CN110968848B - 基于用户的权限管理方法、装置及计算设备 - Google Patents

Abstract

本发明公开了一种基于用户的权限管理方法、装置、计算设备及计算机存储介质，其中，基于用户的权限管理方法包括：接收终端发送的用户登录请求；对用户登录请求进行认证，若认证成功，则依据数据库中存储的关联数据，确定用户ID对应的用户属性；根据用户属性和包含有多个访问规则语句的权限管理语法模型，确定用户ID对应的访问控制列表；按照访问控制列表，对终端的网络访问权限进行管理。根据本发明提供的技术方案，基于用户对网络访问权限进行精准化管理，实现了细粒度的网络访问权限管理，能够根据权限管理语法模型，更为方便、快速地确定出用户ID对应的访问控制列表，很好地满足了多样化的权限管理需求，有助于抵抗网络攻击。

Description

基于用户的权限管理方法、装置及计算设备

技术领域

本发明涉及互联网技术领域，具体涉及一种基于用户的权限管理方法、装置、计算设备及计算机存储介质。

背景技术

随着互联网技术的不断发展、用户可利用手机、电脑等终端远程访问资源服务器所提供的服务或资源，例如，用户通过手机远程访问某企业的资源服务器中的资源，进行收发邮件、会议讨论等办公操作。现有技术中大多采用域账户机制或VPN(虚拟专用网络)机制对用户的网络访问权限进行管理。然而域账户机制和VPN机制的权限管理粒度太粗、不够精准，无法满足用户分类、资源隔离、用户分级、动态调整等多样化的权限管理需求，而且还很容易引入风险。另外，VPN机制只是针对远程用户，不适用于本地用户，还需要一组完全不同的技术和策略来管理本地用户的网络访问权限，这将耗费大量的人力成本和时间成本。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的基于用户的权限管理方法、装置、计算设备及计算机存储介质。

根据本发明的一个方面，提供了一种基于用户的权限管理方法，该方法包括：

接收终端发送的用户登录请求；用户登录请求包括：用户ID；

对用户登录请求进行认证，若认证成功，则依据数据库中存储的关联数据，确定用户ID对应的用户属性；

根据用户属性和包含有多个访问规则语句的权限管理语法模型，确定用户ID对应的访问控制列表；

按照访问控制列表，对终端的网络访问权限进行管理。

根据本发明的另一方面，提供了一种基于用户的权限管理装置，该装置包括：

接收模块，适于接收终端发送的用户登录请求；用户登录请求包括：用户ID；

认证模块，适于对用户登录请求进行认证；

第一确定模块，适于若认证模块认证成功，则依据数据库中存储的关联数据，确定用户ID对应的用户属性；

第二确定模块，适于根据用户属性和包含有多个访问规则语句的权限管理语法模型，确定用户ID对应的访问控制列表；

管理模块，适于按照访问控制列表，对终端的网络访问权限进行管理。

根据本发明的又一方面，提供了一种计算设备，包括：处理器、存储器、通信接口和通信总线，处理器、存储器和通信接口通过通信总线完成相互间的通信；

存储器用于存放至少一可执行指令，可执行指令使处理器执行上述基于用户的权限管理方法对应的操作。

根据本发明的再一方面，提供了一种计算机存储介质，存储介质中存储有至少一可执行指令，可执行指令使处理器执行如上述基于用户的权限管理方法对应的操作。

根据本发明提供的技术方案，对用户登录请求进行认证，在认证成功的情况下，依据数据库中存储的关联数据，确定用户ID对应的用户属性，根据用户ID对应的用户属性和权限管理语法模型，确定用户ID对应的访问控制列表，实现了细粒度的网络访问权限管理，能够基于用户对网络访问权限进行精准化管理，很好地满足了用户分类、资源隔离、用户分级等多样化的权限管理需求；并且，根据权限管理语法模型，能够更为方便、快速地确定出用户ID对应的访问控制列表，有效地提高了访问控制列表的确定效率；而且只有在认证成功且访问控制列表确定之后，终端成功进入登录阶段，终端才能够与允许访问的资源服务器建立连接，从而使得资源服务器能够获得有效地隔离，有助于抵抗网络攻击，降低了资源服务器受攻击的风险。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了根据本发明一个实施例的基于用户的权限管理方法的流程示意图；

图2示出了根据本发明另一个实施例的基于用户的权限管理方法的流程示意图；

图3示出了根据本发明一个实施例的基于用户的权限管理装置的结构框图；

图4示出了根据本发明实施例的一种计算设备的结构示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

图1示出了根据本发明一个实施例的基于用户的权限管理方法的流程示意图，如图1所示，该方法包括如下步骤：

步骤S100，接收终端发送的用户登录请求。

当用户想要访问某企业的资源服务器中的服务或资源时，用户可利用手机、PAD或者电脑等终端发送用户登录请求，用于请求登录用户账号，以便访问资源服务器中的服务或资源。其中，用户登录请求中可包括有：用户ID、用户密码、请求访问的认证域以及终端的终端标识等信息。具体地，用户ID是指用户的账号数据，例如手机号、用户名、邮箱、微信号、QQ号等；终端标识为用于标识用户所使用的终端的标识数据，例如终端的终端号、终端的MAC地址等。

本发明在终端与资源服务器之间设置有防火墙，用于保护资源服务器中服务和资源的安全性。那么当终端发送了用户登录请求之后，防火墙接收终端发送的用户登录请求，可将该用户登录请求转发给认证服务器，由认证服务器对用户登录请求进行认证。本领域技术人员可根据实际需要设置认证服务器，此处不做具体限定。例如，认证服务器可包括：RADIUS(远程用户拨号认证服务，Remote Authentication Dial In User Service)服务器、PrivacyIDEA服务器等。

步骤S101，对用户登录请求进行认证。

其中，认证服务器可预先存储有用户认证信息，用户认证信息包括：注册ID以及对应的注册密码，在实际应用中，认证服务器可验证用户登录请求中的用户ID和用户密码是否与预先存储的用户认证信息中的注册ID和注册密码一致。若验证得到与用户认证信息中的注册ID和注册密码一致，则认证成功；若验证得到与用户认证信息中的注册ID和注册密码不一致，则认证失败。

