CN113039745B - 文件系统服务器、应用于其中的方法、计算机可读介质 - Google Patents

文件系统服务器、应用于其中的方法、计算机可读介质 Download PDF

Info

Publication number
CN113039745B
CN113039745B CN201880099413.6A CN201880099413A CN113039745B CN 113039745 B CN113039745 B CN 113039745B CN 201880099413 A CN201880099413 A CN 201880099413A CN 113039745 B CN113039745 B CN 113039745B
Authority
CN
China
Prior art keywords
file system
connection
user
request
filesystem
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201880099413.6A
Other languages
English (en)
Other versions
CN113039745A (zh
Inventor
陆庆达
陈俊朴
叶庆华
王磊
林志勇
鲍利平
吴结生
徐立
裴晓辉
张锋
田磊磊
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Alibaba Group Holding Ltd
Original Assignee
Alibaba Group Holding Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Alibaba Group Holding Ltd filed Critical Alibaba Group Holding Ltd
Publication of CN113039745A publication Critical patent/CN113039745A/zh
Application granted granted Critical
Publication of CN113039745B publication Critical patent/CN113039745B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1097—Protocols in which an application is distributed across nodes in the network for distributed storage of data in networks, e.g. transport arrangements for network file system [NFS], storage area networks [SAN] or network attached storage [NAS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
    • H04L69/163—In-band adaptation of TCP data exchange; In-band control procedures

Abstract

本公开提供了文件系统服务器、应用于其中的方法、计算机可读介质。提供了用于通过以下处理来改进多租户公共云环境中的由网络文件系统服务进行的用户认证和访问控制的方法和系统，从文件系统客户端(客户端)接收连接到文件系统的请求，向控制系统发送用于客户端的身份认证的识别请求，从控制系统接收响应，在基于与客户端相关联的云租户信息确定到文件系统的连接被允许时，建立到文件系统的连接，从客户端接收由子用户对文件系统的访问尝试，基于云租户信息来认证子用户，发出安全令牌，所述安全令牌包括该子用户的全局唯一子用户标识符，以及使用安全令牌来为后续请求确定子用户对文件系统的访问权。

