CN112035810A - 一种访问控制方法、装置、介质和设备 - Google Patents

Abstract

本发明涉及一种访问控制方法、装置、介质和设备。根据本发明实施例提供的方案，在业务访问子系统和待访问子系统之间，增加专门的访问控制子系统来为二者之间的访问动态生成认证信息。业务访问子系统向待访问子系统发送的访问请求中携带系统标识以及最新的认证信息，待访问子系统根据访问请求中携带的系统标识以及认证信息，对业务访问子系统进行系统标识以及认证信息的双重认证从而有效提高待访问子系统的安全性，减少非法访问的发生。且利用新增的访问控制子系统来动态生成认证信息，还可以避免增加业务访问子系统和待访问子系统的系统负担，保证业务访问的顺利进行。

Description

一种访问控制方法、装置、介质和设备

技术领域

本发明涉及网络安全领域，特别涉及一种访问控制方法、装置、介质和设备。

背景技术

本部分旨在为权利要求书中陈述的本发明的实施方式提供背景或上下文。此处的描述不因为包括在本部分中就承认是现有技术。

在各种计算机操作系统平台下，业务访问子系统可以对提供服务(如文件或数据存储服务)的待访问子系统(如各种数据库)进行业务访问，获取所需服务。

为了确保待访问子系统的安全性，待访问子系统可以为业务访问子系统生成认证信息(如账户名和密码)，业务访问子系统根据待访问子系统生成的认证信息，对待访问子系统进行访问。

由于现有方案中，待访问子系统为业务访问子系统生成认证信息之后，业务访问子系统会使用该认证信息，对待访问子系统进行访问。如果在使用过程中，认证信息不慎泄露，待访问子系统的安全性难以得到保证。

发明内容

本发明实施例提供一种访问控制方法、装置、介质和设备，用于解决待访问子系统安全性较差的问题。

第一方面，本发明提供了一种访问控制方法，所述方法包括：

访问控制子系统生成所述业务访问子系统对应的认证信息；每次生成认证信息后，将该认证信息发送给业务访问子系统，并将该认证信息以及所述业务访问子系统的系统标识发送给待访问子系统；

所述业务访问子系统将保存的认证信息更新为最近一次接收到的认证信息；并向所述待访问子系统发送访问请求，所述访问请求中携带系统标识以及保存的认证信息；

所述待访问子系统利用接收到的认证信息，更新保存的与系统标识对应的认证信息；且，若接收到所述访问请求，利用所述访问请求中携带的系统标识以及认证信息，对业务访问子系统进行认证。

第二方面，本发明还提供了一种访问控制装置，所述装置包括系统标识管理模块、认证信息动态变更模块、访问模块、信息获取模块、认证管理模块和访问控制模块，其中：

所述系统标识管理模块，用于针对一个业务访问子系统，生成该业务访问子系统对应的认证信息，将该认证信息发送给所述访问模块，并将该认证信息以及所述业务访问子系统的系统标识发送给所述访问控制模块；

所述认证信息动态变更模块，用于针对所述业务访问子系统，生成所述业务访问子系统对应的认证信息，每次生成认证信息后，将该认证信息发送给所述访问模块，并将该认证信息以及所述业务访问子系统的系统标识发送给所述访问控制模块；

所述访问模块，用于向所述认证管理模块发送访问请求，所述访问请求中携带所述信息获取模块中保存的认证信息以及业务访问子系统对应的系统标识；

所述信息获取模块，用于将保存的认证信息更新为所述访问模块最近一次接收到的认证信息；

所述认证管理模块，用于接收所述访问模块发送的访问请求，所述访问请求中携带认证信息以及业务访问子系统对应的系统标识；并利用所述访问请求中携带的系统标识，对业务访问子系统进行认证；

所述访问控制模块，用于利用所述访问请求中携带的认证信息，对业务访问子系统进行认证；

其中，所述访问控制模块接收到所述系统标识管理模块或者所述认证信息动态变更模块发送的认证信息和系统标识时，利用接收到的认证信息，更新保存的与系统标识对应的认证信息。

第三方面，本发明还提供了一种非易失性计算机存储介质，所述计算机存储介质存储有可执行程序，该可执行程序被处理器执行实现如上所述的方法。

第四方面，本发明还提供了一种访问控制设备，包括处理器、通信接口、存储器和通信总线，其中，所述处理器，所述通信接口，所述存储器通过所述通信总线完成相互间的通信；

所述存储器，用于存放计算机程序；

所述处理器，用于执行所述存储器上所存储的程序时，实现如上所述的方法步骤。

根据本发明实施例提供的方案，在业务访问子系统和待访问子系统之间，增加专门的访问控制子系统来为二者之间的访问生成认证信息。业务访问子系统向待访问子系统发送的访问请求中可以携带系统标识以及认证信息，待访问子系统可以根据访问请求中携带的系统标识以及认证信息，对业务访问子系统进行系统标识以及认证信息的双重认证从而有效提高待访问子系统的安全性，减少非法访问的发生。且利用新增的访问控制子系统来动态生成认证信息，还可以避免增加业务访问子系统和待访问子系统的系统负担，保证业务访问的顺利进行。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的访问控制系统的结构示意图；

图2为本发明实施例提供的访问控制方法的流程示意图；

图3为本发明实施例提供的访问控制方法的流程示意图；

图4为本发明实施例提供的访问控制方法的流程示意图；

图5为本发明实施例提供的访问控制装置的结构示意图；

图6为本发明实施例提供的访问控制装置的结构示意图；

图7为本发明实施例提供的访问控制装置的结构示意图；

图8为本发明实施例提供的访问控制设备的结构示意图；

图9为本发明实施例提供的访问控制方法的流程示意图；

图10为本发明实施例提供的访问控制方法的流程示意图；

图11为本发明实施例提供的访问控制方法的流程示意图；

图12为本发明实施例提供的访问控制方法的流程示意图；

图13为本发明实施例提供的访问控制装置的结构示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述，显然，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

需要说明的是，在本文中提及的“多个或者若干个”是指两个或两个以上。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。

本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。

此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

在现有方案中，一个待访问子系统(可以记为S1)可以向至少一个获得授权的业务访问子系统提供某种服务(如文件或数据存储服务)。待访问子系统可以为业务访问子系统分配认证信息(例如账户名和密码)，并可以通过管理员对分配的认证信息进行维护工作，例如，进行增删查改等。

一个业务访问子系统(可以记为S2)可以理解为待访问子系统的一个用户，业务访问子系统使用待访问子系统分配的认证信息登录到待访问子系统，并享受待访问子系统提供的服务。

在现有方案中，一套服务解决方案可以由S1和S2构成。在现有方案中，一个S1为一个S2分配认证信息之后，该S2就会使用该认证信息登录该S1，并享受该S1提供的服务。

认证信息在使用过程中一旦泄露，该认证信息可以被非法用户用于非法访问S1(例如，被未被分配认证信息的其它S2共享，实现对S1的非法访问)，S1的安全性难以得到保证。

至少为了解决上述问题，本发明方案提出，可以在既有的由S1和S2构成的服务解决方案基础上，构建一个访问控制子系统(可以记为S3),由S1、S2和S3构成服务解决方案。由S3为S2生成认证信息，使得S2可以基于S3生成的认证信息以及系统标识，对S1进行访问，提高S1的安全性。

