CN110474916A - 面向Web应用提供特权账号的方法及装置 - Google Patents

Abstract

本发明公开了一种面向Web应用提供特权账号的方法及装置，方法包括：A)单点登录Web控制台，执行B)或B')；B)找到需密码代填的触发模块；C)触发Web应用多层级代填模块，调用密码保险库；D)验证是否托管了对应的账号密码，如是，执行F)；否则，执行E)；E)无操作；B')取密单点登录，触发Web应用多层级代填模块，使其调用密码保险库；C')进行当前使用者的动态注册身份认证，判断是否认证成功，如是，执行F)；否则，返回E)；F)自动代填密码。本发明对Web应用特权账号的生命周期管理提供了更完整安全的方式，解放了记忆密码的劳动力，不仅提供了安全性更加解放了企业一些不必要的劳动消耗。

Description

面向Web应用提供特权账号的方法及装置

技术领域

本发明涉及特权账号安全管理领域，特别涉及一种面向Web应用提供特权账号的方法及装置。

背景技术

目前IT安全领域发展日新月异，不断变化。信息化安全防护手段越来越多，也越来越高级。但数据信息的最后一道防线，特权账号密码始终得不到有效保护与管理，攻击者依然能够通过合法的技术途径，进入企业内部网络，窃取有价值的数据。他们所用到的技巧，就是获知了被泄露的特权账号密码。这些高权限的账号，除了员工的个人账号之外，也包括企业或组织整个IT基础架构的底层系统账号以及应用内嵌账号。这些特权账号往往被人们所忽略，从而不受监控，最终成为了大多数攻击的突破口。但管理者也是无可奈何，因为没有很好的自动化、可扩展、高可靠技术平台，能让他们从万级数量的账号管理工作中解放出来。导致总有高权限的账号密码被泄露，最终发生数据泄露事件。

在传统的特权账号安全管理系统中，传统Web控制台密码代填只能提供网页控制台的单点登录，但对于某些应用类型，比如：阿里云rds控制台、Tableau可视化数据库控制台等，登录Web控制台之后需要访问的目标数据库依旧需要账号密码，只能由使用者手工填写账号密码方可访问目标资源。

发明内容

本发明要解决的技术问题在于，针对现有技术的上述缺陷，提供一种对Web应用特权账号的生命周期管理提供了更完整安全的方式，解放了记忆密码的劳动力，不仅提供了安全性更加解放了企业一些不必要的劳动消耗的面向Web应用提供特权账号的方法及装置。

本发明解决其技术问题所采用的技术方案是：构造一种面向Web应用提供特权账号的方法，应用于特权账号安全管理系统，包括如下步骤：

A)通过所述特权账号安全管理系统单点登录至Web控制台，执行步骤B)或步骤B')；

B)找到需要密码代填的触发模块，执行步骤C)；

C)触发Web应用多层级代填模块，使其调用密码保险库，执行步骤D)；

D)验证是否托管了对应的账号密码，如是，执行步骤F)；否则，执行步骤E)；

E)无任何操作；

B')取密单点登录，触发Web应用多层级代填模块，使其调用密码保险库，执行步骤C')；

C')进行当前使用者的动态注册身份认证，判断是否认证成功，如是，执行步骤F)；否则，返回步骤E)；

F)自动代填密码。

在本发明所述的面向Web应用提供特权账号的方法中，所述Web控制台为Web应用单点登录控制台。

在本发明所述的面向Web应用提供特权账号的方法中，所述特权账号安全管理系统包括相互连接的节点管理单元、账号管理单元、访问控制单元、会话监控单元、审计管理单元、审批管理单元和系统设置单元；其中，

