CN114626026A - 对安全敏感计算系统的api访问 - Google Patents

Abstract

在安全敏感计算系统中控制API访问动作包括：对于要执行的动作，从操作者账户数据库中选择可用的操作者账户，生成独有动作标签，独有动作标签包含针对API访问动作的标识符和用于执行API访问动作的独有API访问密钥；维护动态访问列表，动态访问列表具有API访问动作的标识符和独有API访问密钥与所选择的操作者账户的映射；经由动态访问列表和独有动作标签向所选择的操作者账户授予针对对安全敏感计算系统的API访问的授权，该授权限于执行所映射的API访问；以及在操作者已经执行API访问之后，基于独有动作标签来撤销进一步的API访问。

Description

对安全敏感计算系统的API访问

背景技术

本发明一般涉及对计算系统的安全访问动作的领域，尤其涉及一种用于在安全敏感计算系统中控制应用编程接口(API)访问动作的方法。

发明内容

根据本发明的一个方面，提供了一种用于在安全敏感计算系统中控制应用编程接口(API)访问动作的方法。该方法的操作可以包括：对于要执行的动作，从操作者账户数据库中选择可用的操作者账户，生成独有(unique)动作标签，独有动作标签包含针对API访问动作的标识符和用于执行API访问动作的独有API访问密钥，以及维护动态访问列表，该动态访问列表具有API访问动作的标识符和独有API访问密钥与所选择的操作者账户的映射。此外，该方法可以包括经由动态访问列表和独有动作标签向所选择的操作者账户授予针对对安全敏感计算系统的API访问动作的授权，该授权限于执行所映射的API访问动作，并且在操作者已经执行API访问动作之后，基于独有动作标签撤销进一步的API访问动作。

根据本发明的另一方面，提供了一种用于在安全敏感计算系统中控制应用编程接口(API)访问动作的访问控制系统。访问控制系统可以包括通信地耦合到处理器的存储器，其中存储器存储程序代码部分以使得处理器能够针对要执行的API访问动作从操作者账户数据库选择可用的操作者账户，以生成独有动作标签，该独有动作标签包含API访问动作的标识符和用于执行API访问动作的独有API访问密钥。所存储的程序代码可以使得处理器能够附加地维护动态访问列表，该动态访问列表具有API访问动作的标识符和独有API访问密钥与所选择的操作者账户的映射，经由动态访问列表和独有动作标签向所选择的操作者账户授予针对对安全敏感计算系统的API访问动作的授权，该授权限于执行所映射的API访问动作，并且在操作者已经执行API访问动作之后基于独有动作标签撤销进一步的API访问动作。

此外，实施例可以采取可从计算机可用或计算机可读介质访问的相关计算机程序产品的形式，所述计算机可用或计算机可读介质提供由计算机或任何指令执行系统使用或与计算机或任何指令执行系统结合使用的程序代码。为了本说明书的目的，计算机可用或计算机可读介质可以是包含用于存储、传送、传播和/或传输程序的装置的任何装置，该程序由指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合使用。

附图说明

图1示出了用于在安全敏感计算系统中控制API访问动作的本发明方法的实施例的框图；

图2示出了本发明的实施例的组件和相关信息流的框图；

图3示出了本发明实施例的信息流中涉及的组件的第一部分的框图；

图4示出了本发明实施例的信息流中涉及的组件的第二部分的框图；

图5示出了用于在安全敏感计算系统中控制API访问动作的访问控制系统的实施例；以及

图6示出了根据本发明的一个方面的计算系统以及访问控制系统。

具体实施方式

在本说明书的上下文中，可以使用以下惯例、术语和/或表达：

术语“应用编程接口访问动作”-简而言之，API访问动作-可以表示对任何种类的应用编程接口的调用。示例可以包括操作系统、数据库、配置文件、中间件组件和/或应用程序的API。对API底层组件的访问可以由另一程序执行或直接由API的用户界面执行。访问动作可以包括对API底层组件的任何种类的影响，包括但不限于读访问、写访问、改变访问和/或删除访问。基本上，每个访问动作应当被理解为对API底层的组件的访问，其中该访问可以改变组件的设置。

术语“安全敏感计算系统”可以表示对其访问具有严格控制的高度安全的计算系统。通常，这种系统被实现为形式为完整的所谓大型机计算系统的一部分的安全飞地，如IBM Z系统联合体。

