CN111147436A - 一种网络切片授权的方法及通信装置 - Google Patents

一种网络切片授权的方法及通信装置 Download PDF

Info

Publication number
CN111147436A
CN111147436A CN201910002319.0A CN201910002319A CN111147436A CN 111147436 A CN111147436 A CN 111147436A CN 201910002319 A CN201910002319 A CN 201910002319A CN 111147436 A CN111147436 A CN 111147436A
Authority
CN
China
Prior art keywords
server
client
access token
slice
request
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201910002319.0A
Other languages
English (en)
Other versions
CN111147436B (zh
Inventor
李飞
张博
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Priority to PCT/CN2019/111923 priority Critical patent/WO2020093853A1/zh
Priority to EP19882509.3A priority patent/EP3813322A4/en
Publication of CN111147436A publication Critical patent/CN111147436A/zh
Priority to US17/171,675 priority patent/US20210168139A1/en
Application granted granted Critical
Publication of CN111147436B publication Critical patent/CN111147436B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/104—Grouping of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols

Abstract

本申请的实施例公开一种服务授权方法及服务器。通过本发明提供的技术方案，第一服务器在访问令牌中添加了切片信息，以使得客户端在使用该访问令牌进行功能访问时，只能访问本切片内部的功能服务器，从而保证了切片之间能够相互隔离。

