WO2008122185A1 - Procede et appareil de gestion de permission d'acces a une memoire reseau et procede de controle d'acces a une memoire reseau - Google Patents

Procede et appareil de gestion de permission d'acces a une memoire reseau et procede de controle d'acces a une memoire reseau Download PDF

Info

Publication number
WO2008122185A1
WO2008122185A1 PCT/CN2007/071365 CN2007071365W WO2008122185A1 WO 2008122185 A1 WO2008122185 A1 WO 2008122185A1 CN 2007071365 W CN2007071365 W CN 2007071365W WO 2008122185 A1 WO2008122185 A1 WO 2008122185A1
Authority
WO
WIPO (PCT)
Prior art keywords
access
metadata
network storage
authorized user
storage
Prior art date
Application number
PCT/CN2007/071365
Other languages
English (en)
French (fr)
Inventor
Cheng Huang
Guojun Xu
Original Assignee
Huawei Technologies Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co., Ltd. filed Critical Huawei Technologies Co., Ltd.
Publication of WO2008122185A1 publication Critical patent/WO2008122185A1/zh
Priority to US12/571,485 priority Critical patent/US20100023491A1/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/28—Restricting access to network management systems or functions, e.g. using authorisation function to access network configuration

Definitions

  • Network storage access authority management method and device network storage access control method
  • the present invention relates to the field of communications, and in particular, to a network storage access rights management technology.
  • OMA is an international organization that develops standards for mobile communication systems, which proposes to include push-to-talk over the Internet (Push)
  • the specification of the messaging service implements the storage function for the message service by deploying the OMA message system on the network side.
  • the architecture of the OMA message system is as shown in FIG. 1, and includes: a message content store, a message metadata server, a message server, and an aggregation agent, a search agent, and a core network.
  • the message metadata server includes a network storage authority access controller and a message service metadata file management
  • the message content storage is used to manage a message file for storing a message service actually received and received by a user in a message service process, and the message service includes: a message, a session history, and historical communication data such as multimedia data that may be included therein.
  • the message metadata server is configured to be responsible for storing and managing configuration information of a user message service and metadata information describing a user message service.
  • the configuration information of the user message service includes: message service setting information, such as a contact list, a predefined group, a user access policy, and the like;
  • the described metadata information includes: the metadata of the described offline message and the session history communication data. Etc., these metadata are typically stored in media files such as messaging service metadata files.
  • the message service metadata file manager in the message metadata server is configured to be responsible for managing media files such as message service metadata files therein, wherein the message service metadata file stores configuration information and message services. Metadata information, etc.
  • a network storage authority access controller in the message metadata server configured to use the message service according to the message
  • the data in the media file managed in the metadata file manager controls the access rights.
  • the message server is responsible for controlling the logical logic of the message, that is, controlling the message content storage to store and manage the message service, and controlling the message metadata server to store and manage the configuration information of the user message service.
  • the aggregation proxy is an agent in the network that provides access metadata for the user, and mainly performs authentication on an authorized client that has the authority to manage the metadata of the message, and routes the network storage access request to the appropriate network entity.
  • the message metadata server search agent.
  • the search agent is configured to receive a message metadata query request forwarded by the client via the aggregation agent, and send the request to an appropriate message metadata storage entity, such as a message metadata server. It is also used to consolidate the search results received in the query response and return it to the user client via the Aggregation Agent.
  • the message metadata server records the metadata information of the user message service, and generally classifies all the metadata information of the same user according to the application semantics, classifies the metadata under the same application semantics into one class, and then according to Extensible Markup Language Documents Directory (XML Documents)
  • the directory structure in the metadata file to organize all metadata information for the user's messaging service includes: a cap-directory ⁇ node, a child node ⁇ &10 ⁇ 1 under the root node, ⁇ 6 ⁇ under the child node ⁇ 1 > 010 ⁇ 1 ⁇ > child node.
  • the root node represents the root directory of metadata information corresponding to all message services of a user; each child node under it ⁇ folder> corresponds to the same application semantics of the user (Ap
  • the inventor of the present invention found that in the existing message system, the network storage owner can only access his own network storage according to the metadata information in the XML file directory owned by himself, and does not allow other users to access his own. Network Storage.
  • Embodiments of the present invention provide a network storage access authority management method, a network storage access control method, and a network storage access authority management apparatus, which are capable of allowing other users to access a network storage owner's network storage.
  • a network storage owner user is referred to as an authorized user
  • a user who can access the network storage owner's network storage is referred to as an authorized user.
  • An embodiment of the present invention provides a network storage access authority management method, including:
  • An embodiment of the present invention further provides a network storage access control method, including:
  • Embodiments of the present invention also provide a network storage access authority management apparatus including a network storage authority access controller and a message service metadata file manager.
  • the network storage authority access controller is configured to obtain a network storage access permission operation request of an authorized user, where the request carries storage access authority information requested by an authorized user; according to the message service metadata file manager The storage access authority information in the file, and the legality verification of the network storage access permission operation request of the authorized user; [25] the message service metadata file manager, configured to access, according to the network storage permission, a network storage access permission operation request verified by the controller, in the network storage access permission metadata of the authorized user, according to the authorization The storage access permission information requested by the user, and the storage authorization permission of the network storage directory or the network storage file set by the authorized user for the authorized user.
  • the embodiment of the present invention further provides another network storage access authority management apparatus, which includes a network storage authority access controller and a message service metadata file manager.
  • the network storage authority access controller is configured to obtain an access request of the authorized user for the authorized user network storage; according to the network storage access authority element corresponding to the authorized user in the message service metadata file manager And storing, in the data, the storage access authority information corresponding to the authorized user, performing legality verification on the access request of the authorized user; and requesting, by the authenticated access request, the request to the message service metadata file manager
  • the authorized user has metadata of the access right, and provides the metadata fed back by the message service metadata file manager to the authorized user;
  • the message service metadata file manager is configured to feed back, to the network storage, the storage access authority information corresponding to the authorized user in the network storage access authority metadata corresponding to the authorized user. Access to the controller.
  • FIG. 1 is an architectural diagram of an OMA message system provided by the background art
  • FIG. 2 is a logical structural diagram of a directory structure in an XML file directory metadata file provided by the background art;
  • FIG. 3 is a logic diagram of a directory structure of an XML file directory metadata file according to the first embodiment of the present invention; Structure diagram
  • FIG. 5 is a diagram of a message service metadata of a storage authorization policy application semantic according to a first embodiment of the present invention.
  • FIG. Record the logical structure of the structure;
  • FIG. 6 is a logical structural diagram of a directory structure of user access control information of a user access policy application semantic according to a first embodiment of the present invention
  • FIG. 7 is a flowchart of granting, changing, and revoking network storage access rights based on a storage authorization policy scheme according to a first embodiment of the present invention
  • FIG. 8 is a flow chart of a first type of network storage access permission scheme for notifying changes in the first embodiment of the present invention
  • FIG. 9 is a flow chart of a network access permission scheme of a second notification change according to a first embodiment of the present invention.
  • FIG. 10 is a flowchart of a network storage access authority scheme for changing a third notification according to a first embodiment of the present invention
  • FIG. 2 is a flow chart of a network storage access authority scheme of a fourth notification change in the first embodiment of the present invention
  • Figure 12 is a flow chart provided in a second embodiment of the present invention.
  • FIG. 13 is a flowchart of authorizing a user to authenticate the validity of a network storage metadata access request in a second embodiment of the present invention
  • Figure 14 is a flow chart for controlling access to authorized users with 'read/write' privileges
  • Figure 15 is a schematic structural view of a third embodiment of the present invention.
  • 16 is a schematic structural diagram of a fourth embodiment of the present invention.
  • the first embodiment of the present invention provides a network storage access authority management method.
  • a message service in the same application semantics of a certain user needs to be performed according to the attributes of the message service.
  • the metadata information is classified; establishing a network storage directory for each category of metadata; and establishing an association relationship between the network storage directory and a network storage metadata file (which may be a media file) storing the metadata,
  • a network storage metadata file which may be a media file
  • the attribute of the message service includes a topic attribute (gP'subject' attribute) of the message service in the same application.
  • the message service executes the inter-day attribute (ie the 'date' attribute).
  • the attributes of the message service classify the metadata of all message services in the same application semantics of the same user, and classify the metadata of the message service with the same attribute into one class to obtain metadata of different categories;
  • the metadata of the category establishes a network storage directory and establishes an association relationship between the network storage directory and a network storage metadata file storing the metadata. It is also possible to further subdivide the metadata of each category to obtain the next level metadata of the category and establish a lower level network storage directory for it.
  • All metadata information of the user's message service can be organized according to the network storage directory structure defined in the 'XML file directory' metadata file, and its logical structure is shown in FIG. 3: It can be seen that it includes: x cap-directory> root, ⁇ 10 ⁇ 1 & subnodes ⁇ 1 under the root node> under the root node ⁇ 1 1 & subnode of node 010 ⁇ sub, ⁇ 3 ⁇ 41 «17> subnode It should be noted that each child node in the structure corresponds to each element, for example, the ⁇ &10 ⁇ > child node corresponds to the ⁇ folder> element.
  • the root node represents the root directory of the metadata information corresponding to all message services of a user; the ⁇ folde r> child nodes under it represent the network storage of metadata corresponding to different message service attributes under the same application semantics.
  • the ⁇ &1 ⁇ 1 child node under the ⁇ &1 1 child node under the root node represents the network storage directory corresponding to the metadata represented by the ⁇ folde r> child node of the previous level according to the attribute of the message service.
  • the obtained metadata corresponds to the network storage directory; the ⁇ 1 ⁇ > node represents a network storage metadata file that specifically stores the metadata.
  • each ⁇ folder> child node carries attribute information of a unique identifier 'id' and a network storage directory, such as 's ubject' attribute information.
  • a network storage directory such as 's ubject' attribute information.
  • Specific representative of the metadata file stored in each of a ⁇ folde r> child node ⁇ 3 ⁇ 41 « ⁇ > child node also carries a unique identifier 'id' attribute, you may also carry URI attribute, a message directed to a particular business metadata file.
  • a network storage metadata file (also referred to as a media file) storing specific metadata and a message file storing a message service content are collectively referred to as a network storage file.
  • each authorized user may store the metadata of the metadata corresponding to the metadata storage file or the network storage metadata file in the message metadata server. Permissions are managed to control access rights of other authorized users.
  • the specific implementation process of the first embodiment of the present invention is as shown in FIG. 4, and includes:
  • Step S101 requesting the user to send a network storage access permission operation request, where the request carries the authorization Storage access authority information of the authorized user requesting the operation;
  • the storage access rights information of the authorized user that the authorized user requests to operate includes:
  • the identity of the authorized user, the identity of the at least one authorized user who is granted the access right, and the network storage directory or network storage file related information related to the storage access rights information may be an identifier of the network storage directory or a network storage file;
  • the identity of the authorized user, the storage access rights information of the authorized user that the authorized user requests to operate includes at least one identity of the access user that cannot be granted the access right, and a network involved in the storage access rights information.
  • Store directory or network storage file related information The information related to the network storage directory or the network storage file may be an identifier of the network storage directory or a network storage file.
  • the identity of the at least one authorized user who is granted the access right, and the identity of the at least one access user that cannot be granted the access right, respectively corresponding to the whitelist user list and the blacklist user list, respectively Or peers are carried through the stored user list.
  • the storage access right information of the authorized user that is only requested by the authorized user request includes at least one identity of the authorized user who is granted the access right as an example, but is not limited thereto.
  • the storage access right information of the authorized user that the authorized user requests to operate may further include at least one of the following: an access permission category, a permission expiration time, a permission grant time, and the like.
  • the access permission category includes: an access right of the network storage file or a network storage directory, an inheritance attribute of an access right of the network storage file or a network storage directory, and access by the network storage file or a network storage directory. Permission lock properties, etc.
  • the access rights of the network storage file or the network storage directory may include full control (Full
  • the full control means that the authority can only be owned by the authorized user, that is, the authority to operate (grant, change, withdraw) the file and the directory can only be authorized by the authorized user;
  • the priority of the file or directory access required to request a user access request must be lower than or equal to the request
  • the file or directory permission priority level that the user has is requested; the high priority permission requesting the user to the same file or directory will override the low priority permission.
  • the lock attribute of the permission will affect whether the file or directory permission allows the user to view. If the 'lock' attribute of a file or directory is set to true, the permission information request prohibits the file or directory. User view.
  • Steps S102a-b the aggregation proxy and the authorized user perform bidirectional authentication according to the identity identifier of the requesting user carried in the request. After the authentication is passed, the identity of the authenticated requesting user is obtained.
  • the Aggregation Proxy will apply a local security policy, such as Hypertext Transfer Protocol (HTTP) Digital Digest (HTTP)
  • Digest Issues a challenge to the initial request received, and returns an unauthorized failure response based on the feedback from the authorized user, or obtains the identity of the authenticated requesting user after the authentication is passed.
  • Step S103 The aggregation proxy forwards the network storage access permission operation request to the message metadata server, where the request carries the storage access authority information of the authorized user requesting the user to request the operation.
  • the storage access right information of the authorized user that is requested to be operated by the authorized user includes: the identified identity of the requested user, the related information of the network storage directory or the network storage file involved in the storage access right, Such as the ID of the network storage directory or network storage file; and the identity of the authorized user.
  • Step S104 After the network storage access authority operation request arrives at the message metadata server, the message metadata server stores the access authority controller through the network storage directory or the network storage file carried in the request. The authorized user identity on the resource access path corresponding to the related information, and the requesting user identity, determining whether the requesting user is an authorized user, and if not, rejecting the request; if yes, considering that it is a legitimate requesting user, receiving the network storage Permission operation request.
  • the network storage access authority controller determines whether the requesting user is an authorized user, and compares the authorization on the resource access path corresponding to the information about the network storage directory or the network storage file that is required to be carried in the request. Whether the user identity is consistent. If they are consistent, the requesting user is considered to be Authorized user is a legitimate user; if it is inconsistent, it is considered that the requesting user is not an authorized user and is not a legitimate user.
  • Step S105 The network storage access authority controller sends the network storage access authority operation request to a message service metadata file manager in the message metadata server.
  • the request carries storage access authority information of the requesting user requesting the user to request an operation.
  • the storage access authority information of the requesting user that requests the user to request the operation includes: an identifier of the requesting user, a network storage directory or a network storage file identifier involved in the access right, and an identifier of the authorized user.
  • Step S106 after the message service metadata file manager receives the network storage access permission operation request, according to the identity identifier of the requesting user, and related information of the network storage metadata directory or the network storage file, Finding a message service network storage access rights management metadata file corresponding to the requesting user identity;
  • the first method is an operation method based on a storage authorization policy: the method passes the 'Storage Authorization Policy' (Storage Authorization) of the embodiment of the present invention
  • the message service metadata includes some access control information and storage access rights information.
  • the access control information includes: an identity identifier of the requesting user, and a message service metadata identifier involved in the network storage access authority.
  • the information in the storage access right information is as listed in step S101, and includes: an access permission category, a permission grant period, a permission expiration time, and the like.
  • the message service metadata storing the authorization policy application semantics may be stored in a directory structure as shown in FIG. 5, which is called a storage authorization policy metadata file.
  • the ⁇ aU thori za ti on > element represents a storage authorization policy for an authorized user's network storage directory or network storage file, and assigns it an authorized user associated with the network storage directory or network storage file.
  • the storage access permission metadata ⁇ pri nC ipal> element includes: being granted the request user B Identification 'URI', access permission class 1" ⁇ &( ⁇ 88 > child element, permission granted to the day ⁇ ( 1 ⁇ > child element, permission expired ⁇ expiry> child element, etc.
  • the storage access authority information corresponding to the authorized user identifier is created in the storage authorization policy metadata file corresponding to the authorized user identity; or the requesting user operating according to the request carried in the requesting user request
  • the storage access right information, the storage access authority information corresponding to the authorized user identifier is updated in a metadata file corresponding to the storage authorization policy of the authorized user identity; or, according to the request operation carried in the requesting user request
  • the storage access authority information of the requesting user deletes the storage access authority information corresponding to the authorized user identifier in a metadata file corresponding to the storage authorization policy of the authorized user identity.
  • the second method is based on the operation method of the 'user access policy', which separates the access control information from the storage access authority information, and utilizes the user access policy (User Access Policy) that has been accepted by the OMA standard.
  • the metadata defines a user network storage access control rule, and implements network storage access control based on an authorized user custom rule; the specific storage access authority information is stored in an authorized user network storage directory or network storage file associated with the network storage access control rule.
  • FIG. 6 is a logical view of the structure definition of the user access policy metadata file, wherein the user access control information is defined by the ⁇ 1 ⁇ > element, or is applied to an ⁇ &1 ⁇ 1 element in the XML file directory metadata.
  • the specific implementation of the request judging whether the access control information is in the ⁇ &1 ⁇ 1 element or ⁇ entry> by comparing the ⁇ 11 ⁇ > element with the ⁇ folde r> and ⁇ 3 ⁇ 47> elements in their respective unique identifiers 'id' attributes.
  • the ⁇ rule> element can also be used to determine the ⁇ conditions> ⁇ actions> element, which corresponds to the access condition and access action of the ⁇ &10 ⁇ > element or the ⁇ 6 ⁇ > element, respectively.
  • Steps S107 to S109 feedback network storage authority operation response.
  • the foregoing network storage access permission operation request may include the following types of requests: a network storage access authority grant request, a network storage access permission change request, and a network storage access authority revocation request.
  • Steps S201 ⁇ S204 the authorized user A (client A) sends a request for obtaining the network storage directory structure to the message metadata server via the aggregation proxy (XCAP GET)
  • the message metadata server feeds back the stored network storage directory of the user A and the metadata of the corresponding network storage metadata file to the authorized user A according to the request;
  • Steps S205 to S206 after the authorized user A obtains the metadata of the network storage directory and the corresponding network storage directory metadata file, the user can browse the network storage directory through the terminal device, and view the message in a certain directory.
  • Business metadata selecting metadata of a network storage directory metadata file corresponding to a network storage directory that is to be authorized to be accessed by user B, or metadata of a network storage directory metadata file, and setting specific access rights;
  • Aggregation Proxy sends network storage access grant request (XCAP)
  • the network storage access authority includes: an identity of the authorized user A, an identifier of the network storage directory or the network storage file involved in the access authority, and an identity of the authorized user B.
  • Steps S207 ⁇ S209 the network storage access authority controller in the message metadata server sends a network storage authority operation request for the authorized user A to the message service metadata file manager according to the identity of the authorized user A in the request, wherein Carrying the storage access authority information of the authorized user B that is requested to be granted, and the knowledge of the network storage directory or the network storage file involved in the access authority;
  • the message service metadata file manager retrieves the storage authorization policy metadata file of the authorized user A (as shown in FIG. 5), and analyzes whether there is a network storage directory or file carried in the request.
  • the corresponding storage authorization policy metadata is identified, that is, the ⁇ aU thori za ti on > element in FIG. If it does not exist, create a new ⁇ auth 0 ri Z ati 0n > element representing the network storage directory or file storage authorization policy in the request, and give it a globally unique user A associated with the network storage directory or file.
  • the storage access authority metadata ⁇ principal> element includes: the identifier 'URI' to be granted to user B, the access permission class 1 ⁇ / ⁇ > ⁇ 8 > child element, authority Grant the ⁇ > child element, the permission expires, the ⁇ expiry> child element, and so on.
  • the message service metadata file manager directly creates a storage access right corresponding to the network storage access right granted to the user B in the request for the storage authorization policy metadata ⁇ 111 ⁇ &1> metadata
  • the message service metadata file manager will return an operation success response to the network storage access authority controller only after all the above steps are completed, otherwise it will return a failure response.
  • the message metadata server returns a response to the User A client via the Aggregation Proxy.
  • Step S210 after the message metadata server creates a new storage permission policy, requesting user B to receive the network storage access right notification, which includes the network storage directory identifier authorized by the authorized user A and its authority information.
  • the following gives several options for user B to receive notifications after changes in network storage access rights.
  • the message server obtains the changed network storage access authority metadata by actively subscribing to the network storage access authority notification in the message metadata server, and notifying the network storage access authority metadata
  • the corresponding authorized user is implemented as follows:
  • Steps S5 ⁇ 6 once the authorized user A performs the network storage authority operation or is automatically deleted by the system due to the expiration of a certain network storage authority, the user in the storage access authority metadata corresponding to the authorized user A in the message metadata server is caused.
  • the status of the authorization information of B changes, and the message metadata server sends a SIP notification to the message server (SIP).
  • the notification carries the network storage permission of the requested user B after the change;
  • the second mode after the message metadata server finds that the network storage access authority is changed, the changed network storage access authority metadata is notified to the corresponding authorized user in the network storage access authority metadata, and the specific implementation is implemented. As shown in Figure 9, it includes:
  • Step 1 Once the authorized user A performs the network storage permission operation or is automatically deleted by the system due to the expiration of a certain network storage authority, the user B of the storage access authority metadata corresponding to the authorized user A in the message metadata server is caused. The status of the authorization information changes, and the message server sends a SIP to user B.
  • the MESSAGE notification the notification carries the network storage permission of the user B after the change;
  • Step 2 request user B to return a response to the message metadata server.
  • Steps 1 to 2 once the authorized user A performs the network storage authority operation, causing the status of the authorization information for the user B in the storage access authority metadata corresponding to the authorized user A in the message metadata server to change, the authorized user is authorized.
  • A sends SIP to the message server
  • the MESSAGE notification message carries the network storage permission of the user B after the change.
  • Steps 3 to 4 the message server forwards the SIP MESSAGE notification to User B.
  • the fourth mode requesting the user to subscribe to the network metadata access authority notification to the message metadata server; after the network storage access authority changes, the message metadata server notifies the network storage access right of the changed network storage access right The corresponding authorized user in the metadata.
  • the specific implementation is shown in Figure 11.
  • Steps 1 to 4 requesting user B to send SIP
  • SUBSCRIBE requests to subscribe to a status change notification of the storage access right metadata corresponding to the authorized user A stored in the message metadata server;
  • Steps 5 to 6 once the authorized user A performs the network storage access operation or because the network storage authority is automatically deleted due to expiration, the storage access authority element corresponding to the authorized user A stored in the message metadata server is obtained. The status of the authorization information related to the user B in the data changes, and the message metadata server sends the SIP to the user B.
  • the NOTIFY notification message carries the changed network storage right of the user B.
  • Steps S211 ⁇ S212 the authorized user A may also request to update the network storage access right granted to the user B.
  • the user A browses the rights of the network storage directory or the network storage file that has been granted to the user B and resets the new Access rights; then send a network storage access permission update request via the aggregation proxy (X CAP)
  • the request carries the identity of the user A; requests to update the network storage access right of the user B, and the identifier of the network storage directory or the network storage file involved in the access right.
  • the network storage access authority controller in the message metadata server sends a network storage authority operation request for the authorized user A to the message service metadata file manager according to the identity of the authorized user A in the request, where the request update operation is carried.
  • the user B 's storage access rights information.
  • the storage access authority information includes: an identity of the authorized user A, a related information of a network storage directory or a network storage file involved in the access authority, and an identity of the user B.
  • the message service metadata file manager After receiving the request, the message service metadata file manager will retrieve the authorization policy metadata corresponding to the related information of the network storage directory or the network storage metadata file in the request, in the storage authorization policy metadata file of the authorized user A.
  • user B After the message metadata server changes the storage rights policy metadata, user B will receive a network storage access permission change notification, which includes the network storage directory or network storage file identifier changed by authorized user A and its corresponding network. Store permission information. After the network storage access rights are changed, the way that user B receives the notifications can be implemented in several optional processes. It is not described in detail here.
  • Steps S213 ⁇ S216 the authorized user A may also request to withdraw the network storage access right granted to the user B.
  • the user A browses the rights of the network storage directory or the network storage file that has been granted to the user B and selectively Withdraw access; then send a network storage access revocation request via the Aggregation Proxy (X CAP
  • the request carries the request to withdraw the network storage access right of the user B.
  • the network storage access authority includes the identity of the user A, the identifier of the network storage directory or the network storage file involved in the access authority, and the identity of the user B.
  • the network storage access authority controller in the message metadata server sends a network storage authority operation request for authorizing user A to the message service metadata file manager according to the identity of the authorized user A in the request, where the request for the withdrawal operation is carried.
  • the storage access authority information of the user B includes: an identity of the user A, a network storage directory or a network storage file related to the access authority, and an identity of the user B.
  • the message service metadata file manager After receiving the request, the message service metadata file manager will retrieve the authorization policy metadata corresponding to the related information of the network storage directory or the network storage metadata file in the request, in the storage authorization policy metadata file of the authorized user A. ⁇ 01 ⁇ 0 1 > element, and according to the request for carrying in the request to withdraw the operation access authority information of the user B, delete the authorization policy metadata ⁇ ( ⁇ .
  • the authorized user identifies ⁇ 2111 ( &1> of the corresponding storage access authority metadata.
  • the requesting user B After the message metadata server deletes the storage permission policy, the requesting user B will receive the network storage access permission change notification, which includes the network storage directory identifier and its permission information that the authorized user A withdraws. After the network storage access rights are changed, the mode of receiving the notifications by the user B can be implemented in several optional processes. It is not described in detail here.
  • the user access policy in 106 the network storage access operation is as follows:
  • the network storage access authority controller in the message metadata server sends a network storage authority grant request for the authorized user A to the message service metadata file manager according to the identity of the authorized user A in the request, where the request is granted The requesting user B's storage access rights information.
  • the storage access rights information includes: an identity of the authorized user A, a network storage directory or a network storage file related information related to the access rights, and an identity of the authorized user B;
  • the message service metadata file manager After receiving the request, the message service metadata file manager first searches the user access policy metadata file of the authorized user A (as shown in FIG. 6), and analyzes whether there is a network storage directory carried in the request. Or the network storage metadata file identifies the corresponding access rule metadata, that is, the ⁇ ! ⁇ Element. If it does not exist, create a new ⁇ rule> element representing the network storage directory or network storage metadata file access rule metadata in the request, and give it an authorization associated with the network storage directory or network storage metadata file.
  • User A globally unique identifier 'ID' the same as the following operation: Add user B's identifier 'URI' to the ⁇ condition> child element representing the access control condition in the ⁇ rule> element, and set the ⁇ rule> element
  • the value of the ⁇ &110 ⁇ - ⁇ ⁇ 6> element in the ⁇ action> sub-element of the access control action is 'a ccept' to indicate that user B is allowed to access the network storage directory or network of user A corresponding to the access control rule.
  • the message service metadata file manager further locates the network storage element of the authorized user A corresponding to the access rule according to the network storage directory or the network storage metadata file identifier carried in the request. Data files, such as the 'session history' metadata file.
