KR20090128203A - 호스팅 서비스 환경에서 접근권한 제어 장치 및 그 방법 - Google Patents

호스팅 서비스 환경에서 접근권한 제어 장치 및 그 방법 Download PDF

Info

Publication number
KR20090128203A
KR20090128203A KR1020080054251A KR20080054251A KR20090128203A KR 20090128203 A KR20090128203 A KR 20090128203A KR 1020080054251 A KR1020080054251 A KR 1020080054251A KR 20080054251 A KR20080054251 A KR 20080054251A KR 20090128203 A KR20090128203 A KR 20090128203A
Authority
KR
South Korea
Prior art keywords
user
information
access
authority
policy
Prior art date
Application number
KR1020080054251A
Other languages
English (en)
Inventor
정종명
민경선
남장현
Original Assignee
주식회사 케이티
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 케이티 filed Critical 주식회사 케이티
Priority to KR1020080054251A priority Critical patent/KR20090128203A/ko
Publication of KR20090128203A publication Critical patent/KR20090128203A/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q10/00—Administration; Management
    • G06Q10/06—Resources, workflows, human or project management; Enterprise or organisation planning; Enterprise or organisation modelling

Landscapes

  • Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • Human Resources & Organizations (AREA)
  • Strategic Management (AREA)
  • Economics (AREA)
  • Entrepreneurship & Innovation (AREA)
  • Educational Administration (AREA)
  • Game Theory and Decision Science (AREA)
  • Development Economics (AREA)
  • Marketing (AREA)
  • Operations Research (AREA)
  • Quality & Reliability (AREA)
  • Tourism & Hospitality (AREA)
  • Physics & Mathematics (AREA)
  • General Business, Economics & Management (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

본 발명은 호스팅 서비스 환경에서 접근권한 제어 장치 및 그 방법에 관한 것으로, 사용자로부터의 접근권한 요청에 따라 자원상태 정보 및 서비스 정책 정보를 이용하여 사용자 소속 기업의 각 자원별 권한상태를 결정하고, 상기 권한상태 결정 결과 해당 기업의 자원 사용이 가능함에 따라 사용자 정보 및 사용자 소속 기업의 정책 정보를 이용하여 상기 사용자의 접근권한을 결정하기 위한, 호스팅 서비스 환경에서 접근권한 제어 장치 및 그 방법을 제공하고자 한다.
이를 위하여, 본 발명은 호스팅 서비스 환경에서 접근권한 제어 방법에 있어서, 사용자로부터의 접근권한 요청에 따라 자원상태 정보 및 서비스 정책 정보를 이용하여 사용자 소속 기업의 각 자원별 권한상태를 결정하는 권한상태 결정단계; 상기 권한상태 결정 결과 해당 기업의 자원 사용이 가능함에 따라 사용자 정보 및 사용자 소속 기업의 정책 정보를 이용하여 상기 사용자의 접근권한을 결정하는 접근권한 결정단계; 및 상기 결정한 접근권한을 상기 사용자에게 제공하는 단계를 포함한다.
호스팅 서비스 환경, 접근권한, 자원상태 정보, 서비스 정책 정보

