CN110909373B - 一种访问控制方法、设备、系统及存储介质 - Google Patents

Abstract

本申请实施例提供一种访问控制方法、设备、系统及存储介质，系统中的配置服务器用于确定数据方在业务系统中的每个文件所属的文件类型，根据不同访问角色在每个文件所属的文件类型下的访问权限，为每个文件针对不同访问角色分别生成鉴权信息；将每个文件针对不同访问角色的鉴权信息输出至业务系统；业务系统用于接收用户的文件访问请求，文件访问请求用于请求访问目标文件，将根据用户的访问角色获取的目标文件对应的鉴权信息携带在鉴权请求中并发送给鉴权服务器；鉴权服务器用于根据目标文件对应的鉴权信息生成鉴权结果并发送至业务系统，以供业务系统根据鉴权结果处理文件访问请求。据此，可实现更加灵活、更加精准的访问控制。

Description

一种访问控制方法、设备、系统及存储介质

技术领域

本申请涉及数据安全技术领域，尤其涉及一种访问控制方法、设备、系统及存储介质。

背景技术

在数据安全领域中，当用户发起对目标计算设备中文件的访问请求时，通常需要对用户的访问请求进行访问控制，以避免数据泄露。

现有的访问控制方式，通常是由数据方预先配置每个访问角色对目标计算设备中的存储资源的访问权限，比如，对于该OSS目标计算设备，数据方可预先配置每个访问角色可访问哪个bucket(桶)资源，或者每个访问角色可访问的哪个bucket中的哪个object(对象)。据此，当某个用户发起的对某个文件的访问请求时，即可验证该用户的访问角色是否具有访问权限，从而实现访问控制。

但是，现有的这种访问控制方式不够灵活，访问控制的效果不够精准。

发明内容

本申请的多个方面提供一种访问控制方法、设备、系统及存储介质，用以提高访问控制的灵活度和精准度。

本申请实施例提供一种访问控制系统，包括：配置服务器、目标计算设备和鉴权服务器；

所述配置服务器用于：确定数据方在所述目标计算设备中的至少一个文件所属的文件类型，根据一个或多个访问角色在所述文件所属的文件类型下的访问权限，为所述文件针对一个或多个访问角色分别生成鉴权信息；将所述一个或多个鉴权信息输出至所述目标计算设备；

所述目标计算设备用于：接收用户的文件访问请求，所述文件访问请求用于请求访问目标文件，将根据所述用户的访问角色获取的所述目标文件对应的鉴权信息携带在鉴权请求中并发送给所述鉴权服务器；

所述鉴权服务器用于：根据所述目标文件对应的鉴权信息生成鉴权结果并发送至所述目标计算设备，以供所述目标计算设备根据所述鉴权结果处理所述文件访问请求。

本申请实施例还提供一种访问控制方法，包括：

确定数据方在目标计算设备中的至少一个文件所属的文件类型；

根据一个或多个访问角色在所述文件所属的文件类型下的访问权限，为所述文件针对所述一个或多个访问角色分别生成鉴权信息；

将所述一个或多个鉴权信息输出至所述目标计算设备，以供所述目标计算设备根据所述一个或多个鉴权信息进行所述文件的访问控制。

本申请实施例还提供一种访问控制方法，包括：

接收用户的文件访问请求，所述文件访问请求用于请求访问目标文件；

根据所述用户的访问角色获取所述目标文件对应的鉴权信息，所述鉴权信息为所述配置服务器根据一个或多个访问角色在所述目标文件所属文件类型下的访问权限而生成的；

将所述目标文件对应的鉴权信息携带在鉴权请求中，并发送给鉴权服务器；

接收所述鉴权服务器根据所述目标文件对应的鉴权信息生成的鉴权结果，并根据所述鉴权结果处理所述文件访问请求。

本申请实施例还提供一种访问控制方法，包括：

确定数据方在目标计算设备中的至少一个文件所属的文件类型；

根据一个或多个访问角色在所述文件所属的文件类型下的访问权限，为所述文件针对所述一个或多个访问角色分别生成鉴权信息；

调用所述目标计算设备的调用接口，将所述一个或多个鉴权信息输出至目标计算设备中所述文件的描述信息中，以供所述目标计算设备根据所述一个或多个鉴权信息对所述文件进行访问控制。

本申请实施例还提供一种配置服务器，包括存储器、处理器和通信组件；

所述存储器，用于存储一条或多条计算机指令；

所述处理器，与所述存储器和所述通信组件耦接，用于执行一条或多条计算机指令，以用于：

确定数据方在目标计算设备中的至少一个文件所属的文件类型；

根据一个或多个访问角色在所述文件所属的文件类型下的访问权限，为所述文件针对所述一个或多个访问角色分别生成鉴权信息；

将所述一个或多个鉴权信息输出至所述目标计算设备，以供所述目标计算设备根据所述一个或多个鉴权信息进行所述文件的访问控制。

本申请实施例还提供一种目标计算设备，包括存储器、处理器和通信组件；

所述存储器，用于存储一条或多条计算机指令；

所述处理器，与所述存储器和所述通信组件耦接，用于执行一条或多条计算机指令，以用于：

接收用户的文件访问请求，所述文件访问请求用于请求访问目标文件；

根据所述用户的访问角色获取所述目标文件对应的鉴权信息，所述鉴权信息为所述配置服务器根据一个或多个访问角色在所述目标文件所属文件类型下的访问权限而生成的；

将所述目标文件对应的鉴权信息携带在鉴权请求中，并发送给鉴权服务器；

接收所述鉴权服务器根据所述目标文件对应的鉴权信息生成的鉴权结果，并根据所述鉴权结果处理所述文件访问请求。

本申请实施例还提供一种配置服务器，包括存储器、处理器和通信组件；

所述存储器，用于存储一条或多条计算机指令；

所述处理器，与所述存储器和所述通信组件耦接，用于执行一条或多条计算机指令，以用于：

确定数据方在目标计算设备中的至少一个文件所属的文件类型；

根据一个或多个访问角色在所述文件所属的文件类型下的访问权限，为所述文件针对所述一个或多个访问角色分别生成鉴权信息；

调用所述目标计算设备的调用接口，将所述一个或多个鉴权信息输出至目标计算设备中所述文件的描述信息中，以供所述目标计算设备根据所述一个或多个鉴权信息对所述文件进行访问控制。

本申请实施例还提供一种存储计算机指令的计算机可读存储介质，当计算机指令被一个或多个处理器执行时，致使一个或多个处理器执行前述由配置服务器执行的访问控制方法。

本申请实施例还提供一种存储计算机指令的计算机可读存储介质，当计算机指令被一个或多个处理器执行时，致使一个或多个处理器执行前述由目标计算设备执行的访问控制方法。

在本申请实施例中，通过确定数据方在目标计算设备中的每个文件所属的文件类型，并根据不同访问角色在每个文件所属的文件类型下的访问权限，可为每个文件针对不同访问角色分别生成鉴权信息，从而，可实现从文件类型的维度对目标计算设备接收到的文件访问请求进行访问控制。本实施例中，基于文件内容可实现对文件的灵活分类及精细化分类，从而可为文件生成更加灵活更加精准的鉴权信息，这使得对目标计算设备对文件的访问控制更加灵活且更加精准。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本申请一实施例提供的一种访问控制系统的结构示意图；