步骤S102，若认证成功，则依据数据库中存储的关联数据，确定用户ID对应的用户属性。

如果经上述认证后认证成功，那么可由访问控制器来确定用户ID对应的用户属性，进而根据所确定的用户属性来确定用户ID对应的访问控制列表。为了能够准确、全面地确定用户ID对应的用户属性，访问控制器还与数据库相连，访问控制器依据数据库中存储的关联数据，确定用户ID对应的用户部门属性、用户项目属性、用户终端属性等用户属性。

其中，数据库可包括：人力资源数据库、业务管理数据以及终端信任评估数据库等数据库。关联数据为用于确定用户属性的数据，关联数据可包括：人力资源数据、业务管理数据和终端信任评估数据等。本领域技术人员可根据实际需要设置数据库还包括其他的数据库，关联数据还包括其他的数据，此处不做具体限定。

步骤S103，根据用户属性和包含有多个访问规则语句的权限管理语法模型，确定用户ID对应的访问控制列表。

其中，用户ID对应的访问控制列表中包括允许访问的服务器IP及对应的通信协议，和/或，禁止访问的服务器IP及对应的通信协议。具体地，为了方便、快速地确定访问控制列表，预先根据预设访问策略，构建包含有多个访问规则语句的权限管理语法模型，其中，预设访问策略是根据企业内具体的网络访问权限管理需要所设置的，可通过对预设访问策略进行语义分析，而构建权限管理语法模型。那么在确定了用户ID对应的用户属性之后，即可将所确定的用户属性与权限管理语法模型中的多个访问规则语句进行匹配，确定出该用户属性允许访问和/或禁止访问的服务器IP及对应的通信协议，从而得到用户ID对应的访问控制列表。

步骤S104，按照访问控制列表，对终端的网络访问权限进行管理。

由于访问控制列表中包括允许访问的服务器IP及对应的通信协议，和/或，禁止访问的服务器IP及对应的通信协议，那么就可按照访问控制列表，允许和/或禁止该终端访问访问控制列表中的服务器IP。假设用户登录请求中的用户ID为“zhangsan”，根据用户ID“zhangsan”对应的访问控制列表可知，允许访问的服务器IP包括192.168.0.2和192.168.1.11，这两个服务器IP对应的通信协议均为tcp，说明用户ID“zhangsan”具有访问192.168.0.2和192.168.1.11的网络访问权限，那么按照该访问控制列表，允许该终端通过tcp通信协议访问192.168.0.2和192.168.1.11。

本发明中对用户登录请求的认证以及对访问控制列表的确定，对用户而言都是透明的，能够获得较好的用户体验感，而且对用户登录请求的认证以及对访问控制列表的确定均是在终端、防火墙、认证服务器、访问控制器等之间进行交互，并不涉及对于具体服务、资源的访问，只有在认证成功且访问控制列表确定之后，终端成功进入登录阶段，终端才能够与允许访问的资源服务器建立连接，从而使得资源服务器能够获得有效地隔离，有助于抵抗网络攻击。

根据本实施例提供的基于用户的权限管理方法，对用户登录请求进行认证，在认证成功的情况下，依据数据库中存储的关联数据，确定用户ID对应的用户属性，根据用户ID对应的用户属性和权限管理语法模型，确定用户ID对应的访问控制列表，实现了细粒度的网络访问权限管理，能够基于用户对网络访问权限进行精准化管理，很好地满足了用户分类、资源隔离、用户分级等多样化的权限管理需求；并且，根据权限管理语法模型，能够更为方便、快速地确定出用户ID对应的访问控制列表，有效地提高了访问控制列表的确定效率；而且只有在认证成功且访问控制列表确定之后，终端成功进入登录阶段，终端才能够与允许访问的资源服务器建立连接，从而使得资源服务器能够获得有效地隔离，有助于抵抗网络攻击，降低了资源服务器受攻击的风险。

图2示出了根据本发明另一个实施例的基于用户的权限管理方法的流程示意图，如图2所示，该方法包括如下步骤：

步骤S200，接收终端发送的用户登录请求。

当用户想要访问某企业的资源服务器中的服务或资源时，用户可利用终端发送用户登录请求，用户登录请求中可包括有：用户ID、用户密码、请求访问的认证域以及终端的终端标识等信息。防火墙接收终端发送的用户登录请求，并将该用户登录请求转发给认证服务器，认证服务器接收该用户登录请求，并对用户登录请求进行认证。在一个具体应用中，认证服务器包括RADIUS服务器和PrivacyIDEA服务器等，对用户登录请求进行认证的具体过程可通过步骤S201至步骤S203来实现。

步骤S201，验证用户登录请求中的用户ID和用户密码是否与预先存储的用户认证信息中的注册ID和注册密码一致；若是，则执行步骤S202；若否，则执行步骤S208。

其中，RADIUS服务器中可预先存储有用户认证信息，用户认证信息包括：注册ID以及对应的注册密码。RADIUS服务器验证用户登录请求中的用户ID和用户密码是否与预先存储的用户认证信息中的注册ID和注册密码一致。如果验证得到与预先存储的用户认证信息中的注册ID和注册密码一致，则执行步骤S202，进行进一步认证；如果验证得到与预先存储的用户认证信息中的注册ID和注册密码不一致，则认证失败，执行步骤S208，向终端返回认证失败提示信息，以便终端侧的用户获知认证失败的认证结果。

步骤S202，调取用户登录请求中的认证域对应的用户存储文件。

在验证得到用户登录请求中的用户ID和用户密码与预先存储的用户认证信息中的注册ID和注册密码一致的情况下，可由PrivacyIDEA服务器进行进一步认证。PrivacyIDEA服务器可采用LDAP(轻量目录访问协议，Lightweight Directory AccessProtocol)，PrivacyIDEA服务器中存储有各个认证域对应的用户存储文件，每个认证域对应的用户存储文件包括：该认证域内的用户ID以及用户ID对应的用户令牌。具体地，用户存储文件可按照认证域内用户所属的部门进行设置，以便按照部门高效地对用户ID以及用户ID对应的用户令牌进行存储与管理。例如，认证域corp内的用户包括属于网络安全部门的90个用户、质量保证部门的20个用户以及企业安全部门的100个用户，那么认证域corp对应的用户存储文件可包括3个用户存储文件，分别为用户存储文件1至用户存储文件3，其中，用户存储文件1用于存储认证域corp内属于网络安全部门的90个用户的用户ID以及用户ID对应的用户令牌，用户存储文件2用于存储认证域corp内属于质量保证部门的20个用户的用户ID以及用户ID对应的用户令牌，用户存储文件3用于存储认证域corp内属于企业安全部门的100个用户的用户ID以及用户ID对应的用户令牌。可选地，还可为用户存储文件设置对应的优先级，本领域技术人员可根据实际需要确定优先级设置规则，此处不做限定。例如，可根据部门的重要程度等来设置对应的用户存储文件的优先级。