术语“操作者账户”可以表示专用于安全敏感计算系统的操作者的用户ID(标识符)。操作者用户的访问授权可能远远超过安全敏感计算系统的应用用户的访问权限。到目前为止(即，在传统系统中)，操作者访问权限可能是对安全敏感计算系统的安全威胁。所提出的概念有助于缩小该差距。

术语“独有动作标签”可以表示一次性标识符，并且可能还表示时间相关的(即，仅在预定义时间段内有效)以使得所选择的操作者能够执行一次性API访问动作。一旦已经执行一次性API访问动作，独有动作标签就可能失去其有效性。即，可以撤销相同种类的第二API访问动作。

术语“独有API访问密钥”可以表示用于使得能够访问特定API的数字代码。

术语“动态访问列表”可以表示将用于一次性API访问动作的独有动作标签和操作者映射到特定API的数据库或表。

术语“所选择的操作者账户”可以表示用户ID，该用户ID已经被选择为被授权用于一次性API访问动作以便执行纠错或另一所需或推荐的维护任务。

术语“对API访问动作的授权”可以表示所选择的操作者可以具有对相应API的时间受限的访问权限。

术语“撤销进一步的API访问动作”可以表示撤销可以在独有API访问密钥可能已经被使用之后发生，并且潜在的问题可能已经被解决或者维护任务已经被执行。无法再次将独有API访问密钥与独有访问标签结合使用。这可以进一步提高高度安全的计算系统的系统安全性。

术语“安全装置”可以表示我们的完整高度安全的计算系统的一部分，例如，被实现为安全飞地。通常，这样的系统以所谓的大型计算机系统的形式实现。

术语“安全飞地”可以表示作为更大的计算复合体的一部分的高度安全且通常私有的计算环境。所有的访问和账户通常都由安全密钥机制保护。

术语“系统日志文件”可以表示在计算机系统上已经发生的活动的列表。活动列表可以是时间标记的。另外，也可以结合所执行的活动列出所涉及的用户或子组件。

所提出的用于在安全敏感计算系统中控制应用编程接口(API)访问动作的方法可以提供多个优点、贡献和技术效果：

所提出的概念的核心可以在于基于动态生成的访问控制列表的选择性的一次性动作和对可以执行一次所需动作的系统管理员的选择性组的分配，动态生成的访问控制列表可以基于解析的动作标签来确定。一旦授权被给予特定操作者并且手头的任务(即，对API的访问动作)已经完成，则可以撤销对API的第二访问。

因此，所提出的概念最终可以用于在具有高度安全系统的IT环境中服务，其中操作团队将不具有对操作系统接口的直接访问(即，非受控访问)(即，以SSH(安全外壳)访问的形式)而不具有对操作系统接口的直接访问(仅通过预定义API)，仅具有对专用操作者的动作的高度受控访问，并且其中所有API调用应当在受控且可监视的环境中被审计和执行。

简言之，给予操作团队的授权可以被进一步限制，使得高度安全的计算环境可以甚至更好地被其固有的自监视子系统进行自控。

对于给定API访问动作使用在给定API访问动作已经被执行之后可能变得无效的独有动作标签可以在API访问动作已经被执行之后提供一种自锁。还可以保证操作者的API访问动作的意图是成功的。

如果不是这种情况，则对API的访问也可以基于预定义的规则和(可配置的)过程而被自动扩展，以便尽可能快地解决给定的系统问题。

在以下段落中，将描述适用于该方法以及相关系统的附加实施例：

根据该方法的一个实施例，所选择的操作者账户可以是操作者账户的组。因此，可以基于实际可用性(例如，“值班”，而不是休假)、基于技能或任何其他组定义特性来选择用于执行对API的访问动作的适当操作者。在云计算环境中，对一个操作者或一组操作者的选择还可以基于使用特定云计算系统的客户端。

根据该方法的另一实施例，API访问动作可以是一组API访问动作。这包括对同一API的不同类型的访问动作，以及对具有相同或不同的(多个)访问动作的不同API的API访问动作。这可能由于以下原因而是有利的：如果单个API访问动作不能修复故障的系统功能，则可以基于访问控制系统的预定义设置(或配置)来触发对执行附加API访问动作的授权。因此，不需要从开始就完全重新开始对操作者的API访问动作的完整选择和分配处理。因此，根据该方法的另一实施例，API访问动作组可以引用不同的API。

