[发明专利]不同域间安全互操作的跨域授权访问管制系统

说明书

本发明提出了不同域间安全互操作的跨域授权访问管制系统，该系统不仅可以支持各个域内部根据访问主体上下文来动态改变主体对资源的访问权限，同时也实现了不同域之间的跨域授权访问，满足开放和分布计算式的互联网环境下对访问管制的需求。随着分布式计算的快速发展，各系统的交互越来越频繁，本发明很好的解决了在保证各系统资源不被非法访问利用的基础上实现系统间的资源共享是亟需解决的问题，通过访问管制技术保证资源不被非法访问利用的重要技术，在当前的分布式环境中，实现了系统间的资源共享对源域的主体能够跨域访问目标域的资源，并且各域内部的授权访问管制方案不会受其它域的干预和影响的要求。

技术领域

本发明涉及一种跨域授权访问管制系统，特别涉及一种不同域间安全互操作的跨域授权访问管制系统，属于跨域访问管制技术领域。

背景技术

随着互联网和计算机技术的快速发展，越来越多的组织和系统由对外封闭发展为互联互通互操作，各个组织和系统之间的资源共享也变的越发频繁。然而系统架构之间资源共享可能会带来信息泄漏等一系列问题，因此在资源共享的同时保证资源不被非法访问利用一直是本领域的研究重点。访问管制技术是保证信息资源不被非法访问利用的重要技术，该技术通过对主体访问客体资源的活动进行管制监控，使合法的主体获得有效的客体资源访问权限，并防止非法主体访问系统客体资源，保证系统资源的正确安全使用。

访问管制技术起源之初是为了解决大型主机上共享数据的访问权限的管理问题，现有技术已经出现了自主访问管制和强制访问管制两种管制模型，在自主访问管制中，主体将自身的访问权限分配给其它主体，一个主体所拥有的访问权限会直接或间接传递到其它主体上，主体有自主决定权，可以任意将自身的资源共享给其它主体，这种访问管制方案粒度较粗，安全性较低；强制访问管制是与自主访问管制相反的访问管制方案，在强制访问管制中，主体不能修改或者共享自身访问权限，系统独立于主体强制执行访问管制，强制访问管制模型主要用于解决大型主机中数据的访问权限管理问题，但过于刻板，在实际运用中问题太多，灵活性太差，不能满足实际应用软件中的需求。

随后，现有技术出现了基于角色的访问管制模型，它能一定程度上满足应用软件对其它资源的访问管制需求，管理员根据组织和系统中的工作职能创建角色，并给角色分配权限，然后将角色分配给主体，获得资源的访问权限，基于角色的访问管制模型有较好的适用性且易于管理，但随着分布式计算环境的出现发展，分布式计算环境对资源访问管制的需求越来越高，在开放分布式的互联网环境下，随着访问主体上下文的改变，访问主体和资源客体之间的访问权限关系也需要相对改变，该模型主要依靠指派角色来设定访问权限，角色与访问权限关系是静态设定的，不能根据主体上下文动态改变主体对资源的访问权限，基于角色的访问管制模型依靠主体的标识来设定主体的访问权限，忽略了其它层次的信息，已不能满足分布式计算环境中的需求。

因此，现有技术又产生了基于属性的访问管制，模型使用属性来描述内部与访问管制相关的实体特征，通过定义属性间的具体关系描述访问管制方案，更加灵活并且具有更强的抽象能力，但不能满足更细粒度的访问管制需求，同时由于各个组织、系统、企业内部都有各自的访问管制机制方法，随着组织系统间的资源共享越来越多越频繁，组织间访问控制机制的异构性对其交互造成了很大的阻碍，基于属性的访问管制不能满足要求。

随着分布式技术的崛起和不断进步，现有技术对跨域授权访问有了一些新的，在角色访问控制模型中引入风险管理机制，在主体域中提出风险游标的概念，将访问管制与风险等级关联起来，实现了基于风险的跨域授权访问管制，具有较高的安全性。面向服务计算的访问管制模型通过构建服务中各个实体间的关系模型，来表示服务所属管理域之间的信任关系，根据管理域之间的信任关系来控制服务之间的交互访问，能满足更细粒度的访问管制需求，然而组织和系统间访问管制机制的异质性对其交互造成了很大的阻碍，现有技术不支持各域内部根据主体上下文来动态改变主体对资源的访问权限，不能实现不同域之间的跨域授权访问，不能满足开放和分布计算式的互联网环境下对访问管制的需求。