CN1642080A - 多用户类型的统一认证系统及其方法 - Google Patents

Abstract

本发明公开了一种多用户类型的统一认证系统及其方法，首先定义所有域对应的特定符号，接收一认证请求，同时接收具有特定符号的用户名及密码后，根据该特定符号，确定该用户所在的域，同时确定该用户在该域的相应域名，比对该域名与本机所在域的域名，得出比对结果，根据该比较结果，调用相应的认证程序进行认证，从而实现所有服务认证处理的集中控制。

Description

多用户类型的统一认证系统及其方法

技术领域

本发明涉及一种认证处理的控制系统及其方法，特别是指一种多用户类型的统一认证系统及其方法。

背景技术

为了安全的使用一台计算机提供的共享资源，通常需要使用认证的方法来对访问者的身份加以限定。从而证明该使用者是合法用户，并拥有对某些网络资源的访问权限。

一个认证过程分为两个阶段，一是证明声明是这个用户的使用者确实是这个用户，二是这个用户对特定的共享资源是否具有使用权限。对于第二个阶段，一般是由共享资源的提供者来决定一个特定的用户是否具有使用该资源的权限；而对于第一个阶段，则使用用户名与密码进行验证的方法来决定用户是否是他所声明的身份。为了能够统一管理一个组织或企业内部的所有账户以及其它资源，提出了域或群组的概念，这大大提高了用户的可管理性：在一个域范围内，对特定用户的认证可以在域服务器上统一进行。但对于一个提供资源共享的计算机，由于其上一般也建立了内在的账户，所以当一个用户对这个计算机的资源提出使用请求时，这台计算机就要区分这个用户是本地账户还是域账户。域的概念被发展为不同的模型，例如现在广泛使用的就有两种：Windows域和NIS域。这样，在一个网络环境中，当一台计算机向外提供资源时，就需要考虑三种用户：本地用户，Windows域用户和NIS域用户，不同的用户类型使用不同的认证方式，为了向所有类型的用户提供服务，一个资源的提供者要支持好几种不同的认证方式。

目前，所有的资源提供者都支持本机账户的认证，但对于域帐户的认证，有的支持而有的不支持。以典型的文件服务为例，Samba服务支持Windows域认证，而不支持NIS域认证，所以NIS域用户就无法直接使用Samba提供的文件服务；FTP服务一般支持NIS域认证而不支持Windows域认证，所以Windows域用户就无法直接使用FTP服务。通过某种手段，可能使得某个服务支持某个认证方式，但对于不同的服务，即使支持相同的认证方式，其支持的程度和处理方式也各不相同。对于一个以提供文件服务为主的服务器来说，这种情况是无法接受的。

因此如何提供一种所有服务都支持的统一的认证方法，从而简化认证方式，提高资源的利用效率，是当前认证系统待解决的问题。

发明内容

因此，本发明为解决上述问题而提出一种多用户类型的统一认证系统及其方法，主要的目的在于实现所有服务认证的集中控制，从而简化认证方式，提高资源的利用效率。

为达到上述目的，本发明提供一种多用户类型的统一认证系统，用以向不同类型的网络资源用户提供统一认证方式，实现所有服务认证处理的集中控制，包括：一符号定义模块，用以设定并存储所有域对应的特定符号；一输入接收模块，其用以接收认证请求，同时接收用户输入的具有该特定符号的用户名及密码；一类型确定模块，用以根据该特定符号，确定该用户所在的域；一域名确定模块，用以根据该用户所在域，确定该用户在该域的相应域名；一域名比对模块，用以比对该域名与本机所在域的域名，得出比对结果；以及一认证模块，用以根据该比对结果，调用相应的认证程序进行身份认证。