根据所述方法的一个实施例，所述安全敏感系统可以被实现为安全飞地形式的安全装置。这样的设备或系统可以从地面设计为高度保护的系统，防止对任何组件或其相关API的开放访问。只有高度安全和受控的用户或其他系统才可以被允许或授权访问这种安全装置。然而，通常仍可以允许操作者访问系统API。为了封闭这个漏洞，这里提出的安全系统可以是仪器性的。

根据另一个实施例，该方法还包括监视和分析系统日志文件或多个系统日志文件，以确定API访问动作的要求。这可以由日志记录和分析系统来执行，该日志记录和分析系统可以触发动态访问控制和动作解析器，其中可能已经确定了对安全装置的API的访问的要求。

根据该方法的实施例，API访问动作可以是从以下组中选择的至少一个：该组包括对安全敏感计算系统的配置(即，其至少一个资源或组件)的修改和安全敏感计算系统的另一组件的启用。这还可以包括使安全敏感计算系统的休眠组件，即非活动组件，例如附加处理器核、更多存储容量的更多存储器或更高存储器带宽可用。

根据该方法的实施例，撤销进一步的API访问动作还可以包括在撤销进一步的API访问动作之前监视API访问动作的完成。因此，经授权的API访问动作可以仅被执行一次。基于相同的访问令牌，一旦特定的访问动作已经完成，则现在第二API动作是可能的。因此，不可能-或者更好的是，操作者可能秘密地存储访问标签以用于稍后-特别是未授权的使用-是没有意义的。无论如何，将撤销稍后的使用，即第二使用。

根据本发明的一个实施例，方法还可以包括：如果前一访问动作没有达到工作解决方案，则将由独有动作密钥控制的访问扩展到一组附加API。如果要解决的问题或要执行的任务不能仅用一个API访问动作来完成，则这可能尤其有用。因此，不应设置成功API访问动作的完成标记。因此，基于预定义的规则和过程，可以自动允许解决手头任务所需的API和潜在动作的扩展。

根据本发明的一个实施例，方法还可以包括向所选择的操作者账户发送通知。由此，通知可以包括关于所需API访问动作的细节-通常是更多细节。细节可以包括附加的背景信息、特定指令、附加的所需资源、要预先执行的动作(最坏情况下计算系统关闭或对活动用户的警告)或备份活动。

在以下段落中，将给出附图的详细描述。图中的所有说明都是示意性的。首先，给出了用于在安全敏感计算系统中控制API访问动作的本发明的实施例的框图。然后，将描述用于在安全敏感计算系统中控制API访问动作的访问控制系统的实施例以及其他实施例。

图1示出用于在安全敏感计算系统中控制应用编程接口(API)访问动作的方法100的实施例的框图。方法100包括对于要执行的动作，从操作者账户数据库选择可用的操作者账户102，生成104独有动作标签，该独有动作标签包含API访问动作的标识符和用于执行API访问动作的独有API访问密钥。

方法100还包括维护106动态访问列表，该动态访问列表具有API访问动作的标识符和独有API访问密钥的映射以及所选择的操作者账户。可以注意到，独有API访问密钥不同于独有动作标签。

另外，方法100还包括经由动态访问列表和独有动作标签向所选择的操作者账户授予108对安全敏感计算系统的API访问动作的授权，该授权限于仅执行所映射的API访问动作。由此，可以注意到，可以从动态访问控制列表中获知映射。

最后，方法100包括基于操作者已经执行的独有动作标签撤销110进一步的API访问动作。因此，所选择的操作者可以仅执行一次所分配的任务，即，由独有动作标签标识的专用API访问动作。

图2示出了本发明实施例的组件和相关信息流的框图200。流程从日志208开始，该日志可以由例如在大型机(MF)计算机系统上运行的安全装置202的操作生成。可以连续地检索(210)日志文件208，并且还可以在日志记录和分析系统212中分析它/它们。在确定了错误或维护要求后，在214，向动态访问控制和动作解析器216发送通知。

动态访问控制和动作解析器216可以访问218可用操作者列表(220、值班操作者和/或熟练操作者列表或一般被授权执行手头任务的操作者列表)并授权224访问至少一个所选操作者222。至少一个可用的操作者222在值班操作者列表220中被登记为值班的。动态访问控制和动作解析器216还经由API 204通知228所选操作者执行232所允许的动作，以解决潜在错误或完成所需维护任务。对API的访问由API访问管理组件206控制，该组件接收230对所选操作者222的API访问动作的授权。

