WO2009074073A1 - Procédé d'accès et de commande, dispositif et système de communication - Google Patents

Procédé d'accès et de commande, dispositif et système de communication Download PDF

Info

Publication number
WO2009074073A1
WO2009074073A1 PCT/CN2008/073235 CN2008073235W WO2009074073A1 WO 2009074073 A1 WO2009074073 A1 WO 2009074073A1 CN 2008073235 W CN2008073235 W CN 2008073235W WO 2009074073 A1 WO2009074073 A1 WO 2009074073A1
Authority
WO
WIPO (PCT)
Prior art keywords
access
management policy
radius
operation object
client
Prior art date
Application number
PCT/CN2008/073235
Other languages
English (en)
French (fr)
Inventor
Yuzhi Ma
Chunxiu Li
Original Assignee
Huawei Technologies Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co., Ltd. filed Critical Huawei Technologies Co., Ltd.
Publication of WO2009074073A1 publication Critical patent/WO2009074073A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0892—Network architectures or network communication protocols for network security for authentication of entities by using authentication-authorization-accounting [AAA] servers or protocols

Definitions

  • the present invention relates to the field of communications, and in particular, to an access control method, device, and communication system.
  • ISMS Integrated Security Management Model for Simple Network Management Protocol
  • IETF Internet Engineering Task Force
  • RADIUS Remote Authentication Dial In
  • User Service Protocol Ten authentications and authorizations.
  • the RADIUS service is a protocol used for inter-server communication between a Network Access Server (NAS) and Authentication Authorization Accounting (AAA).
  • NAS Network Access Server
  • AAA Authentication Authorization Accounting
  • RADIUS uses a typical client/server architecture, and the NAS operates as a client in the RADIUS architecture.
  • RADIUS uses the User Data Protocol (UDP) to transmit messages.
  • UDP User Data Protocol
  • the timer management mechanism, retransmission mechanism, and standby server mechanism ensure that the RADIUS server and client exchange messages correctly.
  • the standard Radius packet structure is shown in Table 1:
  • Code indicates the type of the RADIUS packet, which mainly includes the following types: Access-Request: access request packet; Access-Accept: access accept packet; Access-Rej ect: access denied packet; Accounting-Request: accounting request packet; Response: The billing response packet.
  • Attributes are used to carry detailed authentication, authorization, and configuration details in request and response packets to implement authentication, authorization, and accounting functions.
  • the number of specific attributes is arbitrary. You can use type-length-value ( TLV, Type, Length, Value) The form of the triplet.
  • the above technical solution only proposes the structure of the RADIUS system and the RADIUS packet.
  • the format does not reveal a method for implementing access control under the RADIUS system, and a similar method for implementing access control is not provided in the prior art.
  • the embodiment of the invention provides an access control method, device and communication system, which can implement access control under the RADIUS system.
  • the access control method provided by the embodiment of the present invention includes: a remote user dial-in authentication RADIUS client receives a message sent by a RADIUS server, where the message includes a management policy and an operation object; and the management policy and operation are obtained from the message. An object; accessing the operation object according to the management policy.
  • the access control method provided by the embodiment of the present invention includes: receiving, by the RADIUS server, an access request that is sent by the RADIUS client and including an access requirement parameter; and querying, in the database, a management policy and an operation object corresponding to the access requirement parameter in the access request; Transmitting the management policy and the operation object in the access acceptance response; sending an access acceptance response including the management policy and the operation object to the RADIUS client, where the access acceptance response is used to indicate that the RADIUS client is in accordance with the The management policy accesses the operation object.
  • the access control method provided by the embodiment of the present invention includes: the RADIUS client sends an access request including the access requirement parameter to the RADIUS server; the RADIUS server queries the database for the management policy and the operation object corresponding to the access requirement parameter in the access request.
  • the RADIUS server sends an access acceptance response including the management policy and the operation object to the RADIUS client; the RADIUS client obtains the management policy and the operation object from the access acceptance response; the RADIUS client performs the management policy according to the management policy
  • the operation object is accessed.
  • the communication system includes: a RADIUS server, configured to receive an access request that is sent by a RADIUS client and includes an access requirement parameter, and query a database for a management policy and operation corresponding to the access requirement parameter in the access request. And sending, by the RADIUS client, an access acceptance response including the management policy and the operation object; the RADIUS client, configured to send an access request including the access requirement parameter to the RADIUS server, and obtain the management from the received access acceptance response.
  • the policy and the operation object access the operation object according to the management policy.
  • the RADIUS server provided by the embodiment of the present invention includes: an access request receiving unit, configured to receive an access request that is sent by a RADIUS client and includes an access requirement parameter;
  • the query unit is configured to query, in the database, a management policy and an operation object corresponding to the access requirement parameter in the access request, and an encapsulation unit, configured to carry the management policy and the operation object in the access acceptance response;
  • a sending unit configured to send, to the RADIUS client, an access accept response that includes the management policy and an operation object, where the access accept response is used to instruct the RADIUS client to access the operation object according to the management policy .
  • the RADIUS client provided by the embodiment of the present invention includes: an access acceptance response receiving unit, configured to receive an access acceptance response sent by a RADIUS server, where the access acceptance response includes a management policy and an operation object; and an access control parameter obtaining unit, configured to: Obtaining a management policy and an operation object from the access acceptance response; and an access execution unit, configured to access the operation object according to the management policy.
  • the embodiments of the present invention have the following advantages:
  • the RADIUS client can obtain the access control parameter (including at least the management policy and the operation object) from the access acceptance response sent by the RADIUS server, so the RADIUS server can access the operation object according to the management policy. Thereby, access control under the RADIUS system can be realized.
  • the access control parameter including at least the management policy and the operation object
  • FIG. 1 is a schematic diagram of a first embodiment of an access control method according to an embodiment of the present invention
  • FIG. 2 is a schematic diagram of a second embodiment of an access control method according to an embodiment of the present invention.
  • FIG. 3 is a schematic diagram of a third embodiment of an access control method according to an embodiment of the present invention.
  • FIG. 4 is a schematic diagram of an embodiment of a communication system according to an embodiment of the present invention.
  • FIG. 5 is a schematic diagram of an embodiment of a RADIUS server according to an embodiment of the present invention.
  • FIG. 6 is a schematic diagram of an embodiment of a RADIUS client according to an embodiment of the present invention.
  • the embodiment of the invention provides an access control method, device and communication system, which are used for implementing access control under the RADIUS system.
  • the RADIUS client can obtain the access control parameter (including at least the management policy and the operation object) from the access acceptance response sent by the RADIUS server, so the RADIUS server can access the operation object according to the management policy.
  • the access control process in the embodiment of the present invention includes the execution process of the RADIUS client and the execution process of the RADIUS server. The following describes the two network elements:
  • the first embodiment of the access control method in the embodiment of the present invention includes:
  • the RADIUS client sends an access request to the RADIUS server.
  • the RADIUS client when the RADIUS client needs to perform resource access, the RADIUS client needs to pass the authentication, which may be an identity authentication, an access authentication, or the like, which is not limited in this embodiment.
  • the RADIUS client sends an access request to the RADIUS server.
  • the access request uses the RADIUS packet format as shown in Table 1, and the access request includes the access requirement parameter, which may include the RADIUS client request.
  • the RADIUS client receives the access acceptance response sent by the RADIUS server.
  • the RADIUS client After the RADIUS client authenticates the RADIUS server, the RADIUS client receives the access acceptance response sent by the RADIUS server. If the authentication fails, an access rejection response may be received.
  • the preset mechanism may be used. For example, the RADIUS client is requested to re-authenticate or directly terminate the process.
  • the description is based on the RADIUS client, so the operation of the specific RADIUS server is not described in detail.
  • the RADIUS client obtains a management policy and an operation object from the access acceptance response.
  • the RADIUS client After obtaining the access acceptance response, the RADIUS client extracts the management policy and the operation object from the access acceptance response.
  • the access acceptance response adopts the RADIUS packet format as shown in Table 1, and the access accepts the response. At least the management policy and the operation object are included. It can be understood that the access acceptance response may also include access control parameters such as access roles and/or access rights.
  • the specific means of obtaining can be:
  • the specific management strategy and the data format of the operation object in Attributes contain three fields, namely "Type”, “Length” and “Text”, where Type It is used to indicate the current access control parameters.
  • Type field of the management policy is: “Management-Policy-Id”
  • the Text field is the specific management policy content
  • the type of the operation object is: “Management-Object-Id”
  • the Text field is the specific operation object content.
  • the specific field name for example, "Management-Object-Id" is actually The application can be changed, and the specific modification method will not be described here.
  • the above describes the method for obtaining the management policy and the operation object from the access acceptance response. It can be understood that if the access acceptance response further includes other types of access control parameters such as access roles or access rights, the above acquisition method can also be used. Get it.
  • the manner in which the management policy exists in the access acceptance response and the data format are the same as in the above manner, except that the operation object is acquired in different manners.
  • the operation object exists in the Text field of the management policy.
  • the data format of the specific operation object may be the same as in the previous method, and other data formats may be adopted as long as the related information (including the ID and the length) of the operation object can be indicated.
  • the specific acquisition manner may be further subdivided into two.
  • the text field in each management policy carries only one access control parameter, and multiple management policies are required to obtain all the access control parameters.
  • the RADIUS protocol specifies If multiple attributes of the same type appear, the order of the same type of attributes is maintained during the transmission process, that is, the management policy needs to transmit different access control parameters in sequence, for example, the first management policy transmits the access role, and the second The management policy transmits the operation object, and the third management policy transmits the access rights. This transmission sequence requires pre-negotiation between the RADIUS client and the RADIUS server.
  • the Text field in each management policy may carry multiple access control parameters. Number, each access control parameter is separated by a delimiter. In this case, only one management policy is required to obtain all access control parameters. It should be noted that in this case, the text in the management policy The order of the access control parameters in the field also requires the RADIUS client and the RADIUS server to negotiate in advance.
  • the RADIUS client accesses the operation object according to the management policy.
  • the RADIUS client can access the operation object according to the management policy. For example, if the operation object is resource X, that is, the accessed object is resource X, and the management policy is accessed through the proxy server Y. After obtaining the management policy and the operation object X, the RADIUS client initiates a connection request to the proxy server Y, establishes a connection with the proxy server Y, and establishes a connection with the resource server by the proxy server Y, and the proxy server Y can be accessed after the establishment is completed. Resource X, and the resource X is presented to the user, the user can access the resource X through the proxy server Y. It can be understood that if other access control parameters, such as access roles or access rights, are also included, the corresponding processing needs to be performed during the access process.
  • the RADIUS client can obtain the access control parameter (including at least the management policy and the operation object) from the access acceptance response sent by the RADIUS server, so the RADIUS server can access the operation object according to the management policy, thereby Can achieve access control under the RADIUS system.
  • the access control parameter including at least the management policy and the operation object
  • the foregoing solution describes the access control method in the embodiment of the present invention from the perspective of the RADIUS client.
  • the following describes the access control method in the embodiment of the present invention from the perspective of the RADIUS server. Referring to FIG. 2, the access control in the embodiment of the present invention is provided.
  • the second embodiment of the method includes:
  • the RADIUS server receives an access request that is sent by the RADIUS client and includes an access requirement parameter.
  • the RADIUS client when the RADIUS client needs to perform resource access, the RADIUS client needs to pass the authentication, which may be an identity authentication, an access authentication, or the like, which is not limited in this embodiment.
  • the RADIUS client sends an access request to the RADIUS server.
  • the access request uses a RADIUS packet format, and the access request includes an access requirement parameter, which may include a type of resource that the RADIUS client requests to access or The resource identifier or the user identifier corresponding to the RADIUS client, etc., can be understood that the specific access requirement parameters can be changed according to the actual application, which is not limited herein.
  • the RADIUS server queries a management policy and an operation object corresponding to the access requirement parameter.
  • the RADIUS server After obtaining the access requirement parameter in the access request, the RADIUS server queries the local database for access control parameters (such as management policies and operation objects) corresponding to the parameter.
  • access control parameters such as management policies and operation objects
  • the correspondence between the access requirement parameter and the access control parameter may be preset, and the corresponding relationship may be modified and updated during the system running process, so the RADIUS server can query from the database.
  • the database may be local to the RADIUS server, or may be in other network elements, or the database may exist independently.
  • the RADIUS server carries the management policy and the operation object in the access acceptance response.
  • the access control parameter in this embodiment includes at least the management policy and the operation object, and may also include the access role and the access right.
  • the specific management strategy and the data format of the operation object in Attributes are three fields, namely "Type”, “Length” and “Text”, where Type is used to indicate what is currently
  • the specific field name for example, "Management-Object-Id" can be changed in the actual application. The way to change is not repeated here.
  • the access acceptance response also includes other types of access control parameters such as access roles or access rights, the same acquisition method can also be used for carrying.
  • the manner in which the management policy exists in the access acceptance response and the data format are the same as in the previous mode.
  • the difference is that the operation object is carried in different manners.
  • the operation object exists in the Text field of the management policy.
  • the data format of the specific operation object may be the same as in the previous method, and other data formats may be adopted as long as the related information (including the ID and the length) of the operation object can be indicated.
  • the specific carrying manner may be further divided into two.
  • the Text field in each management policy carries only one access control parameter, and multiple management policies are required to carry all the access control parameters.
  • the same type is specified in RADIUS. Multiple attributes, the order of the same type of attributes is maintained during the transmission process, that is, the management policy needs to transmit different access control parameters in sequence, for example, the first management policy transmits the access role, and the second management policy transmits the It is an operation object.
  • the third management policy transmits access rights. This transmission sequence requires pre-negotiation between the RADIUS client and the RADIUS server.
  • the Text field in each management policy may carry multiple access control parameters, and each access control parameter is separated by a delimiter. In this case, only one management policy is required to carry all the accesses.
  • the control parameters need to be described. In this case, the order of the access control parameters in the Text field in the management policy also needs to be negotiated in advance by the RADIUS client and the RADIUS server.
  • the RADIUS server sends the access acceptance response to the RADIUS client.
  • the RADIUS server sends an access accept response with an access control parameter (including at least a management policy and an operation object) to the RADIUS client, and the access accept response is used to instruct the RADIUS client to access the operation object according to the management policy.
  • an access control parameter including at least a management policy and an operation object
  • a third embodiment of the access control method in the embodiment of the present invention includes:
  • the RADIUS client sends an access request to the RADIUS server.
  • the RADIUS client when the RADIUS client needs to perform resource access, the RADIUS client needs to pass the authentication, which may be an identity authentication, an access authentication, or the like, which is not limited in this embodiment.
  • the RADIUS client sends an access request to the RADIUS server.
  • the access request uses a RADIUS packet format, and the access request includes an access requirement parameter, which may include a type of resource that the RADIUS client requests to access or
  • the resource identifier or the user identifier corresponding to the RADIUS client, etc. can be understood that the specific access requirement parameters can be changed according to the actual application, which is not limited herein.
  • the RADIUS server queries a management policy and an operation object corresponding to the access requirement parameter.
  • the RADIUS server After obtaining the access requirement parameter in the access request, the RADIUS server queries the local database for access control parameters (such as management policies and operation objects) corresponding to the parameter.
  • access control parameters such as management policies and operation objects
  • the correspondence between the access requirement parameter and the access control parameter may be preset, and the corresponding relationship may be modified and updated during the system running process, so the RADIUS server can query from the database.
  • the database may be local to the RADIUS server, or may be in other network elements, or the database may exist independently.
  • the RADIUS server carries the management policy and the operation object in the access acceptance response, and sends the access acceptance response to the RADIUS client.
  • the access control parameter in this embodiment includes at least the management policy and the operation object, and may also include the access role and the access right.
  • the specific management strategy and the data format of the operation object in Attributes are three fields, namely "Type”, “Length” and “Text”, where Type It is used to indicate the current access control parameters.
  • Type field of the management policy is: “Management-Policy-Id”
  • the Text field is the specific management policy content
  • the type of the operation object is: “Management-Object-Id”
  • the Text field is the specific operation object content.
  • the specific field name for example, "Management-Object-Id" is actually The application can be changed, and the specific modification method will not be described here.
  • the above describes the way in which the management policy and the operation object are carried in the access acceptance response domain Attributes. It can be understood that if the access acceptance response also includes other types of access control parameters such as access roles or access rights, the same can be Carrying by the above acquisition method.
  • the manner in which the management policy exists in the access acceptance response and the data format are the same as in the previous mode.
  • the difference is that the operation object is carried in different manners.
  • the operation object exists in the Text field of the management policy.
  • the data format of the specific operation object may be the same as in the previous method, and other data formats may be adopted as long as the related information (including the ID and the length) of the operation object can be indicated.
  • the specific carrying manner may be further divided into two.
  • the Text field in each management policy carries only one access control parameter, and multiple management policies are required to carry all the access control parameters.
  • the same type is specified in RADIUS. Multiple attributes, the order of the same type of attributes is maintained during the transmission process, that is, the management policy needs to transmit different access control parameters in sequence, for example, the first management policy transmits the access role, and the second management policy transmits the It is an operation object.
  • the third management policy transmits access rights. This transmission sequence requires pre-negotiation between the RADIUS client and the RADIUS server.
  • each management policy may carry multiple access control parameters, and each access control parameter is separated by a delimiter. In this case, only one management policy is required to carry all the accesses.
  • the control parameters need to be described. In this case, the order of the access control parameters in the Text field in the management policy also needs to be negotiated in advance by the RADIUS client and the RADIUS server.
  • the RADIUS server sends an access accept response with an access control parameter (including at least a management policy and an operation object) to the RADIUS client, and the access accept response is used to instruct the RADIUS client to access the operation object according to the management policy.
  • an access control parameter including at least a management policy and an operation object
  • the RADIUS client receives the access acceptance response sent by the RADIUS server.
  • the RADIUS client After the RADIUS client authenticates the RADIUS server, the RADIUS client receives the access acceptance response sent by the RADIUS server. If the authentication fails, an access rejection response may be received.
  • the preset mechanism may be used. For example, the RADIUS client is requested to re-authenticate or directly terminate the process.
  • the description is based on the RADIUS client, so the operation of the specific RADIUS server is not described in detail.
  • the RADIUS client obtains the management policy and the operation object from the access acceptance response. After the RADIUS client obtains the access acceptance response, the RADIUS client extracts the management policy and the operation object from the access acceptance response. In this embodiment, the access accepts the response. At least the management policy and the operation object are included, and it can be understood that the access acceptance response may further include access control parameters such as access roles and/or access rights.
  • the specific means of obtaining can be:
  • the specific management strategy and the data format of the operation object in Attributes are three fields, namely "Type”, “Length” and “Text”, where Type is used to indicate what is currently
  • the above describes the method for obtaining the management policy and the operation object from the access acceptance response. It can be understood that if the access acceptance response further includes other types of access control parameters such as access roles or access rights, the above acquisition method can also be used. Get it.
  • the manner in which the management policy exists in the access acceptance response and the data format are the same as in the previous mode.
  • the difference is that the operation object is obtained in different ways.
  • the operation object exists in the Text field of the management policy.
  • the data format of the specific operation object may be the same as in the previous method, and other data formats may be adopted as long as the related information (including the ID and the length) of the operation object can be indicated.
  • the specific acquisition manner may be further subdivided into two.
  • the Text field in each management policy may carry multiple access control parameters, and each access control parameter is separated by a delimiter. In this case, only one management policy is required to obtain all The access control parameters need to be described. In this case, the order of the access control parameters in the Text field in the management policy also needs to be negotiated in advance by the RADIUS client and the RADIUS server. 306.
  • the RADIUS client accesses the operation object according to the management policy.
  • the RADIUS client can access the operation object according to the management policy. For example, if the operation object is resource X, that is, the accessed object is resource X, and the management policy is accessed through the proxy server Y. After obtaining the management policy and the operation object, the RADIUS client initiates a connection request to the proxy server Y, establishes a connection with the proxy server Y, and establishes a connection with the resource server by the proxy server Y, and the proxy server Y can access the resource after the establishment is completed. X, and the resource X is presented to the user, the user can access the resource X through the proxy server Y. It can be understood that if other access control parameters, such as access roles or access rights, are also included, the corresponding processing needs to be performed during the access process.
  • the RADIUS client can obtain the access control parameter (including at least the management policy and the operation object) from the access acceptance response sent by the RADIUS server, so the RADIUS server can access the operation object according to the management policy, thereby Can achieve access control under the RADIUS system.
  • the access control parameter including at least the management policy and the operation object
  • the embodiment of the communication system in the embodiment of the present invention includes:
  • the RADIUS server 402 is configured to receive an access request that is sent by the RADIUS client and includes an access request parameter, query a management policy and an operation object corresponding to the access requirement parameter in the access request, and send the content to the RADIUS client.
  • the management policy and the access of the operation object accept the response;
  • the RADIUS client 401 is configured to send an access request including an access requirement parameter to the RADIUS server, obtain a management policy and an operation object from the received access acceptance response, and access the operation object according to the management policy.
  • the RADIUS server embodiment in this embodiment of the present invention includes:
  • the access request receiving unit 501 is configured to receive an access request that is sent by the RADIUS client and includes the access requirement parameter, and forward the access request to the access control parameter query unit 502;
  • the access control parameter query unit 502 is configured to query a management policy and an operation object corresponding to the access requirement parameter in the access request in the database, and forward the queried management policy and the operation object to the encapsulation unit 503;
  • the encapsulating unit 503 is configured to query the access control parameter query unit 502 to the management policy and The operation object is carried in the access acceptance response, and the encapsulated access acceptance response is sent to the access acceptance response sending unit 504;
  • the access response sending unit 504 is configured to send, to the RADIUS client, an access accept response that includes the management policy and an operation object, where the access accept response is used to instruct the RADIUS client to perform the The operation object is accessed.
  • the access accept response in this embodiment is a RADIUS packet, and the encapsulating unit 503 can further include:
  • a first encapsulation executing unit 5031 configured to store the management policy and an operation object in different attribute fields of an attribute domain of the RADIUS packet;
  • the second encapsulation executing unit 5032 is configured to store the management policy in an attribute field of an attribute domain of the RADIUS data packet, and store the operation object in a text field of the management policy.
  • the first encapsulating execution unit 5031 and the second encapsulating executing unit 5032 may select one of them to exist in the RADIUS server, or may exist in the RADIUS server, and select one to use during the application process.
  • the RADIUS client embodiment in the embodiment of the present invention includes:
  • the access acceptance response receiving unit 601 is configured to receive an access acceptance response sent by the RADIUS server, and send the access acceptance response to the access control parameter obtaining unit 602, where the access acceptance response includes a management policy and an operation object;
  • the access control parameter obtaining unit 602 is configured to obtain the management policy and the operation object from the access acceptance response received by the access acceptance response receiving unit 601, and send the management policy and the operation object to the access execution unit 603;
  • the access execution unit 603 is configured to access the operation object according to the management policy.
  • the access accept response in this embodiment is a RADIUS packet, and the access control parameter obtaining unit 602 includes:
  • the first obtaining execution unit 6021 is configured to obtain a management policy and an operation object from different attribute fields of the attribute domain of the RADIUS data packet; or
  • the second obtaining execution unit 6022 is configured to obtain a management policy from an attribute field of the attribute domain of the RADIUS data packet, and obtain an operation object from a text field of the management policy.
  • the unit 6022 can select one to exist in the RADIUS client, or both of them exist in the RADIUS client, and select one to use during the application process.
  • An access request sending unit is configured to send an access request including an access requirement parameter to the RADIUS server.
  • the RADIUS client sends an access request including the access requirement parameter to the RADIUS server; the RADIUS server queries the database for the management policy and the operation object corresponding to the access requirement parameter in the access request; the RADIUS server sends the inclusion to the RADIUS client
  • the management policy and the access of the operation object accept the response; the RADIUS client obtains the management policy and the operation object from the access acceptance response; the RADIUS client accesses the operation object according to the management policy.
  • the above-mentioned storage medium may be a read only memory, a magnetic disk or an optical disk or the like.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Business, Economics & Management (AREA)
  • Accounting & Taxation (AREA)
  • Storage Device Security (AREA)

Description

一种访问控制方法、 设备及通讯系统
本申请要求于 2007 年 12 月 7 日提交中国专利局、 申请号为 200710195954.2、 发明名称为 "一种访问控制方法及通讯系统以及相关设备" 的中国专利申请的优先权， 其全部内容通过引用结合在本申请中。
技术领域
本发明涉及通讯领域， 尤其涉及一种访问控制方法、 设备及通讯系统。
背景技术
互联网工程任务组（ IETF, Internet Engineering Task Force )标准中规定的 简单网络管理协议综合安全模型 ( ISMS, Integrated Security Model for Simple network management protocol )工作组采用远程用户拨入认证（ RADIUS , Remote Authentication Dial In User Service Protocol )十办议进行认证和授权。
RADIUS服务是用于网络访问服务器（NAS， Network Access Server )和 认证授权计费 ( AAA, Authentication Authorization Accounting )服务器间通信 的一种协议。 RADIUS采用典型的客户 /服务器（Client/Server )结构， NAS是 作为 RADIUS体系中的客户端运作的。
RADIUS采用用户数据 协议 ( UDP, User Datagram Protocol )传输消息， 通过定时器管理机制、 重传机制、 备用服务器机制， 确保 RADIUS服务器和 客户端之间交互消息的正确收发。 标准 Radius数据包结构如表 1所示：
表 1
Code Identifier Length
Authenticator
Attributes
其中， Code表示 RADIUS包的类型，主要包括如下类型： Access-Request: 访问请求包； Access- Accept： 访问接受包； Access-Rej ect： 访问拒绝包； Accounting-Request: 计费请求包； Accounting-Response： 计费响应包。
属性域 Attributes用来在请求和响应报文中携带详细的认证、 授权信息和 配置细节， 来实现认证、 授权、 计费等功能， 其具体属性个数任意， 具体可以 采用类型-长度-值 ( TLV, Type, Length, Value )三元组的形式实现。
上述技术方案中只是提出了 RADIUS体系的结构以及 RADIUS数据包的 格式， 而并没有揭示在 RADIUS体系下实现访问控制的方法， 现有技术中也 未提供类似的实现访问控制的方法。
发明内容
本发明实施例提供了一种访问控制方法、 设备及通讯系统， 能够在 RADIUS体系下实现访问控制。
本发明实施例提供的访问控制方法， 包括： 远程用户拨入认证 RADIUS 客户端接收 RADIUS服务器发送的消息， 所述消息中包含管理策略以及操作 对象； 从所述消息中获取所述管理策略以及操作对象；按照所述管理策略对所 述操作对象进行访问。
本发明实施例提供的访问控制方法， 包括： RADIUS服务器接收 RADIUS 客户端发送的包含访问需求参数的访问请求；在数据库中查询与所述访问请求 中的访问需求参数对应的管理策略以及操作对象；将所述管理策略以及操作对 象携带于访问接受响应中； 向所述 RADIUS客户端发送包含所述管理策略以 及操作对象的访问接受响应， 所述访问接受响应用于指示所述 RADIUS客户 端按照所述管理策略对所述操作对象进行访问。
本发明实施例提供的访问控制方法， 包括： RADIUS客户端向 RADIUS 服务器发送包含访问需求参数的访问请求； RADIUS服务器在数据库中查询与 所述访问请求中的访问需求参数对应的管理策略以及操作对象； RADIUS服务 器向所述 RADIUS客户端发送包含所述管理策略以及操作对象的访问接受响 应； RADIUS 客户端从所述访问接受响应中获取管理策略以及操作对象； RADIUS客户端按照所述管理策略对所述操作对象进行访问。
本发明实施例提供的通讯系统，包括： RADIUS服务器，用于接收 RADIUS 客户端发送的包含访问需求参数的访问请求，在数据库中查询与所述访问请求 中的访问需求参数对应的管理策略以及操作对象， 向所述 RADIUS客户端发 送包含所述管理策略以及操作对象的访问接受响应； RADIUS客户端， 用于向 RADIUS服务器发送包含访问需求参数的访问请求，从接收到的访问接受响应 中获取管理策略以及操作对象， 按照所述管理策略对所述操作对象进行访问。
本发明实施例提供的 RADIUS服务器， 包括： 访问请求接收单元， 用于 接收 RADIUS客户端发送的包含访问需求参数的访问请求； 访问控制参数查 询单元，用于在数据库中查询与所述访问请求中的访问需求参数对应的管理策 略以及操作对象；封装单元， 用于将所述管理策略以及操作对象携带于访问接 受响应中； 访问接受响应发送单元， 用于向所述 RADIUS客户端发送包含所 述管理策略以及操作对象的访问接受响应， 所述访问接受响应用于指示所述 RADIUS客户端按照所述管理策略对所述操作对象进行访问。
本发明实施例提供的 RADIUS客户端， 包括： 访问接受响应接收单元， 用于接收 RADIUS服务器发送的访问接受响应， 所述访问接受响应中包含管 理策略以及操作对象； 访问控制参数获取单元， 用于从所述访问接受响应中获 取管理策略以及操作对象； 访问执行单元， 用于按照所述管理策略对所述操作 对象进行访问。
从以上技术方案可以看出， 本发明实施例具有以下优点：
本发明实施例中， 由于 RADIUS客户端可以从 RADIUS服务器发送的访 问接受响应中获取到访问控制参数（至少包括管理策略以及操作对象）， 所以 RADIUS服务器可以按照该管理策略对该操作对象进行访问，从而能够实现在 RADIUS体系下的访问控制。
附图说明
图 1为本发明实施例中访问控制方法第一实施例示意图；
图 2为本发明实施例中访问控制方法第二实施例示意图；
图 3为本发明实施例中访问控制方法第三实施例示意图；
图 4为本发明实施例中通讯系统实施例示意图；
图 5为本发明实施例中 RADIUS服务器实施例示意图；
图 6为本发明实施例中 RADIUS客户端实施例示意图。
具体实施方式
本发明实施例提供了一种访问控制方法、 设备及通讯系统， 用于在 RADIUS体系下实现访问控制。
本发明实施例中， 由于 RADIUS客户端可以从 RADIUS服务器发送的访 问接受响应中获取到访问控制参数（至少包括管理策略以及操作对象）， 所以 RADIUS服务器可以按照该管理策略对该操作对象进行访问，从而能够实现在 RADIUS体系下的访问控制。 本发明实施例中的访问控制过程包括 RADIUS 客户端的执行过程以及 RADIUS服务器的执行过程， 下面分别从这两个网元的角度进行描述：
首先从 RADIUS客户端的角度进行描述， 请参阅图 1 , 本发明实施例中访 问控制方法第一实施例包括：
101、 RADIUS客户端向 RADIUS服务器发送访问请求；
本实施例中， 当 RADIUS客户端需要进行资源访问时， 首先需要通过认 证， 具体可以是身份认证， 访问认证等， 本实施例中对此不作限定。
为进行认证， RADIUS客户端向 RADIUS服务器发送访问请求， 该访问 请求采用的是如表 1所示的 RADIUS数据包格式， 在该访问请求中包含有访 问需求参数， 具体可以包括 RADIUS客户端请求进行访问的资源的类型或资 源标识或 RADIUS客户端对应的用户标识等， 可以理解的是， 具体的访问需 求参数 ^居实际应用的不同还可以进行变化， 此处不作限定。
102、 RADIUS客户端接收 RADIUS服务器发送的访问接受响应； 本实施例中， RADIUS客户端在通过 RADIUS服务器的认证之后， 会接 收到 RADIUS服务器发送的访问接受响应， 需要说明的是， 若 RADIUS客户 端未能通过认证， 则可能会接收到访问拒绝响应，这种情况下可以按照预置的 机制进行处理， 例如请求 RADIUS客户端重新进行认证或直接结束流程。
本实施例中由于是从 RADIUS客户端角度进行描述， 所以具体 RADIUS 服务器的操作不作详细描述。
103、 RADIUS客户端从访问接受响应中获取管理策略以及操作对象；
RADIUS客户端获取到访问接受响应之后 ,从该访问接受响应中提取出管 理策略以及操作对象，本实施例中，该访问接受响应采用如表 1所示的 RADIUS 数据包格式，该访问接受响应中至少会包含管理策略以及操作对象，可以理解 的是， 该访问接受响应中还可以包括访问角色和 /或访问权限等访问控制参数。
具体的获取手段可以为：
1、从访问接受响应的属性域 Attributes中的不同属性字段中获取访问控制 参数：
具体的管理策略以及操作对象在 Attributes中的数据格式包含三个字段， 分别为 "类型 （Type )" , "长度（Length )" 以及 "文本（Text )" , 其中 Type 用于表示当前是何种访问控制参数， 例如管理策略的 Type 字段为： "Management-Policy-Id" , Length字段为 ">=3，，， Text字段为具体的管理策略 内容，操作对象的 Type字段为： "Management-Object-Id" , Length字段为 ">=3" , Text字段为具体的操作对象内容， 上述数据格式中， 具体的字段名称（例如 "Management-Object-Id" )在实际应用中可以改变， 具体改变的方式此处不再 赘述。
上述描述了从访问接受响应中获取管理策略以及操作对象的方法，可以理 解的是，若访问接受响应中还包括访问角色或访问权限等其他类型的访问控制 参数， 则同样可以采用上述的获取方式进行获取。
2、从访问接受响应的属性域 Attributes中的属性字段中获取管理策略， 再 从管理策略中获取其他的访问控制参数：
本方式中，管理策略在访问接受响应中存在的方式以及数据格式都与上述 方式中相同， 所不同的是对操作对象的获取方式不同， 本方式中， 操作对象存 在于管理策略的 Text字段中， 具体的操作对象的数据格式可以与上一方式中 相同， 也可以采取其他的数据格式， 只要能够表明该操作对象的相关信息（包 括 ID和长度） 即可。
需要说明的是，在本方式中， 若访问接受响应中除管理策略外还包含有多 个访问控制参数， 例如操作对象， 访问角色， 访问权限等， 则具体获取的方式 可以再细分为两类：
A、 通过多个管理策略来获取不同的访问控制参数：
本方式中， 每一个管理策略中的 Text字段中只携带一个访问控制参数， 则需要获取多个管理策略才能够将所有的访问控制参数全部获取完，在这种情 况下， 由于 RADIUS协议中规定若出现具有同样类型的多个属性， 则在传输 过程中要保持同样类型属性的顺序，即管理策略需要按顺序传输不同的访问控 制参数， 例如第一个管理策略传输的是访问角色， 第二个管理策略传输的是操 作对象， 第三个管理策略传输的是访问权限， 这种传输顺序需要 RADIUS客 户端和 RADIUS服务器之间预先进行协商。
B、 通过一个管理策略来获取不同的访问控制参数：
本方式中， 每一个管理策略中的 Text字段中可以携带有多个访问控制参 数，每个访问控制参数之间采用分隔符隔开，这种情况下只需要获取一个管理 策略即可获取到所有的访问控制参数， 需要说明的是， 这种情况下， 管理策略 中的 Text字段中的访问控制参数的顺序也需要 RADIUS客户端和 RADIUS服 务器预先进行协商。
104、 RADIUS客户端按照该管理策略对该操作对象进行访问。
RADIUS客户端在获取到管理策略以及操作对象之后，可以按照该管理策 略对该操作对象进行访问， 例如假设操作对象为资源 X， 即被访问对象为资源 X, 管理策略为通过代理服务器 Y进行访问， 则 RADIUS客户端在获取到该 管理策略和操作对象 X之后， 向代理服务器 Y发起连接请求， 与代理服务器 Y建立连接， 由代理服务器 Y与资源服务器建立连接， 建立完成后代理服务 器 Y可访问资源 X, 并将该资源 X展示给用户， 则用户即可通过代理服务器 Y实现对资源 X的访问。 可以理解的是， 若还包括其他的访问控制参数， 例 如访问角色或访问权限， 则还需要在访问过程中进行相应的处理。
本实施例中， 由于 RADIUS客户端可以从 RADIUS服务器发送的访问接 受响应中获取到访问控制参数（至少包括管理策略以及操作对象）， 所以 RADIUS服务器可以按照该管理策略对该操作对象进行访问，从而能够实现在 RADIUS体系下的访问控制。
上述方案从 RADIUS客户端的角度对本发明实施例中的访问控制方法进 行了描述， 下面从 RADIUS服务器的角度对本发明实施例中的访问控制方法 进行描述， 请参阅图 2, 本发明实施例中访问控制方法第二实施例包括：
201、 RADIUS服务器接收 RADIUS客户端发送的包含访问需求参数的访 问请求；
本实施例中， 当 RADIUS客户端需要进行资源访问时， 首先需要通过认 证， 具体可以是身份认证， 访问认证等， 本实施例中对此不作限定。
为进行认证， RADIUS客户端向 RADIUS服务器发送访问请求， 该访问 请求采用的是 RADIUS数据包格式， 在该访问请求中包含有访问需求参数， 具体可以包括 RADIUS 客户端请求进行访问的资源的类型或资源标识或 RADIUS客户端对应的用户标识等，可以理解的是， 具体的访问需求参数根据 实际应用的不同还可以进行变化， 此处不作限定。 202、 RADIUS服务器查询与该访问需求参数对应的管理策略以及操作对 象；
RADIUS服务器获取到访问请求中的访问需求参数之后，根据该参数在本 地的数据库中查询与该参数对应的访问控制参数 (例如管理策略，操作对象）。 需要说明的是， 在 RADIUS 系统构建的时候可以预置访问需求参数与访问控 制参数之间的对应关系， 也可以在系统运行过程中对该对应关系进行修改更 新， 因此 RADIUS服务器能够从数据库中查询到与访问需求参数对应的访问 控制参数， 可以理解的是， 该数据库可以在 RADIUS服务器本地， 也可以在 其他网元中， 或者该数据库独立存在。
203、 RADIUS服务器将管理策略以及操作对象携带于访问接受响应中；
RADIUS服务器获取到访问控制参数后，需要将访问控制参数携带于访问 接受响应中，本实施例中的访问控制参数至少包括管理策略以及操作对象， 同 样还可以包括访问角色和访问权限。
具体的携带方式可以分为以下两种：
1、将访问控制参数携带于访问接受响应的属性域 Attributes的不同属性字 段中：
具体的管理策略以及操作对象在 Attributes 中的数据格式为包含三个字 段， 分别为 "类型（Type )" , "长度（Length )" 以及 "文本（Text )" , 其中 Type 用于表示当前是何种访问控制参数， 例如管理策略的 Type 字段为： "Management-Policy-Id" , Length字段为 ">=3，，， Text字段为具体的管理策略 内容，操作对象的 Type字段为： "Management-Object-Id" , Length字段为 ">=3" , Text字段为具体的操作对象内容， 上述数据格式中， 具体的字段名称（例如 "Management-Object-Id" )在实际应用中可以改变， 具体改变的方式此处不再 赘述。
上述描述了将管理策略以及操作对象携带于从访问接受响应属性域
Attributes 中的方式， 可以理解的是， 若访问接受响应中还包括访问角色或访 问权限等其他类型的访问控制参数， 则同样可以采用上述的获取方式进行携 带。
2、将管理策略携带于访问接受响应的属性域 Attributes的属性字段中， 再 将其他的访问控制参数携带于管理策略中：
本方式中，管理策略在访问接受响应中存在的方式以及数据格式都与上一 方式中相同， 所不同的是操作对象的携带方式不同， 本方式中， 操作对象存在 于管理策略的 Text字段中， 具体的操作对象的数据格式可以与上一方式中相 同， 也可以采取其他的数据格式， 只要能够表明该操作对象的相关信息（包括 ID和长度） 即可。
需要说明的是，在本方式中， 若访问接受响应中除管理策略外还包含有多 个访问控制参数， 例如操作对象， 访问角色， 访问权限等， 则具体携带的方式 可以再细分为两类：
A、 通过多个管理策略携带不同的访问控制参数：
本方式中， 每一个管理策略中的 Text字段中只携带一个访问控制参数， 则需要多个管理策略才能够携带所有的访问控制参数， 在这种情况下， 由于 RADIUS中规定若出现具有同样类型的多个属性，则在传输过程中要保持同样 类型属性的顺序， 即管理策略需要按顺序传输不同的访问控制参数， 例如第一 个管理策略传输的是访问角色， 第二个管理策略传输的是操作对象， 第三个管 理策略传输的是访问权限， 这种传输顺序需要 RADIUS客户端和 RADIUS服 务器之间预先进行协商。
B、 通过一个管理策略携带不同的访问控制参数：
本方式中， 每一个管理策略中的 Text字段中可以携带有多个访问控制参 数，每个访问控制参数之间采用分隔符隔开，这种情况下只需要一个管理策略 即可携带所有的访问控制参数， 需要说明的是， 这种情况下， 管理策略中的 Text字段中的访问控制参数的顺序也需要 RADIUS客户端和 RADIUS服务器 预先进行协商。
204、 RADIUS服务器向 RADIUS客户端发送该访问接受响应。
RADIUS 服务器将携带有访问控制参数 (至少包含管理策略以及操作对 象） 的访问接受响应发送至 RADIUS 客户端， 该访问接受响应用于指示 RADIUS客户端按照该管理策略对该操作对象进行访问。
上述方案从 RADIUS服务器的角度对本发明实施例中的访问控制方法实 施例进行了描述，下面结合上述两种方式对本发明实施例中的访问控制方法进 行描述：
请参阅图 3， 本发明实施例中访问控制方法第三实施例包括：
301、 RADIUS客户端向 RADIUS服务器发送访问请求；
本实施例中， 当 RADIUS客户端需要进行资源访问时， 首先需要通过认 证， 具体可以是身份认证， 访问认证等， 本实施例中对此不作限定。
为进行认证， RADIUS客户端向 RADIUS服务器发送访问请求， 该访问 请求采用的是 RADIUS数据包格式， 在该访问请求中包含有访问需求参数， 具体可以包括 RADIUS 客户端请求进行访问的资源的类型或资源标识或 RADIUS客户端对应的用户标识等，可以理解的是， 具体的访问需求参数根据 实际应用的不同还可以进行变化， 此处不作限定。
302、 RADIUS服务器查询与该访问需求参数对应的管理策略以及操作对 象；
RADIUS服务器获取到访问请求中的访问需求参数之后，根据该参数在本 地的数据库中查询与该参数对应的访问控制参数 (例如管理策略，操作对象）。 需要说明的是， 在 RADIUS 系统构建的时候可以预置访问需求参数与访问控 制参数之间的对应关系， 也可以在系统运行过程中对该对应关系进行修改更 新， 因此 RADIUS服务器能够从数据库中查询到与访问需求参数对应的访问 控制参数， 可以理解的是， 该数据库可以在 RADIUS服务器本地， 也可以在 其他网元中， 或者该数据库独立存在。
303、 RADIUS服务器将管理策略以及操作对象携带于访问接受响应中， 并将访问接受响应发送至 RADIUS客户端；
RADIUS服务器获取到访问控制参数后，需要将访问控制参数携带于访问 接受响应中，本实施例中的访问控制参数至少包括管理策略以及操作对象， 同 样还可以包括访问角色和访问权限。
具体的携带方式可以分为以下两种：
1、将访问控制参数携带于访问接受响应的属性域 Attributes中的不同属性 字段中：
具体的管理策略以及操作对象在 Attributes 中的数据格式为包含三个字 段， 分别为 "类型（Type )" , "长度（Length )" 以及 "文本（Text )" , 其中 Type 用于表示当前是何种访问控制参数， 例如管理策略的 Type 字段为： "Management-Policy-Id" , Length字段为 ">=3，，， Text字段为具体的管理策略 内容，操作对象的 Type字段为： "Management-Object-Id" , Length字段为 ">=3" , Text字段为具体的操作对象内容， 上述数据格式中， 具体的字段名称（例如 "Management-Object-Id" )在实际应用中可以改变， 具体改变的方式此处不再 赘述。
上述描述了将管理策略以及操作对象携带于从访问接受响应属性域 Attributes 中的方式， 可以理解的是， 若访问接受响应中还包括访问角色或访 问权限等其他类型的访问控制参数， 则同样可以采用上述的获取方式进行携 带。
2、将管理策略携带于访问接受响应的属性域 Attributes的属性字段中， 再 将其他的访问控制参数携带于管理策略中：
本方式中，管理策略在访问接受响应中存在的方式以及数据格式都与上一 方式中相同， 所不同的是操作对象的携带方式不同， 本方式中， 操作对象存在 于管理策略的 Text字段中， 具体的操作对象的数据格式可以与上一方式中相 同， 也可以采取其他的数据格式， 只要能够表明该操作对象的相关信息（包括 ID和长度） 即可。
需要说明的是，在本方式中， 若访问接受响应中除管理策略外还包含有多 个访问控制参数， 例如操作对象， 访问角色， 访问权限等， 则具体携带的方式 可以再细分为两类：
A、 通过多个管理策略携带不同的访问控制参数：
本方式中， 每一个管理策略中的 Text字段中只携带一个访问控制参数， 则需要多个管理策略才能够携带所有的访问控制参数， 在这种情况下， 由于 RADIUS中规定若出现具有同样类型的多个属性，则在传输过程中要保持同样 类型属性的顺序， 即管理策略需要按顺序传输不同的访问控制参数， 例如第一 个管理策略传输的是访问角色， 第二个管理策略传输的是操作对象， 第三个管 理策略传输的是访问权限， 这种传输顺序需要 RADIUS客户端和 RADIUS服 务器之间预先进行协商。
B、 通过一个管理策略携带不同的访问控制参数： 本方式中， 每一个管理策略中的 Text字段中可以携带有多个访问控制参 数，每个访问控制参数之间采用分隔符隔开，这种情况下只需要一个管理策略 即可携带所有的访问控制参数， 需要说明的是， 这种情况下， 管理策略中的 Text字段中的访问控制参数的顺序也需要 RADIUS客户端和 RADIUS服务器 预先进行协商。
RADIUS 服务器将携带有访问控制参数（至少包含管理策略以及操作对 象） 的访问接受响应发送至 RADIUS 客户端， 该访问接受响应用于指示 RADIUS客户端按照该管理策略对该操作对象进行访问。
304、 RADIUS客户端接收 RADIUS服务器发送的访问接受响应； 本实施例中， RADIUS客户端在通过 RADIUS服务器的认证之后， 会接 收到 RADIUS服务器发送的访问接受响应， 需要说明的是， 若 RADIUS客户 端未能通过认证， 则可能会接收到访问拒绝响应，这种情况下可以按照预置的 机制进行处理， 例如请求 RADIUS客户端重新进行认证或直接结束流程。
本实施例中由于是从 RADIUS客户端角度进行描述， 所以具体 RADIUS 服务器的操作不作详细描述。
305、 RADIUS客户端从访问接受响应中获取管理策略以及操作对象； RADIUS客户端获取到访问接受响应之后 ,从该访问接受响应中提取出管 理策略以及操作对象，本实施例中，该访问接受响应中至少会包含管理策略以 及操作对象， 可以理解的是， 该访问接受响应中还可以包括访问角色和 /或访 问权限等访问控制参数。
具体的获取手段可以为：
1、从访问接受响应的属性域 Attributes中的不同属性字段中获取访问控制 参数：
具体的管理策略以及操作对象在 Attributes 中的数据格式为包含三个字 段， 分别为 "类型（Type )" , "长度（ Length )" 以及 "文本（Text )" , 其中 Type 用于表示当前是何种访问控制参数， 例如管理策略的 Type 字段为： "Management-Policy-Id" , Length字段为 ">=3，，， Text字段为具体的管理策略 内容，操作对象的 Type字段为： "Management-Object-Id" , Length字段为 ">=3" , Text字段为具体的操作对象内容， 上述数据格式中， 具体的字段名称（例如 "Management-Object-Id" )在实际应用中可以改变， 具体改变的方式此处不再 赘述。
上述描述了从访问接受响应中获取管理策略以及操作对象的方法，可以理 解的是，若访问接受响应中还包括访问角色或访问权限等其他类型的访问控制 参数， 则同样可以采用上述的获取方式进行获取。
2、从访问接受响应的属性域 Attributes中的属性字段中获取管理策略， 再 从管理策略中获取其他的访问控制参数：
本方式中，管理策略在访问接受响应中存在的方式以及数据格式都与上一 方式中相同， 所不同的是操作对象的获取方式不同， 本方式中， 操作对象存在 于管理策略的 Text字段中， 具体的操作对象的数据格式可以与上一方式中相 同， 也可以采取其他的数据格式， 只要能够表明该操作对象的相关信息（包括 ID和长度） 即可。
需要说明的是，在本方式中， 若访问接受响应中除管理策略外还包含有多 个访问控制参数， 例如操作对象， 访问角色， 访问权限等， 则具体获取的方式 可以再细分为两类：
A、 通过多个管理策略来获取不同的访问控制参数：
本方式中， 每一个管理策略中的 Text字段中只携带一个访问控制参数， 则需要获取多个管理策略才能够将所有的访问控制参数全部获取完，在这种情 况下， 由于 RADIUS 中规定若出现具有同样类型的多个属性， 则在传输过程 中要保持同样类型属性的顺序，即管理策略需要按顺序传输不同的访问控制参 数， 例如第一个管理策略传输的是访问角色， 第二个管理策略传输的是操作对 象， 第三个管理策略传输的是访问权限， 这种传输顺序需要 RADIUS客户端 和 RADIUS服务器之间预先进行协商。
B、 通过一个管理策略来获取不同的访问控制参数：
本方式中， 每一个管理策略中的 Text字段中可以携带有多个访问控制参 数，每个访问控制参数之间采用分隔符隔开，这种情况下只需要获取一个管理 策略即可获取到所有的访问控制参数， 需要说明的是， 这种情况下， 管理策略 中的 Text字段中的访问控制参数的顺序也需要 RADIUS客户端和 RADIUS服 务器预先进行协商。 306、 RADIUS客户端按照该管理策略对该操作对象进行访问。
RADIUS客户端在获取到管理策略以及操作对象之后，可以按照该管理策 略对该操作对象进行访问， 例如假设操作对象为资源 X， 即被访问对象为资源 X, 管理策略为通过代理服务器 Y进行访问， 则 RADIUS客户端在获取到该 管理策略和操作对象之后， 向代理服务器 Y发起连接请求， 与代理服务器 Y 建立连接，由代理服务器 Y与资源服务器建立连接，建立完成后代理服务器 Y 可访问资源 X, 并将该资源 X展示给用户， 则用户即可通过代理服务器 Y实 现对资源 X的访问。 可以理解的是， 若还包括其他的访问控制参数， 例如访 问角色或访问权限， 则还需要在访问过程中进行相应的处理。
本实施例中， 由于 RADIUS客户端可以从 RADIUS服务器发送的访问接 受响应中获取到访问控制参数（至少包括管理策略以及操作对象）， 所以 RADIUS服务器可以按照该管理策略对该操作对象进行访问，从而能够实现在 RADIUS体系下的访问控制。
下面对本发明实施例中的通讯系统实施例进行描述， 请参阅图 4, 本发明 实施例中通讯系统实施例包括：
RADIUS服务器 402 ,用于接收 RADIUS客户端发送的包含访问需求参数 的访问请求 ,在数据库中查询与所述访问请求中的访问需求参数对应的管理策 略以及操作对象， 向所述 RADIUS客户端发送包含所述管理策略以及操作对 象的访问接受响应；
RADIUS客户端 401，用于向 RADIUS服务器发送包含访问需求参数的访 问请求，从接收到的访问接受响应中获取管理策略以及操作对象，按照所述管 理策略对所述操作对象进行访问。
请参阅图 5 , 本发明实施例中 RADIUS服务器实施例包括：
访问请求接收单元 501，用于接收 RADIUS客户端发送的包含访问需求参 数的访问请求， 并将该访问请求转发至访问控制参数查询单元 502;
访问控制参数查询单元 502， 用于在数据库中查询与所述访问请求中的访 问需求参数对应的管理策略以及操作对象 ,并将查询到的管理策略以及操作对 象转发至封装单元 503;
封装单元 503 , 用于将访问控制参数查询单元 502查询到的管理策略以及 操作对象携带于访问接受响应中，并将封装后的访问接受响应发送至访问接受 响应发送单元 504;
访问接受响应发送单元 504，用于向所述 RADIUS客户端发送包含所述管 理策略以及操作对象的访问接受响应， 所述访问接受响应用于指示所述 RADIUS客户端按照所述管理策略对所述操作对象进行访问。
本实施例中的访问接受响应为 RADIUS数据包， 且封装单元 503可以进 一步包括：
第一封装执行单元 5031 , 用于将所述管理策略以及操作对象存储于所述 RADIUS数据包的属性域的不同属性字段中； 或
第二封装执行单元 5032, 用于将所述管理策略存储于所述 RADIUS数据 包的属性域的属性字段中 , 将所述操作对象存储于所述管理策略的文本字段。
可以理解的是， 在实际应用中， 第一封装执行单元 5031和第二封装执行 单元 5032可以选择一个存在于 RADIUS服务器中， 也可以都存在于 RADIUS 服务器中， 在应用过程中选择一个使用。
请参阅图 6, 本发明实施例中的 RADIUS客户端实施例包括：
访问接受响应接收单元 601 ,用于接收 RADIUS服务器发送的访问接受响 应， 并将该访问接受响应发送至访问控制参数获取单元 602， 所述访问接受响 应中包含管理策略以及操作对象；
访问控制参数获取单元 602， 用于 ^居从访问接受响应接收单元 601接收 到的访问接受响应中获取管理策略以及操作对象 ,并将该管理策略以及操作对 象发送至访问执行单元 603;
访问执行单元 603， 用于按照所述管理策略对所述操作对象进行访问。 本实施例中的访问接受响应为 RADIUS数据包， 且访问控制参数获取单 元 602包括：
第一获取执行单元 6021 , 用于从所述 RADIUS数据包的属性域的不同属 性字段中获取管理策略以及操作对象； 或
第二获取执行单元 6022, 用于从所述 RADIUS数据包的属性域的属性字 段中获取管理策略 , 从所述管理策略的文本字段获取操作对象。
可以理解的是， 在实际应用中， 第一封装执行单元 6021和第二封装执行 单元 6022可以选择一个存在于 RADIUS客户端中 , 也可以都存在于 RADIUS 客户端中， 在应用过程中选择一个使用。
本实施例中的 RADIUS客户端还可以进一步包括：
访问请求发送单元， 用于向 RADIUS服务器发送包含访问需求参数的访 问请求。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤 是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可 读存储介质中， 该程序在执行时， 包括如下步骤：
RADIUS客户端向 RADIUS服务器发送包含访问需求参数的访问请求； RADIUS 服务器在数据库中查询与所述访问请求中的访问需求参数对应的管 理策略以及操作对象； RADIUS服务器向所述 RADIUS客户端发送包含所述 管理策略以及操作对象的访问接受响应； RADIUS客户端从所述访问接受响应 中获取管理策略以及操作对象； RADIUS客户端按照所述管理策略对所述操作 对象进行访问。
上述提到的存储介质可以是只读存储器， 磁盘或光盘等。
以上对本发明所提供的一种访问控制方法、设备及通讯系统进行了详细介 绍， 对于本领域的一般技术人员， 依据本发明实施例的思想， 在具体实施方式 及应用范围上均会有改变之处， 综上所述，本说明书内容不应理解为对本发明 的限制。

Claims

OP080536 WO 2009/074073 PCT/CN2008/073235 - 16- 权 利 要 求
1、 一种访问控制方法， 其特征在于， 包括： 述消息中包含管理策略以及操作对象；
从所述消息中获取所述管理策略以及操作对象；
按照所述管理策略对所述操作对象进行访问。
2、 根据权利要求 1所述的方法， 其特征在于， 所述 RADIUS客户端接收 RADIUS服务器发送的消息的步骤之前包括：
RADIUS客户端向 RADIUS服务器发送包含访问需求参数的访问请求； 所述 RADIUS服务器发送的消息中的管理策略以及操作对象为 RADIUS 服务器根据所述访问需求参数在本地查询获得。
3、 根据权利要求 1或 2所述的方法， 其特征在于， 所述消息为访问接受 响应； 所述访问接受响应为 RADIUS数据包；
所述从消息中获取管理策略以及操作对象的步骤包括：
从所述 RADIUS数据包的属性域中的不同属性字段分别获取管理策略以 及操作对象；
或
从所述 RADIUS数据包的属性域中的属性字段获取管理策略；
从所述管理策略的文本字段获取操作对象。
4、 根据权利要求 3所述的方法， 其特征在于， 所述从管理策略的文本字 段获取操作对象的步骤包括：
从所述管理策略的文本字段读取出访问控制参数 , 所述访问控制参数包 括：操作对象或访问角色或访问权限， 所有访问控制参数被置于同一个管理策 略的文本字段中，所述访问控制参数的排列顺序由 RADIUS客户端与 RADIUS 服务器预置。
5、 根据权利要求 3所述的方法， 其特征在于， 所述从 RADIUS数据包的 属性域中的属性字段获取管理策略的步骤包括：
从所述 RADIUS数据包的属性域中的属性字段获取至少两个管理策略； 所述从所述管理策略的文本字段获取操作对象的步骤包括： OP080536
WO 2009/074073 PCT/CN2008/073235
- 17- 从所述至少两个管理策略的文本字段分别读取出访问控制参数 ,所述访问 控制参数包括：操作对象或访问角色或访问权限， 所述每个访问控制参数分别 被置于一个管理策略的文本字段中。
6、 根据权利要求 1或 2所述的方法， 其特征在于， 所述按照所述管理策 略对所述操作对象进行访问包括：
RADIUS客户端按照所述管理策略确定数据中转网元；
与所述数据中转网元建立数据连接；
接受所述数据中转网元展示的所述操作对象，所述操作对象由所述数据中 转网元从资源服务器中获得。
7、 根据权利要求 2所述的方法， 其特征在于， 所述 RADIUS客户端向
RADIUS 服务器发送的访问请求中还包含认证信息， 所述认证信息用于指示 RADIUS服务器对所述 RADIUS客户端进行认证。
8、 一种访问控制方法， 其特征在于， 包括：
RADIUS服务器接收 RADIUS客户端发送的包含访问需求参数的访问请 求；
在数据库中查询与所述访问请求中的访问需求参数对应的管理策略以及 操作对象；
将所述管理策略以及操作对象携带于访问接受响应中；
向所述 RADIUS客户端发送包含所述管理策略以及操作对象的访问接受 响应， 所述访问接受响应用于指示所述 RADIUS客户端按照所述管理策略对 所述操作对象进行访问。
9、根据权利要求 8所述的方法，其特征在于，所述访问接受响应为 RADIUS 数据包；
所述将管理策略以及操作对象携带于访问接受响应中的步骤包括： 将所述管理策略以及操作对象存储于所述 RADIUS数据包的属性域； 或
将所述管理策略存储于所述 RADIUS数据包的属性域；
将所述操作对象存储于所述管理策略的文本字段。
10、根据权利要求 9所述的方法， 其特征在于， 所述将操作对象存储于所 OP080536
WO 2009/074073 PCT/CN2008/073235
- 18- 述管理策略的文本字段的步骤包括：
将操作对象，访问角色，访问权限等访问控制参数置于同一个管理策略的 文本字段， 所述访问控制参数的排列顺序由 RADIUS客户端与 RADIUS服务 器预置。
11、根据权利要求 9所述的方法， 其特征在于， 所述将管理策略存储于所 述 RADIUS数据包的属性域的步骤包括：
将至少两个管理策略存储于所述 RADIUS数据包的属性域中的属性字段； 所述将所述操作对象存储于所述管理策略的文本字段的步骤包括： 将操作对象，访问角色，访问权限等访问控制参数分别置于不同的管理策 略的文本字段。
12、 根据权利要求 8所述的方法， 其特征在于， 所述 RADIUS服务器接 收到的访问请求中还包含认证信息；
所述在数据库中查询与所述访问请求中的访问需求参数对应的管理策略 以及操作对象的步骤之前还包括：
根据所述认证信息对所述 RADIUS客户端进行认证， 若认证通过， 则触 发所述在数据库中查询与所述访问请求中的访问需求参数对应的管理策略以 及操作对象的步骤。
13、 一种访问控制方法， 其特征在于， 包括：
RADIUS客户端向 RADIUS服务器发送包含访问需求参数的访问请求； RADIUS 服务器在数据库中查询与所述访问请求中的访问需求参数对应 的管理策略以及操作对象；
RADIUS服务器向所述 RADIUS客户端发送包含所述管理策略以及操作 对象的访问接受响应；
RADIUS客户端从所述访问接受响应中获取管理策略以及操作对象； RADIUS客户端按照所述管理策略对所述操作对象进行访问。
14、 一种通讯系统， 其特征在于， 包括：
RADIUS服务器， 用于接收 RADIUS客户端发送的包含访问需求参数的 访问请求，在数据库中查询与所述访问请求中的访问需求参数对应的管理策略 以及操作对象， 向所述 RADIUS客户端发送包含所述管理策略以及操作对象 OP080536
WO 2009/074073 PCT/CN2008/073235
- 19- 的访问接受响应；
RADIUS客户端， 用于向 RADIUS服务器发送包含访问需求参数的访问 请求，从接收到的访问接受响应中获取管理策略以及操作对象，按照所述管理 策略对所述操作对象进行访问。
15、 一种 RADIUS服务器， 其特征在于， 包括：
访问请求接收单元， 用于接收 RADIUS客户端发送的包含访问需求参数 的访问请求；
访问控制参数查询单元，用于在数据库中查询与所述访问请求中的访问需 求参数对应的管理策略以及操作对象；
封装单元， 用于将所述管理策略以及操作对象携带于访问接受响应中； 访问接受响应发送单元， 用于向所述 RADIUS客户端发送包含所述管理 策略以及操作对象的访问接受响应，所述访问接受响应用于指示所述 RADIUS 客户端按照所述管理策略对所述操作对象进行访问。
16、 根据权利要求 15所述的 RADIUS服务器， 其特征在于， 所述访问接 受响应为 RADIUS数据包；
所述封装单元包括：
第一封装执行单元， 用于将所述管理策略以及操作对象存储于所述 RADIUS数据包的属性域的不同属性字段中；
或
第二封装执行单元， 用于将所述管理策略存储于所述 RADIUS数据包的 属性域的属性字段中 , 将所述操作对象存储于所述管理策略的文本字段。
17、 一种 RADIUS客户端， 其特征在于， 包括：
访问接受响应接收单元， 用于接收 RADIUS服务器发送的访问接受响应， 所述访问接受响应中包含管理策略以及操作对象；
访问控制参数获取单元，用于从所述访问接受响应中获取管理策略以及操 作对象；
访问执行单元， 用于按照所述管理策略对所述操作对象进行访问。
18、根据权利要求 17所述的 RADIUS客户端，其特征在于，所述 RADIUS 客户端还包括： OP080536
WO 2009/074073 PCT/CN2008/073235
-20- 访问请求发送单元， 用于向 RADIUS服务器发送包含访问需求参数的访 问请求。
19、 根据权利要求 17或 18所述的 RADIUS客户端， 其特征在于， 所述 访问接受响应为 RADIUS数据包；
所述访问控制参数获取单元包括：
第一获取执行单元， 用于从所述 RADIUS数据包的属性域的不同属性字 段中获取管理策略以及操作对象；
或
第二获取执行单元， 用于从所述 RADIUS数据包的属性域的属性字段中 获取管理策略， 从所述管理策略的文本字段获取操作对象。
PCT/CN2008/073235 2007-12-07 2008-11-28 Procédé d'accès et de commande, dispositif et système de communication WO2009074073A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200710195954.2 2007-12-07
CNA2007101959542A CN101453460A (zh) 2007-12-07 2007-12-07 一种访问控制方法及通讯系统以及相关设备

Publications (1)

Publication Number Publication Date
WO2009074073A1 true WO2009074073A1 (fr) 2009-06-18

Family

ID=40735484

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2008/073235 WO2009074073A1 (fr) 2007-12-07 2008-11-28 Procédé d'accès et de commande, dispositif et système de communication

Country Status (2)

Country Link
CN (1) CN101453460A (zh)
WO (1) WO2009074073A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106878114A (zh) * 2015-12-11 2017-06-20 北京数码视讯科技股份有限公司 一种数据传输的方法、服务器和终端

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103853986B (zh) * 2014-01-03 2017-02-15 李凤华 一种访问控制方法和装置
CN104618469B (zh) * 2014-12-24 2018-11-02 西北农林科技大学 一种基于代理网络架构的局域网访问控制方法及管理机
CN106685955B (zh) * 2016-12-28 2020-08-25 武汉微创光电股份有限公司 一种基于Radius的视频监控平台安全认证方法
CN109150787A (zh) * 2017-06-13 2019-01-04 西安中兴新软件有限责任公司 一种权限获取方法、装置、设备和存储介质
CN109088855A (zh) * 2018-07-12 2018-12-25 新华三信息安全技术有限公司 一种身份认证的方法及设备
CN116089661A (zh) 2021-11-05 2023-05-09 北京字节跳动网络技术有限公司 数据访问控制的方法和装置

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1395398A (zh) * 2001-07-10 2003-02-05 华为技术有限公司 在无线数据业务中使用Radius预付费的方法
CN1423455A (zh) * 2001-11-22 2003-06-11 深圳市中兴通讯股份有限公司上海第二研究所 一种以太网宽带接入系统的用户认证管理方法
US7222360B1 (en) * 2002-11-27 2007-05-22 Sprint Communications Company L.P. Continuous biometric authentication using frame preamble for biometric data

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1395398A (zh) * 2001-07-10 2003-02-05 华为技术有限公司 在无线数据业务中使用Radius预付费的方法
CN1423455A (zh) * 2001-11-22 2003-06-11 深圳市中兴通讯股份有限公司上海第二研究所 一种以太网宽带接入系统的用户认证管理方法
US7222360B1 (en) * 2002-11-27 2007-05-22 Sprint Communications Company L.P. Continuous biometric authentication using frame preamble for biometric data

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
CHEN FUCAI ET AL.: "DESIGN AND APPLICATION RESEARCH OF A RADIUS SERVER.", CHINA HIGH TECHNOLOGY ENTERPRISES., no. 4, April 2007 (2007-04-01), pages 84 - 85 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106878114A (zh) * 2015-12-11 2017-06-20 北京数码视讯科技股份有限公司 一种数据传输的方法、服务器和终端

Also Published As

Publication number Publication date
CN101453460A (zh) 2009-06-10

Similar Documents

Publication Publication Date Title
EP2106089B1 (en) A method and system for authenticating users
EP1880527B1 (en) Method for distributing certificates in a communication system
US7370350B1 (en) Method and apparatus for re-authenticating computing devices
JP5599910B2 (ja) 暗号証拠の再検証に基づく認証委任
CA2517474C (en) Fast re-authentication with dynamic credentials
CN101616410B (zh) 一种蜂窝移动通信网络的接入方法和系统
US7530095B2 (en) Authentication, authorization and accounting (diameter) protocol-based accounting method using batch processing
WO2009074073A1 (fr) Procédé d'accès et de commande, dispositif et système de communication
US20090064291A1 (en) System and method for relaying authentication at network attachment
WO2007041918A1 (fr) Méthode et système d’obtention de clé hôte ssh de dispositif géré
JP2004213632A (ja) コンピュータシステムがネットワークにアクセスするように準備する際に自動化のレベルを高める方法、コンピュータプログラム及び記録媒体
KR20050064119A (ko) 인터넷접속을 위한 확장인증프로토콜 인증시 단말에서의서버인증서 유효성 검증 방법
WO2007104245A1 (fr) Système de cadre de référence pour développement des services web et son procédé d'authentification
US20040010713A1 (en) EAP telecommunication protocol extension
US20090113522A1 (en) Method for Translating an Authentication Protocol
WO2013002886A1 (en) Network identity for software-as-a-service authentication
WO2006063511A1 (fr) Procede permettant de realiser une authentification synchrone parmi differents dispositifs de commande d'authentification
WO2006058493A1 (fr) Procede et systeme d'authentification de domaine et d'autorite de reseau
US20100257589A1 (en) method for releasing a high rate packet data session
CN102271120A (zh) 一种增强安全性的可信网络接入认证方法
CN102938757B (zh) 共享网络中用户数据的方法和身份提供服务器
WO2010133073A1 (zh) 一种证书状态信息的获取方法及证书状态管理系统
WO2011063658A1 (zh) 统一安全认证的方法和系统
WO2012126299A1 (zh) 组合认证系统及认证方法
WO2008006309A1 (fr) Procédé appareil de détermination du type de service d'une demande de clé

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 08860399

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 08860399

Country of ref document: EP

Kind code of ref document: A1