CN111541656B

CN111541656B - 基于融合媒体云平台的身份认证方法及系统

Info

Publication number: CN111541656B
Application number: CN202010273058.9A
Authority: CN
Inventors: 琚宏伟; 陈卫平; 邓晖; 赵勇; 林莉
Original assignee: China Central TV Station
Current assignee: China Central TV Station
Priority date: 2020-04-09
Filing date: 2020-04-09
Publication date: 2022-09-16
Anticipated expiration: 2040-04-09
Also published as: CN111541656A

Abstract

基于融合媒体云平台的身份认证方法及系统，包括：账户体系服务模块、统一认证服务模块和认证代理服务模块，认证代理服务模块在检测访问请求没有携带令牌或令牌不可用(过期等)时，转至统一认证服务模块，其获取用户信息并在验证通过后生成令牌、获取其角色权限，将所生成的令牌和该用户的角色权限发送至认证代理服务模块；认证代理服务模块检测访问请求是否已被验证，若访问请求中的令牌已被验证则验证令牌及用户标识是否匹配，在匹配成功时将该访问及其角色权限请求发送至对应的融合媒体业务应用，否则将访问请求发送至统一认证服务模块采用本申请中的方案，可减轻统一认证服务压力，支持跨云交互认证，提高融合媒体云平台身份认证的安全性。

Description

基于融合媒体云平台的身份认证方法及系统

技术领域

本申请涉及融合媒体技术，具体地，涉及一种基于融合媒体云平台的身份认证方法及系统。

背景技术

传统媒体和新兴媒体融合发展是广电行业的顺势潮流，各级广播电台、电视台正在全面推进融合媒体技术体系建设，以云计算、5G、AI、大数据等前沿技术为基础，构建基于混合云架构的融合媒体平台，致力于打造新型、方便、快捷、安全的融合媒体制播应用。融合媒体云平台为面向广播、电视和新媒体的一体化制作、播出和分发等提供多种业务应用工具和技术支撑服务，无论专业记者或是普通互联网用户均可使用多种类型移动终端设备随时随地接入平台并使用其提供的服务。

融合媒体云平台实现了媒体资源的优化整合和随时调度，极大提高了媒体内容生产传播效率，但同时也增加了整个平台的用户认证、终端认证难度。一方面，融合媒体云平台需要面对用户规模巨大、用户类型多样、接入的移动设备种类繁多、终端环境差异较大且访问方式多样等复杂情况；另一方面，融合媒体云平台承载的不同业务应用通常具有不同的安全等级要求，并且不同安全等级的业务应用经常频繁交互，需要跨业务应用的身份管理。

现有技术中存在的问题：

现有云计算环境下不同应用对用户的统一认证通常是用户发送身份认证信息到统一认证服务器，服务器验证通过后用户获得凭证再基于凭证访问不同的业务应用系统，但这种方式把所有用户统一管理并采用单一认证方式，除了存在认证服务器易成为瓶颈、产生认证拥塞的问题以外，安全性较低。

发明内容

本申请实施例中提供了一种基于融合媒体云平台的身份认证方法及系统，以解决上述技术问题。

根据本申请实施例的第一个方面，提供了一种基于融合媒体云平台的身份认证系统，包括：账户体系服务模块、统一认证服务模块和认证代理服务模块，

所述账户体系服务模块，包括：认证客户端和角色权限管理模块，所述认证客户端用于发起访问请求，所述角色权限管理模块用于提供用户角色权限管理和账号信息存储服务；

所述统一认证服务模块，用于在检测所述访问请求没有携带Token令牌、或者携带的Token令牌被篡改或超过有效期时通过认证客户端获取用户身份信息并在验证通过后生成Token令牌、从所述角色权限管理模块获取该用户的角色权限，将所生成的Token令牌和该用户的角色权限发送至认证代理服务模块；若所述访问请求携带有Token令牌且在有效期内、可用，则通过角色权限管理模块获取所述Token令牌的用户的角色权限发送至所述认证代理服务模块；

所述认证代理服务模块，用于检测认证客户端发起的访问请求是否已被验证，若该访问请求中的Token令牌已被验证，则验证Token令牌以及用户标识是否匹配，在匹配成功时将该访问请求发送至所述访问请求对应的融合媒体业务应用，否则将该访问请求发送至所述统一认证服务模块。

根据本申请实施例的第二个方面，提供了一种基于融合媒体云平台的身份认证方法，包括：

获取用户对融合媒体云平台的第一云平台上业务应用的访问请求；

在所述访问请求没有携带Token令牌或者携带的Token令牌被篡改或超过有效期时，向用户发起身份认证邀请，并根据接收到的用户身份信息进行验证通过后发放Token令牌，查询用户角色权限并产生用户标识；