  • the message service metadata file manager creates, in the network storage metadata file involved in the authorization request, storage access authority metadata corresponding to the network storage access permission granted to the user B carried in the request, including: User B's identifier 'URI', which represents the ⁇ & ⁇ 8 > child element of the access permission category, represents the ⁇ > child element of the permission grant, and represents the ⁇ 7> child element of the permission expired.
  • the message service metadata file manager will return an operation success response to the network storage access authority controller only after all the above steps are completed, otherwise it will return a failure response.
  • the network storage access authority controller in the message metadata server sends a network storage authority update request for the authorized user A to the message service metadata file manager according to the identity of the authorized user A in the request, where the request update is carried.
  • the requesting user B 's storage access rights information.
  • the storage access authority information includes an identity of the authorized user A, a network storage directory or a network storage file related information related to the access authority, and an identity of the authorized user B;
  • the message service metadata file manager retrieves the access rule element corresponding to the network storage directory or the network storage metadata file identifier carried in the request in the user access policy metadata file of the authorized user A.
  • Data that is, the ⁇ rule> element in FIG. 6, and according to the network storage directory or the network storage metadata file identifier carried in the request, locate the network storage metadata file of the authorized user A corresponding to the foregoing access rule, for example, Session history 'metadata file.
  • the message service metadata file manager will change the storage access authority metadata corresponding to the user B identity identifier according to the storage access authority information of the user B that is requested to be updated in the network storage metadata file involved in the update request. .
  • the network storage access authority controller in the message metadata server sends a network storage authority revocation request for the authorized user A to the message service metadata file manager according to the identity of the authorized user A in the request, where: the request: The storage access authority information of the user B that is withdrawn.
  • the storage access right information includes an identity of the authorized user A, related information of a network storage directory or a network storage file involved in the access right, and an identity of the authorized user B;
  • the message service metadata file manager retrieves the user access policy metadata file corresponding to the authorized user A identity identifier and the network storage directory or network storage
  • the access rule metadata corresponding to the related information of the storage file that is, the ⁇ rule> element in FIG. 6, and in the ⁇ 01 ( 1 0 1 > sub-element under the ⁇ 1 e> element, the user B is deleted.
  • identifying a network storage metadata file of the authorized user A corresponding to the access rule such as a 'session history' metadata file, according to the network storage directory or the network storage metadata file identifier carried in the request.
  • the message service metadata file manager deletes the storage access authority metadata corresponding to the user B identity identifier according to the storage access authority information of the user B that is requested to be withdrawn in the network storage metadata file involved in the withdrawal request. .
  • the authorized user can manage the network storage rights of the network storage owned by the authorized user, so that the user can access the network storage by using the managed network storage access authority.
  • the second embodiment of the present invention provides a network storage access control method.
  • the specific implementation process is as shown in FIG. 12, and includes:
  • Step S301 The user is requested to send a network storage metadata access request; the request carries the network storage information that the request user needs to access.
  • the network storage information that the requesting user needs to access includes: a network storage directory corresponding to the network storage to be accessed or related information of the network storage metadata file, and an identity of the authorized user corresponding to the network storage to be accessed to request the identity of the user.
  • Steps S302a-b the requesting user and the aggregation agent perform two-way authentication; after the authentication is passed, the aggregation agent obtains the identity of the authenticated requesting user.
  • the aggregation agent may also support the requesting user to cross-domain access, that is, requesting that the aggregation agent in the network domain where the user is located will be authenticated. Routing to an aggregation proxy in the domain of the authorized user;
  • Step S303 The aggregation proxy sends a network storage metadata access request to the message metadata server, where the request carries: the network storage information that the request user needs to access.
  • the network storage information that the requesting user needs to access includes: an identifier of the requesting user, a network storage directory corresponding to the network storage to be accessed, or related information of the network storage metadata file, and an authorized user corresponding to the network storage to be accessed. Identity.
  • Step S304 after the network storage access authority controller in the message metadata server receives the network storage metadata access request, according to the identity identifier of the authorized user carried in the request, the network storage directory Or information about the network storage metadata file, and the identity of the requesting user, Obtaining, by the authorized user, the storage access permission metadata of the requesting user; performing legality verification on the network storage metadata access request sent by the requesting user according to the obtained storage access permission metadata, and if the authentication is a legitimate request, continuing to execute Step S305; If the authentication is an invalid request, the network storage metadata access request is rejected.
  • Step S3041 The network storage access authority controller in the message metadata server according to the identifier of the requesting user carried in the network storage metadata access request, and the network storage directory or the network storage metadata file carried in the request Corresponding to the authorized user identity, determining whether the requesting user is an authorized user, if yes, executing step S3042, determining that the network storage metadata access request sent by the requesting user is legal, and proceeding to step S305; if the requesting user is not To authorize the user, step S3043 is performed.
  • the network storage access authority controller in the message metadata server may find the corresponding authorized user identity according to the network storage directory or the network storage metadata file carried in the request, and then Comparing the identity of the requesting user carried in the network storage metadata access request with the identified authorized user identity. If the identity is consistent, the requesting user is considered to be an authorized user. Otherwise, the requesting user is considered not to be For authorized users.
  • Step S3043 the network storage access authority controller requests the message service metadata file manager to query the access authority granted by the requesting user, where the request carries the identity of the accessed authorized user, and the network Store information about the directory or network storage metadata file, the identity of the requesting user, and so on.
  • the message service metadata file manager searches for the storage access authority metadata corresponding to the requested user identity identifier according to the information carried in the request. This can be achieved in two ways:
  • the first method is based on the implementation of the storage authorization policy, specifically:
  • the second method is based on the implementation of the user access policy, specifically: [142] Retrieving a user access policy metadata file corresponding to the identity of the accessed authorized user, and retrieving in the user access rule metadata corresponding to the network storage directory or the network storage file related information There is a user access rule corresponding to the requesting user identity; if yes, the storage access right corresponding to the requesting user identity is retrieved in the network storage metadata file corresponding to the user access rule.
  • Step S3044 the network storage access authority controller determines, according to the feedback result of the message service metadata file manager, whether there is access authority granted to the requesting user, if yes, executing step S3045; otherwise, executing Step S3046.
  • Step S3045 The network storage access authority controller determines, according to the access permission granted to the requesting user, whether the network storage directory or the network storage metadata file carried in the network storage access request meets the authorization, That is, the priority of the access permission of the file or directory required to request the user access request must be lower than or equal to the file or directory permission priority level owned by the requesting user. If yes, step S3042 is performed; otherwise, step S3046 is performed.
  • Step S3046 The network storage access authority controller rejects the network storage metadata access request.
  • Step S305 Send the network storage metadata access request that is determined to be valid to the message service metadata file manager, where the request carries the network storage information that the request user needs to access.
  • the network storage information that the requesting user needs to access includes: an identifier of the requesting user, a network storage directory corresponding to the network storage to be accessed, or related information of the network storage metadata file, and an authorized user corresponding to the network storage to be accessed. Identity.
  • Steps S306-309 the message service metadata file manager obtains network storage metadata according to the network storage directory or the network storage metadata file carried in the network storage metadata access request,
  • the network storage metadata access request responds and carries the acquired network storage metadata in the response.
  • Step S310 the requesting user obtains the network storage metadata according to the response, and sends a network storage content access request to the message server, where the network storage metadata is carried, and the identity of the requesting user is .
  • Step S311 the message server requests the message metadata server to perform legality verification on the network storage content access request, and if the authentication is a legitimate request, proceed to step S312; If the request is not legal, the network storage content access request is rejected.
  • Step S312 the message server sends a network storage access request to the message content storage; the request carries the metadata corresponding to the requested message service network storage;
  • Steps S313-314 the message content storage retrieves the corresponding message service network storage according to the metadata, and stores a retrieval response to the user client via the message server feedback network; [153] Step S315, Establishing a data transmission channel between the requesting user client and the message content storage, by using the data transmission channel, the message content storage sends the retrieved message service network storage content to the requesting user;
  • the user client is requested to upload the message service local storage content to the message content store.
  • HTTP storage permission query
  • the network storage information that the requesting user needs to access includes: an identifier of the requesting user, a network storage directory corresponding to the network storage to be accessed, or related information of the network storage metadata file, and an authorized user corresponding to the network storage to be accessed. Identity.
  • Step S404 The message metadata server retrieves the requesting user to store the authorization policy metadata, and performs access control. details as follows:
  • Storage information corresponding to the storage directory or network storage file The right policy metadata; if yes, searching for the storage access authority metadata corresponding to the request user B identity in the storage authorization policy metadata according to the identity of the requesting user; If the corresponding authorization information exists in the metadata, the network storage access authority controller receives the request, and then performs step S405; otherwise, the 'network storage access authority controller' rejects the request.
  • Steps S405 to 407 the network storage access authority controller returns the search result returned by the message service metadata file manager to the requesting user B via the search agent and the aggregation agent through the network storage authority query response, where Authorized user A grants network storage access permission information to request user B.
  • Steps S408-410 requesting the user B to view the rights information of the network storage directory or the network storage metadata file granted by the authorized user A in the terminal, and find that the user has a session history network storage directory of the authorized user A. /write 'permission, in order to view the session history content in this directory, request user B to send network storage metadata acquisition (XCAP).
  • XCAP network storage metadata acquisition
  • the GET request carries the following information:
  • the network storage information that the requesting user needs to access includes: an identifier of the requesting user, a network storage directory corresponding to a session history message service that the user needs to access, or related information of the network storage metadata file, and a network that needs to be accessed.
  • the identity of the authorized user corresponding to the store includes: an identifier of the requesting user, a network storage directory corresponding to a session history message service that the user needs to access, or related information of the network storage metadata file, and a network that needs to be accessed.
  • the identity of the authorized user corresponding to the store includes: an identifier of the requesting user, a network storage directory corresponding to a session history message service that the user needs to access, or related information of the network storage metadata file, and a network that needs to be accessed.
  • Step S411 the message metadata server receives XCAP
  • the requesting user B is retrieved to store the authorization policy metadata and the 'session history' metadata, and the corresponding control is performed.
  • the authorized user A is stored in the authorization policy metadata file, and the authorized user A grants the network storage access right information of the requesting user B.
  • the specific implementation is similar to the related description in step S404, and will not be described in detail here.
  • the network storage access authority controller After determining that the requesting user B owns the network storage access authority of the authorized user A, the network storage access authority controller retrieves the authorization information about the user B in conjunction with the message service metadata file manager.
  • Steps S412 ⁇ 413, the message metadata server obtains the response through the network storage metadata, returns the session history metadata information granted by the authorized user A, and reaches the requesting user B via the aggregation proxy;
  • Step S414 requesting user B to browse the authorized session user metadata information authorized by the user A network storage
  • the user B client In order to obtain the actual content of the session history, the user B client is requested to send a network storage content acquisition request to the 'message server', such as SIP.
  • the 'message server' such as SIP.
  • 'Request-URI' indicates the message network storage URI, such as 'history® hostname', MIME
  • session history metadata information such as a URI List formed by a message identifier (msg-id) in the network storage directory.
  • the message server and the message metadata server coordinately perform user access policy control, establish a session history content transmission channel between the message content storage and the requesting user B for the legitimate requesting user, and send the message through the transmission channel.
  • the session history content in the content store is transferred to the requesting user ⁇ as follows:
  • the network server access authority controller in the message server request message metadata server performs access authority control similar to step S4 04. If accepting the request from User B, the message server returns a SIP 200 OK response to Request User B, and receives the SIP requesting User B to send again.
  • a session history content transmission channel between the message content store and the requesting user B is established, such as an MSRP channel.
  • the requesting user B can receive the session history information that is requested by the authorized user A in the network storage and has access rights through the transmission channel.
  • Steps S420-425 requesting user B also has the 'write' permission granted by the authorized user A to the session history network storage directory, so in addition to obtaining the session history of the authorized user A in the directory, the local data can also be uploaded.
  • request user B to send a network storage content upload request to the message server, such as SIP.
  • 'Request-URI' indicates the URI of the message network storage entity, such as 'history@hos tname', plus MIME
  • a network storage such as network storage directory identifier id' or session history file name 'file- na me'.
  • the message server will request the message metadata server to perform access policy control similar to step S404, and upon accepting the request from user B, will establish a data transfer channel between the message content store and the requesting user B. At this point, the requesting user B can upload the local data to the network storage of the authorized user A having the write authority through the established data transmission channel, such as the MSRP channel.
  • the message server After the data transmission is successful, the message server also requests the message metadata server to update the message metadata information of the authorized user A to reflect the newly added data in the authorized user A network storage.
  • the storage access right information carried in the request includes at least one identity of the authorized user that is granted the access right, and at least one of the storage access rights information carried in the request cannot be included.
  • a user access rule element corresponding to the network storage directory or the network storage file related information related to the storage access authority information requested by the authorized user in the user access policy metadata file corresponding to the identity of the authorized user In the data, a user access rule corresponding to the identity of the access user that cannot be granted the access right is retrieved; and in the network storage metadata file corresponding to the user access rule, the storage updated according to the request carried in the request The access right information changes the storage access authority metadata corresponding to the identity of the access user that cannot be granted access rights.
  • a third embodiment of the present invention provides a network storage access authority management apparatus, which is structured as shown in FIG. 15, and includes a network storage authority access controller and a message service metadata file manager.
  • the network storage authority access controller and the message service metadata file manager include: a rights granting unit, a rights update unit, and a first rights deleting unit.
  • the privilege granting unit includes: a first privilege granting subunit and a Two permissions are granted to the child unit.
  • the rights update unit includes a first rights update subunit and a second rights update subunit.
  • the first rights deletion unit includes: a first rights deletion subunit and a second rights deletion subunit.
  • the message service metadata file manager may further include: a second authority deletion unit.
  • the second authority deletion unit includes: a third authority deletion subunit and a fourth authority deletion subunit.
  • the message service metadata file manager may further include: a notification server.
  • the network storage authority access controller obtains a network storage access permission operation request of the authorized user, where the request carries the storage access authority information requested by the authorized user, and the storage access authority information includes the identity of the authorized user. And storing, by the access permission information, a network storage directory or a network storage file related information, an identifier of the at least one authorized user, or an identifier of the at least one access user that cannot be granted the access right; according to the message service metadata file
  • the storage device stores the access right information, and performs the legality verification on the network storage access permission operation request of the authorized user;
  • the message service metadata file manager according to the network storage permission access controller, through the verified network storage access permission operation request, the identity identifier of the authorized user, and the network storage directory or network storage file
  • the authorized user network storage access authority metadata corresponding to the related information, according to the storage access authority information requested by the authorized user, operates the authorized accessing authority of the network storage directory or the network storage file set by the authorized user. It performs corresponding processing according to different network storage access permission operation requests, as follows:
  • the corresponding storage access authority metadata is granted to the corresponding authorized user according to the storage access authority information that is requested by the authorized user.
  • the specific treatment can be carried out in two ways:
  • the first authorization authority sub-unit is configured to retrieve a storage authorization policy metadata file corresponding to the identity of the authorized user, and the storage access authority information in the request with the authorized user is involved.
  • Number of storage authorization policies corresponding to the network storage directory or network storage file related information According to the storage access authority information granted by the request carried in the request, the storage access authority metadata corresponding to the authorized user identity is created; or, the storage authorization policy metadata file of the authorized user is retrieved, and
  • the storage authorization policy metadata corresponding to the network storage directory or the network storage file related information related to the storage access permission information requested by the authorized user requesting, the storage access authority information granted according to the request carried in the request, is created and Storage access permission metadata corresponding to the identity of the access user that cannot be granted access rights;
  • the second solution by using the second authority to grant the sub-unit, retrieving the user access policy metadata file corresponding to the identity of the authorized user, and storing the access permission information in the request with the authorized user
  • the user access rule metadata corresponding to the network storage directory or the network storage file related information
  • a user access rule corresponding to the authorized user identity is created; meanwhile, the network storage metadata corresponding to the user access rule is generated.
  • the storage access authority information corresponding to the authorized user identifier is created according to the storage access authority information granted by the request carried in the request, or the user access policy metadata corresponding to the authorized user identifier is retrieved.
  • a network storage access operation request obtained by the network storage authority access controller according to the network storage authority accessing, a network storage corresponding to the identity of the authorized user, and a network storage directory or a network storage file related information.
  • the access permission metadata file according to the storage access authority information requested by the authorized user, the metadata of the storage access authority set by the authorized user for the authorized user is changed; the specific processing may be performed by using two schemes:
  • the first solution by using the first rights update subunit, retrieving a storage authorization policy metadata file corresponding to the authorized user identity, and corresponding to the network storage directory or network storage file related information therein
  • the storage authorization policy metadata, the storage access permission metadata corresponding to the authorized user identity is changed according to the storage access authority information updated by the request carried in the request; or, the identifier and the authorized user identity are used for retrieving Corresponding storage authorization policy metadata file, and in it
  • the storage authorization policy metadata corresponding to the network storage directory or the network storage file related information the storage access authority information updated according to the request carried in the request is changed, and the identity of the access user that cannot be granted the access right is changed. Identify corresponding storage access authority metadata;
  • the second solution by using the second rights update subunit, in the user access policy metadata file corresponding to the identity of the authorized user, retrieving the user corresponding to the network storage directory or the network storage file related information.
  • the access rule metadata a user access rule corresponding to the authorized user identity; and a network storage metadata file corresponding to the user access rule, or a network storage associated with the corresponding network storage directory
  • the storage access permission metadata corresponding to the authorized user identity is changed according to the storage access authority information that is updated by the request carried in the request; or, the identity of the authorized user is corresponding to Retrieving, in the user access policy metadata corresponding to the network storage directory or the network storage file related information in the user access policy metadata file, a user access rule corresponding to the identity of the access user that cannot be granted the access right;
  • Network storage corresponding to the user access rule In the metadata file, or the network storage metadata file associated with the corresponding network storage directory, changing the identity of the access user that cannot be granted access rights according to the storage access rights information updated by
  • the network storage access authority operation request obtained by the network storage authority access controller according to the first permission deletion unit, corresponding to the identity identifier of the authorized user, and the network storage directory or the network storage file related information.
  • the network storage access permission metadata file deletes the storage access permission metadata set by the authorized user for the authorized user according to the storage access right requested by the authorized user.
  • the first solution by using the first permission deletion subunit, retrieving a storage authorization policy metadata file corresponding to the identity of the authorized user, and storing information related to the network storage directory or network storage file therein Deleting, in the corresponding storage authorization policy metadata, the storage access authority metadata corresponding to the authorized user identity according to the storage access right information that is requested by the request, or deleting the authorization and the authorization a storage authorization policy metadata file corresponding to the identifier of the user, and a storage authorization policy metadata corresponding to the network storage directory or the network storage file related information, and the storage access retrieved according to the request carried in the request Permission information, delete and The storage access authority metadata corresponding to the identity of the access user that cannot be granted the access authority; [201] The second scheme, the second access authority deletes the sub-unit, and retrieves the user access policy corresponding to the identity of the authorized user And deleting, in the user access rule metadata corresponding to the network storage directory or the network storage file related information, a user access rule corresponding to the authorized user identity identifier;
  • the network storage metadata file deletes the storage access authority metadata corresponding to the identity of the access user that cannot be granted the access authority according to the storage access authority information that is requested by the request.
  • the message service metadata file manager may be configured to authorize the user to set the network storage for the authorized user in the network storage access authority metadata corresponding to the authorized user by using the second authority deletion unit.
  • the storage access authority metadata is deleted.
  • the specific treatment can be carried out in two ways:
  • the third access authority deletes the sub-unit, and in the storage authorization policy metadata file corresponding to the authorized user identity, in the storage access permission metadata corresponding to an authorized user identity If the permission expires, the storage access authority metadata is deleted;
  • the second solution by deleting the sub-unit by the fourth authority, in a network storage file corresponding to the authorized user identity, or a network storage file associated with the corresponding network storage directory, when one is authorized If the permission in the storage access permission metadata corresponding to the user identity expires, the storage access permission metadata is deleted; and the user access policy metadata file corresponding to the authorized user identity is deleted.
  • User access rule metadata corresponding to the storage access authority metadata.
  • the message metadata server can also notify the changed metadata, which is specifically implemented as follows: [206] by the notification server, after the network storage access permission operation request according to the authorized user, the storage access authority of the network storage directory or the network storage file of the authorized user is operated, the changed network storage access permission metadata is notified, and the notification is notified. And the corresponding authorized user in the access permission metadata is stored in the network; or, when the authorized user's permission to store the access permission of the network storage directory or the network storage file set by the authorized user expires, the change will occur. The network storage access authority metadata is notified to the corresponding authorized user in the network storage access authority metadata.
  • the notification server may notify the access user of the access mode that can be used after notifying the storage access authority metadata after the authorized user changes.
  • a fourth embodiment of the present invention provides a network storage access authority management apparatus, which is structured as shown in FIG. 16, and includes a network storage authority access controller and a message service metadata file manager.
  • the message service metadata file manager includes: a first access request processing unit and a second access request processing unit.
  • the message service metadata file manager may further include: a data update unit.
  • the message service metadata file manager may further include: a notification server.
  • the network storage authority accesses the controller, and obtains an access request of the authorized user for the authorized user network storage directory or the network storage file, where the access request carries the An identity of the authorized user, an authorized user identity, and related information of an authorized user network storage directory or network storage file requested by the authorized user; requesting the authorized user identity from the message service metadata file manager Corresponding storage access information
  • the message service metadata file manager provides the storage access authority information corresponding to the authorized user identity in the network storage access authority metadata corresponding to the authorized user.
  • Network storage permission access controller ;
  • the network storage authority access controller obtains, according to the information returned by the message service metadata file manager, the network storage access authority metadata corresponding to the authorized user in the message service metadata file manager. Storing access authority information corresponding to the authorized user identity; using the storage access rights information, performing legality verification on the access request of the authorized user; The access request of the certificate, requesting, by the message service metadata file manager, metadata of the authorized user to have access rights;
  • the message service metadata file manager provides the metadata in the authorized network storage file or the network storage file associated with the network storage directory, wherein the authorized user has access rights,
  • the network storage authority accesses the controller; the specific processing can be implemented in two ways:
  • the first solution by using the first request processing unit, to retrieve a storage authorization policy corresponding to the network storage directory or the network storage file related information in the storage authorization policy metadata file corresponding to the authorized user identity Metadata, obtaining storage access authority metadata corresponding to the authorized user identity; feeding the network storage directory or network storage file metadata corresponding to the storage access permission metadata to the network storage permission access control Device
  • the second solution by using the second request processing unit, retrieving user access corresponding to the network storage directory or the network storage file related information in the user access policy metadata file corresponding to the identity of the authorized user Rule metadata, obtaining a user access rule corresponding to the authorized user identity; according to the user access rule, in a corresponding network storage metadata file, or a network storage element associated with the corresponding network storage directory Obtaining, in the data file, the storage access authority metadata corresponding to the authorized user identity; and returning the network storage directory or the network storage file metadata corresponding to the storage access permission metadata to the network storage permission access Controller.
  • the network storage authority access controller provides metadata returned by the message service metadata file manager to the authorized user
  • the network storage authority access controller obtains an access request of the authorized user for the network storage message content corresponding to the metadata, where the access request carries the identity identifier of the authorized user, and the authorized user identity identifier, And the authorized user network requested by the authorized user to access the metadata corresponding to the message content; wherein the network storage authority access controller also requests the message service metadata file manager to access the network storage access corresponding to the authorized user
  • the storage access authority information corresponding to the authorized user identity in the permission metadata to verify the validity of the current access request; after the verification is passed, the authorized user network stores the metadata file for the access request that is considered to be legal.
  • the metadata of the authorized user in the network storage metadata file associated with the network storage directory having access rights, provided to the message server, and the message server is requested by the message server to be authorized
  • the message service metadata file manager obtains a request sent by the message server by using a data update unit, where the request carries: according to the content of the message uploaded by the authorized user, the authorized content owned by the authorized content user in the message content storage Adding, changing, or deleting information after the operation is added to the network storage content; the data update unit updates the corresponding metadata information in the authorized user network storage directory or the network storage file according to the changed information.
  • the message metadata server can also notify the changed metadata, which is specifically implemented as follows:
  • the notification server may notify the access user of the access mode that can be used after notifying the storage access authority metadata after the authorized user changes.
  • the operation access rights information is requested according to the authorized user request operation in the authorized user network storage access authority metadata corresponding to the authorized user.
  • the authorized user's storage access to the network storage directory or network storage file set by the authorized user, thereby allowing the authorized user to access the authorized user's network storage.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Description

