CN115834186B - 基于远程访问的授权模型建立方法及授权控制方法 - Google Patents

Abstract

本发明涉及远程访问的权限控制领域，具体涉及一种基于远程访问的授权模型建立方法及授权控制方法，提高了对授权粒度控制的精细化程度，以及授权控制的灵活性。本发明授权模型包括目录引用策略索引集与策略子集，所述目录引用策略索引集为目录引用策略索引的集合，所述策略子集为子策略的集合，所述目录引用策略索引与策略子集一一对应；授权模型建立方法包括：设置初始化策略，并激活目录引用策略集作为当前域的执行策略；按照第一规则构建目录引用策略索引集，按照第二规则构建策略子集。本发明适用于远程访问的权限控制。

Description

基于远程访问的授权模型建立方法及授权控制方法

技术领域

本发明涉及远程访问的权限控制领域，具体涉及一种基于远程访问的授权模型建立方法及授权控制方法。

背景技术

随着现代互联网的高速发展，对于远程访问授权管理的需求日益增强，并且逐渐渗透到人们的生活中，基于物联网通信的生态系统已逐步常态化，设备与设备之间通信变得愈发频繁，而此过程中如何安全可信的进行访问授权备受关注，依次衍生了ACL、RBAC、ABAC等多种访问控制方法，其中ABAC代表了逻辑访问控制发展的最新里程碑，它是一种基于属性的方法可适应广泛、多样的访问控制策略，并简化了访问控制管理。其目标是通过各种操作，保护客体(如数据、应用程序、服务、网络设备亦或是其他类型IT资源)。目前已存在的远程访问的授权模型有以下几点技术问题：授权过程较为复杂，受制于客户端和服务端，且缺乏对授权粒度管控的灵活变通，即授权控制不够精细灵活。

发明内容

本发明的目的是提供一种基于远程访问的授权模型建立方法及授权控制方法，提高了对授权粒度控制的精细化程度，以及授权控制的灵活性。

本发明采取如下技术方案实现上述目的，基于远程访问的授权模型建立方法，授权模型包括目录引用策略索引集与策略子集，所述目录引用策略索引集为目录引用策略索引的集合，所述策略子集为子策略的集合，所述目录引用策略索引与策略子集一一对应；

所述授权模型建立方法包括：

设置初始化策略，并激活目录引用策略集作为当前域的执行策略；

按照第一规则构建目录引用策略索引集，所述第一规则包括：

按照策略生成时间倒序排列目录引用策略索引；

执行策略匹配的逻辑顺序与目录引用策略索引物理顺序保持一致；

目录引用策略索引target缺省，默认通匹配，即所有类型的请求皆可请求授权；

若通过目录引用策略索引匹配到当前策略子集，则直接返回匹配结果，结束本次策略评估；

若通过目录引用策略索引未匹配到当前策略子集，则直接匹配下一条策略索引，直至匹配到策略子集返回匹配结果，结束本次策略评估；

若目录引用策略索引对应的所有策略子集均未匹配成功，则直接拒绝，结束本次策略评估；

按照第二规则构建策略子集，所述第二规则包括：

建立与策略子集一一对应的策略标识，将目前的hash取值扩充为随机序列；

策略子集采用的策略组合算法为拒绝除非允许算法，以此保障策略子集给出明确的授权结果：拒绝或允许；

根据授权粒度选择性建立策略子集target及索引，若为大颗粒粗粒度的授权，则无需设置target；若为小颗粒细粒度授权，则根据实际应用场景准确记录当前策略索引对象；