本发明实施例还进一步提出，在结合表征S2网络身份的系统标识对S2进行认证的同时，还可以进一步通过不断更新的认证信息对S2进行认证，以进一步提高S1的安全性，减少非法用户对S1的非法访问。

需要说明的是，本发明提出的方案中，一个S3可以针对一个S2进行访问控制。

此时，S1、S2和S3的位置可以根据实际的业务场景进行部署。S1、S2和S3至少可以按照以下方式中的一种进行部署：

方式1、S1、S2和S3可以分别部署在不同的硬件服务器上，通过网络进行互联；

方式2、S1和S3可以部署在同一个硬件服务器上，而S2可以部署在另一个硬件服务器上，通过网络进行互联；

方式3、S2和S3可以部署在同一个硬件服务器上，而S1可以部署在另一个硬件服务器上，通过网络进行互联。

需要说明的是，方式1的部署策略因为S1、S2和S3彼此独立，具有更高的安全性和可靠性。

而进一步的，一个S3也可以针对至少两个S2进行访问控制，即，还可以由一个S3实现对多个S2的集中访问控制，以提高控制效率。

此时，S1、S2和S3可以参照上述方式进行部署，其中，可以将至少两个S2按照任意方式进行分组，并按照分组，将至少两个S2部署在至少一个硬件服务器上。

基于上述说明，本发明实施例提供一种区块链数据处理系统，该系统的结构可以如图1所示，包括业务访问子系统11、访问控制子系统12以及待访问子系统13，其中：

所述访问控制子系统12用于生成所述业务访问子系统对应的认证信息；每次生成认证信息后，将该认证信息发送给所述业务访问子系统，并将该认证信息以及所述业务访问子系统的系统标识发送给所述待访问子系统；

所述业务访问子系统11用于将保存的认证信息更新为最近一次接收到的认证信息；以及，向所述待访问子系统发送访问请求，所述访问请求中携带系统标识以及保存的认证信息；

所述待访问子系统13用于利用接收到的认证信息，更新保存的与系统标识对应的认证信息；以及，若接收到所述访问请求，利用所述访问请求中携带的系统标识以及认证信息，对业务访问子系统进行认证。

一个业务访问子系统对应的系统标识可以为任意的可以表征该业务访问子系统身份的信息。在一种可能的实现方式中，一个业务访问子系统对应的系统标识可以为该业务访问子系统所在服务器的网卡地址、IP地址、CPU ID、磁盘ID、该业务访问子系统的后台进程名称、该业务访问子系统与待访问子系统通信的协议类型及源、目的端口号中的至少一个。

需要说明的是，本实施例中，一个访问控制子系统可以针对至少一个待访问子系统进行访问控制。也就是说，本实施例提供的方案中涉及的待访问子系统13，可以理解为访问控制子系统12进行访问控制的至少一个待访问子系统中的一个。

另外需要说明的是，本实施例中，待访问子系统保存认证信息时，可以通过系统标识对认证信息进行标记。这样，在一个业务访问子系统对应的认证信息更新时，可以对待访问子系统中保存的该业务访问子系统对应的认证信息进行更新。

而由于生成的认证信息的唯一性，因此，待访问子系统在接收到访问请求时，可以确定访问请求中携带的认证信息，是否是保存的认证信息中的一个，由此对认证信息进行认证。

在一种可能的实现方式中，所述待访问子系统13利用所述访问请求中携带的系统标识以及认证信息，对业务访问子系统进行认证，包括：

将所述访问请求中携带的系统标识，与保存的系统标识进行对比，对系统标识进行认证；在对系统标识认证通过后，将所述访问请求中携带的认证信息，与保存的认证信息进行对比，对认证信息进行认证。

也就是说，在本实施例中，可以通过系统标识和认证信息的双重认证，保证待访问子系统的安全性，减少非法访问的发生。

而考虑到系统标识认证不通过，则可以无需对认证信息进行认证，在一种可能的实现方式中，可以先进行系统标识的认证，在对系统标识认证通过后，再对认证信息进行认证，以节约认证过程，减少系统资源的浪费。

此时，在一种可能的实现方式中，将所述访问请求中携带的认证信息，与保存的认证信息进行对比，对认证信息进行认证，可以理解为，将所述访问请求中携带的认证信息，与保存的所述访问请求中携带的系统标识对应的认证信息进行对比，对认证信息进行认证，以加快认证速度。

在一种可能的实现方式中，所述访问控制子系统12生成所述业务访问子系统对应的认证信息，包括：根据保存的所述业务访问子系统对应的系统标识以及当前系统时间，生成所述业务访问子系统对应的认证信息。

进一步的，在一种可能的实现方式中，根据保存的所述业务访问子系统对应的系统标识以及当前系统时间，生成所述业务访问子系统对应的认证信息，可以包括：

将所述业务访问子系统对应的系统标识以及当前系统时间组装成字符串，根据组装成的字符串，利用SHA256算法，随机生成认证信息。

在一种可能的实现方式中，所述业务访问子系统11还用于向所述访问控制子系统发送注册请求，所述注册请求中携带系统标识；

所述访问控制子系统12用于生成所述业务访问子系统对应的认证信息，包括：

根据所述注册请求，每隔设定时长，根据保存的所述业务访问子系统对应的系统标识以及当前系统时间，生成所述业务访问子系统对应的认证信息；以及，

在确定所述业务访问子系统的系统标识发生变更时，根据保存的变更后的所述业务访问子系统对应的系统标识以及当前系统时间，生成所述业务访问子系统对应的认证信息。

也就是说，访问控制子系统12可以根据注册请求定时为业务访问子系统更新认证信息，也可以业务访问子系统的系统标识发生变更时，根据变更后的系统标识，为业务访问子系统重新生成认证信息。

进一步的，根据所述注册请求，每隔设定时长，根据保存的所述业务访问子系统对应的系统标识以及当前系统时间，生成所述业务访问子系统对应的认证信息，可以包括：

根据所述注册请求，若确定尚未保存所述注册请求中携带的系统标识，则保存所述注册请求中携带的系统标识，根据该系统标识以及当前系统时间生成所述业务访问子系统对应的认证信息，并每隔设定时长，重新根据保存的该系统标识以及当前系统时间生成认证信息。

也就是说，在本实施例中，访问控制子系统可以由业务访问子系统发送的注册请求触发，为业务访问子系统动态生成认证信息。

当然，根据所述注册请求，若确定已经保存有所述注册请求中携带的系统标识，可以认为该业务访问子系统已经注册，可以直接向该业务访问子系统返回已注册提醒。

在一种可能的实现方式中，所述业务访问子系统11还用于监测是否发生系统标识变更事件，若监测到发生了系统标识变更事件，向所述访问控制子系统发送重新注册请求，所述重新注册请求中携带变更后的系统标识；

此时，所述访问控制子系统12在确定所述业务访问子系统的系统标识发生变更时，根据保存的变更后的所述业务访问子系统对应的系统标识以及当前系统时间，生成所述业务访问子系统对应的认证信息，可以包括：

根据所述重新注册请求，利用所述重新注册请求中携带的系统标识，更新保存的系统标识，根据该系统标识以及当前系统时间生成所述业务访问子系统对应的认证信息，并每隔设定时长，重新根据保存的该系统标识以及当前系统时间生成认证信息。

也就是说，在本实施例中，业务访问子系统可以实时监测自身对应的系统标识是否发生变化，一旦监测到发生变化，即进行重新注册，访问控制子系统根据新的系统标识，来为该业务访问子系统生成认证信息。