图2为本申请另一实施例提供的一种访问控制方法的流程示意图；

图3为本申请又一实施例提供的一种访问控制方法的流程示意图；

图4为本申请又一实施例提供的一种访问控制方法的流程示意图；

图5为本申请又一实施例提供的一种配置服务器的结构示意图；

图6为本申请又一实施例提供的一种目标计算设备的结构示意图；

图7为本申请又一实施例提供的一种配置服务器的结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

现有技术中，仅根据每个访问角色对目标计算设备中的存储资源的访问权限进行访问控制，这种访问控制方式不够灵活，访问控制的效果不够精准。为了解决现有技术存在的缺陷，本申请的一些实施例中：通过确定数据方在目标计算设备中的每个文件所属的文件类型，并根据不同访问角色在每个文件所属的文件类型下的访问权限，可为每个文件针对不同访问角色分别生成鉴权信息，从而，可实现从文件类型的维度对目标计算设备接收到的文件访问请求进行访问控制。本实施例中，基于文件内容可实现对文件的灵活分类及精细化分类，这使得对目标计算设备对文件的访问控制更加灵活且更加精准。

以下结合附图，详细说明本申请各实施例提供的技术方案。

图1为本申请一实施例提供的访问控制系统的结构示意图。如图1所示，该系统包括：配置服务器10、目标计算设备20和鉴权服务器30；

配置服务器10用于：确定数据方在目标计算设备20中的至少一个文件所属的文件类型，根据一个或多个访问角色在文件所属的文件类型下的访问权限，为所述文件针对一个或多个访问角色分别生成鉴权信息；将一个或多个鉴权信息输出至目标计算设备20；

目标计算设备20用于：接收用户的文件访问请求，文件访问请求用于请求访问目标文件，将根据用户的访问角色获取的目标文件对应的鉴权信息携带在鉴权请求中并发送给鉴权服务器30；

鉴权服务器30用于：根据目标文件对应的鉴权信息生成鉴权结果并发送至目标计算设备20，以供目标计算设备20根据鉴权结果处理文件访问请求。

本实施例提供的访问控制系统可适用于各种访问控制场景，例如，运数据安全SaaS体系架构下的访问控制，当然，也可应用于其它访问控制场景，本实施例对此不限定。

其中，配置服务器10、目标计算设备20和鉴权服务器30之间可以是无线或有线网络连接。在本实施例中，若三者之间通过移动网络通信连接，该移动网络的网络制式可以为2G(GSM)、2.5G(GPRS)、3G(WCDMA、TD-SCDMA、CDMA2000、UTMS)、4G(LTE)、4G+(LTE+)、WiMax等中的任意一种。

本实施例中，配置服务器10和鉴权服务器30可以是常规服务器、云服务器、云主机、虚拟中心等服务器设备。其中，服务器设备的构成主要包括处理器、硬盘、内存、系统总线等，和通用的计算机架构类似。

本实施例中，目标计算设备20可采用各种业务架构，例如OSS平台、ODPS平台或RDS平台等，数据方的文件可存储在OSS平台、ODPS平台或RDS平台的存储资源中。其中，本实施例中的文件可以是存储在目标计算设备20中的非结构化数据或结构化数据，本实施例对此不作限定。另外，在数据安全领域，不同数据方的文件通常是相互隔离存储的，据此，本实施例中，仅以一个数据方为例进行技术访问的说明。但应当理解的是，本实施例提供的技术方案可适用于目标计算设备20中的所有数据方。

对配置服务器10来说，可确定数据方在目标计算设备20中的每个文件所属的文件类型，其中，每个文件所属的文件类型可以是一个或多个。在一种可选的实现方式中，配置服务器10可对数据方在目标计算设备20中的每个文件进行敏感分析，确定每个文件所包含的至少一个关键词，通过确定每个关键词所属的文件类型，可确定每个文件所属的文件类型，其中，每个文件类型对应至少一个关键词。例如，数据方的文件A包含的关键词有词1和词2，而文件类型a和文件类型b对应的关键词中均有词1，文件类型c对应的关键词中有词2，文件类型d对应的关键词中也有词2，据此，可确定文件A所属的文件类型有a、b、c、d。

对数据方在目标计算设备20中的每个文件来说，文件访问请求可能来自不同的访问角色，本实施例中，配置服务器10可根据不同访问角色在每个文件所属的文件类型下的访问权限，为每个文件针对不同访问角色分别生成鉴权信息。其中，根据不同应用场景，不同访问角色在每个文件所属的文件类型下的访问权限可由配置服务器10根据经验配置，也可由数据方在其目标计算设备20控制平台中进行配置，当然也可由配置服务器10根据经验配置后展示在数据方的目标计算设备20控制平台中供数据方进行调整和/或确认，本实施例对此不作限定。当不同访问角色在每个文件所属的文件类型下的访问权限由数据方参与定义时，配置服务器10可获取定义后的不同访问角色在每个文件所属的文件类型下的访问权限。

配置服务器10可将每个文件针对不同访问角色的鉴权信息存储在其本地。在一个实际应用中，配置服务器10可针对数据方在目标计算设备20中的每个文件，以访问角色为索引，存储针对不同访问角色的鉴权信息。本实施例中，每个鉴权信息中可包含文件类型及类型访问权限。在一个实际应用中，鉴权信息的格式可以是{(文件类型ID1：类型访问权限)；(文件类型ID2：类型访问权限)…}，其中，类型访问权限是指不同访问角色对不同文件类型的访问权限。

据此，对数据方在目标计算设备20的每个文件来说，其对应的鉴权信息可能有多个，每个鉴权信息对应一个访问角色，每个鉴权信息中包含其对应的访问角色在该文件所属的各种文件类型下的访问权限。

配置服务器10可将每个文件针对不同访问角色的鉴权信息输出至目标计算设备20，以供目标计算设备20对接收到的文件访问请求进行访问控制。

对目标计算设备20来说，当接收到用户的文件访问请求时，可根据文件访问请求确定出用户请求访问的目标文件以及用户的访问角色。其中，访问角色是指各种类型的账号扮演的角色，例如，对于数据方的主账号来说，其访问角色是管理员角色，对于临时账号来说，其对应的访问角色为临时访客，对于数据方创建的某一子账号来说，其访问角色可以是财务角色，可以是运维角色，当然还可定义其扮演其它角色，本实施例对此不作限定。根据不同应用场景，用户对应的访问角色可以不同，而在同一应用场景中，同一用户也可使用不同的访问角色，本实施例对此也不做限定，用户的访问角色可由数据方自定义。

目标计算设备20可根据用户的访问角色获取用户的文件访问请求所请求访问的目标文件对应的鉴权信息。根据前文所述，配置服务器10为每个文件生成了针对每个访问角色的鉴权信息，因此，目标计算设备20可根据用户的访问角色确定目标文件的鉴权信息，且鉴权信息中包含了该用户的访问角色在目标文件所属的至少一个文件类型下的访问权限。