Description

文件系统服务器、应用于其中的方法、计算机可读介质
技术领域
本申请涉及云环境中的网络文件系统服务进行的用户认证和访问控制。
背景技术
文件系统用于控制在计算中如何存储和取得数据。通过将数据分成片段并给各个片段赋予名称，可以容易地分离和识别信息。每组数据称为“文件”，并且用于管理信息组及其名称的结构和逻辑规则称为“文件系统”。网络文件系统或分布式文件系统服务器在提供文件系统，服务器由一组客户端经由远程文件访问协议访问。网络文件系统客户端向用户提供与本地文件相同的接口和语义，例如安装/卸载、列出目录、字节边界处的读/写、系统的本地许可模型。
租户或顶层云用户是一组云用户，诸如组织或学校，它们共享对云服务的具有特定特权的公共访问。子用户是租户下的具有其自己的用户名、用户标识符(ID)和凭证的单独实体。
通常使用的网络文件系统协议，例如服务器消息块(SMB)和网络文件系统协议，仅称为NFS，已经发展为包括用户认证和文件访问授权。SMB，也称为公共因特网文件系统(CIFS)，是主要用于在网络上的节点间共享访问文件和打印机的网络文件系统协议，并且还提供经认证的进程间通信机制。NFS允许客户端计算机上的用户像访问本地存储器那样通过计算机网络访问文件。
然而，这样的协议主要被设计成在企业内联网中工作，并且依赖于用户维护的集中式用户目录来提供进一步的子用户认证和访问控制。这些协议设计不足以解决公共云的异构、多租户性质。
发明内容
根据第一个方面，提供了一种文件系统服务器中的方法，所述方法包括：从文件系统客户端接收连接请求，所述连接请求是连接到文件系统的请求；向控制系统发送用于所述文件系统客户端的身份认证的识别请求；接收来自所述控制系统的对所述识别请求的响应；基于所述响应，确定到所述文件系统的连接是否被允许；在确定到所述文件系统的连接被允许时，建立到所述文件系统的连接；从所述文件系统客户端接收由子用户对所述文件系统的访问尝试；认证所述子用户；发出安全令牌，所述安全令牌包括所述子用户的全局唯一子用户标识符；以及使用所述安全令牌来为所述子用户的后续请求确定所述子用户对所述文件系统的访问权。
根据第二个方面，提供了一种文件系统服务器，所述文件系统服务器包括：一个或更多个处理器；以及联接到所述一个或更多个处理器的存储器，所述存储器存储能够由所述一个或更多个处理器执行的计算机可执行指令，所述指令在被执行时使所述一个或更多个处理器执行包括以下内容的操作：从文件系统客户端接收连接请求，所述连接请求是连接到文件系统的请求；向控制系统发送用于所述文件系统客户端的身份认证的识别请求；接收来自所述控制系统的对所述识别请求的响应；基于所述响应，确定到所述文件系统的连接是否被允许；在确定到所述文件系统的连接被允许时，建立到所述文件系统的连接；从所述文件系统客户端接收由子用户对所述文件系统的访问尝试；认证所述子用户；发出安全令牌，所述安全令牌包括所述子用户的全局唯一子用户标识符；以及使用所述安全令牌来为所述子用户的后续请求确定所述子用户对所述文件系统的访问权。
根据第三个方面，提供了一种计算机可读介质，所述计算机可读介质存储能够由一个或更多个处理器执行的计算机可读指令，所述指令在被执行时使所述一个或更多个处理器执行包括以下内容的操作：从文件系统客户端接收连接请求，所述连接请求是连接到文件系统的请求；向控制系统发送用于所述文件系统客户端的身份认证的识别请求；接收来自所述控制系统的对所述请求的响应；基于所述响应，确定到所述文件系统的连接是否被允许；在确定到所述文件系统的连接被允许时，建立到所述文件系统的连接；从所述文件系统客户端接收由子用户对所述文件系统的访问尝试；认证所述子用户；发出安全令牌，所述安全令牌包括所述子用户的全局唯一子用户标识符；以及使用所述安全令牌来为所述子用户的后续请求确定所述子用户对所述文件系统的访问权。
附图说明
参照附图给出详细说明。在附图中，附图标记的最左边的数字表示附图标记首次出现的附图。在不同附图中使用相同的附图标记表示相似或相同的项目或特征。
图1例示了基于TCP连接的租户认证和授权的示例处理100。
图2例示了图1的多个框中的一个框的示例细节。
图3例示了图1的另一个框的示例细节。
图4例示了文件系统服务器的示例框图，其中示出了相关组件。
图5例示了利用SMB的文件系统客户端认证处理的示例框图。
图6例示了在文件系统客户端认证之后利用SMB的子用户认证处理的示例框图600。
图7例示了用于SMB操作授权处理的示例框图。
具体实施方式
本文所讨论的方法和系统涉及改进由多租户公共云环境中的网络文件系统服务进行的用户认证和细粒度访问控制，并且更具体地涉及使用两级用户认证和授权处理来改进安全性，其中，服务首先在传入连接(可以是传输控制协议(TCP)连接)处认证顶层租户，然后利用转嫁传递(pass-through)认证机制借助于中央用户数据库来认证全局唯一子用户。
受完全管理的多租户公共云文件服务的关键要求可以是隔离由不同租户订购的资源，然后控制来自同一租户下的不同子用户的访问。然而，由于这种受完全管理的服务直接与由租户管理的用户数据库通信，因此会存在许多技术困难和安全问题。例如，由于与其它操作系统的协议兼容性困难，引入诸如Kerberos服务的受完全管理的多租户公共云网络认证可能不是理想的选项。
在公共云环境中由文件系统服务使用的一种认证/授权方案可以是使用标准安全协议提供租户级认证。例如，当建立SMB会话时，文件存储可以使用NTLAN管理器(NTLM)协议在集中式租户数据库的帮助下确认租户即存储帐户的用户名和密码是否正确。如果用户名和密码是正确的，则将不进一步验证子用户凭证，并且每个子用户将被视为顶层租户。然而，该方案不为子用户提供细粒度的访问控制，并且会受到潜在的攻击，因为认证仅基于租户凭证。
另一种方案可以是通过使用专用或私有网络来在网络层上隔离对文件系统的访问。利用这种方案，各个文件系统的安装目标实例必须驻留在专用IP网络中，并且仅允许指定的专用IP网络中的主机/虚拟机(VM)访问规定的文件系统，而拒绝来自指定的专用IP网络外部的客户端的访问。虽然该方案可以提供文件系统的良好隔离，但是需要在各个文件系统客户端在至少一个专用或私有网络内的环境中工作。在公共云环境中，该要求将增加所有权的总成本并降低云部署的灵活性，即，租户可以选择使系统在租户处于同一连接网络中的经典网络中运行。此外，对于子用户认证，该方案会要求租户维护其自己的子用户数据库，以保持子用户ID在文件系统客户端上一致，从而向小承租人增加成本，并且使用将限于NFS协议。
在不损失由单独的网络文件系统协议提供的安全能力的情况下，可以如下所述提供公共云中的增强且经济的认证和授权。
在公共云环境中，现代网络文件系统主要利用TCP作为传输协议。例如，SMB协议支持TCP、网络基本输入/输出系统(NetBIOS)和远程直接存储器访问(RDMA)作为传输协议。虽然由于网络基础设施限制和使用场景，SMB客户端可以仅通过公共云中的TCP协议连接到SMB文件系统服务器，但是基于TCP的面向连接的属性仍然可以实现面向连接的认证和资源授权。