在一种可能的实现方式中，所述业务访问子系统11还用于若监测到发生了系统标识变更事件，向所述访问控制子系统发送重新注册请求之前，向所述访问控制子系统发送身份注销请求，所述身份注销请求中携带变更前的系统标识；

所述访问控制子系统12还用于根据所述身份注销请求，删除保存的所述身份注销请求中携带的系统标识，并向所述待访问子系统发送认证注销请求，所述认证注销请求中携带所述身份注销请求中携带的系统标识；

所述待访问子系统13还用于根据所述认证注销请求，删除保存的所述认证注销请求中携带的系统标识对应的认证信息。

也就是说，在本实施例中，业务访问子系统在监测到自身对应的系统标识发生变化时，可以先对原来的系统标识进行注销，访问控制子系统可以删除原来保存的系统标识，不再基于该系统标识定时生成认证信息，待访问子系统可以删除保存的认证信息，不再利用该认证信息对该业务访问子系统进行认证。

此时，所述访问控制子系统12根据所述重新注册请求，利用所述重新注册请求中携带的系统标识，更新保存的系统标识，可以理解为包括：若确定尚未保存所述重新注册请求中携带的系统标识，则保存所述重新注册请求中携带的系统标识。

进一步的，从访问控制子系统侧，本发明实施例提供一种访问控制方法，该方法的步骤流程可以如图2所示，包括：

步骤101、生成认证信息。

在本步骤中，可以针对一个业务访问子系统，生成该业务访问子系统对应的认证信息。

在一种可能的实现方式中，针对一个业务访问子系统，生成该业务访问子系统对应的认证信息，可以包括：

接收一个业务访问子系统发送的注册请求，注册请求中携带该业务访问子系统对应的系统标识；

根据接收到的注册请求，每隔设定时长，根据保存的该业务访问子系统对应的系统标识以及当前系统时间，生成该业务访问子系统对应的认证信息；以及，

在确定该业务访问子系统的系统标识发生变更时，根据保存的变更后的该业务访问子系统对应的系统标识以及当前系统时间，生成该业务访问子系统对应的认证信息。

在一种可能的实现方式中，根据接收到的注册请求，每隔设定时长，根据保存的该业务访问子系统对应的系统标识以及当前系统时间，生成该业务访问子系统对应的认证信息，可以包括：

根据接收到的注册请求，若确定尚未保存注册请求中携带的系统标识，则保存注册请求中携带的系统标识，根据该系统标识以及当前系统时间生成所述业务访问子系统对应的认证信息，并每隔设定时长，重新根据保存的该系统标识以及当前系统时间生成认证信息。

在另一种可能的实现方式中，在确定该业务访问子系统的系统标识发生变更时，根据保存的变更后的该业务访问子系统对应的系统标识以及当前系统时间，生成该业务访问子系统对应的认证信息可以包括：

接收一个业务访问子系统发送的重新注册请求，重新注册请求中携带该业务访问子系统对应的变更后的系统标识；根据接收到的重新注册请求，利用重新注册请求中携带的系统标识，更新保存的系统标识，根据该系统标识以及当前系统时间生成所述业务访问子系统对应的认证信息，并每隔设定时长，重新根据保存的该系统标识以及当前系统时间生成认证信息。

进一步的，在一种可能的实现方式中，接收一个业务访问子系统发送的重新注册请求之前，还可以接收该业务访问子系统发送的身份注销请求，身份注销请求中携带该业务访问子系统对应的变更前的系统标识；

并可以根据身份注销请求，删除保存的身份注销请求中携带的系统标识，并可以向待访问子系统发送认证注销请求，认证注销请求中携带身份注销请求中携带的系统标识，即该业务访问子系统对应的变更前的系统标识。

每次生成认证信息后，可以执行步骤102。

步骤102、发送认证信息。

在本步骤中，可以将每次生成的认证信息发送给对应的业务访问子系统，使得该业务访问子系统可以基于接收到的认证信息访问待访问子系统。

其中，该业务访问子系统可以将保存的认证信息更新为最近一次接收到的认证信息。且在向待访问子系统发送访问请求时，访问请求中可以携带系统标识以及保存的认证信息(即最近一次接收到的认证信息)。

在本步骤中，还可以将每次生成的认证信息以及对应的业务访问子系统的系统标识发送给待访问子系统，使得待访问子系统可以基于接收到的系统标识和认证信息对业务访问子系统进行认证。

其中，待访问子系统可以利用接收到的认证信息，更新保存的与系统标识对应的认证信息；并可以在接收到访问请求时，利用访问请求中携带的系统标识以及认证信息，对业务访问子系统进行认证。

从业务访问子系统侧，本发明实施例进一步提供一种访问控制方法，该方法的步骤流程可以如图3所示，包括：

步骤201、保存认证信息。

在本步骤中，可以接收访问控制子系统生成并发送的认证信息，并将保存的认证信息更新为最近一次接收到的认证信息。

步骤202、发送访问请求。

若需要对待访问子系统进行访问，在本步骤中，可以向待访问子系统发送访问请求，访问请求中携带认证信息、以及业务访问子系统所对应的系统标识，使得待访问子系统可以根据系统标识和认证信息，对业务访问子系统进行认证。

在一种可能的实现方式中，在步骤201之前，还可以向访问控制子系统发送注册请求，所述注册请求中携带业务访问子系统对应的系统标识，使得访问控制子系统可以根据接收到的注册请求，基于注册请求中携带的系统标识，定时为该业务访问子系统生成认证信息。

此外，在本实施例中，还可以监测业务访问子系统是否发生系统标识变更事件。若监测到发生了系统标识变更事件，可以向访问控制子系统发送重新注册请求，重新注册请求中可以携带变更后的系统标识，使得访问控制子系统可以根据接收到的重新注册请求，基于重新注册请求中携带的变更后的网络身份信息，定时为该业务访问子系统生成认证信息。

进一步的，在一种可能的实现方式中，若监测到发生了系统标识变更事件，向访问控制子系统发送重新注册请求之前，还可以向访问控制子系统发送身份注销请求，身份注销请求中携带业务访问子系统对应的变更前的系统标识，使得访问控制子系统可以根据身份注销请求，删除保存的身份注销请求中携带的系统标识，不再定时基于该系统标识生成认证信息。且可以由访问控制子系统进一步向待访问子系统发送认证注销请求，使得待访问子系统可以删除保存的认证注销请求中携带的系统标识(身份注销请求中携带的系统标识)对应的认证信息，不再基于该认证信息对业务访问子系统进行认证。

从待访问子系统侧，本发明实施例进一步提供一种访问控制方法，该方法的步骤流程可以如图4所示，包括：

步骤301、接收访问请求。

在本步骤中，可以接收业务访问子系统发送的访问请求，访问请求中携带业务访问子系统对应的认证信息以及业务访问子系统对应的系统标识。

步骤302、进行认证。

在本步骤中，可以利用访问请求中携带的系统标识以及认证信息，对业务访问子系统进行认证。

其中，认证信息通过以下方式保存：

接收到访问控制子系统发送的认证信息和系统标识时，利用接收到的认证信息，更新保存的与系统标识对应的认证信息。

进一步的，在本步骤中，可以将访问请求中携带的系统标识，与保存的系统标识进行对比，对系统标识进行认证。在对系统标识认证通过后，将访问请求中携带的认证信息，与保存的认证信息进行对比，对认证信息进行认证。从而在对认证信息进行认证的同时，对系统标识也进行认证，通过双重认证的方式，减少非法访问的发生。