目标计算设备20可将获取到的目标文件对应的鉴权信息携带在鉴权请求中发送给鉴权服务器30。据此，鉴权服务器30可从目标文件对应的鉴权信息中确定出该用户的访问角色在目标文件所属的至少一个文件类型下的访问权限，并根据该用户的访问角色在目标文件所属的至少一个文件类型下的访问权限生成鉴权结果。其中，该用户的访问角色在目标文件所属的至少一个文件类型下的访问权限可能不完全相同，例如，目标文件A所属的文件类型有a、b、c、d，该用户的访问角色对文件类型a和b具有访问权限，而c和d不具有访问权限，这种情况下，鉴权服务器30可根据鉴权策略生成鉴权结果。

在不同应用场景中，鉴权服务器30的鉴权策略可不完全相同。例如，鉴权策略可以是当用户的访问角色对目标文件所属的所有文件类型都具有访问权限时，生成放行的鉴权结果。又例如，鉴权策略可以是当用户的访问角色对目标文件所属的任一文件类型具有访问权限时，生成放行的鉴权结果。当然，鉴权策略还可以采用其它鉴权规则，本实施例对此不作限定。

鉴权服务器30将鉴权结果返回给目标计算设备20，目标计算设备20可根据鉴权结果处理文件访问请求。例如，当文件访问请求对应的鉴权结果为放行时，目标计算设备20可响应该文件访问请求，并将目标文件提供给用户。又例如，当文件访问请求对应的鉴权结果为阻断时，目标计算设备20可拒绝向用户提供目标文件，并生成异常日志以通知数据方。

本实施例中，通过确定数据方在目标计算设备20中的每个文件所属的文件类型，并根据不同访问角色在每个文件所属的文件类型下的访问权限，可为每个文件针对不同访问角色分别生成鉴权信息，从而，可实现从文件类型的维度对目标计算设备20接收到的文件访问请求进行访问控制。本实施例中，基于文件内容可实现对文件的灵活分类及精细化分类，这使得对目标计算设备20接收到的文件访问请求的访问控制更加灵活且更加精准。

在上述或下述实施例中，配置服务器10可采用多种方式将每个文件针对不同访问角色的鉴权信息输出至目标计算设备20。以下将以多个实施方式的形式对配置服务器10的鉴权信息输出方案进行详细说明。

在一种实现方式中，配置服务器10可接收目标计算设备20根据文件访问请求发送的鉴权信息获取请求，鉴权信息获取请求携带目标文件的标识及用户的访问角色，根据目标文件的标识与用户的访问角色确定目标文件针对用户的访问角色的鉴权信息并返回给目标计算设备20。

本实现方式中，配置服务器10可将其调用接口通知目标计算设备20，目标计算设备20在其文件访问流程中，可调用配置服务器10的调用接口，以向配置服务器10发起鉴权信息获取请求，配置服务器10可根据鉴权信息获取请求中的目标文件的标识和用户的访问角色，查找本地存储的鉴权信息，并从中确定出目标文件针对该用户的访问角色的鉴权信息，并返回给目标计算设备20。

本实现方式中，目标计算设备20可在其文件访问流程中，调用配置服务器10中存储的鉴权信息，从而获取到目标文件针对用户的访问角色的鉴权信息。

在另一种实现方式中，配置服务器10可在为每个文件针对不同访问角色分别生成鉴权信息后，调用目标计算设备20的调用接口，将每个文件针对不同访问角色的鉴权信息输出至目标计算设备20。

本实现方式中，配置服务器10主动将每个文件针对不同访问角色的鉴权信息输出至目标计算设备20，这样，鉴权信息输出至目标计算设备20的过程与目标计算设备20的文件访问主流程相互独立，配置服务器10可以旁路的方式，将鉴权信息输出给目标计算设备20，以供目标计算设备20在其文件访问流程中调用每个文件的鉴权信息。

据此，目标计算设备20的文件访问流程为：接收用户的文件访问请求，在目标计算设备20的本地查找目标文件针对不同访问角色的鉴权信息，以及，根据用户的访问角色确定需要携带在鉴权请求中的鉴权信息并发送给鉴权服务器30。

这样，对目标计算设备20来说，在其文件访问流程中无需与配置服务器10建立业务耦合，避免了业务入侵，通过无业务入侵的方式解决了功能逻辑串行，同时可有效保证了目标计算设备20的稳定性，可改善系统性能的损失。

在上述或下述实施例中，配置服务器10还可针对每个文件，当文件所属的文件类型发生变化和/或不同访问角色在文件所属文件类型下的访问权限发生变化时，更新文件针对不同访问角色的鉴权信息，将更新后的文件针对不同访问角色的鉴权信息输出至目标计算设备20。

由于文件内容的变动等原因，文件所属的文件类型可能发生变化；由于数据方在不同情况下对数据安全的要求可能有所不同，因此，不同访问角色在文件所属文件类型下的访问权限有可能发生变化，这都可能导致相关的鉴权信息的变化。本实施例中，当鉴权信息发生变化时，可更新配置服务器10本地存储的鉴权信息，同时还将以更新后的鉴权信息输出给目标计算设备20。例如，可如前述实施例中的，将发生变化的鉴权信息主动更新至目标计算设备20，也可在目标计算设备20发送鉴权信息获取请求时，将更新后的鉴权信息提供给目标计算设备20。

其中，配置服务器10可通过重复扫描数据方在目标计算设备20中的文件的方式，按照最新的文件内容和/或最新的不同访问角色在不同文件类型下的访问权限，为每个文件针对不同访问角色分别生成鉴权信息，以更新鉴权信息。当然还可以其它方式发现变化以及根据变化更新鉴权信息，本实施例对此不作限定。

本实施例中，通过更新每个文件针对不同访问角色的鉴权信息，可保证目标计算设备20在进行文件访问过程中所使用的鉴权信息的新鲜度，从而保证鉴权结果的准确性。

在上述或下述实施例中，配置服务器10可将每个文件针对不同访问角色的鉴权信息发送至目标计算设备20，目标计算设备20可将每个文件针对不同访问角色的鉴权信息写入每个文件的描述信息的第一预留字段中。其中，每个文件对应一描述信息，每个描述信息中至少包含第一预留字段用于存储对应文件针对不同访问角色的鉴权信息。当目标计算设备20向鉴权服务器30发送鉴权请求时，可从文件的描述信息中读取所需的鉴权信息，并将鉴权信息携带在鉴权请求中。

本实施例中，当配置服务器10通过前述的旁路方式向目标计算设备20输出鉴权信息时，目标计算设备20可将每个文件针对不同访问角色的鉴权信息均存储在描述信息中的第一预留字段中。当用户发起文件访问请求时，目标计算设备20可从描述信息中读取目标文件针对用户的访问角色的鉴权信息以携带在鉴权请求中。

