CN1893372A - 用于授权的方法与系统 - Google Patents

用于授权的方法与系统 Download PDF

Info

Publication number
CN1893372A
CN1893372A CNA2006100877108A CN200610087710A CN1893372A CN 1893372 A CN1893372 A CN 1893372A CN A2006100877108 A CNA2006100877108 A CN A2006100877108A CN 200610087710 A CN200610087710 A CN 200610087710A CN 1893372 A CN1893372 A CN 1893372A
Authority
CN
China
Prior art keywords
entity
designator
access control
group
dispense
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CNA2006100877108A
Other languages
English (en)
Other versions
CN1893372B (zh
Inventor
道格拉斯·A.·伍德
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Publication of CN1893372A publication Critical patent/CN1893372A/zh
Application granted granted Critical
Publication of CN1893372B publication Critical patent/CN1893372B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • G06F21/335—User authentication using certificates for accessing specific resources, e.g. using Kerberos tickets
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/04—Network management architectures or arrangements
    • H04L41/046—Network management architectures or arrangements comprising network management agents or mobile agents therefor
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0893—Assignment of logical groups to network elements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/28—Restricting access to network management systems or functions, e.g. using authorisation function to access network configuration

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Storage Device Security (AREA)
  • Machine Tool Sensing Apparatuses (AREA)
  • General Factory Administration (AREA)
  • Multi-Process Working Machines And Systems (AREA)

Abstract

提供了方法、系统、制品和计算机程序产品，其中第一指示符为第一实体存储，而且其中第一指示符识别第一实体所属的组和与该组关联的操作。第一实体从第二实体接收第二指示符，其中第二指示符指示对至少一个组上至少一个操作授予第二实体的权限。根据第二指示符与第一指示符的比较，由第一实体本地确定第二实体所请求的操作是否要由第一实体执行。