节点管理单元用于构建符合企业组织架构的目录树，并允许赋权不同用户对各自目录的独立管理；

账号管理单元用于特权账号的导入托管，并以特权账号本体为中心实现账号的生命周期管理工作；

访问控制单元用于负责实现账号使用的权限细分，让不同用户对不同账号有不同的使用权限；

会话监控单元用于为用户对账号的单点登录过程实现录像、监控、拦截及审计；

审计管理单元用于为审计部门提供日志查询，所述日志查询至少包括账号的使用与管理和平台自身变更的日志查询；

审批管理单元用于为用户提供一事一审的账号使用流程审批能力；

系统设置单元用于为用户提供全平台的账号策略、连接策略、门户设置和自编属性参数。

在本发明所述的面向Web应用提供特权账号的方法中，所述账号管理单元进一步包括相互连接的账号轮换模块、内嵌依赖同步模块、单点登录连接模块和细粒度分享模块；其中，

账号轮换模块用于根据企业管理策略要求，对目标特权账号进行自动化的密码轮换管理；

内嵌依赖同步模块用于把企业应用程序、脚本和运维工具中的硬编码密码部分取替为同步模块代码，不暴露密码，或者采取推送模式，定期推送新密码至硬编码配置上；

单点登录连接模块用于为用户提供一键连接能力，且允许管理员为用户提供集中式发布的客户端工具，达到单点登录效果，最终让密码始终不落地用户端，实现持续性监控及审计能力；

细粒度分享模块用于为用户提供基于账号级细粒度的分享能力。

本发明还涉及一种实现上述面向Web应用提供特权账号的方法的装置，包括：

单点登录单元：用于通过所述特权账号安全管理系统单点登录至Web控制台；

触发模块获取单元：用于找到需要密码代填的触发模块；

触发调用单元：用于触发Web应用多层级代填模块，使其调用密码保险库；

账号密码单元：用于验证是否托管了对应的账号密码；

无操作单元：用于无任何操作；

登录触发调用单元：用于取密单点登录，触发Web应用多层级代填模块，使其调用密码保险库；

动态注册身份认证单元：用于进行当前使用者的动态注册身份认证，判断是否认证成功；

自动代填单元：用于自动代填密码。

在本发明所述的装置中，所述Web控制台为Web应用单点登录控制台。

在本发明所述的装置中，所述特权账号安全管理系统包括相互连接的节点管理单元、账号管理单元、访问控制单元、会话监控单元、审计管理单元、审批管理单元和系统设置单元；其中，

节点管理单元用于构建符合企业组织架构的目录树，并允许赋权不同用户对各自目录的独立管理；

账号管理单元用于特权账号的导入托管，并以特权账号本体为中心实现账号的生命周期管理工作；

访问控制单元用于负责实现账号使用的权限细分，让不同用户对不同账号有不同的使用权限；

会话监控单元用于为用户对账号的单点登录过程实现录像、监控、拦截及审计；

审计管理单元用于为审计部门提供日志查询，所述日志查询至少包括账号的使用与管理和平台自身变更的日志查询；

审批管理单元用于为用户提供一事一审的账号使用流程审批能力；

系统设置单元用于为用户提供全平台的账号策略、连接策略、门户设置和自编属性参数。

在本发明所述的装置中，所述账号管理单元进一步包括相互连接的账号轮换模块、内嵌依赖同步模块、单点登录连接模块和细粒度分享模块；其中，

账号轮换模块用于根据企业管理策略要求，对目标特权账号进行自动化的密码轮换管理；

内嵌依赖同步模块用于把企业应用程序、脚本和运维工具中的硬编码密码部分取替为同步模块代码，不暴露密码，或者采取推送模式，定期推送新密码至硬编码配置上；

单点登录连接模块用于为用户提供一键连接能力，且允许管理员为用户提供集中式发布的客户端工具，达到单点登录效果，最终让密码始终不落地用户端，实现持续性监控及审计能力；

细粒度分享模块用于为用户提供基于账号级细粒度的分享能力。

实施本发明的面向Web应用提供特权账号的方法及装置，具有以下有益效果：对比传统Web应用控制台代填，本发明采用内部数据库密码的自动改密并提供动态验证身份代填的机制，对Web应用特权账号的生命周期管理提供了更完整安全的方式；与此同时，本发明也解放了记忆密码的劳动力，因为密码分布扩散且层级较多，传统人工记忆繁琐，本发明不仅提供了安全性更加解放了企业一些不必要的劳动消耗。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明面向Web应用提供特权账号的方法及装置一个实施例中方法的流程图；

