CN115396229A - 一种基于区块链的跨域资源隔离共享系统 - Google Patents

Abstract

本发明公开了一种基于区块链的跨域资源隔离共享系统，包括用户管理模块、访问控制模块和共识信任模块；所述用户管理模块用于管理用户信息，是该系统的前端，负责系统用户的注册、审核、授权、注销，并提供发起访问请求的功能，并为用户提供可视化的操作界面；所述访问控制模块包含多个后台服务器负责对访问请求进行处理，将请求包含的信息与访问策略进行匹配与违规研判，并将结果提交给用户管理模块；所述共识信任模块包含多个区块链节点，用于建立信任机制，并初始化、存储、读取、修改访问策略。本发明利用区块链来创建、管理访问控制策略，以异构资源安全隔离共享的方式实现分布式跨域协同计算与管控，使得海量云计算资源的能够安全流转。

Description

一种基于区块链的跨域资源隔离共享系统

技术领域

本发明属于区块链技术领域，具体涉及一种基于区块链的跨域资源隔离共享系统。

背景技术

随着云计算技术的发展，网络上的云计算资源不断地增长。但是现有云计算资源的差异性与独立性使其难以大规模扩展，并形成大量的信息孤岛，无法有效地整合利用云计算资源以提高云计算机的生产效率和服务能力。因此，如何实现云计算资源统一利用与水平扩展，使得云计算资源的能够安全流转成为亟待解决的问题。

Foraker等人提出的建立数据“公共空间”来共享信息的方法，虽然可以有效利用各个区域医疗部门所拥有的医疗信息，但是该方法需要建立大量基础公共设施，花费极大的资金。同时常期维护这些基础设施也需要消耗很大的成本。因此并不适用于云计算资源的共享上。

Zhang等人提出的移动边缘-云计算网络框架，使得移动边缘设备与云之间能够高效率共享计算资源。但是其应用场景限制在了同一个组织或域内。对于不同域间的信息共享，此框架并没有给出相应的解决方案。

Si等人基于区块链技术的物联网信息共享安全框架，要求通过工作量证明完成数据上链，并且所有雾节点都需要备份一份完整的信息。对于拥有海量云计算资源的环境来说，使用这样的框架会造成极大的资源浪费。

Feng等人提出的基于区块链的安全有效的分布式认证机制，虽然可以使处于不同域的通信双方进行有效的身份认证与安全的数据传输。但是，该机制更适用于通信双方点对点的认证与通信；对于多对多的云计算资源共享环境，该机制并不适用。

发明内容

为了克服上述现有技术存在的不足，本发明的目的在于提供一种基于区块链的跨域资源隔离共享系统，利用区块链来创建、管理访问控制策略，以异构资源安全隔离共享的方式实现分布式跨域协同计算与管控，使得海量云计算资源能够安全流转。

为了实现上述目的，本发明采用的技术方案是：

一种基于区块链的跨域资源隔离共享系统，包括用户管理模块、访问控制模块和共识信任模块；

所述用户管理模块用于管理用户信息，是系统的前端，负责系统用户的注册、审核、授权、注销，并提供发起访问请求的功能，以及为用户提供可视化的操作界面；

所述访问控制模块包含多个后台服务器负责对访问请求进行处理，将访问请求包含的信息与访问策略进行匹配与违规研判，并将结果提交给用户管理模块；

所述访问请求是指用户需要申请访问某个资源时，将会向请求管理模块的后台服务器发起访问请求，后台服务器响应是否允许该用户的访问；

所述请求包含的信息：用户的身份(Pid)、角色(Role)、请求的服务类型(SvcType)、服务对象名称(SvcName)以及操作类型(Operate)；所述访问策略是指访问控制策略，本系统采用基于身份识别的访问控制、基于角色的访问控制、基于属性的访问控制三种访问控制方法建立了可信的访问控制策略；

所述共识信任模块包含多个区块链节点，用于建立信任机制，并初始化、存储、读取、修改访问策略。

二者匹配/违规的研判需要匹配的信息如下：

访问用户结构体(subInfo)，内容包括：用户的身份(Pid)、角色(Role)、请求的服务类型(SvcType)、服务对象名称(SvcName)以及操作类型(Operate)，由后台服务器从访问请求中解析出来的；