图1例示了基于TCP连接的租户认证和授权的示例处理。
在框102处，为了安装文件系统，或者当文件系统服务器发生故障并且文件系统客户端针对服务而切换到另一服务器时，文件系统客户端或租户可以尝试建立到文件系统的连接(可以是TCP连接)，例如通过在Windows操作系统(OS)中发出“net use”命令或在LinuxOS中发出“安装”命令。其他示例可以包括：1)当文件系统被删除或文件系统的访问控制策略被改变或更新时，来自访问被删除/更新的文件系统的文件系统客户端的现有连接可以被文件系统服务器关闭，并且可以导致来自这些文件系统客户端的重新连接请求，以及2)当恶意攻击者构造文件系统协议数据分组，然后创建到文件服务器的TCP连接以尝试获得他人拥有的文件系统的访问权时。
当在框104处接收到来自文件系统客户端接收的新的TCP连接请求时，即尝试建立到文件系统的TCP连接，文件系统服务器可以在框106处开始同步认证和授权处理。文件系统服务器和控制系统之间的所有通信可以在利用预先协商的会话密钥建立的安全通道上。当文件系统服务器处理来自文件系统客户端的连接请求(诸如上述请求)时，可执行租户认证，随后是文件系统级授权，以仅允许属于拥有该文件系统的租户的授权客户端建立到文件系统服务器的TCP连接，并阻止来自未授权客户端的连接请求。在该处理完成时，在授权文件系统客户端和文件系统服务器之间可以建立一个且仅一个TCP连接。然后，可以将文件系统的所有者预先定义的所有访问策略应用于TCP连接，以在正常操作期间授权单独的文件操作请求。附加地，在建立TCP连接时的认证可以增加文件系统的可用性，因为当认证子系统发生故障时，只有当前正在建立连接的文件系统客户端会受到影响，而当认证子系统发生故障时，具有已建立的TCP连接的客户端不会受到影响。
在框108处，文件系统服务器可以向控制系统发送识别请求以进行文件系统客户端的身份认证，并且可以在框110处从控制系统接收对识别请求的响应。在框112处，文件系统服务器可以基于来自控制系统的响应来确定是否允许到文件系统的TCP连接，并且在确定到文件系统的TCP连接不被允许时，在框114处可以拒绝TCP连接请求。来自控制系统的响应可以包括来自控制系统的基于文件系统客户端的源IP的当前租户所有者的身份的对是否允许到文件系统的TCP连接的决定。可以在客户端识别应用编程接口(API)中检查当前租户所有者，并且可以基于与云租户相关联的信息来确定与当前租户所有者的身份相对应的云租户是否可以访问文件系统。
当在框112确定到文件系统的TCP连接被允许时，文件系统服务器可以在框116建立到文件系统的TCP连接。文件系统服务器可以在建立到文件系统的TCP连接时通知控制系统关于TCP连接的信息，该信息包括TCP连接的建立时间、文件系统客户端和文件系统。文件系统服务器可以在框118处从文件系统客户端接收由子用户对文件系统的访问尝试，然后可以在框120处认证子用户。在框122，文件系统服务器可以发出安全令牌，所述安全令牌包括子用户的全局唯一子用户标识符。在框124，文件系统服务器为子用户的后续请求可以使用安全令牌来确定子用户对文件系统的访问权，这可以包括使用安全令牌来应用文件级访问控制策略以为后续请求确定是否允许子用户访问文件系统。
图2例示了图1的框116的建立到文件系统的TCP连接的示例细节。
在框202，文件系统服务器可以接受来自文件系统客户端的TCP连接请求，并在框204记录与TCP连接相关联的访问控制策略。访问控制策略可以还与文件系统客户端的要被应用于到文件系统的TCP连接的源IP相关联，并且文件系统服务器可以在框206处将所记录的访问控制策略应用于TCP连接，并且在框208处开始服务于所述TCP连接上的请求。当控制系统检测到对文件系统的访问控制策略的改变时，在框210处文件系统服务器可以还从控制系统接收通知，其中，该通知被发送到与文件系统连接的所有文件系统服务器。
图3例示了图1的框120的认证子用户的示例细节。
在框302处，文件系统服务器可以基于使用子用户的凭证协商的安全协议来发起子用户认证会话，在框304处，基于TCP连接将云租户的域附加到子用户的用户名以创建全局唯一子用户用户名。并且在框306处作为代理以在文件系统客户端和控制系统之间传递协议协商消息，直到由控制系统作出认证决定。另选地，在框308处，文件系统服务器可以基于云租户从控制系统取得对应的子用户信息，并且在310处接收子用户的全局唯一用户名。在框312处，文件系统服务器可以确定所接收的子用户的全局唯一用户名是否有效。例如，如果所接收的全局唯一用户名被包括在云租户的无效域或子用户的无效用户名中的至少一者中，则文件系统服务器可以确定所接收的子用户的全局唯一用户名是无效的。当确定所接收的子用户的全局唯一用户名无效时，文件系统服务器可以在框314拒绝TCP连接请求。当确定所接收的子用户的全局唯一用户名有效时，处理可以前进到框122。
图4例示了文件系统服务器400的示例框图，其中示出了相关组件。
本文描述的技术和机制可以由文件系统服务器400的多个实例以及由任何其它计算装置、系统和/或环境来实现。图4所示的文件系统服务器400只是文件系统服务器的一个示例，并不旨在对用于执行上述处理和/或过程的任何计算装置的使用范围或功能提出任何限制。适用于实施方式的其它已知的计算装置、系统、环境和/或配置包括但不限于个人计算机、服务器计算机、手持式或膝上型装置、多处理器系统、基于微处理器的系统、机顶盒、游戏控制台、可编程消费电子产品、网络PC、小型计算机、大型计算机、包括任何上述系统或设备的分布式计算环境、使用现场可编程门阵列(“FPGA”)和专用集成电路(“ASIC”)的实现等。
文件系统服务器400可以包括彼此在通信上联接的多个处理器402。处理器402可以或可以不共同定位，例如在分布式网络或诸如云计算系统的系统中。存储器404可以包括彼此联接并且联接到处理器402的多个存储器模块。处理器402可以执行存储在存储器404中的计算机可执行指令，以执行下面参照图1至图3描述的各种功能。处理器402可以包括中央处理单元CPU、图形处理单元(GPU)、CPU和GPU两者、或本领域已知的其他处理单元或组件。另外，处理器402的各个处理器可以拥有其自己的本地存储器，本地存储器还可以存储程序模块、程序数据和/或一个或更多个操作系统。
依赖于文件系统服务器400的具体配置和类型，存储器404可以是易失性的，诸如RAM；非易失性的，诸如ROM；闪存；微型硬盘驱动器；存储卡等，或其某种组合。存储器404可以存储可以由处理器402执行的计算机可执行指令。