当配置服务器10通过前述的响应目标计算设备20的鉴权信息获取请求来输出鉴权信息时，目标计算设备20可在接收到文件访问请求后，向配置服务器10发送鉴权信息获取请求，配置服务器10可将所需的鉴权信息返回给目标计算设备20，并由目标计算设备20将该鉴权信息写入目标文件的描述信息的第一预留字段中，这样，目标计算设备20在向鉴权服务器30发送鉴权请求时，可从目标文件的描述信息的第一预留字段中读取鉴权信息并携带鉴权请求中。

本实施例中，通过将鉴权信息存储在现有技术中已经存在的文件的描述信息中，无需对更改业务代码或业务流程，这使得增加文件类型维度的访问控制时无需增加业务成本。同时，目标计算设备20可不关心鉴权信息中包含的访问权限的含义，实现了业务无关。当配置服务器10通过旁路方式将鉴权信息输出给目标计算设备20时，目标计算设备20将感知不到配置服务器10的存在，实现了与目标计算设备20现有业务场景的无缝衔接。

进一步，在本实施例中，文件的描述信息中还包括第二预留字段，第二预留资源用于存储不同访问角色对文件在目标计算设备20中占用的存储资源的访问权限；目标计算设备20在接收用户的文件访问请求之后，还可从目标文件的描述信息中读取第二预留字段中的用户的访问角色对目标文件在目标计算设备20中占用的存储资源的访问权限，并将用户的访问角色对目标文件在目标计算设备20中占用的存储资源的访问权限携带在鉴权请求中。

本实施例中，可将用户的访问角色对目标文件在目标计算设备20中占用的存储资源的访问权限以及目标文件的鉴权信息这两方面的内容携带在鉴权请求中，这样，鉴权服务器30可从存储资源维度和文件类型维度对文件访问请求进行多维度的访问控制。这实现了更加灵活、更加精准的访问控制。

在上述或下述实施例中，配置服务器10还用于对数据方在目标计算设备20中的文件进行分类。配置服务器10可基于文件内容，对数据方在目标计算设备20中的文件进行聚类，以获得至少一个文件类型；根据每个文件类型下的文件包含的关键词及文件类型下的文件所属的行业领域，确定每一文件类型的标识，文件类型的标识用于数据方为文件类型针对不同访问角色配置访问权限。

本实施例中，配置服务器10可扫描数据方授权后的目标计算设备20中的文件，根据文件内容，配置服务器10可对数据方在目标计算设备20中的文件进行无监督聚类，据此可获得至少一个文件类型，在实际应用中，还可通过人工干预的形式对无监督聚类后获得的至少一个文件类型所包含的关键词进行调整，并通过机器学习算法记忆这些人工干预的过程，以优化配置服务器10的聚类效果。当然，本实施例中，还可采用其它聚类方式对文件进行聚类，本实施例对此不作限定。聚类获得的每个文件类型将包含至少一个关键词，例如，文件类型A可包含关键词：交货时间、交货地点、货物价格等等。

配置服务器10可根据每个文件类型包含的关键词及该文件类型的行业领域，确定每个文件类型的标识。例如，对于前述的文件类型A来说，当文件类型A对应的行业领域是销售行业时，可将文件类型A的标识确定为“合同”，而当文件类型A对应的行业领域是游戏行业时，可将文件类型A的标识确定为“玩家买卖”。文件类型的标识可作为数据方进行访问权限配置时的参考，当然，数据方可对配置服务器10确定出的文件类型的标识进行调整并告知配置服务器10。

根据文件类型的标识，数据方可为每种文件类型配置不同访问角色的访问权限。例如，对于上述文件类型A的标识确定为“合同”时，数据方可配置只有“财务”角色具有对文件类型A的访问权限。文件类型的标识可有助于数据方合理配置不同访问角色的访问权限。

进一步，本实施例中，配置服务器10还可根据每一文件类型的标识及其下的文件所属的行业领域，确定每一文件类型对应的安全级别，安全级别用于数据方配置每种安全级别下不同访问角色具有的访问权限。

安全级别用户表征文件类型的保密等级，例如，对于上述文件类型A的标识确定为“合同”时，可将文件类型A的安全级别配置为五级(最高级)。这样，每个安全级别下可能包含多个文件类型，数据方可通过配置每种安全级别下的不同访问角色具有的访问权限，来实现一组文件类型的访问权限配置，使得权限配置过程更加灵活，更加方便。

本实施例中，安全级别可作为数据方进行访问权限配置时的参考，当然，数据方可对配置服务器10确定的每一文件类型对应的安全级别进行调整并通知配置服务器10，本实施例对此不作限定。

基于此，本实施例中，配置服务器10可根据每个文件类型对应的安全级别以及每种安全级别下不同访问角色具有的访问权限，确定不同访问角色对每个文件类型的访问权限；根据不同访问角色对每个文件类型的访问权限，确定不同访问角色在每个文件所属的文件类型下的访问权限。

本实施例中，对每个文件来说，其所属的文件类型可能有多个，根据每个文件类型对应的安全级别以及每种安全级别下不同访问角色具有的访问权限，可确定出不同访问角色对该文件所属的每个文件类型的访问权限。例如，文件A所属的文件类型有a、b、c、d，文件类型a、b的安全级别为五级，文件类型c的安全级别为四级，文件类型d的安全级别为三级，当用户的访问角色仅对四级及以下的安全级别具有访问权限时，该用户对文件A的文件类型a和b不具有访问权限，对于文件类型c和d具有访问权限，据此，配置服务器10可为文件A生成针对该用户的访问角色的鉴权信息{(文件类型a：阻断)；(文件类型b：阻断)；(文件类型c：放行)；(文件类型d：放行)}。

在上述或下述实施例中，为了保证数据方的数据安全，配置服务器10在基于文件内容，对数据方在目标计算设备20中的文件进行聚类之前，还可向数据授权中心发送针对数据方在目标计算设备20中的文件的访问授权请求；在获取到数据授权中心下发的临时授权密钥后，利用临时授权密钥以临时访问角色向目标计算设备20发送文件访问请求；在通过鉴权服务器30的访问权限验证后，扫描数据方在目标计算设备20中的文件。

本实施例中，配置服务器10可向数据授权中心申请临时访问权限，如果申请成功，配置服务器10可获取到数据授权中心下发的用于访问数据方在目标计算设备20中的文件的临时ID、临时密码和安全令牌等信息作为临时授权密钥，配置服务器10通过临时授权密钥可临时访问数据方在目标计算设备20中的文件。据此，配置服务器10可对数据方在目标计算设备20中的文件进行自动扫描，并根据各文件的文件内容，进行文件分类。

本实施例中，配置服务器10在访问目标计算设备20中的文件时，使用临时访问角色向目标计算设备20发起文件访问请求，目标计算设备20可通过鉴权服务器30对配置服务器10的文件访问请求进行鉴权，保证了目标计算设备20中文件的安全性。

