[发明专利]跨应用共享的授权策略对象、目标定义和决策合并算法

说明书

技术领域

本发明的实施例总体上涉及计算机安全领域，更特别地，涉及能跨系统中的多个应用共享的全局安全策略模型。 

背景技术

在许多情况下，企业具有一些在所有应用中强制的公共安全策略。如果这些策略定义于每个应用范围内，则策略将会是冗余的且难以维护。 

在计算机安全领域，一般访问控制包括授权（authorization）、认证（authentication）、访问批准（access approval）、以及审计（audit）。访问控制涉及访问批准，藉此计算机基于已经认证了的主体被授权访问什么来判定同意还是拒绝来自主体的访问请求。认证和访问控制通常组合成单个操作，从而基于成功认证或者基于匿名访问令牌（token）来批准访问。认证方法和令牌可包括密码、生物测定扫描、物理密钥、电子密钥和器件、隐藏路径、社群壁垒（social barrier）、以及通过人和自动化系统来监控。 

在访问控制模型中，可执行系统中的动作的实体通常称为主体（subject），代表对其的访问可能需要被控制的资源的实体通常称为对象（object）。主体和对象可以是软件实体，而非人类用户。在一些模型（诸如对象-权能模型）中，软件实体有可能可以用作主体和对象二者。对象可包括计算系统资源（这里简称为“资源”），诸如可执行应用程序（这里简称为“应用”）、文件系统结构诸如文件和目录、通信端口、易失性存储片段等。 

当前系统使用的访问控制模型可以基于权能（capability）或基于 访问控制列表（ACL）。在基于权能的模型中，保持不会忘记的对于对象的引用或权能提供了对于对象的访问权（大致上类似于拥有房屋钥匙如何准许一个人进入其房屋）；访问权通过在安全通道上传输这样的权能而转移到另一方。在基于ACL的模型中，主体对于对象的访问权可以取决于其身份是否在与对象相关联的列表上（大致上类似于私密方的保镖检查一个人的ID以查看其名字是否在宾客列表中）；访问权可通过编辑该列表而被转移。基于权能的模型和基于ACL的模型二者都可包括允许访问权被授予给一组主体中的所有成员的机制。这样的组本身可以模型化为一个主体。 

访问控制系统可提供授权、识别和认证、访问批准以及追责（accountability）等服务。授权包括规定主体允许执行的动作。识别和认证防止非法主体访问系统。访问批准包括通过基于授权策略将用户与他们允许访问的资源相关联而在操作期间准许访问。追责识别主体执行的动作。 

授权可包括定义主体的访问权。授权策略可规定主体允许在系统内执行的操作。一些操作系统将授权策略实施为权限（permission）的形式集合，其是三种基本访问类型的变型或拓展。利用读访问，主体可以读取文件内容和列出目录内容。利用写访问，主体可以通过增加数据到已有文件结构、创建新文件结构、删除已有文件结构或重命名已有文件结构来改变文件或目录的内容。利用执行访问，主体可以使系统执行（运行）程序。这些权利和权限可以在具有不同访问控制模型的系统中不同地实施。访问控制模型有时分类为自主性或非自主性。一些广泛认可的模型包括自主访问控制（DAC）、强制访问控制（MAC）、基于角色的访问控制（RBAC）以及基于属性的访问控制（ABAC）。 

在基于属性的访问控制（ABAC）中，不一定基于与认证后的用户关联的主体的权利来授予访问权，而是基于用户本身的属性。可以要求用户满足（对于访问控制引擎而言）关于其属性的要求。基于属性的访问控制策略规定哪些要求需要被满足以授予对于对象的访问 权。例如，要求可以是“大于18岁”。在这样的情境下，可证实该要求的用户将被授予访问权。在该模型中，用户可以是匿名的，因为不严格要求认证和识别。用于匿名地证实要求的装置可以利用匿名证书实现。可扩展访问控制标记语言（XACML）是基于属性的访问控制的标准。 

自主访问控制（DAC）包括由对象的拥有者所确定的策略。该拥有者决定哪些用户被允许访问该对象以及那些用户关于该对象具有什么特权。在基于DAC的系统中，系统中的每个对象可具有拥有者。在一些基于DAC的系统中，每个对象的初始拥有者可以是使该对象被创建的主体。对象的访问策略可以由该对象的拥有者确定。在基于DAC的系统中，拥有者可以向诸如其他主体分配特定资源的访问权和权限。