Description

호스팅 서비스 환경에서 접근권한 제어 장치 및 그 방법{Apparatus and method for controlling access in hosting service environment}
본 발명은 호스팅 서비스 환경에서 접근권한 제어 장치 및 그 방법에 관한 것으로, 더욱 상세하게는 서비스 제공자(SP: Service Provider)가 다수의 기업 고객을 대상으로 'Hosted' 형태로 IT 자원을 제공하고자 할 때, 인증(Authentication)과 권한제어(Authorization)를 제공하기 위한, 호스팅 서비스 환경에서 접근권한 제어 장치 및 그 방법에 관한 것이다.
기업에서 IT(Information Technology)가 차지하는 비중이 점점 증가하면서 사용자의 편리성, 업무의 효율성 및 보안/관리 등을 해결하기 위하여 신원 관리(Identity Management), 비즈니스 프로세스 관리(Business Process Management), 웹 서비스(Web Service) 등과 같은 기술을 바탕으로 포탈을 구축하고 있다. 더불어, 외부에서 업무를 수행하는 이동 근로자의 증가로 원격접속 사설망(RA VPN : Remote Access Virtual Private Network)이나 PDA(Personal Digital Assistant)/스 마트폰(SmartPhone)을 위한 모바일 포탈의 필요성이 증가하고 있다.
사용자가 포탈에 접속하고 포탈에 통합되어 있는 다양한 응용서비스를 이용할 때, 인증 및 권한제어가 필요하다. 일반적으로 대기업은 포탈을 자체적으로 'In-House' 형태로 구축하였다.
이하, 'In-House' 서비스 환경에서 사용자 관리와 권한제어에 대해 살펴보기로 한다.
컴퓨터 기술과 통신 기술의 발달은 기업의 업무 방식에 많은 변화를 가져왔을 뿐 만 아니라 다양한 비즈니스를 창출하였다. 요즘, 기업에서 비즈니스를 하는데 있어서 IT가 차지하는 비중은 점점 높아지고 있고, 기업의 성공과 실패를 가름한다고 할 정도이다. 기업의 IT는 기업의 핵심 기능인 경영관리, 개발 및 생산 관리, 공급관리 및 고객관리 등에 이용되고 있다. 이러한 각 기능에서 IT는 비용 감소, 품질 향상, 전략 등과 같은 목적을 위해 활용되고 있다.
또한, 인터넷의 발전은 비즈니스 환경에 급격한 변화를 가져왔고, 새로운 비즈니스 방향 및 모델의 추진, 시장 진입 시간의 최소화, 경쟁력 있는 통합 및 분할 등과 같은 비즈니스적 도전에 직면하였다. 이에 대응하여 변화소요시간, 변화범위 및 변화의 용이성을 변화의 척도로 관리하고, 단순화, 표준화, 모듈화, 통합화 원칙하에 IT 관리를 실행하는 것이 필요하다. 기업에서 IT를 관리하는데 핵심 요소는 기업의 가치를 극대화하기 위한 비즈니스 프로세스를 명확히 정의하는 것이다. 궁극적으로, 기업은 내외부의 통합, 협업 및 글로벌 네트워킹 강화를 통하여 네트워크형 비즈니스 구조를 추구하게 될 것이다.
기업에서 비즈니스를 수행하는데 IT의 역할이 점점 증가하면서, 포털을 중심으로 IT를 통합하여 사용자 편리성과 운영관리의 효율성 등을 추구하고 있다. 사용자가 포털을 통하여 IT 시스템을 이용하는데 반드시 거쳐야 하는 것이 인증과 권한제어이다. 조직의 업무와 목적에 따라 다양한 조직 멤버에게 단말, 네트워크, 시스템, 응용서비스 등 매우 복잡한 IT 환경에서 적합한 권한을 가지고 IT 자원을 이용하여 효율적으로 업무를 수행하도록 해야 한다.
일련의 사용자 활동을 관리하고 지원하기 위해 기업조직은 크게 사용자에 대한 인증, 인가, 감사, 관리의 4가지 범주에서 업무를 수행하고 있다. 사용자 인증과 인가는 허가받은 사용자만이 허가받은 정보에 접근할 수 있도록 하며, 감사 기능은 사용자의 정보시스템 접근 및 활용에 대한 모니터링을 지원하고, 사용자 관리는 사용자의 정보를 파악하고 시스템 접근에 필요한 모든 지원 및 효율적인 운영을 수행하는 것이다. 이 중에서도 인증과 인가와 관련하여 포털에 SSO(Single Sign On)과 접속 제어(Access Control) 메커니즘을 적용하여 사용자 편리성과 보안성을 제공하고 있다.
현재까지 연구된 대표적인 접속 제어(Access Control) 기법으로는 임의적 접근 제어(DAC : Discretionary Access Control), 강제적 접근제어(MAC: Mandatory Access Control) 및 역할기반 접근제어(RBAC : Role Based Access Control) 등이 있다.
임의적 접근제어는 정보객체의 소유자 혹은 관리자가 보안관리자의 개입 없이 자율적 판단에 따라 접근권한을 다른 사용자에게 부여하는 방법으로서, 정보보 호보다는 정보의 공동 활용이 더 중요시되는 환경에 적합하다. 이 방식은 기업과 같이 역할에 따라 권한이 주어지는 조직환경에는 적합하지 않다.
강제적 접근제어는 각 정보에 결합된 비밀등급과 사용자에게 부여된 인가등급을 사전에 규정된 규칙과 비교하여 그 규칙을 만족하는 사용자에게만 접근 권한을 부여하는 보안정책으로서, 정보의 기밀성이 매우 중요시되는 환경에서 사용되고 있다. 이러한 방식은 군과 같은 매우 엄격하고 정적인 조직에 적합한 방식으로, 급변하는 비즈니스 상황에 따라 대응하는 방식과 체계를 변경하는 다이나믹한 비즈니스 환경에서 사용자 중심의 보안 정책을 적용하기는 부적절하다.
역할기반접근제어는 접근 권한이 역할에 따라 부여되고 사용자는 적절한 역할을 할당받아 작업을 수행할 수 있는 능력과 특정한 역할 위치에 지정됨으로써, 역할의 수행에 필요한 최소 자원만을 접근할 수 있도록 한다. 이 방식은 사용자(Subject) 중심으로 호스팅 환경에서 다이나믹하게 변경되는 IT 자원(Object)의 다양한 속성을 반영하지 못한다.