且在本实施例中，认证信息可以是业务访问子系统注册后，定时更新的，也可以是业务访问子系统的系统标识发生变化时，即时更新的，从而还可以通过动态变化的认证信息，对业务访问子系统进行认证，进一步提高系统的安全性。

与提供的方法对应的，进一步提供以下的装置。

本发明实施例提供一种访问控制装置，该装置可以集成在访问控制子系统中，该装置的结构可以如图5所示，包括：

系统标识管理模块21用于针对一个业务访问子系统，生成该业务访问子系统对应的认证信息，将该认证信息发送给所述业务访问子系统，并将该认证信息以及所述业务访问子系统的系统标识发送给待访问子系统；

认证信息动态变更模块22用于每隔设定时长，针对所述业务访问子系统，生成所述业务访问子系统对应的认证信息，每次生成认证信息后，将该认证信息发送给所述业务访问子系统，并将该认证信息以及所述业务访问子系统的系统标识发送给待访问子系统。

在一种可能的实现方式中，所述系统标识管理模块21针对一个业务访问子系统，生成该业务访问子系统对应的认证信息，包括：

根据保存的一个业务访问子系统对应的系统标识以及当前系统时间，生成该业务访问子系统对应的认证信息；

所述认证信息动态变更模块22每隔设定时长，针对所述业务访问子系统，生成所述业务访问子系统对应的认证信息，包括：

每隔设定时长，从所述系统标识管理模块获取保存的所述业务访问子系统对应的系统标识，根据该系统标识以及当前系统时间，生成所述业务访问子系统对应的认证信息。

在一种可能的实现方式中，所述系统标识管理模块21针对一个业务访问子系统，生成该业务访问子系统对应的认证信息，可以包括：

接收一个业务访问子系统发送的注册请求，所述注册请求中携带该业务访问子系统对应的系统标识；

根据所述注册请求，根据保存的该业务访问子系统对应的系统标识以及当前系统时间，生成该业务访问子系统对应的认证信息；以及，在确定该业务访问子系统的系统标识发生变更时，根据保存的变更后的该业务访问子系统对应的系统标识以及当前系统时间，生成该业务访问子系统对应的认证信息。

在一种可能的实现方式中，所述系统标识管理模块21根据所述注册请求，根据保存的该业务访问子系统对应的系统标识以及当前系统时间，生成该业务访问子系统对应的认证信息，可以包括：

根据所述注册请求，若确定尚未保存注册请求中携带的系统标识，则保存注册请求中携带的系统标识，根据该系统标识以及当前系统时间生成所述业务访问子系统对应的认证信息。

在一种可能的实现方式中，所述系统标识管理模块21在确定该业务访问子系统的系统标识发生变更时，根据保存的变更后的该业务访问子系统对应的系统标识以及当前系统时间，生成该业务访问子系统对应的认证信息，可以包括：

根据接收到的一个业务访问子系统发送的重新注册请求，利用所述重新注册请求中携带的系统标识，更新保存的系统标识，根据该系统标识以及当前系统时间生成所述业务访问子系统对应的认证信息。

在一种可能的实现方式中，所述系统标识管理模块21还用于接收一个业务访问子系统发送的重新注册请求之前，接收所述业务访问子系统发送的身份注销请求，所述身份注销请求中携带所述业务访问子系统对应的变更前的系统标识；根据所述身份注销请求，删除保存的所述身份注销请求中携带的系统标识，并向所述待访问子系统发送认证注销请求，所述认证注销请求中携带所述身份注销请求中携带的系统标识。

本发明实施例提供一种访问控制装置，该装置可以集成在业务访问子系统中，该装置的结构可以如图6所示，包括：

访问模块31用于向待访问子系统发送访问请求，所述访问请求中携带认证信息以及业务访问子系统对应的系统标识；

信息获取模块32用于将所述访问模块保存的认证信息更新为最近一次接收到的认证信息，其中，所述信息获取模块每次接收到的认证信息是访问控制子系统生成并发送的。

在一种可能的实现方式中，所述信息获取模块32还用于向所述访问控制子系统发送注册请求，所述注册请求中携带所述业务访问子系统对应的系统标识。

在一种可能的实现方式中，所述信息获取模块32还用于监测所述业务访问子系统是否发生系统标识变更事件；若监测到发生了系统标识变更事件，向所述访问控制子系统发送重新注册请求，所述重新注册请求中携带变更后的系统标识。

进一步的，在一种可能的实现方式中，所述信息获取模块32还用于若监测到发生了系统标识变更事件，向所述访问控制子系统发送重新注册请求之前，向所述访问控制子系统发送身份注销请求，所述身份注销请求中携带所述业务访问子系统对应的变更前的系统标识。

本发明实施例提供一种访问控制装置，该装置可以集成在待访问子系统中，该装置的结构可以如图7所示，包括：

认证管理模块41用于接收业务访问子系统发送的访问请求，所述访问请求中携带所述业务访问子系统对应的认证信息以及所述业务访问子系统对应的系统标识；并利用所述访问请求中携带的系统标识对业务访问子系统进行认证；

访问控制模块42用于利用所述访问请求中携带的认证信息，对业务访问子系统进行认证；

其中，所述访问控制模块接收到访问控制子系统发送的认证信息和系统标识时，利用接收到的认证信息，更新保存的与系统标识对应的认证信息。

在一种可能的实现方式中，所述认证管理模块41利用所述访问请求中携带的系统标识对业务访问子系统进行认证，包括：将所述访问请求中携带的系统标识，与保存的系统标识进行对比，对系统标识进行认证；

访问控制模块42利用所述访问请求中携带的认证信息，对业务访问子系统进行认证，包括：在所述认证管理模块41对系统标识认证通过后，将所述访问请求中携带的认证信息，与保存的认证信息进行对比，对认证信息进行认证。

本发明上述实施例提供的各装置的各功能单元的功能，可以通过上述对应的各方法的步骤来实现，因此，本发明实施例提供的各装置中的各个单元的具体工作过程和有益效果，在此不复赘述。

基于同一发明构思，本发明实施例提供以下的设备和介质。

本发明实施例提供一种访问控制设备，该设备的结构可以如图8所示，包括处理器51、通信接口52、存储器53和通信总线54，其中，所述处理器51，所述通信接口52，所述存储器53通过所述通信总线54完成相互间的通信；

所述存储器53，用于存放计算机程序；

所述处理器51，用于执行所述存储器上所存储的程序时，实现本发明上述方法实施例所述的步骤。

可选的，所述处理器51具体可以包括中央处理器(CPU)、特定应用集成电路(ASIC，Application Specific Integrated Circuit)，可以是一个或多个用于控制程序执行的集成电路，可以是使用现场可编程门阵列(FPGA，Field Programmable Gate Array)开发的硬件电路，可以是基带处理器。

可选的，所述处理器51可以包括至少一个处理核心。

可选的，所述存储器53可以包括只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)和磁盘存储器。存储器53用于存储至少一个处理器51运行时所需的数据。存储器53的数量可以为一个或多个。

本发明实施例还提供一种非易失性计算机存储介质，所述计算机存储介质存储有可执行程序，当可执行程序被处理器执行时，实现本发明上述方法实施例提供的方法。

在具体的实施过程中，计算机存储介质可以包括：通用串行总线闪存盘(USB，Universal Serial Bus Flash Drive)、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的存储介质。