Description

一种网络切片授权的方法及通信装置
技术领域
本申请涉及通信技术领域，尤其涉及一种网络切片授权的方法及通信装置。
背景技术
在采用服务化架构(service-based architecture，SBA)部署的网络，如第五代(5th generation，5G)移动通信系统的核心网(core network，CN)中，不同的网络功能通常基于客户端(client)/服务器(server)的通信模式进行通信。请求方为客户端，响应方为服务器。为了避免任意客户端访问服务器，给移动通信系统带来安全风险，同时也为了支持第三方客户端的资源受限访问，服务化架构还支持服务授权功能，授权服务器会给客户端提供一个访问令牌，客户端根据访问令牌进行功能访问。
针对上述场景，如何对客户端授予访问令牌以使得客户端使用该访问令牌进行功能服务器访问时不会引起网络安全问题显得尤为重要。
发明内容
本申请的实施例提供一种服务授权方法及通信装置，能够使得客户端在使用获得的访问令牌时不会造成网络安全。
为达到上述目的，本申请的实施例提供如下技术方案：
第一方面，提供一种服务授权方法，包括：第一服务器接收客户端发送的第一请求，其中，所述第一请求用于请求访问令牌，所述第一请求中包含切片信息；
所述第一服务器对所述客户端进行验证；
若所述客户端被验证通过，所述第一服务器向所述客户端发送第一响应消息，其中，所述第一响应消息中包括访问令牌，所述访问令牌中包含所述切片信息。
举例来说，所述切片信息包括下述四种信息中的至少一种：单一网络切片选择辅助信息 (Single-Network Slice Selection Assistance Information，S-NSSAI)或单一网络切片选择辅助信息列表或网络切片实例标识(Network Slice Instance Identifier，NSI ID)或网络切片实例标识列表。
另外，进一步需要指出的是，S-NSSAI是切片类型粒度，NSI ID具体是指哪个切片。举例来说，常见的切片类型包括eMBB(enhance mobile broadband,增强移动带宽)类型的切片， URLLC(ultra reliable low latency communications，极可靠低延迟通信)类型的切片等。举例来说，一类切片里面会有多个实例，每个实例会有一个标识(identifier，ID)，根据该切片的ID就可以确定是哪一个切片了。
其中，需要指出的是，所述切片信息用于保证所述客户端只能访问该切片内的功能服务器，从而保证了切片之间的隔离，维护了网络的安全。
其中，需要指出的是，所述访问令牌中还包括期待服务的名称和类型，所述客户端标识以及所述客户端类型；可选的，所述访问令牌中还可以包括分组标识，所述分组标识为预设功能服务器的预设服务所组成的组的ID信息。举例来说，比如该预设功能服务器为会话管理网元(或称为会话管理服务器)包含四种服务，分别为服务1，服务2，服务3和服务4。其中，服务1和服务2组成第一分组，服务3和服务4组成第二分组。如果该客户端访问该会话管理网元时，可以加上需要访问的分组标识。
另外，可选的，所述访问令牌中的切片信息可替换为分组标识。
从上可知，通过本发明提供的技术方案，所述第一服务器在访问令牌中添加了切片信息，以使得客户端在使用该访问令牌进行功能访问时，只能访问本切片内部的功能服务器，从而保证了切片之间能够相互隔离。
本发明第二方面公开了一种服务请求的方法，所述方法包括：
第二服务器接收客户端发送的第二请求，所述第二请求用于请求功能服务，所述第二请求包含访问令牌；
所述第二服务器对所述访问令牌中的切片信息进行校验；
所述第二服务器向所述客户端发送校验结果。
其中，可选的，所述第二服务器对所述访问令牌中的切片信息进行校验，包括：所述第二服务器判断所述访问令牌中的切片信息与所述第二服务器存储的切片信息是否匹配。
另外，可选的，所述访问令牌中可能包括分组标识，如果所述访问令牌中包括分组标识的话，第二服务器还需要对分组标识进行校验。
另外，可选的，也许该访问令牌中没有包括切片信息，而是包括分组标识，那么该第二服务器对该分组标识进行校验。
另外，需要指出的是，所述访问令牌中包括期望服务的名称、功能服务器的功能类型等参数。当然，该第二服务器需要确认下该客户端所要求的功能服务是否超出所述访问令牌所记载的服务的范围。
从而可知，通过本发明实施例提供的技术方案，第二服务器对访问令牌中的切片信息进行验证，以保证是相同切片内部的服务访问，杜绝了其他切片来访问本功能服务器的可能，从而保证了切片之间相互隔离。
另外，需要指出的是如果切片信息指示的是切片类型，那么通过验证切片信息，可以保证相同类型的切片的内部网元可以相互访问，非相同类型的切片之间的网元是不可以相互访问的。
第三方面，提供一种服务器，该服务器用于执行所述第一方面所描述的方法。具体的，所述服务器包括接收单元、验证单元和发送单元。其中，所述接收单元，用于接收客户端发送的第一请求，其中，所述第一请求用于请求访问令牌，所述第一请求中包含切片信息；所述验证单元，用于对所述客户端进行验证；所述发送单元，用于若所述客户端被验证通过，向所述客户端发送第一响应消息，其中，所述第一响应消息中包括访问令牌，所述访问令牌中包含所述切片信息。
可选的，所述访问令牌中还包括期待服务的名称和类型，所述客户端标识以及所述客户端类型；当然，所述访问令牌还可以进一步包括分组标识。相应的，那么第一请求也有可能包括上述所列举的参数。
另外，进一步需要指出的是所述切片信息为单一网络切片选择辅助信息和/或网络切片实例标识或单一网络切片选择辅助信息列表和/或网络切片实例标识列表。
另外，需要指出的是，所述访问令牌可能不会包括切片信息，而是包括分组标识；相应的，那么第一请求中应该包括的就是分组标识而不是切片信息。
第四方面，还提供另一种服务器。所述服务器包括接收单元、校验单元以及发送单元。具体的，所述接收单元，用于接收客户端发送的第二请求，所述第二请求用于请求功能服务，所述第二请求包含访问令牌；所述校验单元，用于对所述访问令牌中的切片信息进行校验；所述发送单元，用于向所述客户端发送校验结果。
可选的，需要指出的是，所述校验单元，用于判断所述访问令牌中的切片信息与所述第二服务器存储的切片信息是否匹配。
第五方面，提供一种服务器，包括：处理器和收发器。其中，处理器与存储器耦合；处理器用于执行存储器中存储的计算机程序，以使得该服务器执行如第一方面及其各种可选的实现方式中任意之一所述的服务授权方法，或者执行如第二方面及其各种可选的实现方式中任意之一所述的服务授权方法。
第六方面，提供一种计算机可读存储介质，存储有程序或指令，当程序或指令在计算机上运行时，使得计算机执行如第一方面及其各种可选的实现方式中任意之一所述的方法，或者执行如第二方面及其各种可选的实现方式中任意之一所述的方法。
第七方面，提供一种计算机程序产品，包括：计算机程序代码；当计算机程序代码在计算机上运行时，使得计算机执行如第一方面及其各种可选的实现方式中任意之一所述的方法，或者执行如第二方面及其各种可选的实现方式中任意之一所述的方法。
附图说明
图1为本申请实施例提供的服务授权方法所适用的通信系统的结构示意图；
图2为基于客户端/服务器模型的一种服务授权的方法的流程示意图；
图3为基于客户端/服务器模型的另一种服务授权的方法的流程示意图；
图4为基于客户端/服务器模型的另一种服务授权的方法的流程示意图；
图5为本申请实施例提供的一种服务器的结构示意图；
图6为本申请实施例提供的另一种服务器的结构示意图；
图7为本申请实施例提供的另一种服务器的物理结构示意图。
具体实施方式
下面将结合附图，对本申请中的技术方案进行描述。
本申请实施例的技术方案可以应用于各种通信系统，例如第五代(5thgeneration，5G) 移动通信系统，及未来的通信系统，如6G系统、7G系统等。