访问对象结构体(objInfo)，内容包括：资源的身份(Pid)、角色(Role)、类型(Type)、操作类型(Operate)、资源的url地址(objURL)，由后台服务器访问资源数据库得到；

可信域名单(TrustedPlatforms)。名单由后台服务器向共识信任模块中的区块链发起获取访问策略的请求得到；

两者匹配需要满足下列条件：

访问用户的身份在可信域名单(TrustedPlatforms)中；

访问用户的角色权限要大于等于访问对象的角色权限(共有三种角色，以权限大小从大到小排序分别是：管理者(ADMIN)、操作者(OPERATOR)、访客(VIEWER))。

访问用户的服务类型、操作类型要与访问对象的服务类型、操作类型一致；

不满足以上条件，将会拒绝本次访问请求。

如果匹配，将匹配成功的信息以及资源的url地址一起传输到用户管理模块。如果违规，拒绝用户的访问请求，将拒绝访问信息传输到用户管理模块；

在“跨域资源隔离共享”中：

“域”指的就是同一个单位中形成了信息孤岛的不同地域；

跨域是指提供安全的方式，使不同域间的封闭资源可以进行共享；

“隔离”是预先假设的条件，是指各个域对云计算资源进行封闭式的管理，只有拥有正确url地址的用户才能对特定资源进行访问；

“共享”的实现：当用户想对隔离资源进行访问时，通过用户管理模块发起访问请求。访问控制模块结合访问控制策略(访问控制策略在区块链模块进行初始化、存储、读取、修改)判断是否允许本次访问，若允许本次访问，访问控制模块将资源的url传输到用户管理模块，通过url，对资源进行访问，由此达成“共享”的目的。

所述用户管理模块包括用户授权子模块、用户登录子模块、请求发起子模块；

1)用户授权子模块：管理员注册新的用户，并在注册时定义新用户的身份、角色信息，以达到授权的目的，相应的用户信息会存储到用户信息数据库当中，此外管理员审核当前已有的用户，注销一些用户，以达到权限回收的目的；

2)用户登录子模块：用户使用已注册的账号与密码进行登录，后台从用户信息数据库读取当中当前用户的身份、角色以及所属的域相关信息；

3)请求发起子模块：用户申请访问某个资源时，将会向请求管理模块的后台服务器发起访问请求，并等待服务器响应。

资源是云计算资源，在本系统中特指由云计算机对外提供的服务，以url地址的方式展示。资源的相关信息，包括身份(Pid)、角色(Role)、类型(Type)、操作类型(Operate)、url地址(objURL)均存储在访问控制模块的资源数据库中，请求管理模块的后台服务器读取资源数据库可以获得资源相关信息，资源本身是不处于系统中的其他云计算机对外提供的服务，本系统只提供其url地址。

所述访问控制模块包括访问策略获取子模块、访问决策子模块、访问策略修改子模块；

访问策略获取子模块与访问决策子模块协同实现跨域共享策略的匹配与违规研判功能，访问策略修改子模块实现跨域共享策略的修改功能，具体功能如下：

1)访问策略获取子模块：当后台服务器接收到访问请求时，首先会解析请求内容，接着根据请求的内容，获取被访问对象的信息与访问策略；

2)访问决策子模块：综合判断请求用户的身份、角色与请求对象的属性是否满足访问策略的要求；

3)访问策略修改子模块：在后台服务器输入相关数据，向共识信任模块发起访问策略修改请求，等待共识信任模块的响应。

修改访问策略所需要的参数包括用户的身份(Pid)、角色(Role)，需要修改域(newStrat_Pid)与新的可信域名单(newStrat_TrustedPlatforms)；

共识信任模块，满足以下条件才会允许本次修改操作：

1)用户的身份与需要修改域一致；

2)用户角色为管理者；

不满足以上条件将会拒绝本次访问策略的修改，并进行提示。

所述共识信任模块包括区块链子模块、访问策略管理子模块；

具体功能如下：

1)区块链子模块：信任机制由超级账本结构(Hyperledger Fabric)节点构造的私有区块链建立，依靠区块链上数据不可篡改的特性，保证数据的安全，并且在区块链中的每一个节点都安装同一套智能合约，节点间通过区块链网络达成共识，允许外部调用智能合约中提供的接口；