进一步的，结合上述装置中的各模块，对本发明实施例提供的访问控制方法进行进一步说明。

本发明实施例进一步提供一种访问控制方法，该方法的步骤流程可以如图9所示，包括：

步骤401、业务访问子系统启动。

步骤402、业务访问子系统获取系统标识。

在本步骤中，业务访问子系统中的信息获取模块(可以记为P3)可以获取该业务访问子系统的系统标识。P3可以通过对业务访问子系统的监测，获得业务访问子系统的系统标识。

可以理解为，P3是针对新增了访问控制子系统的服务解决方案，在业务访问子系统中新增的功能模块。

步骤403、业务访问子系统发送注册请求。

在本步骤中，P3可以向访问控制子系统中的系统标识管理模块(可以记为P2)发送注册请求，该注册请求中可以携带业务访问子系统的系统标识，以便P2确定注册请求对应的业务访问子系统。

步骤404、访问控制子系统保存系统标识。

在本步骤中，P2若确定尚未保存注册请求中携带的系统标识，则可以保存注册请求中携带的系统标识。在一种可能的实现方式中，可以将注册请求中携带的系统标识，添加到注册管理表中，以便后续通过该注册管理表对注册的业务访问子系统进行管理。

当然，P2若确定已经保存注册请求中携带的系统标识，则可以向P3反馈已注册消息，并结束本流程。

步骤405、访问控制子系统转发注册请求。

在本步骤中，P2可以进一步将接收到的注册请求转发给待访问子系统中的认证管理模块(可以记为P4)，实现业务访问子系统在待访问子系统中的注册。

可以理解为，P4是针对新增了访问控制子系统的服务解决方案，在待访问子系统中新增的功能模块。

步骤406、待访问子系统保存系统标识。

在本步骤中，P4可以保存注册请求中携带的系统标识。

步骤407、待访问子系统反馈信息。

在本步骤中，P4保存注册请求中携带的系统标识之后，可以向P2反馈注册成功消息，以便P2根据注册成功消息进行下一步操作。

步骤408、访问控制子系统生成认证信息。

在本步骤中，P2可以根据接收到的注册请求中携带的系统标识，以及当前系统时间，生成业务访问子系统对应的认证信息。

步骤409、访问控制子系统发送认证信息。

在本步骤中，P2可以将生成的认证信息以及业务访问子系统的系统标识发送给待访问子系统中的访问控制模块(可以记为P5)，以便P5根据该认证信息，实现对业务访问子系统的认证。

步骤410、待访问子系统保存认证信息。

在本步骤中，P5可以利用接收到的认证信息，更新与该认证信息同时接收到的系统标识对应的认证信息。

步骤411、待访问子系统反馈信息。

在本步骤中，P5可以在利用接收到的认证信息，更新与该认证信息同时接收到的系统标识对应的认证信息之后，向P2反馈更新成功消息，以便P2根据更新成功消息进行下一步操作。

步骤412、访问控制子系统发送认证信息。

在本步骤中，P2还可以进一步将生成的认证信息发送给P3，以便P3根据该认证信息，对待访问子系统进行访问。

步骤413、业务访问子系统保存认证信息。

在本步骤中，P3可以接收P2发送的认证信息，并可以利用接收到的认证信息更新访问模块(可以记为P6)中保存的认证信息。

此外，需要说明的是，在P3向P2发送了注册请求后，还可以实时监测业务访问子系统是否发生系统标识变更事件，并通过心跳连接监测与P2保持连接，以便在监测到发生了系统标识变更事件时，可以实时地通知P2。

心跳连接监测过程中，P3可以向P2发送心跳管理请求，P2可以根据心跳管理请求，进行心跳数据更新，并向P3返回心跳响应，P2可以根据P3返回的心跳响应，判断是否与P2保持连接，如果确定保持连接，则根据更新后的心跳数据，再次向P2发送心跳管理请求。

如果监测到发生系统标识变更事件，如图10所述，上述访问控制方法还可以进一步包括：

步骤501、业务访问子系统获取变更前的系统标识。

在本步骤中，P3可以获取业务访问子系统变更前的系统标识(即系统标识变更事件发生之前的系统标识)。

步骤502、业务访问子系统发送身份注销请求。

在本步骤中，P3可以向访问控制子系统中的P2发送身份注销请求，该身份注销请求中可以携带业务访问子系统变更前的系统标识。

步骤503、访问控制子系统删除系统标识。

在本步骤中，P2可以根据身份注销请求，删除该身份注销请求中携带的系统标识。在一种可能的实现方式中，可以从注册管理表中，将身份注销请求中携带的系统标识删除。

步骤504、访问控制子系统转发身份注销请求。

在本步骤中，P2可以将接收到的身份注销请求转发至P4。

步骤505、待访问子系统删除系统标识。

在本步骤中，P4可以根据身份注销请求，删除该身份注销请求中携带的系统标识。

步骤506、待访问子系统反馈信息。

在本步骤中，P4可以在根据身份注销请求，删除该身份注销请求中携带的系统标识之后，向P2反馈身份注销成功消息。

步骤507、访问控制子系统发送认证注销请求。

在本步骤中，P2可以在P4身份注销成功后，进一步向其发送认证注销请求。该认证注销请求中可以携带业务访问子系统变更前的系统标识。

步骤508、待访问子系统删除认证信息。

在本步骤中，P4可以根据认证注销请求，删除该认证注销请求中携带的系统标识对应的认证信息。

步骤509、待访问子系统反馈信息。

在本步骤中，P4可以在根据认证注销请求，删除该认证注销请求中携带的系统标识对应的认证信息之后，向P2反馈认证信息删除成功消息。

步骤510、访问控制子系统反馈信息。

在本步骤中，P2可以向P3发送注销成功消息。

步骤511、业务访问子系统获取变更后的系统标识。

在本步骤中，P3可以获取业务访问子系统的变更后的系统标识。

步骤512、业务访问子系统发送重新注册请求。

在本步骤中，P3可以向P2发送重新注册请求，该重新注册请求中可以携带业务访问子系统变更后的系统标识。

步骤513、访问控制子系统保存变更后的系统标识。

在本步骤中，P2可以保存重新注册请求中携带的系统标识。在一种可能的实现方式中，可以将重新注册请求中携带的系统标识，添加到注册管理表中，以便后续通过该注册管理表确定注册的系统标识。

步骤514、访问控制子系统转发重新注册请求。

在本步骤中，P2可以进一步将接收到的重新注册请求转发给P4，实现业务访问子系统在待访问子系统中的重新注册。

步骤515、待访问子系统保存变更后的系统标识。

在本步骤中，P4可以保存重新注册请求中携带的系统标识。

步骤516、待访问子系统反馈信息。

在本步骤中，P4保存重新注册请求中携带的系统标识之后，可以向P2反馈重新注册成功消息，以便P2根据重新注册成功消息进行下一步操作。

步骤517、访问控制子系统生成认证信息。

在本步骤中，P2可以根据接收到的重新注册请求中携带的系统标识，以及当前系统时间，重新生成业务访问子系统对应的认证信息。

步骤518、访问控制子系统发送认证信息。

在本步骤中，P2可以将重新生成的认证信息以及业务访问子系统的系统标识发送给P5，以便P5根据该认证信息，实现对业务访问子系统的认证。

步骤519、待访问子系统保存认证信息。

在本步骤中，P5可以利用接收到的认证信息，更新与该认证信息同时接收到的系统标识对应的认证信息。

步骤520、待访问子系统反馈信息。

在本步骤中，P5可以在利用接收到的认证信息，更新与该认证信息同时接收到的系统标识对应的认证信息之后，向P2反馈更新成功消息，以便P2根据更新成功消息进行下一步操作。