本申请将围绕可包括多个设备、组件、模块等的系统来呈现各个方面、实施例或特征。应当理解和明白的是，各个系统可以包括另外的设备、组件、模块等，并且/或者可以并不包括结合附图讨论的所有设备、组件、模块等。此外，还可以使用这些方案的组合。
另外，在本申请实施例中，“示例地”、“例如”等词用于表示作例子、例证或说明。本申请中被描述为“示例”的任何实施例或设计方案不应被解释为比其它实施例或设计方案更优选或更具优势。确切而言，使用示例的一词旨在以具体方式呈现概念。
本申请实施例中，“信息(information)”，“信号(signal)”，“消息(message)”，“信道(channel)”、“信令(signaling)”有时可以混用，应当指出的是，在不强调其区别时，其所要表达的含义是一致的。“的(of)”，“相应的(corresponding，relevant)”和“对应的(corresponding)”有时可以混用，应当指出的是，在不强调其区别时，其所要表达的含义是一致的。
本申请实施例中，有时候下标如W1可能会笔误为非下标的形式如W1，在不强调其区别时，其所要表达的含义是一致的。
本申请实施例描述的网络架构以及业务场景是为了更加清楚的说明本申请实施例的技术方案，并不构成对于本申请实施例提供的技术方案的限定，本领域普通技术人员可知，随着网络架构的演变和新业务场景的出现，本申请实施例提供的技术方案对于类似的技术问题，同样适用。
本申请实施例中部分场景以5G系统中的场景为例进行说明。应当指出的是，本申请实施例中的方案还可以应用于其他移动通信系统中，相应的名称也可以用其他移动通信系统中的对应功能的名称进行替代。
为便于理解本申请实施例，首先以图1中示出的通信系统为例详细说明适用于本申请实施例的通信系统。
如图1所示，该通信系统包括用户设备(user equipment，UE)、无线接入网(radioaccess network，RAN)，以及核心网(core network，CN)。用户设备可以通过基站等接入网设备接入无线接入网，并通过核心网与外部的数据网络(data network，DN)建立通信连接。核心网主要用于用户设备注册、安全认证、移动性管理、位置管理、会话管理，以及转发用户设备和外部的数据网络之间的数据包等。
上述无线接入网可以为下一代接入网(next generation access network，NG-AN)。上述核心网包括下述网络功能：会话管理功能(session management function，SMF)、接入和移动性管理功能(access and mobility management function，AMF)、用户面功能(user plane function，UPF)、统一数据管理(unified data management，UDM)、策略控制功能(policy control function，PCF)、鉴权服务功能(authentication serverfunction，AUSF)、网络切片选择功能(network slice selection function，NSSF)、网络公开功能(network exposure function，NEF)、网络仓库功能(network repositoryfunction，NRF)和应用功能(application function，AF)等。
需要说明的是，上述核心网可以包括一台或多台核心网设备。其中，核心网设备可以是用于执行上述单一网络功能的网元，也可以是用于执行上述多个网络功能的网元。在一台核心网设备用于执行上述多个网络功能的情况下，该核心网设备可以包括一个或多个用于执行上述多个网络功能的功能模块，该功能模块可以是软件模块，也可以是软硬件模块，本申请实施例不做限定。
为便于描述，上述网络功能，以及用于执行上述网络功能的网元、设备、功能模块，以及设置于上述网元、设备内部的芯片系统等，下文中统一称之为网络功能。
需要说明的是，上述通信系统的核心网可以采用服务化架构(service-basedarchitecture，SBA)。也就是说，上述不同的网络功能之间可以基于客户端(client)-服务器(server)模式进行通信。其中，服务消费方(NF service comsumer)称为客户端，服务提供方(NF service producer)称为功能服务器。具体地，上述接入和移动性管理功能、会话管理功能、策略控制功能和统一数据管理功能等控制面网络功能可以采用服务化接口进行交互。例如，如图1所示，接入和移动性管理功能提供的服务化接口可以为Namf，会话管理功能提供的服务化接口可以为Nsmf，策略控制功能提供的服务化接口可以为Npcf，统一数据管理功能提供的服务化接口可以为Nudm等。
上述接入网设备为位于上述通信系统网络侧，且具有无线收发功能的设备或可设置于该设备的芯片。该接入网设备包括但不限于：演进型节点B(evolved Node B，eNB)、无线网络控制器(radio network controller，RNC)、节点B(Node B，NB)、基站控制器(basestation controller，BSC)、基站收发台(base transceiver station，BTS)、家庭基站(例如，home evolved NodeB，或home Node B，HNB)、基带单元(baseband unit，BBU)，无线保真(wireless fidelity，WIFI)系统中的接入点(access point，AP)、无线中继节点、无线回传节点、传输点(transmission and reception point，TRP或者transmission point，TP)等，还可以为5G，如，新空口(new radio，NR)系统中的gNB，或，传输点(TRP或TP)，5G系统中的基站的一个或一组(包括多个天线面板)天线面板，或者，还可以为构成gNB或传输点的网络节点，如基带单元(BBU)，或，分布式单元(distributed unit，DU)等。
上述用户设备为接入上述通信系统，且具有无线收发功能的终端设备或可设置于该终端设备的芯片。该用户设备也可以称为用户装置、接入终端、用户单元、用户站、移动站、移动台、远方站、远程终端、移动设备、用户终端、终端、无线通信设备、用户代理或用户装置。本申请的实施例中的终端设备可以是手机(mobile phone)、平板电脑(Pad)、带无线收发功能的电脑、虚拟现实(virtual reality，VR)终端设备、增强现实(augmentedreality， AR)终端设备、工业控制(industrial control)中的无线终端、无人驾驶(selfdriving) 中的无线终端、远程医疗(remote medical)中的无线终端、智能电网(smartgrid)中的无线终端、运输安全(transportation safety)中的无线终端、智慧城市(smartcity)中的无线终端、智慧家庭(smart home)中的无线终端等。
应理解，图1仅为便于理解而示例的简化示意图，该通信系统中还可以包括其他网络设备或者还可以包括其他终端设备，图1中未予以画出。
为了降低上述通信系统的安全风险，上述网络仓库功能除了提供网络功能的注册功能和发现功能外，还集成了OAuth2.0授权服务器的功能。
如图2所示，本发明一实施例提供了一种基于上述OAuth2.0授权服务机制的通信方法。所述方法包括：
S201、第一服务器接收客户端发送的第一请求；
其中，需要指出的是，该第一服务器为授权服务器。
其中，所述第一请求用于请求访问令牌。
其中，所述第一请求中包含切片信息。其中，该切片信息用于指示所述客户端属于哪一类切片或者说所述客户端属于哪一个切片。
