CN112350982A - 一种资源鉴权方法和装置 - Google Patents

Abstract

本申请提供了一种资源鉴权方法和装置，所述方法包括：接收到网关转发的用户发出的操作请求时，使用所述用户对应的鉴权策略对所述操作请求所请求的资源进行鉴权；将鉴权后的操作请求发送给网关使所述网关发送给对应云产品进行处理。该方法无需增加额外的交互和处理逻辑，逻辑简单、扩展性强。

Description

一种资源鉴权方法和装置

技术领域

本发明涉及信息处理技术领域，特别涉及一种资源鉴权方法和装置。

背景技术

云计算平台中，云产品逐步增加，并且所有的云产品的接口和前端的服务，资源的存储都各自部署在各个云产品的服务端。

在上述部署前提下，现有实现资源鉴权的过程如下：

第一步、网关接收到用户发送的请求操作时，请求IAM确定该用户是否有对应的操作权限。

第二步、IAM向网关返回该用户操作权限的标识，同时存储该用户操作请求的请求标识和请求标识所能拥有的资源。

第三步、网关将用户发起的操作请求透传给云产品。

第四步、云产品接收到所述操作请求后，使用该操作请求的请求标识到IAM获取有权限的资源ID集后再处理所述操作请求。

上述实现过程云产品侧同IAM的交互多，且强耦合，逻辑处理复杂，维护成本高、扩展性差。

发明内容

有鉴于此，本申请提供一种资源鉴权方法和装置，该方法无需增加额外的交互和处理逻辑，逻辑简单、扩展性强。

为解决上述技术问题，本申请的技术方案是这样实现的：

在一个实施例中，提供了一种资源鉴权方法，其特征在于，所述方法包括：

接收到网关转发的用户发出的操作请求时，使用所述用户对应的鉴权策略对所述操作请求所请求的资源进行鉴权；

将鉴权后的操作请求发送给网关使所述网关发送给对应云产品进行处理。

在另一个实施例中，提供了一种资源鉴权装置，所述装置包括：接收单元、鉴权单元和发送单元；

所述接收单元，用于接收网关转发的用户发出的操作请求；

所述鉴权单元，用于当所述接收单元接收到网关转发的用户发出的操作请求时，使用所述用户对应的鉴权策略对所述操作请求所请求的资源进行鉴权；

所述发送单元，用于将所述鉴权单元鉴权后的操作请求发送给网关使所述网关发送给对应云产品进行处理。

在另一个实施例中，提供了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如所述资源鉴权方法的步骤。

在另一个实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现所述资源鉴权方法的步骤。

由上面的技术方案可见，上述实施例中直接将云产品的访问条件作为鉴权结果直接放到操作请求中，由网关透传操作请求，云产品直接根据接收到的鉴权请求进行相关业务处理即可。该技术方案无需增加额外的交互和处理逻辑，逻辑简单、扩展性强。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例中资源鉴权系统示意图；

图2为本申请实施例中IAM服务器实现资源鉴权流程示意图；

图3为本申请实施例中网关侧实现资源鉴权流程示意图；

图4为本申请实施例中应用于上述的装置结构示意图；

图5为本发明实施例提供的电子设备的实体结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”、“第四”等(如果存在)是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例例如能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含。例如，包含了一系列步骤或单元的过程、方法、系统、云产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、云产品或设备固有的其他步骤或单元。

下面以具体实施例对本发明的技术方案进行详细说明。下面几个具体实施例可以相互结合，对于相同或相似的概念或过程可能在某些实施例不再赘述。

本申请实施例中提供一种资源鉴权方法，应用于资源鉴权系统中。参见图1，图1为本申请实施例中资源鉴权系统示意图。该资源系统包括：操作请求发起端、网关、IAM服务器和产品线。

操作请求发起端用于为用户提供操作平台，以发起操作请求；

网关，用于接收到操作请求发起端发送的用户发起的操作请求时，转发给IAM服务器。

具体实现时，网关设备接收到原始的操作请求后，会进行格式相关转换，具体包括：将GET转换为POST，请求路径转换、请求参数转换为json格式的body参数，为了发送到IAM服务器上的解析处理，以及云产品上的业务逻辑处理的方便。