2)访问策略管理子模块：此模块通过调用区块链中智能合约提供的接口，完成访问策略的初始化、存储、读取、修改操作；

智能合约是指部署在区块链节点中，能够自动运行的代码，智能合约能够对外提供接口，外部应用程序通过调用智能合约接口对区块链中的数据进行管理，在本系统中，各个节点所部署的智能合约提供了访问策略的初始化、存储、读取、修改操作接口。

在区块链中每一个节点执行如下操作；

访问策略初始化：访问策略初始化设置了西电、广州、青岛这几个域，每个域均有对应的唯一标识(Pid)，并且规定了各个域的可信域名单，其中西电域信任其他两个域，而广州域、青岛域也信西电域，但是广州域与青岛域之间是相互不信任的，初始化完毕后的数据将会存储在区块链中；

访问策略存储：存储时，将要存储的一组数据(包括域的名称、标识、可信域名单)组合为一个结构体，将所有的结构体组合为一个哈希类型变量，并进行序列化，之后利用超级账本结构(Hyperledger Fabric)提供的数据存储接口将其保存在区块链中；

访问策略读取：接收到从访问控制模块传来的访问策略获取请求时，利用超级账本结构(Hyperledger Fabric)提供的数据读取接口读取保存在区块链中信息，并进行反序列化，根据域的标识获取某个域的访问策略，并传送给访问控制模块；

访问策略修改：接收到从访问控制模块传来的访问策略修改请求时，首先解析需要修改的域与新的的信任域名单，然后通过访问策略读取接口读取出访问策略(Platform)，使用新的信任域名单替换原有名单，接着利用访问策略存储接口，将修改后的数据存储在区块链中。修改结果将传送给访问控制模块。

本发明的有益效果：

成本低。本发明将现有的云服务器资源进行整合，提出了基于区块链的跨域资源隔离共享系统。新的域若想要加入此系统，只需要将已有的云服务器与数据库加入到系统当中即可。此过程不需要建立额外的基础公共设施，也不需要添加额外的数据库以存储海量的云计算资源。

适用于拥有海量资源的云计算环境。本系统由多个云服务器与数据库构成。这些服务器与数据库拥有优秀的计算性能或存储能力，能够同时为大量用户服务。

支持跨域资源共享。本发明允许处于不同域的云服务器加入到系统当中。所有用户都能够尝试申请访问在该系统当中所有云计算资源，无论该资源是否属于用户所在域。并且当用户满足访问控制策略时，可以成功获取这些资源。

拥有严格的访问控制策略保障数据安全。本发明采用基于身份识别的访问控制、基于角色的访问控制、基于属性的访问控制三种访问控制方法建立了可信的访问控制策略。并利用区块链来管理访问控制策略，以确保其安全性。

附图说明

图1为本发明提出的基于区块链的跨域资源隔离共享系统架构图。

图2为本发明提出的基于区块链的跨域资源隔离共享系统用户管理模块架构图。

图3为本发明提出的基于区块链的跨域资源隔离共享系统用户管理模块的工作流程图。

图4为本发明提出的基于区块链的跨域资源隔离共享系统访问控制模块架构图。

图5为本发明提出的基于区块链的跨域资源隔离共享系统跨域共享策略的匹配与违规研判功能流程图。

图6为本发明提出的基于区块链的跨域资源隔离共享系统跨域共享策略的修改功能流程图。

图7为本发明提出的基于区块链的跨域资源隔离共享系统共识信任模块架构图。

具体实施方式

下面结合附图对本发明作进一步详细说明。

如图1所示，本发明的系统架构由用户管理模块、访问控制模块、共识信任模块组成，实现了一种基于区块链的跨域资源隔离共享系统，具体的实施包括以下几个部分：随着云计算技术的发展，网络上的云计算资源不断地增长。但是各个企业、单位之间，或者同一个单位的不同地域之间，考虑到云计算资源的差异性、独立性和安全性而对云计算资源进行封闭式的管理。使其难以大规模扩展，并且形成大量的信息孤岛。