举例来说，所述切片信息包括下述四信息中的至少一种：单一网络切片选择辅助信息 (Single-Network Slice Selection Assistance Information，S-NSSAI)或单一网络切片选择辅助信息列表或网络切片实例标识(Network Slice Instance Identifier，NSI ID)或网络切片实例标识列表。
另外，进一步需要指出的是，S-NSSAI是切片类型粒度，NSI ID具体是指哪个切片。举例来说，常见的切片类型包括eMBB类型的切片，URLLC类型的切片等。举例来说，一类切片里面会有多个实例，每个实例会有一个ID，根据该切片的ID就可以确定是哪一个切片了。
可选的，所述第一请求消息中还包括以下参数中的至少一种：期望的服务名称和类型 (expected service name and type),客户端标识(client Id),客户端功能类型(NFconsumer NF type)，分组标识(Group ID,group identifier)。
可选的，需要指出的是，所述第一请求中的切片信息可以被替换为分组标识。所述分组标识为预设功能服务器的预设服务所组成的组的ID信息。举例来说，比如该预设功能服务器为会话管理网元(或称为会话管理服务器)包含四种服务，分别为服务1，服务2，服务3和服务4。其中，服务1和服务2组成第一分组，服务3和服务4组成第二分组。如果该客户端访问该会话管理网元时，可以加上需要访问的分组标识。
另外，可以理解的是，客户端在向第一服务器发送第一请求之前，需要客户端需要在所述第一服务器上进行注册。
S202、所述第一服务器对所述客户端进行验证；
举例来说，该验证的方式可以是按照传输层安全协议(Transport LayerSecurity,TLS) 进行验证。
S203、若所述客户端被验证通过，所述第一服务器向所述客户端发送第一响应消息。
其中，所述第一响应消息中包括访问令牌，所述访问令牌中包含所述切片信息。另外，可以理解的是，如果第一请求中没有包括切片信息，但是包括了分组标识，那么该访问令牌中可以包括所述分组标识。另外，进一步需要指出的是，如果第一请求消息中既包括了切片信息又包括了分组标识，那么该访问令牌中既可以包括切片信息也可以包括分组标识。
另外，需要指出的是，所述访问令牌中还可以包括其他的信息，比如期待服务的名称，截止日期(该截止日期用于指示该令牌什么时候过期)，授权服务器的实例标识以及功能服务器的实例标识等。
从上可知，通过本发明提供的技术方案，所述第一服务器在访问令牌中添加了切片信息，以使得客户端在使用该访问令牌进行功能访问时，只能访问本切片内部的功能服务器，从而保证了切片之间能够相互隔离。
如图3所示，在图2的基础上，本发明另一实施例提供了一种服务请求的方法，所述方法包括：
S301，所述客户端向第二服务器发送第二请求；
其中，该第二服务器为功能服务器(NF service producer)，用于提供某种功能服务。举例来说，该第二服务器可以是AUSF或UDM或UPF等。
其中，所述第二请求用于请求功能服务；
其中，所述第二请求包含访问令牌；可以理解的是，该访问令牌是授权服务器发放的访问令牌。
S302、所述第二服务器对所述访问令牌中的切片信息进行校验；
举例来说，该第二服务器可以对第二请求的完成性进行校验，还可以对切片信息或分组标识进行校验。举例来说，所述第二服务器对所述访问令牌中的切片信息进行校验，包括：所述第二服务器判断所述访问令牌中的切片信息与所述第二服务器存储的切片信息是否匹配。
可以理解的是，如果所述访问令牌中的切片信息与所述第二服务器存储的切片信息匹配，说明第二服务器与所述客户端属于同一个切片或者同一类切片，那么切片维度的验证是可以通过的。反之，如果所述访问令牌中的切片信息与所述第二服务器存储的切片信息不匹配，说明第二服务器与所述客户端不属于同一个切片或者同一类切片，那么切片维度的验证是不通过的。
进一步可选的，所述第二服务器还可以对访问令牌中的截止日期进行校验以确定该访问令牌是否过期。
进一步可选的，所述第二服务器还可以对客户端所请求的服务进行校验，比如判断所述客户端所请求的服务是否超出所述访问令牌所记载的服务范围。
另外，需要指出的是，如果存在多个维度的校验，必须多个维度的校验都通过之后，才能通知该客户端访问该第二服务器。举例来说，多个维度可以理解为至少理解为至少两个维度。常见的维度包括切片信息维度、截止时间温度、服务范围的维度、第二请求的完整性校验维度等。
S303、所述第二服务器向所述客户端发送校验结果。
从而可知，通过本发明实施例提供的技术方案，第二服务器对访问令牌中的切片信息进行验证，以保证是相同切片内部的服务访问，杜绝了其他切片来访问本功能服务器的可能，从而保证了切片之间相互隔离。
结合图2和图3所描述的内容，如图4所示，在本发明的另一实施例中提供了一种服务授权的方法，其中，本实施例所涉及到的名词解释可参考上述实施例。所述方法包括：
S401、客户端注册到授权服务器；
S402、所述客户端向所述授权服务器发送访问令牌请求，所述访问令牌请求包括切片信息；
可选的，所述切片信息可替换为分组标识。
可选的，所述访问令牌请求中还包括分组标识。
S403、所述授权服务器对所述客户端进行授权，并生成一个访问令牌；
S404、所述授权服务器向所述客户端发送访问令牌反馈消息，所述访问令牌响应消息中包括所述访问令牌，所述访问令牌中包括所述切片信息；
其中，需要指出的是，如果所述访问令牌请求中包括的是分组标识而不是切片信息，则所述访问令牌中包括分组标识。
可选的，如果所述访问令牌请求中还包括分组标识，则所述访问令牌中还应该包括所述分组标识。
S405、所述客户端向功能服务器发送服务访问请求，所述服务访问请求中包括所述访问令牌；
S406、所述功能服务器验证所述服务访问请求的完整性以及验证所述切片信息与所述功能服务器所存储的切片信息是否匹配；
可选的，如果所述访问令牌中还包括分组标识，则所述功能服务器还需要验证所述分组标识，比如将访问令牌中的分组标识与所述功能服务器存储的分组标识进行匹配。
可选的，所述访问令牌中还会包括声明的授权内容，比如期待的服务名称、截止日期、授权服务器的实力标识等。功能服务器还可以对这些声明的授权内容进行验证。
S407、所述功能服务器向所述客户端发送验证结果。
从而可知，通过本发明实施例提供的技术方案，授权服务器在生成访问令牌时，会在访问令牌中添加切片信息和/或分组标识，而功能服务器在接收到访问令牌时，会对令牌里面的切片信息和/或分组标识进行验证，以保证同属同一切片的网元之间可以相互访问，从而保证了切片之间的隔离，进而提升了网络的安全性。
结合图4所述的技术方案，在本发明的另一个实施例中，提供了一种漫游场景，当服务网络的授权服务器接收到客户端发送的访问令牌请求时，所述服务网络的授权服务器会对所述客户端进行授权或验证，如果授权或验证成功，该服务网络的授权服务器会向归属网络的授权服务器发送访问令牌请求，所述访问令牌请求中包括第二切片信息。可选的，所述访问令牌请求中也可能包括第一切片信息。其中该第二切片信息是根据第一切片信息映射得到的。该归属网络的授权服务器会收到所述服务网络发送的访问令牌请求消息之后，会按照 S403-S404生成访问令牌，该令牌中会包括第二切片信息和/或分组标识。进一步的，所述访问令牌中也可能会包括第一切片信息。该客户端会根据接收到的访问令牌对归属网络中的功能服务器进行访问。该访问的过程跟S405-407相同。
举例来说，在服务网络中eMBB对应的切片标识1，而在归属网络中eMBB对应的切片标识为2，那么服务网络在向归属网络发送访问令牌请求时需要携带切片信息，那么就需要根据切片标识1获得切片标识2，然后将切片标识2作为切片信息添加到所述访问令牌请求中。可选的，所述切片标识1也有可能会被添加到所述访问令牌请求中。