IAM服务器上部署IAM服务，是一项用户身份管理与资源访问控制服务，按需为用户分配权限，保障企业信息安全。

IAM服务器上配置用户标识与鉴权策略的对应关系；所述鉴权策略包括一条或多条策略；

当包括多条策略时，所述多条策略之间为或的关系。

当云产品新增访问条件时，配置所述访问条件对应的鉴权策略，并与对应的用户标识关联。

可见本申请实施例中具体实现时，云产品侧每新增一条访问条件，在云产品侧代码无需变更，只需要在本地定义新的业务逻辑，在IAM服务器上配置对应的鉴权策略即可。

IAM服务器接收到网关转发的操作请求时，使用所述用户对应的鉴权策略对所述操作请求所请求的资源进行鉴权；并将鉴权后的操作请求发送给网关。

网关接收到IAM服务器返回的鉴权后的操作请求时，转发给对应云产品。

产品线，云计算产品的统称，包含云主机、私有网络、主机安全、对象存储等等，云产线中的云产品接收到网关转发的操作请求在本地直接进行业务逻辑的处理。

本申请提供的资源鉴权方法中IAM服务器直接将云产品的访问条件作为鉴权结果直接放到操作请求中，由网关透传操作请求，云产品直接根据接收到的鉴权请求进行相关业务处理即可。该技术方案无需增加额外的交互和处理逻辑，逻辑简单、扩展性强。并且在云产品侧新增访问条件时，云产品侧代码无需变更，只需要本云产品侧进行访问条件配置，在IAM服务器上进行对应用户的鉴权策略的配置即可。

下面结合附图，详细说明本申请实施例中实现资源鉴权的过程。

参见图2，图2为本申请实施例中IAM服务器实现资源鉴权流程示意图。

具体步骤为：

步骤201，接收到网关转发的用户发出的操作请求时，使用所述用户对应的鉴权策略对所述操作请求所请求的资源进行鉴权。

本步骤中使用所述用户对应的鉴权策略对所述操作请求所请求的资源进行鉴权，包括：

确定所述用户对应的鉴权策略；

解析出所述操作请求中的资源条件，使用确定的所述鉴权策略鉴权所述资源条件；

使用鉴权后的资源条件更新所述操作请求中的资源条件，将更新资源条件的操作请求作为鉴权后的操作请求。

上述操作过程，即将操作请求中的资源掉条件解析出来，并对解析出的资源条件进行鉴权过滤后剩余的资源条件作为鉴权后的资源条件，使用鉴权后的资源条件替换操作请求中的原始资源条件，替换资源条件后的操作请求作为鉴权后的操作请求；

在具体实现时，也可以是根据所述操作请求的相关信息，以及鉴权后的资源条件重新生成操作请求，用以发送给网关。

步骤202，将鉴权后的操作请求发送给网关使所述网关发送给对应云产品进行处理。

本申请提供的资源鉴权方法中IAM服务器直接将云产品的访问条件作为鉴权结果直接放到操作请求中，由网关透传操作请求给对应云产品，云产品直接根据接收到的鉴权请求进行相关业务处理即可。该技术方案无需增加额外的交互和处理逻辑，逻辑简单、扩展性强。

参见图3，图3为本申请实施例中网关侧实现资源鉴权流程示意图。具体步骤为：

步骤301，接收到用户发起的操作请求时，将该操作请求发送给IAM服务器使所述IAM服务器根据该用户对应的鉴权策略对所述操作请求所请求的资源进行鉴权。

IAM服务器上的鉴权条件，根据云产品的访问条件配置。

步骤302，接收到IAM反馈的鉴权后的操作请求时，发送给对应云产品进行处理。

网关设备进行操作请求的透传即可，对网关设备的功能不需要改变，而且不需要产品线与IAM服务器交互即可实现资源鉴权，以及操作请求对应的业务进行逻辑处理。

下面结合具体实例，详细说明本申请实施例实现资源鉴权的整个过程：

产品线会定义资源访问条件：

如果能指定单个资源进行操作，如查看主机详情接口等

首先进行如下相关配置：

产品线中的每个云产品需要定义至少一个访问条件；

在产品线侧：

针对某个请求所请求的资源的访问条件具体实现时可以使用eq、in或ne逻辑。还可以定义与或混合的复杂场景，如：(a in(1,2,3)and b ne‘a’)or(c eq 9and b in(‘a’,‘b’))；