策略子集target未匹配成功，则不评估当前子策略，回退到目录引用策略索引，对下一个策略子集的子策略进行评估；

策略子集target匹配成功，评估当前子策略，返回确切结果：允许或拒绝，结束本次评估；

策略子集中的规则组合选取拒绝除非允许算法，规范规则执行逻辑，保障每条规则独立执行，且返回明确的授权结果：授权或允许。

进一步的是，设置初始化策略后还包括将初始化策略作为目录引用策略索引集评估的叶子结点，即当所有目录引用策略索引未匹配到策略子集时，叶子结点作为结束流程的出口结点。

进一步的是，所述第二规则还包括：通过策略子集无差别性隔离每条子策略，以保障策略执行互不干扰。

进一步的是，所述第二规则还包括：通过策略子集控制授权模型管控的粒度。

授权控制方法，应用于上述所述授权模型建立方法建立的授权模型，包括：

基于xacml标准将具体需求应用场景下的访问行为面向属性进行标准化封装；

向授权模型发起授权请求，若授权请求符合授权模型中的授权策略，则获取授权；否则拒绝授权请求，所述授权策略包括策略新增、策略修改、策略删除以及策略查询。

进一步的是，策略新增包括同时更新目录引用策略索引和策略子集，具体包括：

将新增策略按照xacml标准转化为对应xml文件，新增策略构建方式与策略子集构建方式一致，设置新增策略的policeId为随机序列；

向策略域推送新策略，并将新策略的policeId封装到PolicySetIdReference中，增加并更新策略索引信息。

进一步的是，策略删除包括同时更新目录引用策略索引和策略子集，删除顺序为先删除索引信息，后删除对应的子策略，具体包括：

获取策略域中最新的目录引用策略索引信息，通过唯一的policeId定位到该条策略索引信息，将此索引信息从目录引用策略索引集中删除并更新策略索引信息；

通过唯一的policeId定向删除策略子集。

进一步的是，策略修改包括同时更新目录引用策略索引和策略子集，修改顺序为先更新子策略，后更新对应策略索引信息，具体包括：

将修改策略按照xacml标准转化为对应xml文件，修改策略构建方式与策略子集构建方式一致；

获取策略域中最新的目录引用策略索引信息，通过唯一的policeId定位到该条策略索引信息，将此索引信息更新到策略引用执行顺序顶端的位置；

将修改后的策略更新到策略域中，并将最新的目录引用策略索引更新到策略域中。

进一步的是，策略查询直接通过唯一的policeId定向查询策略详情。

本发明的有益效果为：

本发明授权模型包括目录引用策略索引集与策略子集，目录引用策略索引与策略子集一一对应，通过对应的规则分别构建目录引用策略索引集与策略子集。在授权模型中每条子策略通过策略子集无差别性隔离，能够保障策略执行互不干扰；通过策略子集控制模型管控的粒度，极大地提高了对授权粒度控制的精细化程度，并且有效减少策略冗余及修改带来的繁杂操作，提高了灵活性。

本发明的授权模型能够在零信任网关中构建，并在真实物联网环境中进行授权访问，能够提高访问授权的安全性，提高授权控制的精确性以及提高授权的效率，相对于传统授权控制方案，本发明具有更高的适应性，能够应用于不同的使用场景。

附图说明

图1为本发明实施例提供的授权模型示意图；

图2为本发明实施例提供的访问授权控制流程图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明基于远程访问的授权模型建立方法，授权模型包括目录引用策略索引集与策略子集，所述目录引用策略索引集为目录引用策略索引的集合，所述策略子集为子策略的集合，所述目录引用策略索引与策略子集一一对应；

所述授权模型建立方法包括：

设置初始化策略，并激活目录引用策略集作为当前域的执行策略；设置初始化策略后还包括将初始化策略作为目录引用策略索引集评估的叶子结点，即当所有目录引用策略索引未匹配到策略子集时，叶子结点作为结束流程的出口结点。

按照第一规则构建目录引用策略索引集，所述第一规则包括：

采用策略组合算法为时间优先排列算法，以此保障策略后来居上的原则，即按照策略生成时间倒序排列目录引用策略索引；

执行策略匹配的逻辑顺序与目录引用策略索引物理顺序保持一致；

目录引用策略索引target缺省，默认通匹配，即所有类型的请求皆可请求授权；

若通过目录引用策略索引匹配到当前策略子集，则直接返回匹配结果：拒绝或允许，结束本次策略评估；

若通过目录引用策略索引未匹配到当前策略子集，则直接匹配下一条策略索引，直至匹配到策略子集返回匹配结果，结束本次策略评估；

若目录引用策略索引对应的所有策略子集均未匹配成功，则直接拒绝，结束本次策略评估；

按照第二规则构建策略子集，所述第二规则包括：

建立与策略子集一一对应的策略标识，将目前的hash取值扩充为随机序列；

策略子集采用的策略组合算法为拒绝除非允许算法，以此保障策略子集给出明确的授权结果：拒绝或允许；

根据授权粒度选择性建立策略子集target及索引，若为大颗粒粗粒度的授权，则无需设置target；若为小颗粒细粒度授权，则根据实际应用场景准确记录当前策略索引对象；

