[发明专利]基于应用身份的访问控制方法、相关装置及系统

说明书

本申请公开了基于应用身份的访问控制方法、相关装置及系统。在该方法中，客体设备接收到主体设备发送的调用者访问第一资源的访问请求后，可以根据该调用者的应用身份判断是否允许主体设备访问第一资源，若是，则响应该访问请求。该方法可以满足分布式系统中透明、无缝的跨设备资源访问需求，为用户带来优良的使用体验，并且通过应用身份来约束分布式系统中的跨设备访问，减少客体设备中资源对外暴露的方式，避免安全和隐私泄露风险，确保客体设备中数据的机密性和完整性，保障数据安全。

技术领域

本申请涉及计算机及通信技术领域，尤其涉及基于应用身份的访问控制方法、相关装置及系统。

背景技术

随着智能终端的发展，用户生活中的设备种类及数量越来越多，各个设备互通互联的分布式场景也正在逐渐实现。在分布式场景中，各个设备中的应用程序(application，APP)之间互相调用、共享资源等等，将成为未来的趋势。

如何让分布式场景中的设备之间能够安全地共享资源，保证设备中资源的机密性和完整性，避免潜在的安全及用户隐私泄露风险，从而为用户提供安全、有效的全联接场景，是一个新的挑战。

发明内容

本申请提供了基于应用身份的访问控制方法、相关装置及系统，可以满足分布式系统中透明、无缝的跨设备资源访问需求，并且可以避免应用身份的差异性所带来的安全和隐私泄露风险。

第一方面，本申请提供了一种基于应用身份的访问控制方法，该方法应用于包含第一设备和第二设备的通信系统，第一设备安装有调用者，调用者属于应用，应用包括应用程序APP和功能组件，APP为实现多个功能的程序实体，功能组件为实现单一功能的程序实体。

第一方面的方法包括：第一设备向第二设备发送访问请求，访问请求用于调用者访问第二设备中的第一资源；第一设备向第二设备发送调用者的应用身份；第二设备根据调用者的应用身份，确定允许第一设备访问第一资源，调用者的应用身份包括以下一项或多项：调用者的进程标识PID、应用安全等级、所属用户标识UID、第一设备的设备标识、设备安全等级或设备所在位置；第二设备响应访问请求以访问第一资源。

在第一方面提供的方法中，第一设备可以称为主体设备，第二设备可以称为客体设备。

实施第一方面提供的方法，可以根据应用身份约束分布式系统中的跨设备访问，减少客体设备中资源对外暴露的方式，可以避免分布式场景中各个设备中应用身份的差异性所带来的安全和隐私泄露风险，确保客体设备中数据的机密性和完整性，保障数据安全。在此基础上，该方法可以满足分布式系统中透明、无缝的跨设备资源访问需求，为用户带来优良的使用体验。

结合第一方面，在一些实施方式中，调用者的应用身份还包括以下一项或多项：调用者的应用标识、第一设备的登录账号。

结合第一方面，在一些实施方式中，调用者的应用身份被携带在访问请求中。

在申请实施例中，一个应用的应用身份中：

APP ID用于标识应用。PID是实例的身份标识。

应用的安全等级可以由用户自主设置，也可以根据以下任意一项或多项来确定：(1)应用运行时要求的设备安全能力。应用运行时要求的设备安全能力越高，应用安全等级也就越高。(2)应用所提供的业务。应用所提供的业务涉及到的数据越机密，则该应用的安全等级也就越高。(3)应用的类别。系统应用的安全等级高于第三方应用的安全等级。

UID用于标识应用所属用户。

登录账号(account ID)是指当前登录到电子设备的操作系统的账号，例如用于登录到华为手机的操作系统的华为账号。

系统账号(system ID)用于标识分布式系统10中的各个电子设备。系统账号(system ID)基于登录账号(account ID)派生。