文件系统服务器400可以附加地包括输入/输出(I/O)接口406，I/O接口406用于接收数据(诸如用户输入)以及用于输出处理后的数据。文件系统服务器400可以还包括通信模块408和网络接口模块410，其允许文件系统服务器400通过网络418与诸如文件系统客户端412、子用户414和控制系统416等其它装置或系统通信。网络418可以包括因特网、诸如有线网络或直接线连接的有线介质、以及诸如声学、射频(RF)、红外和其它无线介质的无线介质。
文件系统服务器400，更具体地，文件系统服务器400的处理器402可以执行存储在存储器404中的计算机可执行指令，并且在经由网络418接收到来自文件系统客户端412的TCP连接时，可以开始同步认证和授权处理。文件系统服务器400和控制系统416之间的所有通信可以在用预先协商的会话密钥建立的安全通道上。当文件系统服务器400处理来自文件系统客户端的连接请求时，可以执行租户认证，随后是文件系统级授权，以仅允许属于拥有文件系统的租户的授权客户端建立到文件系统服务器400的TCP连接，并且阻止来自未授权客户端的连接请求。在该处理完成时，在诸如文件系统客户端412的授权文件系统客户端与文件系统服务器400之间可以建立一个且仅一个TCP连接。然后，可以将文件系统所有者预先定义的所有访问策略应用于TCP连接，以在正常操作期间授权单独的文件操作请求。另外，在建立TCP连接时进行认证可以增加文件系统的可用性，因为当认证子系统发生故障时，只有当前正在建立连接的文件系统客户端会受到影响，而当认证子系统发生故障时，具有已建立的TCP连接的客户端不会受到影响。
文件系统服务器400可以向诸如控制系统416的控制系统发送识别请求，以进行文件系统客户端412的身份认证，并且可以从控制系统416接收对识别请求的响应。文件系统服务器400可以基于来自控制系统416的响应来确定到文件系统的TCP连接是否被允许，并且可以在确定到文件系统的TCP连接不被允许时，拒绝TCP连接请求。来自控制系统416的响应可以包括来自控制系统416的基于文件系统客户端412的源IP的当前租户所有者的身份的对是否允许到文件系统的TCP连接的决定。可以在客户端识别应用编程接口(API)中检查当前租户所有者，并且可以确定与当前租户所有者的身份对应的云租户是否可以访问文件系统。
在确定到文件系统的TCP连接被允许时，文件系统服务器400可以建立到文件系统的TCP连接。文件系统服务器400可以在建立到文件系统的TCP连接时通知控制系统416关于TCP连接的信息，该信息包括TCP连接的建立时间、文件系统客户端412和文件系统。文件系统服务器400可以从文件系统客户端412接收由子用户414对文件系统的访问尝试，然后可以认证子用户。文件系统服务器400可以发出安全令牌，所述安全令牌包括子用户414的全局唯一子用户标识符。对于子用户414的后续请求，文件系统服务器400可以使用安全令牌来确定子用户414对文件系统的访问权，这可以包括使用安全令牌来应用文件级访问控制策略以对于后续请求确定是否允许子用户414访问文件系统。
文件系统服务器400可以接受来自文件系统客户端412的TCP连接请求，并且记录与TCP连接相关联的访问控制策略。访问控制策略可以还与文件系统客户端412的要应用于到文件系统的TCP连接的源IP相关联，并且文件系统服务器400可以将所记录的访问控制策略应用于TCP连接，并开始服务于所述TCP连接上的请求。当控制系统416检测到对文件系统的访问控制策略的改变时，文件系统服务器400可以还从控制系统416接收通知，其中该通知被发送到与文件系统连接的所有文件系统服务器。
文件系统服务器400可以基于使用子用户414的凭证协商的安全协议发起子用户认证会话，基于TCP连接将云租户的域附加到子用户414的用户名以创建全局唯一子用户用户名，并且作为代理以在文件系统客户端412和控制系统416之间传递协议协商消息，直到控制系统416作出认证决定。另选地，文件系统服务器400可以基于云租户从控制系统416取得对应的子用户信息，并且针对TCP连接请求接收子用户414的全局唯一用户名。文件系统服务器400可以确定所接收的子用户414的全局唯一用户名是否有效。例如，如果所接收的全局唯一用户名被包括在云租户的无效域或子用户414的无效用户名中的至少一者中，则文件系统服务器400可以确定所接收的子用户414的全局唯一用户名是无效的。当确定所接收的子用户414的全局唯一用户名无效时，文件系统服务器400可以拒绝TCP连接请求。在确定所接收的子用户414的全局唯一用户名有效时，文件系统服务器400可以发出安全令牌。
图5例示了利用SMB的文件系统客户端认证处理的示例框图500。
诸如SMB客户端502的文件系统客户端可以向诸如SMB服务器506的文件系统服务器发送TCP连接请求504。SMB服务器506然后可以向控制系统510发送TCP连接认证请求508。控制系统510可以调用客户端身份认证API 512来利用客户端访问控制策略数据库514检查与文件系统客户端的源IP的当前所有者的身份相对应的云租户是否可以访问文件系统。控制系统510然后可以从客户端访问控制策略数据库514接收响应，并且可以向SMB服务器506发送TCP连接认证结果516。如果TCP连接认证结果516是否定的，即SMB客户端502不被认证，则SMB服务器506可以关闭TCP连接518。然而，如果TCP连接认证结果516是肯定的，即SMB客户端502通过认证520，则SMB服务器506可以用TCP连接认证信息522来通知控制系统510，保持访问控制策略，并且接受TCP连接520，控制系统510可以记录TCP连接信息，该信息包括建立时间和关于SMB客户端502和文件系统的信息。
图6例示了在文件系统客户端认证之后利用SMB的子用户认证处理的示例框图600。
为了访问文件系统，子用户602可以向租户/子用户数据库606发送子用户凭证，诸如子用户的全局唯一用户名uname@tenantDomain 604。为了建立信任，子用户602可以将子用户的凭证608输入到SMB客户端502中，并且SMB客户端502可以使用子用户凭证608基于安全协议发起会话设立请求610。SMB服务器506可以从连接访问控制策略612接收租户信息614。SMB服务器506可以将SMB客户端502的域名(例如“@tenantdomain”)附加到子用户602的用户名(例如“uname”)，以获得子用户的全局唯一用户名“uname@tenantdomain”。然后，作为被控制系统510信任的实体，SMB服务器506作为代理以在SMB客户端502和控制系统510之间传递子用户认证消息，直到控制系统510做出认证决定。例如，SMB服务器506可以向控制系统510发送子用户认证请求616，并且控制系统510可以调用子用户身份认证API 618来利用租户/子用户数据库606检查是否可以认证子用户602。控制系统510可以将子用户认证结果620传递到SMB服务器506。如果子用户认证结果是否定的，即子用户602不被认证，则SMB服务器506可返回ACCESS_DENIED并拒绝建立子用户会话622。如果子用户认证结果是肯定的，即子用户602通过认证，则SMB服务器506可以将当前子用户信息保持在安全令牌中624。
图7例示了SMB操作授权处理的示例框图700。
SMB客户端502可以向SMB服务器506发送对文件系统的SMB请求702。SMB服务器506可以从连接访问控制策略612接收当前TCP连接的访问控制策略704，并且可以确定是否授权SMB请求702。在确定SMB请求702不被授权时，SMB服务器506可以拒绝SMB请求706。如果SMB请求702被授权，则SMB服务器506可以对照具有与子用户的凭证相关联的子用户身份的令牌712来检查SMB请求702希望在上面操作的文件/目录的访问控制策略708。如果SMB服务器506确定子用户不被授权，则TCP连接请求可被拒绝706。如果子用户被授权，则对文件系统的访问，即所请求的TCP连接被授权710，并且文件SMB服务器506可以使用安全令牌应用文件级访问控制策略来继续处理710。
上述方法的一些或全部操作可以通过执行存储在计算机可读存储介质上的计算机可读指令来执行，如下文所定义。说明书和权利要求书中使用的术语“计算机可读指令”包括例程、应用、应用模块、程序模块、程序、组件、数据结构、算法等。计算机可读指令可以在各种系统配置上实现，包括单处理器或多处理器系统、小型计算机、大型计算机、个人计算机、手持式计算装置、基于微处理器的可编程消费电子产品、其组合等。
计算机可读存储介质可包括易失性存储器(诸如随机存取存储器(RAM))和/或非易失性存储器(诸如只读存储器(ROM)、闪存等)。计算机可读存储介质还可包括可提供计算机可读指令、数据结构、程序模块等的非易失性存储的附加可移动存储和/或不可移动存储，包括但不限于闪存、磁存储、光存储和/或磁带存储。
非暂时计算机可读存储介质是计算机可读介质的示例。计算机可读介质包括至少两种类型的计算机可读介质，即计算机可读存储介质和通信介质。计算机可读存储介质包括以用于存储诸如计算机可读指令、数据结构、程序模块或其它数据等信息的任何工艺或技术实现的易失性和非易失性、可移动和不可移动介质。计算机可读存储介质包括但不限于相变存储器(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其它类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、闪存或其它存储器技术、光盘只读存储器(CD-ROM)、数字通用盘(DVD)或其它光存储、磁带盒、磁带、磁盘存储或其它磁存储装置，或可用于存储供计算装置访问的信息的任何其他非传输介质。存储器404是计算机可读存储介质的示例。相反，通信介质可以在诸如载波的调制数据信号或其它传输机制中实现计算机可读指令、数据结构、程序模块或其它数据。如本文所定义的，计算机可读存储介质不包括通信介质。
存储在一个或更多个非暂时性计算机可读存储介质上的计算机可读指令在由一个或更多个处理器执行时可执行上文参照图1至图7描述的操作。通常，计算机可读指令包括执行特定功能或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等。描述操作的顺序不旨在被解释为限制，并且可以以任何顺序和/或并行地组合任何数目的所描述的操作来实现这些处理。
示例条款
A.一种文件系统服务器中的方法，所述方法包括：从文件系统客户端接收连接请求，所述连接请求是连接到文件系统的请求；向控制系统发送用于所述文件系统客户端的身份认证的识别请求；接收来自所述控制系统的对所述识别请求的响应；基于所述响应，确定到所述文件系统的连接是否被允许；在确定到所述文件系统的连接被允许时，建立到所述文件系统的连接；从所述文件系统客户端接收由子用户对所述文件系统的访问尝试；认证所述子用户；发出安全令牌，所述安全令牌包括所述子用户的全局唯一子用户标识符；以及使用所述安全令牌来为所述子用户的后续请求确定所述子用户对所述文件系统的访问权。
B.根据段落A所述的方法，其中，所述连接请求是TCP连接请求，所述TCP连接请求是对到所述文件系统的TCP连接的请求。
C.根据段落A所述的方法，所述方法还包括：在确定到所述文件系统的连接不被允许时，拒绝所述连接请求。
D.根据段落A所述的方法，其中，对来自所述控制系统的识别请求的响应包括：来自所述控制系统的对是否允许连接到所述文件系统的决定，所述决定是基于所述文件系统客户端的源IP的当前所有者的身份的。
E.根据段落D所述的方法，其中，在客户端识别应用程序编程接口API中检查所述当前所有者的身份，并且确定对应于所述当前所有者的身份的云租户是否能够访问所述文件系统。
F.根据段落E所述的方法，其中，认证所述子用户包括：基于使用所述子用户的凭证协商的安全协议发起子用户认证会话；基于所述连接将所述云租户的域名附加到所述子用户的用户名，以创建全局唯一子用户用户名；以及作为代理以在所述文件系统客户端和所述控制系统之间传递协议协商消息，直到所述控制系统作出认证决定。
G.根据段落E所述的方法，其中，认证所述子用户包括：基于所述云租户从所述控制系统取得对应的子用户信息；以及针对所述连接请求接收所述子用户的全局唯一用户名。
H.根据段落G所述的方法，所述方法还包括：在接收到所述子用户的无效全局唯一用户名时，拒绝所述连接请求，所述无效全局唯一用户名包括以下中的至少一个：所述云租户的无效域名，或所述子用户的无效用户名。
I.根据段落A所述的方法，其中，建立到所述文件系统的连接包括：接受所述连接请求；记录与所述连接相关联的访问控制策略；将所记录的访问控制策略应用于所述连接；以及服务于所述连接上的请求。
J.根据段落I所述的方法，其中，使用所述安全令牌来为后续请求确定所述子用户对所述文件系统的访问权包括：使用所述安全令牌来应用文件级访问控制策略，以对于所述后续请求确定是否允许所述子用户访问所述文件系统。
K.根据段落I所述的方法，其中，所述访问控制策略还与所述文件系统客户端的要应用于到所述文件系统的连接的源IP相关联。
L.根据段落I所述的方法，所述方法还包括：在检测到对所述文件系统的所述访问控制策略的改变时，从所述控制系统接收访问控制列表(ACL)策略变化通知524，其中，所述通知被发送到与所述文件系统连接的所有文件系统服务器。
LM.根据段落A所述的方法，所述方法还包括：在建立到所述文件系统的连接时，通知所述控制系统关于所述连接的信息，所述信息包括连接的建立时间、所述文件系统客户端和所述文件系统。
N.一种文件系统服务器，所述文件系统服务器包括：一个或更多个处理器；以及联接到所述一个或更多个处理器的存储器，所述存储器存储能够由所述一个或更多个处理器执行的计算机可执行指令，所述指令在被执行时使所述一个或更多个处理器执行包括以下内容的操作：从文件系统客户端接收连接请求，所述连接请求是连接到文件系统的请求；向控制系统发送用于所述文件系统客户端的身份认证的识别请求；接收来自所述控制系统的对所述识别请求的响应；基于所述响应，确定到所述文件系统的连接是否被允许；在确定到所述文件系统的连接被允许时，建立到所述文件系统的连接；从所述文件系统客户端接收由子用户对所述文件系统的访问尝试；认证所述子用户；发出安全令牌，所述安全令牌包括所述子用户的全局唯一子用户标识符；以及使用所述安全令牌来为所述子用户的后续请求确定所述子用户对所述文件系统的访问权。
O.根据段落N所述的文件系统服务器，其中，所述连接请求是TCP连接请求，所述TCP连接请求是对到所述文件系统的TCP连接的请求。
P.根据段落N所述的文件系统服务器，其中，所述操作还包括：在确定到所述文件系统的连接不被允许时，拒绝所述连接请求。
Q.根据段落N所述的文件系统服务器，其中，对来自所述控制系统的识别请求的响应包括：来自所述控制系统的对是否允许连接到所述文件系统的决定，所述决定是基于所述文件系统客户端的源IP的当前所有者的身份的。
R.根据段落Q所述的文件系统服务器，其中，在客户端识别应用程序编程接口API中检查所述当前所有者的身份，并且确定对应于所述当前所有者的身份的云租户是否能够访问所述文件系统。
S.根据段落Q所述的文件系统服务器，其中，认证所述子用户包括：基于使用所述子用户的凭证协商的安全协议发起子用户认证会话；基于所述连接将所述云租户的域名附加到所述子用户的用户名，以创建全局唯一子用户用户名；以及作为代理以在所述文件系统客户端和所述控制系统之间传递协议协商消息，直到所述控制系统作出认证决定。
T.根据段落Q所述的文件系统服务器，其中，认证所述子用户包括：基于所述云租户从所述控制系统取得对应的子用户信息；以及针对所述连接请求接收所述子用户的全局唯一用户名。
U.根据段落T所述的文件系统服务器，其中，认证所述子用户还包括：在接收到所述当前租户所有者的无效全局唯一用户名时，拒绝所述连接请求，所述无效全局唯一用户名包括以下中的至少一个：所述云租户的无效域名，或所述子用户的无效用户名。
V.根据段落N所述的文件系统服务器，其中，建立到所述文件系统的连接包括：接受所述连接请求；记录与所述连接相关联的访问控制策略；将所记录的访问控制策略应用于所述连接；以及服务于所述TCP连接上的请求。
W.根据段落V所述的文件系统服务器，其中，使用所述安全令牌来为后续请求确定所述子用户对所述文件系统的访问权包括：使用所述安全令牌来应用文件级访问控制策略，以对于所述后续请求确定是否允许所述子用户访问所述文件系统。
X.根据段落V所述的文件系统服务器，其中，所述访问控制策略还与所述文件系统客户端的要应用于到所述文件系统的被允许的连接的源IP相关联。
Y.根据段落V所述的文件系统服务器，其中，所述操作还包括：在检测到对所述文件系统的所述访问控制策略的改变时，从所述控制系统接收通知，其中，所述通知被发送到与所述文件系统连接的所有文件系统服务器。
Z.根据段落N所述的文件系统服务器，其中，所述操作还包括：在建立到所述文件系统的连接时，通知所述控制系统关于所述连接的信息，所述信息包括连接的建立时间、所述文件系统客户端和所述文件系统。
AA.一种计算机可读介质，所述计算机可读介质存储能够由一个或更多个处理器执行的计算机可读指令，所述指令在被执行时使所述一个或更多个处理器执行包括以下内容的操作：从文件系统客户端接收连接请求，所述连接请求是连接到文件系统的请求；向控制系统发送用于所述文件系统客户端的身份认证的识别请求；接收来自所述控制系统的对所述请求的响应；基于所述响应，确定到所述文件系统的连接是否被允许；在确定到所述文件系统的连接被允许时，建立到所述文件系统的连接；从所述文件系统客户端接收由子用户对所述文件系统的访问尝试；认证所述子用户；发出安全令牌，所述安全令牌包括所述子用户的全局唯一子用户标识符；以及使用所述安全令牌来为所述子用户的后续请求确定所述子用户对所述文件系统的访问权。
AB.根据段落AA所述的计算机可读介质，其中，所述连接请求是TCP连接请求，所述TCP连接请求是对到所述文件系统的TCP连接的请求。
AC.根据段落AA所述的计算机可读介质，其中，所述操作还包括：在确定到所述文件系统的连接不被允许时，拒绝所述连接请求。
AD.根据段落AA所述的计算机可读介质，其中，对来自所述控制系统的识别请求的响应包括：来自所述控制系统的对是否允许连接到所述文件系统的决定，所述决定是基于所述文件系统客户端的源IP的当前租户所有者的身份的。
AE.根据段落AD所述的计算机可读介质，其中，在客户端识别应用程序编程接口API中检查所述当前租户所有者的身份，并且确定对应于所述当前所有者的身份的云租户是否能够访问所述文件系统。
AF.根据段落AE所述的计算机可读介质，其中，认证所述子用户包括：基于使用所述子用户的凭证协商的安全协议发起子用户认证会话；基于所述连接将所述云租户的域名附加到所述子用户的用户名，以创建全局唯一子用户用户名；以及作为代理以在所述文件系统客户端和所述控制系统之间传递协议协商消息，直到所述控制系统作出认证决定。
AG.根据段落AD所述的计算机可读介质，其中，认证所述子用户包括：基于所述云租户从所述控制系统取得对应的子用户信息；以及针对所述连接请求接收所述子用户的全局唯一用户名。
AH.根据段落AG所述的计算机可读介质，其中，认证所述子用户还包括：在接收到所述子用户的无效全局唯一用户名时，拒绝所述连接请求，所述无效全局唯一用户名包括以下中的至少一个：所述云租户的无效域名，或所述子用户的无效用户名。
AI.根据段落AA所述的计算机可读介质，其中，建立到所述文件系统的连接包括：接受所述连接请求；记录与所述连接相关联的访问控制策略；将所记录的访问控制策略应用于所述连接；以及服务于所述连接上的请求。
AJ.根据段落AI所述的计算机可读介质，其中，使用所述安全令牌来为所述后续请求确定所述子用户对所述文件系统的访问权包括：使用所述安全令牌来应用文件级访问控制策略，以对于所述后续请求确定是否允许所述子用户访问所述文件系统。
AK.根据段落AI所述的计算机可读介质，其中，所述访问控制策略还与所述文件系统客户端的要应用于到所述文件系统的连接的源IP相关联。
AL.根据段落AI所述的计算机可读介质，其中，所述操作还包括：在检测到对所述文件系统的所述访问控制策略的改变时，从所述控制系统接收通知，其中，所述通知被发送到与所述文件系统连接的所有文件系统服务器。
AM.根据段落AA所述的计算机可读介质，其中，所述操作还包括：在建立到所述文件系统的连接时，通知所述控制系统关于所述连接的信息，所述信息包括连接的建立时间、所述文件系统客户端和所述文件系统。
结论
虽然已经用结构特征和/或方法动作专用的语言描述了主题，但是应当理解，所附权利要求中定义的主题不一定限于所描述的具体特征或动作。相反，特定特征和动作是作为实现权利要求的示例性形式来公开的。