策略子集target未匹配成功，则不评估当前子策略，回退到目录引用策略索引，对下一个策略子集的子策略进行评估；

策略子集target匹配成功，评估当前子策略，返回确切结果：允许或拒绝，结束本次评估；

策略子集中的规则组合选取拒绝除非允许算法，规范规则执行逻辑，保障每条规则独立执行，且返回明确的授权结果：授权或允许。

在第二规则中，通过策略子集无差别性隔离每条子策略，以保障策略执行互不干扰。通过策略子集控制授权模型管控的粒度。

授权控制方法，应用于上述所述授权模型建立方法建立的授权模型，包括：

基于xacml标准将具体需求应用场景下的访问行为面向属性进行标准化封装；

向授权模型发起授权请求，若授权请求符合授权模型中的授权策略，则获取授权；否则拒绝授权请求，所述授权策略包括策略新增、策略修改、策略删除以及策略查询。

在本发明的一种实施例中，策略新增包括同时更新目录引用策略索引和策略子集，具体包括：

将新增策略按照xacml 3.0标准转化为对应xml文件，新增策略构建方式与策略子集构建方式一致，设置新增策略的policeId为随机序列；

向策略域推送新策略，并将新策略的policeId封装到PolicySetIdReference中，增加并更新策略索引信息，policeId为xacml 3.0标准中规定的策略ID，PolicySetIdReference为xacml 3.0标准中规定的策略集ID，用来标识索引。

在本发明的一种实施例中，策略删除包括同时更新目录引用策略索引和策略子集，删除顺序为先删除索引信息，后删除对应的子策略，具体包括：

获取策略域中最新的目录引用策略索引信息，通过唯一的policeId定位到该条策略索引信息，将此索引信息从目录引用策略索引集中删除并更新策略索引信息；

通过唯一的policeId定向删除策略子集。

在本发明的一种实施例中，策略修改包括同时更新目录引用策略索引和策略子集，修改顺序为先更新子策略，后更新对应策略索引信息，具体包括：

将修改策略按照xacml标准转化为对应xml文件，修改策略构建方式与策略子集构建方式一致；

获取策略域中最新的目录引用策略索引信息，通过唯一的policeId定位到该条策略索引信息，将此索引信息更新到策略引用执行顺序顶端的位置；

将修改后的策略更新到策略域中，并将最新的目录引用策略索引更新到策略域中。

在本发明的一种实施例中，策略查询直接通过唯一的policeId定向查询策略详情。

图1为本发明实施例提供的授权模型示意图，如图所示，授权模型包括目录引用策略索引集与多个策略子集，目录引用策略索引集包括引用9(即索引9)、引用8、...、引用2、引用1，引用9与策略子集9对应，引用8与策略子集8对应，引用2与策略子集2对应，引用1与策略子集1对应；策略子集9的条件为主体四可以访问资源1与资源2，策略子集8的条件为主体三可以访问资源15，策略子集2的条件为主体二可以访问资源56，策略子集1的条件为主体一可以访问资源11。

图2为本发明实施例提供的访问授权控制流程图，远程访问向授权模型发起授权请求后，首先进行引用匹配，引用匹配主要对策略目标索引进行匹配，匹配失败表示当前访问主体不适用，则按照顺序匹配下一条引用；

匹配成功，表示访问主体适用，访问主体适用则命中对应的策略子集。然后进入下一步，在对应策略子集中顺序评估规则，顺序评估规则主要对策略子集的规则条件进行评估，若条件不匹配，则评估下一条规则，若条件匹配，则进入下一步评估规则；评估规则的过程中，若符合规则，则允许授权；不符合规则，则拒绝访问。

例如，主体三远程向授权模型发起访问资源15的授权请求，则授权请求首先与引用9进行匹配，匹配过程中对应的策略子集9将给出一个反馈，告知访问主体不适用；则按照顺序授权请求再与引用8匹配，对应的策略子集8给出反馈，告知访问主体适用，则匹配成功，命中策略子集8；然后进入策略子集8中，对策略子集8中的规则条件进行评估，判断请求访问的资源是否是资源15，若条件符合，则授权允许访问资源15。

综上所述，本发明极大地提高了对授权粒度控制的精细化程度，并且有效减少策略冗余及修改带来的繁杂操作，提高了授权控制的灵活性；同时本发明具有更高的适应性，能够应用于不同的使用场景。