以上结合图2-图4详细说明了本申请实施例提供的服务授权方法。以下结合图5至图7 详细说明本申请实施例提供的通信装置。
图5是本申请实施例提供的一种服务器的结构示意图。该通信装置可适用于图1所示出的系统中，执行上述方法实施例中第一服务器的功能。为了便于说明，图5仅示出了该通信装置的主要部件。如图1所示，服务器500包括接收单元501、验证单元502和发送单元503。
接收单元501，用于接收客户端发送的第一请求，其中，所述第一请求用于请求访问令牌，所述第一请求中包含切片信息；
验证单元502，用于对所述客户端进行验证；
发送单元503，用于若所述客户端被验证通过，向所述客户端发送第一响应消息，其中，所述第一响应消息中包括访问令牌，所述访问令牌中包含所述切片信息。
可选的，所述访问令牌中还包括期待服务的名称和类型，所述客户端标识以及所述客户端类型；当然，所述访问令牌还可以进一步包括分组标识。相应的，那么第一请求也有可能包括上述所例举的参数。
另外，进一步需要指出的是所述切片信息为单一网络切片选择辅助信息和/或网络切片实例标识或单一网络切片选择辅助信息列表和/或网络切片实例标识列表。
另外，需要指出的是，所述访问令牌可能不会包括切片信息，而是包括分组标识；相应的，那么第一请求中应该包括的就是分组标识而不是切片信息。
图6是本申请实施例提供的另一种服务器的结构示意图。该通信装置可适用于图1所示出的通信系统中，执行上述方法实施例中第二服务器的功能。为了便于说明，图6仅示出了该通信装置的主要部件。如图6所示，服务器600包括接收单元601、校验单元602以及发送单元603。
接收单元601，用于接收客户端发送的第二请求，所述第二请求用于请求功能服务，所述第二请求包含访问令牌；
校验单元602，用于对所述访问令牌中的切片信息进行校验；
发送单元603，用于向所述客户端发送校验结果。
可选的，需要指出的是，校验单元602，用于判断所述访问令牌中的切片信息与所述第二服务器存储的切片信息是否匹配。
图7是本申请实施例提供的又一种服务器的物理结构示意图。该通信装置可适用于图1 所示出的通信系统中，执行上述方法实施例中第一服务器的功能，或者执行上述方法实施例中第二服务器的功能或执行上述方法实施例中客户端的功能。为了便于说明，图7仅示出了该通信装置的主要部件。
如图7所示，服务器700，包括：处理器701和收发器702。其中，处理器701与存储器703耦合，如处理器701通过总线704与存储器703连接；处理器701用于执行存储器703 中存储的计算机程序，以使得该服务器700执行如上述方法实施例中客户端的功能，或者执行如上述方法实施例中第一服务器或第二服务器的功能。
本申请实施例提供一种通信系统。该通信系统包括上述客户端和第一服务器。
本申请实施例提供一种通信系统。该通信系统包括上述客户端和第二服务器。
本申请实施例提供一种通信系统。该通信系统包括上述客户端、第一服务器和第二服务器。
本申请实施例提供一种计算机可读存储介质，存储有程序或指令，当程序或指令在计算机上运行时，使得计算机执行如上述方法实施例所述的方法。
本申请实施例提供一种计算机程序产品，包括：计算机程序代码；当计算机程序代码在计算机上运行时，使得计算机执行如上述方法实施例所述的方法。
应理解，在本申请实施例中的处理器可以是中央处理单元(central processingunit， CPU)，该处理器还可以是其他通用处理器、数字信号处理器(digital signalprocessor， DSP)、专用集成电路(application specific integrated circuit，ASIC)、现成可编程门阵列(field programmable gate array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。
还应理解，本申请实施例中的存储器可以是易失性存储器或非易失性存储器，或可包括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(read-only memory， ROM)、可编程只读存储器(programmable ROM，PROM)、可擦除可编程只读存储器(erasable PROM，EPROM)、电可擦除可编程只读存储器(electrically EPROM，EEPROM)或闪存。易失性存储器可以是随机存取存储器(random access memory，RAM)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的随机存取存储器(random accessmemory，RAM)可用，例如静态随机存取存储器(static RAM，SRAM)、动态随机存取存储器(DRAM)、同步动态随机存取存储器(synchronous DRAM，SDRAM)、双倍数据速率同步动态随机存取存储器 (double data rate SDRAM，DDR SDRAM)、增强型同步动态随机存取存储器(enhanced SDRAM， ESDRAM)、同步连接动态随机存取存储器(synchlink DRAM，SLDRAM)和直接内存总线随机存取存储器(direct rambus RAM，DR RAM)。
上述实施例，可以全部或部分地通过软件、硬件(如电路)、固件或其他任意组合来实现。当使用软件实现时，上述实施例可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令或计算机程序。在计算机上加载或执行所述计算机指令或计算机程序时，全部或部分地产生按照本申请实施例所述的流程或功能。所述计算机可以为通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集合的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质。半导体介质可以是固态硬盘。
应理解，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况，其中A,B可以是单数或者复数。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系，但也可能表示的是一种“和/或”的关系，具体可参考前后文进行理解。
本申请中，“至少一个”是指一个或者多个，“多个”是指两个或两个以上。“以下至少一项(个)”或其类似表达，是指的这些项中的任意组合，包括单项(个)或复数项(个)的任意组合。例如，a,b,或c中的至少一项(个)，可以表示：a,b,c,a-b,a-c,b-c,或a-b-c，其中a,b,c可以是单个，也可以是多个。
应理解，在本申请的各种实施例中，上述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本申请实施例的实施过程构成任何限定。
本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。
所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。
所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(read-only memory，ROM)、随机存取存储器(random access memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。
以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