说明书 网络存储访问权限管理方法及装置、 网络存储访问控制方法 技术领域
[1] 本发明涉及通信领域， 尤其涉及网络存储访问权限管理技术。
背景技术
Figure imgf000003_0001
OMA) 是制定移动通信系统标准的国际组织， 其提出了包括无线一键通 （Push
Figure imgf000003_0002
SIP) 的消息业务的规范。 该规范通过部署在网络侧的 OMA消息系统来实现对消 息业务的存储功能。 所述 OMA消息系统的架构如图 1所示， 包括： 消息内容存储 器、 消息元数据服务器、 消息服务器， 以及聚合代理、 搜索代理和核心网。 所 述消息元数据服务器包括网络存储权限访问控制器和消息业务元数据文件管理
[3] 所述消息内容存储器用于负责管理存储用户使用消息业务过程中实际收发的消 息业务的消息文件， 所述消息业务包括： 消息、 会话历史以及其中可能包含的 多媒体数据等历史通信数据。
[4] 所述消息元数据服务器， 用于负责用户消息业务的配置信息和描述用户消息业 务的元数据信息的存储和管理。 所述用户消息业务的配置信息包括： 消息业务 设置信息， 如联系列表、 预定义群组、 用户访问策略等； 所述描述的元数据信 息包括： 描述的离线消息和会话历史通信数据的元数据等， 这些元数据一般通 过消息业务元数据文件等媒体文件存储。
[5] 所述消息元数据服务器中的消息业务元数据文件管理器， 用于负责管理其内的 消息业务元数据文件等媒体文件， 所述消息业务元数据文件中存储着配置信息 和消息业务的元数据信息等。
[6] 所述消息元数据服务器中的网络存储权限访问控制器， 用于根据所述消息业务 元数据文件管理器中管理的媒体文件中的数据进行访问权限的控制。
[7] 所述消息服务器用于负责消息业务逻辑控制， 即控制所述消息内容存储器存储 和管理消息业务， 控制消息元数据服务器存储和管理用户消息业务的配置信息
[8] 所述聚合代理， 是网络中为用户提供访问消息元数据的代理， 主要执行对拥有 管理消息元数据的权限的授权客户端的鉴权， 以及路由网络存储访问请求至适 当的网络实体， 譬如消息元数据服务器、 搜索代理。
[9] 所述搜索代理， 用于接收客户端经聚合代理转发来的消息元数据査询请求， 并 将该请求发送至适当的消息元数据存储实体， 譬如消息元数据服务器。 还用于 将接收到査询响应中的搜索结果进行整合， 并经聚合代理返回至用户客户端。
[10] 当客户端访问所记录的消息业务吋， 首先通过所述聚合代理访问消息元数据服 务器中记录的消息业务的元数据信息； 然后根据所述元数据信息， 经核心网与 所述消息服务器交互， 访问消息内容存储器中的消息业务内容。
[11] 目前， 消息元数据服务器在记录用户消息业务的元数据信息吋， 通常按照应用 语义对同一用户的所有元数据信息进行分类， 将同一应用语义下的元数据归为 一类， 然后按照扩展标签语言文件目录 (Extensible Markup Language Documents Directory, XML Documents
Directory) 元数据文件中的目录结构来组织该用户的消息业务的所有元数据信息 。 其逻辑结构如图 2所示， 可以看出， 其包括： cap-directory^ 节点、 所述根 节点下的子节点<&10^1 、 所述子节点 <1>010^1 下的<6^^>子节点。
其中所述^^叩- ！"^^)!^〉根节点代表某用户的所有消息业务对应的元数据信息 的根目录； 其下的每个子节点 <folder>， 分别对应所述用户在同一应用语义 （Ap
Figure imgf000004_0001
AUID) 下的某类特定消息业务的所有元数据信息； 所述 <^^7>子节点则指向某 个具体的消息业务元数据文件， 如图中列举的 'deferred-list'、 'cpm-rules'、 'history- list'和' index'四类消息业务元数据文件。
当组织好某个用户所拥有的所有元数据信息后， 将所述 XML文件目录存储到为 所述用户预留的存储空间中， 以便所述网络存储拥有用户根据网络存储的元数 据信息访问相应的网络存储， 包括网络存储元数据和 /或网络存储消息业务。
[14] 本发明的发明人发现， 现有的消息系统中， 网络存储拥有用户只能根据自己所 拥有的 XML文件目录中的元数据信息访问自己的网络存储， 还不允许其它用户 访问自己的网络存储。
对发明的公开
技术解决方案
[15] 本发明的实施例提供一种网络存储访问权限管理方法、 网络存储访问控制方法 及网络存储访问权限管理装置， 能够允许其它用户访问网络存储拥有用户的网 络存储。 为描述方便， 本发明的实施例中将网络存储拥有用户称为授权用户， 将能够访问所述网络存储拥有用户的网络存储的用户称为被授权用户。
[16] 本发明的实施例通过如下技术方案实现：
[17] 本发明的实施例提供了一种网络存储访问权限管理方法， 其包括：
[18] 获得授权用户的网络存储访问权限操作请求， 所述请求中携带授权用户请求操 作的存储访问权限信息；
[19] 根据授权用户请求操作的存储访问权限信息， 在授权用户的网络存储访问权限 元数据中， 操作授权用户为被授权用户设置的网络存储目录或网络存储文件的 存储访问权限。
[20] 本发明的实施例还提供了一种网络存储访问控制方法， 其包括：
[21] 获得被授权用户针对授权用户网络存储的访问请求；
[22] 根据授权用户网络存储访问权限元数据中与所述被授权用户对应的存储访问权 限信息， 将授权用户网络存储元数据文件中被授权用户具有访问权限的元数据 提供给所述被授权用户。
[23] 本发明的实施例还提供了一种网络存储访问权限管理装置， 其包括网络存储权 限访问控制器和消息业务元数据文件管理器。
[24] 所述网络存储权限访问控制器， 用于获得授权用户的网络存储访问权限操作请 求， 所述请求中携带授权用户请求操作的存储访问权限信息； 根据所述消息业 务元数据文件管理器中的存储访问权限信息， 对所述授权用户的网络存储访问 权限操作请求， 进行合法性验证； [25] 所述消息业务元数据文件管理器， 用于根据所述网络存储权限访问控制器通过 验证的网络存储访问权限操作请求， 在授权用户的网络存储访问权限元数据中 ， 根据所述授权用户请求操作的存储访问权限信息， 操作授权用户为被授权用 户设置的网络存储目录或网络存储文件的存储访问权限。
[26] 本发明实施例还提供了另一种网络存储访问权限管理装置， 其包括网络存储权 限访问控制器和消息业务元数据文件管理器。
[27] 所述网络存储权限访问控制器， 用于获得被授权用户针对授权用户网络存储的 访问请求； 根据所述消息业务元数据文件管理器中与所述授权用户对应的网络 存储访问权限元数据中的与所述被授权用户对应的存储访问权限信息， 对所述 被授权用户的访问请求进行合法性验证； 对通过验证的访问请求， 向所述消息 业务元数据文件管理器请求所述被授权用户具有访问权限的元数据， 并将所述 消息业务元数据文件管理器反馈的元数据提供给所述被授权用户；
[28] 所述消息业务元数据文件管理器， 用于将与所述授权用户对应的网络存储访问 权限元数据中的与所述被授权用户对应的存储访问权限信息， 反馈给所述网络 存储权限访问控制器。
有益效果
[29] 实施本发明， 具有如下有益效果：
[30] 通过实施本发明的实施例， 在与所述授权用户对应的授权用户网络存储访问权 限元数据中， 根据授权用户请求操作的存储访问权限信息， 操作授权用户为被 授权用户设置的网络存储目录或网络存储文件的存储访问权限， 从而允许被授 权用户访问授权用户的网络存储。
附图说明
[31] 图 1为背景技术提供的 OMA消息系统的架构图；
[32] 图 2为背景技术提供的 XML文件目录元数据文件中的目录结构的逻辑结构图； [33] 图 3为本发明第一实施例提供的 XML文件目录元数据文件的目录结构的逻辑结 构图；
[34] 图 4为本发明第一实施例提供的流程图；
[35] 图 5为本发明第一实施例提供的存储授权策略应用语义的消息业务元数据的目 录结构的逻辑结构图；
[36] 图 6为本发明第一实施例提供的用户访问策略应用语义的用户访问控制信息的 目录结构的逻辑结构图；
[37] 图 7为本发明第一实施例中， 基于存储授权策略方案， 实现授予、 更改和撤回 网络存储访问权限的流程图；
[38] 图 8为本发明第一实施例中， 第一种通知变化的网络存储访问权限方案的流程
[39] 图 9为本发明第一实施例中， 第二种通知变化的网络存储访问权限方案的流程
[40] 图 10为本发明第一实施例中， 第三种通知变化的网络存储访问权限方案的流程 图；
[41] 图^为本发明第一实施例中， 第四种通知变化的网络存储访问权限方案的流程 图；
[42] 图 12为本发明第二实施例中提供的流程图；
[43] 图 13为本发明第二实施例中授权用户对网络存储元数据访问请求的合法性进行 鉴定的流程图；
[44] 图 14为对拥有'读 /写'权限的被授权用户的访问， 进行控制的流程图；
[45] 图 15为本发明第三实施例提供的结构原理图；
[46] 图 16为本发明第四实施例提供的结构原理图。
本发明的实施方式
[47] 本发明的第一实施例提供了一种网络存储访问权限管理方法， 在实施所述第一 实施例吋， 需要按照消息业务的属性， 对某一用户的同一应用语义下的消息业 务的元数据信息进行分类； 为每个类别的元数据建立网络存储目录； 并建立所 述网络存储目录与存储所述元数据的网络存储元数据文件 （可以是媒体文件） 之间的关联关系， 这样， 相比现有技术的按照应用语义将某个用户的所有消息 业务的元数据信息进行分类的消息系统， 可以解决其无法分级组织某个应用语 义下的元数据的问题。
[48] 所述消息业务的属性， 包括同一应用下消息业务的主题属性 （gP'subject'属性） 、 消息业务执行吋间属性 （即 'date'属性） 等。 按照所述消息业务的属性， 将同 一用户同一应用语义下的所有消息业务的元数据进行分类， 将属性相同的消息 业务的元数据归到一类中， 得到不同类别的元数据； 为每个类别的元数据建立 网络存储目录， 并建立所述网络存储目录与存储所述元数据的网络存储元数据 文件之间的关联关系。 还可以将每个类别的元数据进一步细分， 得到所述类别 的下一级元数据， 并为其建立下一级网络存储目录。
[49] 可以按照 'XML文件目录'元数据文件中定义的网络存储目录结构来组织该用户 的消息业务的所有元数据信息， 其逻辑结构如图 3所示： 可以看出， 其包括： <x cap-directory>根节点、 所述根节点下的<&10^1 子节点、 所述根节点下的<1>010^1 子节点下的 <&1 1 子节点、 <¾1«17>子节点， 需要说明的是， 结构中各子节点对 应各元素， 如<&10^>子节点对应 <folder>元素。
[50] 其中所述^^叩- ！"^^)!^〉根节点代表某用户的所有消息业务对应的元数据信息 的根目录； 其下的 <folder>子节点代表同一应用语义下不同消息业务属性对应的 元数据的网络存储目录； 所述根节点下的<&1 1 子节点下的 <&1^1 子节点代 表按照消息业务的属性， 对其上一级的 <folder>子节点所代表的元数据的网络存 储目录对应的元数据更细分后， 得到的元数据对应的网络存储目录； <^1^>节 点代表具体存储所述元数据的网络存储元数据文件。
[51] 其中， 每一个 <folder>子节点携带唯一标识 'id'和网络存储目录的属性信息， 如 's ubject'属性信息。 每一个 <folder>子节点下代表具体存储所述元数据的文件的<¾1« ^>子节点也携带唯一标识 'id'属性， 还可以携带 URI属性， 用于指向具体的消息 业务元数据文件。
为描述方便， 本实施例中将存储具体元数据的网络存储元数据文件 （也称为媒 体文件） 和存储消息业务内容的消息文件， 统称为网络存储文件。
[53] 为了允许其它被授权用户访问授权用户所拥有的网络存储， 每个授权用户可以 在消息元数据服务器中， 为自己的网络存储目录或网络存储元数据文件所对应 的元数据的网络存储权限进行管理， 从而控制其它被授权用户的访问权限。 本 发明第一实施例的具体实施过程如图 4所示， 包括：
[54] 步骤 S101 , 请求用户发送网络存储访问权限操作请求， 所述请求中携带授权用 户请求操作的被授权用户的存储访问权限信息；
[55] 其中， 所述授权用户请求操作的被授权用户的存储访问权限信息包括：
[56] 授权用户的身份标识， 至少一个被授予访问权限的被授权用户的身份标识和所 述存储访问权限信息涉及的网络存储目录或网络存储文件相关信息。 其中所述 网络存储目录或网络存储文件的相关信息可以是所述网络存储目录或网络存储 文件的标识；
[57] 或者， 授权用户的身份标识， 所述授权用户请求操作的被授权用户的存储访问 权限信息包括至少一个不能被授予访问权限的访问用户的身份标识和所述存储 访问权限信息涉及的网络存储目录或网络存储文件相关信息。 其中所述网络存 储目录或网络存储文件的相关信息可以是所述网络存储目录或网络存储文件的 标识。
[58] 所述至少一个被授予访问权限的被授权用户的身份标识， 以及所述至少一个不 能被授予访问权限的访问用户的身份标识， 分别对应白名单用户列表和黑名单 用户列表， 可以分别或同吋通过存储的用户列表携带。 本实施例中仅以所述授 权用户请求操作的被授权用户的存储访问权限信息包括至少一个被授予访问权 限的被授权用户的身份标识为例进行说明， 但不仅限于此。
[59] 另外， 所述授权用户请求操作的被授权用户的存储访问权限信息还可以包括如 下信息中的至少一个： 访问权限类别， 权限过期吋间， 权限授予吋间等。
[60] 所述访问权限类别包括： 所述网络存储文件或网络存储目录的访问权限， 所述 网络存储文件或网络存储目录的访问权限的继承属性， 所述网络存储文件或网 络存储目录的访问权限的锁属性等。
[61] 所述网络存储文件或网络存储目录的访问权限可以包括完全控制 （Full
Figure imgf000009_0001
Content) 、 读取 （Read) 、 写入 （Write) ， 以及所述网络存储文件或网络存储 目录的访问权限的优先级别。
所述完全控制， 表示权限只能由授权用户拥有， 即只能由授权用户操作 （授予 、 更改、 撤回） 文件和目录的权限；
请求用户访问请求中所需的文件或目录访问权限的优先级别必须低于或等于请 求用户所拥有的该文件或目录权限优先级别； 请求用户同一文件或目录的高优 先级权限将覆盖低优先级权限。
[64] 所述权限的继承属性， 将影响文件和目录权限， 如果对目录设置该继承权限后
， 表示在该目录中创建的新文件和子文件夹默认将继承这些权限。
[65] 所述权限的锁属性， 将影响文件或目录权限是否允许请求用户査看， 如果对文 件或目录某个权限的 '锁'属性设置为真， 表示文件或目录的该权限信息禁止请求 用户査看。
[66] 步骤 S102a~b， 聚合代理和授权用户， 根据所述请求中携带的请求用户的身份 标识进行双向鉴定。 鉴定通过后， 获取经鉴定可信任的请求用户的身份标识。 聚合代理将施加本地安全策略， 譬如利用超文本传输协议 （Hypertext Transfer Protocol, HTTP) 数字摘要 (HTTP
Digest) 对接收到的初始请求发出质询， 并根据授权用户的反馈， 或者返回未授 权 （Unauthorized) 失败响应， 或者鉴定通过后， 获取经鉴定可信任的请求用户 的身份标识。
[68] 步骤 S103 , 聚合代理转发网络存储访问权限操作请求， 给消息元数据服务器， 所述请求中携带请求用户请求操作的被授权用户的存储访问权限信息。 其中所 述授权用户请求操作的被授权用户的存储访问权限信息包括： 经过鉴定后的所 述请求用户的身份标识， 所述存储访问权限中涉及到的网络存储目录或网络存 储文件的相关信息， 如网络存储目录或网络存储文件的标识 ID; 以及， 被授权 用户的身份标识。
[69] 步骤 S104, 所述网络存储访问权限操作请求到达消息元数据服务器后， 所述消 息元数据服务器通过其中的网络存储访问权限控制器， 根据请求中携带的网络 存储目录或网络存储文件的相关信息对应的资源访问路径上的授权用户身份标 识， 以及请求用户身份标识， 判断请求用户是否为授权用户， 若不是， 则拒绝 该请求； 若是， 则认为其是合法请求用户， 接收其网络存储权限操作请求。
[70] 该步骤中， 网络存储访问权限控制器判断请求用户是否为授权用户吋， 比较请 求用户身份标识与请求中携带的网络存储目录或网络存储文件的相关信息对应 的资源访问路径上的授权用户身份标识是否一致， 若一致， 则认为请求用户是 授权用户， 为合法用户； 若不一致， 则认为请求用户不是授权用户， 为非合法 用户。
步骤 S105 , 所述网络存储访问权限控制器将所述网络存储访问权限操作请求发 送到消息元数据服务器中的消息业务元数据文件管理器。 所述请求中携带请求 用户请求操作的所述请求用户的存储访问权限信息。 其中， 所述请求用户请求 操作的所述请求用户的存储访问权限信息中包括： 请求用户的身份标识， 所述 访问权限中涉及到的网络存储目录或网络存储文件标识， 被授权用户的身份标
[72] 步骤 S106 , 所述消息业务元数据文件管理器接收到所述网络存储访问权限操作 请求后， 根据所述请求用户的身份标识， 以及网络存储元数据目录或网络存储 文件的相关信息， 査找对应于请求用户身份标识的消息业务网络存储访问权限 管理元数据文件；
[73] 在所述网络存储访问权限管理元数据文件中， 根据所述请求用户请求中携带的 请求操作的所述请求用户的存储访问权限信息， 操作与所述被授权用户标识对 应的存储访问权限元数据。 具体实现吋， 可以釆用两种方法来实现， 如下：
[74] 第一种方法为基于存储授权策略的操作方法： 该方法通过本发明实施例的 '存储 授权策略' (Storage Authorization