一旦API访问动作完成—这可以由API访问管理组件206向动态访问控制和动作解析器216发信号通知234—经由动态访问列表226(以及相关的控制组件)和API访问管理组件206撤销236、238对API204的进一步访问。可以注意到，动态访问控制和动作解析器216可以主动地检查安全装置202或其组件之一(例如，API访问管理组件206或日志文件208中的一个日志文件)以检查API访问动作完成。

应注意，(多个)API 204、日志文件208和API访问管理组件206都是安全装置202的一部分。此外，除了分析日志文件的错误或所需维护动作之外，日志记录和分析系统212还可以基于所确定的错误或所需维护动作来决定或确定应当执行特定API访问动作。

此外，动态访问控制和动作解析器216执行支持由此提出的概念的仪器活动的列表：监听来自记录和分析系统212的通知，提取每个通知所需的动作，确定值班的潜在受让人(即，操作者)，创建动作标签，将动作标签向操作者222注册到动态访问列表226，分配动作标签并通知所选择的操作者222，解析要执行的动作，验证API访问动作是否被发起和/或完成，以及使动态访问列表226中的API动作标签无效，使得进一步的API访问不再可能(即，被撤销)。

图3示出了本发明构思的实施例的信息流中涉及的组件的第一部分的框图300。在图的顶部部分中，列出了所涉及的组件：管理员的前端组件302、动态访问列表304(比较来自图2的动态访问列表226)以及动态访问控制和动作解析器306(比较来自图2的动态访问控制和动作解析器216)。

图3的右侧是流程图连接器A、B、C、D、E，其连接到图4中的各个延续连接器，为了理解的原因，总的信息流必须在图3和图4之间分开。

动作者，即所选择的操作者222(比较图2)被示出在图3的左侧，管理员的前端308永久地收听针对所选择的操作者222的通知(228，图2)。由通知器310生成相应的触发信号。它可以与动态访问控制列表304相关。这也可以应用于从动态访问控制和动作解析器306获得312通知的活动，以便生成针对安全装置的受让人的访问令牌的请求314。

动态访问控制和动作解析器306包括通知监听器组件316，其触发(多个)访问动作的提取318并且确定所选择的操作者。则创建用于操作者的独有动作标签(320)。此外，动态访问控制和动作服务器316监视322，并且确定API访问动作是否在预定义的时间内执行。如果情况还不是这样，则在再次执行监视322之前，该过程等待324预定的时间段。

现在参考图4，可以看出，存在一些信息泡，其指示在动态访问控制和实际服务器306与记录和监视组件402之间存在过程流连接；这些接续连接表示为A、B、C、D、E。图4示出了本发明实施例的图3和图4共同表示的实施例的信息流中涉及的组件的第二部分的框图400。

还可以看到，通过A从触发动作(318和值班操作者列表406(等同于图2的220)的提取的连接，在确定408之后，通过B触发通知监听过程316，其中应当执行关于所需维护任务的潜在错误校正的API访问动作，这是基于对安全装置404的日志412的分析410，这里，还可以提及，在适当的情况下，图2的附图标记已经在括号中添加到图3和图4。

还可以经由C看到请求314、安全装置的受让人(即，所选择的操作者)的访问令牌和访问来自动态访问列表416(例如，数据库，比较226，图2)的信息的API访问管理组件414之间的连接，以及操作者222和对安全装置404的API418的访问之间的逻辑连接。此外，经由D-示出了到系统的连续健康检查420的连接。此外，如果API访问动作在预定时间段内未被执行-经由D-API访问管理414也被通知应当撤销潜在的API访问动作。

出于完整性原因，图5示出了用于在安全敏感计算系统中控制API访问动作的访问控制系统500的实施例。系统500包括通信地耦合到处理器504的存储器502，其中存储器502存储程序代码部分(未示出)以使得API访问动作的处理器504能够-具体地由选择单元506-从操作者账户数据库中选择可用的操作者账户，-具体地由生成模块508-生成独有动作标签，其包含API访问动作的标识符和用于执行API访问动作的独有API访问密钥，-具体地由维护模块510-维护动态访问列表，其具有API访问动作的标识符和独有API访问密钥与所选择的操作者账户的映射，-经由访问授予单元512-经由动态访问列表和独有动作标签-向所选择的操作者账户授予对安全敏感计算系统的API访问动作的授权，该授权限于执行所映射的API访问动作，以及-具体地由撤销模块514-在操作者已经执行API访问动作之后-基于独有动作标签撤销进一步的API访问动作。

可以注意到，访问控制系统500的活动还可以完全实现为与存储器502和处理器504进行数据交换的硬件组件。因此，存储器502、处理器504、选择单元506、生成模块508、维护模块510、访问授权单元512和它们的撤销模块514可以彼此连接以用于数据和信息交换。或者，活动单元和模块可以经由访问控制系统内部总线系统516链接以用于数据和信号交换。这可以使得完整的硬件实现方式优雅地实现

本发明的实施例实际上可以与任何类型的计算机一起实现，而不管平台是否适于存储和/或执行程序代码。图6作为示例示出了适于执行与所提出的方法相关的程序代码的计算系统600。

计算系统600仅是合适的计算机系统的一个示例，并且不旨在对本文描述的本发明的实施例的使用范围或功能提出任何限制，无论计算机系统600是否能够被实现和/或执行上文阐述的任何功能。在计算机系统600中，存在可与众多其他通用或专用计算系统环境或配置一起操作的组件。适合与计算机系统/服务器600一起使用的公知的计算系统、环境和/或配置的示例包括但不限于个人计算机系统、服务器计算机系统、瘦客户端、胖客户端、手持式或膝上型设备、多处理器系统、基于微处理器的系统、机顶盒、可编程消费电子产品、网络PC、小型计算机系统、大型计算机系统、以及包括任何上述系统或设备的分布式云计算环境等。计算机系统/服务器600可以在计算机系统可执行指令的一般上下文中描述，诸如由计算机系统600执行的程序模块。通常，程序模块可以包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、逻辑、数据结构等。计算机系统/服务器600可以在分布式云计算环境中实践，其中任务由通过通信网络链接的远程处理设备执行。在分布式云计算环境中，程序模块可以位于本地和远程计算机系统存储介质中，包括存储器存储设备。

如图所示，计算机系统/服务器600以通用计算设备的形式示出。计算机系统/服务器600的组件可以包括但不限于一个或多个处理器或处理单元602、系统存储器604以及将包括系统存储器604的各种系统组件耦合到处理器602的总线606。总线606表示若干类型的总线结构中的任何一种的一个或多个，包括存储器总线或存储器控制器、外围总线、加速图形端口、以及使用各种总线体系结构中的任何一种的处理器或局部总线。作为示例而非限制，这些体系结构包括工业标准体系结构(ISA)总线、微通道体系结构(MCA)总线、增强型ISA(EISA)总线、视频电子技术标准协会(VESA)局部总线和外围组件互连(PCI)总线。计算机系统/服务器600通常包括各种计算机系统可读介质。这样的介质可以是可由计算机系统/服务器600访问的任何可用介质，并且它包括易失性和非易失性介质、可移动和不可移动介质两者。

系统存储器604可以包括易失性存储器形式的计算机系统可读介质，例如随机存取存储器(RAM)608和/或高速缓冲存储器610。计算机系统/服务器600还可以包括其他可移动/不可移动、易失性/非易失性计算机系统存储介质。仅作为示例，存储系统612可被提供用于从不可移动、非易失性磁介质(未示出且通常被称为“硬盘驱动器”)读取和向其写入。尽管未示出，但是可以提供用于从可移动、非易失性磁盘(例如，“软盘”)读取和向其写入的磁盘驱动器，以及用于从诸如CD-ROM、DVD-ROM或其他光学介质的可移动、非易失性光盘读取或向其写入的光盘驱动器。在这种情况下，每个都可以通过一个或多个数据介质接口连接到总线606。如下面将进一步描绘和描述的，存储器604可以包括至少一个程序产品，该程序产品具有一组(例如，至少一个)程序模块，该程序模块被配置成执行本发明的实施例的功能。

具有一组(至少一个)程序模块616的程序/实用程序，以及操作系统、一个或多个应用程序、其他程序模块和程序数据，可作为示例而非限制地存储在存储器604中。操作系统、一个或多个应用程序、其他程序模块和程序数据或其某种组合中的每一个可包括联网环境的实现。程序模块616通常执行如本文所述的本发明实施例的功能和/或方法。

计算机系统/服务器600还可以与一个或多个外部设备618通信，诸如键盘、指示设备、显示器620等；一个或多个设备，其使得用户能够与计算机系统/服务器600交互；和/或使计算机系统/服务器600能够与一个或多个其他计算设备通信的任何设备(例如，网卡、调制解调器等)。这种通信可以经由输入/输出(I/O)接口614发生。此外，计算机系统/服务器600可以经由网络适配器622与一个或多个网络通信，网络诸如局域网(LAN)、通用广域网(WAN)和/或公共网络(例如，因特网)。如所描绘的，网络适配器622可以经由总线606与计算机系统/服务器600的其他组件通信。应当理解，尽管未示出，但是可以结合计算机系统/服务器600使用其他硬件和/或软件组件。实例包括但不限于：微码、设备驱动程序、冗余处理单元、外部磁盘驱动器阵列、RAID系统、磁带驱动器和数据档案存储系统等。

此外，用于控制安全敏感计算系统中的API访问动作的访问控制系统500可以被附接到总线系统606。

已经出于说明的目的给出了本发明的各种实施例的描述，但是其不旨在是穷尽的或限于所公开的实施例。在不背离所描述的实施例的范围和精神的情况下，许多修改和变化对于本领域的普通技术人员将是显而易见的。选择本文所使用的术语以最好地解释实施例的原理、实际应用或对市场上存在的技术改进，或使本领域的其他普通技术人员能够理解本文所公开的实施例。

本发明可以被实现为系统、方法和/或计算机程序产品。计算机程序产品可以包括其上具有计算机可读程序指令的计算机可读存储介质(或多个介质)，计算机可读程序指令用于使处理器执行本发明的各方面。

该介质可以是用于传播介质的电子、磁、光、电磁、红外或半导体系统。计算机可读介质的示例可以包括半导体或固态存储器、磁带、可移动计算机磁盘、随机存取存储器(RAM)、只读存储器(ROM)、硬磁盘和光盘。光盘的当前例子包括光盘只读存储器(CD-ROM)、光盘读/写(CD-R/W)、DVD和蓝光盘。

计算机可读存储介质可以是能够保留和存储由指令执行设备使用的指令的有形设备。计算机可读存储介质可以是例如但不限于电子存储设备、磁存储设备、光存储设备、电磁存储设备、半导体存储设备或前述的任何合适的组合。计算机可读存储介质的更具体示例的非穷举列表包括以下：便携式计算机磁盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或闪存)、静态随机存取存储器(SRAM)、便携式光盘只读存储器(CD-ROM)、数字多功能盘(DVD)、记忆棒、软盘、诸如上面记录有指令的打孔卡或凹槽中的凸起结构的机械编码装置，以及上述的任何适当组合。如本文所使用的计算机可读存储介质不应被解释为暂时性信号本身，诸如无线电波或其他自由传播的电磁波、通过波导或其他传输介质传播的电磁波(例如，通过光纤线缆的光脉冲)、或通过导线传输的电信号。

本文描述的计算机可读程序指令可以从计算机可读存储介质下载到相应的计算/处理设备，或者经由网络，例如因特网、局域网、广域网和/或无线网络，下载到外部计算机或外部存储设备。网络可以包括铜传输电缆、光传输光纤、无线传输、路由器、防火墙、交换机、网关计算机和/或边缘服务器。每个计算/处理设备中的网络适配卡或网络接口从网络接收计算机可读程序指令，并转发计算机可读程序指令以存储在相应计算/处理设备内的计算机可读存储介质中。

用于执行本发明的操作的计算机可读程序指令可以是汇编指令、指令集架构(ISA)指令、机器相关指令、微代码、固件指令、状态设置数据，或者以一种或多种编程语言的任意组合编写的源代码或目标代码，编程语言包括面向对象的编程语言(例如Smalltalk、C++等)以及常规的过程式编程语言(例如“C”编程语言或类似的编程语言)。计算机可读程序指令可以完全在用户的计算机上执行，部分地在用户的计算机上作为独立软件包执行，部分地在用户的计算机上并且部分地在远程计算机上执行，或者完全在远程计算机或服务器上执行。在后一种情况下，远程计算机可以通过任何类型的网络连接到用户的计算机，包括局域网(LAN)或广域网(WAN)，或者可以连接到外部计算机(例如，使用因特网服务提供商通过因特网)。在一些实施例中，为了执行本发明的各方面，包括例如可编程逻辑电路、现场可编程门阵列(FPGA)或可编程逻辑阵列(PLA)的电子电路可以通过利用计算机可读程序指令的状态信息来执行计算机可读程序指令以使电子电路个性化。

在此参考根据本发明实施例的方法、装置(系统)和计算机程序产品的流程图和/或框图描述本发明的各方面。将理解，流程图和/或框图的每个框以及流程图和/或框图中的框的组合可以由计算机可读程序指令来实现。

这些计算机可读程序指令可以被提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器以产生机器，使得经由计算机或其他可编程数据处理装置的处理器执行的指令创建用于实现流程图和/或框图的一个或多个框中指定的功能/动作的装置。这些计算机可读程序指令还可以存储在计算机可读存储介质中，其可以引导计算机、可编程数据处理装置和/或其他设备以特定方式工作，使得其中存储有指令的计算机可读存储介质包括制品，该制品包括实现流程图和/或框图的一个或多个框中指定的功能/动作的各方面的指令。

计算机可读程序指令还可以被加载到计算机、其他可编程数据处理装置或另一设备上，以使得在计算机、其他可编程装置或其他设备上执行一系列操作步骤，以产生计算机实现的过程，使得在计算机、其他可编程装置或另一设备上执行的指令实现流程图和/或框图的一个或多个框中指定的功能/动作。

附图中的流程图和/或框图示出了根据本发明的各种实施例的系统、方法和计算机程序产品的可能实现的架构、功能和操作。在这点上，流程图或框图中的每个框可以表示指令的模块、段或部分，其包括用于实现指定的逻辑功能的一个或多个可执行指令。在一些替代实施方案中，框中所提及的功能可不按图中所提及的次序发生。例如，连续示出的两个框实际上可以基本上同时执行，或者这些框有时可以以相反的顺序执行，这取决于所涉及的功能。还将注意，框图和/或流程图图示的每个框以及框图和/或流程图图示中的框的组合可以由执行指定功能或动作或执行专用硬件和计算机指令的组合的专用的基于硬件的系统来实现。

本文所用的术语仅是为了描述特定实施例的目的，而不是要限制本发明。如本文所用，单数形式“一”、“一个”和“该”旨在也包括复数形式，除非上下文另有明确指示。还将理解，术语“包括”和/或“包含”在本说明书中使用时，指定所陈述的特征、整数、步骤、操作、元件和/或组件的存在，但不排除一个或多个其他特征、整数、步骤、操作、元件、组件和/或其群组的存在或添加。

在以下权利要求中的所有装置或步骤加上功能元件的对应结构、材料、动作和等同物旨在包括用于与如具体要求保护的其他要求保护的元件组合执行功能的任何结构、材料或动作。已经出于说明和描述的目的给出了本发明的描述，但是该描述不是穷举的或者将本发明限制为所公开的形式。在不背离本发明的范围和精神的情况下，许多修改和变化对于本领域的普通技术人员来说是显而易见的。选择和描述实施例是为了最好地解释本发明的原理和实际应用，并且使本领域的其他普通技术人员能够理解本发明的具有各种修改的各种实施例，如适合于预期的特定使用。

一些另外的定义提供如下：

本发明：不应被认为是绝对的指示，即术语“本发明”所描述的主题被提交的权利要求所覆盖，或者被在专利申请之后可能最终发布的权利要求所覆盖；虽然术语“本发明”用于帮助读者获得一般感觉，对于该感觉，本文的公开被认为是潜在地新的，但是如通过使用术语“本发明”所指示的，该理解是试验性的和临时的，并且随着相关信息的发展和权利要求被潜在地修改，该理解在专利审查的过程中会发生改变。

实施例：参见“本发明”的定义-类似的警告适用于术语“实施方案”。“

和/或：包括端值或；例如，A、B和/或C表示A或B或C中的至少一个是真实的和可应用的。

包括/包含/包括：除非另有明确说明，否则表示”包括但不一定限于“。”

用户/订户：包括但不必限于以下：(i)单个个体人；(ii)具有足够智能以充当用户或订户的人工智能实体；和/或(iii)一组相关的用户或订户。

数据通信：现在已知的或将来开发的任何种类的数据通信方案，包括无线通信、有线通信和具有无线和有线部分的通信路由；数据通信不必限于：(i)直接数据通信；(ii)间接数据通信；和/或(iii)数据通信，其中格式、分组化状态、介质、加密状态和/或协议在数据通信的整个过程中保持恒定。

接收/提供/发送/输入/输出/报告：除非另外明确地指定，否则这些词语不应被认为暗示：(i)关于其对象和主题之间的关系的任何特定直接程度；和/或(ii)不存在介于其对象和受试者之间的中间组件、动作和/或事物。

