CN111108726B - 访问管理装置及访问管理方法 - Google Patents

Abstract

根据本发明，提供一种访问管理装置，其能够基于不依赖于多个处理系统的协议而设定的访问管理策略实现统一的访问管理。本发明的访问管理装置具有网关(11)，该网关(11)连接于访问源(AS)与多个处理系统(PS)之间并且具有访问管理功能部(22)，该访问管理功能部(22)接收来自访问源(AS)的访问请求，基于设定的访问管理策略进行访问请求的控制。

Description

访问管理装置及访问管理方法

技术领域

本发明涉及访问管理装置及访问管理方法。

背景技术

能够容易地构建IoT(Internet of Things)服务的基盘(IoT基盘)受到关注。假设在IoT基盘中，为了实现多种服务而具有不同种类的处理系统(数据管理、数据分发等)，另外，与适于这些处理系统的不同种类的协议(Hypertext Transfer Protocol(HTTP)、Message Queueing Telemetry Transport(MQTT)等)对应。

因此，存在对相对于这些处理系统输入输出的数据进行管理的需求。这里，“管理”包含访问控制、同时访问限制、优先控制等。另外，在相对于处理系统输入输出的数据可能包含机密数据。作为机密数据，例如是与制造业中的生产工序相关的数据、个人的重要数据等。

当前，在IoT基盘上，各处理系统分别具有与应用程序(下面，称为“应用”)、设备对应的接口。因此，通过针对这些接口的每个单独地安装访问管理机构(＝单独对应)，从而能够实现访问管理。图7是表示现有的IoT基盘S的访问管理装置的概要的图。如图7所示，与访问源AS-1～AS-N对应的IoT基盘S的各处理系统PS-1～PS-N具有访问管理机构。

图5是表示作为访问源的应用AP-1～AP-3以及设备DB-1～DB-5与各处理系统PS-1～PS-4之间的关系的图。

在图5中，作为访问源的应用AP-1～AP-3以及设备DB-1～DB-5能够访问IoT基盘S的数据处理系统PS-1～PS-4。各数据处理系统PS-1～PS-4具有与作为访问源的应用AP-1～AP-3以及设备DB-1～DB-5对应的接口，针对每个接口安装有访问管理机构。

这里，数据处理系统PS-1进行与数据管理相关的处理，数据处理系统PS-2进行与数据分发相关的处理，数据处理系统PS-3进行与数据分析相关的处理，数据处理系统PS-4进行与设备控制相关的处理。另外，设备DB-1表示车，设备DB-2、设备DB-3表示智能电话，设备DB-4表示示波器，设备DB-5表示致动器。

作为针对协议与处理系统的每种组合准备访问管理机构的技术，例如，在非专利文献1中公开了与REST API相关的市场的访问控制技术，在非专利文献2中公开了与MQTT代理相关的市场的访问控制技术。

非专利文献1："What is Kong"、[online]、Kong-Open-source API Mnagementand Microservice Management、[平成29年5月1日检索]、因特网<URL：https：//getkong.org/about/>

非专利文献2："mosquitto.conf-the configuration file for mosquitto"，[平成29年5月1日检索]，因特网<URL：http://mosquitto.org/man/mosquitto-conf-5.html>

发明内容

然而，在现有的访问管理机构中，需要针对每个访问管理机构进行设定管理，存在运行成本增加的问题。另外，在应用侧需要针对每个访问管理机构的对应，应用开发的负担较大。并且，访问管理机构之间的管理策略(访问控制规则等)不一致等的风险也增大。

并且，如上所述，访问管理机构为了处理机密的数据，针对从应用、设备向各处理系统的访问，需要基于导入IoT基盘的用户(例如，在制造业中是工厂管理者)的安全策略对可否访问等进行控制。

本发明是鉴于上述实际情况而提出的，目的在于提供一种访问管理装置以及访问管理方法，能够将访问管理机构构成为独立于处理系统、协议的网关，能够基于所设定的访问管理策略实现统一的访问管理。

本发明的第1方式是，访问管理装置具有网关，该网关连接于访问源与针对来自所述访问源的访问请求进行处理的多个处理系统之间并且具有访问管理功能部，该访问管理功能部接收来自所述访问源的访问请求，基于不依赖于所述多个处理系统的协议而设定的访问管理策略，进行所述访问请求的控制。

