[发明专利]基于证书的访问控制系统和方法

权利要求书

1.一种基于证书的访问控制系统，其特征在于，包括：资源拥有者、资源使用者和证书颁发机构以及制定访问规则模块、建立委托方案模块、申请访问资源模块和申请证书授权模块，

所述制定访问规则模块用于所述资源拥有者针对所拥有的资源的可开放程度对所述资源使用者进行访问约束；

所述建立委托方案模块用于所述资源拥有者与所述证书颁发机构针对证书的授权条件建立委托方案；

所述申请访问资源模块用于所述资源使用者向所述资源拥有者请求访问资源，并向所述资源使用者返回访问结果；

所述申请证书授权模块用于所述资源使用者向所述证书颁发机构申请证书，并向所述资源使用者返回证书申请结果；

所述资源拥有者包括策略管理点、策略决策点和策略执行点，所述证书颁发机构包括委托方案生成点、证书验证点、证书颁发点和证书日志点，

所述策略管理点用于创建并管理授权条件和策略规则，并将所述策略规则发送至策略决策点以对访问请求进行决策，将授权条件发送至所述委托方案生成点以生成颁发证书方案；

所述策略决策点用于在所述资源使用者不携带证书或携带不合法来源证书时直接返回拒绝的访问决策，在携带合法来源证书时根据所述策略规则进行访问决策；

所述策略执行点用于根据所述资源使用者的访问请求向所述策略决策点提交申请，并将所述策略决策点返回的访问决策结果返回至所述资源使用者；

所述委托方案生成点用于根据所述授权条件生成对应的委托方案，提供给所述证书验证点查询使用；

所述证书验证点用于根据所述委托方案对所述资源使用者提供的证书申请条件进行审核，并将审核结果发送给所述证书颁发点；

所述证书颁发点用于接收所述资源使用者的证书申请请求，并向所述证书验证点提交该证书申请请求，并将所述证书验证点的审核结果返回给所述资源使用者；

所述证书日志点用于记录证书签发操作。

2.根据权利要求1所述的基于证书的访问控制系统，其特征在于，所述资源使用者向所述资源拥有者请求访问资源时携带证书或不携带证书，

携带证书时所述资源拥有者审核所述证书是否符合该访问资源请求对应的预设条件，并将访问结果发送至所述资源使用者；

不携带证书时所述资源拥有者直接将访问结果发送至所述资源使用者；

所述资源使用者接收到拒绝访问结果时，所述申请访问资源模块用于询问所述资源使用者是否继续请求访问，在选择继续请求访问时搜索本地证书库中是否存在对应证书，如果有则携带对应证书向所述资源拥有者请求访问资源，如果没有则询问所述资源使用者是否通过所述申请证书授权模块向所述证书颁发机构申请该证书。

3.根据权利要求1所述的基于证书的访问控制系统，其特征在于，所述证书颁发机构用于根据委托方案中证书的授权条件判断资源使用者的证书申请是否符合该授权条件，在符合授权条件时签发证书并记录日志，将申请结果发送至所述资源使用者，在不符合授权条件时直接将申请结果发送至所述资源使用者。

4.根据权利要求1所述的基于证书的访问控制系统，其特征在于，所述资源使用者在访问过程中存在就绪、等待、访问、搜索、完成和终止状态；

所述就绪状态为所述资源使用者向所述资源拥有者提交访问请求前的状态；

所述等待状态为所述资源使用者向所述资源拥有者提交访问请求后等待所述资源拥有者返回决策的状态，以及所述资源使用者向所述证书颁发机构提交证书申请请求后等待所述证书颁发机构返回证书授权决策的状态；

所述访问状态为所述资源使用者在获得所述资源拥有者的访问许可后对资源执行访问的状态；

所述搜索状态为所述资源使用者在被所述资源拥有者拒绝访问并获得访问所述资源使用者所需权限证书条件后，搜索检查本地是否拥有符合要求的证书时的状态；

所述完成状态为所述资源使用者在访问资源完成的状态；

所述终止状态为所述资源使用者没有访问资源权限导致访问结束的状态。

5.根据权利要求1所述的基于证书的访问控制系统，其特征在于，所述证书颁发机构包括多个，所述资源拥有者与所述证书颁发机构之间采用一对一、一对多或多对多的形式。