이중 인가 범주에 해당되는 통합 사용자 권한 관리란 전사 시스템의 사용자 정보에 대한 접근을 제어하고 소수의 관리자가 일관된 정책으로 권한 관리를 수행하고자 하는 것이다. 그러나 기업이 통합적인 권한 관리를 수행하기 위해서는 정보자원이나 사용자에 대한 일관된 관리방안을 마련하여 시스템상에 실행 및 구현해야 한다. 이는 기업 내 각 시스템에 대해 단일화된 접근 경로를 제공하면서 사용자의 접근 권한을 효율적으로 통제하기 위한 것이다.
한편, XACML(Extensible Access Control Markup Language)은 SAML과 함께 주 로 사용되며, XML 기반으로 돼있어 다양한 시스템 사이에서 접근제어정책(Access Control Policy)을 기술하는 표준이다. XACML은 개발자들이 웹을 통해 어떤 사용자들이 접근할 수 있는 지를 결정하는 정책을 기술할 수 있도록 접근제어언어와 요구/응답 언어를 포함하고 있다. XACML은 확장형 접근제어언어기술위원회에서 개발되고 있으며, 2003년 7월 24일에 XACML v1.1 표준이 완성됐고, 현재 XACML v2.0 개발이 진행 중이다.
도 1 은 종래의 'In-House' 형태의 서비스 제공 모델에 대한 일예시도로서, 단일 도메인(조직/기업) 내에서 사용자가 IT 자원을 이용하는 서비스 모델을 나타낸다.
도 1에 도시된 바와 같이, 단일 도메인이므로 도메인(기업)을 인증하는 절차가 필요 없다. 즉, 사용자가 접근하려는 IT 자원은 이미 기업이 구매하여 소유자가 기업이 되므로, 제어시스템은 사용자에 대한 권한제어만 수행하면 된다.
또한, IT 자원의 물리적인 한계에 의해서 사용자의 이용 여부가 결정되므로, IT 자원의 상태에 따른 제어가 요구되지 않는다.
이하, 도 2를 참조하여 이를 좀 더 상세히 살펴보기로 한다.
도 2 는 종래의 'In-House' 형태의 서비스 제공 모델에서 접근제어 방법에 대한 일실시예 흐름도이다.
먼저, 정책 수행부(PEP : Policy Enforcement Point)(21)는 응용 요구자(Apps Requester)를 통해 접근권한을 요청받으면 이를 컨텍스트 핸들러(context handler)(22)로 전달한다(201, 202). 이때, 접근권한 요청정보는 응용 아이디, 사 용자 아이디를 포함한다.
그러면, 컨텍스트 핸들러(22)는 접근권한 요청을 정책 결정부(PDP : Policy Decision Point)(23)로 전달한다(203).
이후, 정책 결정부(23)는 컨텍스트 핸들러(22)로 사용자 정보를 요청한다(204).
그러면, 컨텍스트 핸들러(22)는 사용자 정보 요청을 정보 관리부(PIP : Policy Information Point)(24)로 전달한다(205).
이후, 정보 관리부(24)는 사용자 상황정보 데이터베이스(25)를 통해 해당 사용자 상황정보를 획득하고(206, 207), 사용자 프로파일정보 데이터베이스(26)를 통해 해당 사용자 프로파일정보를 획득하여(208, 209), 컨텍스트 핸들러(22)로 전달한다(210).
그러면, 컨텍스트 핸들러(22)는 정보 관리부(24)로부터 전달받은 사용자 정보(사용자 상황정보 및 사용자 프로파일 정보)를 정책 결정부(23)로 전달한다(211).
이후, 정책 결정부(23)는 정책 관리부(PAP : Policy Access Point)(27)로 정책 정보를 요청한다(212).
그러면, 정책 관리부(27)는 관리하고 있는 정책 정보를 제공한다(213).
이후, 정책 결정부(23)는 사용자 정보와 정책 정보를 이용하여 해당 사용자의 접근권한을 결정한 후 컨텍스트 핸들러(22)로 전달한다(214).
그러면, 컨텍스트 핸들러(22)는 정책 결정부(23)로부터 전달받은 접근권한 정보(서비스 접근권한 정보)를 정책 수행부(21)로 전달하고(215), 정책 수행부(21)는 최종적으로 이를 응용 요구자에게 전달한다(216).
이러한 종래의 'In-House' 형태의 서비스 제공 모델에서 접근제어 방법은, 'In-House' 형태로 구현되어 단일 기업을 대상으로 접근권한을 제어하기 때문에 서비스 정책만을 고려의 대상으로 하며, 아울러 다수의 기업을 대상으로 접근제어를 수행할 경우 물리적 자원의 효율적 관리에 대한 방안을 제시하지 못하는 문제점이 있다.
이러한 문제점을 해결하고자 하는 것이 본 발명의 과제이다.
따라서, 본 발명은 사용자로부터의 접근권한 요청에 따라 자원상태 정보 및 서비스 정책 정보를 이용하여 사용자 소속 기업의 각 자원별 권한상태를 결정하고, 상기 권한상태 결정 결과 해당 기업의 자원 사용이 가능함에 따라 사용자 정보 및 사용자 소속 기업의 정책 정보를 이용하여 상기 사용자의 접근권한을 결정하기 위한, 호스팅 서비스 환경에서 접근권한 제어 장치 및 그 방법을 제공하는데 그 목적이 있다.
본 발명의 목적들은 이상에서 언급한 목적으로 제한되지 않으며, 언급되지 않은 본 발명의 다른 목적 및 장점들은 하기의 설명에 의해서 이해될 수 있으며, 본 발명의 실시예에 의해 보다 분명하게 알게 될 것이다. 또한, 본 발명의 목적 및 장점들은 특허 청구 범위에 나타낸 수단 및 그 조합에 의해 실현될 수 있음을 쉽게 알 수 있을 것이다.
상기 목적을 달성하기 위한 본 발명의 장치는, 호스팅 서비스 환경에서 접근권한 제어 장치에 있어서, 사용자 정보를 저장하고 있는 사용자 정보 저장수단; 자원상태 정보를 저장하고 있는 IT 자원정보 저장수단; 서비스 제공자의 서비스 정책 정보 및 사용자 소속 기업의 정책 정보를 관리하기 위한 정책 관리수단; 및 사용자로부터의 접근권한 요청에 따라 상기 자원상태 정보 및 서비스 정책 정보를 이용하여 사용자 소속 기업의 각 자원별 권한상태를 결정하고, 상기 권한상태 결정 결과 해당 기업의 자원 사용이 가능함에 따라 상기 사용자 정보 및 사용자 소속 기업의 정책 정보를 이용하여 상기 사용자의 접근권한을 결정하기 위한 권한 결정수단을 포함한다.