本发明的第2方式是，所述网关还具有访问源识别功能部，该访问源识别功能部基于所述访问源的IP地址取得所述访问源的识别信息，将所述取得的访问源的识别信息发送至访问管理功能部。

本发明的第3方式是，将所述访问管理策略存储于所述网关的高速缓冲存储器上。

本发明的第4方式是，所述网关还具有协议中继功能部，该协议中继功能部在通过所述访问管理功能部识别出访问请求的情况下，进行所述多个处理系统与所述访问源之间的协议转换。

根据本发明的第1方式，针对多个处理系统，通过网关对访问管理统一地进行管理，由此能够降低运行成本并且能够防止访问管理策略不一致的风险。

根据本发明的第2方式，通过使用低层协议信息(IP地址)取得访问源ID，从而能够实现不依赖于上层协议的访问源识别信息。

根据本发明的第3方式，由于将访问管理策略高速缓存于存储器，因此能够实现高速的访问管理处理。

根据本发明的第4方式，由于协议中继功能部与访问管理功能部分开设置，因此能够仅对访问管理统一地进行管理。

根据本发明的各方式，能够提供一种访问管理装置以及访问管理方法，其能够将访问管理机构构成为独立于处理系统、协议的网关，能够基于设定的访问管理策略实现统一的访问管理。

附图说明

图1是用于说明本发明的实施方式的IoT基盘S的结构的图。

图2是表示在访问管理策略DB31中储存的访问管理策略的一个例子的图。

图3是用于说明实施方式涉及的IoT基盘S的访问管理的第1动作的时序图。

图4是用于说明实施方式涉及的IoT基盘S的访问管理的第2动作的时序图。

图5是表示作为访问源的应用AP-1～AP-3以及设备DB-1～DB-5与各处理系统PS-1～PS-4之间的关系的图。

图6是表示实施方式涉及的IoT基盘S的访问管理装置的概要的图。

图7是表示以往的IoT基盘S的访问管理装置的概要的图。

图8是用于说明以往的单独对应的访问管理与本发明的统一管理的访问管理的效果的图。

具体实施方式

下面，参照附图对本发明的实施方式进行说明。此外，在实施方式中，在不需要对结构要素进行区别说明的情况下，省略连字符进行说明。例如，在不需要对访问源AS-1、AS-2、…、AS-n进行区别说明的情况下，省略连字符而作为“AS”进行说明。对于其他结构要素也同样地进行说明。

图1是用于说明本发明的实施方式的IoT基盘S的结构的图。如图1所示，IoT基盘S具有多个处理系统PS-1～PS-N、与多个处理系统PS-1～PS-N对应设置的协议接口IF-1～IF-N、访问管理网关11、访问管理策略DB31。

访问管理网关11配置于应用、设备等多个访问源AS-1～AS-N与多个处理系统PS-1～PS-N之间，具有协议中继功能部21、访问管理功能部22、高速缓存部23以及访问源识别功能部24。

协议中继功能部21针对处理系统PS-1～PS-N与协议的每种组合而存在。将来自应用、设备的访问中继至处理系统PS-1～PS-N。

访问管理功能部22针对每个访问管理功能而存在。访问管理功能部22是向协议中继功能部21提供在中继时插入的访问管理处理的功能。例如，在访问控制的情况下，协议中继功能部21在向访问管理功能部22询问可否进行访问的中继之后进行中继。

高速缓存部23具有将访问管理策略DB31的信息高速缓存于存储器上的功能。

访问源识别功能部24是使用低层协议信息(IP地址、MAC地址等)取得访问源AS-1～AS-N的标识符(应用ID、设备ID)的功能。

访问管理策略DB31是对访问控制的规则等访问管理策略进行储存的数据库。访问管理策略由系统运行者的计算机41设定。

图2是表示在访问管理策略DB31储存的访问管理策略的一个例子的图。

如图2所示，作为“访问控制的策略”，将访问源、访问目标以及能够进行的操作种类关联起来进行存储。例如，在访问源是应用AP-1、访问目标是处理系统PS-1的数据X的情况下，作为能够进行的操作，仅允许参照、更新的操作。另外，在访问源是应用AP-1、访问目标是处理系统PS-1的数据Y的情况下，作为能够进行的操作，仅允许参照的操作。在访问源是应用AP-1、访问目标是处理系统PS-2的数据Z的情况下，作为能够进行的操作，允许参照、更新、删除的操作。