在本发明中“域”指的就是同一个单位中形成了信息孤岛的不同地域。

跨域是指提供安全的方式，使不同域间的封闭资源可以进行共享。

资源是云计算资源，在本系统中特指由云计算机提供的服务的url地址。

隔离是指各个域对云计算资源进行封闭式的管理。

共享指的是实现各个域的云计算资源的统一利用与水平扩展，使得云计算资源的能够在各个域间安全流转。

1.用户管理模块

用户管理模块用于管理用户信息，并为用户提供可视化的操作界面。如图2所示，用户管理模块由用户授权子模块、用户登录子模块、请求发起子模块构成，具体功能如下：

1)用户授权子模块。管理员可以注册新的用户，并在注册时定义新用户的身份、角色等信息，以达到授权的目的。相应的用户信息会存储到用户信息数据库当中。此外管理员可以审核当前已有的用户，注销一些用户，以达到权限回收的目的。

2)用户登录子模块。用户使用已注册的账号与密码进行登录，后台从用户信息数据库读取当中当前用户的身份、角色以及所属的域等相关信息。

3)请求发起子模块。用户申请访问某个资源时，将会向请求管理模块的后台服务器发起访问请求，并等待服务器响应。

如图3所示，用户管理模块的工作流程如下：

管理员登录用户管理界面，输入用户账号、密码、邮件、角色信息注册新用户。用户使用账号密码进行登录，后台记录当前用户的身份、角色以及所属的域等相关信息。用户选中某一后台资源请求访问时，系统将用户的身份(Pid)、角色(Role)、请求的服务类型(SvcType)、服务对象名称(SvcName)以及操作类型(Operate)转换成字符串通过超文本传输协议传送给请求管理模块所属后台服务器。并等待后台服务器响应。若允许访问，则获得资源url地址。若不允许访问则显示访问被拒绝。

2.访问控制模块

此模块包含多个后台服务器负责对访问请求进行处理，将请求包含的信息与访问策略进行匹配与违规研判，并将结果提交给用户管理模块。此外还提供了访问策略的修改功能。如图4所示，访问控制模块由访问策略获取子模块、访问决策子模块、访问策略修改子模块构成。跨域共享策略的匹配与违规研判功能由访问策略获取子模块、访问决策子模块实现，跨域共享策略的修改功能由访问策略修改子模块实现。具体功能如下：

1)访问策略获取子模块。当后台服务器接收到访问请求时，首先会解析请求内容。接着根据请求的内容，获取请求对象的信息与访问策略。

2)访问决策子模块。综合判断请求用户的身份、角色与请求对象的属性是否满足访问策略的要求。

3)访问策略修改子模块。在后台服务器输入相关数据，向共识信任模块发起访问策略修改请求，等待共识信任模块的响应。

如图5所示，跨域共享策略的匹配与违规研判功能工作流程如下：

后台服务器接收到访问请求，并从中解析出用户的身份(Pid)、角色(Role)、请求的服务类型(SvcType)、服务对象名称(SvcName)以及操作类型(Operate)。之后系统根据服务对象名称从资源数据库中读取出该被申请访问的资源对象的信息，包括：资源的身份(Pid)、角色(Role)、类型(Type)、操作类型(Operate)、资源的url地址(objURL)。系统将用户相关信息构建为构建访问用户结构体(subInfo)，将资源对象相关信息构造为访问对象结构体(objInfo)。

后台服务器向共识信任模块中的区块链发起获取访问策略的请求，请求内容包含访问对象的身份。区块链返回一组代表访问策略的字符串数组，其含义是访问对象的身份所对应的可信域名单(TrustedPlatforms)。

进行访问决策，并进行响应。允许本次访问需要满足下列条件：

1)访问用户的身份在可信域名单(TrustedPlatforms)中。

2)访问用户的角色权限要大于等于访问对象的角色权限(共有三种角色，以权限大小从大到小排序分别是：管理者(ADMIN)、操作者(OPERATOR)、访客(VIEWER))。