또한, 상기 목적을 달성하기 위한 본 발명의 방법은, 호스팅 서비스 환경에서 접근권한 제어 방법에 있어서, 사용자로부터의 접근권한 요청에 따라 자원상태 정보 및 서비스 정책 정보를 이용하여 사용자 소속 기업의 각 자원별 권한상태를 결정하는 권한상태 결정단계; 상기 권한상태 결정 결과 해당 기업의 자원 사용이 가능함에 따라 사용자 정보 및 사용자 소속 기업의 정책 정보를 이용하여 상기 사용자의 접근권한을 결정하는 접근권한 결정단계; 및 상기 결정한 접근권한을 상기 사용자에게 제공하는 단계를 포함한다.
또한, 본 발명은 사용자가 서비스 제공자(SP: Service Provider)를 통하여 자신의 기업이 제공하는 가상 IT 자원에 접근시, SP가 수행하는 기업 인증과 기업 내 사용자 인증을 함께 수행하는 인증 방식과 가상 IT 자원에 접근시 사용자의 역할과 상황정보뿐만 아니라, 가상 IT 자원의 상태에 따라 사용자의 접근권한을 점검하여 가상 IT 자원의 이용 여부를 판단하는 사용자 접근제어 방법을 제공한다. 즉, SP의 서비스(IT 자원) 이용에 대한 제어 정책과 가입자(기업)의 조직 내에서의 권한 정책을 모두 지원하는 접근제어 메커니즘을 제공한다.
또한, 본 발명은 각 기업의 독립적이고 안전한 데이터를 보장하기 위하여 멀티테넌트 아키텍쳐 기반으로 데이터를 모델링한다.
또한, 본 발명은 Hosted 서비스 환경에서 인증과 접근제어를 하기 위한 것으로 접근제어 알고리즘의 입력 데이터인 사용자 프로파일과 시스템 프로파일의 요소가 다이나믹하게 변할 때 접근제어를 제공한다.
보통, Hosted 서비스 환경에서 서비스 제공자는 기본적으로 가입자 여부를 확인하여야 하고, 기업의 보안 정책을 보장하여야 하며, 기업 내 사용자가 가입자와 서비스 제공자 간에 계약되어 할당된 자원한도 내에서 자원을 이용하는지 검사하여야 한다. 더불어, 서비스 제공자의 운용자는 Hosted 서비스 정책과 자원을 관리하고, 기업의 관리자는 기업의 보안정책과 사용자/가상 자원을 관리하여야 한다.
또한, 서비스 제공자의 물리적 자원을 다수의 기업 고객이 공유함으로, 이로 인한 보안성 문제를 위하여 사용자 계정 정책, 데이터 아키텍쳐(DB와 Directory) 등에 대한 고려가 요구된다.
따라서, 본 발명은 상기와 같은 상황을 고려하여 사용자의 프로파일에 가입자 식별자를 두고 가입자 여부와 사용자의 인증을 함께 처리하고, 사용자의 프로파일과 IT 자원의 상태에 따라 사용자의 IT 자원 접근 여부를 판단하는 새로운 접근 제어 방식을 제공한다.
또한, 본 발명은 서비스 제공자를 위한 관리 인터페이스와 기업을 위한 관리 인터페이스를 분리하여 독립성과 보안성을 제공하고, 서비스 제공자의 데이터 공간과 가입 고객의 데이터 공간을 분리한다.
또한, 본 발명은 기업고객대상의 IT자원 호스팅 서비스 환경에서 권한제어 방식을 제안한다. 이를 위하여, 사용자가 IT 자원에 접근할 때 기업고객별 사용자를 인증하고, 사용자의 역할과 상황에 따라 IT 자원의 권한을 획득하고, 기업이 신청한 가상 IT 자원의 상태에 따라 인가를 결정한다. 이로부터 기업의 사용자는 자신에게 주어진 다양한 조건에 따라 SP가 제공하는 가상 IT 자원을 활용할 수 있다.
상기와 같은 본 발명은, 사용자로부터의 접근권한 요청에 따라 자원상태 정보 및 서비스 정책 정보를 이용하여 사용자 소속 기업의 각 자원별 권한상태를 결정하고, 상기 권한상태 결정 결과 해당 기업의 자원 사용이 가능함에 따라 사용자 정보 및 사용자 소속 기업의 정책 정보를 이용하여 상기 사용자의 접근권한을 결정함으로써, 호스팅 서비스 환경에서 접근제어를 수행할 수 있는 효과가 있다.
또한, 본 발명은 기업을 대상으로 하는 호스팅 서비스 모델에서 SP가 자사의 서비스 정책에 따라 서비스 자원을 고객에게 적절하게 부여하고, 또한 기업은 SP로부터 할당 또는 부여받은 자원을 기업의 멤버(사용자)에게 기업의 정책(보안, 역할)에 따라 자원의 접근 또는 자원의 이용 정도에 대한 권한을 부여할 수 있는 인증 및 접근제어 메커니즘을 제시하여 보안 문제를 해결할 수 있는 효과가 있다.
상술한 목적, 특징 및 장점은 첨부된 도면을 참조하여 상세하게 후술되어 있는 상세한 설명을 통하여 보다 명확해 질 것이며, 그에 따라 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자가 본 발명의 기술적 사상을 용이하게 실시할 수 있을 것이다. 또한, 본 발명을 설명함에 있어서 본 발명과 관련된 공지 기술에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에 그 상세한 설명을 생략하기로 한다. 이하, 첨부된 도면을 참조하여 본 발명에 따른 바람직한 실시예를 상세히 설명하기로 한다.
도 3 은 발명에 따른 호스팅 서비스 제공 모델의 일예시도이다.
도 3에 도시된 바와 같이, 가입자(기업)는 서비스 제공자(SP : Service Provider)로부터 IT 자원을 구매하여 가상의 IT 인프라를 구축하고, 기업 내 멤버에게 IT 인프라를 이용하도록 한다.
단일 도메인 모델과 다른 점은 사용자뿐만 아니라 가입자(기업)를 식별하고 인증하여야 하며, 기업이 가상의 IT 자원을 소유하므로 서비스 제공자가 소유한 물리적인 IT 자원이 아닌 가상의 IT 자원 상태에 따라 서비스 이용 여부가 결정될 수 있다는 점이다.
따라서, 하나의 제어 시스템은 서비스 제공자의 서비스 정책 및 계약정보와 기업의 보안정책 및 상황정보를 나누어 관리하는 것이 바람직하다.
도 4 는 본 발명에 따른 호스팅 서비스 환경에서의 인증 및 권한 부여 과정에 대한 일실시예 설명도이다.