图2为所述实施例中特权账号安全管理系统的结构示意图；

图3为所述实施例中账号管理单元的结构示意图；

图4为所述实施例中装置的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明面向Web应用提供特权账号的方法及装置实施例中，其面向Web应用提供特权账号的方法的流程图如图1所示。该面向Web应用提供特权账号的方法应用于特权账号安全管理系统。该面向Web应用提供特权账号的方法包括如下步骤：

步骤S01通过特权账号安全管理系统单点登录至Web控制台：本步骤中，通过特权账号安全管理系统单点登录至Web控制台，该Web控制台为Web应用单点登录控制台。执行完本步骤，执行步骤S02或步骤S02'。

图2为本实施例中特权账号安全管理系统的结构示意图，图2中，该特权账号安全管理系统包括相互连接的节点管理单元1、账号管理单元2、访问控制单元3、会话监控单元4、审计管理单元5、审批管理单元6和系统设置单元7；其中，节点管理单元1用于构建符合企业组织架构的目录树，并允许赋权不同用户对各自目录的独立管理；账号管理单元2用于特权账号的导入托管，并以特权账号本体为中心实现账号的生命周期管理工作；访问控制单元3用于负责实现账号使用的权限细分，让不同用户对不同账号有不同的使用权限；会话监控单元4用于为用户对账号的单点登录过程实现录像、监控、拦截及审计；审计管理单元5用于为审计部门提供日志查询，日志查询至少包括账号的使用与管理和平台自身变更的日志查询；审批管理单元6用于为用户提供一事一审的账号使用流程审批能力；系统设置单元7用于为用户提供全平台的账号策略、连接策略、门户设置和自编属性参数。

通过设置节点管理单元1、账号管理单元2、访问控制单元3、会话监控单元4、审计管理单元5、审批管理单元6和系统设置单元7，能够自动化管理企业的特权账号，且能让用户在不接触密码的前提下进行单点登录使用，同时还能针对云、DevOps、容器化等环境下的特权账号做灵活的、插件式的账号管理。

图3为本实施例中账号管理单元的结构示意图，图3中，该账号管理单元2进一步包括相互连接的账号轮换模块21、内嵌依赖同步模块22、单点登录连接模块23和细粒度分享模块24；其中，账号轮换模块21用于根据企业管理策略要求，对目标特权账号进行自动化的密码轮换管理；内嵌依赖同步模块22用于把企业应用程序、脚本和运维工具中的硬编码密码部分取替为同步模块代码，不暴露密码，或者采取推送模式，定期推送新密码至硬编码配置上；单点登录连接模块23用于为用户提供一键连接能力，且允许管理员为用户提供集中式发布的客户端工具，达到单点登录效果，最终让密码始终不落地用户端，实现持续性监控及审计能力；细粒度分享模块24用于为用户提供基于账号级细粒度的分享能力。

步骤S02找到需要密码代填的触发模块：本步骤中，通过Web控制台找到需要代填密码的页面，即找到需要密码代填的触发模块。执行完本步骤中，执行步骤S03。

步骤S03触发Web应用多层级代填模块，使其调用密码保险库：本步骤中，触发Web应用多层级代填模块，使其调用密码保险库。执行完本步骤中，执行步骤S04。

步骤S04验证是否托管了对应的账号密码：本步骤中，验证是否托管了对应的账号密码，如果判断的结果为是，则执行步骤S06；否则，执行步骤S05。

步骤S05无任何操作：本步骤中，不进行任何操作。

步骤S02'取密单点登录，触发Web应用多层级代填模块，使其调用密码保险库：本步骤中，获取密码单点登录，触发Web应用多层级代填模块，使其调用密码保险库。执行完本步骤，执行步骤S03'。

