[发明专利]一种结合零信任思想的跨云池安全接入方法和系统

权利要求书

1.一种结合零信任思想的跨云池安全接入系统，其特征在于：其包括用户终端以及与用户终端连接的若干资源云池，每个资源云池均设置接入网关，用户终端通过对应的接入网关连接资源云池；其中一个资源云池上部署独立部署策略中心和认证中心，接入网关通过策略中心连接认证中心，认证中心对接资源云池上的受控资源；接入网关与客户端交互提供SPA单包授权能力及安全隧道的建立能力；策略中心根据用户身份控制用户接入的网关及资源；认证中心提供授权用户的身份认证能力；用户终端上安装有授信客户端，授信客户端提供SPA单包授权唯一身份标识及安全隧道建立基础能力。

2.根据权利要求1所述的一种结合零信任思想的跨云池安全接入系统，其特征在于：认证中心提供未接入用户提供身份注册认证能力。

3.根据权利要求1所述的一种结合零信任思想的跨云池安全接入系统，其特征在于：授信客户端通过识别用户连接的目标IP以确定访问对象是否为受控域内的资源。

4.根据权利要求1所述的一种结合零信任思想的跨云池安全接入系统，其特征在于：每个资源云池均设有审计模块，接入网关经审计模块对接资源云池上的普通资源。

5.一种结合零信任思想的跨云池安全接入方法，采用根据权利要求1至4任一所述的一种结合零信任思想的跨云池安全接入系统，其特征在于：方法包括以下步骤：

步骤1，授信客户端获取当前业务连接的目标IP；

步骤2，判断目标IP是否为受控域内的资源；是则，通过虚拟网卡与目标IP所在受控域的接入网关建立连接并执行步骤3；否则，用户终端与目标IP所在普通域的接入网关建立连接并执行步骤5；

步骤3，策略中心判断是否授权用户终端；是则，授权进行用户身份认证执行步骤4；否则，未授权中断连接，

步骤4，认证中心进行用户身份认证是否通过；是则，建立安全隧道并转发业务数据；否则，返回认证失败信息并中断连接；

步骤5，用户终端与资源云池上对应的资源进行数据传输交换。

6.根据权利要求5所述的一种结合零信任思想的跨云池安全接入方法，其特征在于：步骤2中通过虚拟网卡与目标IP所在受控域的接入网关建立连接时，向目标IP所属接入网关建立TCP连接同时发送SPA包。

7.根据权利要求5所述的一种结合零信任思想的跨云池安全接入方法，其特征在于：步骤3中策略中心通过校验SPA包判断是否授权用户终端。