Policy) 应用语义的消息业务元数据， 实现授权用户对其网络存储权限的管理， 如权限的授予、 更改和撤回。 所述消息业务元数据包括一些访问控制信息和存 储访问权限信息。 其中， 所述访问控制信息包括： 请求用户的身份标识， 以及 网络存储访问权限中涉及到的消息业务元数据标识等。 所述存储访问权限信息 中的信息如步骤 S101中所列， 包括： 访问权限类别、 权限授予吋间、 权限过期 吋间等。
[75] 所述存储授权策略应用语义的消息业务元数据， 可以釆用如图 5所示的目录结 构存储， 称作存储授权策略元数据文件。
[76] 图 5中， <aUthorization>元素代表授权用户网络存储目录或网络存储文件的存储 授权策略， 并为它赋予一个与该网络存储目录或网络存储文件相关联的授权用 户全局唯一的标识 'ID'； 所述 <authorization>元素下的<principal>子元素， 代表所 述存储授权策略<&^01^^01 >中创建的一个与被授权用户对应的存储访问权限 元数据， 所述存储访问权限元数据 <prinCipal>元素包括： 被授予请求用户 B的标 识' URI'， 访问权限类另 1』<&(^88>子元素， 权限授予吋间 <(1^>子元素， 权限过期 吋间 <expiry>子元素等。
[77] 基于上述定义的存储授权策略元数据文件结构， 操作所述请求用户标识对应的 存储访问权限元数据吋， 根据所述请求用户请求中携带的请求操作的所述请求 用户的存储访问权限信息， 在对应于授权用户身份标识的存储授权策略元数据 文件中创建与所述被授权用户标识对应的存储访问权限信息； 或者， 根据所述 请求用户请求中携带的请求操作的所述请求用户的存储访问权限信息， 在对应 于授权用户身份标识的存储授权策略的元数据文件中更新与所述被授权用户标 识对应的存储访问权限信息； 或者， 根据所述请求用户请求中携带的请求操作 的所述请求用户的存储访问权限信息， 在对应于授权用户身份标识的存储授权 策略的元数据文件中删除与所述被授权用户标识对应的存储访问权限信息。
[78] 第二种方法为基于'用户访问策略'的操作方法， 该方法将访问控制信息和存储 访问权限信息相分离， 利用已被 OMA标准釆纳的用户访问策略 （User Access Policy) 应用语义元数据定义用户网络存储访问控制规则， 实现基于授权用户自 定义规则的网络存储访问控制； 具体的存储访问权限信息则存储在与网络存储 访问控制规则相关联的授权用户网络存储目录或网络存储文件元数据文件之中
[79] 图 6为上述用户访问策略元数据文件结构定义逻辑视图， 其中釆用<1^^>元素定 义用户访问控制信息， 或者施用于 XML文件目录元数据中一个<&1^1 元素所代 表的整个网络存储目录的访问控制信息， 或者仅针对一个<^1«17>元素代表的某 网络存储目录中存储的消息、 会话历史、 多媒体数据文件的访问控制信息， 本 发明实施例根据授权用户请求的具体实现问题， 通过比较<11^>元素与 <folder> 、 <^¾7>元素在各自唯一标识' id'属性之间关系来判断访问控制信息在<&1^1 元 素还是 <entry> 素中。 进一步， 还可以 <rule>元素定 <conditions> <actions >元素， 分别对应<&10^>元素或 <6 ^>元素的访问条件和访问动作。
[80] 基于用户访问策略元数据文件， 操作所述请求用户标识对应的存储访问权限元 数据吋， 在对应于授权用户身份标识的用户访问策略元数据文件中创建与所述 被授权用户标识对应的网络存储访问控制规则， 以及根据所述请求中携带的请 求操作的存储访问权限信息， 在与网络存储访问控制规则相关联的授权用户网 络存储目录或网络存储文件元数据文件中创建与所述被授权用户标识对应的存 储访问权限信息； 或者， 根据所述请求中携带的请求操作的存储访问权限信息 ， 在与网络存储访问控制规则相关联的授权用户网络存储目录或网络存储文件 元数据文件中更改与所述被授权用户标识对应的存储访问权限信息； 或者， 在 对应于授权用户身份标识的用户访问策略元数据文件中删除与所述被授权用户 标识对应的网络存储访问控制规则， 以及根据所述请求中携带的请求操作的存 储访问权限信息， 在与网络存储访问控制规则相关联的授权用户网络存储目录 或网络存储文件元数据文件中删除与所述被授权用户标识对应的存储访问权限
Ι π Λ∑！、。
[81] 步骤 S107〜步骤 S109, 反馈网络存储权限操作响应。
[82] 上述网络存储访问权限操作请求可以包括如下几种请求： 网络存储访问权限授 予请求、 网络存储访问权限更改请求和网络存储访问权限撤回请求。
[83] 下面结合第一实施例中的步骤 S106中的存储授权策略为例， 具体描述上述几种 不同的网络存储访问权限操作请求的具体实施情况， 如图 7所示：
步骤 S201~S204， 授权用户 A (客户端 A) 经由聚合代理向消息元数据服务器发 送获取网络存储目录结构的请求 （XCAP GET
所述消息元数据服务器根据所述请求， 将其存储的用户 A的网络存储目录及 其对应的网络存储元数据文件的元数据反馈给所述授权用户 A;
步骤 S205~S206， 所述授权用户 A获取到所述网络存储目录及其对应的网络存 储目录元数据文件的元数据后， 可以通过终端设备浏览其网络存储目录， 并査 看某目录下的消息业务元数据， 从中选择出想要授权给用户 B访问的网络存储目 录对应的网络存储目录元数据文件的元数据， 或网络存储目录元数据文件的元 数据， 并设置具体的访问权限； 然后经由聚合代理发送网络存储访问权限授予 请求 （XCAP
PUT) 给消息元数据服务器， 所述请求中携带授权用户 A请求授予用户 B的网络 存储访问权限。 其中所述网络存储访问权限包括： 授权用户 A的身份标识， 所述 访问权限中涉及到的网络存储目录或网络存储文件的标识， 被授权用户 B的身份 标识。
[86] 步骤 S207~S209， 消息元数据服务器中的网络存储访问权限控制器根据请求中 授权用户 A的身份标识向消息业务元数据文件管理器发送关于授权用户 A的网络 存储权限操作请求， 其中携带请求授予的所述被授权用户 B的存储访问权限信息 ， 以及访问权限所涉及的网络存储目录或网络存储文件的识；
[87] 收到请求后， 消息业务元数据文件管理器检索授权用户 A的存储授权策略元数 据文件 （如图 5所示） ， 分析其中是否存在与所述请求中携带的网络存储目录或 文件标识对应的存储授权策略元数据， 即图 5中的 <aUthorization>元素。 如果不存 在， 则新创建一个代表请求中网络存储目录或文件存储授权策略的 <auth0riZati0n >元素， 并为它赋予一个与该网络存储目录或文件相关联的用户 A全局唯一的标 识 'ID'; 同吋， 为此新创建的存储授权策略 <^1 01^^01 >元数据创建一个与请求 中授予用户 B的网络存储访问权限相对应的存储访问权限元数据， 即图中的<prin cipal>元素， 所述存储访问权限元数据 <principal>元素包括： 被授予用户 B的标识 'URI', 访问权限类另 1』<&^^8>子元素， 权限授予吋间 <^ >子元素， 权限过期吋 间<expiry>子元素等。
[88] 如果授权用户 A的存储授权策略元数据文件中， 已经存在与所述请求中携带的 网络存储目录或网络存储元数据文件标识对应的存储授权策略<& 1 01^^01 >元 数据， 则消息业务元数据文件管理器直接为此存储授权策略元数据创建一个与 请求中授予用户 B的网络存储访问权限相对应的存储访问权限^111 ^&1>元数据
[89] 消息业务元数据文件管理器只有全部完成上述步骤后， 才会向网络存储访问权 限控制器返回操作成功响应， 否则返回失败响应。
[90] 消息元数据服务器经由聚合代理向用户 A客户端返回响应。
[91] 步骤 S210, 当消息元数据服务器创建新的存储权限策略完毕后， 请求用户 B将 收到网络存储访问权限通知， 其中包含授权用户 A所授权的网络存储目录标识及 其权限信息。 下面给出网络存储访问权限发生变化后用户 B接收通知的几种可选 流程：
[92] 第一种方式： 消息服务器通过主动订阅消息元数据服务器中的网络存储访问权 限通知， 获得发生变化的网络存储访问权限元数据， 并将其通知给所述网络存 储访问权限元数据中对应的被授权用户， 具体实现如图 8所示， 包括：
[93] 步骤 Sl〜4， 消息服务器发送 SIP订阅 （SIP
SUBSCRIBE) ， 请求订阅消息元数据服务器中存储的授权用户 A对应的存储访 问权限元数据的状态变化通知；
[94] 步骤 S5〜6， 一旦授权用户 A执行网络存储权限操作或者由于某网络存储权限 因过期而被系统自动删除， 导致消息元数据服务器中授权用户 A对应的存储访问 权限元数据中的用户 B的授权信息状态发生改变， 消息元数据服务器向消息服务 器发送 SIP通知 （SIP
NOTIFY) ； 所述通知中携带请求用户 B改变后的网络存储权限；
[95] 步骤 S7〜8， 消息服务器向用户 B发送 SIP消息 （SIP
MESSAGE) ， 通知其所被授予的网络存储权限发生改变。
[96] 第二种方式： 消息元数据服务器发现网络存储访问权限发生变化后， 将变化后 的网络存储访问权限元数据通知给所述网络存储访问权限元数据中对应的被授 权用户， 具体实现如图 9所示， 包括：
[97] 步骤 1， 一旦授权用户 A执行网络存储权限操作或者由于某网络存储权限因过期 而被系统自动删除， 导致消息元数据服务器中授权用户 A对应的存储访问权限元 数据中的用户 B的授权信息状态发生改变， 贝 I」消息元数据服务器向用户 B发送 SIP
MESSAGE通知， 所述通知中携带用户 B变化后的网络存储权限；
[98] 步骤 2, 请求用户 B向消息元数据服务器返回响应。
[99] 第三种方式： 授权用户在操作其网络存储访问权限后， 经由消息服务器将变化 后的网络存储访问权限， 通知给所述网络存储访问权限元数据中对应的被授权 用户。 具体实现如图 10所示， 包括：
[100] 步骤 1〜2， 一旦授权用户 A执行网络存储权限操作， 导致消息元数据服务器中 的授权用户 A对应的存储访问权限元数据中的针对用户 B的授权信息状态发生改 变， 则授权用户 A向消息服务器发送 SIP MESSAGE通知消息， 所述通知消息中携带用户 B变化后的网络存储权限。
[101] 步骤 3〜4， 消息服务器向用户 B转发 SIP MESSAGE通知。
[102] 第四种方式： 请求用户向消息元数据服务器订阅网络存储访问权限通知； 网络 存储访问权限发生变化后， 消息元数据服务器将变化后的网络存储访问权限通 知给所述网络存储访问权限元数据中对应的被授权用户。 具体实现如图 11所示
， 包括：
[103] 步骤 1〜4， 请求用户 B发送 SIP
SUBSCRIBE请求订阅消息元数据服务器中存储的授权用户 A对应的存储访问权 限元数据的状态变化通知；
[104] 步骤 5〜6， 一旦由于授权用户 A执行网络存储访问权限操作或者由于某网络存 储权限因过期而被系统自动删除， 导致消息元数据服务器中存储的授权用户 A对 应的存储访问权限元数据中涉及用户 B的授权信息状态发生改变， 则消息元数据 服务器向用户 B发送 SIP
NOTIFY通知消息， 所述通知消息中携带用户 B变化后的网络存储权限。
[105] 上述是授予请求用户网络存储访问权限的流程。 对于更新网络存储访问权限的 流程， 具体如下：
[106] 步骤 S211~S212， 所述授权用户 A还可以请求更新授予用户 B的网络存储访问权 限， 为此， 用户 A浏览已经授予用户 B的网络存储目录或网络存储文件的权限并 重新设置新的访问权限； 然后经由聚合代理发送网络存储访问权限更新请求 （X CAP
PUT) 给消息元数据服务器， 所述请求中携带用户 A的身份标识； 请求更新用户 B的网络存储访问权限， 以及， 所述访问权限中涉及到的网络存储目录或网络存 储文件的标识。
[107] 消息元数据服务器中的网络存储访问权限控制器根据请求中授权用户 A的身份 标识， 向消息业务元数据文件管理器发送关于授权用户 A的网络存储权限操作请 求， 其中携带请求更新操作的所述用户 B的存储访问权限信息。 其中所述存储访 问权限信息包括： 授权用户 A的身份标识， 访问权限所涉及的网络存储目录或网 络存储文件的相关信息， 以及用户 B的身份标识。 [108] 收到请求后消息业务元数据文件管理器将检索授权用户 A的存储授权策略元数 据文件中与所述请求中网络存储目录或网络存储元数据文件的相关信息对应的 授权策略元数据<^ 01^^01 >元素， 并根据请求中携带的请求更新操作的所述 请求用户 B的存储访问权限信息， 更改所述授权策略元数据 <aUthoriZati0n>元素 中代表所述被授权用户标识对应的存储访问权限元数据的^111 ^&1>元素。
[109] 当消息元数据服务器更改存储权限策略元数据完毕后， 用户 B将收到网络存储 访问权限变化通知， 其中包含授权用户 A所更改的网络存储目录或网络存储文件 标识及其对应的网络存储权限信息。 网络存储访问权限发生变化后， 用户 B 接收通知的方式可以釆取上述几种可选流程实现， 这里不再详细描述。
[110] 授权用户 A想要撤回已经授权给请求用户 B的网络存储访问权限吋， 其通过如 下流程实现：
[111] 步骤 S213~S216， 所述授权用户 A还可以请求撤回授予用户 B的网络存储访问权 限， 为此， 用户 A浏览已经授予用户 B的网络存储目录或网络存储文件的权限并 有选择地撤回访问权限； 然后经由聚合代理发送网络存储访问权限撤回请求 （X CAP
DELETE) 给消息元数据服务器， 所述请求中携带请求撤回用户 B的网络存储访 问权限。 其中所述网络存储访问权限包括用户 A的身份标识， 所述访问权限中涉 及到的网络存储目录或网络存储文件的标识， 以及用户 B的身份标识。
[112] 消息元数据服务器中的网络存储访问权限控制器根据请求中授权用户 A的身份 标识向消息业务元数据文件管理器发送关于授权用户 A的网络存储权限操作请求 ， 其中携带请求撤回操作的所述用户 B的存储访问权限信息。 其中所述存储访问 权限信息包括： 用户 A的身份标识， 访问权限所涉及的网络存储目录或网络存储 文件的相关信息， 以及用户 B的身份标识。
[113] 收到请求后消息业务元数据文件管理器将检索授权用户 A的存储授权策略元数 据文件中与所述请求中网络存储目录或网络存储元数据文件的相关信息对应的 授权策略元数据<^ 01^^01 >元素， 并根据请求中携带的请求撤回操作的所述 用户 B的存储访问权限信息， 删除所述授权策略元数据〈^^(^^^。！^元素中代 表所述被授权用户标识对应的存储访问权限元数据的 <2111 ( &1>素。 [114] 当消息元数据服务器删除存储权限策略完毕后， 请求用户 B将收到网络存储访 问权限变化通知， 其中包含授权用户 A所撤回的网络存储目录标识及其权限信息 。 网络存储访问权限发生变化后用户 B接收通知的方式可以釆取上述几种可选流 程实现， 这里不再详细描述。
[115] 上述是结合第一实施例中的步骤 S106中的存储授权策略来描述上述几种不同的 网络存储访问权限操作请求的具体实施情况的， 如果结合第一实施例中的步骤 s
106中的用户访问策略， 则网络存储访问权限操作的情况如下：
[116] 一、 对于网络存储访问权限授予操作
[117] 消息元数据服务器中的网络存储访问权限控制器根据请求中携带授权用户 A的 身份标识， 向消息业务元数据文件管理器发送有关授权用户 A的网络存储权限授 予请求， 其中携带请求授予的所述请求用户 B的存储访问权限信息。 其中所述存 储访问权限信息包括： 授权用户 A的身份标识， 访问权限所涉及的网络存储目录 或网络存储文件的相关信息， 以及被授权用户 B的身份标识；
[118] 消息业务元数据文件管理器收到请求后， 首先， 检索授权用户 A的用户访问策 略元数据文件 （如图 6所示） ， 分析其中是否存在与所述请求中携带的网络存储 目录或网络存储元数据文件标识相对应的访问规则元数据， 即图 6中的〈！^^元 素。 如果不存在， 则新创建一个代表请求中网络存储目录或网络存储元数据文 件访问规则元数据的 <rule>元素， 并为它赋予一个与该网络存储目录或网络存储 元数据文件相关联的授权用户 A全局唯一的标识 'ID'; 同吋作如下操作： 将用户 B 的标识 'URI'加入到 <rule>元素中的代表访问控制条件的<condition>子元素中， 并 设置 <rule>元素中代表访问控制动作 <action>子元素中的<&110\¥-^ ¥^6>元素值为 'a ccept' , 以表示允许用户 B访问该访问控制规则对应的用户 A的网络存储目录或网 络存储文件。
[119] 如果授权用户 A的用户访问策略元数据文件中， 已经存在代表与所述请求中携 带的网络存储目录或网络存储元数据文件标识对应的访问规则元数据的〈！^^元 素， 则消息业务元数据文件管理器直接对此访问规则元数据施加同样的操作。
[120] 其次， 消息业务元数据文件管理器还将根据所述请求中携带的网络存储目录或 网络存储元数据文件标识， 定位与上述访问规则对应的授权用户 A的网络存储元 数据文件， 譬如'会话历史'元数据文件。 消息业务元数据文件管理器将在所述授 权请求涉及到的网络存储元数据文件中， 创建与请求中携带的授予用户 B的网络 存储访问权限相对应的存储访问权限元数据， 其中包括： 请求用户 B的标识 'URI' ， 代表访问权限类别的 <&^^8>子元素， 代表权限授予吋间的 < >子元素， 代 表权限过期吋间的<^^^7>子元素等。
[121] 消息业务元数据文件管理器只有全部完成上述步骤后， 才会向网络存储访问权 限控制器返回操作成功响应， 否则返回失败响应。