步骤S03'进行当前使用者的动态注册身份认证，判断是否认证成功：本步骤中，进行当前使用者的动态注册身份认证，并判断是否认证成功，如果判断的结果为是，则执行步骤S06；否则，执行步骤S05。通过本步骤实现对当前使用者身份的校验。

步骤S06自动代填密码：本步骤中，根据动态验证和查找结果自动代填密码(账号密码)。

对比传统Web应用控制台代填，本发明的面向Web应用提供特权账号的方法采用了内部数据库密码的自动改密并提供动态验证身份代填的机制，对Web应用特权账号的生命周期管理提供了更完整安全的方式；与此同时，本发明的面向Web应用提供特权账号的方法也解放了记忆密码的劳动力，因为密码分布扩散且层级较多，人工记忆繁琐，因此通过本发明的面向Web应用提供特权账号的方法不仅提供了安全性更加解放了企业一些不必要的劳动消耗。

本实施例还涉及一种实现上述面向Web应用提供特权账号的方法的装置，该装置的结构示意图如图4所示。图4中，该装置包括单点登录单元111、触发模块获取单元112、触发调用单元113、账号密码单元114、无操作单元115、登录触发调用单元112'、动态注册身份认证单元113'和自动代填单元116。

其中，单点登录单元111用于通过特权账号安全管理系统单点登录至Web控制台；该Web控制台为Web应用单点登录控制台。触发模块获取单元112用于找到需要密码代填的触发模块；触发调用单元113用于触发Web应用多层级代填模块，使其调用密码保险库；账号密码单元114用于验证是否托管了对应的账号密码；无操作单元115用于无任何操作；登录触发调用单元112'用于取密单点登录，触发Web应用多层级代填模块，使其调用密码保险库；动态注册身份认证单元113'用于进行当前使用者的动态注册身份认证，判断是否认证成功；自动代填单元116用于自动代填密码。

对比传统Web应用控制台代填，本发明的装置采用了内部数据库密码的自动改密并提供动态验证身份代填的机制，对Web应用特权账号的生命周期管理提供了更完整安全的方式；与此同时，本发明的装置也解放了记忆密码的劳动力，因为密码分布扩散且层级较多，人工记忆繁琐，因此通过本发明的装置不仅提供了安全性更加解放了企业一些不必要的劳动消耗。

总之，本发明通过特权账号安全管理系统可修改相应的账号密码后，通过专有的Web装置嵌入相应Web进行身份认证、动态注册的方式，有针对性地提供账号密码代填，完成多层级密码的Web应用密码交付。本发明对Web应用特权账号的生命周期管理提供了更完整安全的方式，解放了记忆密码的劳动力，不仅提供了安全性更加解放了企业一些不必要的劳动消耗。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (8)

1.一种面向Web应用提供特权账号的方法，其特征在于，应用于特权账号安全管理系统，包括如下步骤：

A)通过所述特权账号安全管理系统单点登录至Web控制台，执行步骤B)或步骤B')；

B)找到需要密码代填的触发模块，执行步骤C)；

C)触发Web应用多层级代填模块，使其调用密码保险库，执行步骤D)；

D)验证是否托管了对应的账号密码，如是，执行步骤F)；否则，执行步骤E)；

E)无任何操作；

B')取密单点登录，触发Web应用多层级代填模块，使其调用密码保险库，执行步骤C')；

C')进行当前使用者的动态注册身份认证，判断是否认证成功，如是，执行步骤F)；否则，返回步骤E)；

F)自动代填密码。

2.根据权利要求1所述的面向Web应用提供特权账号的方法，其特征在于，所述Web控制台为Web应用单点登录控制台。

3.根据权利要求1或2所述的面向Web应用提供特权账号的方法，其特征在于，所述特权账号安全管理系统包括相互连接的节点管理单元、账号管理单元、访问控制单元、会话监控单元、审计管理单元、审批管理单元和系统设置单元；其中，

