CN111371753A - 一种资源共享方法和装置 - Google Patents

Abstract

本发明公开了一种资源共享方法和装置，涉及计算机技术领域。该方法的一具体实施方式包括：客户端从服务端获取配置的安全策略，安全策略包括安全资源协商时间和预协商的安全资源数量；客户端轮询服务端的时间，根据服务端的时间、安全资源协商时间和预协商的安全资源数量，确定本地需要更新的安全资源，并通过与服务端协商获得与本地需要更新的安全资源对应的新的安全资源。该实施方式能够对安全资源共享进行集中控制，避免因设备间本地时间不一致而造成无法及时更新安全资源、安全资源不同步的现象，减少安全风险点，提高在安全资源更新的时间点出现异常时设备的系统稳定性，分布式集群中的设备可以随意扩展，可扩展性好。

Description

一种资源共享方法和装置

技术领域

本发明涉及计算机技术领域，尤其涉及一种资源共享方法和装置。

背景技术

安全资源是一种保证数据安全的资源，例如密钥等，在一些场景中需要对安全资源进行周期性更新，并且双方或多方需要同步使用相同的安全资源。例如，在分布式计算机集群体系中，对信息的加密和解密通常都使用相同的密钥，通信双方都采用相同的加密算法并交换共享的专用工作密钥，为了提高安全强度，需要对使用的工作密钥进行周期性更新。密钥是通过安全地存储在本地内存中，当密钥进行切换更新时，应用可能出现密钥失步和共享效率低下的现象。

在实现本发明过程中，发明人发现现有技术中至少存在如下问题：

因设备间本地时间不一致而造成无法及时更新安全资源、安全资源不同步，安全风险高，并且在安全资源更新的时间点出现异常时设备的系统稳定性差，分布式集群中设备可扩展性差。

发明内容

有鉴于此，本发明实施例提供一种资源共享方法和装置，能够对安全资源共享进行集中控制，避免因设备间本地时间不一致而造成无法及时更新安全资源、安全资源不同步的现象，减少安全风险点，提高在安全资源更新的时间点出现异常时设备的系统稳定性，分布式集群中的设备可以随意扩展，可扩展性好。

为实现上述目的，根据本发明实施例的一个方面，提供了一种资源共享方法。

一种资源共享方法，包括：客户端从服务端获取配置的安全策略，所述安全策略包括安全资源协商时间和预协商的安全资源数量；所述客户端轮询所述服务端的时间，根据所述服务端的时间、所述安全资源协商时间和所述预协商的安全资源数量，确定本地需要更新的安全资源，并通过与所述服务端协商获得与所述本地需要更新的安全资源对应的新的安全资源。

可选地，所述客户端从服务端获取配置的安全策略，包括：所述客户端在启动时向所述服务端签到，当所述签到成功的情况下从所述服务端下载所述配置的安全策略。

可选地，所述通过与所述服务端协商获得与所述本地需要更新的安全资源对应的新的安全资源，包括：将本地安全资源队列中的部分安全资源删除；向所述服务端发送协商请求，以便所述服务端生成并返回所述新的安全资源；将所述新的安全资源存入所述本地安全资源队列。

可选地，所述将本地安全资源队列中的部分安全资源删除，包括：将所述本地安全资源队列中对应所述预协商的安全资源数量且保留时间最长的过期安全资源删除；或者，根据所述安全策略中配置的保留安全资源个数，将所述本地安全资源队列中的所述保留安全资源个数之外的安全资源删除。

可选地，所述将所述新的安全资源存入所述本地安全资源队列，包括：按照所述安全策略中配置的所述新的安全资源的使用时间，以及所述本地安全资源队列中剩余安全资源的使用时间，更新所述本地安全资源队列。

可选地，更新后的所述本地安全资源队列包括正在使用的安全资源、保留的过期安全资源及所述新的安全资源。

根据本发明实施例的另一方面，提供了一种资源共享方法。

一种资源共享方法，包括：服务端配置与客户端对应的安全策略，并将所述安全策略下发到所述客户端，所述安全策略包括安全资源协商时间和预协商的安全资源数量；所述服务端定时将所述服务端的时间同步给所述客户端，以便所述客户端根据所述服务端的时间、所述安全资源协商时间和所述预协商的安全资源数量向所述服务端发起协商请求；所述服务端根据所述安全策略生成与所述协商请求对应的安全资源，并将所述安全资源发送至所述客户端。

可选地，所述服务端配置与客户端对应的安全策略，并将所述安全策略下发到所述客户端，包括：所述服务端所在的集群配置与安全节点对应的安全策略，并将所述配置的安全策略下发到所述安全节点，以由所述安全节点下的多个所述客户端共享。

可选地，所述服务端根据所述安全策略生成与所述协商请求对应的安全资源，包括：所述服务端根据保存的种子数据、所述服务端在所述安全策略中配置的散列因子以及当前时间数据，按照所述服务端在所述安全策略中配置的散列算法进行散列变换，得到与所述协商请求对应的安全资源。