作为“同时访问数限制的策略”，将访问目标、访问源以及同时访问数上限关联起来进行存储。例如，在访问目标是处理系统PS-1、访问源是应用AP-1、应用AP-2的情况下，同时访问上限是5个请求/秒。在访问目标是处理系统PS-1、访问源是设备DB-3的情况下，同时访问上限是10个请求/秒。在访问目标是处理系统PS-1、访问源是应用AP-4、AP-5的情况下，同时访问上限是15个请求/秒。

作为“优先控制的策略”，将访问源以及优先级关联起来进行存储。例如，在访问源是应用AP-1的情况下，优先级是“高”，在访问源是应用AP-2的情况下，优先级是“中”。

接着，参照图3的时序图对实施方式所涉及的IoT基盘S的访问管理的第1动作进行说明。此外，在说明访问管理的动作时，假设下面的环境。

·应用AP、设备DB和访问管理网关11分别是Docker容器，配置于同一Docker定义网络上。

·将唯一地表示各应用、设备的ID设定为各应用、设备的容器名。

·此时，访问管理网关11在接收到来自应用AP、设备DB的访问时，通过DNS逆查询这些访问源的IP地址，从而能够取得容器名(＝访问源ID)。

基于这样的假设，说明某个应用AP对REST API服务器进行访问时的访问控制的时序。此外，在图3中示出了从应用AP进行API请求的情况，但即使是设备DB的情况下，也是同样的时序。

首先，从系统管理者的计算机41向访问管理策略DB31输入图2所示的访问管理策略(T1)。此外，在访问管理策略中包含图2所示的访问控制策略、同时访问数限制的策略、优先控制的策略等。访问管理策略存储于访问管理策略DB31。

将在访问管理策略DB31存储的访问管理策略读取至高速缓存部23(T2)，将读取的访问管理策略存储于高速缓存部23的存储器(T3)。

接着，从应用AP向处理系统PS的API请求被发送至协议中继功能部21(T11)。该API请求例如是通过HTTP的POST方法进行的数据发送。

如果协议中继功能部21接收到API请求，则向访问管理功能部22进行应用AP的访问权的询问(T12)。在进行该访问权的询问时，传送访问源的IP地址和访问目标的URL。

访问管理功能部22如果从协议中继功能部21接收到访问权的询问，则将访问源ID取得请求输出至访问源识别功能部24(T13)。

访问源识别功能部24使用访问源的IP地址向DNS服务器51进行主机名的询问(T14)，从DNS服务器51取得主机名(T15)，从主机名取得访问源ID(T16)。

这样的通过DNS服务器51进行的访问源的确定仅能够在IP地址与访问源ID是一对一关系的环境中实施。在实施方式中，由于前提是应用AP与访问管理网关11是属于同一Docker定义网络的容器，因此能够进行这样的访问源的确定。

接着，访问源识别功能部24将取得的访问源ID发送至访问管理功能部22(T17)。访问管理功能部22基于从访问源识别功能部24取得的访问源ID，将该访问源ID的访问管理策略的取得请求发送至高速缓存部23(T18)。

高速缓存部23将从访问管理策略DB31读取的访问管理策略中的该访问源ID的访问管理策略发送至访问管理功能部22(T19)。

访问管理功能部22基于接收到的该访问源ID的访问管理策略进行访问权限的检查(T20)。然后，将访问权限的有无发送至协议中继功能部21(T21)。

在有访问权限的情况下，协议中继功能部21将API请求转发至发送目标的处理系统PS(T31)，接收针对API请求的API响应(T32)。然后，协议中继功能部21将接收到的API响应转发至访问源的应用AP(T33)。在没有访问权限的情况下，协议中继功能部21将不可访问的情况转发至访问源的应用AP(T41)。