PrivacyIDEA服务器可先判断用户登录请求中的认证域是否存在，若判断得到该认证域存在，则调取该认证域对应的用户存储文件，若判断得到该认证域不存在，则认证失败，执行步骤S208。

步骤S203，查找用户存储文件中是否存在用户ID对应的用户令牌；若是，则执行步骤S204；若否，则执行步骤S208。

其中，PrivacyIDEA服务器可通过遍历所调取的用户存储文件，查找是否存在用户ID对应的用户令牌。若用户存储文件中存在用户ID对应的用户令牌，则认证成功，执行步骤S204；若用户存储文件中不存在用户ID对应的用户令牌，则认证失败，执行步骤S208。

具体地，若所调取的用户存储文件包括多个用户存储文件，那么可按照用户存储文件的优先级从高到低的顺序来确定多个用户存储文件的遍历顺序。假设用户登录请求中的认证域为corp，认证域corp对应的用户存储文件包括用户存储文件1至用户存储文件3，用户存储文件1的优先级高于用户存储文件2的优先级，用户存储文件2的优先级高于用户存储文件3的优先级，那么可先查找用户存储文件1中是否存在用户ID对应的用户令牌，若用户存储文件1中不存在用户ID对应的用户令牌，则接着查找用户存储文件2中是否存在用户ID对应的用户令牌。若用户存储文件2中也不存在用户ID对应的用户令牌，那么继续查找用户存储文件3中是否存在用户ID对应的用户令牌。若用户存储文件1至用户存储文件3都不存在用户ID对应的用户令牌，则认证失败。

步骤S204，依据数据库中存储的关联数据，确定用户ID对应的用户属性。

若用户存储文件中存在用户ID对应的用户令牌，则认证成功，接着访问控制器依据数据库中存储的关联数据来确定用户ID对应的用户属性。其中，关联数据包括：人力资源数据、业务管理数据和终端信任评估数据等，用户属性包括：用户部门属性、用户姓名属性、用户项目属性、用户时间属性、用户角色属性和用户终端属性等。

在一个具体应用中，访问控制器与人力资源数据库、业务管理数据以及终端信任评估数据库相连，人力资源数据库中存储有人力资源数据，业务管理数据存储有业务管理数据，终端信任评估数据库存储有终端信任评估数据。

其中，人力资源数据记录有企业中各个部门的组织结构以及各个部门的人员构成情况以及每个人员的个人基本数据等，个人基本数据包括：用户姓名、用户ID、出生年月、籍贯、所属部门、邮箱、入职时间、文化水平、工作能力、历史工作经历、培训经历等。具体地，可从关联数据中的人力资源数据中查找用户ID对应的部门，根据查找到的部门，确定用户ID对应的用户部门属性。另外，还可从关联数据中的人力资源数据中查找用户ID对应的用户姓名，根据查找到的用户姓名，确定用户ID对应的用户姓名属性。例如，用户登录请求中的用户ID为“lisi”，通过遍历人力资源数据中的个人基本数据，查找出用户ID“lisi”对应的个人基本数据，接着从查找出的个人基本数据中查找对应的部门和用户姓名，假设查找到的部门为技术开发部门，用户姓名为李四，那么可将用户ID“lisi”对应的用户部门属性确定为技术开发，将用户ID“lisi”对应的用户姓名属性确定为李四，实际应用中可用“tech”或者“01”等标识来表示技术开发。

业务管理数据记录有企业中各个项目组的项目组基本数据以及人员数据，项目组基本数据包括：项目组名称、成立时间、项目描述、项目负责人姓名、项目负责人邮箱等。由于项目组是依据企业的发展进程所设置的，因此可能有的项目组正在运行，而有的项目组已经解散，为了有效、快速地区分出这些项目组，项目组基本数据还包括有项目组有效时间范围。人员数据包括：用户姓名、用户ID、所属项目组、在项目组中所承担的职能、工作内容等。具体地，可从关联数据中的业务管理数据中查找用户ID对应的项目组以及项目组有效时间范围，根据查找到的项目组，确定用户ID对应的用户项目属性，并将当前时间与查找到的项目组有效时间范围进行比对，确定用户ID对应的用户时间属性。另外，还可从关联数据中的业务管理数据中查找用户ID对应的职能，根据查找到的职能，确定用户ID对应的用户角色属性。

例如，用户登录请求中的用户ID为“lisi”，通过遍历业务管理数据中的人员数据，查找出用户ID“lisi”对应的人员数据，接着从查找出的人员数据中查找对应的项目组和职能，假设查找到的项目组为花椒直播，职能为界面设计，那么查找花椒直播项目组的项目组基本数据，从该项目组基本数据中查找花椒直播项目组的项目组有效时间范围，那么可将用户ID“lisi”对应的用户项目属性确定为花椒直播，将用户ID“lisi”对应的用户角色属性确定为界面设计，实际应用中可用“huajiao”等标识来表示花椒直播，可用“uisheji”等标识来表示界面设计。若当前时间在查找到的花椒直播项目组的项目组有效时间范围内，说明花椒直播项目组正在运行，则将用户ID“lisi”对应的用户时间属性确定为有效；若当前时间不在查找到的花椒直播项目组的项目组有效时间范围内，说明花椒直播项目组已经解散，则将用户ID“lisi”对应的用户时间属性确定为无效。

终端信任评估数据是通过对各个终端进行病毒、漏洞、木马、恶意、可疑等程序进行检测得到的，终端信任评估数据记录有各个终端的终端标识以及对应的终端信任评估结果。根据终端信任评估结果可知对应的终端是否为安全的、值得信任的终端。具体地，可从关联数据中的终端信任评估数据中查找用户登录请求中的终端标识对应的终端信任评估结果，根据查找到的终端信任评估结果，确定用户ID对应的用户终端属性。例如，用户登录请求中的用户ID为“lisi”、终端标识为MAC1，通过遍历终端信任评估数据，查找MAC1对应的终端信任评估结果。若根据查找到的终端信任评估结果可知，MAC1对应的终端为非常安全、值得信任的终端，那么可将用户ID“lisi”对应的用户终端属性确定为一级安全；若根据查找到的终端信任评估结果可知，MAC1对应的终端为存在少量漏洞、可疑等程序的终端，那么可将用户ID“lisi”对应的用户终端属性确定为二级安全；若根据查找到的终端信任评估结果可知，MAC1对应的终端存在大量漏洞、可疑等程序，为不值得信任的终端，那么可将用户ID“lisi”对应的用户终端属性确定为三级安全。

