用于指示对所述共享资源的操作。

9.根据权利要求1至7中任一项所述的系统，其特征在于，所述镜像包括以下至少之一：所述第一约束条件、所述第二约束条件。

10.一种数据共享方法，其特征在于，包括：

检测第二约束条件的权限范围是否小于第一约束条件的权限范围，其中，所述第一约束条件为第一租户使用共享资源的条件，所述第二约束条件为第二租户使用所述共享资源的条件，所述第二约束条件用于指示允许指定租户使用的特定共享资源；

在所述第二约束条件的权限范围小于所述第一约束条件的权限范围的情况下，创建所述共享资源的镜像的记录，以便所述第二租户内的成员根据所述镜像访问所述共享资源，其中，所述镜像包括描述数据，所述描述数据用于指示所述共享资源的元数据的存储位置。

11.根据权利要求10所述的方法，其特征在于，还包括：

检测第三约束条件的权限范围小于所述第二约束条件的权限范围，其中，所述第三约束条件为所述成员访问所述镜像的条件；

在所述第三约束条件的权限范围小于所述第二约束条件的权限范围的情况下，生成鉴权通过指示消息。

12.根据权利要求10所述的方法，其特征在于，当所述成员访问所述共享资源时，所述方法还包括：

判断所述成员对应的租户是否已安装所述共享资源的镜像；

若已安装，检测所述成员是否有所述第二租户授予所述成员的权限；

若有，检测所述成员是否满足所述共享资源的所述第一约束条件；其中，在所述成员满足所述第一约束条件的情况下，所述成员访问所述共享资源。

13.根据权利要求10所述的方法，其特征在于，还包括：

将所述共享资源的使用记录同步至所述第一租户及所述第二租户。

14.一种数据共享装置，其特征在于，包括：

检测模块，用于检测第二约束条件的权限范围是否小于第一约束条件的权限范围，其中，所述第一约束条件为第一租户使用共享资源的条件，所述第二约束条件为第二租户使用所述共享资源的条件，所述第二约束条件用于指示允许指定租户使用的特定共享资源；

创建模块，用于在所述第二约束条件的权限范围小于所述第一约束条件的权限范围的情况下，创建所述共享资源的镜像的记录，以便所述第二租户内的成员根据所述镜像访问所述共享资源，其中，所述镜像包括描述数据，所述描述数据用于指示所述共享资源的元数据的存储位置。

15.一种存储介质，其特征在于，所述存储介质包括存储的程序，其中，在所述程序运行时控制所述存储介质所在设备执行下述步骤：检测第二约束条件的权限范围是否小于第一约束条件的权限范围，其中，所述第一约束条件为第一租户使用共享资源的条件，所述第二约束条件为第二租户使用所述共享资源的条件，所述第二约束条件用于指示允许指定租户使用的特定共享资源；在所述第二约束条件的权限范围小于所述第一约束条件的权限范围的情况下，创建所述共享资源的镜像的记录，以便所述第二租户内的成员根据所述镜像访问所述共享资源，其中，所述镜像包括描述数据，所述描述数据用于指示所述共享资源的元数据的存储位置。

16.一种处理器，其特征在于，所述处理器用于运行程序，其中，所述程序运行时执行下述步骤：检测第二约束条件的权限范围是否小于第一约束条件的权限范围，其中，所述第一约束条件为第一租户使用共享资源的条件，所述第二约束条件为第二租户使用所述共享资源的条件，所述第二约束条件用于指示允许指定租户使用的特定共享资源；在所述第二约束条件的权限范围小于所述第一约束条件的权限范围的情况下，创建所述共享资源的镜像的记录，以便所述第二租户内的成员根据所述镜像访问所述共享资源，其中，所述镜像包括描述数据，所述描述数据用于指示所述共享资源的元数据的存储位置。

17.一种计算机终端，其特征在于，包括：

处理器；以及

存储器，与所述处理器连接，用于检测第二约束条件的权限范围是否小于第一约束条件的权限范围，其中，所述第一约束条件为第一租户使用共享资源的条件，所述第二约束条件为第二租户使用所述共享资源的条件，所述第二约束条件用于指示允许指定租户使用的特定共享资源；在所述第二约束条件的权限范围小于所述第一约束条件的权限范围的情况下，创建所述共享资源的镜像的记录，以便所述第二租户内的成员根据所述镜像访问所述共享资源，其中，所述镜像包括描述数据，所述描述数据用于指示所述共享资源的元数据的存储位置。

Images