[发明专利]网络访问控制系统中XACML框架扩展系统及方法

摘要

本发明公开一种网络访问控制系统中XACML框架扩展系统和方法，系统由本体构建模块、规则制定模块、规则推理模块、一致性检测模块和策略规则生成模块组成。方法为1、本体构建模块构建本体；2、规则制定模块制定规则；3、规则推理模块生成访问控制结果；4、一致性检测模块检测访问控制结果之间是否存在冲突；5、规则制定模块制定冲突消解规则，规则推理模块生成冲突消解规则的访问控制结果；6、一致性检测模块检测冲突是否消解；7、策略规则生成模块生成可扩展访问控制标记语言策略规则。本发明对访问控制结果的冲突检测，具有检测效率高和自动化的优点。

主权项

一种网络访问控制系统中XACML框架扩展方法，该方法是基于网络访问控制系统的本体构建模块(1)、规则制定模块(2)、规则推理模块(3)、一致性检测模块(4)、策略规则生成模块(5)实现的，包括如下步骤：(1)构建本体：(1a)本体构建模块(1)将网络访问控制中发起请求的主体集合和请求操作的客体集合，利用网络本体语言OWL，分别定义为主体类和客体类；(1b)将发起请求的主体定义为主体类的实例，将操作的客体定义为客体类的实例；(1c)将主体实例与不同类型数值的关系，用网络本体语言OWL的数据属性表示；(1d)将主体实例对客体实例的操作权限，用网络本体语言OWL的对象属性表示；(2)制定规则：(2a)规则制定模块(2)将主体实例本体和客体实例本体的连接，作为语义网规则语言SWRL访问控制规则的前提，将该主体对该客体拥有的操作权限，作为语义网规则语言SWRL访问控制规则的结论；(2b)将下级主体的正向操作权限和上下级主体实例本体的连接，作为语义网规则语言SWRL权限继承规则的前提，将上级主体继承自下级主体对该客体的正向操作权限，作为语义网规则语言SWRL权限继承规则的结论；(2c)将主体对上层客体的负向操作权限和上下层客体实例本体的连接，作为语义网规则语言SWRL权限蕴含规则的前提，将该主体对该下层客体的负向操作权限，作为语义网规则语言SWRL权限蕴含规则的结论；(3)生成访问控制结果：规则推理模块(3)中的规则推理机，生成访问控制规则对应的访问控制结果，并生成隐含的本体知识和访问控制结果；(4)检测是否存在冲突：一致性检测模块(4)中的一致性检测推理机，检测生成的访问控制结果之间是否存在冲突，若存在，则执行步骤(5)；否则，执行步骤(7)；(5)消解冲突：(5a)根据访问控制结果之间的冲突类型和访问控制系统中的访问控制要求，选择访问控制结果冲突消解算法类型；(5b)规则制定模块(2)根据访问控制结果冲突消解算法类型，将冲突的两个访问控制结果的连接作为语义网规则语言SWRL冲突消解规则的前提，将冲突消解后的访问控制结果作为语义网规则语言SWRL冲突消解规则的结论；(5c)将冲突消解规则输入到规则推理模块(3)，根据冲突消解规则，利用规则推理机，生成冲突消解规则对应的访问控制结果；(6)检测冲突是否消解：一致性检测模块(4)中的一致性检测推理机，检测经过步骤(5)后，访问控制结果之间的冲突是否消解，若是，则执行步骤(7)；否则，执行步骤(5)；(7)生成可扩展访问控制标记语言策略规则：策略规则生成模块(5)中的可扩展标记语言XML文本转换器，将生成的不存在冲突的访问控制结果，以及构建的本体中对应此访问控制结果的主体和客体的本体，转换成可扩展访问控制标记语言XACML格式的访问控制策略规则，为可扩展访问控制标记语言XACML框架中的策略决策点PDP提供用于决策的策略规则。