步骤521、访问控制子系统发送认证信息。

在本步骤中，P2还可以进一步将生成的认证信息发送给P3，以便P3根据该认证信息，对待访问子系统进行访问。

步骤522、业务访问子系统保存认证信息。

在本步骤中，P3可以接收P2发送的认证信息，并可以利用接收到的认证信息更新P6中保存的认证信息。

需要说明的是，不论是根据注册请求，生成认证信息，还是根据重新注册请求，生成认证信息之后，该认证信息都会被定时更新，以提高待访问子系统的安全性，因此，进一步的，如图11所示，上述访问控制方法还可以进一步包括以下步骤：

步骤601、访问控制系统确定是否超时。

在本步骤中，P1可以确定设定的定时器是否超时，并可以在确定定时器超时时，确定该定时器对应的业务访问子系统，并执行步骤602。

在本实施例中，定时器与业务访问子系统的对应关系的设置方式可以为任意方式，本实施例不做限定。例如，可以为每个业务访问子系统分别设置一个定时器，也可以为所有的业务访问子系统设置一个定时器。

且，在本实施例中，定时器的开始计时时刻也可以根据需要进行设置。

步骤602、访问控制系统获取系统标识。

在本步骤中，P1可以向P2请求获取超时的定时器对应的业务访问子系统所对应的系统标识，P2可以根据P1的请求，向其提供系统标识。

步骤603、访问控制系统获取当前系统时间。

在本步骤中，P1可以获取当前系统时间。

步骤604、访问控制系统重新生成认证信息。

在本步骤中，P1可以根据获取的系统标识以及当前系统时间，重新为业务访问子系统生成认证信息。

具体的，可以通过SHA256算法，根据获取的系统标识以及当前系统时间，来生成认证信息。

步骤605、访问控制子系统发送认证信息。

在本步骤中，P1可以将生成的认证信息以及业务访问子系统的系统标识发送给P5，以便P5根据该认证信息，实现对业务访问子系统的认证。

步骤606、待访问子系统保存认证信息。

在本步骤中，P5可以利用接收到的认证信息，更新与该认证信息同时接收到的系统标识对应的认证信息。

步骤607、待访问子系统反馈信息。

在本步骤中，P5可以在利用接收到的认证信息，更新与该认证信息同时接收到的系统标识对应的认证信息之后，向P1反馈更新成功消息，以便P1根据更新成功消息进行下一步操作。

步骤608、访问控制子系统发送认证信息。

在本步骤中，P1还可以进一步将生成的认证信息发送给P3，以便P3根据该认证信息，对待访问子系统进行访问。

步骤609、业务访问子系统保存认证信息。

在本步骤中，P3可以接收P2发送的认证信息，并可以利用接收到的认证信息更新P6中保存的认证信息。

在业务访问子系统对待访问子系统进行访问的过程中，如图12所示，上述访问控制方法还可以进一步包括：

步骤701、业务访问子系统获取认证信息。

在本步骤中，业务访问子系统需要向待访问子系统发送访问请求时，可以确定P6中是否保存有认证信息，如果有，则继续执行步骤702。当然，如果没有，可以认为无法对待访问子系统进行访问，可以结束本流程。

步骤702、业务访问子系统发送访问请求。

在本步骤中，P6可以向P4发送访问请求，访问请求中携带认证信息以及系统标识。

步骤703、待访问子系统进行身份认证。

在本步骤中，P4可以对访问请求中携带的系统标识进行认证，如果认证通过，则继续执行步骤705，否则，执行步骤704。

步骤704、待访问子系统拒绝访问请求。

在本步骤中，P4可以向P6发送身份认证失败消息，拒绝访问请求，并结束本流程。

步骤705、P4发送认证信息。

在本步骤中，P4可以将访问请求中携带的认证信息发送给P5。

步骤706、P5对认证信息进行认证。

在本步骤中，P5可以对认证信息进行认证，如果认证通过，则继续执行步骤708，否则，执行步骤707。

步骤707、待访问子系统拒绝访问请求。

在本步骤中，P5可以通过P4向P6发送认证信息认证失败消息，拒绝访问请求，并结束本流程。

步骤708、待访问子系统提供服务。

在本步骤中，P5可以提供服务，并可以通过P4通知P6认证信息认证成功，允许访问。

需要进一步说明的是，在本实施例中，为了保证业务访问子系统、访问控制子系统和待访问子系统三者之间数据传输的安全性，可以选择HTTPS协议加密通道进行传输，并可以对三者之间传输的数据进行加密，以提高认证信息以及网络身份信息等数据传输的安全性，进一步提高待访问子系统的安全性。

根据上述实施例可知，P1和P2可以按时间周期性地根据每个业务访问子系统注册时提供的系统标识(可以标志业务访问子系统网络身份的信息，如：该业务访问子系统所在服务器的网卡地址、IP地址、CPU ID、磁盘ID、该业务访问子系统的后台进程名称、业务访问子系统与待访问子系统通信的协议类型及源、目的端口号等)结合时间因子动态生成(或变更)认证信息，保证每个业务访问子系统在不同时刻的认证信息不同。

P1和P2将动态生成(或变更)的认证信息下发到P5，P5更新业务访问子系统的认证信息。此后，业务访问子系统发起的访问请求到达待访问子系统时，P5根据更新后的认证信息对访问请求进行认证；

另一方面，P1和P2为每个注册的业务访问子系统动态生成(或变更)的认证信息实时通知到每个注册的业务访问子系统，这样一来，业务访问子系统向待访问子系统发起访问请求时总是可以得到最新的认证信息。

此外，P2可以响应业务访问子系统发起的注册和身份注销请求，负责管理所有注册的业务访问子系统的注册信息(可以标志业务访问子系统网络身份的信息)，并将业务访问子系统的注册信息下发到P4。

P2还可以维护与所有注册的业务访问子系统之间的连接，当P1为每个注册的业务访问子系统生成新的认证信息之后，可以通过该连接将该认证信息下发通知到对应的P3。

P3可以理解为是访问控制子系统的一个组件，通过内嵌在业务访问子系统中完成与访问控制子系统的信息交互，使得所有的业务访问子系统可以注册到同一个访问控制子系统，由访问控制子系统集中管理这些业务访问子系统的注册信息，并可以将动态认证信息的生成(或变更)及时实时通知到每一个注册的业务访问子系统。这样，业务访问子系统就不需要关心动态认证信息生成的内部细节，且在需要向待访问子系统发起访问请求时，总是可以获得的最新的认证信息。

P3可以在业务访问子系统启动的时候，向待访问子系统发起注册请求，报告当前业务访问子系统的系统标识。业务访问子系统注册过程中携带的系统标识可以为多维度，多维度的系统标识更大程度地提高了身份识别的准确性，细化了控制粒度，当业务访问子系统向待访问子系统发起访问请求时，只要其中一个维度的系统标识不一致，就不能通过验证控制。

P3需要响应访问控制子系统为当前业务访问子系统动态生成(或变更)认证信息的事件通知，将通知得到的最新认证信息更新到业务访问子系统内存中，保证业务访问子系统向待访问子系统发起服务访问请求时，总是可以得到最新的认证信息。