没有实质性的人为干预：在很少或没有人类输入的情况下自动发生(通常通过机器逻辑的操作，诸如软件)的过程；涉及“没有实质上的人为干预”的一些示例包括：(i)计算机正在进行复杂的处理，并且由于电网电力的断电，人将计算机切换到替代电源，使得处理继续不间断；(ii)计算机将执行资源密集型处理，并且人工确认确实应当进行资源密集型处理(在这种情况下，孤立考虑的确认过程是具有实质上的人工干预的，但是资源密集型处理不包括任何实质上的人工干预，尽管需要由人进行简单的是-否风格的确认)；以及(iii)使用机器逻辑，计算机已经做出了加权决策(例如，在预期恶劣天气时将所有飞机着陆的决策)，但是在实施加权决策之前，计算机必须从人力源获得简单的是-否风格确认。

自动地：而不需要任何人为干预。

包括/包含/包括：如在说明书中所使用的(特别是在权利要求部分之外)，该术语与术语“包括”及其各种共轭形式(如在本说明书中所定义的)完全同义。权利要求中使用的术语“包括”(及其各种共轭形式)将被给予与专利权利要求解释一致的普通解释。

模块/子模块：操作性地工作以执行某种功能的任何硬件、固件和/或软件集合，而不考虑模块是否：(i)在单个局部邻近度中；(ii)分布在广阔的区域上；(iii)在较大的软件代码片段内的单个邻近度中；(iv)位于单个软件代码片段内；(v)位于单个存储设备、存储器或介质中；(vi)机械连接；(vii)电连接；和/或(viii)以数据通信方式连接。

计算机：具有重要数据处理和/或机器可读指令读取能力的任何设备，包括但不限于：台式计算机、大型计算机、膝上型计算机、基于现场可编程门阵列(FPGA)的设备、智能电话、个人数字助理(PDA)、体装式或嵌入式计算机、嵌入式设备类型的计算机、基于专用集成电路(ASIC)的设备。

Claims (13)

1.一种用于控制应用编程接口API访问动作的方法，所述方法包括：

从操作者账户数据库中选择可用的操作者账户，

生成独有动作标签，所述独有动作标签包含针对所述API访问动作的标识符和用于执行所述API访问动作的独有API访问密钥，

维护动态访问列表，所述动态访问列表具有所述API访问动作的所述标识符和所述独有API访问密钥与所选择的操作者账户的映射，

经由所述动态访问列表和所述独有动作标签向所述所选择的操作者账户授予针对对安全敏感计算系统的所述API访问动作的授权，所述授权限于执行所映射的所述API访问动作，以及

在所述操作者已经执行所述API访问动作之后，基于所述独有动作标签来撤销进一步的API访问动作。

2.根据权利要求1所述的方法，其中所述所选择的操作者账户是操作者账户的组。

3.根据权利要求1所述的方法，其中所述API访问动作是API访问动作的组。

4.根据权利要求3所述的方法，其中API访问动作的所述组涉及不同的API。

5.根据权利要求1所述的方法，其中所述安全敏感系统被实现为安全飞地形式的安全装置。

6.根据权利要求1所述的方法，还包括：

监测并且分析系统日志文件以用于确定API访问动作的要求。

7.根据权利要求6所述的方法，其中所述API访问动作至少从包括以下的组中选择：对所述安全敏感计算系统的配置的修改和对所述安全敏感计算系统的组件的启用。

8.根据权利要求1所述的方法，其中撤销所述进一步的API访问动作还包括：

在撤销所述进一步的API访问动作之前，监测所述API访问动作的完成。

9.根据权利要求1所述的方法，还包括：

在前一访问动作没有达到工作解决方案的情况下，将由所述独有动作密钥控制的访问扩展到一组附加API。

10.根据权利要求1所述的方法，还包括：

向所述所选择的操作者账户发送通知，其中所述通知包括关于所述API访问动作的细节。

11.一种用于控制应用编程接口API访问动作的访问控制系统，所述系统包括：

处理器集合；

机器可读存储设备；以及

计算机代码，被存储在所述机器可读存储设备上，所述计算机代码包括指令和数据，所述指令和数据用于使所述处理器集合根据权利要求1至10中任一项所述的方法执行操作。

12.一种用于控制应用编程接口API访问动作的计算机程序产品，所述计算机程序产品包括：

机器可读存储设备；以及

计算机代码，被存储在所述机器可读存储设备上，所述计算机代码包括指令和数据，所述指令和数据用于使处理器集合根据权利要求1至10中任一项所述的方法执行操作。

13.一种用于控制应用编程接口API访问动作的访问控制系统，所述系统包括用于根据权利要求1至10中任一项所述的方法执行操作的装置。

Images