图2为本申请另一实施例提供的一种访问控制方法的流程示意图。该方法适用于访问控制系统中的配置服务器，如图2所示，该方便包括：

200、确定数据方在目标计算设备中的至少一个文件所属的文件类型；

201、根据一个或多个访问角色在文件所属的文件类型下的访问权限，为文件针对一个或多个访问角色分别生成鉴权信息；

202、将一个或多个鉴权信息输出至目标计算设备，以供目标计算设备根据一个或多个鉴权信息对文件进行访问控制。

在本申请实施例中，通过确定数据方在目标计算设备中的每个文件所属的文件类型，并根据不同访问角色在每个文件所属的文件类型下的访问权限，可为每个文件针对不同访问角色分别生成鉴权信息，从而，可实现从文件类型的维度对目标计算设备接收到的文件访问请求进行访问控制。本实施例中，基于文件内容可实现对文件的灵活分类及精细化分类，这使得对目标计算设备接收到的文件访问请求的访问控制更加灵活且更加精准。

在一可选实施例中，步骤202，包括：

在为每个文件针对不同访问角色分别生成鉴权信息后，调用目标计算设备的调用接口，将每个文件针对不同访问角色的鉴权信息输出至目标计算设备；或者，

接收目标计算设备根据文件访问请求发送的鉴权信息获取请求，鉴权信息获取请求携带目标文件的标识及用户的访问角色，根据目标文件的标识与用户的访问角色确定目标文件针对用户的访问角色的鉴权信息并返回给目标计算设备。

在一可选实施例中，该方法还包括：

针对每个文件，当文件所属的文件类型发生变化和/或不同访问角色在文件所属文件类型下的访问权限发生变化时，更新文件针对不同访问角色的鉴权信息，将更新后的文件针对不同访问角色的鉴权信息输出至目标计算设备。

在一可选实施例中，步骤202，包括：

将每个文件针对不同访问角色的鉴权信息发送至目标计算设备，以由目标计算设备针对每个文件，将文件针对不同访问角色的鉴权信息写入文件的描述信息的第一预留字段中。

在一可选实施例中，步骤200之前，该方法还包括：

基于文件内容，对数据方在目标计算设备中的文件进行聚类，以获得至少一个文件类型；

根据每个文件类型下的文件包含的关键词及文件类型下的文件所属的行业领域，确定每一文件类型的标识，文件类型的标识用于数据方为文件类型针对不同访问角色配置访问权限。

在一可选实施例中，该方法还包括：

根据每一文件类型的标识及其下的文件所属的行业领域，确定每一文件类型对应的安全级别，安全级别用于数据方配置每种安全级别下不同访问角色具有的访问权限。

在一可选实施例中，步骤201之前，还包括：

根据每个文件类型对应的安全级别以及每种安全级别下不同访问角色具有的访问权限，确定不同访问角色对每个文件类型的访问权限；

根据不同访问角色对每个文件类型的访问权限，确定不同访问角色在每个文件所属的文件类型下的访问权限。

在一可选实施例中，步骤基于文件内容，对数据方在目标计算设备中的文件进行聚类之前，还包括：

向数据授权中心发送针对数据方在目标计算设备中的文件的访问授权请求；

在获取到数据授权中心下发的临时授权密钥后，利用临时授权密钥以临时访问角色向目标计算设备发送文件访问请求；

在通过鉴权服务器的访问权限验证后，扫描数据方在目标计算设备中的文件。

图3为本申请又一实施例提供的一种访问控制方法的流程示意图。该方法适用于访问控制系统中的目标计算设备，如图3所示，该方法包括：

300、接收用户的文件访问请求，文件访问请求用于请求访问目标文件；

301、根据用户的访问角色获取目标文件对应的鉴权信息，鉴权信息为配置服务器根据一个或多个访问角色在目标文件所属文件类型下的访问权限而生成的；

302、将目标文件对应的鉴权信息携带在鉴权请求中，并发送给鉴权服务器；

303、接收鉴权服务器根据目标文件对应的鉴权信息生成的鉴权结果，并根据鉴权结果处理文件访问请求。

在一可选实施例中，该方法，还包括：

在接收到配置服务器输出的文件针对一个或多个访问角色的鉴权信息时，将鉴权信息写入文件的描述信息的第一预留字段中。

在一可选实施例中，文件的描述信息中还包括第二预留字段，第二预留资源用于存储不同访问角色对文件在目标计算设备中占用的存储资源的访问权限，该方法还包括：

从目标文件的描述信息中读取第二预留字段中的用户的访问角色对目标文件在目标计算设备中占用的存储资源的访问权限，并将用户的访问角色对目标文件在目标计算设备中占用的存储资源的访问权限携带在鉴权请求中。

图4为本申请又一实施例提供的一种访问控制方法的流程示意图。该方法适用于访问控制系统中的配置服务器，如图4所示，该方法包括：

400、确定数据方在目标计算设备中的至少一个文件所属的文件类型；

401、根据一个或多个访问角色在文件所属的文件类型下的访问权限，为文件针对一个或多个访问角色分别生成鉴权信息；

402、调用目标计算设备的调用接口，将一个或多个鉴权信息输出至目标计算设备中文件的描述信息中，以供目标计算设备根据一个或多个鉴权信息对文件进行访问控制。

图5为本申请又一实施例提供的一种配置服务器的结构示意图，如图5所示，该配置服务器包括：存储器50、处理器51和通信组件52；

存储器50，用于存储一条或多条计算机指令；

处理器51，与存储器50和通信组件52耦接，用于执行一条或多条计算机指令，以用于：

确定数据方在目标计算设备中的至少一个文件所属的文件类型；

根据不同访问角色在文件所属的文件类型下的访问权限，为文件针对一个或多个访问角色分别生成鉴权信息；

通过通信组件52将一个或多个鉴权信息输出至目标计算设备，以供目标计算设备根据一个或多个鉴权信息对文件进行访问控制。

在本申请实施例中，通过确定数据方在目标计算设备中的每个文件所属的文件类型，并根据不同访问角色在每个文件所属的文件类型下的访问权限，可为每个文件针对不同访问角色分别生成鉴权信息，从而，可实现从文件类型的维度对目标计算设备接收到的文件访问请求进行访问控制。本实施例中，基于文件内容可实现对文件的灵活分类及精细化分类，这使得对目标计算设备接收到的文件访问请求的访问控制更加灵活且更加精准。

在一可选实施例中，处理器51在将每个文件针对不同访问角色的鉴权信息输出至目标计算设备时，用于：

在为每个文件针对不同访问角色分别生成鉴权信息后，调用目标计算设备的调用接口，将每个文件针对不同访问角色的鉴权信息输出至目标计算设备；或者，

通过通信组件52接收目标计算设备根据文件访问请求发送的鉴权信息获取请求，鉴权信息获取请求携带目标文件的标识及用户的访问角色，根据目标文件的标识与用户的访问角色确定目标文件针对用户的访问角色的鉴权信息并返回给目标计算设备。

在一可选实施例中，处理器51还用于：

针对每个文件，当文件所属的文件类型发生变化和/或不同访问角色在文件所属文件类型下的访问权限发生变化时，更新文件针对不同访问角色的鉴权信息，通过通信组件52将更新后的文件针对不同访问角色的鉴权信息输出至目标计算设备。