P3可以通过心跳监测，保持与访问控制子系统之间的连接正常。当连接异常时需要重新与P2建立连接。

P3在向P2注册时携带的系统标识，可以包含业务访问子系统所在服务器的网卡地址、IP地址、CPU ID、磁盘ID、业务访问子系统的后台进程名称、业务访问子系统与待访问子系统通信的协议类型及源、目的端口号等等，系统标识的变更，将会导致P4认证失败。因此，P3还需要实时监控系统标识的变化，当其中的任何一个维度的系统标识发生变更时，需要重新向P2注册。

另一方面，P3还可以在系统标识发送变更时，向P2发起注销请求，P2可以清除该业务访问子系统的所有注册信息。

P4也可以理解为是访问控制子系统的一个组件，其被部署在待访问子系统的操作系统层面，使得访问控制子系统可以对第三方的授权账户访问待访问子系统进行访问控制。它接收并维护着来自P2下发的最新的业务访问子系统的系统标识。

当业务访问子系统携带访问控制子系统为其动态生成的认证信息，向待访问子系统发起的服务访问请求时，P4可以作为访问控制子系统两层认证机制中的第一层，对服务访问请求进行第一次认证，即：检查访问请求中携带的系统标识，如源目的IP地址、协议类型、源目的端口等信息是否是已注册的业务访问子系统的系统标识一致，如果不一致则直接拒绝该请求；如果一致，可以认为该请求是已注册的业务访问子系统发起的访问请求，则可以将请求向上传递到P5。

P5收到P4传递的服务访问请求时，可以对该请求进行两层认证机制中的第二次认证，即：检查业务访问子系统发起的服务访问请求中携带的认证信息，是否与P1和P2为其最新生成的认证信息一致，如果不一致则直接拒绝该请求，如果一致，二次认证通过，可以向业务访问子系统提供相应的服务内容。

进一步的，考虑到业务访问子系统、访问控制子系统以及待访问子系统都可以集成在同一个服务器中，在通过图9～图12，从业务访问子系统、访问控制子系统以及待访问子系统之间的模块交互对访问控制处理流程进行描述的基础上，本发明实施例还可以进一步提供一种访问控制装置，该装置可以集成有业务访问子系统、访问控制子系统以及待访问子系统的功能，该装置的结构可以如图13所示，包括系统标识管理模块61、认证信息动态变更模块62、访问模块63、信息获取模块64、认证管理模块65和访问控制模块66，其中：

所述系统标识管理模块61用于针对一个业务访问子系统，生成该业务访问子系统对应的认证信息，将该认证信息发送给所述访问模块，并将该认证信息以及所述业务访问子系统的系统标识发送给所述访问控制模块；

所述认证信息动态变更模块62用于针对所述业务访问子系统，生成所述业务访问子系统对应的认证信息，每次生成认证信息后，将该认证信息发送给所述访问模块，并将该认证信息以及所述业务访问子系统的系统标识发送给所述访问控制模块；

所述访问模块63用于向所述认证管理模块发送访问请求，所述访问请求中携带所述信息获取模块中保存的认证信息以及业务访问子系统对应的系统标识；

所述信息获取模块64用于将保存的认证信息更新为所述访问模块最近一次接收到的认证信息；

所述认证管理模块65用于接收所述访问模块发送的访问请求，所述访问请求中携带认证信息以及业务访问子系统对应的系统标识；并利用所述访问请求中携带的系统标识，对业务访问子系统进行认证；

所述访问控制模块66用于利用所述访问请求中携带的认证信息，对业务访问子系统进行认证；

其中，所述访问控制模块接收到所述系统标识管理模块或者所述认证信息动态变更模块发送的认证信息和系统标识时，利用接收到的认证信息，更新保存的与系统标识对应的认证信息。

需要说明的是，本实施例提供的装置中的各模块，可以理解为与图5～7提供的装置中的具有相同名称的各模块具有相同的功能，本实施例不再赘述。

在通过图9～图12，从时序层面对访问控制处理流程进行描述的基础上，下面进一步对作为访问控制子系统组件的P1～P4的处理流程进行详细描述。

一、内嵌于业务访问子系统的P3向访问控制子系统的P2注册系统标识，并订阅认证信息变更通知

(1)获取业务访问子系统所在服务器的网卡地址、CPU与磁盘ID信息、IP地址，业务访问子系统进程名称、业务访问子系统与待访问子系统进行信息交互的协议类型、端口号等信息；

(2)将步骤(1)中获取的信息作为当前业务访问子系统的系统标识，向P2发起注册请求；

(3)监听网卡地址、CPU与磁盘ID信息、IP地址，业务访问子系统进程名称、业务访问子系统与待访问子系统进行信息交互的协议类型、端口号等变更事件；

(4)开启定时器，定时向P2发送心跳消息，以维护两者之间的连接状态。

二、P3处理认证信息变更通知事件

(1)收到当前业务访问子系统的认证信息发生动态变更的通知；

(2)解析网络消息中携带的认证信息中的各个字段内容；

(3)解密认证信息中的各个字段内容；

(4)更新业务访问子系统本地内存中存储的认证信息；

三、P3进行系统标识变更监测

(1)开启监测线程；

(2)创建网卡状态信息变更监测句柄；

(3)创建磁盘状态信息变更监测句柄；

(4)创建CPU状态信息变更监测句柄；

(5)创建业务访问子系统与待访问子系统之间的通信协议类型、源目的端口号变更事件监测句柄；

(6)开始事件监测主循环；

(7)收到系统标识变更通知，线程唤醒；

(8)注销旧的系统标识；

(9)获取新的系统标识；

(10)以新的系统标识重新向P2注册；

四、P2维护业务访问子系统的系统标识

(1)开启业务访问子系统系统标识注册或注销请求监听；

(2)收到系统标识注册请求或注销请求，如果是注销请求，则删除维护的该业务访问子系统的系统标识；同时，同步删除P4中保存的该业务访问子系统的系统标识，并可以同步删除P5中该业务访问子系统的认证信息；否则，继续步骤(3)；

(3)解析网络消息中携带的系统标识中的各个字段内容；

(4)解密系统标识中的各个字段内容；

(5)检查该业务访问子系统的每一个系统标识字段，确认是否已注册；如果已注册则返回已注册；否则继续步骤(6)；

(6)将系统标识下发到P4，如果发送失败则返回注册失败；否则继续步骤(7)；

(7)P2根据业务访问子系统的系统标识为其生成认证信息；

(8)将该认证信息下发到P5；

(9)向客户端返回注册成功，并携带为其生成的认证信息；

五、P1周期性为每个业务访问子系统动态变更认证信息

(1)遍历注册管理表；

(2)取出业务访问子系统的系统标识，具体可以包括：该业务访问子系统所在服务器的网卡地址、IP地址、CPU ID、磁盘ID、该业务访问子系统的后台进程名称、业务访问子系统与待访问子系统通信的协议类型及源、目的端口号等等；