Claims (10)

1.一种服务授权方法，其特征在于，所述方法包括：
第一服务器接收客户端发送的第一请求，其中，所述第一请求用于请求访问令牌，所述第一请求中包含切片信息；
所述第一服务器对所述客户端进行验证；
若所述客户端被验证通过，所述第一服务器向所述客户端发送第一响应消息，其中，所述第一响应消息中包括访问令牌，所述访问令牌中包含所述切片信息。
2.根据权利要求1所述的方法，其特征在于，所述访问令牌中还包括期待服务的名称和类型，所述客户端标识以及所述客户端类型。
3.根据权利要求1或2所述的方法，其特征在于，所述切片信息为单一网络切片选择辅助信息和/或网络切片实例标识或单一网络切片选择辅助信息列表和/或网络切片实例标识列表。
4.一种服务请求的方法，其特征在于，所述方法包括：
第二服务器接收客户端发送的第二请求，所述第二请求用于请求功能服务，所述第二请求包含访问令牌；
所述第二服务器对所述访问令牌中的切片信息进行校验；
所述第二服务器向所述客户端发送校验结果。
5.根据权利要求4所述的方法，其特征在于，所述第二服务器对所述访问令牌中的切片信息进行校验，包括：
所述第二服务器判断所述访问令牌中的切片信息与所述第二服务器存储的切片信息是否匹配。
6.一种服务器，其特征在于，所述服务器包括：
接收单元，用于接收客户端发送的第一请求，其中，所述第一请求用于请求访问令牌，所述第一请求中包含切片信息；
验证单元，用于对所述客户端进行验证；
发送单元，用于若所述客户端被验证通过，向所述客户端发送第一响应消息，其中，所述第一响应消息中包括访问令牌，所述访问令牌中包含所述切片信息。
7.根据权利要求6所述的服务器，其特征在于，所述访问令牌中还包括期待服务的名称和类型，所述客户端标识以及所述客户端类型。
8.根据权利要求6或7所述的服务器，其特征在于，所述切片信息为单一网络切片选择辅助信息和/或网络切片实例标识或单一网络切片选择辅助信息列表和/或网络切片实例标识列表。
9.一种服务器，其特征在于，所述服务器包括：
接收单元，用于接收客户端发送的第二请求，所述第二请求用于请求功能服务，所述第二请求包含访问令牌；
校验单元，用于对所述访问令牌中的切片信息进行校验；
发送单元，用于向所述客户端发送校验结果。
10.根据权利要求9所述的服务器，其特征在于，所述校验单元，用于判断所述访问令牌中的切片信息与所述第二服务器存储的切片信息是否匹配。
CN201910002319.0A 2018-11-05 2019-01-02 一种网络切片授权的方法及通信装置 Active CN111147436B (zh)