[122] 二、 对于网络存储访问权限更新操作
[123] 消息元数据服务器中的网络存储访问权限控制器根据请求中携带授权用户 A的 身份标识， 向消息业务元数据文件管理器发送有关授权用户 A的网络存储权限更 新请求， 其中携带请求更新的所述请求用户 B的存储访问权限信息。 所述存储访 问权限信息包括授权用户 A的身份标识， 访问权限所涉及的网络存储目录或网络 存储文件的相关信息， 以及被授权用户 B的身份标识；
[124] 消息业务元数据文件管理器收到请求后， 检索授权用户 A的用户访问策略元数 据文件中与所述请求中携带的网络存储目录或网络存储元数据文件标识相对应 的访问规则元数据， 即图 6中的 <rule>元素， 并根据所述请求中携带的网络存储 目录或网络存储元数据文件标识， 定位与上述访问规则对应的授权用户 A的网络 存储元数据文件， 譬如'会话历史'元数据文件。 消息业务元数据文件管理器将在 所述更新请求涉及到的网络存储元数据文件中， 根据请求更新的所述用户 B的存 储访问权限信息， 更改与用户 B身份标识对应的存储访问权限元数据。
[125] 三、 对于网络存储访问权限撤回操作
[126] 消息元数据服务器中的网络存储访问权限控制器根据请求中携带授权用户 A的 身份标识， 向消息业务元数据文件管理器发送有关授权用户 A的网络存储权限撤 回请求， 其中携带： 请求撤回的所述用户 B的存储访问权限信息。 其中， 所述存 储访问权限信息包括授权用户 A的身份标识， 访问权限所涉及的网络存储目录或 网络存储文件的相关信息， 以及被授权用户 B的身份标识；
[127] 消息业务元数据文件管理器， 根据所述授权用户 A的身份标识， 检索所述授权 用户 A身份标识对应的用户访问策略元数据文件中与所述网络存储目录或网络存 储文件的相关信息对应的访问规则元数据， 即图 6中的 <rule>元素， 并在所述<^1 e>元素下的<^01 (1 01 >子元素中， 删除用户 B的身份标识； 同吋， 根据所述请求 中携带的网络存储目录或网络存储元数据文件标识， 定位与上述访问规则对应 的授权用户 A的网络存储元数据文件， 譬如'会话历史'元数据文件。 消息业务元 数据文件管理器将在所述撤回请求涉及到的网络存储元数据文件中， 根据请求 撤回的所述用户 B的存储访问权限信息， 删除与用户 B身份标识对应的存储访问 权限元数据。
[128] 经过上述具体实施方案， 授权用户能够对其所拥有的网络存储， 进行网络存储 权限管理， 从而可以利用其管理的网络存储访问权限， 控制请求用户访问自己 的网络存储。 为此， 本发明第二实施例提供了一种网络存储访问控制方法， 其 具体实施过程如图 12所示， 包括：
[129] 步骤 S301 , 请求用户发送网络存储元数据访问请求； 所述请求中携带所述请求 用户需要访问的网络存储信息。 其中所述请求用户需要访问的网络存储信息包 括： 需要访问的网络存储对应的网络存储目录或网络存储元数据文件的相关信 息， 需要访问的网络存储所对应的授权用户的身份标识请求用户的身份标识；
[130] 步骤 S302a~b， 所述请求用户和聚合代理之间进行双向鉴定； 鉴定通过后， 聚 合代理获取经鉴定可信的请求用户的身份标识。
[131] 如果请求用户与被访问授权用户的网络存储分属不同网络域中， 则所述聚合代 理还可以支持请求用户跨域访问， 即请求用户所在网络域中聚合代理将经过身 份鉴别的请求路由到授权用户所在网络域中的聚合代理；
[132] 步骤 S303 , 聚合代理向消息元数据服务器发送网络存储元数据访问请求， 所述 请求中携带： 所述请求用户需要访问的网络存储信息。 其中所述请求用户需要 访问的网络存储信息包括： 请求用户的身份标识， 需要访问的网络存储对应的 网络存储目录或网络存储元数据文件的相关信息， 需要访问的网络存储所对应 的授权用户的身份标识。
[133] 步骤 S304, 所述消息元数据服务器中的网络存储访问权限控制器接收到所述网 络存储元数据访问请求后， 根据所述请求中携带的授权用户的身份标识、 所述 网络存储目录或网络存储元数据文件的相关信息， 以及请求用户的身份标识， 获得授权用户授予所述请求用户的存储访问权限元数据； 根据所获得的存储访 问权限元数据， 对请求用户发送的网络存储元数据访问请求进行合法性鉴定， 如果鉴定为合法请求， 则继续执行步骤 S305 ; 如果鉴定为不合法请求， 则拒绝 所述网络存储元数据访问请求。
[134] 具体对所述网络存储元数据访问请求进行合法性鉴定的流程如图 13所示， 包括
[135] 步骤 S3041 , 消息元数据服务器中的网络存储访问权限控制器根据所述网络存 储元数据访问请求中携带的请求用户的身份标识， 以及请求中携带的网络存储 目录或网络存储元数据文件的相关信息对应的授权用户身份标识， 判断所述请 求用户是否为授权用户， 若是， 则执行步骤 S3042, 认为请求用户发送的网络存 储元数据访问请求合法， 转向步骤 S305 ; 若所述请求用户不为授权用户， 则执 行步骤 S3043。
[136] 步骤 S3041和步骤 S3042中， 消息元数据服务器中的网络存储访问权限控制器可 以根据请求中携带的网络存储目录或网络存储元数据文件的相关信息， 找到对 应的授权用户身份标识， 然后将所述网络存储元数据访问请求中携带的请求用 户的身份标识， 与所找到的授权用户身份标识进行比较， 如果一致， 则认为所 述请求用户为授权用户， 否则， 认为所述请求用户不为授权用户。
[137] 步骤 S3043， 所述网络存储访问权限控制器请求消息业务元数据文件管理器査 询所述请求用户被授予的访问权限， 所述请求中携带被访问授权用户的身份标 识、 所述网络存储目录或网络存储元数据文件的相关信息、 请求用户的身份标 识等。
[138] 消息业务元数据文件管理器根据所述请求中携带的信息， 査找所述请求用户身 份标识对应的存储访问权限元数据。 具体可以釆用两种方法实现：
[139] 第一种方法是基于存储授权策略的实现方法， 具体为：
[140] 检索与所述被访问授权用户的身份标识对应的存储授权策略元数据文件， 并在 其中的与所述网络存储目录或网络存储文件相关信息对应的存储授权策略元数 据中， 检索是否存在与请求用户身份标识对应的存储访问权限；
[141] 第二种方法是基于用户访问策略的实现方法， 具体为： [142] 检索与所述被访问授权用户的身份标识对应的用户访问策略元数据文件， 并在 其中的与所述网络存储目录或网络存储文件相关信息对应的用户访问规则元数 据中， 检索是否存在与请求用户身份标识对应的用户访问规则； 如果存在， 则 在与所述用户访问规则对应的网络存储元数据文件中检索与请求用户身份标识 对应的存储访问权限。
[143] 步骤 S3044, 网络存储访问权限控制器根据所述消息业务元数据文件管理器的 反馈结果， 判断是否存在授予所述请求用户的访问权限， 若存在， 则执行步骤 S 3045； 否则， 执行步骤 S3046。
[144] 步骤 S3045， 网络存储访问权限控制器根据所述授予所述请求用户的访问权限 ， 判断所述网络存储访问请求中携带的网络存储目录或网络存储元数据文件的 相关信息是否符合授权， 即请求用户访问请求中所需的文件或目录的访问权限 的优先级别必须低于或等于请求用户所拥有的该文件或目录权限优先级别。 若 符合， 则执行步骤 S3042; 否则， 执行步骤 S3046。
[145] 步骤 S3046 , 网络存储访问权限控制器拒绝所述网络存储元数据访问请求。
[146] 步骤 S305 , 将判定为合法的网络存储元数据访问请求， 发送给消息业务元数据 文件管理器， 所述请求中携带所述请求用户需要访问的网络存储信息。 其中所 述请求用户需要访问的网络存储信息包括： 请求用户的身份标识， 需要访问的 网络存储对应的网络存储目录或网络存储元数据文件的相关信息， 需要访问的 网络存储所对应的授权用户的身份标识。
[147] 步骤 S306〜309， 所述消息业务元数据文件管理器根据所述网络存储元数据访 问请求中携带的网络存储目录或网络存储元数据文件的相关信息， 获取网络存 储元数据； 对所述网络存储元数据访问请求进行响应， 并在响应中携带所获取 到的网络存储元数据。
[148] 步骤 S310, 所述请求用户根据所述响应， 获得所述网络存储元数据； 发送网络 存储内容访问请求给消息服务器， 其中携带所述网络存储元数据， 以及所述请 求用户的身份标识。
[149] 步骤 S311 , 所述消息服务器请求消息元数据服务器对所述网络存储内容访问请 求进行合法性鉴定， 如果鉴定为合法请求， 则继续执行步骤 S312; 如果鉴定为 不合法请求， 则拒绝所述网络存储内容访问请求。
[150] 具体的鉴定流程， 与步骤 S304中的实现流程类似， 这里不再详细描述。
[151] 步骤 S312, 所述消息服务器发送网络存储访问请求给消息内容存储器； 所述请 求中携带所请求的消息业务网络存储对应的元数据；
[152] 步骤 S313〜314， 所述消息内容存储器根据所述元数据， 检索到相应的消息业 务网络存储， 并经过消息服务器反馈网络存储检索响应给所述用户客户端； [153] 步骤 S315 , 建立请求用户客户端与消息内容存储器之间的数据传输通道， 通过 所述数据传输通道， 所述消息内容存储器将所检索到的消息业务网络存储内容 发送给所述请求用户；
[154] 或者， 请求用户客户端将消息业务本地存储内容上传至消息内容存储器。
[155] 下面， 假设在授权用户 A授予请求用户 B拥有会话历史网络存储目录的'读 /写'权 限的情况下， 以基于存储授权策略的操作方法为例， 对上述网络存储访问流程 进行详细说明， 实现流程如图 14所示， 包括：
[156] 步骤 S401〜403， 请求用户 B客户端 B) 希望访问授权用户 A客户端 A) 的网络 存储， 为此请求用户 B首先要获取授权用户 A授予请求用户 B的网络存储权限， 于是请求用户 B经由聚合代理、 搜索代理向消息元数据服务器发送存储权限査询 (HTTP
POST) 请求消息， 其中携带如下信息： 所述请求用户需要访问的网络存储信息 。 其中所述请求用户需要访问的网络存储信息包括： 请求用户的身份标识， 需 要访问的网络存储对应的网络存储目录或网络存储元数据文件的相关信息， 需 要访问的网络存储所对应的授权用户的身份标识。
[157] 步骤 S404, 消息元数据服务器检索请求用户存储授权策略元数据， 并进行访问 控制。 具体如下：
[158] 消息元数据服务器中的消息业务元数据文件管理器， 在网络存储访问权限控制 器的控制下按照 HTTP
POST请求中携带的被访问授权用户的身份标识、 所述网络存储目录或网络存储 元数据文件的相关信息， 检索授权用户 A的身份标识对应的存储授权策略元数据 文件中， 是否存在所述网络存储目录或网络存储文件的相关信息对应的存储授 权策略元数据； 若存在， 则根据所述请求用户的身份标识， 在所述存储授权策 略元数据中， 査找所述请求用户 B身份标识对应的存储访问权限元数据； 如果所 述存储访问权限元数据中存在相应的授权信息， 则网络存储访问权限控制器接 收该请求， 然后执行步骤 S405; 否则， '网络存储访问权限控制器'拒绝该请求。
[159] 步骤 S405〜407， 网络存储访问权限控制器通过网络存储权限査询响应， 将消 息业务元数据文件管理器返回的搜索结果， 经由搜索代理、 聚合代理， 向请求 用户 B返回， 其中携带授权用户 A授予请求用户 B的网络存储访问权限信息。
[160] 步骤 S408〜410， 请求用户 B在终端査看授权用户 A授予其的网络存储目录或网 络存储元数据文件的权限信息， 发现自己拥有授权用户 A的某会话历史网络存储 目录的 '读 /写'权限， 为了査看此目录中的会话历史内容， 请求用户 B发送网络存 储元数据获取 （XCAP
Figure imgf000024_0001
GET请求中携带如下信息： 所述请求用户需要访问的网络存储信息。 其中所述请 求用户需要访问的网络存储信息包括： 请求用户的身份标识， 所述请求用户需 要访问的某会话历史消息业务对应的网络存储目录或网络存储元数据文件的相 关信息， 需要访问的网络存储所对应的授权用户的身份标识。
[161] 步骤 S411 , 消息元数据服务器收到 XCAP
GET请求后， 检索所述请求用户 B存储授权策略元数据和'会话历史'元数据， 并 进行相应的控制。
[162] 具体实现如下：
[163] 首先检索授权用户 A存储授权策略元数据文件中有关授权用户 A授予请求用户 B 的网络存储访问权限信息， 具体实现与步骤 S404中的相关描述类似， 这里不再 详细描述。
[164] 在判断请求用户 B拥有网络存储拥有授权用户 A的网络存储访问权限后， 网络 存储访问权限控制器将会结合消息业务元数据文件管理器检索到有关用户 B的授 权信息。
[165] 按照如图 13所示的对所述网络存储元数据访问请求进行合法性鉴定的流程， 判 断请求用户 B的此次访问请求是否符合授权用户 A对其所作的授权， 网络存储访 问权限控制器只会接收经过合法的网络存储访问请求。
[166] 步骤 S412〜413， 消息元数据服务器通过网络存储元数据获取响应， 返回授权 用户 A所授予的会话历史元数据信息， 并经由聚合代理到达请求用户 B ;
[167] 步骤 S414, 请求用户 B浏览授权用户 A网络存储中授权的会话历史元数据信息
， 为了获取会话历史实际内容， 请求用户 B客户端向'消息服务器'发送网络存储 内容获取请求， 譬如 SIP
INVITE, 其中： 'Request-URI'指出消息网络存储 URI， 如' history® hostname', 此 外 MIME
SDP消息体中将 direction属性设置为 'a=reCVOnly'， 并包含会话历史元数据信息， 譬如网络存储目录中的消息标识 （msg-id) 构成的 URI List。
[168] 步骤 S415〜419， 收到 SIP
INVITE请求后， 消息服务器和消息元数据服务器协调执行用户访问策略控制， 为合法的请求用户建立起消息内容存储器与请求用户 B之间的会话历史内容传输 通道， 并通过所述传输通道， 将消息内容存储器中的会话历史内容传输给所述 请求用户^ 具体如下：
[169] 消息服务器请求消息元数据服务器中的网络存储访问权限控制器执行与步骤 S4 04类似的访问权限控制。 如果接受请求用户 B的请求， 则消息服务器向请求用户 B返回 SIP 200 OK响应， 并在收到请求用户 B再次发送的 SIP
ACK应答后， 建立起消息内容存储器与请求用户 B之间的会话历史内容传输通道 ， 譬如 MSRP通道。 至此， 请求用户 B通过所述传输通道， 可以接收授权用户 A 网络存储中其所请求的并具有访问权限的会话历史信息。
[170] 步骤 S420〜425， 请求用户 B还拥有授权用户 A授予的该会话历史网络存储目录 的'写'权限， 因此除了可以获取目录中授权用户 A的会话历史外， 还可以将本地 数据上传至该目录， 为此请求用户 B向消息服务器发送网络存储内容上传请求， 譬如 SIP
INVITE, 其中： 'Request-URI'指出消息网络存储实体所在的 URI， 如' history@hos tname', 此外 MIME
SDP消息体将 direction属性设置为' a=Send0nly'， 并包含上传数据所要存放的用户 A网络存储， 譬如网络存储目录标识 id'或会话历史文件名称 'file-name'。
[171] 消息服务器将请求消息元数据服务器执行与步骤 S404类似的访问策略控制， 一 旦接受请求用户 B的请求， 将建立起消息内容存储器与请求用户 B之间的数据传 输通道。 至此， 请求用户 B可以通过建立的数据传输通道， 譬如 MSRP通道， 将 本地数据上传至其所具有写权限的授权用户 A的网络存储之中。
[172] 数据传输成功后， 消息服务器还将请求消息元数据服务器更新授权用户 A的消 息业务元数据信息， 以反映授权用户 A网络存储中新增加的数据。
[173] 与图 8至图 11中介绍的通知流程类似， 当请求用户 B成功完成向授权用户 A的消 息内容存储器中'写'数据后， 授权用户 A将收到网络存储变化通知。
[174] 上述是以请求中携带的存储访问权限信息中包括至少一个被授予访问权限的授 权用户的身份标识为例， 进行说明的， 当请求中携带的存储访问权限信息中包 括至少一个不能被授予访问权限的授权用户的身份标识吋， 对不同的操作请求 对应的操作如下：
[175] 一、 对于网络存储访问权限授予操作
[176] 检索授权用户的存储授权策略元数据文件， 并在其中的与所述网络存储目录或 网络存储文件相关信息对应的存储授权策略元数据中， 根据所述请求中携带的 请求授予的存储访问权限信息， 创建与不能被授予访问权限的访问用户的身份 标识对应的存储访问权限元数据；
[177] 或者，
[178] 检索与所述授权用户的身份标识对应的用户访问策略元数据文件， 并在其中的 与所述网络存储目录或网络存储文件相关信息对应的用户访问规则元数据中， 创建与被授权用户身份标识对应的用户访问规则； 同吋， 在与所述用户访问规 则对应的网络存储元数据文件中， 根据所述请求中携带的请求授予的存储访问 权限信息， 创建与不能被授予访问权限的访问用户的身份标识对应的存储访问 权限元数据。
[179] 二、 对于网络存储访问权限更新操作
[180] 检索与所述授权用户身份标识对应的存储授权策略元数据文件， 并在其中的与 所述授权用户请求操作的存储访问权限信息涉及的网络存储目录或网络存储文 件相关信息对应的存储授权策略元数据中， 根据所述请求中携带的请求更新的 存储访问权限信息， 更改与不能被授予访问权限的访问用户的身份标识对应的 存储访问权限元数据；
[181] 或者，
[182] 在所述授权用户的身份标识对应的用户访问策略元数据文件中的与所述授权用 户请求操作的存储访问权限信息涉及的网络存储目录或网络存储文件相关信息 对应的用户访问规则元数据中， 检索与不能被授予访问权限的访问用户的身份 标识对应的用户访问规则； 并且在与所述用户访问规则对应的网络存储元数据 文件中， 根据所述请求中携带的请求更新的存储访问权限信息， 更改与所述不 能被授予访问权限的访问用户的身份标识对应的存储访问权限元数据。
[183] 三、 对于网络存储访问权限删除操作
[184] 检索与所述授权用户的身份标识对应的存储授权策略元数据文件， 并在其中的 与所述授权用户请求操作的存储访问权限信息涉及的网络存储目录或网络存储 文件相关信息对应的存储授权策略元数据中， 根据所述请求中携带的请求撤回 的存储访问权限信息， 删除与所述不能被授予访问权限的访问用户的身份标识 对应的存储访问权限元数据；
[185] 或者，
[186] 检索与所述授权用户的身份标识对应的用户访问策略元数据文件， 并在其中的 与所述授权用户请求操作的存储访问权限信息涉及的网络存储目录或网络存储 文件相关信息对应的用户访问规则元数据中， 删除与所述不能被授予访问权限 的访问用户的身份标识对应的用户访问规则； 同吋， 在与所述被删除的用户访 问规则对应的网络存储元数据文件中， 根据所述请求中携带的请求撤回的存储 访问权限信息， 删除与所述不能被授予访问权限的访问用户的身份标识对应的 存储访问权限元数据。
[187] 本发明的第三实施例提供一种网络存储访问权限管理装置， 其结构如图 15所示 ， 包括网络存储权限访问控制器和消息业务元数据文件管理器。 所述网络存储 权限访问控制器和消息业务元数据文件管理器包括： 权限授予单元、 权限更新 单元和第一权限删除单元。 所述权限授予单元包括： 第一权限授予子单元和第 二权限授予子单元。 所述权限更新单元包括第一权限更新子单元和第二权限更 新子单元。 所述第一权限删除单元包括： 第一权限删除子单元和第二权限删除 子单元。
[188] 所述消息业务元数据文件管理器还可以包括： 第二权限删除单元。 所述第二权 限删除单元包括： 第三权限删除子单元和第四权限删除子单元。
[189] 所述消息业务元数据文件管理器还可以包括： 通知服务器。
[190] 所述网络存储访问权限管理装置中的各个元器件之间的交互关系如下：
[191] 所述网络存储权限访问控制器， 获得授权用户的网络存储访问权限操作请求， 所述请求中携带授权用户请求操作的存储访问权限信息； 所述存储访问权限信 息包括授权用户的身份标识， 所述存储访问权限信息涉及的网络存储目录或网 络存储文件相关信息， 至少一个被授权用户的身份标识或至少一个不能被授予 访问权限的访问用户的身份标识； 根据所述消息业务元数据文件管理器中存储 访问权限信息， 对所述授权用户的网络存储访问权限操作请求， 进行合法性验 证；
[192] 所述消息业务元数据文件管理器， 根据所述网络存储权限访问控制器通过验证 的网络存储访问权限操作请求， 在与所述授权用户的身份标识， 以及网络存储 目录或网络存储文件相关信息对应的授权用户网络存储访问权限元数据中， 根 据所述授权用户请求操作的存储访问权限信息， 操作授权用户为被授权用户设 置的网络存储目录或网络存储文件的存储访问权限。 其根据不同网络存储访问 权限操作请求， 执行相应的处理， 具体如下：
[193] 通过权限授予单元， 根据所述网络存储权限访问控制器获得的网络存储访问权 限操作请求， 在与所述授权用户的身份标识， 以及网络存储目录或网络存储文 件相关信息对应的网络存储访问权限元数据文件中， 根据所述授权用户请求授 予的存储访问权限信息， 将相应的存储访问权限元数据授予给相应的被授权用 户。 具体处理可以釆用两种方案进行：
[194] 第一种方案， 通过第一权限授予子单元， 检索与所述授权用户的身份标识对应 的存储授权策略元数据文件， 并在其中的与授权用户请求操作的存储访问权限 信息所涉及的网络存储目录或网络存储文件相关信息对应的存储授权策略元数 据中， 根据所述请求中携带的请求授予的存储访问权限信息， 创建与被授权用 户身份标识对应的存储访问权限元数据； 或者， 检索授权用户的存储授权策略 元数据文件， 并在其中的与所述授权用户请求操作的存储访问权限信息所涉及 的网络存储目录或网络存储文件相关信息对应的存储授权策略元数据中， 根据 所述请求中携带的请求授予的存储访问权限信息， 创建与不能被授予访问权限 的访问用户的身份标识对应的存储访问权限元数据；
[195] 第二种方案， 通过第二权限授予子单元， 检索与所述授权用户的身份标识对应 的用户访问策略元数据文件， 并在其中的与所述授权用户请求操作的存储访问 权限信息所涉及的网络存储目录或网络存储文件相关信息对应的用户访问规则 元数据中， 创建与被授权用户身份标识对应的用户访问规则； 同吋， 在与所述 用户访问规则对应的网络存储元数据文件中根据所述请求中携带的请求授予的 存储访问权限信息， 创建与被授权用户身份标识对应的存储访问权限元数据， 或者， 检索与所述授权用户的身份标识对应的用户访问策略元数据文件， 并在 其中的与所述授权用户请求操作的存储访问权限信息所涉及的网络存储目录或 网络存储文件相关信息对应的用户访问规则元数据中， 创建与被授权用户身份 标识对应的用户访问规则； 同吋， 在与所述用户访问规则对应的网络存储元数 据文件中， 根据所述请求中携带的请求授予的存储访问权限信息， 创建与不能 被授予访问权限的访问用户的身份标识对应的存储访问权限元数据。
[196] 通过权限更新单元， 根据所述网络存储权限访问控制器获得的网络存储访问权 限操作请求， 在与所述授权用户的身份标识， 以及网络存储目录或网络存储文 件相关信息对应的网络存储访问权限元数据文件中， 根据所述授权用户请求更 新的存储访问权限信息， 更改授权用户为被授权用户设置的存储访问权限元数 据； 具体处理可以釆用两种方案进行：
[197] 第一种方案， 通过第一权限更新子单元， 检索与所述授权用户身份标识对应的 存储授权策略元数据文件， 并在其中的与所述网络存储目录或网络存储文件相 关信息对应的存储授权策略元数据中， 根据所述请求中携带的请求更新的存储 访问权限信息， 更改与被授权用户身份标识对应的存储访问权限元数据； 或者 ， 用于检索与所述授权用户身份标识对应的存储授权策略元数据文件， 并在其 中的与所述网络存储目录或网络存储文件相关信息对应的存储授权策略元数据 中， 根据所述请求中携带的请求更新的存储访问权限信息， 更改与不能被授予 访问权限的访问用户的身份标识对应的存储访问权限元数据；
[198] 第二种方案， 通过第二权限更新子单元， 在所述授权用户的身份标识对应的用 户访问策略元数据文件中， 检索与所述网络存储目录或网络存储文件相关信息 对应的用户访问规则元数据中， 与所述被授权用户身份标识对应的用户访问规 贝 IJ ; 并且在与所述用户访问规则对应的网络存储元数据文件中， 或对应的网络 存储目录所关联的网络存储元数据文件中， 根据所述请求中携带的请求更新的 存储访问权限信息， 更改与所述被授权用户身份标识对应的存储访问权限元数 据； 或者， 用于在所述授权用户的身份标识对应的用户访问策略元数据文件中 的与所述网络存储目录或网络存储文件相关信息对应的用户访问规则元数据中 ， 检索与不能被授予访问权限的访问用户的身份标识对应的用户访问规则； 并 且在与所述用户访问规则对应的网络存储元数据文件中， 或对应的网络存储目 录所关联的网络存储元数据文件中， 根据所述请求中携带的请求更新的存储访 问权限信息， 更改与所述不能被授予访问权限的访问用户的身份标识对应的存 储访问权限元数据。
[199] 通过第一权限删除单元， 根据所述网络存储权限访问控制器获得的网络存储访 问权限操作请求， 在与所述授权用户的身份标识， 以及网络存储目录或网络存 储文件相关信息对应的网络存储访问权限元数据文件中， 根据所述授权用户请 求撤回的存储访问权限， 删除授权用户为被授权用户设置的存储访问权限元数 据。 具体处理可以釆用两种方案进行：
[200] 第一种方案， 通过第一权限删除子单元， 检索与所述授权用户的身份标识对应 的存储授权策略元数据文件， 并在其中的与所述网络存储目录或网络存储文件 相关信息对应的存储授权策略元数据中， 根据所述请求中携带的请求撤回的存 储访问权限信息， 删除与所述被授权用户身份标识对应的存储访问权限元数据 ； 或者， 用于检索与所述授权用户的身份标识对应的存储授权策略元数据文件 ， 并在其中的与所述网络存储目录或网络存储文件相关信息对应的存储授权策 略元数据中， 根据所述请求中携带的请求撤回的存储访问权限信息， 删除与所 述不能被授予访问权限的访问用户的身份标识对应的存储访问权限元数据； [201] 第二种方案， 通过第二权限删除子单元， 检索与所述授权用户的身份标识对应 的用户访问策略元数据文件， 并在其中的与所述网络存储目录或网络存储文件 相关信息对应的用户访问规则元数据中， 删除与所述被授权用户身份标识对应 的用户访问规则； 同吋， 在与所述被删除的用户访问规则对应的网络存储元数 据文件中， 或对应的网络存储目录所关联的网络存储元数据文件中， 根据所述 请求中携带的请求撤回的存储访问权限信息， 删除与所述被授权用户身份标识 对应的存储访问权限元数据； 或者， 用于检索与所述授权用户的身份标识对应 的用户访问策略元数据文件， 并在其中的与所述网络存储目录或网络存储文件 相关信息对应的用户访问规则元数据中， 删除与所述不能被授予访问权限的访 问用户的身份标识对应的用户访问规则； 同吋， 在与所述被删除的用户访问规 则对应的网络存储元数据文件中， 或对应的网络存储目录所关联的网络存储元 数据文件中， 根据所述请求中携带的请求撤回的存储访问权限信息， 删除与所 述不能被授予访问权限的访问用户的身份标识对应的存储访问权限元数据。
[202] 另外， 所述消息业务元数据文件管理器还可以通过第二权限删除单元， 用于在 所述授权用户对应的网络存储访问权限元数据中， 授权用户为被授权用户设置 的网络存储目录或网络存储文件的存储访问权限的过期吋间到达吋， 删除该存 储访问权限元数据。 具体处理可以釆用两种方案进行：
[203] 第一种方案， 通过第三权限删除子单元， 在与所述授权用户身份标识对应的存 储授权策略元数据文件中， 当某个被授权用户身份标识对应的存储访问权限元 数据中的权限过期吋间到达吋， 则删除该存储访问权限元数据；
[204] 第二种方案， 通过第四权限删除子单元， 在与所述授权用户身份标识对应的网 络存储文件中， 或对应的网络存储目录所关联的网络存储文件中， 当某个被授 权用户身份标识对应的存储访问权限元数据中的权限过期吋间到达吋， 则删除 该存储访问权限元数据； 同吋， 在与所述授权用户身份标识对应的用户访问策 略元数据文件中， 删除与该存储访问权限元数据对应的用户访问规则元数据。
[205] 另外， 一旦消息业务元数据文件管理器中的元数据发生变化， 所述消息元数据 服务器还能够通知变化后的元数据， 具体实现如下： [206] 通过通知服务器， 当根据授权用户的网络存储访问权限操作请求， 操作所述授 权用户的网络存储目录或网络存储文件的存储访问权限后， 将发生变化的网络 存储访问权限元数据， 通知给所述网络存储访问权限元数据中对应的被授权用 户； 或者， 当授权用户为被授权用户设置的网络存储目录或网络存储文件的存 储访问权限的权限过期吋间到达后， 将发生变化的网络存储访问权限元数据， 通知给所述网络存储访问权限元数据中对应的被授权用户。
[207] 所述通知服务器在通知被授权用户变化后的存储访问权限元数据吋， 还可以将 能够釆用的访问方式， 通知给所述访问用户。
[208] 本发明的第四实施例提供一种网络存储访问权限管理装置， 其结构如图 16所示 ， 包括网络存储权限访问控制器和消息业务元数据文件管理器。
[209] 其中所述消息业务元数据文件管理器包括： 第一访问请求处理单元和第二访问 请求处理单元。
[210] 所述消息业务元数据文件管理器还可以包括： 数据更新单元。
[211] 所述消息业务元数据文件管理器还可以包括： 通知服务器。
[212] 所述网络存储访问权限管理装置中的各个元器件之间的交互关系如下：
[213] 当被授权用户访问授权用户的网络存储吋， 所述网络存储权限访问控制器， 获 得被授权用户针对授权用户网络存储目录或网络存储文件的访问请求， 所述访 问请求中携带所述被授权用户的身份标识， 授权用户身份标识， 以及被授权用 户请求访问的授权用户网络存储目录或网络存储文件的相关信息； 向所述消息 业务元数据文件管理器请求所述被授权用户身份标识对应的存储访问权限信息
[214] 此吋， 所述消息业务元数据文件管理器， 将与所述授权用户对应的网络存储访 问权限元数据中的与所述被授权用户身份标识对应的存储访问权限信息， 提供 给所述网络存储权限访问控制器；
[215] 所述网络存储权限访问控制器根据所述消息业务元数据文件管理器返回的信息 获得所述消息业务元数据文件管理器中与所述授权用户对应的网络存储访问权 限元数据中的与所述被授权用户身份标识对应的存储访问权限信息； 利用所述 存储访问权限信息， 对所述被授权用户的访问请求进行合法性验证； 对通过验 证的访问请求， 向所述消息业务元数据文件管理器请求所述被授权用户具有访 问权限的元数据；
[216] 此吋， 所述消息业务元数据文件管理器将授权用户网络存储文件中， 或网络存 储目录所关联的网络存储文件中所述被授权用户具有访问权限的元数据， 提供 给所述网络存储权限访问控制器； 具体处理吋可以釆取两种方案实现：
[217] 第一种方案， 通过第一请求处理单元， 检索与所述授权用户身份标识对应的存 储授权策略元数据文件中的与所述网络存储目录或网络存储文件相关信息对应 的存储授权策略元数据， 获得与所述被授权用户身份标识对应的存储访问权限 元数据； 将与所述存储访问权限元数据对应的网络存储目录或网络存储文件元 数据， 反馈给所述网络存储权限访问控制器；
[218] 第二种方案， 通过第二请求处理单元， 检索与所述授权用户的身份标识对应的 用户访问策略元数据文件中的与所述网络存储目录或网络存储文件相关信息对 应的用户访问规则元数据， 获得与所述被授权用户身份标识对应的用户访问规 贝 IJ ; 根据所述用户访问规则， 在对应的网络存储元数据文件中， 或对应的网络 存储目录所关联的网络存储元数据文件中， 获得与所述被授权用户身份标识对 应的存储访问权限元数据； 将与所述存储访问权限元数据对应的网络存储目录 或网络存储文件元数据， 反馈给所述网络存储权限访问控制器。
[219] 所述网络存储权限访问控制器将所述消息业务元数据文件管理器返回的元数据 提供给所述被授权用户；
[220] 所述网络存储权限访问控制器获得被授权用户针对所述元数据对应的网络存储 消息内容的访问请求， 所述访问请求中携带所述被授权用户的身份标识， 授权 用户身份标识， 以及被授权用户请求访问的授权用户网络存储消息内容对应的 元数据； 此吋所述网络存储权限访问控制器同样向所述消息业务元数据文件管 理器请求与所述授权用户对应的网络存储访问权限元数据中的与所述被授权用 户身份标识对应的存储访问权限信息， 以验证本次访问请求的合法性； 验证通 过后， 对经过认为合法的访问请求， 将授权用户网络存储元数据文件中， 或网 络存储目录所关联的网络存储元数据文件中所述被授权用户具有访问权限的元 数据， 提供给消息服务器， 通过消息服务器向消息内容存储器请求所述被授权 用户具有访问权限的元数据对应的消息内容。
[221] 之后通过所述消息服务器与核心网的交互控制， 建立消息内容存储器与所述被 授权用户之间的数据传输通道。 通过所述数据传输通道， 所述被授权用户可以 上传消息内容， 或者读取消息内容。
[222] 对于被授权用户上传的消息内容， 经过消息服务器控制， 在消息内容存储器中 所述授权用户所拥有的网络存储消息内容中添加、 更改或删除的信息， 随后， 所述消息服务器会发出请求， 以控制所述消息业务元数据文件管理器根据所述 变化的信息， 更新授权用户网络存储目录或网络存储文件中相应的元数据信息
[223] 所述消息业务元数据文件管理器通过数据更新单元， 获得消息服务器发送的请 求， 所述请求中携带： 根据被授权用户上传的消息内容在消息内容存储器中所 述授权用户所拥有的网络存储内容中添加、 更改或删除操作后变化的信息； 所 述数据更新单元根据所述变化的信息， 更新授权用户网络存储目录或网络存储 文件中相应的元数据信息。
[224] 另外， 一旦消息业务元数据文件管理器中的元数据发生变化， 所述消息元数据 服务器还能够通知变化后的元数据， 具体实现如下：
[225] 通过通知服务器， 当根据被授权用户上传的消息内容在授权用户对应的网络存 储文件中， 或对应的网络存储目录所关联的网络存储文件中更新相应的元数据 信息后， 将变化后的元数据， 通知给所述授权用户， 和 /或， 具有该网络存储目 录和 /或网络存储文件访问权限的被授权用户。
[226] 所述通知服务器在通知被授权用户变化后的存储访问权限元数据吋， 还可以将 能够釆用的访问方式， 通知给所述访问用户。
[227] 由上述本发明实施例提供的具体实施方案可以看出， 其通过在与所述授权用户 对应的授权用户网络存储访问权限元数据中， 根据授权用户请求操作的存储访 问权限信息， 操作授权用户为被授权用户设置的网络存储目录或网络存储文件 的存储访问权限， 从而允许被授权用户访问授权用户的网络存储。
[228] 显然， 本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的 精神和范围。 这样， 倘若本发明的这些修改和变型属于本发明权利要求及其等 同技术的范围之内， 则本发明也意图包含这些改动和变型在内。

Claims

权利要求书
[1] 1、 一种网络存储访问权限管理方法， 其特征在于， 包括：
获得授权用户的网络存储访问权限操作请求， 所述请求中携带授权用户请 求操作的存储访问权限信息；
根据授权用户请求操作的存储访问权限信息， 在授权用户的网络存储访问 权限元数据中， 操作授权用户为被授权用户设置的网络存储目录或网络存 储文件的存储访问权限。
[2] 2、 如权利要求 1所述的方法， 其特征在于， 还包括：
按照消息业务的属性， 对同一应用下消息业务的元数据进行分类； 为每个 类别的元数据建立网络存储目录， 并建立所述网络存储目录与存储所述元 数据的网络存储文件之间的关联关系。
[3] 3、 如权利要求 2所述的方法， 其特征在于， 所述网络存储目录中还包括： 为每个类别的元数据的下一级元数据建立的下一级网络存储目录。
[4] 4、 如权利要求 1所述的方法， 其特征在于， 所述请求操作的存储访问权限 信息包括： 至少一个被授予访问权限的被授权用户的身份标识和所述存储 访问权限信息涉及的网络存储目录或网络存储文件相关信息； 或者，
至少一个不能被授予访问权限的访问用户的身份标识和所述存储访问权限 信息涉及的网络存储目录或网络存储文件相关信息。
[5] 5、 如权利要求 4所述的方法， 其特征在于， 所述请求操作的存储访问权限 信息还包括如下信息中的至少一个： 所述网络存储文件或网络存储目录的 访问权限， 所述网络存储文件或网络存储目录的访问权限的继承属性， 所 述网络存储文件或网络存储目录的访问权限的锁属性， 所述网络存储文件 或网络存储目录的访问权限过期吋间， 所述网络存储文件或网络存储目录 的访问权限授予吋间。
[6] 6、 如权利要求 5所述的方法， 其特征在于， 所述网络存储文件或网络存储 目录的访问权限包括如下属性信息中的至少一个： 完全控制、 修改、 列出 目录内容、 读取、 写入、 访问权限的优先级别。
[7] 7、 如权利要求 1至 6任意一项所述的方法， 其特征在于， 所述根据授权用户 请求操作的存储访问权限， 操作存储访问权限的过程， 具体包括： 在授权用户的网络存储访问权限元数据文件中， 根据所述授权用户请求授 予的存储访问权限信息， 创建授权用户为被授权用户设置的存储访问权限 元数据；
或者，
在授权用户的网络存储访问权限元数据文件中， 根据所述授权用户请求更 新的存储访问权限信息， 更改授权用户为被授权用户设置的存储访问权限 元数据；
或者，
在授权用户的网络存储访问权限元数据文件中， 根据所述授权用户请求撤 回的存储访问权限， 删除授权用户为被授权用户设置的存储访问权限元数 据。
[8] 8、 如权利要求 7所述的方法， 其特征在于， 所述根据授权用户请求授予的 存储访问权限， 创建存储访问权限元数据的过程， 具体包括： 检索授权用户的存储授权策略元数据文件， 并在其中的与所述网络存储目 录或网络存储文件相关信息对应的存储授权策略元数据中， 根据所述请求 中携带的请求授予的存储访问权限信息， 创建与被授权用户身份标识对应 的存储访问权限元数据；
或者，
检索授权用户的存储授权策略元数据文件， 并在其中的与所述网络存储目 录或网络存储文件相关信息对应的存储授权策略元数据中， 根据所述请求 中携带的请求授予的存储访问权限信息， 创建与不能被授予访问权限的访 问用户的身份标识对应的存储访问权限元数据；
或者，
检索与所述授权用户对应的用户访问策略元数据文件， 并在其中的与所述 网络存储目录或网络存储文件相关信息对应的用户访问规则元数据中， 创 建与被授权用户身份标识对应的用户访问规则； 同吋， 在与所述用户访问 规则对应的网络存储元数据文件中， 根据所述请求中携带的请求授予的存 储访问权限信息， 创建与被授权用户身份标识对应的存储访问权限元数据 或者，
检索与所述授权用户对应的用户访问策略元数据文件， 并在其中的与所述 网络存储目录或网络存储文件相关信息对应的用户访问规则元数据中， 创 建与被授权用户身份标识对应的用户访问规则； 同吋， 在与所述用户访问 规则对应的网络存储元数据文件中， 根据所述请求中携带的请求授予的存 储访问权限信息， 创建与不能被授予访问权限的访问用户的身份标识对应 的存储访问权限元数据。
9、 如权利要求 7所述的方法， 其特征在于， 所述根据授权用户请求更新的 存储访问权限， 更改存储访问权限元数据的过程， 具体包括：
检索与所述授权用户对应的存储授权策略元数据文件， 并在其中的与所述 网络存储目录或网络存储文件相关信息对应的存储授权策略元数据中， 根 据所述请求中携带的请求更新的存储访问权限信息， 更改与被授权用户身 份标识对应的存储访问权限元数据；
或者，
检索与所述授权用户对应的存储授权策略元数据文件， 并在其中的与所述 网络存储目录或网络存储文件相关信息对应的存储授权策略元数据中， 根 据所述请求中携带的请求更新的存储访问权限信息， 更改与不能被授予访 问权限的访问用户的身份标识对应的存储访问权限元数据；
或者，
在所述授权用户对应的用户访问策略元数据文件中， 检索与所述网络存储 目录或网络存储文件相关信息对应的用户访问规则元数据中， 与所述被授 权用户身份标识对应的用户访问规则； 并且在与所述用户访问规则对应的 网络存储元数据文件中， 根据所述请求中携带的请求更新的存储访问权限 信息， 更改与所述被授权用户身份标识对应的存储访问权限元数据； 或者， 在所述授权用户对应的用户访问策略元数据文件中的与所述网络存储目录 或网络存储文件相关信息对应的用户访问规则元数据中， 检索与不能被授 予访问权限的访问用户的身份标识对应的用户访问规则； 并且在与所述用 户访问规则对应的网络存储元数据文件中， 根据所述请求中携带的请求更 新的存储访问权限信息， 更改与所述不能被授予访问权限的访问用户的身 份标识对应的存储访问权限元数据。
10、 如权利要求 7所述的方法， 其特征在于， 所述根据授权用户请求撤回的 存储访问权限， 删除存储访问权限元数据的过程， 具体包括：
检索与所述授权用户对应的存储授权策略元数据文件， 并在其中的与所述 网络存储目录或网络存储文件相关信息对应的存储授权策略元数据中， 根 据所述请求中携带的请求撤回的存储访问权限信息， 删除与所述被授权用 户身份标识对应的存储访问权限元数据；
或者，
检索与所述授权用户对应的存储授权策略元数据文件， 并在其中的与所述 网络存储目录或网络存储文件相关信息对应的存储授权策略元数据中， 根 据所述请求中携带的请求撤回的存储访问权限信息， 删除与所述不能被授 予访问权限的访问用户的身份标识对应的存储访问权限元数据； 或者，
检索与所述授权用户对应的用户访问策略元数据文件， 并在其中的与所述 网络存储目录或网络存储文件相关信息对应的用户访问规则元数据中， 删 除与所述被授权用户身份标识对应的用户访问规则； 同吋， 在与所述被删 除的用户访问规则对应的网络存储元数据文件中， 根据所述请求中携带的 请求撤回的存储访问权限信息， 删除与所述被授权用户身份标识对应的存 储访问权限元数据；
或者，
检索与所述授权用户对应的用户访问策略元数据文件， 并在其中的与所述 网络存储目录或网络存储文件相关信息对应的用户访问规则元数据中， 删 除与所述不能被授予访问权限的访问用户的身份标识对应的用户访问规则 ； 同吋， 在与所述被删除的用户访问规则对应的网络存储元数据文件中， 根据所述请求中携带的请求撤回的存储访问权限信息， 删除与所述不能被 授予访问权限的访问用户的身份标识对应的存储访问权限元数据。
[11] 11、 如权利要求 7所述的方法， 其特征在于， 还包括：
在授权用户的存储访问权限元数据文件中， 授权用户为被授权用户设置的 网络存储目录或网络存储文件的存储访问权限的过期吋间到达吋， 删除与 所述被授权用户身份标识对应的存储访问权限元数据。
[12] 12、 如权利要求 11所述的方法， 其特征在于， 所述权限过期吋间到达吋， 删除与所述被授权用户身份标识对应的存储访问权限元数据的过程， 具体 包括：
在授权用户的存储授权策略元数据文件中， 当其中一个被授权用户身份标 识对应的存储访问权限元数据的权限过期吋间到达吋， 则删除该存储访问 权限元数据；
或者，
在授权用户的存储访问权限元数据文件中， 当其中一个被授权用户身份标 识对应的存储访问权限元数据的权限过期吋间到达吋， 则删除该存储访问 权限元数据； 同吋， 在授权用户对应的'用户访问策略 '元数据文件中， 删除 与所述被授权用户该存储访问权限对应的用户访问规则元数据。
[13] 13、 如权利要求 11所述的方法， 其特征在于， 还包括：
在根据授权用户的网络存储访问权限操作请求， 操作所述授权用户的网络 存储目录或网络存储文件的存储访问权限后， 将发生变化的网络存储访问 权限元数据， 通知给所述网络存储访问权限元数据中对应的被授权用户； 或者，
在授权用户为被授权用户设置的网络存储目录或网络存储文件的存储访问 权限的权限过期吋间到达后，
将发生变化的网络存储访问权限元数据， 通知给所述网络存储访问权限元 数据中对应的被授权用户。
[14] 14、 如权利要求 13所述的方法， 其特征在于， 在通知被授权用户所述发生 变化后的存储访问权限元数据吋， 将能够釆用的访问方式， 通知给所述被 授权用户。
[15] 15、 一种网络存储访问控制方法， 其特征在于， 包括：
获得被授权用户针对授权用户网络存储的访问请求；
根据授权用户网络存储访问权限元数据中与所述被授权用户对应的存储访 问权限信息， 将授权用户网络存储元数据文件中被授权用户具有访问权限 的元数据提供给所述被授权用户。
[16] 16、 如权利要求 15所述的方法， 其特征在于， 所述根据所述授权用户网络 存储访问权限元数据中与所述被授权用户对应的存储访问权限信息， 将授 权用户网络存储元数据文件中被授权用户具有访问权限的元数据提供给所 述被授权用户的过程， 具体包括：
检索授权用户存储授权策略元数据文件中与被授权用户访问的授权用户网 络存储目录或网络存储文件的相关信息对应的存储授权策略元数据， 获得 与所述被授权用户身份标识对应的
存储访问权限元数据； 将与所述存储访问权限元数据对应的网络存储目录 或网络存储文件元数据提供给所述被授权用户；
或者，
检索授权用户用户访问策略元数据文件中与被授权用户访问的授权用户网 络存储目录或网络存储文件的相关信息对应的用户访问规则元数据， 获得 与所述被授权用户身份标识对应的用户访问规则； 根据所述用户访问规则 ， 在对应的网络存储访问权限元数据文件中， 获得与所述被授权用户身份 标识对应的存储访问权限元数据
； 将与所述存储访问权限元数据对应的网络存储目录或网络存储文件元数 据提供给所述被授权用户。
[17] 17、 如权利要求 15所述的方法， 其特征在于， 还包括：
获得被授权用户针对与所述授权用户网络存储元数据对应的网络存储的访 问请求；
根据授权用户网络存储访问权限元数据中与所述被授权用户对应的存储访 问权限信息， 对所述被授权用户的访问请求进行合法性验证； 为通过验证 的被授权用户建立与授权用户网络存储之间的数据传输通道， 利用所述数 据传输通道， 进行所述被授权用户与授权用户网络存储之间的数据传输。
[18] 18、 如权利要求 17所述的方法， 其特征在于， 还包括：
利用所述数据传输通道， 获得被授权用户上传的消息内容； 根据所述上传 的消息内容， 添加、 更改或删除所述授权用户网络存储内容， 并根据发生 变化的信息， 更新授权用户网络存储目录或网络存储文件相应的元数据信 息。
[19] 19、 如权利要求 18所述的方法， 其特征在于， 还包括：
在根据被授权用户上传的消息内容， 更新授权用户网络存储目录或网络存 储文件相应的元数据信息后， 将发生变化所得的元数据， 通知给所述授权 用户， 和 /或， 具有该网络存储目录和 /或网络存储文件访问权限的被授权用 户。
[20] 20、 如权利要求 19所述的方法， 其特征在于， 在通知被授权用户变化后的 存储访问权限元数据吋， 将能够釆用的访问方式， 通知给所述被授权用户
[21] 21、 一种网络存储访问权限管理装置， 其特征在于， 包括网络存储权限访 问控制器和消息业务元数据文件管理器， 所述网络存储权限访问控制器， 用于获得授权用户的网络存储访问权限操作请求， 所述请求中携带授权用 户请求操作的存储访问权限信息； 根据所述消息业务元数据文件管理器中 的存储访问权限信息， 对所述授权用户的网络存储访问权限操作请求， 进 行合法性验证；
所述消息业务元数据文件管理器， 用于根据所述网络存储权限访问控制器 通过验证的网络存储访问权限操作请求， 在授权用户的网络存储访问权限 元数据中， 根据所述授权用户请求操作的存储访问权限信息， 操作授权用 户为被授权用户设置的网络存储目录或网络存储文件的存储访问权限。
[22] 22、 如权利要求 21所述的网络存储访问权限管理装置， 其特征在于， 所述 消息业务元数据文件管理器包括： 权限授予单元， 用于根据所述网络存储权限访问控制器获得的网络存储访 问权限操作请求， 在授权用户的网络存储访问权限元数据文件中， 根据所 述授权用户请求授予的存储访问权限信息， 创建授权用户为被授权用户设 置的存储访问权限元数据；
或者，
权限更新单元， 用于根据所述网络存储权限访问控制器获得的网络存储访 问权限操作请求， 在与所述授权用户对应的网络存储访问权限元数据文件 中， 根据所述授权用户请求更新的存储访问权限信息， 更改授权用户为被 授权用户设置的存储访问权限元数据；
或者，
第一权限删除单元， 用于根据所述网络存储权限访问控制器获得的网络存 储访问权限操作请求， 在与所述授权用户对应的网络存储访问权限元数据 文件中， 根据所述授权用户请求撤回的存储访问权限， 删除授权用户为被 授权用户设置的存储访问权限元数据。
23、 如权利要求 22所述的网络存储访问权限管理装置， 其特征在于， 所述 权限授予单元包括：
第一权限授予子单元， 用于检索与所述授权用户对应的存储授权策略元数 据文件， 并在其中的与授权用户请求操作的存储访问权限信息所涉及的网 络存储目录或网络存储文件相关信息对应的存储授权策略元数据中， 根据 所述请求中携带的请求授予的存储访问权限信息， 创建与被授权用户身份 标识对应的存储访问权限元数据； 或者， 检索授权用户的存储授权策略元 数据文件， 并在其中的与所述授权用户请求操作的存储访问权限信息所涉 及的网络存储目录或网络存储文件相关信息对应的存储授权策略元数据中 ， 根据所述请求中携带的请求授予的存储访问权限信息， 创建与不能被授 予访问权限的访问用户的身份标识对应的存储访问权限元数据； 或者， 第二权限授予子单元， 用于检索与所述授权用户对应的用户访问策略元数 据文件， 并在其中的与所述授权用户请求操作的存储访问权限信息所涉及 的网络存储目录或网络存储文件相关信息对应的用户访问规则元数据中， 创建与被授权用户身份标识对应的用户访问规则； 同吋， 在与所述用户访 问规则对应的网络存储元数据文件中根据所述请求中携带的请求授予的存 储访问权限信息， 创建与被授权用户身份标识对应的存储访问权限元数据 ， 或者， 检索与所述授权用户对应的用户访问策略元数据文件， 并在其中 的与所述授权用户请求操作的存储访问权限信息所涉及的网络存储目录或 网络存储文件相关信息对应的用户访问规则元数据中， 创建与被授权用户 身份标识对应的用户访问规则； 同吋， 在与所述用户访问规则对应的网络 存储元数据文件中， 根据所述请求中携带的请求授予的存储访问权限信息 ， 创建与不能被授予访问权限的访问用户的身份标识对应的存储访问权限 元数据。
24、 如权利要求 22所述的网络存储访问权限管理装置， 其特征在于， 所述 权限更新单元包括：
第一权限更新子单元， 用于检索与所述授权用户对应的存储授权策略元数 据文件， 并在其中的与所述授权用户请求操作的存储访问权限信息所涉及 的网络存储目录或网络存储文件相关信息对应的存储授权策略元数据中， 根据所述请求中携带的请求更新的存储访问权限信息， 更改与被授权用户 身份标识对应的存储访问权限元数据； 或者， 用于检索与所述授权用户身 份标识对应的存储授权策略元数据文件， 并在其中的与被授权用户访问的 授权用户网络存储目录或网络存储文件的所述网络存储目录或网络存储文 件相关信息对应的存储授权策略元数据中， 根据所述请求中携带的请求更 新的存储访问权限信息， 更改与不能被授予访问权限的访问用户的身份标 识对应的存储访问权限元数据；
或者，
第二权限更新子单元， 用于在所述授权用户对应的用户访问策略元数据文 件中， 检索与所述授权用户请求操作的存储访问权限信息所涉及的网络存 储目录或网络存储文件相关信息对应的用户访问规则元数据中， 与所述被 授权用户身份标识对应的用户访问规则； 并且在与所述用户访问规则对应 的网络存储元数据文件中， 根据所述请求中携带的请求更新的存储访问权 限信息， 更改与所述被授权用户身份标识对应的存储访问权限元数据； 或 者， 用于在所述授权用户对应的用户访问策略元数据文件中的与所述授权 用户请求操作的存储访问权限信息所涉及的网络存储目录或网络存储文件 相关信息对应的用户访问规则元数据中， 检索与不能被授予访问权限的访 问用户的身份标识对应的用户访问规则； 并且在与所述用户访问规则对应 的网络存储元数据文件中， 根据所述请求中携带的请求更新的存储访问权 限信息， 更改与所述不能被授予访问权限的访问用户的身份标识对应的存 储访问权限元数据。
25、 如权利要求 22所述的网络存储访问权限管理装置， 其特征在于， 所述 第一权限删除单元包括：
第一权限删除子单元， 用于检索与所述授权用户对应的存储授权策略元数 据文件， 并在其中的与所述授权用户请求操作的存储访问权限信息所涉及 的网络存储目录或网络存储文件相关信息对应的存储授权策略元数据中， 根据所述请求中携带的请求撤回的存储访问权限信息， 删除与所述被授权 用户身份标识对应的存储访问权限元数据； 或者， 用于检索与所述授权用 户对应的存储授权策略元数据文件， 并在其中的与所述授权用户请求操作 的存储访问权限信息所涉及的网络存储目录或网络存储文件相关信息对应 的存储授权策略元数据中， 根据所述请求中携带的请求撤回的存储访问权 限信息， 删除与所述不能被授予访问权限的访问用户的身份标识对应的存 储访问权限元数据；
或者，
第二权限删除子单元， 用于检索与所述授权用户对应的用户访问策略元数 据文件， 并在其中的与所述授权用户请求操作的存储访问权限信息所涉及 的网络存储目录或网络存储文件相关信息对应的用户访问规则元数据中， 删除与所述被授权用户身份标识对应的用户访问规则； 同吋， 在与所述被 删除的用户访问规则对应的网络存储元数据文件中， 根据所述请求中携带 的请求撤回的存储访问权限信息， 删除与所述被授权用户身份标识对应的 存储访问权限元数据； 或者， 用于检索与所述授权用户对应的用户访问策 略元数据文件， 并在其中的与所述授权用户请求操作的存储访问权限信息 所涉及的网络存储目录或网络存储文件相关信息对应的用户访问规则元数 据中， 删除与所述不能被授予访问权限的访问用户的身份标识对应的用户 访问规则； 同吋， 在与所述被删除的用户访问规则对应的网络存储元数据 文件中， 根据所述请求中携带的请求撤回的存储访问权限信息， 删除与所 述不能被授予访问权限的访问用户的身份标识对应的存储访问权限元数据
[26] 26、 如权利要求 21至 25任意一项所述的网络存储访问权限管理装置， 其特 征在于， 所述消息业务元数据文件管理器还包括：
第二权限删除单元， 用于在授权用户对应的网络存储访问权限元数据文件 中， 授权用户为被授权用户设置的网络存储目录或网络存储文件的存储访 问权限的过期吋间到达吋， 删除与所述被授权用户身份标识对应的存储访 问权限元数据。
[27] 27、 如权利要求 26所述的网络存储访问权限管理装置， 其特征在于， 所述 第二权限删除单元包括：
第三权限删除子单元， 用于在授权用户的存储授权策略元数据文件中， 当 其中一个被授权用户身份标识对应的存储访问权限元数据中的权限过期吋 间到达吋， 则删除该存储访问权限元数据；
或者，
第四权限删除子单元， 用于在授权用户的网络存储元数据文件中， 当某个 被授权用户身份标识对应的存储访问权限元数据中的权限过期吋间到达吋 ， 则删除该存储访问权限元数据； 同吋， 在授权用户对应的用户访问策略 元数据文件中， 删除与所述被授权用户该存储访问权限对应的用户访问规 则元数据。
[28] 28、 如权利要求 26所述的网络存储访问权限管理装置， 其特征在于， 还包 括：
通知服务器， 用于当根据授权用户的网络存储访问权限操作请求， 操作所 述授权用户的网络存储目录或网络存储文件的存储访问权限后， 将发生变 化的网络存储访问权限元数据， 通知给所述网络存储访问权限元数据中对 应的被授权用户；
或者， 当授权用户为被授权用户设置的网络存储目录或网络存储文件的存 储访问权限的权限过期吋间到达后， 将发生变化的网络存储访问权限元数 据， 通知给所述网络存储访问权限元数据中对应的被授权用户。
[29] 29、 如权利要求 28所述的网络存储访问权限管理装置， 其特征在于， 所述 通知服务器还用于： 在通知被授权用户所述发生变化后的存储访问权限元 数据吋， 将能够釆用的访问方式， 通知给所述被授权用户。
[30] 30、 一种网络存储访问权限管理装置， 其特征在于， 包括网络存储权限访 问控制器和消息业务元数据文件管理器，
所述网络存储权限访问控制器， 用于获得被授权用户针对授权用户网络存 储的访问请求； 根据所述消息业务元数据文件管理器中与所述授权用户对 应的网络存储访问权限元数据中的与所述被授权用户对应的存储访问权限 信息， 对所述被授权用户的访问请求进行合法性验证； 对通过验证的访问 请求， 向所述消息业务元数据文件管理器请求所述被授权用户具有访问权 限的元数据， 并将所述消息业务元数据文件管理器反馈的元数据提供给所 述被授权用户；
所述消息业务元数据文件管理器， 用于将与所述授权用户网络存储访问权 限元数据中与所述被授权用户对应的存储访问权限信息， 反馈给所述网络 存储权限访问控制器。
[31] 31、 如权利要求 30所述的网络存储访问权限管理装置， 其特征在于， 所述 消息业务元数据文件管理器包括：
第一请求处理单元， 用于检索授权用户存储授权策略元数据文件中与被授 权用户访问的授权用户网络存储目录或网络存储文件的相关信息对应的存 储授权策略元数据， 获得与所述被授权用户身份标识对应的存储访问权限 元数据； 将与所述存储访问权限元数据对应的网络存储目录或网络存储文 件元数据， 反馈给所述网络存储权限访问控制器；
或者， 第二请求处理单元， 用于检索授权用户用户访问策略元数据文件中与被授 权用户访问的授权用户网络存储目录或网络存储文件的相关信息对应的用 户访问规则元数据， 获得与所述被授权用户身份标识对应的用户访问规则 ； 根据所述用户访问规则， 在对应的网络存储元数据文件中， 获得与所述 被授权用户身份标识对应的存储访问权限元数据； 将与所述存储访问权限 元数据对应的网络存储目录或网络存储文件元数据， 反馈给所述网络存储 权限访问控制器。
[32] 32、 如权利要求 30所述的网络存储访问权限管理装置， 其特征在于， 所述 网络存储权限访问控制器， 还用于：
对通过验证的访问请求， 将授权用户网络存储元数据文件中所述被授权用 户具有访问权限的元数据， 提供给消息服务器； 获得
消息服务器根据所述元数据向消息内容存储器请求的所述被授权用户具有 访问权限的元数据对应的消息内容， 并将其提供给被授权用户。
[33] 33、 如权利要求 32所述的网络存储访问权限管理装置， 其特征在于， 所述 消息业务元数据文件管理器还包括：
数据更新单元， 用于获得所述消息服务器发送的请求， 所述请求中携带： 根据被授权用户上传的消息内容， 在消息内容存储器
中添加、 更改或删除所述授权用户网络存储内容； 根据所述变化的信息， 更新授权用户网络存储目录或网络存储文件中相应的元数据信息。
[34] 34、 如权利要求 32所述的网络存储访问权限管理装置， 其特征在于， 还包 括：
通知服务器， 用于在根据被授权用户上传的消息内容， 更新授权用户网络 存储目录或网络存储文件相应的元数据信息后， 将发生变化所得的元数据 ， 通知给所述授权用户， 和 /或， 具有该网络存储目录和 /或网络存储文件访 问权限的被授权用户。
[35] 35、 如权利要求 34所述的网络存储访问权限管理装置， 其特征在于， 所述 通知服务器还用于： 在通知被授权用户所述发生变化后的存储访问权限元 数据吋， 将能够釆用的访问方式， 通知给所述被授权用户。
PCT/CN2007/071365 2007-04-04 2007-12-28 Procede et appareil de gestion de permission d'acces a une memoire reseau et procede de controle d'acces a une memoire reseau WO2008122185A1 (fr)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US12/571,485 US20100023491A1 (en) 2007-04-04 2009-10-01 Method and apparatus for network storage access rights management

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2007100911315A CN101282330B (zh) 2007-04-04 2007-04-04 网络存储访问权限管理方法及装置、网络存储访问控制方法
CN200710091131.5 2007-04-04

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US12/571,485 Continuation US20100023491A1 (en) 2007-04-04 2009-10-01 Method and apparatus for network storage access rights management

Publications (1)

Publication Number Publication Date
WO2008122185A1 true WO2008122185A1 (fr) 2008-10-16

Family

ID=39830466

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2007/071365 WO2008122185A1 (fr) 2007-04-04 2007-12-28 Procede et appareil de gestion de permission d'acces a une memoire reseau et procede de controle d'acces a une memoire reseau

Country Status (3)

Country Link
US (1) US20100023491A1 (zh)
CN (1) CN101282330B (zh)
WO (1) WO2008122185A1 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20150123770A (ko) * 2015-10-23 2015-11-04 삼성전자주식회사 통신 시스템에서 세션 히스토리 송수신 방법
US9444649B2 (en) 2009-02-05 2016-09-13 Samsung Electronics Co., Ltd Method for sending and receiving session history in a communications system
CN106055968A (zh) * 2016-05-31 2016-10-26 北京金山安全软件有限公司 一种权限设置方法、装置及电子设备

Families Citing this family (59)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100941535B1 (ko) * 2006-06-09 2010-02-10 엘지전자 주식회사 디지털 저작권 관리에서 장치의 도메인 탈퇴 방법, 그 장치및 그 시스템
US10417586B2 (en) * 2007-08-31 2019-09-17 Red Hat, Inc. Attaching ownership to data
EP2897341B1 (en) * 2009-04-20 2016-11-09 Interdigital Patent Holdings, Inc. System of multiple domains and domain ownership
CN108920502B (zh) * 2010-05-27 2021-11-23 瓦欧尼斯系统有限公司 数据分类
US9870480B2 (en) 2010-05-27 2018-01-16 Varonis Systems, Inc. Automatic removal of global user security groups
CN103026336B (zh) * 2010-05-27 2017-07-14 瓦欧尼斯系统有限公司 自动操作架构
US9077623B2 (en) * 2010-12-13 2015-07-07 Microsoft Technology Licensing, Llc Network management system supporting customizable groups
US20130305383A1 (en) * 2010-12-22 2013-11-14 Intel Corporation System and method to protect user privacy in multimedia uploaded to internet sites
CN103415847B (zh) 2011-01-24 2017-11-17 慧与发展有限责任合伙企业 用于访问服务的系统和方法
CN102624757A (zh) * 2011-01-26 2012-08-01 中山爱科数字家庭产业孵化基地有限公司 一种云计算环境下的数据安全访问的方法
US9680839B2 (en) 2011-01-27 2017-06-13 Varonis Systems, Inc. Access permissions management system and method
EP2668562A4 (en) 2011-01-27 2015-05-20 Varonis Systems Inc SYSTEM AND METHOD FOR MANAGING ACCESS RIGHTS
CN102104607B (zh) * 2011-03-10 2013-11-06 易程（苏州）软件股份有限公司 访问业务的安全控制方法、装置及系统
JP5659051B2 (ja) 2011-03-17 2015-01-28 株式会社東芝 通信媒体、ｉｃカード、及び通信方法
US9369307B2 (en) 2011-07-12 2016-06-14 Bank Of America Corporation Optimized service integration
US8448237B2 (en) 2011-07-12 2013-05-21 Bank Of America Corporation Virtual private internet
US9015320B2 (en) * 2011-07-12 2015-04-21 Bank Of America Corporation Dynamic provisioning of service requests
US8719919B2 (en) 2011-07-12 2014-05-06 Bank Of America Corporation Service mediation framework
CN102281141B (zh) * 2011-07-26 2013-11-06 华为数字技术（成都）有限公司 一种文档权限管理方法、装置及系统
CN103136483A (zh) * 2011-11-22 2013-06-05 中兴通讯股份有限公司 数据卡及其外接存储卡多用户访问方法
KR101330051B1 (ko) * 2011-11-29 2014-01-13 에스케이텔레콤 주식회사 수신불능 단말로의 파일 전송 장치 및 기록매체
SG11201403482TA (en) 2011-12-21 2014-07-30 Ssh Comm Security Oyj Automated access, key, certificate, and credential management
CN102710623B (zh) * 2012-05-23 2014-03-12 中国电力科学研究院 一种基于多方交互的智能电网用电信息隐私保护方法
US9330277B2 (en) 2012-06-21 2016-05-03 Google Technology Holdings LLC Privacy manager for restricting correlation of meta-content having protected information based on privacy rules
US8959574B2 (en) * 2012-06-21 2015-02-17 Google Technology Holdings LLC Content rights protection with arbitrary correlation of second content
US9058385B2 (en) * 2012-06-26 2015-06-16 Aol Inc. Systems and methods for identifying electronic content using video graphs
US9064154B2 (en) 2012-06-26 2015-06-23 Aol Inc. Systems and methods for associating electronic content
CN103886241B (zh) * 2012-12-19 2017-11-03 联想(北京)有限公司 一种安全认证的方法以及一种电子设备
CN103078859B (zh) * 2012-12-31 2016-03-02 普天新能源有限责任公司 业务系统权限管理方法、设备及系统
US9900727B2 (en) 2013-01-18 2018-02-20 Lg Electronics Inc. Method and apparatus for controlling access in wireless communication system
US9122412B1 (en) * 2013-02-26 2015-09-01 Netapp, Inc. System and method for producing tree perspectives of storage systems
US10631019B2 (en) * 2013-06-18 2020-04-21 Vecima Networks Inc. Remote storage digital video recording optimization method and system
US9467450B2 (en) * 2013-08-21 2016-10-11 Medtronic, Inc. Data driven schema for patient data exchange system
CN105376203B (zh) * 2014-08-26 2019-11-05 阿里巴巴集团控股有限公司 交互信息的处理方法、装置及系统
CN104618482B (zh) * 2015-02-02 2019-07-16 浙江宇视科技有限公司 访问云数据的方法、服务器、传统存储设备、系统
CN105162668B (zh) * 2015-09-17 2018-09-18 小米科技有限责任公司 连接解除方法及装置
CN105871801A (zh) * 2015-12-07 2016-08-17 乐视云计算有限公司 一种盗链的检测方法及装置
CN105592162B (zh) * 2016-01-20 2019-05-17 歌尔股份有限公司 基于多类型文件的上传方法及系统
CN105792178A (zh) * 2016-04-29 2016-07-20 宇龙计算机通信科技(深圳)有限公司 生成和获取用于删除isd-p域的授权的方法及装置
CN107786594B (zh) * 2016-08-26 2021-01-19 杭州爱钥医疗健康科技有限公司 业务请求处理方法及装置
CN107948126B (zh) * 2016-10-13 2021-09-03 阿里巴巴集团控股有限公司 一种报表查看方法及设备
CN107967416B (zh) * 2016-10-19 2021-07-09 华为技术有限公司 版权维权检测的方法、装置和系统
CN108885671B (zh) * 2016-11-16 2021-06-22 华为技术有限公司 一种目录删除方法、装置和存储服务器
JP6880684B2 (ja) * 2016-12-05 2021-06-02 富士フイルムビジネスイノベーション株式会社 ファイル管理装置及びプログラム
US11500824B1 (en) * 2017-04-03 2022-11-15 Amazon Technologies, Inc. Database proxy
US11392603B1 (en) * 2017-04-03 2022-07-19 Amazon Technologies, Inc. Database rest API
US11106540B1 (en) 2017-04-03 2021-08-31 Amazon Technologies, Inc. Database command replay
US11182496B1 (en) 2017-04-03 2021-11-23 Amazon Technologies, Inc. Database proxy connection management
CN107436920A (zh) * 2017-07-01 2017-12-05 武汉斗鱼网络科技有限公司 Node.js权限控制方法、存储介质、电子设备及系统
CN109388331A (zh) * 2017-08-02 2019-02-26 学习王科技股份有限公司 具备数据保全功能的多用途双接口储存装置
CN108632238A (zh) * 2017-09-18 2018-10-09 北京视联动力国际信息技术有限公司 一种权限控制的方法和装置
CN108170757B (zh) * 2017-12-22 2020-07-07 郑州云海信息技术有限公司 一种数据文件读取方法、装置及设备
US10728187B2 (en) 2018-04-05 2020-07-28 Global Relay Communications Inc. System and method for processing messages with organization and personal interaction controls
CN110197075B (zh) * 2018-04-11 2023-03-17 腾讯科技（深圳）有限公司 资源访问方法、装置、计算设备以及存储介质
CN108768948B (zh) * 2018-04-28 2021-04-16 努比亚技术有限公司 一种访问权限管理方法、服务器及计算机可读存储介质
CN112105026B (zh) * 2019-06-17 2022-07-12 华为技术有限公司 一种授权控制的方法、装置以及存储介质
CN110489155B (zh) * 2019-08-26 2024-01-09 北京达佳互联信息技术有限公司 数据文件管理方法、装置、电子设备及介质
CN110636054B (zh) * 2019-09-05 2020-08-21 珠海格力电器股份有限公司 资源的复用方法、装置、设备和系统
CN114025000B (zh) * 2021-10-29 2023-05-30 建信金融科技有限责任公司 网络访问关系的建立方法、装置、设备及存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1617507A (zh) * 2003-11-12 2005-05-18 鸿富锦精密工业（深圳）有限公司 用户权限管理系统及方法
US20060224735A1 (en) * 2005-03-31 2006-10-05 International Business Machines Corporation Access validation and management of access permissions to referenced shared resources in a networked environment
CN1855832A (zh) * 2005-04-18 2006-11-01 索尼株式会社 会议系统和终端装置

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7426329B2 (en) * 2003-03-06 2008-09-16 Microsoft Corporation Systems and methods for receiving, storing, and rendering digital video, music, and pictures on a personal media player
US7395339B2 (en) * 2003-08-07 2008-07-01 International Business Machines Corporation Method and system for providing on-demand media streaming from a user's own library to a receiving device of the user
US20050132191A1 (en) * 2003-12-16 2005-06-16 Joshi Ajit P. Method for authenticating different rendering devices with different service providers
US20050138137A1 (en) * 2003-12-19 2005-06-23 Microsoft Corporation Using parameterized URLs for retrieving resource content items
KR100643281B1 (ko) * 2004-10-09 2006-11-10 삼성전자주식회사 홈 네트워크에서의 보안 서비스 제공 장치, 시스템 및 방법
US9467322B2 (en) * 2005-12-27 2016-10-11 Rovi Solutions Corporation Methods and apparatus for integrating media across a wide area network
US7984066B1 (en) * 2006-03-30 2011-07-19 Emc Corporation Mandatory access control list for managed content
US7738900B1 (en) * 2007-02-15 2010-06-15 Nextel Communications Inc. Systems and methods of group distribution for latency sensitive applications
US8185949B2 (en) * 2008-11-20 2012-05-22 Cisco Technology, Inc. UPnP CDS user profile

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1617507A (zh) * 2003-11-12 2005-05-18 鸿富锦精密工业（深圳）有限公司 用户权限管理系统及方法
US20060224735A1 (en) * 2005-03-31 2006-10-05 International Business Machines Corporation Access validation and management of access permissions to referenced shared resources in a networked environment
CN1855832A (zh) * 2005-04-18 2006-11-01 索尼株式会社 会议系统和终端装置

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9444649B2 (en) 2009-02-05 2016-09-13 Samsung Electronics Co., Ltd Method for sending and receiving session history in a communications system
KR101773183B1 (ko) * 2009-02-05 2017-09-12 삼성전자주식회사 통신 시스템에서 세션 히스토리 송수신 방법
KR20150123770A (ko) * 2015-10-23 2015-11-04 삼성전자주식회사 통신 시스템에서 세션 히스토리 송수신 방법
KR101689196B1 (ko) * 2015-10-23 2016-12-23 삼성전자주식회사 통신 시스템에서 세션 히스토리 송수신 방법
CN106055968A (zh) * 2016-05-31 2016-10-26 北京金山安全软件有限公司 一种权限设置方法、装置及电子设备
CN106055968B (zh) * 2016-05-31 2019-09-17 北京金山安全软件有限公司 一种权限设置方法、装置及电子设备

Also Published As

Publication number Publication date
US20100023491A1 (en) 2010-01-28
CN101282330B (zh) 2013-08-28
CN101282330A (zh) 2008-10-08

Similar Documents

Publication Publication Date Title
WO2008122185A1 (fr) Procede et appareil de gestion de permission d&#39;acces a une memoire reseau et procede de controle d&#39;acces a une memoire reseau
US6957261B2 (en) Resource policy management using a centralized policy data structure
WO2008071064A1 (fr) Procédé pour accéder à des données d&#39;utilisateurs et serveur de gestion de profils d&#39;utilisateurs
US8769642B1 (en) Techniques for delegation of access privileges
US10911428B1 (en) Use of metadata for computing resource access
US7506102B2 (en) Method and apparatus for local access authorization of cached resources
US8046476B2 (en) Access right control using access control alerts
EP2724280B1 (en) Persistent key access to a resources in a collection
US7206788B2 (en) Schema-based services for identity-based access to device data
WO2007090332A1 (en) A method and system for managing xml document
JP2015518201A5 (zh)
WO2007059674A1 (fr) Mandataire de demandes, systeme de communication, et procede de demande d&#39;informations dans le systeme de communication
WO2007068195A1 (fr) Procede et systeme de demande d&#39;informations d&#39;utilisateur, agent de recherche, client et serveur
JP5545953B2 (ja) Ｘｍｌ文書管理サーバヒストリーを管理するためのシステム及び方法
KR20150018860A (ko) 프레즌스 속성 기반의 프레즌스 통지 시스템 및 방법
WO2010075761A1 (zh) 一种向访问用户提供资源的方法、服务器和系统
WO2022186911A1 (en) Methods, systems and computer readable media for resource object level authorization at a network function (nf)
US9871778B1 (en) Secure authentication to provide mobile access to shared network resources
CN101164278A (zh) 可扩展标记语言xml文档管理方法及系统
JP2008525880A (ja) 個人データの制御装置及び方法
Alliance XML Document Management (XDM) Specification
KR100642215B1 (ko) Ｓｉｐ 프로토콜을 이용한 프리젠스 서비스 방법 및 이를 위한 확장된 프리젠스 정보를 위한 ｘｍｌ 데이터 구조가 저장되는 기록매체
JP4950369B1 (ja) アイデンティティネットワークにおけるプライバシー管理のための方法、そのための物理エンティティおよびコンピュータプログラム
KR102251705B1 (ko) 시간의 경과에 따라 콘텐츠로의 접근을 제한하는 콘텐츠 제공 서버의 동작 방법과 이를 이용한 서비스 제공 방법
EP3742318B1 (en) Method and device for the storing, inspection control and retrieval of data from a permanently immutable, distributed and decentralized storage

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 07846191

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 07846191

Country of ref document: EP

Kind code of ref document: A1