(3)获取当前系统时间；

(4)将(2)中取出的系统标识和(3)中取得的时间信息组装成字符串，该字符串是生成动态认证信息的参数因子；

(5)根据SHA256算法以(4)中的字符串生成随机认证信息；

(6)将生成的认证信息下发到P5；

(7)用AES256加密算法对(5)中生成的认证信息进行加密，并将该加密后的认证信息返回给P3；

六、P4处理流程

(1)收到业务访问子系统向待访问子系统发起的服务访问请求；

(2)解析访问请求报文，提取系统标识，可以包括：发起请求业务访问子系统所在服务器的IP地址及源端口、待访问子系统所述服务器IP地址及目的端口、通信协议类型等；

(3)查询已注册的业务访问子系统注册管理表，如果系统标识匹配失败则拒绝访问请求，如果匹配成功则继续执行(4)；

(4)将访问请求向上传递给P5；

(5)P5对认证信息进行二次认证，如果认证失败则拒绝访问请求；否则，业务访问子系统的访问请求将认证通过。

根据本发明实施例提供的方案，可以通过多重认证机制对访问进行控制。其中，可以对访问请求中携带的业务访问子系统的系统标识，例如，协议类型、源、目的IP地址及端口等信息进行多方位认证控制，从第一道关卡控制非注册的业务访问子系统对待访问系统可能发起的非法访问操作，有效提高待访问子系统的安全性；另外，还可以通过随时间动态随机生成的认证信息，对访问进行控制，防止认证信息泄露带来的安全隐患。

多重认证机制与随时间动态随机生成的认证信息认证策略的结合，有效降低了认证信息泄露的风险，同时，也大大提高了系统安全的健壮性。

在本发明实施例中，应该理解到，所揭露的设备和方法，可以通过其它的方式实现。例如，以上所描述的设备实施例仅仅是示意性的，例如，所述单元或单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性或其它的形式。

在本发明实施例中的各功能单元可以集成在一个处理单元中，或者各个单元也可以均是独立的物理模块。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实施例的技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备，例如可以是个人计算机，服务器，或者网络设备等，或处理器(processor)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：通用串行总线闪存盘(Universal Serial Bus Flash Drive)、移动硬盘、ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、装置(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (9)

1.一种访问控制方法，其特征在于，所述方法包括：

访问控制子系统生成所述业务访问子系统对应的认证信息；每次生成认证信息后，将该认证信息发送给业务访问子系统，并将该认证信息以及所述业务访问子系统的系统标识发送给待访问子系统；

所述业务访问子系统将保存的认证信息更新为最近一次接收到的认证信息；并向所述待访问子系统发送访问请求，所述访问请求中携带系统标识以及保存的认证信息；

所述待访问子系统利用接收到的认证信息，更新保存的与系统标识对应的认证信息；且，若接收到所述访问请求，利用所述访问请求中携带的系统标识以及认证信息，对业务访问子系统进行认证。

2.如权利要求1所述的方法，其特征在于，利用所述访问请求中携带的系统标识以及认证信息，对业务访问子系统进行认证，包括：

将所述访问请求中携带的系统标识，与保存的系统标识进行对比，对系统标识进行认证；

在对系统标识认证通过后，将所述访问请求中携带的认证信息，与保存的认证信息进行对比，对认证信息进行认证。

3.如权利要求1或2所述的方法，其特征在于，所述方法还包括：

所述业务访问子系统向所述访问控制子系统发送注册请求，所述注册请求中携带系统标识；

生成所述业务访问子系统对应的认证信息，包括：

根据所述注册请求，每隔设定时长，根据保存的所述业务访问子系统对应的系统标识以及当前系统时间，生成所述业务访问子系统对应的认证信息；以及，

在确定所述业务访问子系统的系统标识发生变更时，根据保存的变更后的所述业务访问子系统对应的系统标识以及当前系统时间，生成所述业务访问子系统对应的认证信息。

4.如权利要求3所述的方法，其特征在于，根据所述注册请求，每隔设定时长，根据保存的所述业务访问子系统对应的系统标识以及当前系统时间，生成所述业务访问子系统对应的认证信息，包括：

根据所述注册请求，若确定尚未保存所述注册请求中携带的系统标识，则保存所述注册请求中携带的系统标识，根据该系统标识以及当前系统时间生成所述业务访问子系统对应的认证信息，并每隔设定时长，重新根据保存的该系统标识以及当前系统时间生成认证信息。

5.如权利要求3所述的方法，其特征在于，所述方法还包括：

所述业务访问子系统监测是否发生系统标识变更事件，若监测到发生了系统标识变更事件，向所述访问控制子系统发送重新注册请求，所述重新注册请求中携带变更后的系统标识；

在确定所述业务访问子系统的系统标识发生变更时，根据保存的变更后的所述业务访问子系统对应的系统标识以及当前系统时间，生成所述业务访问子系统对应的认证信息，包括：

根据所述重新注册请求，利用所述重新注册请求中携带的系统标识，更新保存的系统标识，根据该系统标识以及当前系统时间生成所述业务访问子系统对应的认证信息，并每隔设定时长，重新根据保存的该系统标识以及当前系统时间生成认证信息。

6.如权利要求5所述的方法，其特征在于，所述方法还包括：

所述业务访问子系统若监测到发生了系统标识变更事件，向所述访问控制子系统发送重新注册请求之前，向所述访问控制子系统发送身份注销请求，所述身份注销请求中携带变更前的系统标识；

所述访问控制子系统根据所述身份注销请求，删除保存的所述身份注销请求中携带的系统标识，并向所述待访问子系统发送认证注销请求，所述认证注销请求中携带所述身份注销请求中携带的系统标识；

所述待访问子系统根据所述认证注销请求，删除保存的所述认证注销请求中携带的系统标识对应的认证信息。

7.一种访问控制装置，其特征在于，所述装置包括系统标识管理模块、认证信息动态变更模块、访问模块、信息获取模块、认证管理模块和访问控制模块，其中：

所述系统标识管理模块，用于针对一个业务访问子系统，生成该业务访问子系统对应的认证信息，将该认证信息发送给所述访问模块，并将该认证信息以及所述业务访问子系统的系统标识发送给所述访问控制模块；

所述认证信息动态变更模块，用于针对所述业务访问子系统，生成所述业务访问子系统对应的认证信息，每次生成认证信息后，将该认证信息发送给所述访问模块，并将该认证信息以及所述业务访问子系统的系统标识发送给所述访问控制模块；

所述访问模块，用于向所述认证管理模块发送访问请求，所述访问请求中携带所述信息获取模块中保存的认证信息以及业务访问子系统对应的系统标识；

所述信息获取模块，用于将保存的认证信息更新为所述访问模块最近一次接收到的认证信息；

所述认证管理模块，用于接收所述访问模块发送的访问请求，所述访问请求中携带认证信息以及业务访问子系统对应的系统标识；并利用所述访问请求中携带的系统标识，对业务访问子系统进行认证；

所述访问控制模块，用于利用所述访问请求中携带的认证信息，对业务访问子系统进行认证；

其中，所述访问控制模块接收到所述系统标识管理模块或者所述认证信息动态变更模块发送的认证信息和系统标识时，利用接收到的认证信息，更新保存的与系统标识对应的认证信息。

8.一种非易失性计算机存储介质，其特征在于，所述计算机存储介质存储有可执行程序，该可执行程序被处理器执行实现权利要求1～6任一所述的方法。

9.一种访问控制设备，其特征在于，所述设备包括处理器、通信接口、存储器和通信总线，其中，所述处理器，所述通信接口，所述存储器通过所述通信总线完成相互间的通信；

所述存储器，用于存放计算机程序；

所述处理器，用于执行所述存储器上所存储的程序时，实现权利要求1～6任一所述的方法步骤。

Images