도 4에 도시된 바와 같이, SP 관리자는 각 기업(고객)에 제공되는 서비스 정책 및 각 기업과의 계약정보를 관리하고, 각 기업 관리자는 해당 기업의 보안정책, 기업 내 사용자 및 사용자의 역할정보를 관리한다. 이를 기반으로 기업 내 사용자가 서비스를 이용할 때, 인증을 수행한다. 즉, 인증시 SP 관리자는 사용자의 소속 기업을 확인하고, 인증을 수행하여 인가 여부를 결정한다.
이를 위하여, SP 관리자는 기업의 도메인 정보를 이용하여 등록 여부를 판단하고, 기업 관리자는 사용자의 아이디(ID)를 이용하여 기업 내 직원 여부를 판단한다. 이때, 사용자의 로그인 정보는 서비스 아이디, 사용자 아이디 및 패스워드로 이루어지는데, 사용자 아이디는 일예로 "ID@Domain_Name"의 형태로 구현할 수 있다. 아울러, 사용자 아이디는 각 기업 내 사용자가 원하는 아이디를 사용하도록 보장한다.
인가 기능은 각기 관리되는 SP 관리자의 서비스 정책과 계약 정보, 기업의 보안정책과 사용자의 역할(일예로, 직위) 정보를 이용하여 인가를 수행한다. 여기서, SP 관리자는 기업고객과 계약에 의하여 할당된 자원에 대한 감사를 통하여 기 업에 권한을 부여하고, 기업은 기업의 주체(일반적으로 사용자를 말함)가 객체(시스템 또는 서비스)를 이용하는데 있어서 사용자의 역할과 상황, 자원 정책과 자원 상황 등을 이용하여 사용자에게 권한을 부여한다. 물론, 기업의 인가 정책은 SP 관리자가 기업에 부여한 권한 한도 내에서 유효하다.
도 5 는 본 발명에 따른 호스팅 서비스 환경에서의 접근권한 제어 방법에 대한 일실시예 흐름도로서, SP 관리자가 기업을 대상으로 호스팅 형태로 IT 자원을 제공하는 서비스에서의 XACML 구조를 나타낸다.
먼저, 본 발명에 따른 호스팅 서비스 환경에서 접근권한 제어 방법에 대한 설명에 앞서, 각 구성요소들의 기능에 대해 설명하기로 한다.
정책 결정부(PDP)(53)는 두 도메인(서비스 제공자와 기업)의 정책정보 및 사용자정보를 함께 고려하여 사용자에게 부여되는 권한을 결정한다.
정책 관리부(PAP)(56)는 SP 관리자(administrator)가 SP의 서비스 정책과 기업과의 계약 내용을 관리하는 부분과, 기업 관리자가 기업의 보안정책과 사용자 역할을 관리하는 부분으로 나뉜다. 이때, 보안을 위해 두 도메인의 관리자가 관리하는 정보는 물리적으로 또는 논리적으로 서로 다른 데이터 공간에 저장할 수도 있다. 그리고, 기업 도메인의 데이터 저장소는 서비스 관리자의 모든 기업이 공유하는 공간이므로, 멀티테넌트 아키텍쳐로 구성할 수도 있다.
정보 관리부(PIP)는 사용자의 영구적 속성과 변동 속성(일반적으로 사용자의 상황정보)으로 나누어 관리한다. 호스팅 XACML 구조에서는 추가적으로 옵젝 트(object)인 자원에 대한 변동속성(mutable object)을 관리하는 것이 필요하다. SP는 기업과 제공 서비스에 대한 계약을 한다. 그러므로, 정책 결정부(53)는 서비스 정책과 IT 자원을 모니터링하여 기업 또는 기업 내 사용자에게 서비스를 제공할 것인지 여부를 판단하여야 한다.
즉, 기업과 계약하여 기업에 할당한 전체 가상 IT 자원 용량을 기업이 현재 사용한 자원 용량과 비교하여 기업의 자원사용 여부를 결정한 후, 기업이 임의의 사용자에게 할당한 자원 용량과 임의의 사용자가 현재 사용한 자원 용량을 비교하여 사용자의 자원사용 여부를 결정한다. 물론, 기업의 자원 사용이 가능해야 기업 내 사용자도 자원 사용이 가능하다.
이와 같은 경우의 예로는, 과금 연체에 따른 서비스 중단, 동시 가능한 영상회의 방 수에 따른 회의실 개설 불가 등과 같은 고객 레벨의 정책, 고객의 웹 하드 용량과 직급별로 할당된 SMS 횟수, 1인당 웹하드 용량 등과 같은 사용자 레벨의 정책이 있을 수 있다.
이하, 본 발명에 따른 호스팅 서비스 환경에서 접근권한 제어 방법에 대해 살펴보기로 한다.
먼저, 정책 수행부(51)는 응용 요구자(Apps Requester)를 통해 접근권한을 요청받으면 이를 컨텍스트 핸들러(context handler)(52)로 전달한다(501, 502). 이때, 접근권한 요청정보는 서비스(응용) 아이디, 사용자 아이디를 포함한다. 여기서 사용자 아이디는 기업 식별자를 포함한다.
그러면, 컨텍스트 핸들러(52)는 접근권한 요청을 정책 결정부(53)로 전달한다(503).
이후, 정책 결정부(53)는 컨텍스트 핸들러(52)로 자원상태 정보를 요청한다(504).
그러면, 컨텍스트 핸들러(52)는 자원상태 정보 요청을 정보 관리부(54)로 전달한다(505).
이후, 정보 관리부(54)는 IT 자원정보 데이터베이스(55)를 통해 자원상태 정보를 획득하여(506, 507), 컨텍스트 핸들러(52)로 전달한다(508).
그러면, 컨텍스트 핸들러(52)는 정보 관리부(54)로부터 전달받은 자원상태 정보를 정책 결정부(53)로 전달한다(509).
한편, 정책 결정부(53)는 정책 관리부(56)로 서비스 관리자의 서비스 정책 정보를 요청한다(510).
그러면, 정책 관리부(56)는 관리하고 있는 해당 서비스 정책 정보를 제공한다(511 내지 513).
이후, 정책 결정부(53)는 자원상태 정보 및 서비스 정책 정보를 이용하여 해당 기업의 각 자원별 권한 상태를 결정 및 저장한다.
그리고, 정책 결정부(53)는 컨텍스트 핸들러(52)를 통해 정보 관리부(54)로 사용자 정보를 요청한다(514, 515).
그러면, 정보 관리부(54)는 사용자 상황정보 데이터베이스(57)를 통해 해당 사용자 상황정보를 획득하고(516, 517), 사용자 프로파일정보 데이터베이스(58)를 통해 해당 사용자 프로파일정보를 획득하여(518, 519), 컨텍스트 핸들러(52)로 전달한다(520). 여기서, 사용자 상황정보는 사용자의 위치, 단말의 종류, IP 주소의 기업 내/외부 여부 등을 포함하고, 사용자 프로파일정보는 사용자 직책, 부서, 이름, 아이디, 비밀번호, 주소 등을 포함한다.