产品线需要对API配置启用“IAM列表请求转换逻辑”并配置该API后端路径，可在网关的运营后台选中API进行配置。

配置HTTP类型，如POST。

在IAM服务器侧：

配置用户对应的鉴权策略；鉴权策略包括多条策略，不同策略之间为或的关系。

其次，用户发起操作请求后的资源鉴权过程：

第一步、用户通过操作请求发起端发出操作请求。

第二步、网关接收到所述操作请求时，按照相关配置对所述操作请求进行转换，将转换后的操作请求发送给IAM服务器。

对操作请求的转换包括：将GET转POST、请求路径转换、query参数转成json格式的body参数。

请求路径的转换通过在原始请求路径中插入子路径的方式实现。如果不指定该子路径，则真实请求后端的路径就是原始请求的路径。

如原始请求路径：/v1/regions/cn-north-1/instances；

需要插入的子路径：/subpath；

网关真实请求后端的路径：/v1/regions/cn-north-1/subpath/instances；

对操作请求的转换仅仅是为了操作请求的透传，以及符合产品线允许的格式，对操作请求的实际内容并无改变。

第三步、IAM服务器接收到操作请求后，确定发起该操作请求的用户对应的鉴权策略，并使用确定的鉴权策略来鉴权所述操作请求。

具体鉴权过程如下：

从操作请求中解析出资源条件，假设资源条件包括如下三种：

第一种、资源ID集合：F1＝{id_1,id_2,id_3,id_4}；

第二种、标签对(tagKey_1,tagValue_1)；假设标签关联的ID集合：F2＝{id_1,id_2,id_4}；

第三种，vpcIds＝192.168.0.0/16，该种资源条件为非ID、非标签的资源条件。

本申请实施例中以解析出三种资源条件为例，在具体使用时解析出的资源条件可能有一种，也可能有多种，由具体操作请求的内容确定。

假设确定的该用户的鉴权策略有2条，且为或的关系：

第一条策略是指操作为vm:describeInstances，资源为id_2和id_3有权限，该策略有效的ID集合：P1＝{id_2,id_3}；

第二条策略是指操作为vm:describeInstances，资源任意，但条件键需满足含有标签对(tagKey,tagValue)，假设标签关联的ID为id_3,id_4,id_5，则该策略有效的ID集合：P2＝{*}∩{id_3,id_4,id_5}＝{id_3,id_4,id_5}；则合并后的最终有效ID集合E＝(F1∩F2)∩(P1 U P2)＝{id_1,id_2,id_4}∩{id_2,id_3,id_4,id_5}＝{id_2,id_4}。

经过上述鉴权策略鉴权后，资源条件中资源ID：id_2和id_4鉴权成功，其他ID鉴权失败，则将鉴权成功的资源ID id_2和id_4，以及第三种资源条件携带在操作请求中作为鉴权后的操作请求发送给网关。

第四步、将鉴权后的操作请求发送给网关。

第五步、网关接收到IAM服务器发送的鉴权后的操作请求，修改路径后直接发送给产品线中的对应产品。

第六步、产品线中的云产品接收到网关发送的操作请求，直接按照本地的业务逻辑进行相关处理即可。

至此完成一次资源鉴权的全过程。

基于同样的发明构思，本申请实施例中还提出一种资源鉴权装置。参见图4，图4为本申请实施例中应用于上述的装置结构示意图。该装置包括：接收单元401、鉴权单元402和发送单元403；

接收单元401，用于接收网关转发的用户发出的操作请求；

鉴权单元402，用于当接收单元401接收到网关转发的用户发出的操作请求时，使用所述用户对应的鉴权策略对所述操作请求所请求的资源进行鉴权；

发送单元403，用于将鉴权单元402鉴权后的操作请求发送给网关使所述网关发送给对应云产品进行处理。

较佳地，所述装置进一步包括：配置单元404；

配置单元404，用于配置用户标识与鉴权策略的对应关系；

鉴权单元402，具体用于使用所述用户对应的鉴权策略对所述操作请求所请求的资源进行鉴权时，包括：确定所述用户对应的鉴权策略；解析出所述操作请求中的资源条件，使用确定的所述鉴权策略鉴权所述资源条件；使用鉴权后的资源条件更新所述操作请求中的资源条件，将更新资源条件的操作请求作为鉴权后的操作请求。

