[发明专利]计算资源的动态部署的受限访问接口

说明书

访问控制系统的第一访问接口(100)提供对计算资源(150)的访问。确定用户的至少一个访问角色和与用户的该访问角色关联的至少一个访问目标。基于用户的至少一个访问角色和关联的至少一个访问目标，确定计算资源(150)的子集。定义限于计算资源(150)的子集的第二访问接口(110、120)。通过第二访问接口(110、120)，向所述用户提供对计算资源(150)的子集的访问。

技术领域

本发明涉及用于控制对计算资源的访问的方法以及对应的设备和系统。

背景技术

在计算机系统或网络中，已知的是提供用于控制用户对计算资源的访问的各种机制。一个示例是通信网络中的访问控制。在此情况下，可能需要对特定订户可以使用通信网络的哪些资源进行控制。然而，关于对通信网络的管理，也可能需要访问控制。例如，通信网络可以在多个运营商之间共享其网络资源，并且每个运营商可能需要管理对网络资源的对应共享。

在每种情况下，访问控制涉及许可特定用户(在上述示例中为特定订户或运营商)对特定计算资源的访问，而对于该用户拒绝对其他计算资源的访问。相似地，访问控制也可以涉及：对于特定计算资源，许可特定用于进行访问，而拒绝另一用户访问。相应地，访问控制可以通过根据用户和/或根据待访问的计算资源许可对计算资源的访问来考虑各种维度。

考虑以依赖于用户的方式来执行访问控制的一种方式是：向用户指派角色，并根据指派给特定用户的角色来执行访问控制。这通常称为基于角色的访问控制(RBAC)。在此，角色可以定义计算资源上准许或禁止的事务。可以为多个用户指派同一角色，并且可以为每个用户指派一个或多个角色。在多维访问控制方案中，可以通过在判决时还考虑访问的目标来将RBAC与基于目标的访问控制(TBAC)相组合。可以按照事务所需的计算资源的集来合定义访问的目标。

然而，在不会不利地影响访问控制系统的性能的情况下，实现精细粒度的多维访问控制可能是困难的。当在服务空间中实现精细粒度的多维访问控制时，这可能带来服务的不一致覆盖，和/或因为可能需要针对每个服务单独地实现相似的访问控制机制而可能导致架构重复。此外，由于从数据存储库中获得比实际上更多的用于访问控制判决的数据并且然后在服务空间中后处理该数据，因此也可能存在数据存储库上的增加的负载。因此，在从数据存储库获得的数据上可能存在过度开销。当精细粒度的访问控制进而在数据存储库中是多维的时，由于在数据存储库中对访问进行检查，因此这可能导致过度的处理开销。这可能带来吞吐量的抑制。

因此，存在对允许有效的基于角色和基于目标的访问控制的技术的需求。

发明内容

根据本发明的实施例，一种控制对计算资源的访问的方法。所述方法包括：通过第一访问接口来提供对计算资源的访问。此外，所述方法涉及：确定用户的至少一个访问角色和与所述用户的访问角色关联的至少一个访问目标。基于所述用户的所述至少一个访问角色和所述关联的至少一个访问目标，确定所述计算资源的子集。此外，所述方法包括：定义限于所述计算资源的所述子集的第二访问接口。此外，所述方法包括：通过所述第二访问接口来向所述用户提供对计算资源的所述子集的访问。

根据本发明的另外的实施例，提供了一种访问管理器。所述访问管理器被配置为：通过第一访问接口来提供对计算资源的访问。此外，所述访问管理器被配置为：确定用户的至少一个访问角色和与所述用户的访问角色关联的至少一个访问目标。此外，所述访问管理器被配置为：基于所述用户的所述至少一个访问角色和所述关联的至少一个访问目标来确定所述计算资源的子集。此外，所述访问管理器被配置为：定义限于计算资源的所述子集的第二访问接口。此外，所述访问管理器被配置为：通过所述第二访问接口来向所述用户提供对计算资源的所述子集的访问。