Priority Applications (3)

Application Number Priority Date Filing Date Title
PCT/CN2019/111923 WO2020093853A1 (zh) 2018-11-05 2019-10-18 一种网络切片授权的方法及通信装置
EP19882509.3A EP3813322A4 (en) 2018-11-05 2019-10-18 NETWORK TRENCH AUTHORIZATION PROCESS AND COMMUNICATION DEVICE
US17/171,675 US20210168139A1 (en) 2018-11-05 2021-02-09 Network Slice Authentication Method and Communications Apparatus

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2018113079575 2018-11-05
CN201811307957 2018-11-05

Publications (2)

Publication Number Publication Date
CN111147436A true CN111147436A (zh) 2020-05-12
CN111147436B CN111147436B (zh) 2022-03-11

Family

ID=70516560

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910002319.0A Active CN111147436B (zh) 2018-11-05 2019-01-02 一种网络切片授权的方法及通信装置

Country Status (4)

Country Link
US (1) US20210168139A1 (zh)
EP (1) EP3813322A4 (zh)
CN (1) CN111147436B (zh)
WO (1) WO2020093853A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112367666A (zh) * 2020-11-05 2021-02-12 广州爱浦路网络技术有限公司 一种5G核心网中pNF通过NRF认证cNF的方法、装置及系统
CN113596840A (zh) * 2021-07-30 2021-11-02 成都卫士通信息产业股份有限公司 一种业务处理方法、装置以及相关设备

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111654379B (zh) * 2020-06-08 2022-12-20 杭州安恒信息技术股份有限公司 多服务器的统一令牌生成方法及认证方法
US11252654B2 (en) 2020-06-19 2022-02-15 Verizon Patent And Licensing Inc. Systems and methods for user-specific slice configuration for an application

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104821937A (zh) * 2015-03-26 2015-08-05 腾讯科技（北京）有限公司 令牌获取方法、装置及系统
CN105659558A (zh) * 2013-09-20 2016-06-08 甲骨文国际公司 具有单一、灵活、可插拔OAuth服务器的多个资源服务器和OAuth保护的RESTful OAuth同意管理服务，以及对OAuth服务的移动应用单点登录
CN106210042A (zh) * 2016-07-11 2016-12-07 清华大学 一种基于端到端网络切片的用户服务请求选择方法
CN106550410A (zh) * 2015-09-17 2017-03-29 华为技术有限公司 一种通信控制方法和控制器、用户设备、功能实例
CN107347202A (zh) * 2016-05-06 2017-11-14 电信科学技术研究院 一种终端在网络切片架构下的初始接入方法及装置
WO2018009344A1 (en) * 2016-07-06 2018-01-11 Cisco Technology, Inc. System and method for managing virtual radio access network slicing
CN107666666A (zh) * 2016-07-27 2018-02-06 中兴通讯股份有限公司 密钥的衍生方法及装置
WO2018049583A1 (zh) * 2016-09-14 2018-03-22 华为技术有限公司 基于网络切片的用户面共享方法、装置及监督管理器

