WO2007012241A1 - Système de service de données et procédé de contrôle d'accès correspondant - Google Patents

Système de service de données et procédé de contrôle d'accès correspondant Download PDF

Info

Publication number
WO2007012241A1
WO2007012241A1 PCT/CN2006/001222 CN2006001222W WO2007012241A1 WO 2007012241 A1 WO2007012241 A1 WO 2007012241A1 CN 2006001222 W CN2006001222 W CN 2006001222W WO 2007012241 A1 WO2007012241 A1 WO 2007012241A1
Authority
WO
WIPO (PCT)
Prior art keywords
access control
control information
service
public
result
Prior art date
Application number
PCT/CN2006/001222
Other languages
English (en)
French (fr)
Inventor
Wenyong Liang
Yang Zhao
Original Assignee
Huawei Technologies Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co., Ltd. filed Critical Huawei Technologies Co., Ltd.
Priority to CN2006800131355A priority Critical patent/CN101164275B/zh
Publication of WO2007012241A1 publication Critical patent/WO2007012241A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2117—User registration
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices

Definitions

  • the present invention relates to the field of communications, and in particular, to an Open Mobile Alliance (OMA) data service system and an access control method.
  • OMA Open Mobile Alliance
  • IMS IP Multimedia Subsystem
  • PoC Push-to-Talk over Cellular
  • IM Intelligent Messaging
  • Presence Presence
  • PoC Push-to-Talk over Cellular
  • This service is similar to a mobile conversation service where a user button talks to a user or broadcasts to a group of participants. After the receiver hears the speech, there is no action, such as not answering the call, or notifying that the call has been received before hearing the sender's voice. After this initial speech is completed, other participants can respond to the voice message.
  • PoC communication is half-duplex, meaning that at most one person can speak at a time, and others can answer.
  • PRESENCE is a communication service that collects and distributes presence information, and is currently available in conjunction with instant messaging (IM) services.
  • IM instant messaging
  • FIG. 1 it is a schematic diagram of the 0MA structure. As can be seen from the figure, in the current 0MA standard architecture, each service maintains its own access control list, and each service needs to be authorized separately. It is conceivable that when a user subscribes to a lot of services, and these services need to maintain access control information, the user needs to perform a lot of repetitive work, which greatly affects the user experience.
  • each business engine maintains an XML Document Management Server (Access Control Unit), and the access control list is stored in this unit in the form of an XML document.
  • XML document management unit Interact with the XCAP protocol of the IETF (Internet Engineering Task Force). The specific agreement refers to "The Extensible Markup Language (XML) Configuration Access protocol (XCAP)", J. Rosenberg o
  • FIG. 2 illustrates the OMA Presence service using the access control list process.
  • the Presence server When the Presence server receives the subscription request, it will obtain the access control list from the Presence XML Document Management Unit through the XCAP protocol. Then analyze whether the rules match, and if there are multiple rules, merge them. Finally, the processing of the subscription is determined according to the key value of the access control list, and the processing methods include: authorization, pending, courtesy ban, and ban.
  • the OMA structure also adopts similar processing methods and processes.
  • the current OMA architecture maintains an access control list for each service. It is conceivable that when users subscribe to multiple services, they will have to develop an overall access control policy for each service, affecting the user experience. When a user needs to ban someone's subscription to all of his business, he or she also needs to ban it on a business-by-business basis.
  • the present invention provides an OMA service system and an access control method, which are used to solve the problem that the terminal access control is complicated and affects the user experience in the prior art.
  • the present invention provides a data service system, which includes a plurality of service servers, and the terminal subscribes to related services through the service server, and is characterized in that:
  • the public access control unit is connected to the plurality of service servers and configured with the public access control information.
  • the service server is configured to obtain the verification result of the service request sent by the terminal to the service server, and perform the service access according to the verification result. Control
  • the verification result is a result of verifying the service request of the terminal according to the public access control information.
  • the above system further includes a dedicated access control unit that is connected to the corresponding service server and is provided with dedicated access control information, and the verification result further includes a service to the terminal according to the public access control information and the dedicated access control information. The result of requesting verification.
  • the verification result is a result of verifying a service request of the terminal according to the public access control information and the dedicated access control information, if the information is based on the public access control
  • the result of the verification with the dedicated access control information is contradictory, and the result of the verification of the dedicated access control information is used as the verification result.
  • the public access control unit is provided with a public access control information list for setting the public access control information.
  • the public access control unit is provided with a dedicated access control information list unified positioning identifier, and identifies the location of the dedicated access control information.
  • the dedicated access control unit is provided with a dedicated access control information list for setting the dedicated access control information.
  • the dedicated access control unit is provided with a common access control information list unified positioning identifier, and identifies the location of the public access control information.
  • the service server and the public service access control unit and the service server and the dedicated service access control unit communicate through the XCAP protocol.
  • the present invention further provides an access control method, which is applied to a data service system, where the data service system is provided with a public access control unit including public access control information, including The following steps:
  • the terminal initiates a service request to the service server.
  • the service server obtains the verification result of the service request, and performs access control of the service according to the verification result;
  • the verification result is a result of verifying the service request of the terminal according to the public access control information.
  • the verification result further includes a result of verifying a service request of the terminal according to the public access control information and the dedicated access control information.
  • the verification result is a result of verifying a service request of the terminal according to the public access control information and the dedicated access control information, if the verification is performed according to the public access control information and the dedicated access control information
  • the result is contradictory, and the result of the verification of the dedicated access control information shall prevail.
  • the access control information is set in the access control information list, or is linked to the access control information list by using a URI.
  • the public access control list policy can be directly set to set a certain public policy once, and the user experience is improved.
  • FIG. 1 is a schematic structural diagram of an OMA system in the prior art
  • FIG. 2 is a schematic diagram of an access control process in the prior art
  • FIG. 3 is a schematic structural diagram of an OMA system according to the present invention.
  • FIG. 4 is a schematic diagram of an access control process of the present invention.
  • the present invention adopts a centralized access control list management policy to provide a centralized storage entity of an access control list, so that the public access control list in the centralized storage entity will be applied to all services subscribed by all users.
  • the user can directly set a public access control list policy to improve the user experience.
  • FIG. 3 it is a schematic structural diagram of the OMA service system of the present invention.
  • the system includes multiple service servers and a dedicated service access control unit corresponding to each service server, and the terminal subscribes through the service server. business.
  • the dedicated service access control unit is configured with dedicated service access control information, which is connected to the corresponding service server, performs dedicated access control information verification on the subscription service request initiated by the terminal, and returns the verification result information to the service server.
  • the invention adds a public access control unit based on the prior art.
  • the public access control unit is configured with public access control information, and is connected to a plurality of service servers, and performs public access control information verification on the subscription service request initiated by the terminal according to the query request sent by the service server, and the verification result is obtained. The information is returned to the business server.
  • the service server and the public service access control unit and the service server and the dedicated service access control unit communicate through the XCAP protocol.
  • the present invention may be provided with an access control information list in the public access control unit and the dedicated access control unit, wherein the public access control information list is provided with the public access control information of the terminal.
  • the present invention may also set an access control information list unified positioning identifier (URI) in the public access control unit and the dedicated access control unit, and identify the location of the access control information.
  • URI access control information list unified positioning identifier
  • a dedicated access control information list unified location identifier (URI) is set, and the location of the dedicated access control information is identified.
  • a public access control information list unified location identifier (URI) is set, and the location of the public access control information is identified.
  • the URI can be used to locate the related access control information list. If necessary, the access control information list corresponding to the URI can be directly used.
  • FIG. 4 it is a schematic diagram of the access control process of the present invention. As can be seen from the figure, the present invention mainly includes the following steps:
  • the terminal initiates a service request to the service server.
  • the terminal When the terminal initiates service access, it first sends a subscription request to the service server, requesting to subscribe to a certain service provided by the service server.
  • the service can be a push-to-talk service (PoC), an instant messaging service (IM), a presence service (PRESENCE), and the like.
  • the service server sends a query request to the public access control unit, and searches for public access control information corresponding to the terminal.
  • the present invention sets the public access control information.
  • the service server For the subscription request of the terminal, the service server first sends a query request to the public access control unit to find the public access control information corresponding to the terminal. Since the public access control information is generally general access control information, through this setting, It is considered that the access control of the terminal subscription brings great convenience.
  • the service server sends a query request to the dedicated access control unit, and searches for access control information corresponding to the terminal.
  • the public access control information is generally general access control information, there may be an access control policy specific to the service server for each service server, so the public access control information only describes the most basic access control. Key values, such as authorization, ban, etc. For some dedicated access control information, a separate access control unit needs to be set separately.
  • step S2 If the relevant dedicated access control information is found, it is merged with the public access control information found in step S2, and access control is performed on the terminal according to the combined control information.
  • step S2 the service server sends a query request to the dedicated access control unit to find the access control information corresponding to the terminal, and if the related access control information is found, it is compared with the public found in step S2.
  • the access control information is merged, and the terminal is controlled for access according to the merged information.
  • the service server performs processing based on the dedicated access control information.
  • the public access control information may also return the complete public access control list to the service server, and the service server may cache the list without requesting each time for authentication. Information, saving network traffic.
  • the service server can subscribe to the document change notification of the public access control list. When the content of the list changes, such as adding or deleting a URI in the list, the changed information is notified to the service server, and the service server updates the locally cached list.
  • the public access control unit may directly perform authentication according to the query request including the requester terminal URI sent by the service server, and return the authentication result, such as authorization, ban, etc., or return the public access control list corresponding to the requester terminal URI to The service server is authenticated by the service server.
  • step S2 and step S3 may also be changed, that is, the query of step S3 may be performed first, then the query of step S2 may be performed, and merged at step S4, according to the merged
  • the information is subjected to access control for the terminal.
  • the public access control information and the dedicated access control information may be recorded in a list manner, and the list is described in the form of an XML document.
  • this list describes the URIs that need to be affected in ⁇ id en tity ⁇ - +43012345678 and sip:hermione.blossom@example.com, where the ⁇ aC tion> item needs to be applied.
  • Access control information such as authorization, ban, etc. Table 1 allows +43012345678 and sip:hermione.blossom@example.com, banned +13510112474 and abc@huawei.com access 0
  • each service server directly reads the public access control list, and proceeds to Related authorization.
  • the service server needs to perform additional control in addition to the key value specified by the public access control list
  • the service server specific dedicated access control list is read in and used in combination with the public access control list.
  • Option 2 Establish a key-value related I list.
  • the public access control list is not directly stored. Instead, based on the key value, a list of related U I is created. Examples are as follows:
  • the shared access control list server stores a list of Allow URIs. As shown in Table 2, the user Wanghao's access control related URI list.
  • Solution 3 The dedicated access control unit saves the access control list.
  • the dedicated access control unit saves an access control list by itself, and uses the external list of the existing OMA mechanism to reference the relevant key values in the authorization and banned items to implement service access control.
  • Anchor ''http://xcap.example om/services/resoxirce-lists/users/sip:wanghao@exainple. com/wanghao.xml/ ⁇
  • the user when a user subscribes to a new service, the user can directly set Use a public access control list policy to improve the user experience.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Signal Processing (AREA)
  • Databases & Information Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Storage Device Security (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Information Transfer Between Computers (AREA)

Description

一种数据业务系统和接入控制方法 技术领域
本发明涉及通信领域， 尤其涉及一种开放式移动联盟 （OMA)数据业务 系统及接入控制方法。
背景技术
移动通信业务层出不穷的今天， 能否为用户提供更好的体验成为一项业 务能否成功的关键。 目前， 基于 IMS (IP多媒体子系统） 的业务主要有 PoC (无线一键通）、 IM (即时消息）、 Presence (存在业务） 等。 在不久的将来， 基于 IMS的业务将会更为丰富。
PoC (无线一键通） 是一种双向、 即时、 多方通讯方式， 允许用户与一 个或多个用户进行通讯。 该业务类似移动谈话业务一用户按键与某个用户通 话或广播到一个群组的参与者那里。 接收方收听到这个发言声音后， 可以没 有任何动作， 例如不应答这个呼叫， 或者在听到发送方声音之前通知已经接 收了这个呼叫。 在这个初始语音完成后， 其他参与者可以响应该语音消息。 PoC通讯是半双工的， 表示每次最多只能有一个人发言， 其他人接听。
存在业务 （PRESENCE) 是一种搜集和发布存在信息的通信业务， 目前 一般和即时消息 (IM)业务同时提供。
这三种业务（可能包括很多以后涌现基于 IMS的业务） 的共同特性之一 是需要接入控制列表。 接入控制列表的基本功能是允许某些用户接入业务， 封禁某些用户接入业务。 但具体到每个业务， 会有一些独特的功能设置， 如 存在业务提供一种礼貌封禁的功能。 如图 1所示， 是 0MA结构示意图， 从 图中可见， 目前的 0MA标准架构里， 每一个业务都维护自己的一个接入控 制列表， 对于每一项业务都需要单独进行授权。 可以想象， 在用户订阅很多 业务， 而这些业务都需要维护接入控制信息的时候， 用户需要进行很多重复 劳动， 十分影响用户体验。
目前开放移动联盟架构中， 每一个业务引擎各维护一个 XML文档管理 单元 （XML Document Management Server) (接入控制单元）， 接入控制列表 就以 XML文档的形式存放在这个单元里，业务服务器与 XML文档管理单元 之间采用 IETF (互联网工程任务组）的 XCAP协议交互。 具体协议参照 "The Extensible Markup Language (XML) Configuration Access protocol (XCAP)", J. Rosenberg o
图 2举例说明 OMA Presence业务使用接入控制列表流程。 当 Presence 服务器接到订阅请求后，将通过 XCAP协议向 Presence XML文档管理单元获 取接入控制列表。 接着分析规则是否匹配， 同时如有多个规则， 则将他们合 并。 最后， 根据接入控制列表的键值来判断对于订阅的处理， 处理方法包括： 授权， 未决， 礼貌封禁， 封禁。
对于别的业务引擎的接入控制列表， OMA结构也采取类似的处理方法和 流程。 当然， 可能处理方法会有不同， 如 PoC没有礼貌封禁的处理。
目前的 OMA架构由于每一项业务都维护一个接入控制列表， 可以想象， 在用户订阅多个业务的时候， 将会不得不为每一个业务都制定总体接入控制 策略， 影响用户体验。 当用户需要封禁某人在所有业务对于他的订阅的时候， 也需要逐个业务进行封禁。
发明内容
本发明提供一种 OMA业务系统和接入控制方法， 用以解决现有技术中 存在终端接入控制复杂， 影响用户体验的问题。
为了实现上述目的， 本发明提供了一种数据业务系统， 包括多个业务服 务器， 终端通过业务服务器订阅相关业务， 其特征在于， 还包括：
公共接入控制单元， 与多个业务服务器相连， 设置有公共接入控制信息； 所述业务服务器用于获取终端向业务服务器所发送的业务请求的验证结 果， 并根据验证结果进行业务的接入控制；
所述验证结果为根据公共接入控制信息对终端的业务请求进行验证的结 果。
上述的系统， 其中， 还包括与对应业务服务器连接且设置有专用接入控 制信息的专用接入控制单元， 所述验证结果还包括根据公共接入控制信息和 专用接入控制信息对终端的业务请求进行验证的结果。
上述的系统， 其中， 所述验证结果为根据公共接入控制信息和专用接入 控制信息对终端的业务请求进行验证的结果时， 如果根据公共接入控制信息 和专用接入控制信息进行验证的结果矛盾， 以专用接入控制信息验证的结果 作为验证结果。
上述的系统， 其中， 所述的公共接入控制单元设置有公共接入控制信息 列表， 用于设置所述公共接入控制信息。
上述的系统， 其中， 所述的公共接入控制单元设置有专用接入控制信息 列表统一定位标识， 标识所述专用接入控制信息所在位置。
上述的系统， 其中， 所述的专用接入控制单元设置有专用接入控制信息 列表， 用于设置所述专用接入控制信息。
上述的系统， 其中， 所述的专用接入控制单元设置有公共接入控制信息 列表统一定位标识， 标识所述公共接入控制信息所在位置。
上述的系统， 其中， 所述的业务服务器与公共业务接入控制单元及业务 服务器与专用业务接入控制单元之间， 通过 XCAP协议通信。
上述的系统， 其中， 所述的接入控制包括授权、 未决、 礼貌封禁或封禁。 为了更好的实现上述目的， 本发明还提供了一种接入控制方法， 应用于 数据业务系统， 其中， 所述的数据业务系统设置有包含公共接入控制信息的 公共接入控制单元， 包括以下步骤：
A、 终端向业务服务器发起业务请求；
B、业务服务器获取所述业务请求的验证结果，并根据验证结果进行业务 的接入控制；
所述验证结果为根据公共接入控制信息对终端的业务请求进行验证的结 果。
上述的方法， 其中， 所述验证结果还包括根据公共接入控制信息和专用 接入控制信息对终端的业务请求进行验证的结果。
上述的方法， 其中， 所述验证结果为根据公共接入控制信息和专用接入 控制信息对终端的业务请求进行验证的结果时， 如果根据公共接入控制信息 和专用接入控制信息进行验证的结果矛盾， 以专用接入控制信息验证的结果 为准。
上述的方法， 其中， 所述根据公共接入控制信息对终端的业务请求进行 验证的结果由公共接入控制单元根据公共接入控制信息对所述业务请求进行 验证后获取。
上述的方法， 其中， 所述根据公共接入控制信息对终端的业务请求进行 验证的结果由业务服务器获取公共接入控制信息， 并根据公共接入控制信息 对所述业务请求进行验证后获取。
上述的方法， 其中， 所述的接入控制信息， 设置于接入控制信息列表， 或者通过 URI链接于接入控制信息列表。
上述的方法， 其中， 所述的接入控制， 包括授权、 未决、 礼貌封禁或封 禁。
本发明有益效果如下：
釆用本发明的技术方案， 当用户订阅新的业务的时候， 可以直接设定使 用公共接入控制列表策略对某些公共的策略进行一次性设置， 提高了用户体 验。
附图说明
图 1为现有技术中 OMA系统的结构示意图；
图 2为现有技术中接入控制流程示意图；
图 3为本发明 OMA系统的结构示意图；
图 4为本发明的接入控制流程示意图。
具体实施方式
下面结合说明书附图来说明本发明的具体实施方式。
本发明采用集中接入控制列表管理策略， 提供接入控制列表的集中储存 实体， 这样在集中储存实体中的公共接入控制列表将会应用到所有用户订阅 的所有业务。 当用户订阅新的业务的时候， 用户可以直接设定使用公共接入 控制列表策略， 以提高用户体验。
如图 3所示， 是本发明 OMA业务系统的结构示意图， 从图 3中可见， 该系统包括多个业务服务器以及与每个业务服务器对应的专用业务接入控制 单元， 终端通过业务服务器订阅相关业务。
该专用业务接入控制单元设置有专用业务接入控制信息， 其与对应的业 务服务器相连， 对终端发起的订阅业务请求进行专用接入控制信息验证， 并 将验证结果信息返回给业务服务器。 本发明在现有技术的基础上， 增加公共接入控制单元。 该公共接入控制 单元设置有公共接入控制信息， 其与多个业务服务器相连， 根据业务服务器 发送的査询请求， 对终端发起的订阅业务请求进行公共接入控制信息验证， 并将验证结果信息返回给业务服务器。
上述 OMA系统中， 业务服务器与公共业务接入控制单元以及业务服务 器与专用业务接入控制单元之间， 通过 XCAP协议通信。
本发明可以在公共接入控制单元和专用接入控制单元中设置有接入控制 信息列表， 其中， 公共接入控制信息列表中， 设置有终端的公共接入控制信 息。
本发明也可以在公共接入控制单元和专用接入控制单元中设置接入控制 信息列表统一定位标识 （URI)， 标识所述接入控制信息所在位置。 该接入控 制信息列表 U I， 也可以采用如下方案设置：
在公共接入控制单元， 设置有专用接入控制信息列表统一定位标识 (URI), 标识所述专用接入控制信息所在位置。
在专用接入控制单元， 设置有公共接入控制信息列表统一定位标识 (URI), 标识所述公共接入控制信息所在位置。
通过该 URI， 可以定位到相关的接入控制信息列表， 在需要的时候， 调 取该 URI对应的接入控制信息列表直接使用即可。
如图 4所示， 是本发明的接入控制流程示意图， 从图中可见， 本发明主 要包括以下步骤：
51、 终端向业务服务器发起业务请求；
当终端发起业务接入的时候， 先向业务服务器发送订阅请求， 请求订阅 该业务服务器所提供的某种业务。 该业务可以是无线一键通业务 （PoC)、 即 时消息业务 （IM)、 存在业务 （PRESENCE) 等。
52、 业务服务器向公共接入控制单元发送査询请求， 查找所述终端对应 的公共接入控制信息；
本发明设置了公共接入控制信息， 对于终端的订阅请求， 业务服务器要 先向公共接入控制单元发送查询请求， 查找所述终端对应的公共接入控制信 息。 由于公共接入控制信息一般是通用的接入控制信息， 通过这种设置， 可 以为终端订阅的接入控制带来很大的便利。
53、 业务服务器向专用接入控制单元发送查询请求， 査找所述终端对应 的接入控制信息；
由于公共接入控制信息一般是通用的接入控制信息， 但对于各个业务服 务器可能还会有该业务服务器特有的接入控制策略， 所以公共接入控制信息 只描述最基本的几个接入控制键值， 如授权， 封禁等。 对于一些专用的接入 控制信息， 还需要单独设置专用接入控制单元。
54、如果查找到相关专用接入控制信息，将其与步骤 S2中查找到的公共 接入控制信息合并， 并按照合并后的控制信息对所述的终端进行接入控制。
在步骤 S2的基础上， 业务服务器向专用接入控制单元发送査询请求， 查 找所述终端对应的接入控制信息， 如果查找到相关接入控制信息， 将其与步 骤 S2中查找到的公共接入控制信息合并，并按照合并后的信息对所述的终端 进行接入控制。
如果根据公共接入控制信息和专用接入控制信息的接入控制结果矛盾， 如一个为授权， 而另一个为封禁， 则业务服务器以专用接入控制信息为准进 行处理。 公共接入控制信息除了可以返回授权、 封禁等鉴权结果信息外， 也 可以将完整的公共接入控制列表返回给业务服务器， 业务服务器可以缓存该 列表， 而不用每次鉴权时都去请求这些信息， 节约网络流量。 同时业务服务 器可以订阅公共接入控制列表的文档变化通知， 当列表内容发生变化， 如列 表中增加、 删除 URI时， 将变化的信息通知给业务服务器， 业务服务器更新 本地缓存的列表即可。
公共接入控制单元可以根据业务服务器发送的包含请求者终端 URI的查 询请求直接进行鉴权， 返回鉴权结果如授权、 封禁等， 也可以把请求者终端 URI对应的公共接入控制列表返回给业务服务器， 由业务服务器进行鉴权。
在本发明的实施方案中， 步骤 S2和步骤 S3的顺序也可以做一个调换， 即也可以先进行步骤 S3的查询，再进行步骤 S2的査询，并于步骤 S4处合并， 按照合并后的信息对所述的终端进行接入控制。
本发明中， 公共接入控制信息和专用接入控制信息分别可以采用列表的 方式记录， 列表采用 XML文档形式描述， 实现方案有三种- 方案一： 直接建立公共接入控制列表。
<?xml version="1.0" encoding="UTF-8"?>
<cr:ruleset
xmlns:cr="urn:ietf:params:xml:ns:common-policy"
<cr:rule id="ck81">
<cr:conditions>
<cr:identity>
<cr:id>tel:+43012345678</cr:id>
<cr:id>sip:hermione.blossom@example.com</cr:id>
</cr:identity>
</cr:conditions>
<cr:actions>
<sub-handling>allow</sub-handling>
</cr:actions>
<cr:transformations>
<provide-tuples>
<all-tuples></all-tuples>
</provide-tuples>
</ cr-.transformations>
</cr:rule>
<cr:rule id="fe23">
<cr:conditions> - <cr:identity>
<cr:id>tel:+13510112474 </cr:id>
<cr:id>sip: abc@huawei . com</cr : id>
</cr:identity>
</cr:conditions>
<cr:actions>
<sub-handling>block</sub-handling>
</cr:actions>
<cr:transformations>
<provide-tuples>
<all-tuples></all-tuples>
</provide-tuples>
</cr:transformations>
</cr:rule>
</cr:ruleset>
表 1: 公共接入控制列表。
如表 1所示的公共接入控制列表， 这个列表在 <identity^ 描述了需要施 加影响的 URI— +43012345678 和 sip:hermione.blossom@example.com， 在 <aCtion>项描述需要施加的接入控制信息如授权， 封禁等。 表 1 允许 +43012345678和 sip:hermione.blossom@example.com， 封禁 +13510112474和 abc@huawei.com的接入 0
在表 1所示的方案中， 各个业务服务器直接读取公共接入控制列表， 进 行相关授权。 可选的， 若业务服务器除了公共接入控制列表规定的键值， 还 需要进行附加的控制， 则将业务服务器特定的专用接入控制列表读入， 与公 共接入控制列表进行合并使用。
方案二： 建立键值相关 I 列表。
在公共接入控制列表中，不直接存放公共接入控制列表。而是根据键值， 建立相关的 U I列表。 举例如下：
共享接入控制列表服务器储存 Allow URI列表。 如表 2， 用户 Wanghao 的接入控制相关 URI列表。
表 2
<?xml version="1.0" encoding=MUTF-8M?>
<list name="AUow">
<entry uri="sip:hermione.blossom@example.com">
<display-name>Hermione</display-name>
</entry>
<entry uri=Mtel:5678;phone-context=+43012349999"/>
</list>
方案三： 专用接入控制单元保存接入控制列表。
专用接入控制单元自己保存一个接入控制列表， 在授权和封禁项里， 利 用现有 OMA机制的 External List, 引用相关键值， 实现业务接入控制。
External List机制实现举例如下:
<?xml version="1.0" encoding="UTF-8M?>
<resource-lists xmlns="urn:ietf:params:xml:ns:resource-lists"
xmlns:xsi="http：〃 www.w3.org/2001/XMLSchema-instance">
<list name="allow">
<extemal
anchor=''http://xcap.example om/services/resoxirce-lists/users/sip:wanghao@exainple. com/wanghao.xml/~~
/list%5b@name=%22Allow%22%5d">
<display-name>allow</display-name>
</extemal>
</list>
</resource-lists>
表 3
Figure imgf000010_0001
定位外部列表和属性的位置， 并将 其引用到本列表。
采用本发明的技术方案， 当用户订阅新的业务的时候， 用户可以直接设 定使用公共接入控制列表策略， 以提高用户体验。
显然， 本领域的技术人员可以对本发明进行各种改动和变型而不脱离本 发明的精神和范围。 这样， 倘若本发明的这些修改和变型属于本发明权利要 求及其等同技术的范围之内， 则本发明也意图包含这些改动和变型在内。

Claims

权 利 要 求 书
1、 一种数据业务系统， 包括多个业务服务器， 终端通过业务服务器订阅 相关业务， 其特征在于， 还包括- 公共接入控制单元， 与多个业务服务器相连， 设置有公共接入控制信息; 所述业务服务器用于获取终端向业务服务器所发送的业务请求的验证结 果， 并根据验证结果进行业务的接入控制；
所述验证结果为根据公共接入控制信息对终端的业务请求进行验证的结 果。
2、 如权利要求 1所述的系统， 其特征在于， 还包括与对应业务服务器连 接且设置有专用接入控制信息的专用接入控制单元， 所述验证结果还包括根 据公共接入控制信息和专用接入控制信息对终端的业务请求进行验证的结 果。
3、 如权利要求 2所述的系统， 其特征在于， 所述验证结果为根据公共接 入控制信息和专用接入控制信息对终端的业务请求进行验证的结果时， 如果 根据公共接入控制信息和专用接入控制信息进行验证的结果矛盾， 以专用接 入控制信息验证的结果作为验证结果。
4、如权利要求 1或 2所述的系统， 其特征在于， 所述的公共接入控制单 元设置有公共接入控制信息列表， 用于设置所述公共接入控制信息。
5、 如权利要求 1或 2所述的系统， 其特征在于， 所述的公共接入控制单 元设置有专用接入控制信息列表统一定位标识， 标识所述专用接入控制信息 所在位置。
6、如权利要求 2所述的系统， 其特征在于， 所述的专用接入控制单元设 置有专用接入控制信息列表， 用于设置所述专用接入控制信息。
7、 如权利要求 2所述的系统， 其特征在于， 所述的专用接入控制单元设 置有公共接入控制信息列表统一定位标识， 标识所述公共接入控制信息所在 位置。
8、 如权利要求 1或 2所述的系统， 其特征在于， 所述的业务服务器与公 共业务接入控制单元及业务服务器与专用业务接入控制单元之间， 通过 XCAP协议通信。
9、如权利要求 1或 2所述的系统， 其特征在于， 所述的接入控制包括授 权、 未决、 礼貌封禁或封禁。
10、 一种接入控制方法， 应用于数据业务系统， 其特征在于， 所述的数 据业务系统设置有包含公共接入控制信息的公共接入控制单元， 包括以下步 骤：
A、 终端向业务服务器发起业务请求；
B、业务服务器获取所述业务请求的验证结果，并根据验证结果进行业务 的接入控制；
所述验证结果为根据公共接入控制信息对终端的业务请求进行验证的结 果。
11、 如权利要求 10所述的方法， 其特征在于， 所述验证结果还包括根据 公共接入控制信息和专用接入控制信息对终端的业务请求进行验证的结果。
12、 如权利要求 11所述的方法， 其特征在于， 所述验证结果为根据公共 接入控制信息和专用接入控制信息对终端的业务请求进行验证的结果时， 如 果根据公共接入控制信息和专用接入控制信息进行验证的结果矛盾， 以专用 接入控制信息验证的结果为准。
13、 如权利要求 10或 11所述的方法， 其特征在于， 所述根据公共接入 控制信息对终端的业务请求进行验证的结果由公共接入控制单元根据公共接 入控制信息对所述业务请求进行验证后获取。
14、 如权利要求 10或 11所述的方法， 其特征在于， 所述根据公共接入 控制信息对终端的业务请求进行验证的结果由业务服务器获取公共接入控制 信息， 并根据公共接入控制信息对所述业务请求进行验证后获取。
15、 如权利要求 10或 11所述的方法， 其特征在于， 所述的接入控制信 息， 设置于接入控制信息列表， 或者通过 URI链接于接入控制信息列表。
16、 如权利要求 10或 11所述的方法， 其特征在于， 所述的接入控制， 包括授权、 未决、 礼貌封禁或封禁。
PCT/CN2006/001222 2005-07-29 2006-06-06 Système de service de données et procédé de contrôle d'accès correspondant WO2007012241A1 (fr)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN2006800131355A CN101164275B (zh) 2005-07-29 2006-06-06 一种数据业务系统和接入控制方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CNB2005100887497A CN100388740C (zh) 2005-07-29 2005-07-29 一种数据业务系统及接入控制方法
CN200510088749.7 2005-07-29

Publications (1)

Publication Number Publication Date
WO2007012241A1 true WO2007012241A1 (fr) 2007-02-01

Family

ID=36805987

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2006/001222 WO2007012241A1 (fr) 2005-07-29 2006-06-06 Système de service de données et procédé de contrôle d'accès correspondant

Country Status (3)

Country Link
US (1) US20070123226A1 (zh)
CN (2) CN100388740C (zh)
WO (1) WO2007012241A1 (zh)

Families Citing this family (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100388740C (zh) * 2005-07-29 2008-05-14 华为技术有限公司 一种数据业务系统及接入控制方法
CN101163264B (zh) * 2007-11-14 2011-01-05 中兴通讯股份有限公司 一种移动通信系统中的数据业务接入控制方法
CN101453394B (zh) * 2007-12-03 2011-06-01 华为技术有限公司 一种接入控制方法、系统和设备
US9710443B2 (en) * 2008-07-21 2017-07-18 Oracle International Corporation Simplifying access to documents accessed recently in a remote system
US20100169376A1 (en) * 2008-12-29 2010-07-01 Yahoo! Inc. Visual search engine for personal dating
US20120180073A1 (en) * 2011-01-06 2012-07-12 Hung Hin Leung Mobile Device Application Framework
US8516607B2 (en) * 2011-05-23 2013-08-20 Qualcomm Incorporated Facilitating data access control in peer-to-peer overlay networks
JP5886099B2 (ja) * 2012-03-21 2016-03-16 日立オートモティブシステムズ株式会社 自動車用電子制御装置
US8751650B2 (en) * 2012-05-10 2014-06-10 Cisco Technology, Inc. Method and apparatus for supporting access control lists in a multi-tenant environment
US10637943B2 (en) * 2012-09-28 2020-04-28 Avaya Inc. System and method for composite presence subscriptions
CN104580116B (zh) * 2013-10-25 2018-09-14 新华三技术有限公司 一种安全策略的管理方法和设备
CN103974217B (zh) * 2014-05-06 2018-07-24 上海工程技术大学 多屏业务切换的方法及其装置
CN104092678B (zh) * 2014-07-02 2018-12-25 新华三技术有限公司 一种访问控制列表的配置方法和装置
CN106302371B (zh) * 2015-06-12 2019-06-28 北京网御星云信息技术有限公司 一种基于用户业务系统的防火墙控制方法和系统
US11876803B1 (en) * 2020-08-03 2024-01-16 PubNub, Inc. Methods and systems for authorizing a client device to a service

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020002677A1 (en) * 2000-02-22 2002-01-03 International Business Machines Corporation Data processing system and method
US20020010861A1 (en) * 2000-04-26 2002-01-24 Shinako Matsuyama Access control system, access control method, device, access control server, access-control-server registration server, data processing apparatus, and program storage medium
US20030088429A1 (en) * 2001-11-05 2003-05-08 Schmeling Garth F. Secure and mediated access for E-services
US20040088563A1 (en) * 2002-11-01 2004-05-06 Hogan Dirk J. Computer access authorization

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3724962B2 (ja) * 1998-11-13 2005-12-07 株式会社東芝 アクセス制御機能付き情報処理装置及び記憶媒体
US7336660B2 (en) * 2002-05-31 2008-02-26 Cisco Technology, Inc. Method and apparatus for processing packets based on information extracted from the packets and context indications such as but not limited to input interface characteristics
US8046476B2 (en) * 2003-01-29 2011-10-25 Nokia Corporation Access right control using access control alerts
US20050021976A1 (en) * 2003-06-23 2005-01-27 Nokia Corporation Systems and methods for controlling access to an event
US20050010780A1 (en) * 2003-07-09 2005-01-13 Kane John Richard Method and apparatus for providing access to personal information
CN100388740C (zh) * 2005-07-29 2008-05-14 华为技术有限公司 一种数据业务系统及接入控制方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020002677A1 (en) * 2000-02-22 2002-01-03 International Business Machines Corporation Data processing system and method
US20020010861A1 (en) * 2000-04-26 2002-01-24 Shinako Matsuyama Access control system, access control method, device, access control server, access-control-server registration server, data processing apparatus, and program storage medium
US20030088429A1 (en) * 2001-11-05 2003-05-08 Schmeling Garth F. Secure and mediated access for E-services
US20040088563A1 (en) * 2002-11-01 2004-05-06 Hogan Dirk J. Computer access authorization

Also Published As

Publication number Publication date
US20070123226A1 (en) 2007-05-31
CN101164275A (zh) 2008-04-16
CN1794720A (zh) 2006-06-28
CN101164275B (zh) 2011-04-20
CN100388740C (zh) 2008-05-14

Similar Documents

Publication Publication Date Title
WO2007012241A1 (fr) Système de service de données et procédé de contrôle d&#39;accès correspondant
US7991895B2 (en) Limiting access to network functions based on personal characteristics of the user
RU2477014C2 (ru) Способ группового оповещения в службе обмена сообщениями на основе протокола инициации сеанса связи &#34;sip&#34;
EP1873976B1 (en) A method and servers of issueing the presence information
EP2207305B1 (en) A method and a system for address book processing
US8787874B2 (en) Method and mobile device for conference call security override
EP2341686B1 (en) Method and system for conference call security override
US20030028621A1 (en) Presence, location and availability communication system and method
US9357026B2 (en) Presentity authorization of buddy subscription in a communication system
WO2007059674A1 (fr) Mandataire de demandes, systeme de communication, et procede de demande d&#39;informations dans le systeme de communication
EP2045987A1 (en) A network storage system and a control method for accessing the network storage content
US7778627B2 (en) System, method, and computer readable medium for providing secure access between devices
CN101115094A (zh) 提供通信业务的方法和系统及触发器装置
CA2725496C (en) Method and system for enhanced conference call security
US20110164740A1 (en) Method and system for enhanced conference call security
US9571563B2 (en) Handling a shared data object in a communication network
EP1941752B1 (en) System and method for forwarding presence subscription along with contact list entries
WO2009010004A1 (fr) Système de recherche, procédé de recherche et serveur de présence
JP2010515990A (ja) オフラインで格納するためのユーザアクセスポリシー
CN100421479C (zh) 基于PoC的群组数据管理方法及系统
WO2007022698A1 (fr) Procede et systeme de prerequete d&#39;information de session poc
EP2294780B1 (en) A method for masking data
Chen A scenario for identity management in Daidalos

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 200680013135.5

Country of ref document: CN

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 06742108

Country of ref document: EP

Kind code of ref document: A1