在一可选实施例中，处理器51在将每个文件针对不同访问角色的鉴权信息输出至目标计算设备时，用于：

通过通信组件52将每个文件针对不同访问角色的鉴权信息发送至目标计算设备，以由目标计算设备针对每个文件，将文件针对不同访问角色的鉴权信息写入文件的描述信息的第一预留字段中。

在一可选实施例中，处理器51在确定数据方在目标计算设备中的每个文件所属的文件类型之前，还用于：

基于文件内容，对数据方在目标计算设备中的文件进行聚类，以获得至少一个文件类型；

根据每个文件类型下的文件包含的关键词及文件类型下的文件所属的行业领域，确定每一文件类型的标识，文件类型的标识用于数据方为文件类型针对不同访问角色配置访问权限。

在一可选实施例中，处理器51还包括：

根据每一文件类型的标识及其下的文件所属的行业领域，确定每一文件类型对应的安全级别，安全级别用于数据方配置每种安全级别下不同访问角色具有的访问权限。

在一可选实施例中，处理器51在根据不同访问角色在每个文件所属的文件类型下的访问权限，为每个文件针对不同访问角色分别生成鉴权信息之前，还用于：

根据每个文件类型对应的安全级别以及每种安全级别下不同访问角色具有的访问权限，确定不同访问角色对每个文件类型的访问权限；

根据不同访问角色对每个文件类型的访问权限，确定不同访问角色在每个文件所属的文件类型下的访问权限。

在一可选实施例中，处理器在基于文件内容，对数据方在目标计算设备中的文件进行聚类之前，还用于：

通过通信组件52向数据授权中心发送针对数据方在目标计算设备中的文件的访问授权请求；

在获取到数据授权中心下发的临时授权密钥后，利用临时授权密钥以临时访问角色向目标计算设备发送文件访问请求；

在通过鉴权服务器的访问权限验证后，扫描数据方在目标计算设备中的文件。

进一步，如图5所示，该配置服务器还可包括：电源组件53等其它组件。图中仅示意性给出部分组件，并不意味着配置服务器只包括图5所示组件。

相应地，本申请实施例还提供一种存储计算机指令的计算机可读存储介质，当计算机指令被一个或多个处理器执行时，致使一个或多个处理器执行前述由配置服务器执行的访问控制方法。

图6为本申请又一实施例提供的一种目标计算设备的结构示意图，如图6所示，该目标计算设备包括存储器60、处理器61和通信组件62；

存储器60，用于存储一条或多条计算机指令；

处理器61，与存储器60和通信组件62耦接，用于执行一条或多条计算机指令，以用于：

通过通信组件61接收用户的文件访问请求，文件访问请求用于请求访问目标文件；

根据用户的访问角色中获取目标文件对应的鉴权信息，鉴权信息为配置服务器根据一个或多个访问角色在目标文件所属文件类型下的访问权限而生成的；

将目标文件对应的鉴权信息携带在鉴权请求中，并通过通信组件61发送给鉴权服务器；

通过通信组件61接收鉴权服务器根据目标文件对应的鉴权信息生成的鉴权结果，并根据鉴权结果处理文件访问请求。

在一可选实施例中，处理器61还用于：

针对每个文件，在接收到配置服务器输出的文件针对不同访问角色的鉴权信息时，将鉴权信息写入文件的描述信息的第一预留字段中。

在一可选实施例中，文件的描述信息中还包括第二预留字段，第二预留资源用于存储不同访问角色对文件在目标计算设备中占用的存储资源的访问权限，处理器61还用于：

从目标文件的描述信息中读取第二预留字段中的用户的访问角色对目标文件在目标计算设备中占用的存储资源的访问权限，并将用户的访问角色对目标文件在目标计算设备中占用的存储资源的访问权限携带在鉴权请求中。

进一步，如图6所示，该目标计算设备还可包括：电源组件63等其它组件。图中仅示意性给出部分组件，并不意味着目标计算设备只包括图6所示组件。

相应地，本申请实施例还提供一种存储计算机指令的计算机可读存储介质，当计算机指令被一个或多个处理器执行时，致使一个或多个处理器执行前述由目标计算设备执行的访问控制方法。

图7为本申请又一实施例提供的一种配置服务器的结构示意图，如图7所示，该目标计算设备包括存储器70、处理器71和通信组件72；

存储器70，用于存储一条或多条计算机指令；

处理器71，与存储器70和通信组件72耦接，用于执行一条或多条计算机指令，以用于：

确定数据方在目标计算设备中的至少一个文件所属的文件类型；

根据一个或多个访问角色在文件所属的文件类型下的访问权限，为文件针对一个或多个访问角色分别生成鉴权信息；

调用目标计算设备的调用接口，将一个或多个鉴权信息输出至目标计算设备中文件的描述信息中，以供目标计算设备根据一个或多个鉴权信息对文件进行访问控制。

进一步，如图7所示，该目标计算设备还可包括：电源组件73等其它组件。图中仅示意性给出部分组件，并不意味着配置服务器只包括图7所示组件。

相应地，本申请实施例还提供一种存储计算机指令的计算机可读存储介质，当计算机指令被一个或多个处理器执行时，致使一个或多个处理器执行前述由配置服务器执行的访问控制方法。

其中，图5、6和7中的存储器，用于存储计算机程序，并可被配置为存储其它各种数据以支持在主节点上的操作。这些数据的示例包括用于在主节点操作的任何应用程序或方法的指令，联系人数据，电话簿数据，消息，图片，视频等。

存储器可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(SRAM)，电可擦除可编程只读存储器(EEPROM)，可擦除可编程只读存储器(EPROM)，可编程只读存储器(PROM)，只读存储器(ROM)，磁存储器，快闪存储器，磁盘或光盘。

其中，图5、6和7中的通信组件，可被配置为便于通信组件所在设备和其他设备之间有线或无线方式的通信。通信组件所在设备可以接入基于通信标准的无线网络，如WiFi，2G或3G，或它们的组合。在一个示例性实施例中，通信组件经由广播信道接收来自外部广播管理系统的广播信号或广播相关信息。在一个示例性实施例中，通信组件还包括近场通信(NFC)模块，以促进短程通信。例如，在NFC模块可基于射频识别(RFID)技术，红外数据协会(IrDA)技术，超宽带(UWB)技术，蓝牙(BT)技术和其他技术来实现。

其中，图5、6和7中的电源组件，为电源组件所在设备的各种组件提供电力。电源组件可以包括电源管理系统，一个或多个电源，及其他与为电源组件所在设备生成、管理和分配电力相关联的组件。

需要说明的是，上述实施例所提供方法的各步骤的执行主体均可以是同一设备，或者，该方法也由不同设备作为执行主体。比如，步骤200至步骤201的执行主体可以为设备A；又比如，步骤201和202的执行主体可以为设备A，步骤200的执行主体可以为设备B；等等。

另外，在上述实施例及附图中的描述的一些流程中，包含了按照特定顺序出现的多个操作，但是应该清楚了解，这些操作可以不按照其在本文中出现的顺序来执行或并行执行，操作的序号如201、202等，仅仅是用于区分开各个不同的操作，序号本身不代表任何的执行顺序。另外，这些流程可以包括更多或更少的操作，并且这些操作可以按顺序执行或并行执行。需要说明的是，本文中的“第一”、“第二”等描述，是用于区分不同的消息、设备、模块等，不代表先后顺序，也不限定“第一”和“第二”是不同的类型。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (24)

