[发明专利]一种在内容数据库中进行强制访问控制的方法及系统

说明书

本发明公开了一种在内容数据库中进行强制访问控制的方法及系统，其中方法包括：从所述身份信息中提取与所述请求方设备相关联的身份标识、认证信息和第一敏感标记，基于所述身份标识在授权信息库中获取与请求方设备相关联的多个授权信息项，根据多个授权信息项对至少一个认证信息项中的每个认证信息项进行授权认证，当每个认证信息项均通过授权认证时，确定所述访问请求通过授权认证；当所述访问请求通过授权认证时，根据访问信息确定目标对象的对象标识，基于目标对象的对象标识从标记信息库中获取目标对象的第二敏感标记，根据第一敏感标记和第二敏感标记进行强制访问控制。

技术领域

本发明涉及数据库技术领域，并且更具体地涉及一种在内容数据库(例如，OpenGauss数据库)中进行强制访问控制的方法及系统(例如，一种保护数据安全的强制访问控制方法及系统)。

背景技术

数据库中通常采用自主访问控制(Discretionary Access Control，DAC)的方法进行权限控制。这种控制方法是指对某个客体具有拥有权(或控制权)的主体能够将对该客体的一种访问权或多种访问权自主地授予其它主体，并在随后的任何时刻将这些权限回收。这种控制是自主的，也就是指具有授予某种访问权力的主体(用户)能够自己决定是否将访问控制权限的某个子集授予其他的主体或从其他主体回收他所授予的访问权限。例如OpenGauss数据库就采用一种基于角色的访问控制方法(Role-Based Access Control，RBAC)来保护数据。这种方法的优点是灵活、易用，具备可扩展性，但系统无法控制，具备较大的安全隐患。

发明内容

为了解决现有技术中的问题，本发明提供一种在内容数据库中进行强制访问控制的方法，所述方法包括：

接收来自请求方设备的针对内容数据库进行访问的访问请求，对所述访问请求进行解析以确定请求方设备的身份信息和访问信息；

从所述身份信息中提取与所述请求方设备相关联的身份标识、认证信息和第一敏感标记，其中所述身份标识能够唯一地标识所述请求方设备，所述认证信息包括与请求方设备相关联的至少一个认证信息项并且所述第一敏感标记用于标识请求方设备的等级标记和非等级标记；

基于所述身份标识在授权信息库中获取与请求方设备相关联的多个授权信息项，根据多个授权信息项对至少一个认证信息项中的每个认证信息项进行授权认证，当每个认证信息项均通过授权认证时，确定所述访问请求通过授权认证；

当所述访问请求通过授权认证时，根据访问信息确定目标对象的对象标识，基于目标对象的对象标识从标记信息库中获取目标对象的第二敏感标记，所述第二敏感标记用于标识目标对象的等级标记和非等级标记；

当第二敏感标记为空时，则确定所述请求方设备能够对目标对象进行第一等级的强制访问控制；第一等级的强制访问控制例如是对查询数据、插入数据、更新数据、修改数据、增加数据或删除数据，数据例如是表中的记录或表。例如，第一等级的强制访问控制可以包括对数据进行所有类型的控制或操作。

当第二敏感标记不为空，并且第一敏感标记为空时，则确定所述请求方设备无法对目标对象进行强制访问控制；

当第二敏感标记不为空，并且第一敏感标记不为空时，则根据第一敏感标记和第二敏感标记确定请求方设备对目标对象进行强制访问控制的方式。

其中根据第一敏感标记和第二敏感标记确定请求方设备对目标对象进行强制访问控制的方式包括：

根据第一敏感标记确定请求方设备的等级标记和非等级标记，根据第二敏感标记确定目标对象的等级标记和非等级标记；

当请求方设备的等级标记大于或等于目标对象的等级标记，并且请求方设备的非等级标记是目标对象的非等级标记的超集，则允许所述请求方设备对目标对象进行第二等级的强制访问控制；第二等级的强制访问控制例如是查询数据，数据例如是表中的记录或表。