接着，参照图4的时序图说明实施方式所涉及的IoT基盘S的访问管理的第2动作。第2动作与第1动作不同，表示在没有使用低层协议信息取得访问源ID的情况下的访问管理的动作。

首先，从系统管理者的计算机41向访问管理策略DB31输入图2所示的访问管理策略(T1)。此外，在访问管理策略中包含图2所示的访问控制策略、同时访问数限制的策略、优先控制的策略等。访问管理策略存储于访问管理策略DB31。

将在访问管理策略DB31存储的访问管理策略读取至高速缓存部23(T2)，将读取的访问管理策略存储于高速缓存部23的存储器(T3)。

接着，从应用AP向处理系统PS的API请求被发送至协议中继功能部21(T51)。该API请求例如是通过HTTP的POST方法进行的数据发送。

协议中继功能部21如果接收到API请求，则向访问管理功能部22进行应用AP的访问权的询问(T52)。在进行该访问权的询问时，传送访问源的IP地址和访问目标的URL。

访问管理功能部22如果从协议中继功能部21接收到访问权的询问，则进行访问源ID的提取(S53)。该提取例如是在HTTP的报头中预先记载有访问源ID，访问管理功能部22取得该访问源ID。这样，在不使用低层协议信息取得访问源ID的情况下，需要针对每个协议设计将访问源ID记载于通信内容的何处。

访问管理功能部22基于提取出的访问源ID，将该访问源ID的访问管理策略的取得请求发送至高速缓存部23(T54)。

高速缓存部23将从访问管理策略DB31读取的访问管理策略中的该访问源ID的访问管理策略发送至访问管理功能部22(T55)。

访问管理功能部22基于接收到的该访问源ID的访问管理策略进行访问权限的检查(T56)。然后，将访问权限的有无发送至协议中继功能部21(T57)。

在有访问权限的情况下，协议中继功能部21将API请求转发至发送目标的处理系统PS(T31)，接收针对API请求的API响应(T32)。然后，协议中继功能部21将接收到的API响应转发至访问源的应用AP(T33)。在没有访问权限的情况下，协议中继功能部21将不可访问的情况转发至访问源的应用AP(T41)。

因此，根据实施方式所涉及的IoT基盘S的访问管理装置，如图6所示，由于配置统一地对向各种功能的访问进行中继的网关11而进行访问管理，因此与如图7所示以往的针对每个功能单独地进行访问管理的情况相比，能够省资源且以低运行成本实现访问管理。

图8是用于说明以往的单独对应的访问管理与本发明的统一管理的访问管理的效果的图。

如图8所示，根据实施方式，与单独对应的访问管理相比，能够降低访问管理的运行成本。这是因为不需要将策略输入至单独的访问管理机构，能够统一地进行追加、更新、删除等。因此，在实施方式的访问管理中不存在策略不一致的风险。

另外，能够降低存储器等的消耗资源。这是因为针对多个处理系统PS、协议而使用于访问管理的资源共通。

并且，能够减轻应用AP、设备DB的开发负担。这是因为由于通过统一的方式进行访问管理，因此能够降低应用AP、设备DB的开发者的学习成本。

并且，处理系统PS、协议的追加变得容易。这是因为不需要准备单独的访问管理机构，访问管理功能部22被共通化，因此仅准备协议中继功能部21即可。

并且，由于不依赖于上层协议信息而取得访问源ID“识别信息”，因此不需要针对每个协议而设计“将访问源ID记载于通信内容的何处”。

并且，由于将访问管理策略高速缓存于存储器，因此能够实现高速的访问管理处理。

因此，根据实施方式，能够提供一种访问管理装置以及访问管理方法，能够将访问管理机构构成为独立于处理系统、协议的网关，基于设定的访问管理策略实现统一的访问管理。

说明了本发明的若干个实施方式，但这些实施方式是作为例子而提示的，并不意图限定发明的范围。这些实施方式能够以其他各种方式实施，能够在不脱离发明的主旨的范围进行各种省略、置换、变更。这些实施方式、其变形包含于发明的范围、主旨，同样包含于权利要求书所记载的发明和其等同的范围。

Claims (9)