在确定了用户ID对应的用户部门属性、用户项目属性、用户时间属性、用户角色属性和用户终端属性等用户属性之后，就可将所确定的用户属性与预设访问策略进行匹配，确定用户ID对应的访问控制列表。其中，预设访问策略包括有不同的用户属性所对应的访问规则，预设访问策略可根据企业内具体的网络访问权限控制需要所预先设置。例如，可基于企业内所设置的部门对各个用户ID的基本的网络访问权限进行设置，并结合项目组、职能等对网络访问权限进行灵活补充。

然而预设访问策略所包括的数据较繁杂，若直接将所确定的用户属性与预设访问策略进行匹配，匹配效率将较低。为了能够更为方便、快速地确定出用户ID对应的访问控制列表，本发明根据预设访问策略，构建了包含有多个访问规则语句的权限管理语法模型。

具体地，可先对预设访问策略进行分析，确定多个用户属性条件、各个用户属性条件对应的访问结果以及各个用户属性条件对应的语法逻辑，其中，访问结果包括：允许访问和/或禁止访问的服务器IP及对应的通信协议，另外，访问结果还可包括：允许访问和/或禁止访问的服务器IP对应的端口等信息，本领域技术人员可根据实际需要设置访问结果包括其他信息，此处不做具体限定。接着针对任一用户属性条件，根据该用户属性条件对应的语法逻辑以及对应的访问结果，构建该用户属性条件对应的访问规则语句，然后当完成了对所有用户属性条件对应的访问规则语句的构建之后，利用所有用户属性条件对应的访问规则语句，得到权限管理语法模型。

在具体实施例中，可利用预设语义分析算法，对预设访问策略进行语义分析，提取出用户部门属性、用户姓名属性、用户项目属性、用户时间属性、用户角色属性、用户终端属性、允许访问、禁止访问、服务器IP、通信协议等关键词，然后对提取到的关键词进行筛选、搭配组合、分析等处理，确定出多个用户属性条件、各个用户属性条件对应的访问结果以及各个用户属性条件对应的语法逻辑。本领域技术人员可根据实际需要对预设语义分析算法进行选择，此处不做具体限定。

假设分析得到的用户属性条件包括5个用户属性条件，分别为用户属性条件1至用户属性条件5。其中，用户属性条件1为“用户部门属性为网络安全部门”，用户属性条件1对应的访问结果为“允许访问的服务器IP为192.168.0.2，对应的通信协议为tcp”，用户属性条件1对应的语法逻辑为“若用户属性条件为用户属性条件1，则得到用户属性条件1对应的访问结果”；用户属性条件2为“用户项目属性为花椒直播项目组”，用户属性条件2对应的访问结果为“允许访问的服务器IP为192.168.1.11，对应的通信协议为tcp”，用户属性条件2对应的语法逻辑为“若用户属性条件为用户属性条件2，则得到用户属性条件2对应的访问结果”；用户属性条件3为“用户项目属性为安全路由器项目组且用户角色属性为技术开发”，用户属性条件3对应的访问结果为“允许访问的服务器IP为10.16.44/24，对应的通信协议为tcp”，用户属性条件3对应的语法逻辑为“若用户属性条件为用户属性条件3，则得到用户属性条件3对应的访问结果”；用户属性条件4为“用户姓名属性为李四”，用户属性条件4对应的访问结果为“允许访问的服务器IP为10.16.44/24，对应的通信协议为tcp”，用户属性条件4对应的语法逻辑为“若用户属性条件为用户属性条件4，则得到用户属性条件4对应的访问结果”；用户属性条件5为“用户终端属性为三级安全”，用户属性条件5对应的访问结果为“禁止访问的服务器IP为192.168.0.2，对应的通信协议为tcp”，用户属性条件5对应的语法逻辑为“若用户属性条件为用户属性条件5，则得到用户属性条件5对应的访问结果”。

在确定了用户属性条件、对应的访问结果和语法逻辑之后，可针对任一用户属性条件，按照该用户属性条件对应的语法逻辑组合该用户属性条件和对应的访问结果，得到该用户属性条件对应的访问规则语句。例如，得到的用户属性条件1对应的访问规则语句为“若用户部门属性为网络安全部门，则允许访问的服务器IP为192.168.0.2，对应的通信协议为tcp”，用户属性条件2对应的访问规则语句为“若用户项目属性为花椒直播项目组，则允许访问的服务器IP为192.168.1.11，对应的通信协议为tcp”，用户属性条件3应的访问规则语句为“若用户项目属性为安全路由器项目组且用户角色属性为技术开发，则允许访问的服务器IP为10.16.44/24，对应的通信协议为tcp”。可选地，在实际应用中还可使用英文来构造访问规则语句，那么用户属性条件1对应的访问规则语句则可为“if department＝”网络安全部门”then permit tcp 192.168.0.2”，用户属性条件2对应的访问规则语句则为“if project＝”花椒直播项目组”then permit tcp 192.168.1.11”，用户属性条件3对应的访问规则语句则为“if project＝”安全路由器项目组”and role＝”dev”then permittcp 10.16.44/24”。

另外，为了能够高效地根据权限管理语法模型确定用户ID对应的访问控制列表，可为用户属性条件设置对应的优先级，本领域技术人员可根据实际需要确定优先级设置规则，此处不做限定。具体地，可根据用户属性条件所涉及的用户数量、终端信任评估结果等来设置用户属性条件的优先级。例如，可将用户属性条件为“用户终端属性为三级安全”所对应的优先级设置为较高的优先级。

在用户属性条件设置有对应的优先级的情况下，当完成了对所有用户属性条件对应的访问规则语句的构建之后，可按照所有用户属性条件的优先级顺序，对所有用户属性条件对应的访问规则语句进行排序，得到权限管理语法模型。其中，优先级顺序可为优先级从高到低的顺序，那么按照所有用户属性条件的优先级从高到低的顺序，对所有用户属性条件对应的访问规则语句进行排序。通过这种方式，有助于进一步提高访问控制列表的确定效率，使得能够更为快速、高效地根据权限管理语法模型确定出用户ID对应的访问控制列表。