节点管理单元用于构建符合企业组织架构的目录树，并允许赋权不同用户对各自目录的独立管理；

账号管理单元用于特权账号的导入托管，并以特权账号本体为中心实现账号的生命周期管理工作；

访问控制单元用于负责实现账号使用的权限细分，让不同用户对不同账号有不同的使用权限；

会话监控单元用于为用户对账号的单点登录过程实现录像、监控、拦截及审计；

审计管理单元用于为审计部门提供日志查询，所述日志查询至少包括账号的使用与管理和平台自身变更的日志查询；

审批管理单元用于为用户提供一事一审的账号使用流程审批能力；

系统设置单元用于为用户提供全平台的账号策略、连接策略、门户设置和自编属性参数。

4.根据权利要求3所述的面向Web应用提供特权账号的方法，其特征在于，所述账号管理单元进一步包括相互连接的账号轮换模块、内嵌依赖同步模块、单点登录连接模块和细粒度分享模块；其中，

账号轮换模块用于根据企业管理策略要求，对目标特权账号进行自动化的密码轮换管理；

内嵌依赖同步模块用于把企业应用程序、脚本和运维工具中的硬编码密码部分取替为同步模块代码，不暴露密码，或者采取推送模式，定期推送新密码至硬编码配置上；

单点登录连接模块用于为用户提供一键连接能力，且允许管理员为用户提供集中式发布的客户端工具，达到单点登录效果，最终让密码始终不落地用户端，实现持续性监控及审计能力；

细粒度分享模块用于为用户提供基于账号级细粒度的分享能力。

5.一种实现如权利要求所述的面向Web应用提供特权账号的方法的装置，其特征在于，包括：

单点登录单元：用于通过所述特权账号安全管理系统单点登录至Web控制台；

触发模块获取单元：用于找到需要密码代填的触发模块；

触发调用单元：用于触发Web应用多层级代填模块，使其调用密码保险库；

账号密码单元：用于验证是否托管了对应的账号密码；

无操作单元：用于无任何操作；

登录触发调用单元：用于取密单点登录，触发Web应用多层级代填模块，使其调用密码保险库；

动态注册身份认证单元：用于进行当前使用者的动态注册身份认证，判断是否认证成功；

自动代填单元：用于自动代填密码。

6.根据权利要求5所述的装置，其特征在于，所述Web控制台为Web应用单点登录控制台。

7.根据权利要求5或6所述的装置，其特征在于，所述特权账号安全管理系统包括相互连接的节点管理单元、账号管理单元、访问控制单元、会话监控单元、审计管理单元、审批管理单元和系统设置单元；其中，

节点管理单元用于构建符合企业组织架构的目录树，并允许赋权不同用户对各自目录的独立管理；

账号管理单元用于特权账号的导入托管，并以特权账号本体为中心实现账号的生命周期管理工作；

访问控制单元用于负责实现账号使用的权限细分，让不同用户对不同账号有不同的使用权限；

会话监控单元用于为用户对账号的单点登录过程实现录像、监控、拦截及审计；

审计管理单元用于为审计部门提供日志查询，所述日志查询至少包括账号的使用与管理和平台自身变更的日志查询；

审批管理单元用于为用户提供一事一审的账号使用流程审批能力；

系统设置单元用于为用户提供全平台的账号策略、连接策略、门户设置和自编属性参数。

8.根据权利要求7所述的装置，其特征在于，所述账号管理单元进一步包括相互连接的账号轮换模块、内嵌依赖同步模块、单点登录连接模块和细粒度分享模块；其中，

账号轮换模块用于根据企业管理策略要求，对目标特权账号进行自动化的密码轮换管理；

内嵌依赖同步模块用于把企业应用程序、脚本和运维工具中的硬编码密码部分取替为同步模块代码，不暴露密码，或者采取推送模式，定期推送新密码至硬编码配置上；

单点登录连接模块用于为用户提供一键连接能力，且允许管理员为用户提供集中式发布的客户端工具，达到单点登录效果，最终让密码始终不落地用户端，实现持续性监控及审计能力；

细粒度分享模块用于为用户提供基于账号级细粒度的分享能力。