1.一种访问控制系统，其特征在于，包括：配置服务器、目标计算设备和鉴权服务器；

所述配置服务器用于：确定数据方在所述目标计算设备中的至少一个文件所属的文件类型，根据一个或多个访问角色在所述文件所属的文件类型下的访问权限，为所述文件针对一个或多个访问角色分别生成鉴权信息；将所述一个或多个鉴权信息输出至所述目标计算设备；

所述目标计算设备用于：接收用户的文件访问请求，所述文件访问请求用于请求访问目标文件，将根据所述用户的访问角色获取的所述目标文件对应的鉴权信息携带在鉴权请求中并发送给所述鉴权服务器；

所述鉴权服务器用于：根据所述目标文件对应的鉴权信息生成鉴权结果并发送至所述目标计算设备，以供所述目标计算设备根据所述鉴权结果处理所述文件访问请求；

所述目标计算设备在接收用户的文件访问请求之后，还用于：

从所述目标文件的描述信息中读取第二预留字段中的用户的访问角色对所述目标文件在所述目标计算设备中占用的存储资源的访问权限，并将所述用户的访问角色对所述目标文件在所述目标计算设备中占用的存储资源的访问权限携带在所述鉴权请求中。

2.根据权利要求1所述的系统，其特征在于，所述配置服务器在将所述一个或多个鉴权信息输出至所述目标计算设备时，用于：

在为所述文件针对一个或多个访问角色分别生成鉴权信息后，调用所述目标计算设备的调用接口，将所述一个或多个鉴权信息输出至所述目标计算设备；或者，

接收所述目标计算设备根据所述文件访问请求发送的鉴权信息获取请求，所述鉴权信息获取请求携带所述目标文件的标识及所述用户的访问角色，根据所述目标文件的标识与所述用户的访问角色确定所述目标文件针对所述用户的访问角色的鉴权信息并返回给所述目标计算设备。

3.根据权利要求1或2所述的系统，其特征在于，所述配置服务器还用于：

当所述文件所属的文件类型发生变化和/或一个或多个访问角色在所述文件所属文件类型下的访问权限发生变化时，更新所述文件针对一个或多个访问角色的鉴权信息，将更新后的所述一个或多个鉴权信息输出至所述目标计算设备。

4.根据权利要求1或2所述的系统，其特征在于，所述目标计算设备还用于：

在接收到所述配置服务器输出的所述文件针对一个或多个访问角色的鉴权信息时，将所述鉴权信息写入所述文件的描述信息的第一预留字段中。

5.根据权利要求1所述的系统，其特征在于，所述配置服务器在确定数据方在所述目标计算设备中至少一个文件所属的文件类型之前，还用于：

基于文件内容，对所述数据方在所述目标计算设备中的文件进行聚类，以获得至少一个文件类型；

根据所述文件类型下的文件包含的关键词及所述文件类型下的文件所属的行业领域，确定所述文件类型的标识，所述文件类型的标识用于所述数据方为所述文件类型针对一个或多个访问角色配置访问权限。

6.根据权利要求5所述的系统，其特征在于，所述配置服务器还用于：

根据所述文件类型的标识及其下的文件所属的行业领域，确定所述文件类型对应的安全级别，所述安全级别用于所述数据方配置所述安全级别下一个或多个访问角色具有的访问权限。

7.根据权利要求6所述的系统，其特征在于，所述配置服务器在根据一个或多个访问角色在所述文件所属的文件类型下的访问权限，为所述文件针对一个或多个访问角色分别生成鉴权信息之前，还用于：

根据所述文件类型对应的安全级别以及所述安全级别下一个或多个访问角色具有的访问权限，确定一个或多个访问角色对所述文件类型的访问权限；

根据一个或多个访问角色对所述文件类型的访问权限，确定一个或多个访问角色在所述文件所属的文件类型下的访问权限。

8.根据权利要求5所述的系统，其特征在于，所述配置服务器在基于文件内容，对所述数据方在所述目标计算设备中的文件进行聚类之前，还用于：

向数据授权中心发送针对所述数据方在所述目标计算设备中的文件的访问授权请求；

在获取到所述数据授权中心下发的临时授权密钥后，利用所述临时授权密钥以临时访问角色向所述目标计算设备发送文件访问请求；

在通过所述鉴权服务器的访问权限验证后，扫描所述数据方在所述目标计算设备中的文件。

9.一种访问控制方法，其特征在于，包括：

确定数据方在目标计算设备中的至少一个文件所属的文件类型；

根据一个或多个访问角色在所述文件所属的文件类型下的访问权限，为所述文件针对所述一个或多个访问角色分别生成鉴权信息；

将所述一个或多个鉴权信息输出至所述目标计算设备，以供所述目标计算设备根据所述一个或多个鉴权信息对所述文件进行访问控制；

其中，所述目标计算设备在接收用于请求访问目标文件的文件访问请求之后，从所述目标文件的描述信息中读取第二预留字段中的用户的访问角色对所述目标文件在所述目标计算设备中占用的存储资源的访问权限，并将所述用户的访问角色对所述目标文件在所述目标计算设备中占用的存储资源的访问权限携带在鉴权请求中并发送给鉴权服务器进行鉴权。

10.根据权利要求9所述的方法，其特征在于，所述将所述一个或多个鉴权信息输出至目标计算设备，包括：

在为所述文件针对一个或多个访问角色分别生成鉴权信息后，调用所述目标计算设备的调用接口，将所述一个或多个鉴权信息输出至所述目标计算设备；或者，

接收所述目标计算设备根据所述文件访问请求发送的鉴权信息获取请求，所述鉴权信息获取请求携带所述目标文件的标识及所述用户的访问角色，根据所述目标文件的标识与所述用户的访问角色确定所述目标文件针对所述用户的访问角色的鉴权信息并返回给所述目标计算设备。

11.根据权利要求9或10所述的方法，其特征在于，当所述文件所属的文件类型发生变化和/或一个或多个访问角色在所述文件所属文件类型下的访问权限发生变化时，更新所述文件针对一个或多个访问角色的鉴权信息，将更新后的一个或多个鉴权信息输出至所述目标计算设备。

12.根据权利要求9或10所述的方法，其特征在于，所述将所述一个或多个鉴权信息输出至所述目标计算设备，包括：

将所述文件针对一个或多个访问角色的鉴权信息发送至所述目标计算设备，以由所述目标计算设备针对所述文件，将所述文件针对一个或多个访问角色的鉴权信息写入所述文件的描述信息的第一预留字段中。

13.根据权利要求9所述的方法，其特征在于，所述确定数据方在所述目标计算设备中至少一个文件所属的文件类型之前，还包括：

基于文件内容，对所述数据方在所述目标计算设备中的文件进行聚类，以获得至少一个文件类型；

根据所述文件类型下的文件包含的关键词及所述文件类型下的文件所属的行业领域，确定所述文件类型的标识，所述文件类型的标识用于所述数据方为所述文件类型针对一个或多个访问角色配置访问权限。