3)访问用户的服务类型、操作类型要与访问对象的服务类型、操作类型一致。

不满足以上条件，将会拒绝本次访问请求。

如图6所示，跨域共享策略的修改功能的工作流程如下：

首先从终端输入修改访问策略所需要的参数，包括用户的身份(Pid)、角色(Role)，需要修改域(newStrat_Pid)与新的可信域名单(newStrat_TrustedPlatforms)。满足以下条件才会允许本次修改操作：

1)用户的身份与需要修改域一致。

2)用户角色为管理者。

不满足以上条件将会拒绝本次访问策略的修改，并进行提示。

后台服务器利用共识信任模块的区块链中提供的接口，将需要修改的域以及新的可信域名单提交给区块链，并等待区块链访问策略修改结果，进行提示。

3.共识信任模块

该模块包含多个区块链节点，用于建立信任机制，并初始化、存储、读取、修改访问策略。如图7所示，本模块由区块链子模块、访问策略管理子模块构成。具体功能如下：

1)区块链子模块。信任机制由超级账本结构(Hyperledger Fabric)节点构造的私有区块链建立，依靠区块链上数据不可篡改等特性，保证数据的安全。并且在区块链中的每一个节点都安装了同一套智能合约。节点间通过区块链网络达成共识，允许外部调用智能合约中提供的接口。

2)访问策略管理子模块。此模块通过调用区块链中智能合约提供的接口，完成访问策略的初始化、存储、读取、修改等操作。

访问策略管理各项功能具体工作流程：

访问策略初始化：在智能合约成功安装到各个区块链节点后，需要对访问策略进行初始化操作。初始时设置了西电、广州、青岛这几个域，每个域均有对应的唯一标识(Pid)。并且规定了各个域的可信域名单，其中西电域信任其他两个域，而广州域、青岛域也信西电域。但是广州域与青岛域之间是相互不信任的。初始化完毕后的数据将会存储在区块链中。

访问策略存储：存储时，将要存储的一组数据(包括域的名称、标识、可信域名单)组合为一个结构体。将所有的结构体组合为一个哈希类型变量，并进行序列化。之后利用超级账本结构(Hyperledger Fabric)提供的数据存储接口将其保存在区块链中。

访问策略读取：接收到从访问控制模块传来的访问策略获取请求时，利用超级账本结构(Hyperledger Fabric)提供的数据读取接口读取保存在区块链中信息，并进行反序列化，根据域的标识获取某个域的访问策略，并传送给访问控制模块。

访问策略修改：接收到从访问控制模块传来的访问策略修改请求时，首先解析需要修改的域与新的的信任域名单。接着通过访问策略读取接口读取出访问策略(Platform)，使用新的信任域名单替换原有名单。接着利用访问策略存储接口，将修改后的数据存储在区块链中。修改结果将传送给访问控制模块。

1.本发明设计了基于区块链的跨域资源隔离共享技术，基于区块链的跨域资源隔离共享技术包括：请求发起过程、访问策略获取过程、访问决策过程。

所述请求发起过程是指用户需要访问到某一云计算资源时，由前端向后台服务器发起访问请求，并等待响应结果。该访问请求内容包括：所需请求访问的资源的标识以及用户当前身份、角色、属性等信息。

所述访问策略获取过程是指后台服务器接收到访问请求时，首先根据所需请求访问的资源的标识向后台资源数据库获取该资源的相关属性，然后再向区块链中获取当前的访问控制策略。

所述访问决策过程是指后台服务器已经获取所需访问资源的相关属性与当前访问控制策略之后，将访问请求中包含的用户身份、角色、属性等信息与所需访问资源的相关属性进行匹配，判断其是否满足访问控制策略的要求，并将结果响应至前端。

2.本发明实现了基于区块链的跨域资源隔离系统。该系统由用户管理、访问控制、共识信任三个模块组成。系统结构图如图1所示。

所述用户管理模块，是该系统的前端，主要负责系统用户的注册、审核、授权、注销，并提供发起访问请求的功能。

所述访问控制模块，包含了多台后台服务器，主要负责跨域共享策略的匹配与违规研判、跨域共享策略的修改等功能。

所述共识信任模块，由区块链节点构成，主要负责共识管理与信任机制建立、差异化跨域共享策略的管理。

Claims (7)

