[发明专利]一种云计算平台管理员权限最小化的自动化划分方法及访问控制方法

说明书

本发明公开了一种开源云计算平台的管理员最小特权划分方法及访问控制方法。本方法为：1)对云计算平台进行集成测试，获取每个测试用例的RESTful API调用信息；2)根据最小特权原则对调用信息中的RESTful API进行依赖度分析；3)根据RESTful API之间的依赖值对RESTful API进行分组；4)根据RESTful API分组情况，生成访问控制策略；5)当管理员登录后进行RESTful API调用时，云计算平台根据该访问控制策略对该管理员的操作请求进行判定，确定是否允许该RESTful API调用。本发明对云计算平台管理员的权限细分和授权管理，增强了云计算平台的安全性。

技术领域

本发明属于云计算安全领域，涉及一种权限划分方法，尤其涉及一种面向开源云计算平台的最小特权自动划分方法及访问控制方法。

背景技术

近年来云计算作为一种新兴的计算资源服务，因其可靠性、易用性、按需付费、最大化资源利用等特点被企业和独立用户追捧，其安全问题已经延伸到各个领域，主要包括用户的数据安全、隐私泄露、黑客攻击以及内部攻击等方面。由于云计算平台的管理员具有庞大的权力，一个恶意的内部攻击者往往能够轻易地获取用户隐私数据，甚至破坏整个云平台的安全。而通过应用最小特权原则，可以有效地限制管理员的权限，将内部攻击带来的危害降到最低限度。

目前，主流的开源云计算平台OpenStack，在使用的时候，对于如何进行合理、安全的内部管理没有考虑。当OpenStack云平台初始化时，平台仅有一个系统管理员，拥有平台的全部权限，云平台设计者期望使用者根据自身的需求进行权限策略配置。然而，云平台架构庞大复杂，API数量众多，对于小型的企业用户和独立用户而言，配置系统管理权限策略的工作面临很大的困难。因此，在云计算平台中进行管理员权限自动化划分的问题亟待解决。

目前安全研究人员已经从系统层面提出了安全策略，系统安全机制由认证和授权两大部分构成。认证就是简单地对一个实体的身份进行判断；而授权则是向实体授予对数据资源和信息访问权限的决策过程。其中，认证机制采用Token方案实现，授权机制则是通过引入基于角色的访问控制(Role Based Access Control，RBAC)和基于属性的访问控制(Attribute Based Access Control，ABAC)实现的。

认证机制

OpenStack采用Token方案实现认证机制。Token指的是一串比特值或者字符串，用来作为访问资源的记号，Token中含有用户可访问资源的范围和有效时间。首先用户向OpenStack的认证组件Keystone提供自己的身份验证信息，如用户名和密码。Keystone会从数据库中读取数据对其验证，如验证通过，会向用户返回一个Token，此后用户所有的请求都会使用该Token进行身份验证。如用户向OpenStack的计算组件Nova申请虚拟机服务，Nova会将用户提供的Token发给Keystone进行验证，Keystone会根据Token判断用户是否拥有进行此项操作的权限，若验证通过那么Nova会向其提供相对应的服务。其它组件和Keystone的交互也是如此。

授权机制

在OpenStack中，授权机制是通过基于角色的访问控制(Role Based AccessControl，RBAC)和基于属性的访问控制(Attribute Based Access Control，ABAC)实现的。

1)基于角色的访问控制：为了方便管理集群中的用户，OpenStack中定义了用户、租户和角色等概念，管理员可以为用户分配角色，也可以为角色分配权限，被赋予特定角色的用户仅拥有该角色的权限。

2)基于属性的访问控制：为了提供更加细粒度的访问控制，OpenStack提供了基于属性的访问控制，管理员可以通过修改配置文件对拥有不同属性的用户进行授权，不仅提高了平台授权的安全性，也增加了平台授权的灵活性和适用性。

现有安全机制的缺点和局限性