14.根据权利要求13所述的方法，其特征在于，还包括：

根据所述文件类型的标识及其下的文件所属的行业领域，确定所述文件类型对应的安全级别，所述安全级别用于所述数据方配置所述安全级别下一个或多个访问角色具有的访问权限。

15.根据权利要求14所述的方法，其特征在于，在根据一个或多个访问角色在所述文件所属的文件类型下的访问权限，为所述文件针对一个或多个访问角色分别生成鉴权信息之前，还包括：

根据所述文件类型对应的安全级别以及所述安全级别下一个或多个访问角色具有的访问权限，确定一个或多个访问角色对所述文件类型的访问权限；

根据一个或多个访问角色对所述文件类型的访问权限，确定一个或多个访问角色在所述文件所属的文件类型下的访问权限。

16.根据权利要求13所述的方法，其特征在于，所述基于文件内容，对所述数据方在所述目标计算设备中的文件进行聚类之前，还包括：

向数据授权中心发送针对所述数据方在所述目标计算设备中的文件的访问授权请求；

在获取到所述数据授权中心下发的临时授权密钥后，利用所述临时授权密钥以临时访问角色向所述目标计算设备发送文件访问请求；

在通过所述鉴权服务器的访问权限验证后，扫描所述数据方在所述目标计算设备中的文件。

17.一种访问控制方法，其特征在于，包括：

接收用户的文件访问请求，所述文件访问请求用于请求访问目标文件；

根据所述用户的访问角色获取所述目标文件对应的鉴权信息，所述鉴权信息为配置服务器根据一个或多个访问角色在所述目标文件所属文件类型下的访问权限而生成的；

将所述目标文件对应的鉴权信息携带在鉴权请求中，并发送给鉴权服务器；

接收所述鉴权服务器根据所述目标文件对应的鉴权信息生成的鉴权结果，并根据所述鉴权结果处理所述文件访问请求；

其中，所述方法还包括：

从所述目标文件的描述信息中读取第二预留字段中的用户的访问角色对所述目标文件在目标计算设备中占用的存储资源的访问权限，并将所述用户的访问角色对所述目标文件在所述目标计算设备中占用的存储资源的访问权限携带在所述鉴权请求中。

18.根据权利要求17所述的方法，其特征在于，还包括：

在接收到所述配置服务器输出的所述文件针对一个或多个访问角色的鉴权信息时，将所述鉴权信息写入所述文件的描述信息的第一预留字段中。

19.一种访问控制方法，其特征在于，包括：

确定数据方在目标计算设备中的至少一个文件所属的文件类型；

根据一个或多个访问角色在所述文件所属的文件类型下的访问权限，为所述文件针对所述一个或多个访问角色分别生成鉴权信息；

调用所述目标计算设备的调用接口，将所述一个或多个鉴权信息输出至目标计算设备中所述文件的描述信息中，以供所述目标计算设备根据所述一个或多个鉴权信息对所述文件进行访问控制；

其中，所述目标计算设备在接收用于请求访问目标文件的文件访问请求之后，从所述目标文件的描述信息中读取第二预留字段中的用户的访问角色对所述目标文件在所述目标计算设备中占用的存储资源的访问权限，并将所述用户的访问角色对所述目标文件在所述目标计算设备中占用的存储资源的访问权限携带在鉴权请求中并发送给鉴权服务器进行鉴权。

20.一种配置服务器，其特征在于，包括存储器、处理器和通信组件；

所述存储器，用于存储一条或多条计算机指令；

所述处理器，与所述存储器和所述通信组件耦接，用于执行一条或多条计算机指令，以用于：

确定数据方在目标计算设备中的至少一个文件所属的文件类型；

根据一个或多个访问角色在所述文件所属的文件类型下的访问权限，为所述文件针对一个或多个访问角色分别生成鉴权信息；

通过所述通信组件将所述文件针对一个或多个访问角色的鉴权信息输出至所述目标计算设备，以供所述目标计算设备根据所述一个或多个鉴权信息对所述文件进行访问控制；

其中，所述目标计算设备在接收用于请求访问目标文件的文件访问请求之后，从所述目标文件的描述信息中读取第二预留字段中的用户的访问角色对所述目标文件在所述目标计算设备中占用的存储资源的访问权限，并将所述用户的访问角色对所述目标文件在所述目标计算设备中占用的存储资源的访问权限携带在鉴权请求中并发送给鉴权服务器进行鉴权。

21.一种目标计算设备，其特征在于，包括存储器、处理器和通信组件；

所述存储器，用于存储一条或多条计算机指令；

所述处理器，与所述存储器和所述通信组件耦接，用于执行一条或多条计算机指令，以用于：

通过通信组件接收用户的文件访问请求，所述文件访问请求用于请求访问目标文件；

根据所述用户的访问角色获取所述目标文件对应的鉴权信息，所述鉴权信息为配置服务器根据一个或多个访问角色在所述目标文件所属文件类型下的访问权限而生成的；

将所述目标文件对应的鉴权信息携带在鉴权请求中，并通过通信组件发送给鉴权服务器；

通过通信组件接收所述鉴权服务器根据所述目标文件对应的鉴权信息生成的鉴权结果，并根据所述鉴权结果处理所述文件访问请求；

其中，所述处理器还用于：从所述目标文件的描述信息中读取第二预留字段中的用户的访问角色对所述目标文件在所述目标计算设备中占用的存储资源的访问权限，并将所述用户的访问角色对所述目标文件在所述目标计算设备中占用的存储资源的访问权限携带在所述鉴权请求中。

22.一种配置服务器，其特征在于，包括存储器、处理器和通信组件；

所述存储器，用于存储一条或多条计算机指令；

所述处理器，与所述存储器和所述通信组件耦接，用于执行一条或多条计算机指令，以用于：

确定数据方在目标计算设备中的至少一个文件所属的文件类型；

根据一个或多个访问角色在所述文件所属的文件类型下的访问权限，为所述文件针对所述一个或多个访问角色分别生成鉴权信息；

调用所述目标计算设备的调用接口，将所述一个或多个鉴权信息输出至目标计算设备中所述文件的描述信息中，以供所述目标计算设备根据所述一个或多个鉴权信息对所述文件进行访问控制；

其中，所述目标计算设备在接收用于请求访问目标文件的文件访问请求之后，从所述目标文件的描述信息中读取第二预留字段中的用户的访问角色对所述目标文件在所述目标计算设备中占用的存储资源的访问权限，并将所述用户的访问角色对所述目标文件在所述目标计算设备中占用的存储资源的访问权限携带在鉴权请求中并发送给鉴权服务器进行鉴权。

23.一种存储计算机指令的计算机可读存储介质，其特征在于，当计算机指令被一个或多个处理器执行时，致使一个或多个处理器执行权利要求9-16中任一项所述的访问控制方法。

24.一种存储计算机指令的计算机可读存储介质，其特征在于，当计算机指令被一个或多个处理器执行时，致使一个或多个处理器执行权利要求17-19任一项所述的访问控制方法。

Images