Description

用于授权的方法与系统
技术领域
本公开内容涉及用于在管理代理中提供安全性和授权的方法、系统与制品。
背景技术
在管理环境中，集中式管理应用程序可以使用安装在被管理系统上的代理来远程执行被管理系统上的操作。管理应用程序的单个操作可以同时以无数个代理为目标，每个代理支持具有完全相同语义的操作。具有执行类似操作的能力的多个代理的存在允许管理应用程序的单个操作调用被复制并发送到多个代理。但是，管理服务器上所选管理应用程序可能不具有在每个代理上执行操作的相同权限。
在特定的管理环境中，每个代理可以在代理所管理环境的本地安全域中运行。管理应用程序对目标代理上操作的每次调用可能需要特定于该目标代理的安全域的凭证。这种方案在代理存在于许多安全域的异类管理环境中会造成困难。但是，这种方案在期望所有目标代理都共享如Microsoft Windows*域的本地安全域的管理环境中可能是有用的。
在特定的管理环境中，代理可以建立与管理服务器的受托关系。一旦建立了受托关系，管理服务器就被授予了对代理所暴露的操作的完全访问。当代理功能和管理服务器之间有紧耦合时，这种模型可以实现，而且这种模型可以用在特定的异类管理环境中。但是，因为每个管理服务器都在由该管理服务器管理的系统上安装了受托代理，所以这种模型造成被管理系统上代理的激增。对于为管理服务器的任意集合安置管理功能的代理，这种模型可能会造成困难。
发明内容
提供了方法、系统、制品和计算机程序产品，其中为第一实体存储第一指示符，而且其中第一指示符识别第一实体所属的组及与该组关联的操作。第一实体从第二实体接收第二指示符，其中第二指示符指示对至少一个组上的至少一个操作授予第二实体的权限。基于第二指示符与第一指示符的比较，由第一实体本地确由第二实体所请求的操作是否要由第一实体执行。
在特定的附加实施方式中，第一实体是具有子代理的代理，其中第二实体是管理应用程序，其中第一指示符是组分配，其中第二指示符是访问控制票，而且其中有比管理应用程序多的代理。
在另外的附加实施方式中，第一实体接收第二实体密码验证的身份。第一实体根据第二实体密码验证的身份认证第二实体。响应于第二实体被成功认证并响应于确定出第二实体所请求的操作要由第一实体执行，第二实体所请求的操作被执行。
在另外其它的实施方式中，第二指示符是由第一实体通过由中央访问控制服务器生成的组分配票接收的组分配，其中组分配票列出了第一实体是其成员的组的所有组标识符，而且其中组分配票是由受托认证服务器密码签名的。
在还有另外的实施方式中，唯一标识符表示组的组名，而且其中第二实体可以改变表示组名的唯一标识符。第二实体向中央访问控制数据库服务器请求第二指示符。第二实体从中央访问控制服务器接收第二指示符，其中第二指示符已经由受托认证服务器密码签名。
在其它实施方式中，多个第一实体都在包括该多个第一实体的计算平台上本地确定第二实体所请求的操作是否可以执行，而且其中中央服务器不由确定第二实体所请求的操作是否可以执行的多个第一实体访问。
附图说明
现在参考附图，其中相同的标号始终表示对应的部件：
图1说明了根据特定实施方式的计算环境的方框图；
图2说明了根据特定实施方式显示代理如何分配给组的方框图；
图3说明了根据特定实施方式说明用于代理的组分配如何分发的方框图；
图4说明了根据特定实施方式说明代理是否允许管理应用程序所请求的操作被执行的第一流程图；
图5说明了根据特定实施方式说明第一实体是否允许第二实体所请求的操作被执行的第二流程图；及
图6说明了根据特定实施方式的其中实现特定实施方式的系统。
具体实施方式
在以下描述中，参考构成本发明的一部分并说明了几种实施方式的附图。应当理解其它实施方式也可以使用，而且可以进行结构上和操作上的改变。
图1说明了根据特定实施方式的计算环境100的方框图。
至少一个管理服务器102在网络106上耦合到多个被管理系统104a、104b、...、104n。在特定的实施方式中，管理服务器102包括一个或多个管理应用程序108，而被管理系统104a、104b、...、104n分别包括代理110a、110b、...、110n。例如，被管理系统104a可以包括代理110a，被管理系统104b可以包括代理110b，而被管理系统104n可以包括代理110n。每个代理可以包括多个子代理。例如，代理110a可以包括多个子代理112a...112m，代理110b可以包括多个子代理113a...113p，而代理110n可以包括多个子代理114a...114q。
在特定的实施方式中，代理110a...110n可以将管理操作作为web服务向管理应用程序108暴露。在可选实施方式中，代理110a...110n可以通过不同于web服务的其它协议暴露管理操作。管理服务器102可以调用如代理110a的任何代理上的任何操作。对于代理，如代理110a，为了成功地安置来自多个管理应用程序108的管理功能，用于代理的访问控制解决方案可以允许代理110a基于代理的身份、被调用操作的身份和调用者的身份作出访问决定。
中央访问控制服务器116、受托认证服务器118和远端客户120也可以耦合到网络106。中央访问控制服务器116包括可以存储关于多个代理如何分组到多个组中的信息的中央访问控制数据库122，其中操作可以由管理应用程序108在多个组上进行尝试。
受托认证服务器118可以充当被管理系统104a...104n和管理服务器102委托的认证授权。例如，受托认证服务器118可以提供由受托认证服务器118数码签名的受托身份124，其中受托身份124对应于管理服务器102的身份。由于被管理系统104a...104n委托受托认证服务器118m来签名认证，因此被管理系统104a...104n可以通过检查管理服务器102的受托身份124来认证管理服务器102。可选实施方式可以使用用于密码提供系统身份的其它机制，如Kerberos。
在特定的实施方式中，远端客户端120可以使用管理应用程序108尝试在代理110a...110n上执行操作。在特定的实施方式中，由远端客户120执行的操作可以由管理应用程序108执行。