优选地，

所述鉴权策略包括一条或多条策略；

当包括多条策略时，所述多条策略之间为或的关系。

优选地，所述装置进一步包括：配置单元404；

配置单元404，用于当云产品新增访问条件时，配置所述访问条件对应的鉴权策略，并与对应的用户标识关联。

上述实施例的单元可以集成于一体，也可以分离部署；可以合并为一个单元，也可以进一步拆分成多个子单元。

在另一个实施例中，还提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现所述资源鉴权方法的步骤。

在另一个实施例中，还提供一种计算机可读存储介质，其上存储有计算机指令，所述指令被处理器执行时可实现所述资源鉴权方法中的步骤。

图5为本发明实施例提供的电子设备的实体结构示意图。如图5所示，该电子设备可以包括：处理器(processor)510、通信接口(Communications Interface)520、存储器(memory)530和通信总线540，其中，处理器510，通信接口520，存储器530通过通信总线540完成相互间的通信。处理器510可以调用存储器530中的逻辑指令，以执行如下方法：

接收到网关转发的用户发出的操作请求时，使用所述用户对应的鉴权策略对所述操作请求所请求的资源进行鉴权；

将鉴权后的操作请求发送给网关使所述网关发送给对应云产品进行处理。

此外，上述的存储器530中的逻辑指令可以通过软件功能单元的形式实现并作为独立的云产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件云产品的形式体现出来，该计算机软件云产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件云产品的形式体现出来，该计算机软件云产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (10)

1.一种资源鉴权方法，其特征在于，所述方法包括：

接收到网关转发的用户发出的操作请求时，使用所述用户对应的鉴权策略对所述操作请求所请求的资源进行鉴权；

将鉴权后的操作请求发送给网关使所述网关发送给对应云产品进行处理。

2.根据权利要求1所述的方法，其特征在于，所述方法进一步包括：

配置用户标识与鉴权策略的对应关系；

所述使用所述用户对应的鉴权策略对所述操作请求所请求的资源进行鉴权，包括：

确定所述用户对应的鉴权策略；

解析出所述操作请求中的资源条件，使用确定的所述鉴权策略鉴权所述资源条件；

使用鉴权后的资源条件更新所述操作请求中的资源条件，将更新资源条件的操作请求作为鉴权后的操作请求。

3.根据权利要求2所述的方法，其特征在于，所述方法进一步包括：

所述鉴权策略包括一条或多条策略；

当包括多条策略时，所述多条策略之间为或的关系。

4.根据权利要求1-3任一项所述的方法，其特征在于，所述方法进一步包括：

当云产品新增访问条件时，配置所述访问条件对应的鉴权策略，并与对应的用户标识关联。

5.一种资源鉴权装置，其特征在于，所述装置包括：接收单元、鉴权单元和发送单元；

所述接收单元，用于接收网关转发的用户发出的操作请求；

所述鉴权单元，用于当所述接收单元接收到网关转发的用户发出的操作请求时，使用所述用户对应的鉴权策略对所述操作请求所请求的资源进行鉴权；

所述发送单元，用于将所述鉴权单元鉴权后的操作请求发送给网关使所述网关发送给对应云产品进行处理。

6.根据权利要求5所述的装置，其特征在于，所述装置进一步包括：配置单元；

所述配置单元，用于配置用户标识与鉴权策略的对应关系；

所述鉴权单元，具体用于使用所述用户对应的鉴权策略对所述操作请求所请求的资源进行鉴权时，包括：确定所述用户对应的鉴权策略；解析出所述操作请求中的资源条件，使用确定的所述鉴权策略鉴权所述资源条件；使用鉴权后的资源条件更新所述操作请求中的资源条件，将更新资源条件的操作请求作为鉴权后的操作请求。

7.根据权利要求6所述的装置，其特征在于，

所述鉴权策略包括一条或多条策略；

当包括多条策略时，所述多条策略之间为或的关系。

8.根据权利要求5-7任一项所述的装置，其特征在于，所述装置进一步包括：配置单元；

所述配置单元，用于当云产品新增访问条件时，配置所述访问条件对应的鉴权策略，并与对应的用户标识关联。

9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1-4任一项所述的方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现权利要求1-4任一项所述的方法。

Images