[发明专利]访问控制方法、装置及系统

说明书

技术领域

本发明涉及网络通信领域，特别涉及访问控制方法、装置及系统。

背景技术

访问控制是网络管理中不可缺少的安全机制，通常用于通过预先定义的访问控制策略来控制用户对某些信息项，如服务器、目录、文件等网络资源的访问。

现有的网络管理基于NETCONF(Network Configuration，网络配置)协议，基于NETCONF协议的访问控制是采用XACML(eXtensible Access ControlMarkup Language，可扩展的访问控制标记语言)规范实现的。XACML是一种基于XML(Extensible Markup Language，可扩展标记语言)的开放标准语言。

通常，访问控制策略是由一条或多条访问控制规则组成的，XACML把规则抽象分解为若干种属性(Attribute)，包括：主体(Subject)、动作(Action)和资源(Resource)。其中，主体代表访问请求的发起者，动作是指该发起者想要执行的访问动作，资源就是被请求访问的信息。此外，每个规则还有一个效果(Effect)：表明是允许还是拒绝访问。例如，访问控制规则为：允许角色A读取接口1的数据，则该访问控制规则中的主体信息是“角色A”，动作信息是“读取”，资源信息是“接口1的数据”，效果信息是“允许”。

其中，对于资源，现有的XACML规范提供了在访问控制策略中采用XPATH(XML Path，可扩展标记语言路径)表达式描述资源的机制、提供了在访问请求中采用XPATH表达式来描述被请求资源的机制，也提供了分别利用两个XPATH表达式实现访问控制的机制。

在实现本发明的过程中，发明人发现现有技术至少存在以下问题：

由于NETCONF协议中还具备一种采用子树过滤表达式描述被请求资源的机制，但是该机制无法实现对采用子树过滤表达式描述被请求资源的访问请求进行访问控制。

发明内容

为了实现对采用子树过滤表达式描述被请求资源的访问请求进行访问控制，本发明实施例提供了访问控制方法、装置及系统。所述技术方案如下：

一种访问控制方法，包括：策略实施点接收网络配置协议NETCONF访问请求，该NETCONF访问请求携带采用子树过滤表达式描述的被请求资源信息；策略实施点将上述采用子树过滤表达式描述的被请求资源信息提供给策略决策点，以便策略决策点能够将采用子树过滤表达式描述的被请求资源信息与访问控制策略中采用可扩展标记语言路径XPATH表达式描述的资源信息进行匹配；策略实施点根据策略决策点返回的决策允许上述被请求资源信息被访问或者拒绝上述被请求资源信息被访问。

一种访问控制装置，包括：第一接收模块用于接收网络配置协议NETCONF访问请求，该NETCONF访问请求携带采用子树过滤表达式描述的被请求资源信息；第一发送模块用于将上述采用子树过滤表达式描述的被请求资源信息提供给策略决策点，以便策略决策点能够将采用子树过滤表达式描述的被请求资源信息与访问控制策略中采用可扩展标记语言路径XPATH表达式描述的资源信息进行匹配；决定模块用于根据策略决策点返回的决策允许上述被请求资源信息被访问或者拒绝上述被请求资源信息被访问。

一种访问控制方法，包括：策略决策点接收采用子树过滤表达式描述的被请求资源信息；策略决策点将上述采用子树过滤表达式描述的被请求资源信息与访问控制策略中采用可扩展标记语言路径XPATH表达式描述的资源信息进行匹配，根据匹配的结果作出决策允许上述被请求资源信息被访问或者拒绝上述被请求资源信息被访问。

一种访问控制装置，包括：第三接收模块，用于接收策略实施点提供的采用子树过滤表达式描述的被请求资源信息；匹配模块，用于将上述采用子树过滤表达式描述的被请求资源信息与访问控制策略中采用可扩展标记语言路径XPATH表达式描述的资源信息进行匹配，根据匹配的结果作出决策允许上述被请求资源信息被访问或者拒绝上述被请求资源信息被访问。

一种访问控制系统，包括：策略实施点向策略决策点发送决策请求，所述决策请求中的被请求资源信息采用子树过滤表达式描述；策略决策点将上述采用子树过滤表达式描述的被请求资源信息与访问控制策略中采用可扩展标记语言路径XPATH表达式描述的资源信息进行匹配，根据匹配的结果作出决策允许上述被请求资源信息被访问或者拒绝上述被请求资源信息被访问，并将决策返回给策略实施点；策略实施点根据策略决策点返回的决策，允许上述被请求资源信息被访问或者拒绝上述被请求资源信息被访问。