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11026128B2 (en) * 2017-10-19 2021-06-01 Qualcomm Incorporated Mechanism to enable interworking between network slicing and evolved packet core connectivity
US10715327B1 (en) * 2018-05-30 2020-07-14 Architecture Technology Corporation Software credential token issuance based on hardware credential token
FI129556B (en) * 2021-01-13 2022-04-29 Nokia Technologies Oy Handling an error in a network function call

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105659558A (zh) * 2013-09-20 2016-06-08 甲骨文国际公司 具有单一、灵活、可插拔OAuth服务器的多个资源服务器和OAuth保护的RESTful OAuth同意管理服务，以及对OAuth服务的移动应用单点登录
CN104821937A (zh) * 2015-03-26 2015-08-05 腾讯科技（北京）有限公司 令牌获取方法、装置及系统
CN106550410A (zh) * 2015-09-17 2017-03-29 华为技术有限公司 一种通信控制方法和控制器、用户设备、功能实例
CN107347202A (zh) * 2016-05-06 2017-11-14 电信科学技术研究院 一种终端在网络切片架构下的初始接入方法及装置
WO2018009344A1 (en) * 2016-07-06 2018-01-11 Cisco Technology, Inc. System and method for managing virtual radio access network slicing
CN106210042A (zh) * 2016-07-11 2016-12-07 清华大学 一种基于端到端网络切片的用户服务请求选择方法
CN107666666A (zh) * 2016-07-27 2018-02-06 中兴通讯股份有限公司 密钥的衍生方法及装置
WO2018049583A1 (zh) * 2016-09-14 2018-03-22 华为技术有限公司 基于网络切片的用户面共享方法、装置及监督管理器

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112367666A (zh) * 2020-11-05 2021-02-12 广州爱浦路网络技术有限公司 一种5G核心网中pNF通过NRF认证cNF的方法、装置及系统
CN112367666B (zh) * 2020-11-05 2021-08-17 广州爱浦路网络技术有限公司 一种5G核心网中pNF通过NRF认证cNF的方法、装置及系统
CN113596840A (zh) * 2021-07-30 2021-11-02 成都卫士通信息产业股份有限公司 一种业务处理方法、装置以及相关设备

Also Published As

Publication number Publication date
US20210168139A1 (en) 2021-06-03
CN111147436B (zh) 2022-03-11
EP3813322A1 (en) 2021-04-28
EP3813322A4 (en) 2021-09-08
WO2020093853A1 (zh) 2020-05-14

Similar Documents

Publication Publication Date Title
CN111147436B (zh) 一种网络切片授权的方法及通信装置
KR102313265B1 (ko) 블록체인 네트워크에 의해 제공된 접속 정보를 이용한 사용자 인증
CN113438196B (zh) 一种服务授权方法、装置及系统
KR102354626B1 (ko) 연결 재개 요청 방법 및 장치
CN111107047B (zh) 服务授权方法及通信装置
WO2021155758A1 (zh) 密钥获取方法及装置
WO2021136211A1 (zh) 授权结果的确定方法及装置
CN108886674A (zh) 通过通信网络中继数据的系统和方法
JP7099536B2 (ja) コアネットワーク装置、通信端末、コアネットワーク装置の方法、プログラム、及び通信端末の方法
US20230035970A1 (en) Method for Protecting Terminal Parameter Update and Communication Apparatus
EP4142328A1 (en) Network authentication method and apparatus, and system
CN116723507B (zh) 针对边缘网络的终端安全方法及装置
WO2023213301A1 (zh) 鉴权方法、通信装置和计算机可读存储介质
CN115706997A (zh) 授权验证的方法及装置
US11381562B2 (en) Detection of a user equipment type related to access, services authorization and/or authentication
WO2019141135A1 (zh) 支持无线网络切换的可信服务管理方法以及装置
CN116528234B (zh) 一种虚拟机的安全可信验证方法及装置
CN115623483B (zh) 键合丝设备的工作信息的完整性保护方法及装置
CN114640988B (zh) 基于隐式指示加密的信息处理方法及装置
WO2023072271A1 (zh) 管理安全上下文的方法和装置
WO2022237441A1 (zh) 一种无线通信方法、通信装置及通信系统
KR101767998B1 (ko) 무선 근거리 통신망을 구성하는 시스템 및 방법
KR20240064005A (ko) 주 인증 방법 및 장치
CN116996985A (zh) 一种基于边缘网络的通信方法及装置
CN116318633A (zh) 通信方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant