CN113992381A - 授权方法、装置、授权平台及存储介质 - Google Patents

Abstract

本公开实施例涉及一种授权方法、装置、授权平台及存储介质，通过授权平台接收堡垒机的第一授权请求，授权请求中包括堡垒机的唯一标识，以及授权范围的信息，授权平台将堡垒机的第一授权请求发送给授权服务器，以使授权服务器基于堡垒机的唯一标识和授权范围的信息进行授权验证，然后授权平台接收授权服务器在授权验证通过后返回的授权通知并将授权通知发送给堡垒机。本申请提供的方案，通过设置可以分别与不同网络下的堡垒机和授权服务器进行通信的授权平台，将不同网络下的堡垒机和授权服务器联系起来，实现对不同网络环境下的堡垒机的授权和统一管理，提高了授权管理的灵活性和安全性。

Description

授权方法、装置、授权平台及存储介质

技术领域

本公开实施例涉及数据安全技术领域，尤其涉及一种授权方法、装置、授权平台及存储介质。

背景技术

堡垒机作为一种安全审计系统，通常用于特定网络，以确保网络和数据不受外部和内部用户的入侵以及破坏。堡垒机主要用于管理资产，因此可管理资产数即是堡垒机最重要的价值，可管理资产数通过授权来决定。

相关技术中可通过授权服务器对堡垒机进行授权，在这种情况下堡垒机和授权服务器必须在同一网络环境内。但是，对于多台堡垒机部署在不同区域，不同堡垒机之间网络不相通，授权服务器与堡垒机之间也不能通信的情况，授权服务器无法对堡垒机进行授权。

发明内容

为了解决上述技术问题或者至少部分地解决上述技术问题，本公开实施例提供了一种授权方法、装置、授权平台及存储介质。

本公开实施例的第一方面提供了一种授权方法，该方法适用于一种授权系统，该授权系统包括授权服务器、堡垒机和授权平台，该方法包括：

授权平台接收堡垒机的第一授权请求，该授权请求中包括堡垒机的唯一标识，以及授权范围的信息；授权平台将堡垒机的唯一标识和授权范围的信息发送给授权服务器，以使授权服务器基于堡垒机的唯一标识和授权范围的信息进行授权验证；授权平台接收授权服务器在授权验证通过后返回的授权通知；授权平台将授权通知发送给堡垒机。

本公开实施例的第二方面提供了一种授权装置，该授权装置适用于一种授权系统，该授权系统包括授权服务器、堡垒机和授权平台，该授权装置应用于授权平台中，包括：

第一接收模块，用于接收堡垒机的第一授权请求，授权请求中包括堡垒机的唯一标识，以及授权范围的信息；

第一发送模块，用于将堡垒机的唯一标识和授权范围的信息发送给授权服务器，以使授权服务器基于堡垒机的唯一标识和授权范围的信息进行授权验证；

第一接收模块，还用于接收授权服务器在授权验证通过后返回的授权通知；

第一发送模块，还用于将授权通知发送给堡垒机。

本公开实施例的第三方面提供了一种授权平台，该授权平台包括存储器和处理器，其中，存储器中存储有计算机程序，当该计算机程序被处理器执行时，实现如上述所述的授权方法。

本公开实施例的第四方面提供了一种计算机可读存储介质，该存储介质中存储有计算机程序，当该计算机程序被处理器执行时，可以实现如上述所述的授权方法。

本公开实施例提供的技术方案与现有技术相比具有如下优点：

本公开实施例，通过授权平台接收堡垒机的第一授权请求，授权请求中包括堡垒机的唯一标识，以及授权范围的信息，授权平台将堡垒机的第一授权请求发送给授权服务器，以使授权服务器基于堡垒机的唯一标识和授权范围的信息进行授权验证，然后授权平台接收授权服务器在授权验证通过后返回的授权通知并将授权通知发送给堡垒机。本公开实施例通过设置可以分别与不同网络下的堡垒机和授权服务器进行通信的授权平台，将不同网络下的堡垒机和授权服务器联系起来，实现对不同网络环境下的堡垒机的授权和统一管理，提高了授权管理的灵活性和安全性。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。

为了更清楚地说明本公开实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本公开实施例提供的一种授权系统的示意图；

图2是本公开实施例提供的一种授权方法的流程图；

图3是本公开实施例提供的一种授权回收方法的流程图；

图4是本公开实施例提供的一种授权装置的结构示意图。

具体实施方式

为了能够更清楚地理解本公开的上述目的、特征和优点，下面将对本公开的方案进行进一步描述。需要说明的是，在不冲突的情况下，本公开的实施例及实施例中的特征可以相互组合。

在下面的描述中阐述了很多具体细节以便于充分理解本公开，但本公开还可以采用其他不同于在此描述的方式来实施；显然，说明书中的实施例只是本公开的一部分实施例，而不是全部的实施例。

图1是本公开实施例提供的一种授权系统的示意图，该授权系统可以包括授权服务器、堡垒机和授权平台。

其中，授权服务器与堡垒机可以部署在不同网络环境内，也可以部署在同一网络环境内，可以部署在不同区域内，也可以部署在同一区域内，即授权服务器与堡垒机之间、堡垒机与堡垒机之间，可以无通信连接，也可以建立通信连接；授权平台可以分别与授权服务器和堡垒机建立通信连接。

本公开实施例所称的授权服务器，可以与堡垒机处于同一网络环境下，根据实际使用情况可以直接对堡垒机进行授权的下发，但是在授权服务器与堡垒机处于不同网络环境下时，则无法直接对堡垒机进行授权的下发。授权服务器存储着可授权堡垒机管理的资源数量，该资源的数量是一定的，该资源可以理解为堡垒机可管理的资产。

本公开实施例所称的堡垒机，可以理解为一种安全审计系统，通常用于特定网络，以确保网络和数据不受外部和内部用户的入侵以及破坏。堡垒机主要用于管理资产，因此可管理资产数即是堡垒机最重要的价值，可管理资产数通过授权来决定。

本公开实施例所称的授权平台，可以理解为一个可信赖的第三方平台，这个平台可以是企业自己的云平台，也可以是其他类似平台，这里不作限定，作为统一管理多项产品的一个中枢，该平台可以访问不同网络、不同区域的堡垒机也可以访问授权服务器。

图2是本公开实施例提供的一种授权方法的流程图，该方法可以由一种授权平台来执行。该授权平台可以被理解为任意一种具有处理能力和计算能力的设备。如图2所示，本实施例提供的方法包括如下步骤：

步骤201、授权平台接收堡垒机的第一授权请求，授权请求中包括堡垒机的唯一标识，以及授权范围的信息。

其中，本公开实施例所称的“第一授权请求”仅是用于区分基于授权平台接收堡垒机发送的授权请求和基于其他方式接收到的授权请求，而不具有其他含义。

本公开实施例所称的唯一标识，可以包括硬盘序列号，内存序列号，CPU序列号，IP地址(Internet Protocol Address)，网卡MAC地址(Media Access Control Address)等其他能够唯一识别出该设备的标识信息，从而保证授权平台识别的堡垒机的授权请求对于该堡垒机具有唯一性。

本公开实施例所称的授权范围的信息，可以包括堡垒机请求的资源数的信息(即堡垒机申请管理的资源数量)，也可以包括其他信息，比如，授权使用期限等，这里不作限定。

在本公开实施例中，授权平台接收堡垒机的第一授权请求之前，需建立与堡垒机和授权服务器的连接，连接成功后，堡垒机可以将携带自身唯一标识，以及授权范围信息的第一授权请求发送给授权平台，授权平台接收堡垒机的第一授权请求。

在本公开的一些实施例中，授权平台接收堡垒机的第一授权请求之前，授权平台建立与目标堡垒机和授权服务器的连接，然后授权平台向目标堡垒机发起授权操作，堡垒机接收到授权平台的授权操作指令后，将携带自身唯一标识，以及授权范围信息的第一授权请求发送给授权平台，此处的授权范围的信息和上述授权范围的信息相同，这里不再赘述，授权平台接收堡垒机的第一授权请求。

步骤202、授权平台将堡垒机的唯一标识和授权范围的信息发送给授权服务器，以使授权服务器基于堡垒机的唯一标识和授权范围的信息进行授权验证。

授权平台根据授权服务器的地址，访问授权服务器，将堡垒机的唯一标识和授权范围的信息发送给授权服务器，授权服务器存储有预设的标识列表，标识列表中至少包括堡垒机的唯一标识和授权服务器剩余的可授权资源数，授权服务器授权验证步骤包括S21-S23：

S21、验证接收到的堡垒机的唯一标识是否存在于授权服务器预设的标识列表中，若接收到的堡垒机的唯一标识在授权服务器预设的标识列表中存在，则执行S22；若接收到的堡垒机的唯一标识在授权服务器预设的标识列表中不存在，则授权验证不通过，授权流程结束。

S22、验证堡垒机请求的资源数是否超过授权服务器剩余的可授权资源数，若堡垒机请求的资源数未超过授权服务器剩余的可授权资源数，授权验证通过，执行S23；若堡垒机请求的资源数超过授权服务器剩余的可授权资源数，则授权验证不通过，授权流程结束。

S23、授权服务器授权验证通过后，授权服务器在剩余的可授权资源数中将堡垒机请求的资源数消耗掉，并生成授权通知，将授权通知发送给授权平台。

本公开实施例中的授权通知，至少包括授权服务器授权验证通过的结果、堡垒机的唯一标识以及堡垒机请求的授权范围的信息，还可以包括其他信息，这里不作限定。

步骤203、授权平台接收授权服务器在授权验证通过后返回的授权通知。

步骤204、授权平台将授权通知发送给堡垒机。

堡垒机接收到授权平台发送的授权通知后，对授权通知中堡垒机的唯一标识进行验证，若该唯一标识与该堡垒机自身唯一标识相同，则验证通过，堡垒机授权生效，授权流程结束；若该唯一标识与该堡垒机自身唯一标识不相同，则验证不通过，堡垒机拒绝授权，授权失败，授权流程结束。

本公开实施例提供的技术方案与现有技术相比具有如下优点：

本公开实施例，通过授权平台接收堡垒机的第一授权请求，授权请求中包括堡垒机的唯一标识，以及授权范围的信息，授权平台将堡垒机的第一授权请求发送给授权服务器，以使授权服务器基于堡垒机的唯一标识和授权范围的信息进行授权验证，然后授权平台接收授权服务器在授权验证通过后返回的授权通知并将授权通知发送给堡垒机。本公开实施例通过设置可以分别与不同网络下的堡垒机和授权服务器进行通信的授权平台，将不同网络下的堡垒机和授权服务器联系起来，实现对不同网络环境下的堡垒机的授权和统一管理，提高了授权管理的灵活性和安全性。

图3是本公开实施例提供的一种授权回收方法的流程图，该方法可以由一种授权平台来执行。该授权平台可以被理解为任意一种具有处理能力和计算能力的设备。如图3所示，该方法包括：

步骤301、授权平台接收堡垒机发送的授权停用通知，授权停用通知中包括堡垒机的唯一标识，以及授权停用范围的信息。

本公开实施例所称的授权停用范围的信息，可以包括授权停用时间和堡垒机已授权的资源数的信息(即堡垒机申请管理的资源数量)，还可以包括授权期限等信息，这里不作唯一限定。

在本公开实施例中，授权平台接收堡垒机发送的授权停用通知之前，需建立与堡垒机和授权服务器的连接，连接成功后，堡垒机可以将携带的自身唯一标识，以及授权停用范围的信息的授权停用通知发送给授权平台。

在本公开的一些实施例中，授权平台接收堡垒机的授权停用通知之前，授权平台建立与目标堡垒机和授权服务器的连接，然后授权平台向目标堡垒机发起授权停用操作，堡垒机接收到授权平台的授权停用操作指令后，将携带自身唯一标识，以及授权停用范围的信息的授权停用通知发送给授权平台，此处的授权停用范围的信息和上述授权停用范围的信息相同，这里不再赘述，授权平台接收堡垒机的授权停用通知。

步骤302、授权平台将堡垒机的唯一标识和授权停用范围的信息发送给授权服务器，以使授权服务器根据堡垒机的唯一标识和授权停用范围的信息，收回针对该堡垒机的授权。

授权平台根据授权服务器的地址，访问授权服务器，将堡垒机的唯一标识和授权停用范围的信息发送给授权服务器，然后授权服务器对堡垒机的唯一标识和授权停用范围的信息进行验证，授权服务器存储有预设的标识列表，标识列表中至少包括堡垒机的唯一标识和授权服务器剩余的可授权资源数，授权服务器授权停用验证步骤包括S31-S33：

S31、验证接收到的堡垒机的唯一标识是否存在于授权服务器预设的标识列表中，若接收到的堡垒机的唯一标识在授权服务器预设的标识列表中存在，则执行S32；若接收到的堡垒机的唯一标识在授权服务器预设的标识列表中不存在，则授权停用验证不通过，授权停用流程结束。

S32、验证堡垒机请求停用的资源数是否超过授权服务器可容纳的最大授权资源数，若堡垒机请求停用的资源数未超过授权服务器可容纳的最大授权资源数，则授权停用验证通过，执行S33；若堡垒机请求停用的资源数超过授权服务器可容纳的最大授权资源数，则授权停用验证不通过，授权回收流程结束。

S33、授权服务器授权停用验证通过后，授权服务器将堡垒机请求停用的资源数加入到授权服务器剩余的可授权资源数中，更新剩余的可授权资源数，收回针对该堡垒机的授权。

可选的，授权服务器还可以将完成授权回收的结果发送给授权平台，然后授权平台将授权回收的结果发送给堡垒机。

本公开实施例提供的技术方案与现有技术相比具有如下优点：

本公开实施例，通过授权平台接收堡垒机发送的授权停用通知，授权停用通知中包括堡垒机的唯一标识，以及授权停用范围的信息；授权平台将授权停用通知发送给授权服务器，以使授权服务器根据堡垒机的唯一标识和授权停用范围的信息，收回针对堡垒机的授权。本公开实施例通过授权回收流程，解决了现有技术中授权回收过程仅能将被管理的堡垒机授权设置为禁用或停用状态，但授权服务器上对已经授权的堡垒机的授权资源数一直处于被占用状态造成的授权资源浪费的问题，实现了授权服务器的授权资源数的及时回收，有效杜绝了授权资源的浪费，实现对不同网络环境下的堡垒机的授权释放与回收的统一管理，提高了授权管理的灵活性和安全性。

在本公开的上述实施例中，授权平台与堡垒机和授权服务器进行信息交互的过程中，可以将相互之间传递的信息按照三方预先约定的规则进行编解码和加解密，提高信息传递的安全性。例如：在上述图2的授权方法中的步骤201中，堡垒机可以将携带自身的唯一标识，以及授权范围信息的第一授权请求进行整体编码并加密，也可以分别编码并加密，形成唯一的授权申请码，然后将携带第一授权请求的授权申请码发送给授权平台，授权平台通过与堡垒机预先约定的解码规则和密钥对授权申请码进行解码和解密，同时验证申请码是否合法，合法性通过后授权平台才会接收堡垒机的第一授权请求，否则授权平台不会接收第一授权请求。当然这里的示例仅是对信息交互编解码和加解密方法应用的一种示例性说明，而不是唯一性说明。

可以理解，在本公开的实施例中都可以如上述示例所述方法进行信息交互的编解码和加解密，并且编解码和加解密为现有的成熟技术，这里不再进行赘述。

图4是本公开实施例提供的一种授权装置的结构示意图，该授权装置可以理解为上述授权设备或者授权设备的部分功能模块，该授权装置应用于上述授权平台中，如图4所示，授权装置40，包括：

第一接收模块41，用于接收堡垒机的第一授权请求，授权请求中包括堡垒机的唯一标识，以及授权范围的信息；

第一发送模块42，用于将堡垒机的唯一标识和所述授权范围的信息发送给授权服务器，以使授权服务器基于堡垒机的唯一标识和授权范围的信息进行授权验证；

第一接收模块41，还用于接收授权服务器在授权验证通过后返回的授权通知；

第一发送模块42，还用于将授权通知发送给堡垒机。

可选的，该授权装置还包括：

第二接收模块，用于接收堡垒机发送的授权停用通知，授权停用通知中包括堡垒机的唯一标识，以及授权停用范围的信息；

第二发送模块，用于将堡垒机的唯一标识和授权停用范围的信息发送给授权服务器，以使授权服务器根据堡垒机的唯一标识和授权停用范围的信息，收回针对该堡垒机的授权。

可选的，授权范围的信息中包括堡垒机请求的资源数的信息；

授权服务器在预设的标识列表中包括堡垒机的唯一标识、堡垒机请求的资源数未超过授权服务器剩余的可授权资源数时，授权验证通过。

可选的，第一接收模块用于接收堡垒机的第一授权请求之前，还用于建立与堡垒机和授权服务器的连接。

本公开实施例提供的装置能够执行上述图2至图3中任一实施例的方法，其执行方式和有益效果类似，在这里不再赘述。

本公开实施例提供了一种授权平台，该授权平台包括存储器和处理器，其中，存储器中存储有计算机程序，当该计算机程序被处理器执行时，可以实现上述图2至图3中任一实施例的方法，其执行方式和有益效果类似，在这里不再赘述。

本公开实施例提供了一种计算机可读存储介质，该存储介质中存储有计算机程序，当该计算机程序被处理器执行时，可以实现上述图2至图3中任一实施例的方法，其执行方式和有益效果类似，在这里不再赘述。

需要说明的是，在本文中，诸如“第一”和“第二”等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上所述仅是本公开的具体实施方式，使本领域技术人员能够理解或实现本公开。对这些实施例的多种修改对本领域的技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本公开的精神或范围的情况下，在其它实施例中实现。因此，本公开将不会被限制于本文所述的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种授权方法，其特征在于，适用于一种授权系统，所述授权系统包括授权服务器、堡垒机和授权平台，所述方法包括：

授权平台接收堡垒机的第一授权请求，所述授权请求中包括所述堡垒机的唯一标识，以及授权范围的信息；

将所述唯一标识和所述授权范围的信息发送给所述授权服务器，以使所述授权服务器基于所述唯一标识和所述授权范围的信息进行授权验证；

接收所述授权服务器在授权验证通过后返回的授权通知；

将所述授权通知发送给所述堡垒机。

2.根据权利要求1所述的方法，其特征在于，所述将所述授权通知发送给所述堡垒机之后，所述方法还包括：

接收所述堡垒机发送的授权停用通知，所述授权停用通知中包括所述堡垒机的唯一标识，以及授权停用范围的信息；

将所述唯一标识和所述授权停用范围的信息发送给所述授权服务器，以使所述授权服务器根据所述唯一标识和所述授权停用范围的信息，收回针对所述堡垒机的授权。

3.根据权利要求1或2所述的方法，其特征在于，所述授权范围的信息中包括所述堡垒机请求的资源数的信息；

所述授权服务器在预设的标识列表中包括所述唯一标识、所述堡垒机请求的资源数未超过所述授权服务器剩余的可授权资源数时，授权验证通过。

4.根据权利要求1或2所述的方法，其特征在于，所述授权平台接收堡垒机的第一授权请求之前，所述方法还包括：

建立与所述堡垒机和所述授权服务器的连接。

5.一种授权装置，其特征在于，适用于一种授权系统，所述授权系统包括授权服务器、堡垒机和授权平台，所述授权装置应用于所述授权平台中，包括：

第一接收模块，用于接收堡垒机的第一授权请求，所述授权请求中包括所述堡垒机的唯一标识，以及授权范围的信息；

第一发送模块，用于将所述唯一标识和所述授权范围的信息发送给所述授权服务器，以使所述授权服务器基于所述唯一标识和所述授权范围的信息进行授权验证；

所述第一接收模块，还用于接收所述授权服务器在授权验证通过后返回的授权通知；

所述第一发送模块，还用于将所述授权通知发送给所述堡垒机。

6.根据权利要求5所述的装置，其特征在于，还包括：

第二接收模块，用于接收所述堡垒机发送的授权停用通知，所述授权停用通知中包括所述堡垒机的唯一标识，以及授权停用范围的信息；

第二发送模块，用于将所述唯一标识和所述授权停用范围的信息发送给所述授权服务器，以使所述授权服务器根据所述唯一标识和所述授权停用范围的信息，收回针对所述堡垒机的授权。

7.根据权利要求5或6所述的装置，其特征在于，所述授权范围的信息中包括所述堡垒机请求的资源数的信息；

所述授权服务器在预设的标识列表中包括所述唯一标识、所述堡垒机请求的资源数未超过所述授权服务器剩余的可授权资源数时，授权验证通过。

8.根据权利要求5或6所述的装置，其特征在于，所述第一接收模块用于接收堡垒机的第一授权请求之前，还用于建立与所述堡垒机和所述授权服务器的连接。

9.一种授权平台，其特征在于，包括：

存储器和处理器，其中，所述存储器中存储有计算机程序，当所述计算机程序被所述处理器执行时，实现如权利要求1-4中任一项所述的方法。

10.一种计算机可读存储介质，其特征在于，所述存储介质中存储有计算机程序，当所述计算机程序被处理器执行时，实现如权利要求1-4中任一项所述的方法。

Images