在所述访问请求携带有Token令牌且在有效期内、可用时，查询所述Token令牌对应的用户角色权限和用户标识；

若所述访问请求中的Token令牌已被验证，则验证Token令牌以及用户标识是否匹配，在Token令牌以及用户标识匹配成功时，将所述访问请求和所述用户角色权限发送至相应的业务应用。

根据本申请实施例的第三个方面，提供了一种计算机存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现如上所述身份认证方法的步骤。

根据本申请实施例的第四个方面，提供了一种电子设备，包括存储器、以及一个或多个处理器，所述存储器用于存储一个或多个程序；所述一个或多个程序被所述一个或多个处理器执行时，实现如上所述的身份认证方法。

采用本申请实施例中提供的融合媒体云平台的身份认证方法及系统，云平台侧的认证代理服务首先检测用户是否已通过安全认证，由云平台来检测可以在一定程度上降低安全风险，且在确保用户身份安全可信的同时，避免每次均调用统一认证服务验证用户身份是否合法，从而减轻了统一认证服务的压力，避免其成为瓶颈产生认证拥塞的问题；此外，本申请检查用户携带的Token令牌是否完好可用再利用预先存储的用户标识与Token令牌匹配来验证访问请求是否合法，安全等级更高。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1示出了本申请实施例一中基于融合媒体云平台的身份认证系统的结构示意图；

图2示出了本申请实施例二中基于融合媒体云平台的身份认证方法实施的流程示意图；

图3示出了本申请实施例四中电子设备的结构示意图；

图4示出了本申请实施例五中基于融合媒体云平台的身份认证系统的结构示意图；

图5示出了本申请实施例五中FIDO认证注册流程示意图；

图6示出了本申请实施例五中FIDO身份认证流程示意图；

图7示出了本申请实施例五中用户访问融合媒体云平台业务的过程示意图；

图8示出了本申请实施例五中用户登录认证流程示意图；

图9示出了本申请实施例五中用户跨云访问业务的流程示意图。

具体实施方式

为了使本申请实施例中的技术方案及优点更加清楚明白，以下结合附图对本申请的示例性实施例进行进一步详细的说明，显然，所描述的实施例仅是本申请的一部分实施例，而不是所有实施例的穷举。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。

实施例一

图1示出了本申请实施例一中基于融合媒体云平台的身份认证系统的结构示意图。

如图所示，所述基于融合媒体云平台的身份认证系统，包括：账户体系服务模块、统一认证服务模块和认证代理服务模块，

采用本申请实施例中提供的基于融合媒体云平台的身份认证系统，云平台侧的认证代理服务首先检测用户是否已通过安全认证，由云平台来检测可以在一定程度上降低安全风险，且在确保用户身份安全可信的同时，避免每次均调用统一认证服务验证用户身份是否合法，从而减轻了统一认证服务的压力，避免其成为瓶颈产生认证拥塞的问题；此外，本申请检查用户携带的Token令牌是否完好可用再利用预先存储的用户标识与Token令牌匹配来验证访问请求是否合法，安全等级更高。

在一种实施方式中，所述认证代理服务模块，包括：

Token令牌检查单元，用于检测访问请求是否携带Token令牌、或验证该访问请求携带的Token令牌是否可用，若Token令牌不可用则由统一认证服务模块重新向用户发送身份认证邀请；

用户标识单元，用于匹配访问请求及其携带的Token令牌，若预先存储的用户标识中的识别访问请求的字符串与所述访问请求不匹配或者预先存储的用户标识中匹配Token令牌的字符串与所述访问请求携带的Token令牌中的匹配用户标识的字符串不匹配，则将所述访问请求发送至统一认证服务模块，否则将所述访问请求和预先存储的用户标识中的用户角色权限发送至对应的融合媒体业务应用。

在一种实施方式中，所述融合媒体云平台包括公有云平台和私有云平台，所述身份认证系统置于所述公有云平台，所述Token令牌为所述私有云平台发放；或者，所述身份认证系统置于所述私有云平台，所述Token令牌为所述公有云平台发放。

在一种实施方式中，所述统一认证服务模块，包括：

风险系数单元，用于根据用户接入方式、接入环境因素评估检测用户访问融合媒体云平台的安全风险系数；

多因子认证服务单元，用于将身份认证请求发送至所述用户所选择的认证方式对应的服务端组件根据用户所选择的认证方式以及所述安全风险系数进行身份认证；

Token组件单元，用于在所述身份认证通过后发放Token令牌并在所述Token令牌上签名；

角色权限单元，用于获取所述Token令牌的用户的角色权限发送至所述认证代理服务模块。

在一种实施方式中，所述多因子认证服务单元用于根据所述安全风险系数在预设的一个或多个认证因子集合中确定一种或多种强身份认证因子，根据所确定的强身份认证因子以及用户所选择的认证方式向认证客户端发送用户身份认证邀请，获取用户相应的强身份认证因子信息进行身份认证。

实施例二

基于同一发明构思，本申请实施例提供了一种基于融合媒体云平台的身份认证方法，该方法解决技术问题的原理与一种基于融合媒体云平台的身份认证系统相似，重复之处不再赘述。

图2示出了本申请实施例二中基于融合媒体云平台的身份认证方法实施的流程示意图。

如图所示，所述基于融合媒体云平台的身份认证方法，包括：

步骤201、获取用户对融合媒体云平台的第一云平台上业务应用的访问请求；

步骤202、在所述访问请求没有携带Token令牌或者携带的Token令牌被篡改或超过有效期时，向用户发起身份认证邀请，并根据接收到的用户身份信息进行验证通过后发放Token令牌，查询用户角色权限并产生用户标识；

步骤203、在所述访问请求携带有Token令牌且在有效期内、可用时，查询所述Token令牌对应的用户角色权限和用户标识；

步骤204、若该访问请求中的Token令牌已被验证，则验证Token令牌以及用户标识是否匹配，在Token令牌以及用户标识匹配成功时，将所述访问请求和所述用户角色权限发送至相应的业务应用。

采用本申请实施例中提供的基于融合媒体云平台的身份认证方法，云平台侧的认证代理服务首先检测用户是否已通过安全认证，由云平台来检测可以在一定程度上降低安全风险，且在确保用户身份安全可信的同时，避免每次均调用统一认证服务验证用户身份是否合法，从而减轻了统一认证服务的压力，避免其成为瓶颈产生认证拥塞的问题；此外，本申请检查用户携带的Token令牌是否完好可用再利用预先存储的用户标识与Token令牌匹配来验证访问请求是否合法，安全等级更高。

在一种实施方式中，所述Token令牌为融合媒体云平台的第二云平台发放。

具体实施时，如果第一平台是公有云，第二平台是私有云；反之，如果第一平台是私有云，第二平台是公有云。

在一种实施方式中，所述Token令牌以及用户标识匹配成功，包括：预先存储的用户标识中的识别访问请求的字符串与所述访问请求匹配，且预先存储的用户标识中匹配Token令牌的字符串与所述访问请求携带的Token令牌中的匹配用户标识的字符串匹配。

在一种实施方式中，所述根据接收到的用户身份信息进行验证通过后发放Token令牌，包括：

根据用户接入方式、接入环境因素评估检测用户访问融合媒体云平台的安全风险系数；

将身份认证请求中的用户身份信息发送至所述用户所选择的认证方式对应的服务端组件根据用户所选择的认证方式以及所述安全风险系数进行身份认证；

在所述身份认证通过后发放Token令牌并在所述Token令牌上签名。

在一种实施方式中，所述根据用户所选择的认证方式以及所述安全风险系数进行身份认证，包括：

根据所述安全风险系数在预设的一个或多个认证因子集合中确定一种或多种强身份认证因子；

根据所确定的强身份认证因子以及用户所选择的认证方式发送用户身份认证邀请；

根据获取到的用户的强身份认证因子信息进行身份认证。

实施例三

基于同一发明构思，本申请实施例还提供一种计算机存储介质，下面进行说明。

所述计算机存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现如实施例二所述基于融合媒体云平台的身份认证方法的步骤。

采用本申请实施例中提供的计算机存储介质，云平台侧的认证代理服务首先检测用户是否已通过安全认证，由云平台来检测可以在一定程度上降低安全风险，且在确保用户身份安全可信的同时，避免每次均调用统一认证服务验证用户身份是否合法，从而减轻了统一认证服务的压力，避免其成为瓶颈产生认证拥塞的问题；此外，本申请检查用户携带的Token令牌是否完好可用再利用预先存储的用户标识与Token令牌匹配来验证访问请求是否合法，安全等级更高。

实施例四

基于同一发明构思，本申请实施例还提供一种电子设备，下面进行说明。

图3示出了本申请实施例四中电子设备的结构示意图。

如图所示，所述电子设备包括存储器301、以及一个或多个处理器302，所述存储器用于存储一个或多个程序；所述一个或多个程序被所述一个或多个处理器执行时，实现如实施例二所述的基于融合媒体云平台的身份认证方法。

采用本申请实施例中提供的电子设备，云平台侧的认证代理服务首先检测用户是否已通过安全认证，由云平台来检测可以在一定程度上降低安全风险，且在确保用户身份安全可信的同时，避免每次均调用统一认证服务验证用户身份是否合法，从而减轻了统一认证服务的压力，避免其成为瓶颈产生认证拥塞的问题；此外，本申请检查用户携带的Token令牌是否完好可用再利用预先存储的用户标识与Token令牌匹配来验证访问请求是否合法，安全等级更高。

实施例五

为了便于本申请的实施，本申请实施例以一具体实例进行说明。

图4示出了本申请实施例五中基于融合媒体云平台的身份认证系统的结构示意图。

如图所示，所述融合媒体云平台包括公有云平台和私有云平台，公有云平台和私有云平台均包括账户体系服务模块、统一认证服务模块和认证代理模块。

所述账户体系服务模块包括认证客户端以及角色权限管理模块，所述认证客户端用于注册、登陆用户账号，所述角色权限管理模块用于存储用户角色及其对应的权限。

所述认证客户端包括多因子认证客户端和浏览器，其中，多因子客户端支持当前主流的多种认证协议(包括FIDO协议、SOTP协议、OAuth协议)，包括FIDO客户端组件、SOTP客户端组件、Oauth认证组件、设备生物特征调用模块等多个组件，因此多因子认证客户端支持静态口令、软证书、TF卡、二维码、SIM Key、指纹识别、面部识别、蓝牙手环、IC卡、手机短信等认证方式。用户可以根据设备的计算能力限制或者自己的需求选择运用FIDO认证、SOTP认证、数字证书等不同认证方式。

相对来说存储在私有云平台上的数据安全要求要高于存储于公有云平台上的数据，所以当用户访问私有云平台上的数据或用户处于风险系数较高的环境中时，此时多因子客户端的设备生物特征模块就会调用设备的相关模块以增加相应的生物特征验证，以确保用户的身份安全可信。所述风险系数是评估接入的环境、网络、设备等因素综合分析，如外地IP接入融合媒体就要比用融合媒体云平台内网登录的风险要大。

所述角色权限管理模块分别提供私有云用户和公有云用户的角色权限管理和账号信息存储的服务。其中，所述公有云用户包括两种类型，一为普通互联网用户，即所有可以通过互联网访问公有云上业务应用的用户，但其不能通过公有云直接访问私有云上的业务应用；二为可以从公有云平台通过统一认证服务认证后，直接访问私有云平台上业务应用的用户。前者可以通过用户客户端直接注册，或可以通过Oauth认证技术，使用第三方账号登录公有云平台，免去繁琐的注册过程，后者的注册需要私有云平台管理员、相关的审核人员或者是细粒度的身份认证等来进一步确认相关权限。所述私有云平台用户不论是通过客户端注册还是使用第三方账号登录，都需要融合媒体私有云平台内部管理员或者相关审核人员在私有云平台角色权限管理中审核添加其相关的权限。

所述认证代理服务模块部署在融合媒体云平台服务端，用于检测认证客户端发起的访问请求是否已经被验证过，若该访问请求已经被验证过且Token令牌以及用户标识完好可用、相互之间可以匹配成功，则把访问请求转发至所述访问请求的具体融合媒体业务应用，否则把访问请求转发至统一认证服务。所述认证代理服务模块包括Token令牌检查单元和用户标识单元，认证代理服务模块在检测访问请求时，需要两个功能模块协同工作，保证用户访问请求已被验证过，同时保证用户的访问请求没有被恶意篡改过。

Token令牌检查单元用于检测访问请求是否携带Token令牌或验证该访问请求携带的Token令牌是否可用(过期、篡改等)，其主要检测Token令牌中的统一认证组件签名、唯一代表访问权限的字符串、有效期限、用户名或ID等，若存在统一认证组件签名被篡改、唯一代表访问权限的字符串被修改、超期、用户名ID不匹配的情况，则会把携带该Token令牌的访问请求转至统一认证服务，然后重新向用户发送身份认证邀请；反之，则会把该访问请求和Token令牌转发至用户标识模块。