步骤S205，根据用户属性和权限管理语法模型，确定用户ID对应的访问控制列表。

其中，访问控制器可将用户属性与权限管理语法模型中的多个访问规则语句进行匹配，得到相匹配的访问结果，然后依据相匹配的访问结果，确定用户ID对应的访问控制列表。在访问控制器确定了用户ID对应的访问控制列表之后，防火墙可从访问控制器中下载所确定的访问控制列表，或者接收访问控制器发送的所确定的访问控制列表。具体地，将用户属性与权限管理语法模型中的多个访问规则语句进行匹配，从多个访问规则语句中查找到相匹配的访问规则语句，相匹配的访问规则语句中的访问结果即为相匹配的访问结果，然后对相匹配的访问结果进行汇总，得到用户ID对应的访问控制列表，访问控制列表记录有允许该用户ID访问和/或禁止该用户ID访问的服务器IP及对应的通信协议。假设相匹配的访问结果包括：允许访问的服务器IP为192.168.0.2，对应的通信协议为tcp；允许访问的服务器IP为192.168.1.11，对应的通信协议为tcp；允许访问的服务器IP为10.16.44/24，对应的通信协议为tcp。那么所确定的用户ID对应的访问控制列表记录有允许访问的服务器IP包括192.168.0.2、192.168.1.11和10.16.44/24，对应的通信协议均为tcp。

步骤S206，获取用户ID、终端IP和终端标识之间的映射关系表。

考虑到现有技术中的防火墙大多为基于终端IP进行防护的防火墙，为了便于防火墙按照访问控制列表管理用户ID的网络访问权限，本发明还通过对认证服务器的日志数据进行数据分析而建立了用户ID、终端IP和终端标识之间的映射关系表，映射关系表中记录有多个用户ID与终端IP和终端标识之间的映射关系。在步骤S206中，防火墙获取所建立的用户ID、终端IP和终端标识之间的映射关系表。根据该映射关系表，可以方便、清楚地获知各个用户ID相映射的终端IP和终端标识。其中，终端IP和终端标识一一对应。考虑到同一用户ID可以使用不同的终端访问资源服务器的服务或资源，不同用户ID也可以先后使用相同的终端访问资源服务器的服务或资源，那么同一用户ID可以与多个终端IP存在映射关系，同一终端IP也可以与多个用户ID存在映射关系，即用户ID与终端IP之间的映射关系可以为多对多的映射关系。

其中，RADIUS服务器中的域控制器为在“域”模式下负责每一个请求连接资源服务器的终端和用户的验证工作，域控制器中包含了由这个认证域的用户ID、用户密码、属于这个认证域的终端等信息构成的数据库。当用户的终端请求连接资源服务器时，域控制器首先要判断该终端是否属于这个认证域、用户的用户ID是否存在、用户密码是否正确。如果上述信息中有一个信息不正确，那么域控制器就会拒绝这个用户通过该终端连接资源服务器。域控制器的日志数据记载有请求连接资源服务器的用户ID、终端的终端IP和终端标识等信息，那么可对域控制器的日志数据进行数据分析，建立用户ID、终端IP和终端标识之间的映射关系表。

另外，RADIUS服务器中的网络策略服务器为终端运行状况、用户登录请求验证和授权创建并强制使用组织范围的网络访问策略。RADIUS服务器中的动态主机配置服务器能够集中地管理和分配IP，使请求连接资源服务器的终端动态地获得终端IP、网关地址等信息。那么可对网络策略服务器的日志数据和动态主机配置服务器的日志数据进行数据分析，建立用户ID、终端IP和终端标识之间的映射关系表。

其中，网络策略服务器的日志数据记载有请求连接资源服务器的用户ID和终端的终端标识等信息，动态主机配置服务器的日志数据记载有请求连接资源服务器的终端的终端标识和为该终端所分配的终端IP等信息。具体地，从网络策略服务器的日志数据和动态主机配置服务器的日志数据中提取包含有同一终端标识的日志数据，接着从所提取的包含有同一终端标识的日志数据中查找出用户ID与终端IP，然后利用终端标识以及所查找出的用户ID与终端IP，建立用户ID、终端IP和终端标识之间的映射关系表。

以终端标识为MAC地址为例，从网络策略服务器的日志数据和动态主机配置服务器的日志数据中提取包含有同一MAC地址的日志数据，接着从所提取的包含有同一MAC地址的日志数据中查找出用户ID与终端IP。假设从网络策略服务器的日志数据和动态主机配置服务器的日志数据中分别提取出包含有MAC1的日志数据和包含有MAC2的日志数据，若所提取的包含有MAC1的网络策略服务器的日志数据为日志数据1，所提取的包含有MAC1的动态主机配置服务器的日志数据为日志数据2，所提取的包含有MAC2的网络策略服务器的日志数据为日志数据3，所提取的包含有MAC2的动态主机配置服务器的日志数据为日志数据4，其中，日志数据1记载有用户ID“lisi”和MAC1，日志数据2记载有MAC1和终端IP1，日志数据3记载有用户ID“zhangsan”和MAC2，日志数据2记载有MAC2和终端IP2，那么从日志数据1和日志数据2中查找出的用户ID为用户ID“lisi”，终端IP为终端IP1，从日志数据3和日志数据4中查找出的用户ID为用户ID“zhangsan”，终端IP为终端IP2，则在用户ID“lisi”、终端IP1和MAC1之间建立映射关系，在用户ID“zhangsan”、终端IP2和MAC2之间建立映射关系，然后利用上述所建立的所有的映射关系，得到用户ID、终端IP和终端标识之间的映射关系表。

可选地，为了有效地识别映射关系表中的映射关系是通过对域控制器的日志数据进行数据分析得到的还是通过对网络策略服务器和动态主机配置服务器的日志数据进行数据分析得到的，以及映射关系具体什么时间得到的，映射关系表中还可记录有各个映射关系对应的映射类型以及时间戳等相关信息。本领域技术人员可根据实际需要对各个映射关系对应的相关信息进行设置，此处不做具体限定。

步骤S207，按照访问控制列表以及映射关系表，对终端的网络访问权限进行管理。

防火墙先根据映射关系表，确定用户ID相映射的当前终端IP，具体地，用户登录请求中包括用户ID和终端标识，映射关系表中记录有多个用户ID与终端IP和终端标识之间的映射关系，那么可从映射关系表中查找用户登录请求中的用户ID和终端标识相匹配的终端IP，将相匹配的终端IP确定为用户ID相映射的当前终端IP。例如，遍历映射关系表中的多个映射关系，查找到用户登录请求中的用户ID和终端标识相匹配的映射关系，根据相匹配的映射关系确定相匹配的终端IP，然后将相匹配的终端IP确定为用户ID相映射的当前终端IP。