1.一种基于区块链的跨域资源隔离共享系统，其特征在于，包括用户管理模块、访问控制模块和共识信任模块；

所述用户管理模块用于管理用户信息，是系统的前端，负责系统用户的注册、审核、授权、注销，并提供发起访问请求的功能，以及为用户提供可视化的操作界面；

所述访问控制模块包含多个后台服务器负责对访问请求进行处理，将访问请求包含的信息与访问策略进行匹配与违规研判，并将结果提交给用户管理模块；所述访问请求是指用户需要申请访问某个资源时，将会向请求管理模块的后台服务器发起访问请求，后台服务器响应是否允许该用户的访问；

所述请求包含的信息：用户的身份(Pid)、角色(Role)、请求的服务类型(SvcType)、服务对象名称(SvcName)以及操作类型(Operate)；

所述访问策略是指访问控制策略，本系统采用基于身份识别的访问控制、基于角色的访问控制、基于属性的访问控制三种访问控制方法建立了可信的访问控制策略；

所述共识信任模块包含多个区块链节点，用于建立信任机制，并初始化、存储、读取、修改访问策略。

2.根据权利要求1所述的一种基于区块链的跨域资源隔离共享系统，其特征在于，二者匹配/违规的研判需要匹配的信息如下：

访问用户结构体(subInfo)，内容包括：用户的身份(Pid)、角色(Role)、请求的服务类型(SvcType)、服务对象名称(SvcName)以及操作类型(Operate)，由后台服务器从访问请求中解析出来的；

访问对象结构体(objInfo)，内容包括：资源的身份(Pid)、角色(Role)、类型(Type)、操作类型(Operate)、资源的url地址(objURL)，由后台服务器访问资源数据库得到；

可信域名单(TrustedPlatforms)。名单由后台服务器向共识信任模块中的区块链发起获取访问策略的请求得到；

两者匹配需要满足下列条件：

访问用户的身份在可信域名单(TrustedPlatforms)中；

访问用户的角色权限要大于等于访问对象的角色权限(共有三种角色，以权限大小从大到小排序分别是：管理者(ADMIN)、操作者(OPERATOR)、访客(VIEWER))。

访问用户的服务类型、操作类型要与访问对象的服务类型、操作类型一致；

不满足以上条件，将会拒绝本次访问请求。

如果匹配，将匹配成功的信息以及资源的url地址一起传输到用户管理模块。如果违规，拒绝用户的访问请求，将拒绝访问信息传输到用户管理模块；

在“跨域资源隔离共享”中：

“域”指的就是同一个单位中形成了信息孤岛的不同地域；

跨域是指提供安全的方式，使不同域间的封闭资源可以进行共享；

“隔离”是预先假设的条件，是指各个域对云计算资源进行封闭式的管理，只有拥有正确url地址的用户才能对特定资源进行访问；

“共享”的实现：当用户想对隔离资源进行访问时，通过用户管理模块发起访问请求。访问控制模块结合访问控制策略(访问控制策略在区块链模块进行初始化、存储、读取、修改)判断是否允许本次访问，若允许本次访问，访问控制模块将资源的url传输到用户管理模块，通过url，对资源进行访问，由此达成“共享”的目的。

3.根据权利要求1所述的一种基于区块链的跨域资源隔离共享系统，其特征在于，所述用户管理模块包括用户授权子模块、用户登录子模块、请求发起子模块；

1)用户授权子模块：管理员注册新的用户，并在注册时定义新用户的身份、角色信息，以达到授权的目的，相应的用户信息会存储到用户信息数据库当中，此外管理员审核当前已有的用户，注销一些用户，以达到权限回收的目的；