另外，本发明进而提供一种多用户类型的统一认证方法，用以向不同类型的网络资源用户提供统一认证方式，实现所有服务认证处理的集中控制，首先定义所有域对应的特定符号，接收一认证请求，同时接收具有特定符号的用户名及密码后，根据该特定符号，确定该用户所在的域，再确定该用户在该域的相应域名，比对该域名与本机所在域的域名，得出比对结果，最后根据该比较结果，调用相应的认证程序进行认证。

根据本发明所提的多用户类型的统一认证系统及其方法，在一个系统的所有服务中提供了统一的认证方式。由于本发明对所有服务支持的认证方式是一致的，因此所有服务对某种认证方式的处理也是一致的。这样不仅大大简化了各个服务的认证模块，而且避免了大量的重复劳动，提高了资源的利用效率，实现了各个服务认证处理的集中控制，保证了用户身份的安全性，也不会产生身份混乱问题。

有关本发明的详细内容及技术，兹就配合附图说明如下：

附图说明

图1是现有认证系统的架构图；

图2是本发明所提的多用户类型的统一认证系统的模块架构图；

图3是本发明所提的多用户类型的统一认证方法的运行流程图；

图4是本发明实施例的用户身份处理的流程图；

图5是本发明实施例的根据用户认证配置判断所支持的认证方式的流程图；

图6是本发明实施例进行Windows域认证的流程图；

图7是本发明实施例进行NIS域认证的流程图；

图8是本发明实施例进行本地用户认证的流程图。

其中，附图标记说明如下：

110  需要认证的服务

120  统一认证系统

130  底层认证系统

121  符号定义模块

122  输入接收模块

123  类型确定模块

124  域名确定模块

125  域名比对模块

126  认证模块

步骤210定义所有域对应的特定符号

步骤220接收一认证请求，同时接收具有特定符号的用户名及密码

步骤230根据该特定符号，确定该用户所在的域

步骤240确定该用户在该域的相应域名

步骤250比对该域名与本机所在域的域名，得出比对结果

步骤260根据该比较结果，调用相应的认证程序进行认证

步骤301接收用户名和密码

步骤302判断用户名是否是“域名\用户名“形式

步骤303“域名”是本机所在的(或受本机信任的)Windows域名或本机所在NIS域名或本机机器名？

步骤304将用户名前的域名替换为本机机器名(HostName)并添加后缀“@”

步骤305用户名后带有“*”？

步骤306将本机所在的Windows域名“WinsDomain\”添加到用户名前

步骤307用户名后带有“+”？

步骤308将本机所在的NIS域名“NISDomain\”添加到用户名前

步骤309将本机机器名“HostName\”添加到用户名前并添加后缀“@”

步骤401是否支持Windows域用户认证？

步骤402是否通过认证？

步骤403是否支持NIS域用户认证

步骤404是否通过认证

步骤405是否支持本机用户认证？

步骤406是否通过认证

步骤407返回失败标志

步骤408返回成功标志

步骤501“域名\用户名”中的“域名”是否与本机加入的Windows域的域名相同？

步骤502用户名后带“+”或者“@”？

步骤503调用Windows域用户认证程序认证

步骤601“域名\用户名”中的“域名”是否与本机加入的NIS域的域名相同？

步骤602用户名后带“*”或者“@”

步骤603调用NIS域用户认证程序认证

步骤701“域名\用户名”中的“域名”是否与本机机器名相同？

步骤702用户名后带“*”或者“+”

步骤703调用本地用户认证程序认证

具体实施方式

本发明为一种多用户类型的统一认证系统及其方法，请参见图1，该图是认证系统结构示意图，系统结构为三层式结构，需要认证的服务110位于整体结构的上层，包括所有需要认证的服务或应用程序，典型的服务如文件服务中的Samba/CIFS，HTTP，AFP和FTP等服务，其它如login等登录服务。本发明的统一认证系统120位于整体架构的中间层，用于提供上层使用最低层进行认证的逻辑处理，主要负责对上层需要认证的服务提出的认证请求进行处理，以及负责记录及管理认证模块的配置信息，是用户控制或调整认证系统的接口，底层认证系统130位于整体架构的底层，负责特定的认证请求，如Windows域认证，NIS域认证，本地认证及其它认证等。