可选地，配置所述安全策略还包括配置以下至少一者：所述安全资源的使用时间、保留安全资源个数、所述安全资源在过期后的保留时间、每组生成的所述安全资源的个数。

可选地，所述服务端的时间为所述服务端所在的集群的数据库时间。

可选地，所述服务端所在的集群中的服务端数量以及所述安全节点下的客户端数量可动态增减。

可选地，所述服务端所在的集群配置与安全节点对应的安全策略，包括：所述服务端所在的集群配置安全节点访问关系，所述安全节点访问关系包括需共享所述安全资源的不同安全节点；按照所述安全节点访问关系配置所述与安全节点对应的安全策略，使得属于同一所述安全节点访问关系中的不同安全节点共享相同的所述安全策略。

根据本发明实施例的又一方面，提供了一种资源共享装置。

一种资源共享装置，包括：安全策略获取模块，用于客户端从服务端获取配置的安全策略，所述安全策略包括安全资源协商时间和预协商的安全资源数量；安全资源协商模块，用于所述客户端轮询所述服务端的时间，根据所述服务端的时间、所述安全资源协商时间和所述预协商的安全资源数量，确定本地需要更新的安全资源，并通过与所述服务端协商获得与所述本地需要更新的安全资源对应的新的安全资源。

可选地，所述安全策略获取模块还用于：在所述客户端启动时向所述服务端签到，当所述签到成功的情况下从所述服务端下载所述配置的安全策略。

可选地，所述安全资源协商模块包括安全资源存储子模块，用于：将本地安全资源队列中的部分安全资源删除；向所述服务端发送协商请求，以便所述服务端生成并返回所述新的安全资源；将所述新的安全资源存入所述本地安全资源队列。

可选地，所述安全资源存储子模块包括安全资源删除单元，用于：将所述本地安全资源队列中对应所述预协商的安全资源数量且保留时间最长的过期安全资源删除；或者，根据所述安全策略中配置的保留安全资源个数，将所述本地安全资源队列中的所述保留安全资源个数之外的安全资源删除。

可选地，所述安全资源存储子模块包括队列更新单元，用于：按照所述安全策略中配置的所述新的安全资源的使用时间，以及所述本地安全资源队列中剩余安全资源的使用时间，更新所述本地安全资源队列。

可选地，更新后的所述本地安全资源队列包括正在使用的安全资源、保留的过期安全资源及所述新的安全资源。

根据本发明实施例的又一方面，提供了一种资源共享装置。

一种资源共享装置，包括：安全策略配置模块，用于服务端配置与客户端对应的安全策略，并将所述安全策略下发到所述客户端，所述安全策略包括安全资源协商时间和预协商的安全资源数量；时间同步模块，用于所述服务端定时将所述服务端的时间同步给所述客户端，以便所述客户端根据所述服务端的时间、所述安全资源协商时间和所述预协商的安全资源数量向所述服务端发起协商请求；安全资源共享模块，用于所述服务端根据所述安全策略生成与所述协商请求对应的安全资源，并将所述安全资源发送至所述客户端。

可选地，所述安全策略配置模块还用于：所述服务端所在的集群配置与安全节点对应的安全策略，并将所述配置的安全策略下发到所述安全节点，以由所述安全节点下的多个所述客户端共享。

可选地，所述安全资源共享模块还用于：所述服务端根据保存的种子数据、所述服务端在所述安全策略中配置的散列因子以及当前时间数据，按照所述服务端在所述安全策略中配置的散列算法进行散列变换，得到与所述协商请求对应的安全资源。

可选地，安全策略配置模块还用于配置以下至少一者：所述安全资源的使用时间、保留安全资源个数、所述安全资源在过期后的保留时间、每组生成的所述安全资源的个数。

可选地，所述服务端的时间为所述服务端所在的集群的数据库时间。

可选地，所述服务端所在的集群中的服务端数量以及所述安全节点下的客户端数量可动态增减。

可选地，所述安全策略配置模块还用于：所述服务端所在的集群配置安全节点访问关系，所述安全节点访问关系包括需共享所述安全资源的不同安全节点；按照所述安全节点访问关系配置所述与安全节点对应的安全策略，使得属于同一所述安全节点访问关系中的不同安全节点共享相同的所述安全策略。

根据本发明实施例的又一方面，提供了一种电子设备。

一种电子设备，包括：一个或多个处理器；存储器，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现本发明实施例所提供的资源共享方法。

根据本发明实施例的又一方面，提供了一种计算机可读介质。

一种计算机可读介质，其上存储有计算机程序，所述程序被处理器执行时实现本发明实施例所提供的资源共享方法。

上述发明中的一个实施例具有如下优点或有益效果：客户端从服务端获取配置的安全策略，安全策略包括安全资源协商时间和预协商的安全资源数量；客户端轮询服务端的时间，根据服务端的时间、安全资源协商时间和预协商的安全资源数量，确定本地需要更新的安全资源，并通过与服务端协商获得与本地需要更新的安全资源对应的新的安全资源。能够对安全资源共享进行集中控制，避免因设备间本地时间不一致而造成无法及时更新安全资源、安全资源不同步的现象，减少安全风险点，提高在安全资源更新的时间点出现异常时设备的系统稳定性，客户端和服务端所在的分布式集群中的设备均可以随意扩展，可扩展性好。

上述的非惯用的可选方式所具有的进一步效果将在下文中结合具体实施方式加以说明。

附图说明

附图用于更好地理解本发明，不构成对本发明的不当限定。其中：

图1是根据本发明一个实施例的资源共享方法的主要步骤示意图；

图2是根据本发明另一个实施例的资源共享方法的主要步骤示意图；

图3是根据本发明一个实施例的基于时间规则离散密钥的流程示意图；

图4是根据本发明一个实施例的密钥预协商流程示意图；

图5是根据本发明一个实施例的资源共享装置的主要模块示意图；

图6是根据本发明另一个实施例的资源共享装置的主要模块示意图；

图7是本发明实施例可以应用于其中的示例性系统架构图；

图8是适于用来实现本发明实施例的终端设备或服务器的计算机系统的结构示意图。

具体实施方式

以下结合附图对本发明的示范性实施例做出说明，其中包括本发明实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本发明的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。

图1是根据本发明一个实施例的资源共享方法的主要步骤示意图。

如图1所示，本发明一个实施例的资源共享方法主要包括如下的步骤S101至步骤S102。本实施例的资源共享方法在客户端执行。

步骤S101：客户端从服务端获取配置的安全策略，安全策略包括安全资源协商时间和预协商的安全资源数量。

步骤S102：客户端轮询服务端的时间，根据服务端的时间、安全资源协商时间和预协商的安全资源数量，确定本地需要更新的安全资源，并通过与服务端协商获得与本地需要更新的安全资源对应的新的安全资源。

本发明实施例的安全资源可以为密钥、加密机数据、安全口令(例如数据库口令)等用于保证数据安全的资源，且不仅限于上述列出的几种安全资源。

配置的安全策略是在服务端配置的。

在一个实施例中，客户端从服务端获取配置的安全策略，具体包括：客户端在启动时向服务端签到，当签到成功的情况下从服务端下载配置的安全策略，并保存在本地。

客户端可以每分钟从服务端轮询服务端的时间，然后根据服务端的时间来触发是否进行安全资源更新，具体地，轮询到服务端的时间达到本地的安全策略中的安全资源协商时间时，根据预协商的安全资源数量确定本地需要更新的安全资源数量，并按照本地需要更新的安全资源数量，从本地的过期安全资源中确定需要更新的安全资源。

服务端的时间可以是服务端所在的服务器时间，在服务端为多个的情况下，服务端的时间可以是服务端所在的集群的数据库时间。

在一个实施例中，客户端通过与服务端协商获得与本地需要更新的安全资源对应的新的安全资源，具体包括：客户端将本地安全资源队列中的部分安全资源删除；向服务端发送协商请求，以便服务端生成并返回新的安全资源；客户端将该新的安全资源存入本地安全资源队列。

服务端在配置安全策略时，可以配置保留安全资源个数、安全资源的使用时间。保留安全资源个数表示客户端在与服务端协商时可以保留的安全资源个数。安全资源的使用时间是指服务端生成的新的安全资源的使用时间，指示了新的安全资源在客户端何时启用(或生效)。

服务端还可以配置安全资源的协商算法和用于生成安全资源的数据，协商算法例如散列算法。用于生成安全资源的数据可以作为散列因子，散列因子具体可以为随机数等，例如8位随机数。服务端的加密机中有种子数据，种子数据为加密机中的特定安全资源，利用种子数据、散列因子，按照散列算法可以生成新的安全资源。以安全资源为密钥为例，种子数据即密钥种子，散列因子也可以称为密钥散列因子或密钥离散因子。

将本地安全资源队列中的部分安全资源删除，具体可以包括：将本地安全资源队列中对应预协商的安全资源数量且保留时间最长的过期安全资源删除；或者，根据安全策略中配置的保留安全资源个数，将本地安全资源队列中的保留安全资源个数之外的安全资源删除。

将新的安全资源存入本地安全资源队列，具体可以包括：按照安全策略中配置的该新的安全资源的使用时间，以及本地安全资源队列中剩余安全资源的使用时间，按照时间顺序排列，以更新本地安全资源队列。

更新后的本地安全资源队列具体可以包括正在使用的安全资源、保留的过期安全资源，以及通过与服务端协商获得的新的安全资源。

本发明实施例的安全资源的共享和更新都是按照服务端的时间，从而避免了避免因客户端设备间本地时间不一致而造成无法及时更新安全资源、安全资源不同步的现象，减少了安全风险点。通过预协商机制，在客户端当前安全资源过期之前可主动向服务端发起协商请求，以由服务端生成新的安全资源，从而避免了客户端在当前安全资源到期时出现异常情况(例如网络问题)，而无法及时更新安全资源的问题，提高了客户端的系统稳定性和健壮性。

图2是根据本发明一个实施例的资源共享方法的主要步骤示意图。

如图2所示，本发明一个实施例的资源共享方法主要包括如下的步骤S201至步骤S203。本实施例的资源共享方法在服务端执行。

步骤S201：服务端配置与客户端对应的安全策略，并将安全策略下发到客户端，安全策略包括安全资源协商时间和预协商的安全资源数量。

步骤S202：服务端定时将服务端的时间同步给客户端，以便客户端根据服务端的时间、安全资源协商时间和预协商的安全资源数量向所述服务端发起协商请求。

步骤S203：服务端根据安全策略生成与协商请求对应的安全资源，并将安全资源发送至客户端。

本发明实施例的安全资源可以为密钥、加密机数据、安全口令(例如数据库口令)等，且不仅限于上述所列举。

在一个实施例中，服务端配置与客户端对应的安全策略，并将安全策略下发到客户端，包括：服务端所在的集群配置与安全节点对应的安全策略，并将配置的安全策略下发到安全节点，以由安全节点下的多个客户端共享。

每一个安全节点为一个客户端集群，其中包括多个客户端。

服务端所在的集群配置与安全节点对应的安全策略由该集群下的各服务端共享。

本发明实施例的服务端所在的集群中的服务端数量以及安全节点下的客户端数量可动态增减，而不会影响业务的正常进行。

在一个实施例中，服务端还可以配置安全资源的协商算法和用于生成安全资源的数据，协商算法例如散列算法。用于生成安全资源的数据例如散列因子。服务端的加密机中有种子数据。

服务端根据安全策略生成与协商请求对应的安全资源，具体包括：服务端根据保存的种子数据、服务端在安全策略中配置的散列因子以及当前时间数据，按照服务端在安全策略中配置的散列算法进行散列变换，得到与协商请求对应的安全资源。

当前时间数据可以是当前日期，或者，双方安全节点信息以及日期合成的数据。

服务端或服务端所在的集群配置安全策略还包括配置以下至少一者：安全资源的使用时间、保留安全资源个数、安全资源在过期后的保留时间、每组生成的安全资源的个数。

在一个实施例中，服务端的时间为服务端所在的集群的数据库时间。

在一个实施例中，服务端所在的集群配置与安全节点对应的安全策略，具体包括：服务端所在的集群配置安全节点访问关系，安全节点访问关系包括需共享安全资源的不同安全节点；按照安全节点访问关系配置与安全节点对应的安全策略，使得属于同一安全节点访问关系中的不同安全节点共享相同的安全策略。

本发明实施例服务端对安全资源共享进行集中控制，安全资源的共享和更新都是按照服务端的时间，避免因设备间本地时间不一致而造成无法及时更新安全资源、安全资源不同步的现象，减少安全风险点，客户端和服务端所在的分布式集群中的设备均可以随意扩展，可扩展性好。

下面以安全资源为密钥为例，详细介绍本发明实施例的资源共享方法。

在计算机共享资源管理应用场景中，例如分布式计算机集群间或者集群内的共享密钥资源管理场景，密码技术作为主动的安全技术，是提高数据信息的保密性，防止秘密数据被破析的主要技术手段。

在一个实施例中，本发明把密码服务分为密钥管理中心以及密管客户端两部分，其中，密钥管理中心为服务端集群，其包括多个服务端，密钥管理中心负责密钥协商以及策略的配置和管理等，在安全策略需要修改时也在密钥管理中心进行操作。密管客户端即密钥管理的客户端，需要共享密钥的双方部署密管客户端。密管客户端具体需要部署在使用加解密等服务的应用主机上，负责密钥同步等。多个密管客户端构成一个客户端集群，本发明实施例的客户端集群可以为多个，每个客户端集群即为一个安全节点。

可用安全节点号标识安全节点，部署在同一集群内的密管客户端使用同一安全节点号，以设备号标识密管客户端所在的机器，每一个安全节点签发一个安全实体数字证书文件。

密钥管理中心可以统一配置各个安全节点之间的关系，即安全节点访问关系，然后产生对应各安全节点的安全策略。密管客户端通过与密钥管理中心实时协商建立安全通道，密钥管理中心通过安全通道将安全节点访问关系以及安全策略安全下发到密管客户端本地存储中。

安全策略具体可以分为单个安全节点的安全策略和安全节点之间的安全策略(例如两个安全节点之间的安全策略)。密钥管理中心根据单个安全节点的安全策略可以生成单个安全节点内部共享的密钥，根据安全节点之间的安全策略可以生成不同安全节点之间共享的密钥。安全节点之间的安全策略配置时需要登记安全节点访问关系，可以包括与安全节点和与该安全节点交互的所有安全节点的信息，也用作节点间的访问控制。安全策略还包括使用的算法策略(密钥协商算法)、密钥协商时间、密钥保存时间、每组密钥个数、过期密钥保留个数、未来密钥保留个数等等，其中，未来密钥是指未启用的密钥，密钥保存时间是指密钥在过期后的保留时间。

密钥管理中心还可以在各密管客户端启动之前，在密钥管理中心统一配置密钥管理中心的管理节点与密管客户端节点，以及密管客户端节点与其他密管客户端节点之间的关系。各密管客户端分别从密钥管理中心统一获取各自的安全策略数据。在密钥管理中心按照安全节点配置安全策略的情况下，密管客户端对应的安全策略即其所属的安全节点对应的安全策略。

需要共享密钥的各密管客户端分别在本地存储相同的安全策略。密管客户端定时采集密钥管理中心时间，将密钥管理中心时间保存到本地，然后密管客户端根据该密钥管理中心时间和本地的安全策略，确定触发密钥协商交易，并分别向密钥管理中心发起协商请求，以触发密钥协商交易，由密钥管理中心统一按照安全策略派生一组密钥，每组密钥可以随时按照所需的策略配置进行调整，当密管客户端轮训探测到密钥管理中心发生日期更新后，按照时间策略判断是否触发密钥更新，若有，则从密钥管理中心获取新的日期密钥数据，保存在本地存储中，实现密管客户端之间的密钥资源共享。

其中，密钥管理中心时间即服务端的时间，具体可以是密钥管理中心的数据库时间。密管客户端可以每分钟从服务端轮询密钥管理中心时间。

由于本发明实施例的密钥更新、密钥协商交易是以密钥管理中心的数据库时间为准，解决了分布式计算机因本地时间不一致造成无法及时更新密钥的问题，根据日期密钥的产生机制有效解决了相同时间内获取不同共享密钥数据的问题。

密管客户端可以根据安全策略在本地存储中保留安全策略中指定数量的未来可使用的密钥信息，如日期切换后需要可使用的密钥数量减一，需要产生新的指定日期所需要使用的密钥，本地原有的过期密钥不会删除，直到完全达到安全策略所需要存储的密钥数量后方才删除，密钥在本地存储时可以按日期规则存储。

本发明一个实施例的密钥是密钥管理中心根据配置的指定散列算法合成的。以安全节点间共享密钥资源为例，当密管客户端触发密钥协商交易时，向密钥管理中心发送协商请求，密钥管理中心根据存放在加密机中的散列密钥种子(即种子数据)、在安全策略中配置的散列密钥因子(即散列因子)、本安全节点和对方安全节点以及日期合成的数据，将以上三个数据按照安全策略中配置的散列算法，进行一系列散列变换后得到密钥。由于触发密钥协商交易所依据的时间是从密钥管理中心取得，时间以密钥管理中心时间为基准，并且密钥是即时按日期协商实时产生的，密钥的散列算法由密钥管理中心服务端统一控制且不是公开的，所以密钥的更新时间的交易可以视作为同时触发的，密钥数据达到实时共享且使用不会存在冲突。

图3是根据本发明一个实施例的基于时间规则离散密钥的流程示意图。如图3所示，轮询进程为客户端进程，服务端进程即密钥管理中心的服务端进程。客户端轮询探测服务端时间，并将服务端时间更新到本地，具体可以将服务端时间保存在本地共享内存中。以服务端时间为基准，判断是否进行密钥协商，如果进行密钥协商，则向服务端发送协商请求，以触发密钥协商交易，服务端根据日期、散列因子、散列算法离散密钥。

图4是根据本发明一个实施例的密钥预协商流程示意图。如图4所示，本实施例中多个安全节点访问关系中包括某密管客户端所属的安全节点，相应地，该密管客户端下载到本地的安全节点访问关系和对应的安全策略为多个。密管客户端通过轮询进程从服务端获取服务端时间，根据服务端时间查找本地安全策略，判断哪个安全策略达到预协商密钥的条件，并根据服务端时间以及预协商的密钥数量判断本地需要更新几个密钥，根据需要预协商的密钥数量把本地密钥队列中保留最久的密钥删除，例如可以需要预协商几个则删除几个保留最久的密钥，然后与密钥管理中心协商，由密钥管理中心的服务端按时间规则产生新的密钥，下发到本安全节点，该密管客户端获取到新的密钥后将其放置到本地密钥队列中，并按照日期重新进行对本地密钥队列中的密钥进行排序。预协商的密钥数量可以是对未来多个密钥更新周期需要更新的密钥数量，例如每天需要更新一个密钥(或一组密钥，按组更新的请下，相应的密钥数量指组数)，假设当天零点(密钥到期)需要更新密钥，那么本发明实施例采用预协商机制，可以将密钥协商时间设定在零点之前30分钟触发密钥协商交易，以防在零点时出现异常情况无法及时更新密钥，同时本发明实施例可以配置预协商的密钥数量为3，那么，本次与服务端的密钥协商交易可以获取当天、明天、后天的密钥，这样减少了协商频率。

本发明一个实施例在密管客户端启动时由密管客户端主动发起签到，通过签到操作实现了密管客户端从密钥管理中心获取安全策略并同步到本地存储中的功能，同步的信息可以包括密钥协商算法、安全策略、对端公钥证书以及密钥保留个数，等等。不同密管客户端只要对应的安全节点相同，那么从密钥管理中心就可以获取的相同的安全策略，通过服务端相同的安全策略即可得到相同的共享密钥数据。签退操作会使密钥管理中心服务端把签到节点的相关信息删除掉，从业务上屏蔽到该节点(密管客户端)。

密钥管理中心服务端由于安全策略统一管控，并且时间以密钥管理中心本地数据库时间为基准，且密钥数据是即时协商的，扩展后即可达到同样的服务，密钥管理中心(服务端集群)以及安全节点(客户端集群)的集群内所有设备都可以随意扩展，而不会影响到密钥的使用及更新。

本发明实施例的资源共享方法可实现基于时间规则零冲突的共享密钥资源管理，客户端或服务端的集群设备可以随意增减或更换，而不会影响密钥的协商、正常使用以及更新，客户端集群间安全策略由密钥管理中心统一配置和处理，保证了密钥的实时更新，防止密钥不同步，增强了对系统的集中控制，减少了安全风险点，密钥基于时间规则散列(或称离散)，并可以在客户端集群间或集群内同步共享，确保密管客户端因宕机时使用非自然日时间密钥进行加密能够正常使用密钥，此外，本发明实施例的密钥预协商机制防止在密钥更新时间点出现异常情况(例如网络问题)时，无法及时更新密钥，提高了系统的稳定性。

图5是根据本发明一个实施例的资源共享装置的主要模块示意图。

如图5所示，本发明一个实施例的资源共享装置500位于客户端，资源共享装置500主要包括：安全策略获取模块501、安全资源协商模块502。

安全策略获取模块501，用于客户端从服务端获取配置的安全策略，安全策略包括安全资源协商时间和预协商的安全资源数量。

安全资源协商模块502，用于客户端轮询服务端的时间，根据服务端的时间、安全资源协商时间和预协商的安全资源数量，确定本地需要更新的安全资源，并通过与服务端协商获得与本地需要更新的安全资源对应的新的安全资源。

在一个实施例中，安全策略获取模块501具体用于：在客户端启动时向服务端签到，当签到成功的情况下从服务端下载配置的安全策略。

在一个实施例中，安全资源协商模块502包括安全资源存储子模块，用于：将本地安全资源队列中的部分安全资源删除；向服务端发送协商请求，以便服务端生成并返回新的安全资源；将新的安全资源存入本地安全资源队列。

安全资源存储子模块可以包括安全资源删除单元，用于：将本地安全资源队列中对应预协商的安全资源数量且保留时间最长的过期安全资源删除；或者，根据安全策略中配置的保留安全资源个数，将本地安全资源队列中的保留安全资源个数之外的安全资源删除。

安全资源存储子模块还可以包括队列更新单元，用于：按照安全策略中配置的新的安全资源的使用时间，以及本地安全资源队列中剩余安全资源的使用时间，更新本地安全资源队列。

更新后的本地安全资源队列可以包括正在使用的安全资源、保留的过期安全资源及新的安全资源。

图6是根据本发明另一个实施例的资源共享装置的主要模块示意图。

如图6所示，本发明另一个实施例的资源共享装置600位于服务端，资源共享装置600主要包括：安全策略配置模块601、时间同步模块602、安全资源共享模块603。

安全策略配置模块601，用于服务端配置与客户端对应的安全策略，并将安全策略下发到客户端，安全策略包括安全资源协商时间和预协商的安全资源数量。

时间同步模块602，用于服务端定时将服务端的时间同步给客户端，以便客户端根据服务端的时间、安全资源协商时间和预协商的安全资源数量向服务端发起协商请求。

安全资源共享模块603，用于服务端根据安全策略生成与协商请求对应的安全资源，并将安全资源发送至客户端。

在一个实施例中，安全策略配置模块601具体用于：服务端所在的集群配置与安全节点对应的安全策略，并将配置的安全策略下发到安全节点，以由安全节点下的多个客户端共享。

在一个实施例中，安全资源共享模块603具体用于：服务端根据保存的种子数据、服务端在安全策略中配置的散列因子以及当前时间数据，按照服务端在安全策略中配置的散列算法进行散列变换，得到与协商请求对应的安全资源。

安全策略配置模块601还可以用于配置以下至少一者：安全资源的使用时间、保留安全资源个数、安全资源在过期后的保留时间、每组生成的安全资源的个数。

在一个实施例中，服务端的时间为服务端所在的集群的数据库时间。

服务端所在的集群中的服务端数量以及安全节点下的客户端数量可动态增减。

在一个实施例中，安全策略配置模块601具体用于：服务端所在的集群配置安全节点访问关系，安全节点访问关系包括需共享安全资源的不同安全节点；按照安全节点访问关系配置与安全节点对应的安全策略，使得属于同一安全节点访问关系中的不同安全节点共享相同的安全策略。

另外，在本发明实施例中所述资源共享装置的具体实施内容，在上面所述资源共享方法中已经详细说明了，故在此重复内容不再说明。

图7示出了可以应用本发明实施例的资源共享方法或资源共享装置的示例性系统架构700。

如图7所示，系统架构700可以包括终端设备701、702、703，网络704和服务器705。网络704用以在终端设备701、702、703和服务器705之间提供通信链路的介质。网络704可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以使用终端设备701、702、703通过网络704与服务器705交互，以接收或发送消息等。终端设备701、702、703上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等(仅为示例)。

终端设备701、702、703可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。

服务器705可以是提供各种服务的服务器，例如对用户利用终端设备701、702、703所浏览的购物类网站提供支持的后台管理服务器(仅为示例)。后台管理服务器可以对接收到的产品信息查询请求等数据进行分析等处理，并将处理结果(例如目标推送信息、产品信息--仅为示例)反馈给终端设备。

需要说明的是，本发明实施例所提供的资源共享方法可以由服务器705或终端设备701、702、703执行，相应地，资源共享装置可以设置于服务器705或终端设备701、702、703中。

应该理解，图7中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

下面参考图8，其示出了适于用来实现本申请实施例的终端设备或服务器的计算机系统800的结构示意图。图8示出的终端设备或服务器仅仅是一个示例，不应对本申请实施例的功能和使用范围带来任何限制。

如图8所示，计算机系统800包括中央处理单元(CPU)801，其可以根据存储在只读存储器(ROM)802中的程序或者从存储部分808加载到随机访问存储器(RAM)803中的程序而执行各种适当的动作和处理。在RAM 803中，还存储有系统800操作所需的各种程序和数据。CPU 801、ROM 802以及RAM 803通过总线804彼此相连。输入/输出(I/O)接口805也连接至总线804。

以下部件连接至I/O接口805：包括键盘、鼠标等的输入部分806；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分807；包括硬盘等的存储部分808；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分809。通信部分809经由诸如因特网的网络执行通信处理。驱动器810也根据需要连接至I/O接口805。可拆卸介质811，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器810上，以便于从其上读出的计算机程序根据需要被安装入存储部分808。

特别地，根据本发明公开的实施例，上文参考主要步骤示意图描述的过程可以被实现为计算机软件程序。例如，本发明公开的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行主要步骤示意图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分809从网络上被下载和安装，和/或从可拆卸介质811被安装。在该计算机程序被中央处理单元(CPU)801执行时，执行本申请的系统中限定的上述功能。

需要说明的是，本发明所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本申请中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本申请中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

附图中的主要步骤示意图和框图，图示了按照本申请各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，主要步骤示意图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或主要步骤示意图中的每个方框、以及框图或主要步骤示意图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本发明实施例中所涉及到的模块可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的模块也可以设置在处理器中，例如，可以描述为：一种处理器包括安全策略获取模块、安全资源协商模块。其中，这些模块的名称在某种情况下并不构成对该模块本身的限定，例如，安全策略获取模块还可以被描述为“用于客户端从服务端获取配置的安全策略的模块”。

作为另一方面，本发明还提供了一种计算机可读介质，该计算机可读介质可以是上述实施例中描述的设备中所包含的；也可以是单独存在，而未装配入该设备中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被一个该设备执行时，使得该设备包括：客户端从服务端获取配置的安全策略，所述安全策略包括安全资源协商时间和预协商的安全资源数量；所述客户端轮询所述服务端的时间，根据所述服务端的时间、所述安全资源协商时间和所述预协商的安全资源数量，确定本地需要更新的安全资源，并通过与所述服务端协商获得与所述本地需要更新的安全资源对应的新的安全资源。或者，服务端配置与客户端对应的安全策略，并将所述安全策略下发到所述客户端，所述安全策略包括安全资源协商时间和预协商的安全资源数量；所述服务端定时将所述服务端的时间同步给所述客户端，以便所述客户端根据所述服务端的时间、所述安全资源协商时间和所述预协商的安全资源数量向所述服务端发起协商请求；所述服务端根据所述安全策略生成与所述协商请求对应的安全资源，并将所述安全资源发送至所述客户端。

根据本发明实施例的技术方案，客户端从服务端获取配置的安全策略，安全策略包括安全资源协商时间和预协商的安全资源数量；客户端轮询服务端的时间，根据服务端的时间、安全资源协商时间和预协商的安全资源数量，确定本地需要更新的安全资源，并通过与服务端协商获得与本地需要更新的安全资源对应的新的安全资源。能够对安全资源共享进行集中控制，避免因设备间本地时间不一致而造成无法及时更新安全资源、安全资源不同步的现象，减少安全风险点，提高在安全资源更新的时间点出现异常时设备的系统稳定性，客户端和服务端所在的分布式集群中的设备均可以随意扩展，可扩展性好。

上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，取决于设计要求和其他因素，可以发生各种各样的修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。

Claims (17)

1.一种资源共享方法，其特征在于，包括：

客户端从服务端获取配置的安全策略，所述安全策略包括安全资源协商时间和预协商的安全资源数量；

所述客户端轮询所述服务端的时间，根据所述服务端的时间、所述安全资源协商时间和所述预协商的安全资源数量，确定本地需要更新的安全资源，并通过与所述服务端协商获得与所述本地需要更新的安全资源对应的新的安全资源。

2.根据权利要求1所述的方法，其特征在于，所述客户端从服务端获取配置的安全策略，包括：所述客户端在启动时向所述服务端签到，当所述签到成功的情况下从所述服务端下载所述配置的安全策略。

3.根据权利要求1所述的方法，其特征在于，所述通过与所述服务端协商获得与所述本地需要更新的安全资源对应的新的安全资源，包括：

将本地安全资源队列中的部分安全资源删除；

向所述服务端发送协商请求，以便所述服务端生成并返回所述新的安全资源；

将所述新的安全资源存入所述本地安全资源队列。

4.根据权利要求3所述的方法，其特征在于，所述将本地安全资源队列中的部分安全资源删除，包括：

将所述本地安全资源队列中对应所述预协商的安全资源数量且保留时间最长的过期安全资源删除；或者，根据所述安全策略中配置的保留安全资源个数，将所述本地安全资源队列中的所述保留安全资源个数之外的安全资源删除。

5.根据权利要求3所述的方法，其特征在于，所述将所述新的安全资源存入所述本地安全资源队列，包括：

按照所述安全策略中配置的所述新的安全资源的使用时间，以及所述本地安全资源队列中剩余安全资源的使用时间，更新所述本地安全资源队列。

6.根据权利要求5所述的方法，其特征在于，更新后的所述本地安全资源队列包括正在使用的安全资源、保留的过期安全资源及所述新的安全资源。

7.一种资源共享方法，其特征在于，包括：

服务端配置与客户端对应的安全策略，并将所述安全策略下发到所述客户端，所述安全策略包括安全资源协商时间和预协商的安全资源数量；

所述服务端定时将所述服务端的时间同步给所述客户端，以便所述客户端根据所述服务端的时间、所述安全资源协商时间和所述预协商的安全资源数量向所述服务端发起协商请求；

所述服务端根据所述安全策略生成与所述协商请求对应的安全资源，并将所述安全资源发送至所述客户端。

8.根据权利要求7所述的方法，其特征在于，所述服务端配置与客户端对应的安全策略，并将所述安全策略下发到所述客户端，包括：

所述服务端所在的集群配置与安全节点对应的安全策略，并将所述配置的安全策略下发到所述安全节点，以由所述安全节点下的多个所述客户端共享。

9.根据权利要求7或8所述的方法，其特征在于，所述服务端根据所述安全策略生成与所述协商请求对应的安全资源，包括：

所述服务端根据保存的种子数据、所述服务端在所述安全策略中配置的散列因子以及当前时间数据，按照所述服务端在所述安全策略中配置的散列算法进行散列变换，得到与所述协商请求对应的安全资源。

10.根据权利要求7或8所述的方法，其特征在于，配置所述安全策略还包括配置以下至少一者：所述安全资源的使用时间、保留安全资源个数、所述安全资源在过期后的保留时间、每组生成的所述安全资源的个数。

11.根据权利要求8所述的方法，其特征在于，所述服务端的时间为所述服务端所在的集群的数据库时间。

12.根据权利要求8所述的方法，其特征在于，所述服务端所在的集群中的服务端数量以及所述安全节点下的客户端数量可动态增减。

13.根据权利要求8所述的方法，其特征在于，所述服务端所在的集群配置与安全节点对应的安全策略，包括：

所述服务端所在的集群配置安全节点访问关系，所述安全节点访问关系包括需共享所述安全资源的不同安全节点；

按照所述安全节点访问关系配置所述与安全节点对应的安全策略，使得属于同一所述安全节点访问关系中的不同安全节点共享相同的所述安全策略。

14.一种资源共享装置，其特征在于，包括：

安全策略获取模块，用于客户端从服务端获取配置的安全策略，所述安全策略包括安全资源协商时间和预协商的安全资源数量；

安全资源协商模块，用于所述客户端轮询所述服务端的时间，根据所述服务端的时间、所述安全资源协商时间和所述预协商的安全资源数量，确定本地需要更新的安全资源，并通过与所述服务端协商获得与所述本地需要更新的安全资源对应的新的安全资源。

15.一种资源共享装置，其特征在于，包括：

安全策略配置模块，用于服务端配置与客户端对应的安全策略，并将所述安全策略下发到所述客户端，所述安全策略包括安全资源协商时间和预协商的安全资源数量；

时间同步模块，用于所述服务端定时将所述服务端的时间同步给所述客户端，以便所述客户端根据所述服务端的时间、所述安全资源协商时间和所述预协商的安全资源数量向所述服务端发起协商请求；

安全资源共享模块，用于所述服务端根据所述安全策略生成与所述协商请求对应的安全资源，并将所述安全资源发送至所述客户端。

16.一种电子设备，其特征在于，包括：

一个或多个处理器；

存储器，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如权利要求1-13中任一所述的方法。

17.一种计算机可读介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1-13中任一所述的方法。

Images