2)用户登录子模块：用户使用已注册的账号与密码进行登录，后台从用户信息数据库读取当中当前用户的身份、角色以及所属的域相关信息；

3)请求发起子模块：用户申请访问某个资源时，将会向请求管理模块的后台服务器发起访问请求，并等待服务器响应。资源是云计算资源，在本系统中特指由云计算机对外提供的服务，以url地址的方式展示。资源的相关信息，包括身份(Pid)、角色(Role)、类型(Type)、操作类型(Operate)、url地址(objURL)均存储在访问控制模块的资源数据库中，请求管理模块的后台服务器读取资源数据库可以获得资源相关信息，资源本身是不处于系统中的其他云计算机对外提供的服务，本系统只提供其url地址。

4.根据权利要求1所述的一种基于区块链的跨域资源隔离共享系统，其特征在于，所述访问控制模块包括访问策略获取子模块、访问决策子模块、访问策略修改子模块；

访问策略获取子模块、访问决策子模块实现跨域共享策略的匹配与违规研判功能，访问策略修改子模块实现跨域共享策略的修改功能，具体功能如下：

1)访问策略获取子模块：当后台服务器接收到访问请求时，首先会解析请求内容，接着根据请求的内容，获取请求对象的信息与访问策略；

2)访问决策子模块：综合判断请求用户的身份、角色与请求对象的属性是否满足访问策略的要求；3)访问策略修改子模块：在后台服务器输入相关数据，向共识信任模块发起访问策略修改请求，等待共识信任模块的响应。

5.根据权利要求4所述的一种基于区块链的跨域资源隔离共享系统，其特征在于，修改访问策略所需要的参数包括用户的身份(Pid)、角色(Role)，需要修改域(newStrat_Pid)与新的可信域名单(newStrat_TrustedPlatforms)；

共识信任模块，满足以下条件才会允许本次修改操作：

1)用户的身份与需要修改域一致；

2)用户角色为管理者；

不满足以上条件将会拒绝本次访问策略的修改，并进行提示。

6.根据权利要求1所述的一种基于区块链的跨域资源隔离共享系统，其特征在于，所述共识信任模块包括区块链子模块、访问策略管理子模块；

具体功能如下：

1)区块链子模块：信任机制由超级账本结构(Hyperledger Fabric)节点构造的私有区块链建立，依靠区块链上数据不可篡改的特性，保证数据的安全，并且在区块链中的每一个节点都安装同一套智能合约，节点间通过区块链网络达成共识，允许外部调用智能合约中提供的接口；

2)访问策略管理子模块：此模块通过调用区块链中智能合约提供的接口，完成访问策略的初始化、存储、读取、修改操作；智能合约是指部署在区块链节点中，能够自动运行的代码，智能合约能够对外提供接口，外部应用程序通过调用智能合约接口对区块链中的数据进行管理，在本系统中，各个节点所部署的智能合约提供了访问策略的初始化、存储、读取、修改操作接口。

7.根据权利要求6所述的一种基于区块链的跨域资源隔离共享系统，其特征在于，在区块链中每一个节点执行如下操作；

访问策略初始化：访问策略初始化设置了西电、广州、青岛这几个域，每个域均有对应的唯一标识(Pid)，并且规定了各个域的可信域名单，其中西电域信任其他两个域，而广州域、青岛域也信西电域，但是广州域与青岛域之间是相互不信任的，初始化完毕后的数据将会存储在区块链中；

访问策略存储：存储时，将要存储的一组数据(包括域的名称、标识、可信域名单)组合为一个结构体，将所有的结构体组合为一个哈希类型变量，并进行序列化，之后利用超级账本结构(Hyperledger Fabric)提供的数据存储接口将其保存在区块链中；

访问策略读取：接收到从访问控制模块传来的访问策略获取请求时，利用超级账本结构(Hyperledger Fabric)提供的数据读取接口读取保存在区块链中信息，并进行反序列化，根据域的标识获取某个域的访问策略，并传送给访问控制模块；

访问策略修改：接收到从访问控制模块传来的访问策略修改请求时，首先解析需要修改的域与新的的信任域名单，然后通过访问策略读取接口读取出访问策略(Platform)，使用新的信任域名单替换原有名单，接着利用访问策略存储接口，将修改后的数据存储在区块链中。修改结果将传送给访问控制模块。

Images