访问控制列表记录有允许该用户ID访问和/或禁止该用户ID访问的服务器IP及对应的通信协议，那么在确定了用户ID相映射的当前终端IP之后，就可按照访问控制列表，允许和/或禁止当前终端IP访问访问控制列表中的服务器IP，从而使得基于终端IP进行防护的防火墙也能够方便地基于用户管理网络访问权限。

在实际应用中，当用户利用终端成功地登录资源服务器之后，该用户还可提交网络访问权限申请，用于申请更多的访问权限，例如申请访问服务器IP 192.168.0.2，可由其部门领导对该网络访问权限申请进行初步审核，初步审核通过后，再由审核部门进行进一步审核，进一步审核通过后，则配置该用户对应的用户ID的网络访问权限，并根据所配置的网络访问权限对预设访问策略和权限管理语法模型进行更新。另外，也可在初步审核通过后，无需由审核部门进行进一步审核，直接对该用户对应的用户ID的网络访问权限进行配置。

步骤S208，向终端返回认证失败提示信息。

如果经步骤S201验证得到与预先存储的用户认证信息中的注册ID和注册密码不一致，或者经步骤S203查找得到用户存储文件中不存在用户ID对应的用户令牌，则认证失败，向终端返回认证失败提示信息，以便终端侧的用户获知认证失败的认证结果。

根据本实施例提供的基于用户的权限管理方法，实现了细粒度的网络访问权限管理，能够基于用户对网络访问权限进行精准化管理，很好地满足了多样化的权限管理需求，还使得资源服务器获得有效地隔离，有助于抵抗网络攻击；并且，不仅对用户登录请求中的用户ID和用户密码进行认证，还认证了用户存储文件中是否存在对应的用户令牌，实现了多因素认证，有助于抵抗用户ID和用户密码的丢失；在认证成功的情况下，依据数据库中存储的人力资源数据、业务管理数据和终端信任评估数据等关联数据，能够全面、准确地确定用户ID对应的多维度的用户属性，以便对网络访问权限进行精准化管理；还构建了权限管理语法模型，根据权限管理语法模型，能够更为方便、快速地确定出用户ID对应的访问控制列表，有效地提高了访问控制列表的确定效率；另外，还通过对认证服务器的日志数据进行数据分析而建立了用户ID、终端IP和终端标识之间的映射关系表，按照访问控制列表以及映射关系表，防火墙能够方便地对终端的网络访问权限进行管理，即使基于终端IP进行防护的防火墙也能够方便地基于用户来管理网络访问权限。

图3示出了根据本发明一个实施例的基于用户的权限管理装置的结构框图，如图3所示，该装置包括：接收模块301、认证模块302、第一确定模块303、第二确定模块304和管理模块305。

接收模块301适于：接收终端发送的用户登录请求。其中，用户登录请求包括：用户ID。

认证模块302适于：对用户登录请求进行认证。

可选地，认证模块302进一步适于：验证用户登录请求中的用户ID和用户密码是否与预先存储的用户认证信息中的注册ID和注册密码一致。

可选地，认证模块302进一步适于：若验证得到与用户认证信息中的注册ID和注册密码一致，则调取用户登录请求中的认证域对应的用户存储文件；查找用户存储文件中是否存在用户ID对应的用户令牌；若存在用户ID对应的用户令牌，则认证成功。

第一确定模块303适于：若认证模块302认证成功，则依据数据库中存储的关联数据，确定用户ID对应的用户属性。

可选地，第一确定模块303进一步适于：从关联数据中的人力资源数据中查找用户ID对应的部门；根据查找到的部门，确定用户ID对应的用户部门属性。

可选地，第一确定模块303进一步适于：从关联数据中的业务管理数据中查找用户ID对应的项目组以及项目组有效时间范围；根据查找到的项目组，确定用户ID对应的用户项目属性；将当前时间与查找到的项目组有效时间范围进行比对，确定用户ID对应的用户时间属性。

可选地，第一确定模块303进一步适于：从关联数据中的业务管理数据中查找用户ID对应的职能；根据查找到的职能，确定用户ID对应的用户角色属性。

可选地，第一确定模块303进一步适于：从关联数据中的终端信任评估数据中查找用户登录请求中的终端标识对应的终端信任评估结果；根据查找到的终端信任评估结果，确定用户ID对应的用户终端属性。

第二确定模块304适于：根据用户属性和包含有多个访问规则语句的权限管理语法模型，确定用户ID对应的访问控制列表。

管理模块305适于：按照访问控制列表，对终端的网络访问权限进行管理。

可选地，该装置还包括：模型构建模块306，适于根据预设访问策略，构建权限管理语法模型。

可选地，模型构建模块306进一步适于：对预设访问策略进行分析，确定多个用户属性条件、各个用户属性条件对应的访问结果以及各个用户属性条件对应的语法逻辑；其中访问结果包括：允许访问和/或禁止访问的服务器IP及对应的通信协议；针对任一用户属性条件，根据该用户属性条件对应的语法逻辑以及对应的访问结果，构建该用户属性条件对应的访问规则语句；利用所有用户属性条件对应的访问规则语句，得到权限管理语法模型。

可选地，模型构建模块306进一步适于：按照所有用户属性条件的优先级顺序，对所有用户属性条件对应的访问规则语句进行排序，得到权限管理语法模型。

可选地，第二确定模块304进一步适于：将用户属性与权限管理语法模型中的多个访问规则语句进行匹配，得到相匹配的访问结果；依据相匹配的访问结果，确定用户ID对应的访问控制列表。

可选地，该装置还包括：获取模块307，适于获取用户ID、终端IP和终端标识之间的映射关系表。那么管理模块305进一步适于：按照访问控制列表以及映射关系表，对终端的网络访问权限进行管理。

可选地，管理模块305进一步适于：根据映射关系表，确定用户ID相映射的当前终端IP；按照访问控制列表，允许和/或禁止当前终端IP访问访问控制列表中的服务器IP。

可选地，管理模块305进一步适于：从映射关系表中查找用户登录请求中的用户ID和终端标识相匹配的终端IP；将相匹配的终端IP确定为用户ID相映射的当前终端IP。

可选地，该装置还包括：映射建立模块308。在一种可选的实施方式中，映射建立模块308适于对域控制器的日志数据进行数据分析，建立用户ID、终端IP和终端标识之间的映射关系表。

在另一种可选的实施方式中，映射建立模块308适于：对网络策略服务器的日志数据和动态主机配置服务器的日志数据进行数据分析，建立用户ID、终端IP和终端标识之间的映射关系表。可选地，映射建立模块308进一步适于：从网络策略服务器的日志数据和动态主机配置服务器的日志数据中提取包含有同一终端标识的日志数据；从所提取的包含有同一终端标识的日志数据中查找出用户ID与终端IP；利用终端标识以及所查找出的用户ID与终端IP，建立用户ID、终端IP和终端标识之间的映射关系表。

根据本实施例提供的基于用户的权限管理装置，实现了细粒度的网络访问权限管理，能够基于用户对网络访问权限进行精准化管理，很好地满足了多样化的权限管理需求，还使得资源服务器获得有效地隔离，有助于抵抗网络攻击；并且，不仅对用户登录请求中的用户ID和用户密码进行认证，还认证了用户存储文件中是否存在对应的用户令牌，实现了多因素认证，有助于抵抗用户ID和用户密码的丢失；在认证成功的情况下，依据数据库中存储的人力资源数据、业务管理数据和终端信任评估数据等关联数据，能够全面、准确地确定用户ID对应的多维度的用户属性，以便对网络访问权限进行精准化管理；还构建了权限管理语法模型，根据权限管理语法模型，能够更为方便、快速地确定出用户ID对应的访问控制列表，有效地提高了访问控制列表的确定效率；另外，还通过对认证服务器的日志数据进行数据分析而建立了用户ID、终端IP和终端标识之间的映射关系表，按照访问控制列表以及映射关系表，防火墙能够方便地对终端的网络访问权限进行管理，即使基于终端IP进行防护的防火墙也能够方便地基于用户来管理网络访问权限。

本发明还提供了一种非易失性计算机存储介质，计算机存储介质存储有至少一可执行指令，可执行指令可执行上述任意方法实施例中的基于用户的权限管理方法。

图4示出了根据本发明实施例的一种计算设备的结构示意图，本发明具体实施例并不对计算设备的具体实现做限定。

如图4所示，该计算设备可以包括：处理器(processor)402、通信接口(Communications Interface)404、存储器(memory)406、以及通信总线408。

其中：

处理器402、通信接口404、以及存储器406通过通信总线408完成相互间的通信。

通信接口404，用于与其它设备比如客户端或其它服务器等的网元通信。

处理器402，用于执行程序410，具体可以执行上述基于用户的权限管理方法实施例中的相关步骤。

具体地，程序410可以包括程序代码，该程序代码包括计算机操作指令。

处理器402可能是中央处理器CPU，或者是特定集成电路ASIC(ApplicationSpecific Integrated Circuit)，或者是被配置成实施本发明实施例的一个或多个集成电路。计算设备包括的一个或多个处理器，可以是同一类型的处理器，如一个或多个CPU；也可以是不同类型的处理器，如一个或多个CPU以及一个或多个ASIC。

存储器406，用于存放程序410。存储器406可能包含高速RAM存储器，也可能还包括非易失性存储器(non-volatile memory)，例如至少一个磁盘存储器。

程序410具体可以用于使得处理器402执行上述任意方法实施例中的基于用户的权限管理方法。程序410中各步骤的具体实现可以参见上述基于用户的权限管理实施例中的相应步骤和单元中对应的描述，在此不赘述。所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的设备和模块的具体工作过程，可以参考前述方法实施例中的对应过程描述，在此不再赘述。

在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

本发明公开了：A1.一种基于用户的权限管理方法，所述方法包括：

接收终端发送的用户登录请求；所述用户登录请求包括：用户ID；

对所述用户登录请求进行认证，若认证成功，则依据数据库中存储的关联数据，确定所述用户ID对应的用户属性；

根据所述用户属性和包含有多个访问规则语句的权限管理语法模型，确定所述用户ID对应的访问控制列表；

按照所述访问控制列表，对所述终端的网络访问权限进行管理。

A2.根据A1所述的方法，其中，在所述根据所述用户属性和包含有多个访问规则语句的权限管理语法模型，确定所述用户ID对应的访问控制列表之前，所述方法还包括：

根据预设访问策略，构建所述权限管理语法模型。

A3.根据A2所述的方法，其中，所述根据预设访问策略，构建所述权限管理语法模型进一步包括：

对所述预设访问策略进行分析，确定多个用户属性条件、各个用户属性条件对应的访问结果以及各个用户属性条件对应的语法逻辑；其中所述访问结果包括：允许访问和/或禁止访问的服务器IP及对应的通信协议；

针对任一用户属性条件，根据该用户属性条件对应的语法逻辑以及对应的访问结果，构建该用户属性条件对应的访问规则语句；

利用所有用户属性条件对应的访问规则语句，得到权限管理语法模型。

A4.根据A3所述的方法，其中，所述利用所有用户属性条件对应的访问规则语句，得到权限管理语法模型进一步包括：

按照所有用户属性条件的优先级顺序，对所有用户属性条件对应的访问规则语句进行排序，得到权限管理语法模型。

A5.根据A1-A4任一项所述的方法，其中，所述根据所述用户属性和包含有多个访问规则语句的权限管理语法模型，确定所述用户ID对应的访问控制列表进一步包括：

将所述用户属性与所述权限管理语法模型中的多个访问规则语句进行匹配，得到相匹配的访问结果；

依据相匹配的访问结果，确定所述用户ID对应的访问控制列表。

本发明还公开了：B6.一种基于用户的权限管理装置，所述装置包括：

接收模块，适于接收终端发送的用户登录请求；所述用户登录请求包括：用户ID；

认证模块，适于对所述用户登录请求进行认证；

第一确定模块，适于若所述认证模块认证成功，则依据数据库中存储的关联数据，确定所述用户ID对应的用户属性；

第二确定模块，适于根据所述用户属性和包含有多个访问规则语句的权限管理语法模型，确定所述用户ID对应的访问控制列表；

管理模块，适于按照所述访问控制列表，对所述终端的网络访问权限进行管理。

B7.根据B6所述的装置，其中，所述装置还包括：

模型构建模块，适于根据预设访问策略，构建所述权限管理语法模型。

B8.根据B7所述的装置，其中，所述模型构建模块进一步适于：

对所述预设访问策略进行分析，确定多个用户属性条件、各个用户属性条件对应的访问结果以及各个用户属性条件对应的语法逻辑；其中所述访问结果包括：允许访问和/或禁止访问的服务器IP及对应的通信协议；

针对任一用户属性条件，根据该用户属性条件对应的语法逻辑以及对应的访问结果，构建该用户属性条件对应的访问规则语句；

利用所有用户属性条件对应的访问规则语句，得到权限管理语法模型。

B9.根据B8所述的装置，其中，所述模型构建模块进一步适于：

按照所有用户属性条件的优先级顺序，对所有用户属性条件对应的访问规则语句进行排序，得到权限管理语法模型。

B10.根据B6-B9任一项所述的装置，其中，所述第二确定模块进一步适于：

将所述用户属性与所述权限管理语法模型中的多个访问规则语句进行匹配，得到相匹配的访问结果；

依据相匹配的访问结果，确定所述用户ID对应的访问控制列表。

本发明还公开了：C11.一种计算设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；

所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行如A1-A5中任一项所述的基于用户的权限管理方法对应的操作。

本发明还公开了：D12.一种计算机存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令使处理器执行如A1-A5中任一项所述的基于用户的权限管理方法对应的操作。

Claims (8)

1.一种基于用户的权限管理方法，所述方法包括：

接收终端发送的用户登录请求；所述用户登录请求包括：用户ID；

对所述用户登录请求进行认证，若认证成功，则依据数据库中存储的关联数据，确定所述用户ID对应的用户属性；

根据所述用户属性和包含有多个访问规则语句的权限管理语法模型，确定所述用户ID对应的访问控制列表；

获取所述用户ID、终端IP和终端标识之间的映射关系表，所述映射关系表中记录有各个映射关系对应的映射类型以及时间戳信息；

按照所述访问控制列表，对所述终端的网络访问权限进行管理；

所述按照所述访问控制列表，对所述终端的网络访问权限进行管理，包括：

按照所述访问控制列表以及所述映射关系表，对所述终端的网络访问权限进行管理；

所述获取所述用户ID、终端IP和终端标识之间的映射关系表之前，还包括：

从网络策略服务器的日志数据和动态主机配置服务器的日志数据中提取包含有同一终端标识的日志数据；

从所提取的包含有所述同一终端标识的日志数据中查找出用户ID与终端IP；

根据终端标识以及所查找出的用户ID与终端IP，建立所述用户ID、所述终端IP和所述终端标识之间的映射关系表；

在所述根据所述用户属性和包含有多个访问规则语句的权限管理语法模型，确定所述用户ID对应的访问控制列表之前，所述方法还包括：

对预设访问策略进行语义分析，根据语义分析结果构建所述权限管理语法模型；

所述根据所述用户属性和包含有多个访问规则语句的权限管理语法模型，确定所述用户ID对应的访问控制列表进一步包括：

将所述用户属性与所述权限管理语法模型中的多个访问规则语句进行匹配，得到相匹配的访问结果；

依据相匹配的访问结果，确定所述用户ID对应的访问控制列表。

2.根据权利要求1所述的方法，其中，根据预设访问策略，构建所述权限管理语法模型进一步包括：

对所述预设访问策略进行分析，确定多个用户属性条件、各个用户属性条件对应的访问结果以及各个用户属性条件对应的语法逻辑；其中所述访问结果包括：允许访问和/或禁止访问的服务器IP及对应的通信协议；

针对任一用户属性条件，根据该用户属性条件对应的语法逻辑以及对应的访问结果，构建该用户属性条件对应的访问规则语句；

利用所有用户属性条件对应的访问规则语句，得到权限管理语法模型。

3.根据权利要求2所述的方法，其中，所述利用所有用户属性条件对应的访问规则语句，得到权限管理语法模型进一步包括：

按照所有用户属性条件的优先级顺序，对所有用户属性条件对应的访问规则语句进行排序，得到权限管理语法模型。

4.一种基于用户的权限管理装置，所述装置包括：

接收模块，适于接收终端发送的用户登录请求；所述用户登录请求包括：用户ID；

认证模块，适于对所述用户登录请求进行认证；

第一确定模块，适于若所述认证模块认证成功，则依据数据库中存储的关联数据，确定所述用户ID对应的用户属性；

第二确定模块，适于根据所述用户属性和包含有多个访问规则语句的权限管理语法模型，确定所述用户ID对应的访问控制列表；

管理模块，适于按照所述访问控制列表，对所述终端的网络访问权限进行管理；

模型构建模块，适于根据预设访问策略，构建所述权限管理语法模型；

所述第二确定模块进一步适于：将所述用户属性与所述权限管理语法模型中的多个访问规则语句进行匹配，得到相匹配的访问结果；依据相匹配的访问结果，确定所述用户ID对应的访问控制列表；

所述管理模块进一步适于：获取所述用户ID、终端IP和终端标识之间的映射关系表；按照所述访问控制列表以及所述映射关系表，对所述终端的网络访问权限进行管理，所述映射关系表中记录有各个映射关系对应的映射类型以及时间戳信息；

所述管理模块进一步适于：从网络策略服务器的日志数据和动态主机配置服务器的日志数据中提取包含有同一终端标识的日志数据；从所提取的包含有所述同一终端标识的日志数据中查找出用户ID与终端IP；根据终端标识以及所查找出的用户ID与终端IP，建立所述用户ID、所述终端IP和所述终端标识之间的映射关系表。

5.根据权利要求4所述的装置，其中，所述模型构建模块进一步适于：

对所述预设访问策略进行分析，确定多个用户属性条件、各个用户属性条件对应的访问结果以及各个用户属性条件对应的语法逻辑；其中所述访问结果包括：允许访问和/或禁止访问的服务器IP及对应的通信协议；

针对任一用户属性条件，根据该用户属性条件对应的语法逻辑以及对应的访问结果，构建该用户属性条件对应的访问规则语句；

利用所有用户属性条件对应的访问规则语句，得到权限管理语法模型。

6.根据权利要求5所述的装置，其中，所述模型构建模块进一步适于：

按照所有用户属性条件的优先级顺序，对所有用户属性条件对应的访问规则语句进行排序，得到权限管理语法模型。

7.一种计算设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；

所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行如权利要求1-3中任一项所述的基于用户的权限管理方法对应的操作。

8.一种计算机存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令使处理器执行如权利要求1-3中任一项所述的基于用户的权限管理方法对应的操作。