关于将代理分组成组的信息存储在称为组分配126a、126b、...、126n的数据结构中。组分配126a、...、126n可以通过中央访问控制数据库122分发到被管理系统104a...104n中。
在特定的实施方式中，管理服务器102、被管理系统104a...104n、中央访问控制服务器116、受托认证服务器118和远端客户端120可以包括任何合适的计算平台，包括目前本领域已知的那些平台，如个人计算机、工作站、大型机、中型计算机、网络设备、掌上计算机、电话设备、片(blade)计算机、手持计算机等。网络106可以包括本领域已知的任何网络，如存储区域网络(SAN)、局域网(LAN)、广域网(WAN)、因特网、内联网等。
在特定的实施方式中，管理应用程序108、代理110a...110n和子代理112a...112m、113a...113p、114a...114q可以包括在软件、硬件、固件或其任何组合中体现的应用程序。在特定的实施方式中，比图1所说明更多或更少的组件可以用于执行由图1所示组件执行的操作。
特定的实施方式允许代理110a...110n使用组分配126a...126n及由管理应用程序108提供的访问控制票128来确定是否允许管理应用程序108请求的操作由代理，如代理110a...110n中的任何一个，执行。对于关于代理110a...110n分组到的一个或多个组要执行的操作，访问控制票128可以指示由中央访问控制服务器116授予管理应用程序102的权限范围。
图2说明了根据在计算环境100中实现的特定实施方式显示代理如何分配成组的方框图。
集中访问控制数据库122可以存储关于计算环境100中代理分组的信息。例如，图2示出了示例组200a、200b、...、200k，其中组200a包括代理202a...202u，组200b包括代理204a...204v，而组200k包括代理206a...206w。在特定的实施方式中，同一代理可以包括在多个组中。例如，图1所示的代理110a可以既包括在组202a又包括在组202b中。
在特定的实施方式中，对于要为管理服务器102想在其上调用操作的每个代理颁发单独的访问控制票，实际中可能有太多代理。而且可能需要巨大的存储和处理时间来单独列出作为单个访问控制票中操作目标的每个代理。特定实施方式提供了由代理不参考中央服务器就能解决的一种或多种分组机制。管理服务器102上的管理应用程序108可以通过向代理展示对于关于代理分组成的一个或多个组200a...200k要执行的操作指示由中央访问控制服务器116授予该管理应用程序108的权限范围的访问控制票128(图1所示)来调用代理上的操作。
图3说明了根据在计算环境100中实现的特定实施方式说明用于代理110a、110b、...、110n的组分配126a、126b、...、126n如何分发的方框图。
在特定的实施方式中，中央访问控制服务器116可以将组分配126a、126b、...、126n分别分发300给代理110a、110b、...、110n。
中央访问控制服务器116可以明确地分配代理对组的成员资格，然后通过称为组分配126a...126n的签名成员资格列表将组成员资格传送到代理110a...110n。组分配126a...126n可以包括为代理分配了成员资格的零个或更多组的列表，其中组名可以是唯一标识符。还可以为组指示到期日期。
组分配126a...126n可以由受托认证服务器118签名。新的组分配可以设计成代替现有的组分配集合，或者组分配可以被扩展。
在特定的实施方式中，组分配126a...126n可以用于众所周知并具有相对稳定组成员资格的代理，并用于需要确定性访问控制的代理，如用于数据中心的机器的那些代理。
因此，图3说明了其中中央访问控制服务器116发送对应于被管理系统104a...104n中代理110a...110n的组分配126a...126n的特定实施方式。
图4说明了根据在计算环境100中实现的特定实施方式说明如代理110a的代理是否允许管理应用程序108所请求的操作被执行的第一流程图。
控制在块400开始，其中中央访问控制服务器116部署与中央访问控制服务器116具有受托关系的代理110a...110n，其中中央访问控制服务器116耦合到存储关于组的信息的中央访问控制数据库122，而且代理包括在每个组中。
管理服务器102上的管理应用程序108(在块402)向中央访问控制数据库122请求指示对于关于一个或多个组要执行的操作授予该管理应用程序108的权限范围的访问控制票128。
管理应用程序108(在块404)从中央访问控制数据库122接收访问控制票128，其中访问控制票128已经由受托认证服务器118密码签名。
管理服务器102上的管理应用程序108(在块406)向如代理110a的代理发送访问控制票128及管理服务器102的受托身份124。在特定的实施方式中，访问控制票128可以发送到一个或多个代理，而且可以包括不同于代理110a的代理。
代理110a(在块408)从管理服务器102接收访问控制票128。代理110a能利用一个或多个组和一个或多个操作访问本地存储的组分配126a、访问控制票128。此外，代理110a拥有认证展示访问控制票128的发送者的能力。
代理110a(在块410)确定本地存储在被管理系统104a的组分配126a是否允许访问控制票128的发送者执行可能已经包括或与访问控制票128分开发送的操作。如果是，则代理110a(在块412)允许操作由管理应用程序108在代理110a上执行。如果不是，则代理110a(在块414)不允许操作由管理应用程序108在代理110a上执行。是否允许管理应用程序108的操作的决定是在代理110a本地作出的。
在特定的实施方式中，其中有几十、几百、几千或更多代理110a...110n，通过在代理110a...110n处本地确定管理应用程序108的操作是否可以由代理110a...110n执行，可能在确定未本地作出的情况下造成的单点故障被避免。
通过在代理110a...110n本地确定管理应用程序108的操作是否可以由代理110a...110n执行，特定实施方式避免了引入单点故障并避免了计算环境100中的过载通信。
图5说明了根据特定实施方式说明在计算环境100中第一实体是否允许第二实体所请求的操作被执行的第二流程图。在特定的实施方式中，第一实体是示例代理，如代理110a，而第二实体是管理应用程序108。
控制通过存储用于第一实体的第一指示符在块500开始，其中第一指示符识别第一实体所属的组及与该组关联的操作。例如，在特定的实施方式中，第一实体是具有子代理112a...112m的代理110a，而第二实体是管理应用程序108，第一指示符是组分配126a，而第二指示符是访问控制票128。
第二实体(在块502)向中央访问控制数据库服务器116请求第二指示符128。第二实体108(在块504)从中央访问控制服务器116接收第二指示符128，其中第二指示符128已经由受托认证服务器118密码签名。
第一实体110a(在块506)接收第二实体108密码验证的身份。第一实体110a(在块508)根据第二实体108密码验证的身份认证第二实体108。
与块506和508的执行并行，第一实体110a(在块510)从第二实体108接收第二指示符128，其中第二指示符128指示对至少一个组上的至少一个操作授予第二实体108的权限。在特定的实施方式中，其中第二指示符是组分配，组分配可以在管理系统启动操作之前分发到代理。例如，组分配可以等组分配一进行就分发，而不需要更新，除非组分配改变了。此外，相同的组分配可以用于许多管理服务器的许多操作调用。根据第二指示符128与第一指示符126a的比较，第一实体110a(在块512)本地确定第二实体108所请求的操作是否要由第一实体110a执行，其中在特定的实施方式中第一实体110a是代理。
在块508和512的结尾，响应于第二实体108被成功认证并响应于确定出第二实体108所请求的操作要由第一实体110a执行，第二实体108所请求的操作(在块514)执行。基于第二指示符128与第一指示符126a的比较，关于第二实体108所请求的操作是否要由第一实体110a执行的本地确定避免了使用中央数据库来检查第二实体108所发送的操作是否要由第一实体110a执行。
在特定的实施方式中，第一实体是具有子代理的代理，其中第二实体是管理应用程序，其中第一指示符是组分配，其中第二指示符是访问控制票，而且其中有比管理应用程序多的代理。在特定的示例实施方式中，少量实体，如一组财务应用程序，可以访问大量实体，如自动提款机(ATM)网络。
在特定的实施方式中，第二指示符是由第一实体通过中央访问控制服务器生成的组分配票接收的组分配，其中组分配票列出了第一实体是其成员的组的所有组标识符，而且其中组分配票由受托认证服务器密码签名。在特定的实施方式中，组分配可以分成任意数量的指示符，代理所属的每个组有一个指示符。
在特定的实施方式中，访问控制信息包括在操作调用中。因此，组分配只有响应于代理添加到组或从组中除去才需要更新，而在访问控制列表改变时不需要更新。
特定实施方式还可以提供使用唯一标识符表示组名的机制。在这些实施方式中，用于描述代理所属组的标识符(ID)是由中央访问控制数据库122或管理服务器创建的，而且可以是任意的。中央访问控制数据库122可以通过停止为那个ID颁发访问控制票来有效地删除组ID。例如，如果称为A的组具有示例代理x、y和z作为成员，则中央访问控制数据库122向称为A的组分配ID 1，并向示例代理x、y和z分发指示它们每个都属于组1的票。
当示例管理服务器M想调用组A上的操作O时，示例管理服务器M从中央访问控制数据库122请求票。假定示例管理服务器M有权调用组A上的操作，则中央访问控制数据库122颁发指示示例管理服务器M可以调用组1上操作O的票。
如果示例代理w随后添加到组A，则向代理w颁发组1的分配。此外，如果随后代理z从组A除去，则中央访问控制数据库向组A分配新ID 2并向代理w、x和y分发指示代理w、x和y属于组2的票。
当管理服务器M想调用组A上的操作O时，管理服务器M从中央访问控制数据库122请求票。中央访问控制数据库向管理服务器M颁发指示管理服务器M可以调用组2上操作O的票。在示例实施方式中，ID 1没有重用，而且不再颁发授予访问1的票。在特定时间段后组1的分配到期，可以从中央访问控制数据库122除去。
要求对每个代理上每个操作的调用都依靠中央数据库验证权限不总是合适的。此外，对于单个操作调用，对每个目标代理携带认证凭证不总是合适的。此外，对于操作调用，对每个目标代理都包括认证信息也是不合适的。
特定实施方式提供了用于向委派作访问控制决定授权的安全实体提供安全组成员资格信息的机制。由委派实体作出的本地决定使用关于组成员资格的信息，同时特定实施方式允许实际的组成员资格和与组关联的权限被集中管理。委派实体可能只需要在委派实体添加到组中时才被通知委派实体的组成员资格。
由管理服务器调用的操作可以包括可复制并用在每个目标代理上的操作调用中的授予管理服务器的权限的单个简单描述。代理使用有时候在操作之前分配的组成员资格和包括在操作调用中的权限声明的组合来确定操作是否应当被允许。
权限计算利用操作调用者的密码验证身份。此外，权限计算也可以使用由授予权限的代理受托并包括在操作调用中的身份密码签名的访问权限声明。此外，代理向一个或多个安全组的分配是由进行组分配的代理受托的身份密码签名的，而且分配在操作调用之前分发。
特定实施方式避免了在无数代理和子代理上的操作。可能由集中式数据库引起的性能损失避免了，而且单点故障也避免了。
特定实施方式提供了小到足以包括在代理中的访问实施引擎。特定实施方式还提供了与访问控制数据库的接口，并提供了向代理分发访问控制信息的机制。特定实施方式允许各种权限应用到大量类似的智能资源，如系统管理代理。
在特定的实施方式中，组分配票不必包含实体所属的所有组。每次当实体添加到组时，可以为实体颁发指示该组中成员资格的票。因此，组成员资格票可以指示一个或多个组中的成员资格，而且可以向单个实体颁发任意数量的组成员资格票。实体所属的组的集合可以是所有成员资格票的联合。
附加实施方式细节
所述技术可以实现为涉及软件、固件、微代码、硬件和/或其任意组合的方法、装置或制品。在此所使用的术语“制品”指在介质中实现的代码或逻辑，其中这种介质可以包括硬件逻辑[例如，集成电路芯片、可编程门阵列(PGA)、专用集成电路(ASIC)等]或计算机可读介质，如磁存储介质(例如，硬盘驱动器、软盘、磁带等)、光存储器(CD-ROM、光盘等)、易失和非易失存储器设备[例如，电可擦除可编程只读存储器(EEPROM)、只读存储器(ROM)、可编程只读存储器(PROM)、随机存取存储器(RAM)、动态随机存取存储器(DRAM)、静态随机存取存储器(SRAM)、闪存、固件、可编程逻辑等]。计算机可读介质中的代码由处理器访问并执行。代码或逻辑在其中编码的有形介质还可以包括通过空间或如光纤、铜线等的传输介质传播的传输信号。代码或逻辑在其中编码的传输信号还可以包括无线信号、卫星发送、无线电波、红外线信号、蓝牙等。代码或逻辑在其中编码的传输信号可通过有形介质传输，并能够由发送站发送并由接收站接收，其中在传输信号中编码的代码或逻辑可以在接收和发送站或设备处在硬件或计算机可读介质中解码并存储。此外，“制品”还可以包括代码可以在其中体现、处理和执行的硬件和软件组件的组合。当然，本领域技术人员应当认识到在不背离实施方式范围的情况下可以进行许多修改，而且制品可以包括任何信息承载介质。例如，制品包括其中存储了当由机器执行时导致操作被执行的指令的存储介质。
特定实施方式可以采用完全硬件实施方式、完全软件实施方式或既包含硬件又包含软件元件的实施方式的形式。在优选实施方式中，本发明是在软件中实现的，它包括但不限于固件、驻留软件、微代码等。
此外，特定实施方式可以采用能从计算机可用或计算机可读介质访问的计算机程序产品的形式，该程序产品提供了由计算机或任何指令执行系统使用或与其连接的程序代码。为了这种描述，计算机可用或计算机可读介质可以是能够包含、存储、传送、传播或传输由指令执行系统、装置或设备使用或与其连接的程序的任何装置。介质可以是电、磁、光、电磁、红外线或半导体系统(或装置或设备)或传播介质。计算机可读介质的例子包括半导体或固态存储器、磁带、可拆卸计算机磁盘、随机存取存储器(RAM)、只读存储器(ROM)、硬磁盘和光盘。目前光盘的例子包括光盘只读存储器(CD-ROM)、读/写光盘(CD-R/W)和DVD。
除非另外明确指出，否则术语“特定实施方式”、“实施方式”、“该实施方式”、“一种或多种实施方式”、“一些实施方式”及“一种实施方式”意思是一种或多种(但不是全部)实施方式。除非另外明确指出，否则术语“包括”、“包含”、“具有”及其变体意思是“包括但不限于”。除非另外明确指出，否则列举的项目列表并不暗示任何或全部项目是相互排斥的。除非另外明确指出，否则术语“一个”和“该”意思是“一个或多个”。
除非另外明确指出，否则彼此通信的设备不需要彼此持续通信。此外，彼此通信的设备可以通过一个或多个中间件直接或间接通信。此外，有几个彼此通信的组件的实施方式的描述并不暗示所有这些组件都是必需的。相反，多个可选组件的描述是为了说明广泛的多种可能实施方式。
此外，尽管处理步骤、方法步骤、算法等可以顺序描述，但此类处理、方法和算法可以配置成以交替次序工作。换句话说，描述的步骤的任何顺序或次序都不一定指示步骤要以那种次序执行的要求。在此所述的处理步骤可以任何实际的次序执行。此外，有些步骤可以同时、并行或同步执行。
当在此描述单个设备或物品时，很显然多于一个设备/物品(不管它们是否合作)可以代替单个设备/物品使用。类似地，当在此描述多于一个设备或物品时(不管它们是否合作)，很显然单个设备/物品(不管它们是否合作)可以代替多个设备或物品使用。设备的功能性和/或特征可以可选地由未在此明确描述的一个或多个具有这种功能性/特征的设备体现。因此，其它实施方式不需要包括设备本身。
图6说明了其中特定实施方式可以实现的系统600的方框图。在特定实施方式中，图1所示的计算平台，如管理服务器102和被管理系统104a...104n，可以根据系统600实现。系统600可以包括电路602，在特定实施方式中电路602可以包括处理器604。系统600还可以包括存储器606(例如，易失存储器设备)和存储器608。系统600的特定元件可能或可能不会在计算平台102、104a...104n中找到。存储器608可以包括非易失存储器设备(例如，EEPROM、ROM、PROM、RAM、DRAM、SRAM、闪存、固件、可编程逻辑等)、磁盘驱动器、光盘驱动器、磁带驱动器等。存储器608可以包括内部存储设备、附属存储设备和/或网络访问存储设备。系统600可以包括程序逻辑610，程序逻辑610包括可以加载到存储器606并由处理器604或电路602执行的代码612。在特定实施方式中，包括代码612的程序逻辑610可以存储在存储器608中。在特定的其它实施方式中，程序逻辑610可以在电路602中实现。因此，尽管图6显示程序逻辑610独立于其它元件，但程序逻辑610可以在存储器606和/或电路602中实现。
特定实施方式可以针对由人或自动处理集成计算机可读代码将计算指令部署到计算系统中的方法，其中使与计算系统组合的代码能够执行所述实施方式的操作。
至少图4和5所说明的特定操作可以并行及顺序执行。在可选实施方式中，特定操作可以不同次序执行、修改或除去。
此外，许多软件和硬件组件已经在独立的模块中为说明进行了描述。这种组件可以集成到更少量的组件中或分到更大量的组件中。此外，描述为由特定组件执行的特定操作可以由其它组件执行。
在图1至6中所示或所指的数据结构和组件描述为具有特定类型的信息。在可选实施方式中，该数据结构和组件可以与图中所示或所指的结构不同并具有更少、更多或不同域或不同功能。因此，以上实施方式的描述是为了说明和描述而展示的。它不打算是穷尽的或者要将实施方式限定到所公开的精确形式。根据以上教义，许多修改和变体都是可能的。
---------------------------------------------------------------------------------------------------
*Microsoft Windows是微软公司的商标或注册商标。
Kerberos是麻省理工学院的商标。

Claims (13)

1、一种方法，包括：
存储用于第一实体的第一指示符，其中第一指示符识别第一实体所属的组和与所述组关联的操作；
在第一实体从第二实体接收第二指示符，其中第二指示符指示对至少一个组上的至少一个操作授予第二实体的权限；及
根据第二指示符与第一指示符的比较，由第一实体本地确定第二实体所请求的操作是否要由第一实体执行。
2、如权利要求1所述的方法，其中第一实体是具有子代理的代理，其中第二实体是管理应用程序，其中第一指示符是组分配，其中第二指示符是访问控制票，而且其中代理多于管理应用程序。
3、如权利要求1所述的方法，还包括：
在第一实体接收第二实体的密码验证的身份；
由第一实体根据第二实体的密码验证的身份认证第二实体；及
响应于第二实体被成功认证和响应于确定出第二实体所请求的操作要由第一实体执行，执行第二实体所请求的操作。
4、如权利要求1所述的方法，其中第二指示符是由第一实体通过中央访问控制服务器生成的组分配票接收的组分配，其中组分配票列出了第一实体是其成员的所有组的组标识符，而且其中组分配票由受托认证服务器密码签名。
5、如权利要求1所述的方法，其中唯一标识符表示组的组名，而且其中第二实体可以改变表示组名的所述唯一标识符，该方法还包括：
由第二实体向中央访问控制数据库服务器请求第二指示符；及
由第二实体从中央访问控制服务器接收第二指示符，其中第二指示符已由受托认证服务器密码签名。
6、如权利要求1所述的方法，其中多个第一实体都在包括所述多个第一实体的计算平台上本地确定第二实体所请求的操作是否可以执行，而且其中中央服务器不由所述多个第一实体访问以确定第二实体所请求的操作是否可以执行。
7、一种系统，包括：
存储器；及
耦合到该存储器的处理器，其中该处理器可用于：
存储用于第一实体的第一指示符，其中第一指示符识别第一实体所属的组和与该组关联的操作；
在第一实体从第二实体接收第二指示符，其中第二指示符指示对至少一个组上的至少一个操作授予第二实体的权限；及
根据第二指示符和第一指示符的比较，由第一实体本地确定第二实体所请求的操作是否要由第一实体执行。
8、如权利要求7所述的系统，其中第一实体是具有子代理的代理，其中第二实体是管理应用程序，其中第一指示符是组分配，其中第二指示符是访问控制票，而且其中代理多于管理应用程序。
9、如权利要求7所述的系统，其中该处理器还可用于：
在第一实体接收第二实体的密码验证的身份；
由第一实体根据第二实体的密码验证的身份认证第二实体；及
响应于第二实体被成功认证和响应于确定出第二实体所请求的操作要由第一实体执行，执行第二实体所请求的操作。
10、如权利要求7所述的系统，其中第二指示符是由第一实体通过中央访问控制服务器生成的组分配票接收的组分配，其中组分配票列出了第一实体是其成员的所有组的组标识符，而且其中组分配票由受托认证服务器密码签名。
11、如权利要求7所述的系统，其中唯一标识符表示组的组名，而且其中第二实体可以改变表示组名的所述唯一标识符，该系统还包括：
中央访问控制数据库服务器，其中该处理器还可用于：
由第二实体向中央访问控制数据库服务器请求第二指示符；及
由第二实体从中央访问控制数据库服务器接收第二指示符，其中第二指示符由受托认证服务器密码签名。
12、如权利要求7所述的系统，其中多个第一实体都在包括所述多个第一实体的计算平台上本地确定第二实体所请求的操作是否可以执行，而且其中中央服务器不由所述多个第一实体访问以确定第二实体请求的操作是否可以执行。
13、一种计算机程序产品，包括包含计算机可读程序的计算机可用介质，其中该计算机可读程序当在处理器上执行时使处理器执行前述方法权利要求中的任一方法。
CN2006100877108A 2005-06-28 2006-05-31 用于授权的方法与系统 Expired - Fee Related CN1893372B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US11/168,259 2005-06-28
US11/168,259 US7624432B2 (en) 2005-06-28 2005-06-28 Security and authorization in management agents

Publications (2)

Publication Number Publication Date
CN1893372A true CN1893372A (zh) 2007-01-10
CN1893372B CN1893372B (zh) 2011-05-18

Family

ID=37568828

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2006100877108A Expired - Fee Related CN1893372B (zh) 2005-06-28 2006-05-31 用于授权的方法与系统

Country Status (3)

Country Link
US (1) US7624432B2 (zh)
CN (1) CN1893372B (zh)
TW (1) TW200712972A (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105631311A (zh) * 2015-04-27 2016-06-01 宇龙计算机通信科技(深圳)有限公司 应用程序的权限管理方法、装置和终端
CN106355103A (zh) * 2015-07-14 2017-01-25 霍尼韦尔国际公司 基于地点的聚类防回传安全系统和方法
CN107408188A (zh) * 2015-02-17 2017-11-28 霍尼韦尔国际公司 网络连接设备的需求响应提供方控制的系统
CN110088757A (zh) * 2016-11-22 2019-08-02 考科斯汽车有限公司 多代理分布式分类账体系结构

Families Citing this family (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007067991A (ja) * 2005-09-01 2007-03-15 Fujitsu Ltd ネットワーク管理システム
US8949933B2 (en) * 2006-08-15 2015-02-03 International Business Machines Corporation Centralized management of technical records across an enterprise
US8984579B2 (en) 2006-09-19 2015-03-17 The Innovation Science Fund I, LLC Evaluation systems and methods for coordinating software agents
US8627402B2 (en) 2006-09-19 2014-01-07 The Invention Science Fund I, Llc Evaluation systems and methods for coordinating software agents
US8607336B2 (en) 2006-09-19 2013-12-10 The Invention Science Fund I, Llc Evaluation systems and methods for coordinating software agents
US8601530B2 (en) * 2006-09-19 2013-12-03 The Invention Science Fund I, Llc Evaluation systems and methods for coordinating software agents
JP2008097214A (ja) * 2006-10-10 2008-04-24 Hitachi Ltd アクセス権管理方法、管理計算機、及び管理プログラム
TWI320893B (en) * 2006-11-22 2010-02-21 Quanta Comp Inc Management interface between embedded system of blade server and computer system medium thereof
US8898261B1 (en) * 2007-07-02 2014-11-25 Emc Corporation Configuring agent services operable by agents in a storage area network
US20090300348A1 (en) * 2008-06-02 2009-12-03 Samsung Electronics Co., Ltd. Preventing abuse of services in trusted computing environments
US9584509B2 (en) 2014-05-07 2017-02-28 Cryptography Research, Inc. Auditing and permission provisioning mechanisms in a distributed secure asset-management infrastructure
CN104166812B (zh) * 2014-06-25 2017-05-24 中国航天科工集团第二研究院七〇六所 一种基于独立授权的数据库安全访问控制方法
US11212112B2 (en) * 2016-07-29 2021-12-28 Nec Corporation System, data management method, and program
US10334434B2 (en) * 2016-09-08 2019-06-25 Vmware, Inc. Phone factor authentication
GB2570655B (en) * 2018-01-31 2020-12-16 Avecto Ltd Managing privilege delegation on a server device
WO2019217931A1 (en) 2018-05-11 2019-11-14 Lattice Semiconductor Corporation Asset management systems and methods for programmable logic devices
US12021653B2 (en) * 2021-07-01 2024-06-25 Schlage Lock Company Llc Access control embedded into network gear

Family Cites Families (29)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5315657A (en) * 1990-09-28 1994-05-24 Digital Equipment Corporation Compound principals in access control lists
US5276901A (en) * 1991-12-16 1994-01-04 International Business Machines Corporation System for controlling group access to objects using group access control folder and group identification as individual user
GB2301912A (en) * 1995-06-09 1996-12-18 Ibm Security for computer system resources
US6216231B1 (en) * 1996-04-30 2001-04-10 At & T Corp. Specifying security protocols and policy constraints in distributed systems
US6014686A (en) * 1996-06-21 2000-01-11 Telcordia Technologies, Inc. Apparatus and methods for highly available directory services in the distributed computing environment
US6408336B1 (en) * 1997-03-10 2002-06-18 David S. Schneider Distributed administration of access to information
US6192405B1 (en) * 1998-01-23 2001-02-20 Novell, Inc. Method and apparatus for acquiring authorized access to resources in a distributed system
US6453353B1 (en) * 1998-07-10 2002-09-17 Entrust, Inc. Role-based navigation of information resources
US6292798B1 (en) * 1998-09-09 2001-09-18 International Business Machines Corporation Method and system for controlling access to data resources and protecting computing system resources from unauthorized access
US6269406B1 (en) * 1998-10-19 2001-07-31 International Business Machines Corporation User group synchronization to manage capabilities in heterogeneous networks
TW451143B (en) * 1998-11-05 2001-08-21 Ecomagents Inc Method for controlling access to information
US6189036B1 (en) * 1998-11-05 2001-02-13 International Business Machines Corporation User access to objects in group based access control based on result of greatest common divisor of assigned unique prime numbers of user and object
US6601171B1 (en) * 1999-02-18 2003-07-29 Novell, Inc. Deputization in a distributed computing system
US6516350B1 (en) * 1999-06-17 2003-02-04 International Business Machines Corporation Self-regulated resource management of distributed computer resources
US6263434B1 (en) * 1999-09-21 2001-07-17 Sun Microsystems, Inc. Signed group criteria
US6754829B1 (en) * 1999-12-14 2004-06-22 Intel Corporation Certificate-based authentication system for heterogeneous environments
US6766397B2 (en) * 2000-02-07 2004-07-20 Emc Corporation Controlling access to a storage device
JP2001326632A (ja) * 2000-05-17 2001-11-22 Fujitsu Ltd 分散グループ管理システムおよび方法
EP1320956A4 (en) * 2000-08-04 2006-06-21 First Data Corp DIGITAL SIGNATURE SYSTEM WITH CERTIFICATION OF AUTHENTITICITY
US7660902B2 (en) * 2000-11-20 2010-02-09 Rsa Security, Inc. Dynamic file access control and management
US7426639B2 (en) * 2001-03-29 2008-09-16 Sony Corporation Information processing apparatus and method for managing grouped devices in an encrypted environment
US6910041B2 (en) * 2001-08-23 2005-06-21 International Business Machines Corporation Authorization model for administration
US7441264B2 (en) * 2002-06-24 2008-10-21 International Business Machines Corporation Security objects controlling access to resources
US20040003287A1 (en) * 2002-06-28 2004-01-01 Zissimopoulos Vasileios Bill Method for authenticating kerberos users from common web browsers
US7316027B2 (en) * 2004-02-03 2008-01-01 Novell, Inc. Techniques for dynamically establishing and managing trust relationships
US20050097353A1 (en) * 2003-10-10 2005-05-05 Bea Systems, Inc. Policy analysis tool
US7590243B2 (en) * 2004-05-04 2009-09-15 The Directv Group, Inc. Digital media conditional access system for handling digital media content
US7543317B2 (en) * 2004-08-17 2009-06-02 The Directv Group, Inc. Service activation of set-top box functionality using broadcast conditional access system
US9325944B2 (en) * 2005-08-11 2016-04-26 The Directv Group, Inc. Secure delivery of program content via a removable storage medium

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107408188A (zh) * 2015-02-17 2017-11-28 霍尼韦尔国际公司 网络连接设备的需求响应提供方控制的系统
US10587622B2 (en) 2015-02-17 2020-03-10 Ademco Inc. System of third party control of network connected devices
US10594700B2 (en) 2015-02-17 2020-03-17 Ademco Inc. System of demand response provider control of network connected devices
CN105631311A (zh) * 2015-04-27 2016-06-01 宇龙计算机通信科技(深圳)有限公司 应用程序的权限管理方法、装置和终端
CN106355103A (zh) * 2015-07-14 2017-01-25 霍尼韦尔国际公司 基于地点的聚类防回传安全系统和方法
CN106355103B (zh) * 2015-07-14 2021-09-14 霍尼韦尔国际公司 基于地点的聚类防回传安全系统和方法
CN110088757A (zh) * 2016-11-22 2019-08-02 考科斯汽车有限公司 多代理分布式分类账体系结构

Also Published As

Publication number Publication date
US20060294103A1 (en) 2006-12-28
US7624432B2 (en) 2009-11-24
TW200712972A (en) 2007-04-01
CN1893372B (zh) 2011-05-18

Similar Documents

Publication Publication Date Title
CN1893372A (zh) 用于授权的方法与系统
CN109643242B (zh) 用于多租户hadoop集群的安全设计和架构
US7908648B2 (en) Method and system for enabling remote access to a computer system
CN1713106A (zh) 为应用程序提供保密的系统和方法
CN1542645A (zh) 应用鉴别系统、安全设备和终端设备
CN112188493B (zh) 一种鉴权认证方法、系统及相关设备
CN1564992A (zh) 对计算机设备上存储区的应用程序级存取特权
CN1741104A (zh) 异地授权系统及方法
CN102281286A (zh) 用于分布式混合企业的灵活端点顺从和强认证
CN1855110A (zh) 用于使文件系统免于恶意程序的增强安全层的系统和方法
CN101064609A (zh) 一种信息系统的访问控制方法及装置
CN1409836A (zh) 通过鉴定数据访问应用的信息系统
CN1659911A (zh) 移动通信装置中下载的应用代码与智能卡之间的安全交互
CN101038635A (zh) 一种工作流管理系统流程权限控制系统及其实现方法
CN1756192A (zh) 为在线使用主含的应用程序管理终端服务帐户和会话
CN1405689A (zh) 便携式存储介质和利用便携式存储介质
CN101262352B (zh) 一体化安全管理中数据统一加速处理方法
CN1851724A (zh) 一种业务数据操作控制方法与业务系统
CN1829949A (zh) 用于将多个安全组表示为单个数据对象的系统和方法
CN101067837A (zh) 一种信息系统数据处理的安全控制方法及装置
CN1870512A (zh) 一种实现信息管理的方法及实现事件路由的装置
CN112464215A (zh) 一种针对企业服务系统的身份鉴别及控制方法
CN1705265A (zh) 在java消息传递服务中利用证书验证
CN110336800A (zh) 一种云服务的管理控制系统
CN1320798C (zh) 密钥生成与分配方法以及使用该方法的计算机网络系统

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20110518

Termination date: 20150531

EXPY Termination of patent right or utility model