Claims (7)

1.基于远程访问的授权模型建立方法，其特征在于，授权模型包括目录引用策略索引集与策略子集，所述目录引用策略索引集为目录引用策略索引的集合，所述策略子集为子策略的集合，所述目录引用策略索引与策略子集一一对应；

所述授权模型建立方法包括：

设置初始化策略，并激活目录引用策略集作为当前域的执行策略；

按照第一规则构建目录引用策略索引集，所述第一规则包括：

按照策略生成时间倒序排列目录引用策略索引；

执行策略匹配的逻辑顺序与目录引用策略索引物理顺序保持一致；

目录引用策略索引target缺省，默认通匹配，即所有类型的请求皆可请求授权；

若通过目录引用策略索引匹配到当前策略子集，则直接返回匹配结果，结束本次策略评估；

若通过目录引用策略索引未匹配到当前策略子集，则直接匹配下一条策略索引，直至匹配到策略子集返回匹配结果，结束本次策略评估；

若目录引用策略索引中对应的所有策略子集均未匹配成功，则直接拒绝，结束本次策略评估；

按照第二规则构建策略子集，所述第二规则包括：

建立与策略子集一一对应的策略标识，将目前的hash取值扩充为随机序列；

策略子集采用的策略组合算法为拒绝除非允许算法，以此保障策略子集给出明确的授权结果：拒绝或允许；

根据授权粒度选择性建立策略子集target及索引，若为大颗粒粗粒度的授权，则无需设置target；若为小颗粒细粒度授权，则根据实际应用场景准确记录当前策略索引对象；

策略子集target未匹配成功，则不评估当前子策略，回退到目录引用策略索引，对下一个策略子集的子策略进行评估；

策略子集target匹配成功，评估当前子策略，返回确切结果：允许或拒绝，结束本次评估；

策略子集中的规则组合选取拒绝除非允许算法，规范规则执行逻辑，保障每条规则独立执行，且返回明确的授权结果：授权或允许；

所述第二规则还包括：通过策略子集无差别性隔离每条子策略，以保障策略执行互不干扰；以及，通过策略子集控制授权模型管控的粒度。

2.根据权利要求1所述的基于远程访问的授权模型建立方法，其特征在于，设置初始化策略后还包括将初始化策略作为目录引用策略索引集评估的叶子结点，即当所有目录引用策略索引不匹配时，叶子结点作为目录引用策略索引集匹配流程结束的出口结点。

3.授权控制方法，应用于如权利要求1或2所述授权模型建立方法建立的授权模型，其特征在于，包括：

基于xacml 标准将具体需求应用场景下的访问行为面向属性进行标准化封装；

向授权模型发起授权请求，若授权请求符合授权模型中的授权策略，则获取授权；否则拒绝授权请求，所述授权策略包括策略新增、策略修改、策略删除以及策略查询。

4.根据权利要求3所述的授权控制方法，其特征在于，策略新增包括同时更新目录引用策略索引和策略子集，具体包括：

将新增策略按照xacml 标准转化为对应xml文件，新增策略构建方式与策略子集构建方式一致，设置新增策略的policeId为随机序列；

向策略域推送新策略，并将新策略的policeId封装到PolicySetIdReference中，增加并更新策略索引信息。

5.根据权利要求4所述的授权控制方法，其特征在于，策略删除包括同时更新目录引用策略索引和策略子集，删除顺序为先删除索引信息，后删除对应的子策略，具体包括：

获取策略域中最新的目录引用策略索引信息，通过唯一的policeId定位到该条策略索引信息，将此索引信息从目录引用策略索引集中删除并更新策略索引信息；

通过唯一的policeId定向删除策略子集。

6.根据权利要求4所述的授权控制方法，其特征在于，策略修改包括同时更新目录引用策略索引和策略子集，修改顺序为先更新子策略，后更新对应策略索引信息，具体包括：

将修改策略按照xacml 标准转化为对应xml文件，修改策略构建方式与策略子集构建方式一致；

获取策略域中最新的目录引用策略索引信息，通过唯一的policeId定位到该条策略索引信息，将此索引信息更新到策略引用执行顺序顶端的位置；

将修改后的策略更新到策略域中，并将最新的目录引用策略索引更新到策略域中。

7.根据权利要求4所述的授权控制方法，其特征在于，策略查询直接通过唯一的policeId定向查询策略详情。