이후, 컨텍스트 핸들러(52)는 사용자 정보(사용자 상황정보 및 사용자 프로파일정보)를 정책 결정부(53)로 전달한다(521).
그러면, 정책 결정부(53)는 정책 관리부(56)로 기업 정책 정보를 요청한다(522).
이후, 정책 관리부(56)는 관리하는 있는 해당 기업의 정책 정보를 정책 결정부(53)로 제공한다(523 내지 525). 여기서, 정책 관리부(56)는 서비스 제공자의 서비스 정책 정보 및 사용자 소속 기업의 정책 정보를 각각 독립적으로 관리한다.
그러면, 정책 결정부(권한 결정부)(53)는 상기 저장한 해당 기업의 각 자원별 권한 상태를 확인한 후 사용자 정보 및 사용자 소속 기업의 정책 정보를 이용하여 사용자의 접근권한(기업의 사용자 권한)을 결정한다. 즉, 사용자 소속 기업의 자원 사용이 가능함에 따라 사용자 정보 및 사용자 소속 기업의 정책 정보를 이용하여 해당 기업 내 사용자의 접근권한(기업의 사용자 권한)을 결정한다.
이후, 정책 결정부(53)는 상기 결정한 권한 정보(서비스 권한 정보)를 컨텍스트 핸들러(52) 및 정책 수행부(51)를 통해 응용 요구자에게 전달한다(526 내지 528).
도 6 은 본 발명에 이용되는 변동 자원상태 모니터링 구조에 대한 일예시도이다.
도 6에 도시된 바와 같이, 실시간 모니터링 시스템(61)은 각 서비스의 시스템으로부터 변동 속성값을 측정하여 변동자원의 정보를 관리한다. 접근권한을 결정하기 위하여 변동자원의 정보가 필요할 때, 해당 정보를 실시간으로 제공하여 권한제어가 이루어지도록 한다.
이러한 변동자원의 정보는 SP가 기업과 계약한 전체자원 측면과 기업이 사용자의 역할에 따라 할당한 자원 측면을 고려하여 SP에 의해 제어된다. 즉, 정책 결정부(53)가 권한을 결정할 때, 두 도메인(SP와 기업)의 정책을 함께 고려하여 사용자에게 권한을 부여한다.
도 7 은 본 발명에 따른 서비스 제공자와 기업의 멀티테넌트 데이터 구조에 대한 일예시도이다.
도 7에 도시된 바와 같이, 서비스 제공자와 고객의 데이터에 대한 보호를 위해 요구되는 멀티테넌트 데이터 구조는 테이블의 분리를 통하여 설계한다. 즉, 서비스 데이터 영역과 기업 데이터 영역을 분리한다.
도 8 은 본 발명에 따른 기업 데이터 영역 내에서 멀티테넌트 데이터 구조 및 스키마 확장에 대한 일예시도이다.
도 8에 도시된 바와 같이, 서비스 제공자 데이터와 기업 데이터의 분리를 테이블 분리를 통하여 수행하고, 다시 기업 간에 데이터 보호를 위해서는 하나의 테이블 내에서 기업을 식별하는 속성을 통하여 한다.
기업의 분리는 고객_ID에 의해 이루어지고, 고객_ID + 사용자_ID에 의해 사용자를 구분하도록 한다. 즉, 기업이 다를 경우에 동일한 사용자_ID를 사용하는 사용자를 허용하도록 한다. 또한, 추가적인 속성이 필요할 경우 스키마를 확장할 수 있도록 한다.
도 9 는 본 발명에 따른 최초 기업 관리자 등록 메커니즘에 대한 일예시도이다.
먼저, 생성된(등록) 기업에 최초로 접근한 기업 관리자를 계정 신청을 할 수 있는 원 타임 화면에 접속시킨다.
이후, 신청된 최초 관리자 정보가 임시로 저장된다.
이후, SP 관리자가 신청된 최초 관리자를 확인하여 승인하여 준다.
이후, 신청된 최초 관리자 정보가 실제로 저장된다.
이후, 기업의 관리자가 기업의 사용자 정보와 기업의 정책을 등록한다. 기업 관리자가 기업관리 서비스에 의해 기업의 정보가 관리되므로 기업의 보안이 관리된다.
이후, 기업내 모든 사용자는 정상적인 서비스 접속화면(로그인 화면)에 접속할 수 있다.
한편, 전술한 바와 같은 본 발명의 방법은 컴퓨터 프로그램으로 작성이 가능하다. 그리고 상기 프로그램을 구성하는 코드 및 코드 세그먼트는 당해 분야의 컴퓨터 프로그래머에 의하여 용이하게 추론될 수 있다.　또한, 상기 작성된 프로그램 은 컴퓨터가 읽을 수 있는 기록매체(정보저장매체)에 저장되고, 컴퓨터에 의하여 판독되고 실행됨으로써 본 발명의 방법을 구현한다. 그리고 상기 기록매체는 컴퓨터가 판독할 수 있는 모든 형태의 기록매체를 포함한다.
이상에서 설명한 본 발명은, 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에게 있어 본 발명의 기술적 사상을 벗어나지 않는 범위 내에서 여러 가지 치환, 변형 및 변경이 가능하므로 전술한 실시예 및 첨부된 도면에 의해 한정되는 것이 아니다.
도 1 은 종래의 'In-House' 형태의 서비스 제공 모델에 대한 일예시도,
도 2 는 종래의 'In-House' 형태의 서비스 제공 모델에서 접근제어 방법에 대한 일실시예 흐름도,
도 3 은 발명에 따른 호스팅 서비스 제공 모델의 일예시도,
도 4 는 본 발명에 따른 호스팅 서비스 환경에서의 인증 및 권한 부여 과정에 대한 일실시예 설명도,
도 5 는 본 발명에 따른 호스팅 서비스 환경에서의 접근권한 제어 방법에 대한 일실시예 흐름도,
도 6 은 본 발명에 이용되는 변동 자원상태 모니터링 구조에 대한 일예시도,
도 7 은 본 발명에 따른 서비스 제공자와 기업의 멀티테넌트 데이터 구조에 대한 일예시도,
도 8 은 본 발명에 따른 기업 데이터 영역 내에서 멀티테넌트 데이터 구조 및 스키마 확장에 대한 일예시도,
도 9 는 본 발명에 따른 최초 기업 관리자 등록 메커니즘에 대한 일예시도이다.
* 도면의 주요 부분에 대한 부호의 설명
51 : 정책 수행부 52 : 컨텍스트 핸들러
53 : 정책 결정부 54 : 정보 관리부
55 : IT 자원정보 데이터베이스 56 : 정책 관리부
57 : 사용자 상황정보 데이터베이스
58 : 사용자 프로파일정보 데이터베이스