Claims (39)

1.一种应用于文件系统服务器中的方法，所述方法包括：
从文件系统客户端接收连接请求，所述连接请求是连接到文件系统的请求；
向控制系统发送用于所述文件系统客户端的身份认证的识别请求；
接收来自所述控制系统的对所述识别请求的响应；
基于所述响应，确定到所述文件系统的连接是否被允许；
在确定到所述文件系统的连接被允许时，建立到所述文件系统的连接；
从所述文件系统客户端接收由子用户对所述文件系统的访问尝试；
认证所述子用户；
发出安全令牌，所述安全令牌包括所述子用户的全局唯一子用户标识符；以及
使用所述安全令牌来为所述子用户的后续请求确定所述子用户对所述文件系统的访问权。
2.根据权利要求1所述的方法，其中，所述连接请求是TCP连接请求，所述TCP连接请求是对到所述文件系统的TCP连接的请求。
3.根据权利要求1所述的方法，所述方法还包括：
在确定到所述文件系统的连接不被允许时，拒绝所述连接请求。
4.根据权利要求1所述的方法，其中，对来自所述控制系统的识别请求的响应包括：
来自所述控制系统的对是否允许连接到所述文件系统的决定，所述决定是基于所述文件系统客户端的源IP的当前所有者的身份的。
5.根据权利要求4所述的方法，其中，在客户端识别应用程序编程接口API中检查所述当前所有者的身份，并且确定对应于所述当前所有者的身份的云租户是否能够访问所述文件系统。
6.根据权利要求5所述的方法，其中，认证所述子用户包括：
基于使用所述子用户的凭证协商的安全协议发起子用户认证会话；
基于所述连接将所述云租户的域名附加到所述子用户的用户名，以创建全局唯一子用户用户名；以及
作为代理以在所述文件系统客户端和所述控制系统之间传递协议协商消息，直到所述控制系统作出认证决定。
7.根据权利要求5所述的方法，其中，认证所述子用户包括：
基于所述云租户从所述控制系统取得对应的子用户信息；以及
针对所述连接请求接收所述子用户的全局唯一用户名。
8.根据权利要求7所述的方法，所述方法还包括：
在接收到所述子用户的无效全局唯一用户名时，拒绝所述连接请求，所述无效全局唯一用户名包括以下中的至少一个：
所述云租户的无效域名，或
所述子用户的无效用户名。
9.根据权利要求1所述的方法，其中，建立到所述文件系统的连接包括：
接受所述连接请求；
记录与所述连接相关联的访问控制策略；
将所记录的访问控制策略应用于所述连接；以及
服务于所述连接上的请求。
10.根据权利要求9所述的方法，其中，使用所述安全令牌来为后续请求确定所述子用户对所述文件系统的访问权包括：
使用所述安全令牌来应用文件级访问控制策略，以对于所述后续请求确定是否允许所述子用户访问所述文件系统。
11.根据权利要求9所述的方法，其中，所述访问控制策略还与所述文件系统客户端的要应用于到所述文件系统的连接的源IP相关联。
12.根据权利要求9所述的方法，所述方法还包括：
在检测到对所述文件系统的所述访问控制策略的改变时，从所述控制系统接收通知，其中，所述通知被发送到与所述文件系统连接的所有文件系统服务器。
13.根据权利要求1所述的方法，所述方法还包括：
在建立到所述文件系统的连接时，通知所述控制系统关于所述连接的信息，所述信息包括连接的建立时间、所述文件系统客户端和所述文件系统。
14.一种文件系统服务器，所述文件系统服务器包括：
一个或更多个处理器；以及
联接到所述一个或更多个处理器的存储器，所述存储器存储能够由所述一个或更多个处理器执行的计算机可执行指令，所述指令在被执行时使所述一个或更多个处理器执行包括以下内容的操作：
从文件系统客户端接收连接请求，所述连接请求是连接到文件系统的请求；
向控制系统发送用于所述文件系统客户端的身份认证的识别请求；
接收来自所述控制系统的对所述识别请求的响应；
基于所述响应，确定到所述文件系统的连接是否被允许；
在确定到所述文件系统的连接被允许时，建立到所述文件系统的连接；
从所述文件系统客户端接收由子用户对所述文件系统的访问尝试；
认证所述子用户；
发出安全令牌，所述安全令牌包括所述子用户的全局唯一子用户标识符；以及
使用所述安全令牌来为所述子用户的后续请求确定所述子用户对所述文件系统的访问权。
15.根据权利要求14所述的文件系统服务器，其中，所述连接请求是TCP连接请求，所述TCP连接请求是对到所述文件系统的TCP连接的请求。
16.根据权利要求14所述的文件系统服务器，其中，所述操作还包括：
在确定到所述文件系统的连接不被允许时，拒绝所述连接请求。
17.根据权利要求14所述的文件系统服务器，其中，对来自所述控制系统的识别请求的响应包括：
来自所述控制系统的对是否允许连接到所述文件系统的决定，所述决定是基于所述文件系统客户端的源IP的当前所有者的身份的。
18.根据权利要求17所述的文件系统服务器，其中，在客户端识别应用程序编程接口API中检查所述当前所有者的身份，并且确定对应于所述当前所有者的身份的云租户是否能够访问所述文件系统。
19.根据权利要求18所述的文件系统服务器，其中，认证所述子用户包括：
基于使用所述子用户的凭证协商的安全协议发起子用户认证会话；
基于所述连接将所述云租户的域名附加到所述子用户的用户名，以创建全局唯一子用户用户名；以及
作为代理以在所述文件系统客户端和所述控制系统之间传递协议协商消息，直到所述控制系统作出认证决定。
20.根据权利要求18所述的文件系统服务器，其中，认证所述子用户包括：
基于所述云租户从所述控制系统取得对应的子用户信息；以及
针对所述连接请求接收所述子用户的全局唯一用户名。
21.根据权利要求20所述的文件系统服务器，其中，认证所述子用户还包括：
在接收到所述子用户的无效全局唯一用户名时，拒绝所述连接请求，所述无效全局唯一用户名包括以下中的至少一个：
所述云租户的无效域名，或
所述子用户的无效用户名。
22.根据权利要求14所述的文件系统服务器，其中，建立到所述文件系统的连接包括：
接受所述连接请求；
记录与所述连接相关联的访问控制策略；
将所记录的访问控制策略应用于所述连接；以及
服务于所述连接上的请求。
23.根据权利要求22所述的文件系统服务器，其中，使用所述安全令牌来为后续请求确定所述子用户对所述文件系统的访问权包括：
使用所述安全令牌来应用文件级访问控制策略，以对于所述后续请求确定是否允许所述子用户访问所述文件系统。
24.根据权利要求22所述的文件系统服务器，其中，所述访问控制策略还与所述文件系统客户端的要应用于到所述文件系统的连接的源IP相关联。
25.根据权利要求22所述的文件系统服务器，其中，所述操作还包括：
在检测到对所述文件系统的所述访问控制策略的改变时，从所述控制系统接收通知，其中，所述通知被发送到与所述文件系统连接的所有文件系统服务器。
26.根据权利要求14所述的文件系统服务器，其中，所述操作还包括：
在建立到所述文件系统的连接时，通知所述控制系统关于所述连接的信息，所述信息包括连接的建立时间、所述文件系统客户端和所述文件系统。
27.一种计算机可读介质，所述计算机可读介质存储能够由一个或更多个处理器执行的计算机可读指令，所述指令在被执行时使所述一个或更多个处理器执行包括以下内容的操作：
从文件系统客户端接收连接请求，所述连接请求是连接到文件系统的请求；
向控制系统发送用于所述文件系统客户端的身份认证的识别请求；
接收来自所述控制系统的对所述识别请求的响应；
基于所述响应，确定到所述文件系统的连接是否被允许；
在确定到所述文件系统的连接被允许时，建立到所述文件系统的连接；
从所述文件系统客户端接收由子用户对所述文件系统的访问尝试；
认证所述子用户；
发出安全令牌，所述安全令牌包括所述子用户的全局唯一子用户标识符；以及
使用所述安全令牌来为所述子用户的后续请求确定所述子用户对所述文件系统的访问权。
28.根据权利要求27所述的计算机可读介质，其中，所述连接请求是TCP连接请求，所述TCP连接请求是对到所述文件系统的TCP连接的请求。
29.根据权利要求27所述的计算机可读介质，其中，所述操作还包括：
在确定到所述文件系统的连接不被允许时，拒绝所述连接请求。
30.根据权利要求27所述的计算机可读介质，其中，对来自所述控制系统的识别请求的响应包括：
来自所述控制系统的对是否允许连接到所述文件系统的决定，所述决定是基于所述文件系统客户端的源IP的当前所有者的身份的。
31.根据权利要求30所述的计算机可读介质，其中，在客户端识别应用程序编程接口API中检查所述当前所有者的身份，并且确定对应于所述当前所有者的身份的云租户是否能够访问所述文件系统。
32.根据权利要求31所述的计算机可读介质，其中，认证所述子用户包括：
基于使用所述子用户的凭证协商的安全协议发起子用户认证会话；
基于所述连接将所述云租户的域名附加到所述子用户的用户名，以创建全局唯一子用户用户名；以及
作为代理以在所述文件系统客户端和所述控制系统之间传递协议协商消息，直到所述控制系统作出认证决定。
33.根据权利要求31所述的计算机可读介质，其中，认证所述子用户包括：
基于所述云租户从所述控制系统取得对应的子用户信息；以及
针对所述连接请求接收所述子用户的全局唯一用户名。
34.根据权利要求33所述的计算机可读介质，其中，认证所述子用户还包括：
在接收到所述子用户的无效全局唯一用户名时，拒绝所述连接请求，所述无效全局唯一用户名包括以下中的至少一个：
所述云租户的无效域名，或
所述子用户的无效用户名。
35.根据权利要求27所述的计算机可读介质，其中，建立到所述文件系统的TCP连接包括：
接受所述连接请求；
记录与所述连接相关联的访问控制策略；
将所记录的访问控制策略应用于所述连接；以及
服务于所述连接上的请求。
36.根据权利要求35所述的计算机可读介质，其中，使用所述安全令牌来为所述后续请求确定所述子用户对所述文件系统的访问权包括：
使用所述安全令牌来应用文件级访问控制策略，以对于所述后续请求确定是否允许所述子用户访问所述文件系统。
37.根据权利要求35所述的计算机可读介质，其中，所述访问控制策略还与所述文件系统客户端的要应用于到所述文件系统的连接的源IP相关联。
38.根据权利要求35所述的计算机可读介质，其中，所述操作还包括：
在检测到对所述文件系统的所述访问控制策略的改变时，从所述控制系统接收通知，其中，所述通知被发送到与所述文件系统连接的所有文件系统服务器。
39.根据权利要求27所述的计算机可读介质，其中，所述操作还包括：
在建立到所述文件系统的连接时，通知所述控制系统关于所述连接的信息，所述信息包括连接的建立时间、所述文件系统客户端和所述文件系统。
CN201880099413.6A 2018-10-10 2018-10-10 文件系统服务器、应用于其中的方法、计算机可读介质 Active CN113039745B (zh)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2018/109647 WO2020073230A1 (en) 2018-10-10 2018-10-10 Authentication and authorization for cloud file system

Publications (2)

Publication Number Publication Date
CN113039745A CN113039745A (zh) 2021-06-25
CN113039745B true CN113039745B (zh) 2023-04-14

Family

ID=70163720

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201880099413.6A Active CN113039745B (zh) 2018-10-10 2018-10-10 文件系统服务器、应用于其中的方法、计算机可读介质

Country Status (4)

Country Link
US (1) US11949681B2 (zh)
EP (1) EP3864795A4 (zh)
CN (1) CN113039745B (zh)
WO (1) WO2020073230A1 (zh)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114499977B (zh) * 2021-12-28 2023-08-08 天翼云科技有限公司 一种认证方法及装置
CN114500406A (zh) * 2022-02-11 2022-05-13 浪潮云信息技术股份公司 一种云文件存储细粒度QoS控制方法及系统
CN114900336B (zh) * 2022-04-18 2023-07-07 中国航空工业集团公司沈阳飞机设计研究所 一种应用系统跨单位安全共享方法及系统
US11941262B1 (en) * 2023-10-31 2024-03-26 Massood Kamalpour Systems and methods for digital data management including creation of storage location with storage access ID

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6122631A (en) * 1997-03-28 2000-09-19 International Business Machines Corporation Dynamic server-managed access control for a distributed file system
CN107852417A (zh) * 2016-05-11 2018-03-27 甲骨文国际公司 多租户身份和数据安全性管理云服务

Family Cites Families (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8352941B1 (en) * 2009-06-29 2013-01-08 Emc Corporation Scalable and secure high-level storage access for cloud computing platforms
US8745384B2 (en) * 2011-08-11 2014-06-03 Cisco Technology, Inc. Security management in a group based environment
US8819801B2 (en) * 2011-10-31 2014-08-26 Microsoft Corporation Secure machine enrollment in multi-tenant subscription environment
US9424437B1 (en) * 2012-10-12 2016-08-23 Egnyte, Inc. Systems and methods for providing file access in a hybrid cloud storage system
US9411973B2 (en) * 2013-05-02 2016-08-09 International Business Machines Corporation Secure isolation of tenant resources in a multi-tenant storage system using a security gateway
US9098687B2 (en) * 2013-05-03 2015-08-04 Citrix Systems, Inc. User and device authentication in enterprise systems
US9191384B2 (en) * 2013-06-26 2015-11-17 Vmware, Inc. Maintaining privacy in a multi-tenant cloud service participating in a federated identity platform
US9438506B2 (en) * 2013-12-11 2016-09-06 Amazon Technologies, Inc. Identity and access management-based access control in virtual networks
US10079824B2 (en) * 2013-12-17 2018-09-18 Hitachi Vantara Corporation Transaction query engine
US20160028833A1 (en) 2014-07-25 2016-01-28 Violeta Georgieva Tenant aware session manager
US10009337B1 (en) * 2015-06-30 2018-06-26 EMC IP Holding Company LLC Child tenant revocation in a multiple tenant environment
US10044723B1 (en) * 2015-06-30 2018-08-07 EMC IP Holding Company LLC Principal/user operation in the context of a tenant infrastructure
US9992186B1 (en) * 2015-06-30 2018-06-05 EMC IP Holding Company LLC SAML representation for multi-tenancy environments
US9774586B1 (en) * 2015-08-31 2017-09-26 EMC IP Holding Company LLC Dynamic authorization of users in a multi-tenant environment using tenant authorization profiles
US10565664B2 (en) * 2016-06-07 2020-02-18 International Business Machines Corporation Controlling access to a vault server in a multitenant environment
JP6584440B2 (ja) * 2017-01-27 2019-10-02 キヤノン株式会社 情報処理システム、情報処理ステムの制御方法およびそのプログラム。
US11658982B2 (en) * 2017-10-06 2023-05-23 Red Hat, Inc. Efficient authentication in a file system with multiple security groups

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6122631A (en) * 1997-03-28 2000-09-19 International Business Machines Corporation Dynamic server-managed access control for a distributed file system
CN107852417A (zh) * 2016-05-11 2018-03-27 甲骨文国际公司 多租户身份和数据安全性管理云服务

Also Published As

Publication number Publication date
CN113039745A (zh) 2021-06-25
EP3864795A1 (en) 2021-08-18
US20210377273A1 (en) 2021-12-02
WO2020073230A1 (en) 2020-04-16
EP3864795A4 (en) 2022-05-11
US11949681B2 (en) 2024-04-02

Similar Documents

Publication Publication Date Title
US11695757B2 (en) Fast smart card login
US20200314088A1 (en) Extending Single-Sign-On to Relying Parties of Federated Logon Providers
EP3770781B1 (en) Fast smart card logon and federated full domain logon
US11902277B2 (en) Secure modification of manufacturer usage description files based on device applications
CN113039745B (zh) 文件系统服务器、应用于其中的方法、计算机可读介质
US9288193B1 (en) Authenticating cloud services
US10541991B2 (en) Method for OAuth service through blockchain network, and terminal and server using the same
US11489872B2 (en) Identity-based segmentation of applications and containers in a dynamic environment
US9038138B2 (en) Device token protocol for authorization and persistent authentication shared across applications
EP2150916B1 (en) Cascading authentication system
US8948399B2 (en) Dynamic key management
US20140047498A1 (en) System and method for shared folder creation in a network environment
JP2022533890A (ja) 異なる認証クレデンシャルを有する認証トークンに基づいてセッションアクセスを提供するコンピューティングシステムおよび方法
US20180332043A1 (en) Integrated hosted directory
CN112352411B (zh) 利用不同的云服务网络的相同域的注册
US9344427B1 (en) Facilitating multiple authentications
US20160285843A1 (en) System and method for scoping a user identity assertion to collaborative devices
US8250640B1 (en) Transparent kerboros delegation with a storage virtualization system
LU500755B1 (en) Confining lateral traversal within a computer network

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant