WO2015169003A1 - 一种账户分配方法和装置 - Google Patents

一种账户分配方法和装置 Download PDF

Info

Publication number
WO2015169003A1
WO2015169003A1 PCT/CN2014/084323 CN2014084323W WO2015169003A1 WO 2015169003 A1 WO2015169003 A1 WO 2015169003A1 CN 2014084323 W CN2014084323 W CN 2014084323W WO 2015169003 A1 WO2015169003 A1 WO 2015169003A1
Authority
WO
WIPO (PCT)
Prior art keywords
password
unit
management unit
temporary account
security management
Prior art date
Application number
PCT/CN2014/084323
Other languages
English (en)
French (fr)
Inventor
贺镇海
方敏
王军旺
刘志军
王国俊
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2015169003A1 publication Critical patent/WO2015169003A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials

Definitions

  • the present invention relates to the field of communications technologies, and in particular, to an account allocation method and apparatus. Background technique
  • the account number and its corresponding password can be saved in a predetermined system in advance, and are directly obtained from the system when used.
  • the user's login information (account, password) is associated with the access object and stored.
  • the login operation is performed by reading the login information associated with the user. The user is not required to manually enter the login information to complete the login, thereby increasing the efficiency of the user's network activity.
  • the above account management method is to manage the predetermined account and password. If the system information is leaked, the account and password will also be leaked, resulting in security risks. Summary of the invention
  • the technical problem to be solved by the present invention is to provide an account allocation method and apparatus for solving the above problems existing in the prior art.
  • An embodiment of the present invention provides an account allocation method, including: receiving an operation request initiated by a device operation unit for a device; generating a temporary account for the device operation unit according to the operation request; and After the temporary account is operated on the device, the temporary account is prohibited from logging in to the device.
  • the platform management unit associates one or more devices for each security management unit before receiving the operation request initiated by the device operation unit for the device; after the device operation unit initiates the operation request, the security associated with the device The management unit receives the operation request.
  • the generating, by the security operation unit, the operation request initiated by the device operation unit is performed according to the operation request, and the operation request is approved by the device operation unit; And a password generating policy, obtaining a password of the temporary account to log in to the device; sending the password to the device operating unit, so that the device operating unit logs in to the device to operate according to the password.
  • the password is obtained by: sending a password modification instruction to the device; receiving a password modified by the device according to the password modification instruction; and using the password fed back by the device as a password in the temporary account.
  • the password in the temporary account is valid only before the specified operation termination time arrives.
  • the device operation unit finishes operating the device based on the temporary account prohibiting the temporary account from logging in to the device, including: starting from a specified operation start time, determining whether a device operation unit is sent from the device Password recovery request, if yes, prohibiting the password from being logged into the device; if not, continuing to determine until the operation termination time is reached; and when the operation termination time is reached, determining the device operation unit Whether the device has an operation, and if so, sending an alarm signal to the security management unit, and if not, prohibiting the password from being logged into the device.
  • the method further includes: auditing, by the audit management unit, an operation behavior of the platform management unit, the security management unit, and/or the device operation unit.
  • the embodiment of the present invention further provides an account distribution apparatus, including: a device operation unit, a security management unit, and a password management unit; a device operation unit, configured to initiate an operation request for the device; and a security management unit, the user receives the device operation unit a device-initiated operation request; a password management unit, configured to generate a temporary account for the device operation unit according to the operation request; and prohibiting after the device operation unit finishes operating the device based on the temporary account The temporary account is logged into the device.
  • the device further includes a platform management unit, configured to associate one or more devices for each security management unit before receiving the operation request initiated by the device operation unit for the device; after the device operation unit initiates the operation request, The operation request is received by a security management unit associated with the device.
  • a platform management unit configured to associate one or more devices for each security management unit before receiving the operation request initiated by the device operation unit for the device; after the device operation unit initiates the operation request, The operation request is received by a security management unit associated with the device.
  • the security management unit is further configured to: approve an operation request initiated by the device operation unit; and the password management unit is further configured to: after the operation request is approved, use a preset password generation policy to obtain a The password of the temporary account to log in to the device; the device further includes a password transmission unit, configured to send the password to the device operation unit, so that the device operation unit logs in to the device to operate according to the password .
  • the password management unit is specifically configured to: send a password modification instruction to the device; receive a password modified by the device according to the password modification instruction; and use a password fed back by the device as a password in the temporary account. .
  • the password in the temporary account is valid only before the specified operation termination time arrives.
  • determining whether a password recovery request sent from the device operation unit is received, and if yes, prohibiting the password from logging in to the device; if not, continuing to determine until the operation termination time is reached When the operation termination time is reached, determining whether the device operation unit has an operation on the device, and if yes, sending an alarm signal to the security management unit, and if not, prohibiting the password from logging in to the device .
  • the device further includes an audit management unit, configured to use the platform management unit and the The operational behavior of the security management unit and/or the device operating unit is audited.
  • FIG. 1 is a flow chart of an account allocation method according to an embodiment of the present invention.
  • FIG. 2 is a structural diagram of an account allocating apparatus according to an embodiment of the present invention. detailed description
  • the present invention provides an account allocation method and apparatus.
  • the present invention will be further described in detail below with reference to the accompanying drawings and embodiments. It is understood that the specific embodiments described herein are merely illustrative of the invention and are not intended to limit the invention.
  • FIG. 1 is a flowchart of an account allocation method according to an embodiment of the present invention.
  • Step S110 a plurality of units having different rights are set in advance.
  • the plurality of units with different permissions set include at least: a platform management unit, a security management unit, an audit management unit, and a device operation unit.
  • the number of security management units and the number of device operation units may be one or more.
  • Each unit implements the allocation and collection of temporary accounts according to their respective rights, preventing security problems caused by account information disclosure. Further, each unit may correspond to a specific operational user.
  • the platform management unit can manage the user corresponding to the platform
  • the security management unit can correspond to the security management user
  • the audit management unit can correspond to the audit management user
  • the device operation unit can correspond to the device operation user.
  • the platform management unit is configured to associate one or more devices for each security management unit, and to allocate and recycle rights of users corresponding to the security management unit, the audit management unit, and the device operation unit. Specifically, the platform management unit can create or import device settings in the device.
  • the device information includes at least: a host name, an address, network element information, and geographic location information; the platform management unit associates the device with the security management user, so that the security management user is responsible for the security of one or more devices associated with the device. management. Further, when the number of devices in the device is required to be large, multiple security management units may be set, and the platform management unit may divide the devices into security management units according to regions or types, that is, for each security management unit. Associate one or more devices.
  • the platform management unit may designate the user as a security management user, an audit management user, or a device operation user.
  • the platform management unit can specify user A as the security management user, user B as the audit management user, and user C as the device operation user.
  • the platform management user can also revoke the user's rights. .
  • the device operating unit When the device needs to be operated, the device operating unit is used to initiate an operation request to the security management unit associated with the device, thereby obtaining a temporary account, and relying on the obtained temporary account to perform device operations. For example: Perform service upgrades, troubleshooting, and other operations on the device.
  • the security management unit is used to approve the operation requests initiated by the device operating unit and to secure the one or more devices that are under the jurisdiction (associated), such as: security policy delivery, security monitoring, and so on.
  • the audit management unit is used to audit the operation behavior of the platform management unit, the security management unit, and/or the device operation unit, and discover suspicious operational traces in time, thereby discovering illegal operation behaviors of the platform management user, the security management user, and/or the device operation user. Further, the audit management unit may audit the operation of the one or more devices associated with each security management unit by the platform management unit, audit the operation of the security management unit approval operation request, and perform operations on the device by the device operation unit. The approval process is performed to discover the illegal operation behavior of the platform management unit, the security management unit, and the device operation unit.
  • the audit refers to: According to the information collected by the device, the judgment unit (such as the platform management unit, the security management unit, and the device operation unit) is legal for the operation performed by the device, and the judgment result is given.
  • Step S120 Receive an operation request initiated by the device operation unit for the device.
  • the platform management unit associates one or more devices for each security management unit, so when the device needs to be operated and maintained, the device operation unit needs to be associated with the device.
  • the security management unit initiates an operation request, and after the device operation unit initiates the operation request, the operation request is received by the security management unit associated with the device.
  • the operation request is used to request the temporary account required to obtain the operating device.
  • the temporary account includes the account number and password required to log in to the device.
  • Step S130 Generate a temporary account for the device operation unit according to the operation request.
  • a temporary account is an account that is valid for a specified period of time, and the account is invalid at a time other than the specified time period.
  • the account of the device is known information, and the password is unknown.
  • the account number can be obtained by querying the account corresponding to each device, and the password can be generated by using an algorithm.
  • the temporary account is formed based on the account obtained by the query and the generated password, and the temporary account is sent to the device operation unit.
  • the device operating unit logs in to the device with a temporary account and operates the device.
  • the security management unit After receiving the operation request, the security management unit obtains a password in the temporary account by using a preset password generation policy, or approves, by the security management unit, an operation request initiated by the device operation unit, when the operation request is approved. After passing, the password of the temporary account login device is obtained by using the preset password generation policy. Approving the operation request, that is, determining whether the device operation unit is allowed to perform operations on the device, thereby increasing the security of the device. Further, the approval of the operation request refers to: allowing the device operation unit to perform operations on the device. . If an operation request that fails is approved, the device operation unit is not allowed to perform operations on the device.
  • the process of obtaining the password in the temporary account by using the preset password generation policy may be: after the security management unit receives the operation request or the security management unit approves the operation request, the device sends a password modification instruction to the device; the device calls the pre-storage The password modification program modifies the current password and returns the modified password to the device; the device receiving device modifies according to the password The password modified by the command, and the password fed back by the device is used as the password in the temporary account.
  • the process may also be: after the security management unit receives the operation request or the security management unit approves the operation request, the device generates a password according to the preset password generation algorithm, and sends the generated password to the device, and the device will The password is changed to the password generated by the device.
  • the device stores the password in the generated temporary account, but the password is not directly displayed in the device, but is encrypted and stored in the database, and is not visible to the platform management unit, security management unit, audit management unit, and device operating unit. That is, the password is not visible to platform management users, security management users, audit management users, and device operation users.
  • Passwords generated using the default password generation policy can only be used within the operating time window.
  • the operation time window is a length of time, which may be an empirical value.
  • the security management unit can set this length of time.
  • the operation start time and the operation termination time are specified for the device operation unit, and the device operation unit is allowed to perform the device within a time period (operation time window) between the operation start time and the operation termination time. operating.
  • the password in the temporary account is only valid until the specified end of operation time has elapsed.
  • the device After obtaining the password, the device sends the password to the device operating unit, so that the device operating unit performs the operation and maintenance operation on the device based on the password.
  • the device can transmit the temporary account (password) to the device operating unit in a predetermined manner. For example, it is transmitted to the device operation unit through a separate channel such as mail or SMS, and is invisible to other units.
  • the device operation unit needs to perform the operation of the device by using the temporary account (password) within the operation time window, and the operation is effective. Operation, otherwise, the operation is an invalid operation and is an illegal operation.
  • the account number and password in the temporary account are all unknown information.
  • the password can be obtained in the above manner, and the account can also be obtained by referring to the above method.
  • the device generates an account according to a preset account generation algorithm, and generates a password by using a preset password generation algorithm.
  • the account and the password are sent to the device and the device operating unit, and the device modifies the account and password of the current account according to the account and the password, and the device operation unit logs in the device according to the account and the password to perform device operation.
  • Step S140 After the device operation unit completes the operation of the device based on the temporary account, prohibiting the temporary account from logging in to the device.
  • the temporary account is forbidden to log in to the device, that is, the temporary account is reclaimed, and the temporary account is revoked on the device side.
  • the login fails. For example: If the device modifies the current password, the original password will fail to log in successfully.
  • the device operation unit finishes the operation of the device, submits a password recovery request in the device, and the device sends a password modification instruction to the device again, or the device generates a password according to the preset password generation algorithm again, so that the device modifies the current Password, so you will not be able to log in to the device with the original password. Further, the device also returns the modified password to the device, and the device encrypts the password and stores it.
  • FIG. 2 is a structural diagram of an account allocating apparatus according to an embodiment of the present invention, including: a device operating unit 210, a security management unit 220, and a password management unit 230.
  • the device operating unit 210 is configured to initiate an operation request for the device.
  • the security management unit 220 is configured to receive an operation request initiated by the device operation unit for the device.
  • the password management unit 230 is configured to generate a temporary account for the device operation unit according to the operation request; and prohibit the temporary account from logging in to the device after the device operation unit completes the operation of the device based on the temporary account.
  • the device further includes: a platform management unit 240, configured to associate one or more devices for each security management unit 220 before receiving the operation request initiated by the device operation unit 210 for the device; and the device operation unit 210 initiates the device for the device After the operation request, the operation request is received by the security management unit 220 associated with the device.
  • a platform management unit 240 configured to associate one or more devices for each security management unit 220 before receiving the operation request initiated by the device operation unit 210 for the device.
  • the security management unit 220 is further configured to approve the operation request initiated by the device operation unit 210.
  • the password management unit 230 is further configured to generate a policy by using a preset password after the operation request is approved. , Get the password for the temporary account login device.
  • the password management unit 230 is specifically configured to send a password modification instruction to the device; the password modified by the receiving device according to the password modification instruction; and the password fed back by the device as the password in the temporary account.
  • the password in the temporary account is only valid until the specified end of operation time is reached.
  • the apparatus further includes: a password transmission unit 250 for transmitting a password to the device operation unit 210 to cause the device operation unit 210 to operate based on the password login device.
  • the password management unit 230 is further configured to determine, according to the specified operation start time, whether a password recovery request sent from the device operation unit 210 is received, and if so, the password login device is prohibited; if not, the determination is continued until the operation is terminated.
  • the operation termination time it is judged whether the device operation unit 210 has an operation on the device, and if so, an alarm signal is sent to the security management unit 220, and if not, the password login device is prohibited.
  • the apparatus further includes: an audit management unit 260 for auditing the operations of the platform management unit 240, the security management unit 220, and/or the device operating unit 210.
  • the function of the device in the embodiment of the present invention has been described in the method embodiment shown in FIG. 1. Therefore, the description of the embodiment is not exhaustive, and the related description in the foregoing embodiment may be referred to. Make a statement.
  • the device operation unit, the security management unit, the password management unit, the platform management unit, and the audit management unit may all be implemented by hardware such as a DSP or a CPU; the password transmission unit may be implemented by a hardware such as a DSP or a CPU and an I/O interface.
  • the embodiment of the present invention introduces an account management mode in a decentralized mode, by assigning units of four roles, namely: a platform management unit, a security management unit, an audit management unit, and a device operation unit, so that each unit performs its own duties and prevents a certain unit from The uncontrollable security impact of class roles on device permissions.
  • the invention effectively solves the problem of management burden of large-volume device accounts and reduces maintenance costs.
  • the allocation and storage of the password are managed by the device, and the platform management unit, the security management unit, and the audit management unit cannot obtain the password, and the device operation unit can only obtain the password within a limited time window, effectively avoiding the password. Leakage caused by security incidents, while reducing the security management burden of operations personnel.
  • the invention discloses an account allocation method and device, which can be used for an operation request initiated by a device; and then generate a temporary account according to the operation request; and prohibit the temporary account after the operation of the device is completed based on the temporary account Log in to the device again.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)
  • Alarm Systems (AREA)

Abstract

本发明公开了一种账户分配方法和装置，其中方法包括：接收设备操作单元针对设备发起的操作请求；根据所述操作请求，为所述设备操作单元生成临时账户；以及在所述设备操作单元基于所述临时账户对所述设备操作完毕后，禁止所述临时账户登录所述设备。

Description

一种账户分配方法和装置 技术领域
本发明涉及通信技术领域， 特别是涉及一种账户分配方法和装置。 背景技术
计算机和通信行业中实施主机账号密码管控时常常出现密码维护困 难， 如 IPTV ( Internet Protocol Television, 网络协定电视）、 OTT ( Over The Top )等产品中主机数量庞大， 产品工程安全规范实施不到位出现弱密码， 进而会因为工程资料泄露导致密码泄露。 账号密码的申请、 回收、 审计等 过程操作繁瑣等， 由此进一步加大了系统被入侵的可能性。 因此， 密码管 控不严格导致的黑客入侵事件是常见的一类安全事件。
在现有技术中， 关于账号管理， 可以预先将账号及其对应的密码保存 在预定的系统中， 待使用时， 直接从系统中获取。 例如： 通过将用户的登 录信息 （账号、 密码） 与访问对象进行关联后存储， 当用户指定了某个访 问对象需要进行登录操作时， 通过读取出与之关联的登录信息来执行登录 操作， 不需要用户手动地输入登录信息来完成登录， 由此提高了用户网络 活动的效率。
但是， 上述账号管理方式是对预先确定好的账号和密码的管理， 若系 统信息泄露， 则账号和密码也将会被泄露， 从而造成安全隐患。 发明内容
有鉴于此， 本发明要解决的技术问题是提供一种账户分配方法和装置， 用以解决现有技术中存在的上述问题。
为解决上述技术问题， 本发明是通过以下技术方案来解决的。 本发明实施例提供了一种账户分配方法， 包括： 接收设备操作单元针 对设备发起的操作请求； 根据所述操作请求， 为所述设备操作单元生成临 时账户； 以及在所述设备操作单元基于所述临时账户对所述设备操作完毕 后， 禁止所述临时账户登录所述设备。
其中， 在接收设备操作单元针对设备发起的操作请求之前， 平台管理 单元为每个安全管理单元关联一个或多个设备； 在所述设备操作单元发起 操作请求后， 由与所述设备关联的安全管理单元接收所述操作请求。
其中， 根据所述操作请求， 为所述设备操作单元生成临时账户， 还包 括： 所述安全管理单元对所述设备操作单元发起的操作请求进行审批； 当 操作请求审批通过后， 利用预设的密码生成策略， 获得所述临时账户登录 所述设备的密码； 将所述密码发送给所述设备操作单元， 以使所述设备操 作单元基于所述密码登录所述设备进行操作。
其中， 所述密码通过以下步骤获得： 向所述设备发送密码修改指令； 接收所述设备根据所述密码修改指令所修改的密码； 将所述设备反馈的密 码作为所述临时账户中的密码。
其中， 所述临时账户中的密码仅在指定的操作终止时间到达之前有效。 其中， 在所述设备操作单元基于所述临时账户对所述设备操作完毕后， 禁止所述临时账户登录所述设备， 包括： 从指定的操作开始时间开始， 判 断是否接收到来自设备操作单元发送的密码回收请求， 若是， 则禁止所述 密码登录所述设备； 若否， 则继续判断， 直至到达所述操作终止时间为止； 当到达所述操作终止时间时， 判断所述设备操作单元对所述设备是否有操 作， 若是， 则向所述安全管理单元发送告警信号， 若否， 则禁止所述密码 登录所述设备。
其中， 所述方法还包括： 所述平台管理单元、 所述安全管理单元和 /或 所述设备操作单元的操作行为由审计管理单元进行审计。 本发明实施例还提供了一种账户分配装置， 包括： 设备操作单元、 安 全管理单元和密码管理单元； 设备操作单元， 用于针对设备发起操作请求； 安全管理单元， 用户接收所述设备操作单元针对设备发起的操作请求； 密 码管理单元， 用于根据所述操作请求， 为所述设备操作单元生成临时账户； 以及在所述设备操作单元基于所述临时账户对所述设备操作完毕后， 禁止 所述临时账户登录所述设备。
其中， 所述装置还包括平台管理单元， 用于在接收设备操作单元针对 设备发起的操作请求之前， 为每个安全管理单元关联一个或多个设备； 在 所述设备操作单元发起操作请求后， 由与所述设备关联的安全管理单元接 收所述操作请求。
其中， 所述安全管理单元还用于， 对所述设备操作单元发起的操作请 求进行审批； 所述密码管理单元还用于， 当操作请求审批通过后， 利用预 设的密码生成策略， 获得所述临时账户登录所述设备的密码； 所述装置还 包括密码传输单元， 用于将所述密码发送给所述设备操作单元， 以使所述 设备操作单元基于所述密码登录所述设备进行操作。
其中， 所述密码管理单元具体用于： 向所述设备发送密码修改指令； 接收所述设备根据所述密码修改指令所修改的密码； 将所述设备反馈的密 码作为所述临时账户中的密码。
其中， 所述临时账户中的密码仅在指定的操作终止时间到达之前有效。 其中， 从指定的操作开始时间开始， 判断是否接收到来自设备操作单 元发送的密码回收请求， 若是， 则禁止所述密码登录所述设备； 若否， 则 继续判断， 直至达到所述操作终止时间为止； 当到达所述操作终止时间时， 判断所述设备操作单元对所述设备是否有操作， 若是， 则向所述安全管理 单元发送告警信号， 若否， 则禁止所述密码登录所述设备。
其中， 所述装置还包括审计管理单元， 用于对所述平台管理单元、 所 述安全管理单元和 /或所述设备操作单元的操作行为进行审计。
本发明有益效果如下： 本发明实施例通过申请临时账号的方式， 避免 了密码泄露造成的安全事件， 并且有效地降低了维护成本。 附图说明
图 1 是根据本发明一实施例的账户分配方法的流程图；
图 2 是根据本发明一实施例的账户分配装置的结构图。 具体实施方式
为了解决现有技术预先存储的账号和密码被泄露后， 所造成的安全隐 患问题， 本发明提供了一种账户分配方法和装置， 以下结合附图以及实施 例， 对本发明进行进一步详细说明。 应当理解， 此处所描述的具体实施例 仅仅用以解释本发明， 并不限定本发明。
如图 1所示， 图是 1根据本发明一实施例的账户分配方法的流程图。 步骤 S110， 预先设置具有不同权限的多个单元。
设置的不同权限的多个单元至少包括： 平台管理单元、 安全管理单元、 审计管理单元和设备操作单元。
其中， 安全管理单元的数量、 设备操作单元的数量可以是一个或多个。 每个单元根据各自的权限， 实现临时账户的分配和回收， 防止因账户信息 泄露而引起的安全性问题。 进一步地， 每个单元可以对应具体的操作用户。 例如： 平台管理单元可以对应平台管理用户， 安全管理单元可以对应安全 管理用户； 审计管理单元可以对应审计管理用户； 设备操作单元可以对应 设备操作用户。
平台管理单元用于为每个安全管理单元关联一个或多个设备， 以及用 于安全管理单元、 审计管理单元和设备操作单元各自对应的用户的权限的 分配和回收。 具体而言， 平台管理单元能够在装置中创建或导入设备的设 备信息， 该设备信息至少包括： 主机名、 地址、 网元信息和地理位置信息； 平台管理单元将设备与安全管理用户进行关联， 使该安全管理用户负责与 其关联的一个或多个设备的安全管理。 进一步地， 当需要装置中设备的数 量较多时， 可以设置多个安全管理单元， 平台管理单元可以将设备按照区 域或者类型分别划分为各个安全管理单元， 也即是说， 为每个安全管理单 元关联一个或多个设备。 更进一步地， 平台管理单元可以指定用户作为安 全管理用户、 审计管理用户或设备操作用户。 例如： 现有用户 A、 B、 C， 平台管理单元可以指定用户 A作为安全管理用户， 指定用户 B作为审计管 理用户， 指定用户 C作为设备操作用户， 平台管理用户还可以撤销用户所 具有的权限。
当需要对设备进行操作时， 设备操作单元用于向该设备关联的安全管 理单元发起操作请求， 依此来获得临时账户， 依靠获得的临时账户， 执行 设备操作。 例如： 对设备进行业务升级， 故障排查等操作。
安全管理单元用于对设备操作单元发起的操作请求进行审批， 以及负 责所管辖（关联） 的一个或多个设备的安全， 如： 安全策略下发、 安全监 控等。
审计管理单元用于审计平台管理单元、 安全管理单元和 /或设备操作单 元的操作行为， 及时发现可疑的操作痕迹， 进而发现平台管理用户、 安全 管理用户和 /或设备操作用户的非法操作行为。 进一步地， 审计管理单元可 以对平台管理单元为每个安全管理单元关联一个或多个设备的操作进行审 计、 对安全管理单元审批操作请求的操作进行审计、 以及对设备操作单元 对设备进行的操作进行审批， 进而发现平台管理单元、 安全管理单元和设 备操作单元的非法操作行为。 其中， 审计是指： 根据装置收集的信息， 判 断单元（如： 平台管理单元、 安全管理单元和设备操作单元）针对设备执 行的操作是否合法， 并给出判断结果。 步骤 S120， 接收设备操作单元针对设备发起的操作请求。
因为， 在接收设备操作单元针对设备发起的操作请求之前， 平台管理 单元为每个安全管理单元关联一个或多个设备， 所以， 当设备需要操作、 维护时， 设备操作单元需要向与该设备关联的安全管理单元发起操作请求， 在设备操作单元发起操作请求后， 由与设备关联的安全管理单元接收操作 请求。 操作请求用于请求获得操作设备时所需的临时账户。 临时账户包括 登录设备所需的账号和密码。
步骤 S130， 根据操作请求， 为设备操作单元生成临时账户。
临时账户是指在指定的时间段内有效的账户， 在指定时间段之外的时 间， 该账户均无效。
在临时账户中， 设备的账号是已知信息， 密码是未知信息。 账号可以 通过查询每个设备对应的账号而获得， 密码可以利用算法来生成。 基于查 询获得的账号和生成的密码形成临时账户， 将临时账户发送给设备操作单 元。 设备操作单元利用临时账户登录设备， 并对设备进行操作。
具体而言， 安全管理单元接收到该操作请求后， 利用预设的密码生成 策略， 获得临时账户中的密码， 或者， 由安全管理单元对设备操作单元发 起的操作请求进行审批， 当操作请求审批通过后， 利用预设的密码生成策 略， 获得临时账户登录设备的密码。 针对该操作请求进行审批， 即是判断 否允许该设备操作单元对该设备执行操作， 以此增加设备的安全性， 进一 步地， 审批通过的操作请求是指： 允许设备操作单元对该设备执行操作。 审批未通过的操作请求， 则不允许设备操作单元对设备执行操作。
利用预设的密码生成策略， 获得临时账户中的密码的过程可以是： 安 全管理单元接收到操作请求后或者安全管理单元对操作请求审批通过后， 装置向设备发送密码修改指令； 设备调用预先存储的密码修改程序对当前 密码进行修改， 并将修改后的密码返回装置； 装置接收设备根据密码修改 指令所修改的密码， 将设备反馈的的密码作为临时账户中的密码。 该过程 还可以是： 安全管理单元接收到操作请求后或者安全管理单元对操作请求 审批通过后， 装置根据预先设置的密码生成算法， 生成一个密码， 将该生 成的密码发送至设备， 设备将当前密码修改为装置生成的密码。
装置将生成的临时账户中的密码进行存储， 但是， 该密码不直接显示 在装置中， 而是加密保存在数据库中， 对平台管理单元、 安全管理单元、 审计管理单元和设备操作单元都不可见， 也即是说， 该密码对平台管理用 户、 安全管理用户、 审计管理用户和设备操作用户都不可见。
利用预设的密码生成策略生成的密码可以仅在操作时间窗口内使用有 效。 该操作时间窗口为一个时间长度， 该时间长度可以是经验值。 安全管 理单元可以对该时间长度进行设置。 进一步地， 针对设备操作单元的操作 请求， 为该设备操作单元指定操作开始时间和操作终止时间， 允许设备操 作单元在操作开始时间和操作终止时间之间的时间段（操作时间窗口） 内 进行设备操作。 这样， 临时账户中的密码仅在指定的操作终止时间到达之 前有效。
在获得密码后， 装置将密码发送给设备操作单元， 以使设备操作单元 基于该密码对设备进行运维操作。 其中， 装置可以将临时账户 （密码）通 过预定的方式传送给设备操作单元。 例如， 通过邮件、 短信等单独渠道传 送给设备操作单元， 对其他单元均不可见。 进一步地， 若密码具有操作时 间窗口， 仅在预设的操作终止时间到达之前有效， 则设备操作单元需要在 操作时间窗口内， 利用临时账户 （密码）， 执行设备的操作， 且该操作为有 效操作， 否则， 该操作为无效操作， 且为非法操作。
在一个实施例中， 临时账户中的账号和密码都为未知信息。 密码可以 通过上述方式获得， 账户也可以参照上述方式获得。 例如： 装置根据预先 设置的账号生成算法生成账号， 并利用预先设置的密码生成算法生成密码， 将该账号和密码发送至设备和设备操作单元， 设备根据该账号和密码修改 当前账户的账号和密码， 设备操作单元根据该账号和密码登录设备， 进行 设备操作。
步骤 S140， 在设备操作单元基于临时账户对设备操作完毕后， 禁止该 临时账户登录该设备。
禁止该临时账户登录该设备， 即是对临时账户进行回收， 在设备侧撤 销该临时账户， 当再次使用该临时账户登录设备时， 则登录失败。 例如： 设备修改当前密码， 则使用原密码将无法登录成功。
具体而言， 设备操作单元对设备操作完毕后， 在装置中提交密码回收 请求， 装置将再次向设备发送密码修改指令， 或者装置将再次根据预先设 置的密码生成算法生成一个密码， 使设备修改当前密码， 这样使用原密码 将无法登录设备。 进一步地， 设备还要将修改后的密码返回装置， 由装置 对该密码加密后存储。
若密码仅在操作时间窗口内使用有效， 则从指定的操作开始时间开始， 判断是否接收到来自设备操作单元发送的密码回收请求， 若是， 则禁止密 码登录设备； 若否， 则继续判断， 直至到达操作终止时间为止； 当到达操 作终止时间时， 判断设备操作单元对设备是否有操作， 若是， 则向安全管 理单元发送告警信号， 若否， 则禁止密码登录设备。 安全管理单元接收到 告警信号后， 视情况进行安全策略下发。 例如： 发现设备操作单元为可疑 单元， 则锁定设备； 若设备出现不易排查的故障， 则延长操作时间窗口。 本发明实施例还提供了一种账户分配装置。 如图 2所示， 图 2 是根据 本发明一实施例的账户分配装置的结构图， 包括： 设备操作单元 210、 安全 管理单元 220和密码管理单元 230。
设备操作单元 210， 用于针对设备发起操作请求。
安全管理单元 220， 用于接收设备操作单元针对设备发起的操作请求。 密码管理单元 230，用于根据操作请求，为设备操作单元生成临时账户； 以及在设备操作单元基于临时账户对设备操作完毕后， 禁止临时账户登录 设备。
所述装置还包括： 平台管理单元 240， 用于在接收设备操作单元 210针 对设备发起的操作请求之前， 为每个安全管理单元 220 关联一个或多个设 备； 在设备操作单元 210针对设备发起的操作请求之后， 由与设备关联的 安全管理单元 220接收操作请求。
优选地， 安全管理单元 220，还用于对设备操作单元 210发起的操作请 求进行审批； 相应的， 所述密码管理单元 230， 还用于当操作请求审批通过 后， 利用预设的密码生成策略， 获得临时账户登录设备的密码。
密码管理单元 230， 具体用于向设备发送密码修改指令； 接收设备根据 密码修改指令所修改的密码； 将设备反馈的密码作为临时账户中的密码。 临时账户中的密码仅在指定的操作终止时间到达之前有效。
装置还包括： 密码传输单元 250，用于将密码发送给设备操作单元 210， 以使设备操作单元 210基于密码登录设备进行操作。
密码管理单元 230，还用于从指定的操作开始时间开始， 判断是否接收 到来自设备操作单元 210发送的密码回收请求， 若是， 则禁止密码登录设 备； 若否， 则继续判断， 直至达到操作终止时间为止； 当到达操作终止时 间时， 判断设备操作单元 210对设备是否有操作， 若是， 则向安全管理单 元 220发送告警信号， 若否， 则禁止密码登录设备。
装置还包括： 审计管理单元 260， 用于对平台管理单元 240、 安全管理 单元 220和 /或设备操作单元 210的操作行进行审计。
本发明实施例所述的装置的功能已经在图 1 所示的方法实施例中进行 了描述， 故本实施例的描述中未详尽之处， 可以参见前述实施例中的相关 说明， 在此不做赘述。 上述设备操作单元、 安全管理单元、 密码管理单元、 平台管理单元以 及审计管理单元均可以由 DSP或 CPU等硬件实现； 密码传输单元可以由 DSP或 CPU等硬件配合 I/O接口实现。
本发明实施例引入分权模式的账户管理方式， 通过分配四种角色的单 元， 即： 平台管理单元、 安全管理单元、 审计管理单元和设备操作单元， 使各个单元各司其职， 防止某一类角色对设备权限过大而造成的不可控制 的安全影响。 本发明通过申请临时账号的方式， 有效地解决了大批量设备 账号的管理负担问题， 降低了维护成本。 此外， 本发明中密码的分配和存 储都由装置管理， 平台管理单元、 安全管理单元、 审计管理单元均无法获 知密码， 设备操作单元也只能在有限时间窗内获知密码， 有效地避免了密 码泄露造成的安全事件， 同时降低运维人员的安全管理负担。
尽管为示例目的， 已经公开了本发明的优选实施例， 本领域的技术人 员将意识到各种改进、 增加和取代也是可能的， 因此， 本发明的范围应当 不限于上述实施例。 工业实用性
本发明公开了一种账户分配方法和装置， 能够针对设备发起的操作请 求； 再根据所述操作请求， 生成临时账户； 以及基于所述临时账户对所述 设备操作完毕后， 禁止所述临时账户再次登录所述设备。 从而， 通过申请 临时账号的方式， 避免了密码泄露造成的安全事件， 并且有效地降低了维 护成本。

Claims

权利要求书
1、 一种账户分配方法， 包括：
接收设备操作单元针对设备发起的操作请求；
根据所述操作请求， 为所述设备操作单元生成临时账户； 以及 在所述设备操作单元基于所述临时账户对所述设备操作完毕后， 禁止 所述临时账户登录所述设备。
2、 如权利要求 1所述的方法， 其中， 在接收设备操作单元针对设备发 起的操作请求之前， 所述方法还包括： 平台管理单元为每个安全管理单元 关联一个或多个设备；
在接收设备操作单元针对设备发起的操作请求之后， 所述方法还包括： 由与所述设备关联的安全管理单元接收所述操作请求。
3、 如权利要求 2所述的方法， 其中， 根据所述操作请求， 为所述设备 操作单元生成临时账户， 包括：
所述安全管理单元对所述设备操作单元发起的操作请求进行审批； 当操作请求审批通过后， 利用预设的密码生成策略， 获得所述临时账 户登录所述设备的密码；
将所述密码发送给所述设备操作单元， 以使所述设备操作单元基于所 述密码登录所述设备进行操作。
4、 如权利要求 3所述的方法， 其中， 所述获得所述临时账户登录所述 设备的密码， 包括：
向所述设备发送密码修改指令；
接收所述设备根据所述密码修改指令所修改的密码；
将所述设备反馈的密码作为所述临时账户中的密码。
5、 如权利要求 3或 4所述的方法， 其中， 所述密码仅在指定的操作终 止时间到达之前有效。
6、 如权利要求 5所述的方法， 其中， 在所述设备操作单元基于所述临 时账户对所述设备操作完毕后， 禁止所述临时账户登录所述设备， 包括： 从指定的操作开始时间开始， 判断是否接收到来自设备操作单元发送 的密码回收请求， 若是， 则禁止所述密码登录所述设备； 若否， 则继续判 断， 直至到达所述操作终止时间为止；
当到达所述操作终止时间时， 判断所述设备操作单元对所述设备是否 有操作， 若是， 则向所述安全管理单元发送告警信号， 若否， 则禁止所述 密码登录所述设备。
7、 如权利要求 6所述的方法， 其中， 所述方法还包括：
所述平台管理单元、 所述安全管理单元和 /或所述设备操作单元的操作 行为由审计管理单元进行审计。
8、 一种账户分配装置， 包括： 设备操作单元、 安全管理单元和密码管 理单元；
设备操作单元， 配置为针对设备发起操作请求；
安全管理单元， 配置为接收所述设备操作单元针对设备发起的操作请 求；
密码管理单元， 配置为根据所述操作请求， 为所述设备操作单元生成 临时账户； 以及在所述设备操作单元基于所述临时账户对所述设备操作完 毕后， 禁止所述临时账户登录所述设备。
9、如权利要求 8所述的装置， 其中， 所述装置还包括： 平台管理单元， 配置为在接收设备操作单元针对设备发起的操作请求之前， 为每个安全管 理单元关联一个或多个设备； 在所述设备操作单元发起操作请求后， 由与 所述设备关联的安全管理单元接收所述操作请求。
10、 如权利要求 9所述的装置， 其中：
所述安全管理单元， 配置为对所述设备操作单元发起的操作请求进行 审批；
所述密码管理单元， 配置为当操作请求审批通过后， 利用预设的密码 生成策略， 获得所述临时账户登录所述设备的密码；
所述装置还包括： 密码传输单元， 配置为将所述密码发送给所述设备 操作单元， 以使所述设备操作单元基于所述密码登录所述设备进行操作。
11、 如权利要求 10所述的装置， 其中， 所述密码管理单元， 配置为向 所述设备发送密码修改指令； 接收所述设备根据所述密码修改指令所修改 的密码； 将所述设备反馈的密码作为所述临时账户中的密码。
12、 如权利要求 10或 11所述的装置， 其中， 所述临时账户中的密码 仅在指定的操作终止时间到达之前有效。
13、 如权利要求 12所述的装置， 其中， 所述密码管理单元， 配置为从 指定的操作开始时间开始， 判断是否接收到来自设备操作单元发送的密码 回收请求， 若是， 则禁止所述密码登录所述设备； 若否， 则继续判断， 直 至达到所述操作终止时间为止； 当到达所述操作终止时间时， 判断所述设 备操作单元对所述设备是否有操作， 若是， 则向所述安全管理单元发送告 警信号， 若否， 则禁止所述密码登录所述设备。
14、 如权利要求 13所述的装置， 其中， 所述装置还包括： 审计管理单 元， 配置为对所述平台管理单元、 所述安全管理单元和 /或所述设备操作单 元的操作行为进行审计。
PCT/CN2014/084323 2014-05-08 2014-08-13 一种账户分配方法和装置 WO2015169003A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201410191721.5 2014-05-08
CN201410191721.5A CN105099683A (zh) 2014-05-08 2014-05-08 一种账户分配方法和装置

Publications (1)

Publication Number Publication Date
WO2015169003A1 true WO2015169003A1 (zh) 2015-11-12

Family

ID=54392058

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2014/084323 WO2015169003A1 (zh) 2014-05-08 2014-08-13 一种账户分配方法和装置

Country Status (2)

Country Link
CN (1) CN105099683A (zh)
WO (1) WO2015169003A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107483389A (zh) * 2016-06-07 2017-12-15 武汉斗鱼网络科技有限公司 一种临时权限管理方法及装置

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107181749A (zh) * 2017-05-26 2017-09-19 携程旅游信息技术（上海）有限公司 企业系统内特殊账号信息的管理系统及方法
CN110430048A (zh) * 2019-07-23 2019-11-08 上海易点时空网络有限公司 账户权限管理方法及装置
CN110851806A (zh) * 2019-10-24 2020-02-28 广州江南科友科技股份有限公司 一种基于Linux的账户管理方法、系统、装置及存储介质
CN112751800B (zh) * 2019-10-29 2023-11-24 杭州海康威视系统技术有限公司 一种认证方法及装置
CN113438082B (zh) * 2021-06-21 2023-02-07 郑州阿帕斯数云信息科技有限公司 数据库访问方法、装置、设备和存储介质

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1756155A (zh) * 2004-09-30 2006-04-05 阿尔卡特公司 用于网络访问的移动认证
CN101179382A (zh) * 2006-12-20 2008-05-14 腾讯科技（深圳）有限公司 一种登录方法及系统
CN101388777A (zh) * 2008-10-16 2009-03-18 中兴通讯股份有限公司 一种通信系统中跨系统访问的第三方认证方法和系统
WO2010126509A2 (en) * 2009-04-30 2010-11-04 Donald Michael Cardina Systems and methods for randomized mobile payment
US20110016515A1 (en) * 2009-07-17 2011-01-20 International Business Machines Corporation Realtime multichannel web password reset
CN103177203A (zh) * 2011-12-26 2013-06-26 北京华旗随身数码股份有限公司 一种电脑登陆管理系统

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100370773C (zh) * 2004-07-12 2008-02-20 华为技术有限公司 一种基于虚拟专网实现集群动态重组的系统及方法
CN101673215B (zh) * 2008-09-09 2012-12-12 联想(北京)有限公司 一种虚拟环境中用户管理装置及方法
CN101383709A (zh) * 2008-10-17 2009-03-11 阿里巴巴集团控股有限公司 提高网络账户和密码安全的系统及方法

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1756155A (zh) * 2004-09-30 2006-04-05 阿尔卡特公司 用于网络访问的移动认证
CN101179382A (zh) * 2006-12-20 2008-05-14 腾讯科技（深圳）有限公司 一种登录方法及系统
CN101388777A (zh) * 2008-10-16 2009-03-18 中兴通讯股份有限公司 一种通信系统中跨系统访问的第三方认证方法和系统
WO2010126509A2 (en) * 2009-04-30 2010-11-04 Donald Michael Cardina Systems and methods for randomized mobile payment
US20110016515A1 (en) * 2009-07-17 2011-01-20 International Business Machines Corporation Realtime multichannel web password reset
CN103177203A (zh) * 2011-12-26 2013-06-26 北京华旗随身数码股份有限公司 一种电脑登陆管理系统

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107483389A (zh) * 2016-06-07 2017-12-15 武汉斗鱼网络科技有限公司 一种临时权限管理方法及装置
CN107483389B (zh) * 2016-06-07 2020-03-17 武汉斗鱼网络科技有限公司 一种临时权限管理方法及装置

Also Published As

Publication number Publication date
CN105099683A (zh) 2015-11-25

Similar Documents

Publication Publication Date Title
US20240048560A1 (en) Systems and methods for endpoint management
US20150271679A1 (en) System and method of verifying integrity of software
WO2015169003A1 (zh) 一种账户分配方法和装置
CN107483495B (zh) 一种大数据集群主机管理方法、管理系统及服务端
CN103441984A (zh) 安全无线网络中的动态认证
WO2013086968A1 (zh) 一种网络安全防护方法、设备和系统
CN102438013A (zh) 基于硬件的证书分发
CN110933484A (zh) 一种无线投屏设备的管理方法及装置
TWI537850B (zh) Cloud Control System and Method for Controlled Equipment
CN109547402B (zh) 数据保护方法、装置、电子设备和可读存储介质
WO2015176465A1 (zh) 账号管理方法及装置
CN105530266A (zh) 一种许可证书管理方法、装置及系统
JP2017152880A (ja) 認証システム、鍵処理連携方法、および、鍵処理連携プログラム
WO2016101579A1 (zh) 密钥协商方法、系统、网络实体及计算机存储介质
US20120324503A1 (en) Settop box and diagnosis method thereof
WO2014180431A1 (zh) 一种网管安全认证方法、装置、系统及计算机存储介质
CN115250203A (zh) 一种控制设备准入的方法、装置及相关产品
CN111611574B (zh) 信息获取方法、装置、设备和系统
CN108259414B (zh) 一种虚拟资源的管控方法及服务器
CN105763518A (zh) 一种基于b/s架构的远程数据加密方法
KR102110815B1 (ko) 접근 보안을 위한 일회성 비밀번호 기능을 구비한 접근통제 시스템
KR102284183B1 (ko) 웹 기반 ｓｑｌ 툴을 이용한 접근 제어 시스템 및 방법
CN110278127B (zh) 一种基于安全传输协议的Agent部署方法及系统
KR20150005789A (ko) 인증서를 이용한 사용자 인증 방법
EP3367609B1 (en) Recovering a key in a secure manner

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14891274

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14891274

Country of ref document: EP

Kind code of ref document: A1