Claims (8)

  1. 호스팅 서비스 환경에서 접근권한 제어 방법에 있어서,
    사용자로부터의 접근권한 요청에 따라 자원상태 정보 및 서비스 정책 정보를 이용하여 사용자 소속 기업의 각 자원별 권한상태를 결정하는 권한상태 결정단계;
    상기 권한상태 결정 결과 해당 기업의 자원 사용이 가능함에 따라 사용자 정보 및 사용자 소속 기업의 정책 정보를 이용하여 상기 사용자의 접근권한을 결정하는 접근권한 결정단계; 및
    상기 결정한 접근권한을 상기 사용자에게 제공하는 단계
    를 포함하는 호스팅 서비스 환경에서 접근권한 제어 방법.
  2. 제 1 항에 있어서,
    상기 권한상태 결정단계는,
    사용자로부터 접근권한을 요청받는 단계;
    IT 자원정보 데이터베이스를 통해 자원상태 정보를 획득하는 단계;
    서비스 관리자의 서비스 정책 정보를 획득하는 단계; 및
    상기 획득한 자원상태 정보 및 서비스 정책 정보를 이용하여 해당 기업의 각 자원별 권한 상태를 결정하는 단계
    를 포함하는 호스팅 서비스 환경에서 접근권한 제어 방법.
  3. 제 2 항에 있어서,
    상기 권한상태 결정단계는,
    사용자로부터의 접근권한 요청시, 서비스 아이디 및 사용자 아이디를 전달받는 것을 특징으로 하는 호스팅 서비스 환경에서 접근권한 제어 방법.
  4. 제 1 항에 있어서,
    상기 사용자 정보는,
    사용자 상황정보 및 사용자 프로파일정보를 포함하는 것을 특징으로 하는 호스팅 서비스 환경에서 접근권한 제어 방법.
  5. 제 4 항에 있어서,
    상기 접근권한 결정단계는,
    사용자 상황정보 데이터베이스를 통해 해당 사용자의 상황정보를 획득하는 단계;
    사용자 프로파일정보 데이터베이스를 통해 해당 사용자의 프로파일정보를 획득하는 단계;
    상기 사용자 소속 기업의 정책 정보를 획득하는 단계; 및
    상기 권한상태 결정 결과 해당 기업의 자원 사용이 가능함에 따라 상기 획득한 사용자 상황정보, 사용자 프로파일정보 및 사용자 소속 기업의 정책 정보를 이용하여 상기 사용자의 접근권한을 결정하는 단계
    를 포함하는 호스팅 서비스 환경에서 접근권한 제어 방법.
  6. 호스팅 서비스 환경에서 접근권한 제어 장치에 있어서,
    사용자 정보를 저장하고 있는 사용자 정보 저장수단;
    자원상태 정보를 저장하고 있는 IT 자원정보 저장수단;
    서비스 제공자의 서비스 정책 정보 및 사용자 소속 기업의 정책 정보를 관리하기 위한 정책 관리수단; 및
    사용자로부터의 접근권한 요청에 따라 상기 자원상태 정보 및 서비스 정책 정보를 이용하여 사용자 소속 기업의 각 자원별 권한상태를 결정하고, 상기 권한상태 결정 결과 해당 기업의 자원 사용이 가능함에 따라 상기 사용자 정보 및 사용자 소속 기업의 정책 정보를 이용하여 상기 사용자의 접근권한을 결정하기 위한 권한 결정수단
    을 포함하는 호스팅 서비스 환경에서 접근권한 제어 장치.
  7. 제 6 항에 있어서,
    상기 사용자 정보 저장수단은,
    사용자 상황정보를 저장하고 있는 사용자 상황정보 데이터베이스; 및
    사용자 프로파일정보를 저장하고 있는 사용자 프로파일정보 데이터베이스
    를 포함하는 호스팅 서비스 환경에서 접근권한 제어 장치.
  8. 제 6 항에 있어서,
    상기 정책 관리수단은,
    서비스 제공자의 서비스 정책 정보 및 사용자 소속 기업의 정책 정보를 각각 독립적으로 관리하는 것을 특징으로 하는 호스팅 서비스 환경에서 접근권한 제어 장치.
KR1020080054251A 2008-06-10 2008-06-10 호스팅 서비스 환경에서 접근권한 제어 장치 및 그 방법 KR20090128203A (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020080054251A KR20090128203A (ko) 2008-06-10 2008-06-10 호스팅 서비스 환경에서 접근권한 제어 장치 및 그 방법

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020080054251A KR20090128203A (ko) 2008-06-10 2008-06-10 호스팅 서비스 환경에서 접근권한 제어 장치 및 그 방법

Publications (1)

Publication Number Publication Date
KR20090128203A true KR20090128203A (ko) 2009-12-15

Family

ID=41688656

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020080054251A KR20090128203A (ko) 2008-06-10 2008-06-10 호스팅 서비스 환경에서 접근권한 제어 장치 및 그 방법

Country Status (1)

Country Link
KR (1) KR20090128203A (ko)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013119563A1 (en) * 2012-02-09 2013-08-15 Gramboo Inc. True-ownership of shared data
KR101400062B1 (ko) * 2013-03-27 2014-05-28 주식회사 한국정보기술단 Ｉｐｔｖ세트톱박스 보안관리시스템
KR20170133851A (ko) * 2016-05-27 2017-12-06 전자부품연구원 콘텐츠 라이브러리 접근권한 관리방법 및 그 장치
KR20210146786A (ko) * 2020-05-27 2021-12-06 양성기 교육 기관 유지 관리 시스템

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013119563A1 (en) * 2012-02-09 2013-08-15 Gramboo Inc. True-ownership of shared data
US9130941B2 (en) 2012-02-09 2015-09-08 Gramboo Inc. Managing a data item
US9699192B2 (en) 2012-02-09 2017-07-04 Gramboo Inc. True-ownership of shared data
KR101400062B1 (ko) * 2013-03-27 2014-05-28 주식회사 한국정보기술단 Ｉｐｔｖ세트톱박스 보안관리시스템
KR20170133851A (ko) * 2016-05-27 2017-12-06 전자부품연구원 콘텐츠 라이브러리 접근권한 관리방법 및 그 장치
KR20210146786A (ko) * 2020-05-27 2021-12-06 양성기 교육 기관 유지 관리 시스템

Similar Documents

Publication Publication Date Title
US8656016B1 (en) Managing application execution and data access on a device
US10263994B2 (en) Authorized delegation of permissions
JP7225326B2 (ja) ユーザアカウントと企業ワークスペースとの関連付け
US11888856B2 (en) Secure resource authorization for external identities using remote principal objects
CA2962595C (en) Management of application access to directories by a hosted directory service
US10372483B2 (en) Mapping tenat groups to identity management classes
US11552956B2 (en) Secure resource authorization for external identities using remote principal objects
US10148637B2 (en) Secure authentication to provide mobile access to shared network resources
US10560435B2 (en) Enforcing restrictions on third-party accounts
US10637723B2 (en) Configuring enterprise workspaces
KR20150052010A (ko) 클라우드 플랫폼을 구현하기 위한 네트워크 시스템
CA2829805C (en) Managing application execution and data access on a device
JP4558402B2 (ja) サービスの中断なしにセキュリティ境界を横断するプリンシパルの移動
KR102157743B1 (ko) Sso 인증을 사용하는 시스템에서 사용자의 리소스 접근을 제어하는 방법
KR20090128203A (ko) 호스팅 서비스 환경에서 접근권한 제어 장치 및 그 방법
US10880307B2 (en) Systems for providing device-specific access to an e-mail server
US20230222205A1 (en) Sharing enterprise resources with temporary users
Sarferaz Identity and Access Management
Thakore et al. Scalable and Privacy-preserving Access Mechanism for Dynamic Clouds

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E902 Notification of reason for refusal
E601 Decision to refuse application