当用户发出资源使用要求后，服务(资源的提供者)收到用户的请求，此时服务需要判断使用此资源是否需要具有特定的用户权限，此时如果不需要具有特定的用户权限，则直接提供给资源供用户使用。否则，服务要求用户键入用户名和密码准备进行验证。用户输入用户名和密码后，交给统一认证模块进行认证，统一认证模块的认证工作完成后，返回成功或失败信息。此时服务进行认证成功或失败的判断，如果成功，则提供给资源供用户使用，否则要求用户重新输入用户名和密码进行再次验证。

请参见图2，该图是本发明的多用户类型的统一认证系统的模块架构图，说明如下：

(1)符号定义模块121，用以设定并存储所有域对应的特定符号。

为了系统功能的最大化，一般定义支持全部的认证方式，主要包括本地用户认证，Windows域用户认证和NIS域用户认证，如果有其它的认证方式，当然也可以加入。为了解决用户名前缀定义所无法解决的用户身份紊乱问题，本发明使用特定符号定义与用户名相结合的方法。使用用户名前缀定义了用户身份所属的区域(如域名)，而使用后缀特定符号则定义了前缀域名所属的类别，如前缀所属的域名的类别是NIS域还是Windows域等。通过这种域名类型限定进行辨别以调用特定的底层认证模块。

目前使用的后缀特定符号定义如下：

特定符号

涵义

*	此用户是一个提供资源的计算机所在的Windows域的域用户或此计算机所信任的Windows域用户
		+	此用户是一个提供资源的计算机所在的NIS域的域用户
@	此用户是提供资源的计算机上的本地用户

在使用本发明的方法时，需要认证的客户端用户可以使用上述的任何一种或两种方法进行用户身份限定，以上的方法不是必须的，即用户可以不使用任何方法或使用一个或两个方法的结合，但结合使用这两个方法可以保证完全限定一个用户的身份。具体使用那种方法或组合方法或不使用任何方法完全由发出资源访问请求的用户输入决定。系统将根据用户传入的用户名来判断用户的身份。

(2)输入接收模块122，其用以接收认证请求，同时接收用户输入的具有该特定符号的用户名及密码。

(3)类型确定模块123，用以根据该特定符号，确定该用户所在的域。根据用户的认证配置，不同的特定符号代表不同的认证方式，系统可以根据该特定符号确定相应的认证方式。

(4)域名确定模块124，用以根据该用户所在域，确定该用户在该域的相应域名。

(5)域名比对模块125，用以比对该域名与该主机所在域的域名，得出比对结果。

(6)认证模块126，用以根据该比对结果，调用相应的认证程序进行身份认证，如果比对结果相同，则进行相应的身份认证，如果比对结果为不同，则进行本地认证。

在上述的统一认证系统中，还包括一认证配置模块，为了更加灵活的使用本认证方法以适应不同的场合，本发明定义了一个认证配置模块，此模块的主要功能是进行是否支持特定认证方式的定义，因为有时系统管理员不需要某种认证方式的支持或系统并没有加入到一个特定的域中。此时，就需要屏蔽掉这些认证支持。本模块最简单的核心实现是定义一个配置文件，此配置文件中规定了系统管理员许可系统支持的认证方式。此配置文件的定义如下：

认证方式＝定义值

a.认证方式的定义：

认证方式定义	涵义
		Windows	是否支持Windows域认证
NIS	是否支持NIS域认证
		LOCAL	是否支持本地用户认证

B.定义值：

值	涵义
		Yes(或True)	支持此认证方式
No(或False)	不支持此认证方式

C.配置文件样例：

#这是注释行，此文件为认证配置模块配置文件样例，开始行

Windows＝Yes

NIS＝No

LOCAL＝Yes

#这是注释行，此文件为认证配置模块配置文件样例，结束行

以上为配置文件样例，如上所述，此配置文件规定了Windows域用户可以进行认证，而NIS域用户则不允许认证，本地用户也可以进行认证。

接着，通过图3来说明本发明的流程，该图是本发明所提的多用户类型的统一认证方法的运行流程图，说明如下：

首先定义所有域对应的特定符号(步骤210)，然后接收一认证请求，同时接收具有特定符号的用户名及密码(步骤220)，根据该特定符号，确定该用户所在的域(步骤230)，确定该用户在该域的相应域名(步骤240)，比对该域名与本机所在域的域名，得出比对结果(步骤250)，最后根据该比较结果，调用相应的认证程序进行认证(步骤260)。

请参见图4，该图是本发明实施例的用户身份处理的流程图，本流程图所规定的流程是为保证用户身份的确认及唯一性。为了系统功能的最大化，一般定义支持全部的认证方式，主要包括本地用户认证，Windows域用户认证和NIS域用户认证，如果有其它的认证方式，当然也可以加入。本发明首先定义所有域对应的特定符号，为了解决使用上述的用户名前缀定义所无法解决的用户身份紊乱问题，本发明使用后缀定义与用户名字首相结合的方法。使用用户名前缀定义了用户身份所属的区域(如域名)，而使用后缀则定义了前缀域名所属的类别，如前缀所属的域名的类别是NIS域还是Windows域等。

特定符号定义如下：

特定符号	涵义
		*	此用户是一个提供资源的计算机所在的Windows域的域用户或此计算机所信任的Windows域用户
+	此用户是一个提供资源的计算机所在的NIS域的域用户
		@	此用户是提供资源的计算机上的本地用户

通过这种域名类型限定进行辨别以调用特定的底层认证模块。当接收到认证请求后，首先接收用户名和密码(步骤301)，然后判断用户名是否是“域名\用户名”的形式(步骤302)。如果是域名\用户名的形式，则判断域名是不是本机所在的(或受本机信任的)Windows域名或本机所在NIS域名或本机机器名的中的一个(303步骤)，如果与任何一个名称都不相同，则添加本机机器名最为用户名前缀作为域名并添加“@”后缀特定符号标示为进行本地认证，然后进入认证流程(步骤304)，在这种情况下，将把此用户作为一个本地用户处理。如果客户端传入的用户名不是域名\用户名的形式，则判断用户名是否存在尾缀特定符号“*”(步骤305)，如果存在尾缀特定符号“*”则在用户名前添加本机所在的Windows域名作为域名(步骤306)，在这种情况下将此用户作为Windows域用户处理，此用户将只进行Windows域认证而不进行其它认证。如果此用户不存在特定符号“*”，则判断此用户是否存在尾缀特定符号“+”(步骤307)，如果存在尾缀特定符号“+”，则在用户名前添加本机所在的NIS域名作为域名(步骤308)，在这种情况下，将此用户作为NIS域用户处理，此用户将只进行NIS域认证而不进行其它认证。如果此用户名既不存在尾缀特定符号“*”也不存在尾缀特定符号“+”，则将此用户名前添加本机机器名作为用户名前缀，同时如果不存在“@”后缀则添加“@”后缀(步骤309)，这这种情况下将此用户作为本地用户处理。

请参见图5，该图为本发明实施例根据用户认证配置判断所支持的认证方式的流程图。系统调用认证配置模块进行是否支持Windows域用户认证的判断(步骤401)，如果支持，则调用Windows域认证流程；否则进行是否支持NIS域用户认证的判断(步骤403)，如果支持，则调用NIS域认证流程；否则进行是否支持本地认证的判断(步骤405)，如果支持，则调用本地认证流程。无论是通过了Windows域验证(步骤402)还是通过了NIS域验证(步骤404)或通过了本地用户验证(步骤406)，都返回认证成功标志(步骤408)，否则进行其它认证，如果所有认证都不支持或所有认证都未通过，则返回认证失败标志(407)。系统进行是否支持哪种方式的认证通过用户定义的认证配置判断的，此认证配置最简单的情况就是只包含一个配置文件，此配置文件定义了系统需要支持的认证方式。

请参见图6，图7以及图8，分别为进行Windows域认证，NIS域认证和本地用户认证的流程图。实际上，这是统一认证系统调用底层认证程序的流程图。这三种认证首先都进行“域名\用户名”前的域名是否是本机加入Windows域/NIS域/本机机器名的判断(步骤501，601，701)，如果相同，则进行本模块的认证，否则返回认证失败信息，要求进行下一项支持的认证方式的认证。同样，如果在本模块认证失败，也返回认证失败信息，如果成功，则返回认证成功信息。当Windows域名及/或NIS域名及/或本机机器名互相相同时，则会对认证流程产生不安全影响，因为认证流程已经无法通过域名进行需要哪种底层模块进行认证的判断。为了避免各个域重名时的认证用户身份冲突的问题，所以需要对用户名后缀的特定符号“*”或“+”或“@”进行判断(步骤502，602。702)。当完全确认用户的身份后，才继续进行下一步操作，最后分别调用底层认证程序进行Windows域认证、NIS域认证或本地用户认证(步骤503，603，703)。

上述为本发明的较佳实施例，然其并非用以限定本发明，所以任何本领域的普通技术人员，在不脱离本发明的范围内，可作一些的更动与修饰。

Claims (10)

1、一种多用户类型的统一认证系统，用以向不同类型的网络资源用户提供统一认证方式，实现所有服务认证处理的集中控制，其中包括：

一符号定义模块，用以设定并存储所有域对应的特定符号；

一输入接收模块，其用以接收认证请求，同时接收用户输入的具有该特定符号的用户名及密码；

一类型确定模块，用以根据该特定符号，确定该用户所在的域；

一域名确定模块，用以根据该用户所在域，确定该用户在该域的相应域名；

一域名比对模块，用以比对该域名与本机所在域的域名，得出比对结果；及

一认证模块，用以根据该比对结果，调用相应的认证程序进行身份认证。

2、如权利要求1所述的多用户类型的统一认证系统，其中所述的域包括Windows域、NIS域以及本地认证。

3、如权利要求1所述的多用户类型的统一认证系统，其中所述的认证模块中，若该比对结果为不同，则进行本机认证。

4、如权利要求1所述的多用户类型的统一认证系统，其中更包括一认证配置模块，与该类型判断模块相连，用以根据用户的认证配置，确定该服务所支持的认证方式。

5、如权利要求4所述的多用户类型的统一认证系统，其中若该认证方式为不支持，则进行本机认证。

6、一种多用户类型的统一认证方法，用以向不同类型的网络资源用户提供统一认证方式，实现所有服务认证处理的集中控制，其中包括如下步骤：

定义所有域对应的特定符号；

接收一认证请求，同时接收具有特定符号的用户名及密码；

根据该特定符号，确定该用户所在的域；

确定该用户在该域的相应域名；

比对该域名与本机所在域的域名，得出比对结果；及

根据该比较结果，调用相应的认证程序进行认证。

7、如权利要求6所述的多用户类型的统一认证方法，其中所述的域包括Windows域、MS域以及本地认证。

8、如权利要求6所述的多用户类型的统一认证方法，其中若该比对结果为不同，则进行本地认证。

9、如权利要求6所述的多用户类型的统一认证方法，其中更包括根据用户的认证配置，确定该服务所支持的认证方式的步骤。

10、如权利要求9所述的多用户类型的统一认证方法，其中若该认证方式为不支持，则添加本机对应的特定符号，进行本地认证。

Images