用户标识单元用于存储统一认证服务发放的用户标识，同时用于匹配用户访问请求和Token令牌，以验证用户发起的访问请求安全可信，且已经被统一认证服务验证过。若出现用户标识中的唯一识别访问请求的字符串与访问请求不匹配或者用户标识中唯一匹配Token令牌的字符串与访问请求携带的Token令牌中的唯一匹配用户标识的字符串不匹配，则把该访问请求转至统一认证服务，重新发起身份认证邀请或重新发放用户标识；反之，则把访问请求和用户标识中的用户角色权限集发送至具体的融合媒体业务应用。

所述统一认证服务模块是验证用户身份并为用户提供发放Token令牌的服务模块，同时负责查询用户的角色权限集合并发放到认证代理服务的用户标识。统一认证服务接收到用户访问请求，并检测所述访问请求是否携带Token令牌：若没有携带Token令牌，首先通过风险系数模块对用户所处环境进行风险分析，然后向用户认证客户端发送与用户所处环境风险强度相对应的用户身份认证邀请，并接收所述用户认证客户端获取的用户身份认证信息，对获取的身份信息进行认证。验证通过后生成Token令牌，与此同时从融合媒体云平台角色权限管理系统获取所述用户的角色权限集，并将Token令牌发送给所述用户认证客户端、所述用户的角色权限集发送至认证代理服务的用户标识模块；如果所述访问请求携带了Token令牌，则通过Token组件模块对该Token令牌进行解密检测验证，若该Token令牌完好可用，且在有效期内，则通过角色权限模块从融合媒体云平台角色权限管理模块获取所述Token令牌用户的角色权限集，并把用户角色权限集发送至认证代理服务的用户标识模块。若该Token令牌被篡改或者是超过有效期，则要通过风险系数模块重新对用户所处环境进行风险分析，然后向用户认证客户端发送与用户所处环境风险强度相对应的用户身份认证邀请，并接收所述用户认证客户端获取的用户身份认证信息，对获取的身份信息进行认证，验证通过后生成Token令牌，与此同时角色权限模块从融合媒体云平台角色权限管理模块获取所述用户的角色权限集，并将Token令牌发送给所述用户认证客户端、所述用户的角色权限集发送至认证代理服务的用户标识模块。

所述统一认证服务模块包括风险系数单元、多因子认证服务单元和Token组件单元、角色权限单元。

风险系数单元提供评估、分析用户访问融合媒体混合云平台的安全风险系数，其是根据用户接入的方式、接入的环境、网络、设备、时间等多种因素进行评估检测，依据风险系数的高低，选择性的增强身份认证的强度，如工作人员用外网、异地设备登录融合媒体私有云平台时，所处环境的风险系数就会高于工作人员用内网、内部设备登录的风险系数。具体的，风险系数评估可以包括：

1)位置因素(Location Factor，LF)：依赖于用户访问融合媒体云平台的具体位置。用户的访问位置指的是用户所处的物理位置，比如：台内办公地点，合作单位办公室，不同国家地区等。

2)网络因素(Network Factor，NF)：取决于用户访问融合媒体云平台时使用的网络连接。用户使用联网设备在不同的地方可以利用多种网络连接访问融合媒体云平台，比如，融合媒体云平台内网、合作单位有线网络、偏远地区4G/5G网络、网吧网络接入等。

3)设备因素(Equipment Factor，EF)：依赖于用户所处环境的硬件设施配置。用户根据个人需要以及个人选择使用不同种类的设备访问融合媒体云平台，根据设备是否安装融合媒体安全软件、是否在云平台登记备案等，划分其风险系数。

4)时间因素(Time Factor，TF)：时间因素是指当用户对融合媒体云平台发起访问请求时所处的时间点或者时间段。本申请实施例中定义时间函数为Time，例如Time(1:00,3:00)标识在1:00到3:00之间(时间运用24小时制)，定义日期函数Date，如Date(05.05，06.06)表示是日期5月5日到6月6日之间。

定义：LF、NF、EF、TF分别代表位置、网络、设备、时间因素的风险系数映射，如下所示：

1)LF：表示位置因素的风险系数映射，

公式为：LF：LF_type→LF_risk，其表示LF_type到集合LF_risk的映射，即

存在唯一的lf_riski∈LF_risk，使得LF(lf_typei)＝lf_riski成立。

其中，LF_type是表示的位置因素的集合(像台内，合作单位办公楼等)，LF_risk表示的是不同位置因素对应的风险系数构成的集合，LF表示的是位置因素和位置因素风险系数之间的一种映射关系。

2)NF：表示网络因素的风险系数映射，

公式为：NF：NF_type→NF_risk，其表示NF_type到集合NF_risk的映射，即

存在唯一的nf_riski∈NF_risk，使得NF(nf_typei)＝nf_riski成立。

其中，NF_type是表示的网络因素的集合，NF_risk表示的是不同网络因素对应的风险系数构成的集合，NF表示的是网络因素和网络因素风险系数之间的一种映射关系。

3)EF：表示设备因素的风险系数映射，

公式为：EF：EF_type→EF_risk，其表示EF_type到集合EF_risk的映射，即

存在唯一的ef_riski∈EF_risk，使得EF(Ef_typei)＝Ef_riski成立。

其中，EF_type是表示的设备因素的集合(像已登记备案的手机、电脑，未登记备案的笔记本等)，EF_risk表示的是不同设备因素对应的风险系数构成的集合，EF表示的是设备因素和设备因素风险系数之间的一种映射关系。

4)TF：表示时间因素的风险系数映射，

公式为：TF：TF_type→TF_risk，其表示TF_type到集合TF_risk的映射，即

存在唯一的tf_riski∈TF_risk，使得TF(tf_typei)＝tf_riski成立。

其中，TF_type是表示的时间因素的集合(像周一到周一工作时间，8:00到5：00等)，TF_risk表示的是不同时间因素对应的风险系数构成的集合，TF表示的是时间因素和时间因素风险系数之间的一种映射关系。

5)强身份认证因子分成高、中、低三种认证级别，用High_identity(H)、Medium_identity(M)、Low_identity(L)来表示三种认证级别的认证因子集合。例如High_identity集合中包括人脸因子、指纹因子等；Medium_identity集合中包括U盾因子、智能卡因子等；Low_identity集合中包括短信验证因子、邮箱验证因子等。

6)本申请实施例中把风险系数划分成5级，如下表所示：

本申请实施例中所述的风险系数评估计算如下：

统一认证服务中通过多因子认证服务单元和风险系数单元收集到用户的位置、设备、时间、网络信息，

风险系数值Risk＝lf_risk+nf_risk+ef_risk+tf_risk

根据Risk的值查询到风险系数的安全等级然后根据风险系数的安全等级要求返回给用户需要提供的强身份认证因子要求。比如Risk＝13，其风险系数安全等级为2，用户需要从L集合中的选择2种及以上认证因子、M集合中选择1种及以上认证因子或者H集合中选择1种及以上认证因子，发送给统一认证服务，统一认证服接收到所述用户认证客户端发送的用户强身份认证因子，然后对获取的强身份因子信息进行认证。

本申请实施例仅是以位置、网络、设备、时间这四种风险因素为例进行了说明，但本领域技术人员可以根据云平台需求添加相应的风险因素，例如用户最近十次访问风险系数等，本申请实施例对此不做限制。

多因子认证服务单元为用户身份验证提供身份认证服务端，目前用户访问融合媒体混合云平台的模式大致可以分成C/S模式和B/S模式，故需要支持当前主流的认证协议，包括SOTP、FIDO、OAuth、CA认证、智能卡认证等。因此，所述多因子认证服务单元需要部署包括FIDO服务组件、SOTP服务组件、证书服务和生物特征验证等在内的多种认证协议。另外，考虑到融合媒体云平台用户使用的设备种类繁多以及设备配置的软硬件差异，其可能导致用户需要根据自己设备软硬件的差异与限制只能选择某一种单一的认证协议，所以在所述多因子认证服务模块中还包括用户认证方式组件，该组件用于检测用户通过何种认证方式进行身份验证。

本申请实施例以FIDO协议的身份认证为例，如果融合媒体云平台用户选择通过客户端的FIDO客户端组件进行身份验证，所述认证方式组件会检测到UAF协议，然后把该身份认证请求转到FIDO服务端组件，进行身份认证。FIDO认证注册流程如图5所示，FIDO身份认证流程如图6所示。

Token组件单元负责在用户经过多因子认证服务单元的身份认证后，发放Token令牌。该组件生成的Token令牌数据结构，包括：唯一代表访问权限的字符串、唯一匹配用户标识的字符串、有效期限、用户名或ID、防干扰码，最后统一认证服务模块(包括公有云、私有云的统一认证服务模块)的Token组件会在Token令牌上签名。基于公有云和私有云的Token组件单元签名，达成公有云平台的统一认证服务模块和私有云平台的统一认证服务模块是互相信任的。所述的公有云和私有云的统一认证服务模块互相信任是指经过公有云统一认证服务模块认证通过的用户，并由Token组件单元为其签名发放Token令牌，此令牌在私有云统一认证服务模块中的Token组件单元一样可以验证通过。

图7示出了本申请实施例五中用户访问融合媒体云平台业务的过程示意图。

如图所示，包括：

步骤1：用户通过客户端发起对融合媒体云平台上业务应用的访问请求；

步骤2：认证代理服务模块会首先接收到用户的访问请求，认证代理服务模块中的Token令牌检查单元会检查该访问请求是否携带Token令牌或者Token令牌是否完好可用(篡改、过期等)，若没有携带Token令牌或者令牌不可用，则把用户的访问请求转发至统一认证服务模块。如果携带的Token令牌完好可用则转至步骤7；

步骤3：统一认证服务模块接收到访问请求后，首先检测该请求是否携带Token令牌或者Token令牌是否完好可用，若没有携带Token令牌或者令牌不可用，则通过风险系数单元分析用户所处环境的风险系数，其主要分析用户使用的设备、网络、环境等因素，然后向用户发起身份认证邀请。如果携带的Token令牌完好可用，则通过角色权限单元在融合媒体云平台角色权限管理模块中查询用户角色权限集，并产生用户标识，然后把用户角色权限集和用户标识一起发送至认证代理服务模块的用户标识单元，转至步骤8；

步骤4：用户在客户端接收到身份认证邀请，发送身份认证信息到统一认证服务模块；

步骤5：统一认证服务模块接收到用户的身份认证信息后，在多因子认证服务单元中选择对应的身份认证服务端，对用户提供的身份信息进行验证，通过后发放Token令牌至用户客户端，同时通过角色权限单元在融合媒体云平台角色权限管理模块中查询用户角色权限集，并产生用户标识，然后把用户角色权限集和用户标识一起发送至认证代理服务模块的用户标识单元；

步骤6：用户在客户端收到Token令牌后，会再次发起访问请求并携带Token令牌；

步骤7：认证代理服务模块接收到用户的访问申请后，认证代理服务模块中的Token令牌检查模块会检查该访问请求是否携带Token令牌或者Token令牌是否完好可用(篡改、过期等)，若携带Token令牌且完好可用(步骤2中的另一种情况)，则把访问请求和Token令牌一起发送至用户标识单元；

步骤8：认证代理服务的用户标识单元接收到访问请求和Token令牌后，查询用户标识列表，找到对应的用户标识，利用用户标识中的唯一识别访问请求的字符串与访问请求匹配、用户标识中唯一匹配Token令牌的字符串与访问请求携带的Token令牌中的唯一匹配用户标识的字符串匹配，如果都匹配成功，则把用户申请和用户标识中的用户角色权限集转至具体的业务应用，反之，则把该访问请求转至统一认证服务模块，也就是转至步骤3；

步骤9：业务应用接收到访问请求后，根据角色权限集返回请求数据至用户客户端。

其中，上述步骤1、4、5涉及的用户登录认证流程如图8所示。

此外，本申请实施例提出的统一身份认证方法支持融合媒体环境下业务跨云交互的应用场景，图9中展示了用户跨云访问业务的流程。

本申请实施例所提出的融合媒体云平台及身份认证方法具有如下优点：

1)本发明提出的统一身份认证方法考虑了公有云和私有云之间的业务交互，公有云中的统一认证服务模块和私有云中的统一认证服务模块根据相互验证彼此签名实现互相信任，由此实现公有云和私有云认证Token的互信，满足融合媒体内容汇聚管理等业务的跨云交互需求。

2)本发明在统一认证服务模块中增加了风险系数单元，该单元根据当前用户所处环境、使用设备、网络等因素来评估用户的风险系数，以此帮助融合媒体云平台和业务应用选择相对应的身份认证强度，能帮助高安全等级的融合媒体业务应用实现更高强度的身份认证。

3)本发明在统一认证服务模块中引入了多因子认证服务单元，通过部署多种主流安全认证协议的服务端，以此支持不同的认证方式，满足多种类型用户、终端接入融合媒体云平台时的灵活安全认证需求。

4)本发明提出认证代理服务模块提前检测用户是否已通过安全认证，在确保用户身份安全可信的同时，避免每次均调用统一认证服务模块验证用户身份是否合法，减轻了统一认证服务模块的压力，避免其成为瓶颈产生认证拥塞的问题。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。本申请实施例中的方案可以采用各种计算机语言实现，例如，面向对象的程序设计语言Java和直译式脚本语言JavaScript等。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本申请的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本申请范围的所有变更和修改。

显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

Claims

1.基于融合媒体云平台的身份认证系统，其特征在于，包括：账户体系服务模块、统一认证服务模块和认证代理服务模块，

所述统一认证服务模块，用于在检测所述访问请求没有携带Token令牌、或者携带的Token令牌被篡改或超过有效期时通过认证客户端获取用户身份信息并在验证通过后生成Token令牌，从所述角色权限管理模块获取该用户的角色权限，将所生成的Token令牌和该用户的角色权限发送至认证代理服务模块；若所述访问请求携带有Token令牌且在有效期内、可用，则通过角色权限管理模块获取所述Token令牌的用户的角色权限发送至所述认证代理服务模块；

所述认证代理服务模块，用于检测认证客户端发起的访问请求是否已被验证，若该访问请求中的Token令牌已被验证，则验证Token令牌以及用户标识是否匹配，在匹配成功时将该访问请求发送至所述访问请求对应的融合媒体业务应用，否则将该访问请求发送至所述统一认证服务模块；

所述统一认证服务模块，包括：

角色权限单元，用于获取所述Token令牌的用户的角色权限发送至所述认证代理服务模块；

所述多因子认证服务单元用于根据所述安全风险系数在预设的一个或多个认证因子集合中确定一种或多种强身份认证因子，根据所确定的强身份认证因子以及用户所选择的认证方式向认证客户端发送用户身份认证邀请，获取用户相应的强身份认证因子信息进行身份认证；

所述安全风险系数包括不同位置因素对应的风险系数、不同网络因素对应的风险系数、不同设备因素对应的风险系数、不同时间因素对应的风险系数；

所述风险系数单元，还用于根据所述不同位置因素对应的风险系数构成的集合、所述不同网络因素对应的风险系数构成的集合、所述不同设备因素对应的风险系数构成的集合、所述不同时间因素对应的风险系数构成的集合计算得到风险系数值；

所述多因子认证服务单元具体用于根据所述风险系数值确定风险系数安全等级，并根据所述风险系数安全等级调用对应数量的强身份认证因子以及用户所选择的认证方式向认证客户端发送用户身份认证邀请，获取用户相应的强身份认证因子信息进行身份认证。

2.根据权利要求1所述的系统，其特征在于，所述认证代理服务模块，包括：

3.根据权利要求1所述的系统，其特征在于，所述融合媒体云平台包括公有云平台和私有云平台，所述身份认证系统置于所述公有云平台，所述Token令牌为所述私有云平台发放；或者，所述身份认证系统置于所述私有云平台，所述Token令牌为所述公有云平台发放。

4.基于融合媒体云平台的身份认证方法，其特征在于，包括：

若该访问请求中的Token令牌已被验证，则验证Token令牌以及用户标识是否匹配，在Token令牌以及用户标识匹配成功时，将所述访问请求和所述用户角色权限发送至相应的业务应用；

所述根据接收到的用户身份信息进行验证通过后发放Token令牌，包括：

在所述身份认证通过后发放Token令牌并在所述Token令牌上签名；所述根据用户所选择的认证方式以及所述安全风险系数进行身份认证，包括：

根据获取到的用户的强身份认证因子信息进行身份认证；

所述根据所确定的强身份认证因子以及用户所选择的认证方式发送用户身份认证邀请，包括：

根据所述不同位置因素对应的风险系数构成的集合、所述不同网络因素对应的风险系数构成的集合、所述不同设备因素对应的风险系数构成的集合、所述不同时间因素对应的风险系数构成的集合计算得到风险系数值；

根据所述风险系数值确定风险系数安全等级，并根据所述风险系数安全等级调用对应数量的强身份认证因子以及用户所选择的认证方式向认证客户端发送用户身份认证邀请，获取用户相应的强身份认证因子信息进行身份认证。

5.根据权利要求4所述的方法，其特征在于，所述Token令牌为融合媒体云平台的第二云平台发放。

6.根据权利要求4所述的方法，其特征在于，所述Token令牌以及用户标识匹配成功，包括：预先存储的用户标识中的识别访问请求的字符串与所述访问请求匹配，且预先存储的用户标识中匹配Token令牌的字符串与所述访问请求携带的Token令牌中的匹配用户标识的字符串匹配。

7.一种计算机存储介质，其特征在于，其上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求4至6任一所述方法的步骤。

8.一种电子设备，其特征在于，包括存储器、以及一个或多个处理器，所述存储器用于存储一个或多个程序；所述一个或多个程序被所述一个或多个处理器执行时，实现如权利要求4至6任一所述的方法。