1.一种访问管理装置，其中，

具有网关，该网关连接于访问源与针对来自所述访问源的访问请求进行处理的多个处理系统之间并且具有访问管理功能部，该访问管理功能部不经过所述处理系统接收来自所述访问源的访问请求，基于不依赖于所述多个处理系统的协议而设定的访问管理策略，进行所述访问请求的控制，所述网关独立于所述多个处理系统，将来自所述访问源的访问中继至所述处理系统，

所述访问管理策略将所述访问源、所述访问源的访问目标和针对所述访问请求的通过所述访问源对所述访问目标进行的访问的管理的内容关联起来，

所述访问的管理的内容包含：

通过所述访问源能够对作为所述访问目标的相对于所述处理系统输入输出的数据进行的操作的种类；

通过所述访问源对所述访问目标进行的同时访问数；或者

通过所述访问源对所述访问目标进行的访问的优先级。

2.根据权利要求1所述的访问管理装置，其中，

所述网关还具有访问源识别功能部，该访问源识别功能部基于所述访问源的IP地址取得所述访问源的识别信息，将所述取得的访问源的识别信息发送至所述访问管理功能部。

3.根据权利要求1所述的访问管理装置，其中，

所述访问管理策略存储于所述网关的高速缓冲存储器上。

4.根据权利要求1所述的访问管理装置，其中，

所述网关还具有协议中继功能部，该协议中继功能部在通过所述访问管理功能部识别出访问请求的情况下，进行所述多个处理系统与所述访问源之间的协议转换。

5.一种访问管理方法，其是访问管理装置中的访问管理方法，该访问管理装置具有网关，该网关连接于访问源与针对来自所述访问源的访问请求进行处理的多个处理系统之间并且具有访问管理功能部，该访问管理功能部不经过所述处理系统接收来自所述访问源的访问请求，基于不依赖于所述多个处理系统的协议而设定的访问管理策略，进行所述访问请求的控制，所述网关独立于所述多个处理系统，将来自所述访问源的访问中继至所述处理系统，

所述访问管理策略将所述访问源、所述访问源的访问目标和针对所述访问请求的通过所述访问源对所述访问目标进行的访问的管理的内容关联起来，在该访问管理方法中，

所述访问管理功能部接收来自所述访问源的访问请求，基于在存储部中存储的所述访问管理策略，进行所述访问请求的控制，

所述访问的管理的内容包含：

通过所述访问源能够对作为所述访问目标的相对于所述处理系统输入输出的数据进行的操作的种类；

通过所述访问源对所述访问目标进行的同时访问数；或者

通过所述访问源对所述访问目标进行的访问的优先级。

6.根据权利要求5所述的访问管理方法，其中，

还进行基于所述访问源的IP地址取得所述访问源的识别信息，将所述取得的访问源的识别信息发送至所述访问管理功能部的处理。

7.根据权利要求5所述的访问管理方法，其中，

还进行在所述网关的高速缓冲存储器上存储所述访问管理策略的处理。

8.根据权利要求5所述的访问管理方法，其中，

在通过所述访问管理功能部识别出访问请求的情况下，还进行所述多个处理系统与所述访问源之间的协议转换。

9.一种存储介质，其储存程序并且计算机可读取，该程序执行访问管理装置中的访问管理方法，该访问管理装置具有网关，该网关连接于访问源与针对来自所述访问源的访问请求进行处理的多个处理系统之间并且具有访问管理功能部，所述网关独立于所述多个处理系统，将来自所述访问源的访问中继至所述处理系统，其中，

所述程序使所述访问功能管理部不经过所述处理系统接收来自所述访问源的访问请求，基于不依赖于所述多个处理系统的协议而设定的访问管理策略进行所述访问请求的控制，所述访问管理策略将所述访问源、所述访问源的访问目标和针对所述访问请求的通过所述访问源对所述访问目标进行的访问的管理的内容关联起来，

所述访问的管理的内容包含：

通过所述访问源能够对作为所述访问目标的相对于所述处理系统输入输出的数据进行的操作的种类；

通过所述访问源对所述访问目标进行的同时访问数；或者

通过所述访问源对所述访问目标进行的访问的优先级。

Images