專利名稱：對數(shù)據(jù)項目的基于區(qū)域的安全管理的制作方法
技術(shù)領(lǐng)域：
本發(fā)明一般涉及數(shù)據(jù)安全領(lǐng)域，尤其涉及對數(shù)據(jù)項目組的安全管理背景技術(shù)在處理信息時，經(jīng)常期望限制對信息的特定部分的訪問，以使該特定部分僅對某些授權(quán)用戶可訪問。當(dāng)信息包含在物理文檔(如，印刷書本或賬簿)中時，可利用諸如鎖和文檔保管員的物理訪問控制來保護(hù)這些文檔。然而，在當(dāng)今的世界上，大量信息以數(shù)字?jǐn)?shù)據(jù)的形式儲存。數(shù)字?jǐn)?shù)據(jù)易被創(chuàng)建、修改、復(fù)制、傳輸和刪除，這導(dǎo)致了存在于眾多位置中的大量數(shù)字?jǐn)?shù)據(jù)的擴(kuò)散。與物理文檔類似，經(jīng)常期望限制對部分?jǐn)?shù)字?jǐn)?shù)據(jù)的訪問。然而，數(shù)字?jǐn)?shù)據(jù)的龐然之量以及創(chuàng)建、復(fù)制、傳輸、修改和刪除數(shù)字?jǐn)?shù)據(jù)的簡易性使保護(hù)數(shù)字?jǐn)?shù)據(jù)具有挑戰(zhàn)性。
現(xiàn)存的兩種常見類型的數(shù)字?jǐn)?shù)據(jù)存儲是文件結(jié)構(gòu)和數(shù)據(jù)庫。文件結(jié)構(gòu)是數(shù)據(jù)存儲的分層系統(tǒng)，其中，包含數(shù)字?jǐn)?shù)據(jù)的文件儲存在文件夾中。文件夾可進(jìn)一步儲存在其它文件夾中。文件中的數(shù)字?jǐn)?shù)據(jù)通過逐項方式來訪問。換言之，訪問文件時，經(jīng)常已知文件中有何內(nèi)容且訪問文件是為了逐一審閱或操作文件中的數(shù)字?jǐn)?shù)據(jù)。
另一方面，數(shù)據(jù)庫一般在物理表中儲存數(shù)字?jǐn)?shù)據(jù)。物理表一般依照某一邏輯分組來組織。例如，數(shù)據(jù)庫中的物理表可包含數(shù)字地址簿。包含數(shù)字地址簿的表還可具有指定表內(nèi)信息類別的列。例如，數(shù)字地址簿可包括名、姓、電話號碼、地址等列。
由于文件系統(tǒng)和數(shù)據(jù)庫之間的差異，在這兩種數(shù)字?jǐn)?shù)據(jù)存儲內(nèi)實現(xiàn)安全性的方法也不同。例如，在文件結(jié)構(gòu)內(nèi)，可以對每一文件分配一個訪問控制列表(ACL)，其中，ACL是向計算機(jī)操作系統(tǒng)指示每一用戶對給定文件具有哪一許可或訪問權(quán)限的數(shù)據(jù)結(jié)構(gòu)。ACL可指定特定用戶或用戶組具有某些特權(quán)，如讀、寫或執(zhí)行許可。在文件結(jié)構(gòu)內(nèi)，可以向文件夾分配ACL，使文件夾內(nèi)存在的任何文件夾或文件潛在地默認(rèn)與ACL中闡明的分配相同的安全許可。然而，管理員可以基于對特定文件的訪問需求改變?nèi)笔“踩S可。因而，響應(yīng)于操作文件的每一請求，必須訪問文件的ACL以確定分配給該文件的許可。
對文件使用ACL的一個缺點是當(dāng)執(zhí)行諸如文件搜索等操作時，增加了的額外開銷。例如，如果用戶構(gòu)造一個指定特定類型的文件或包含特定數(shù)據(jù)的文件的搜索，則該搜索在將該文件包括在搜索域內(nèi)之前必須首先檢查每一文件的ACL以確定用戶對該文件具有的安全許可。例如，向用戶展現(xiàn)他甚至無法訪問的文件的存在可能是不適當(dāng)?shù)摹Ｓ捎谖募A內(nèi)文件的缺省許可是可以改變的，所以即使當(dāng)文件夾級的ACL潛在地使眾多文件默認(rèn)同一安全許可時也必須檢查每一文件的ACL。
相反，數(shù)據(jù)庫系統(tǒng)中的安全是通過向整個列分配ACL來完成的。向整個列分配ACL能使搜索更有效地執(zhí)行，因為可以訪問單個ACL來確定對整個列的數(shù)據(jù)的安全許可?？梢耘渲脭?shù)據(jù)庫使其在用戶具有適當(dāng)?shù)陌踩S可來訪問列時僅能在該列上執(zhí)行搜索。因而，不需要檢查表內(nèi)每一元素的許可?；诹械陌踩S可分配的一個缺點是對某些應(yīng)用程序來說其粒度可能太過粗略。例如，盡管列中表示數(shù)字地址簿條目的大多數(shù)數(shù)字?jǐn)?shù)據(jù)對一般訪問來說是合適的，然而可能期望限制對某些數(shù)字?jǐn)?shù)據(jù)的訪問，如社會安全號或其它類型的敏感信息。盡管如此，當(dāng)向整個列分配ACL時，安全許可無法在列中的不同項目之間變化。因此，可能無法限制對社會安全號的訪問而不同時類似地限制對地址和電話號碼的訪問。
因此，一種允許用可配置的粒度分配給ACL的安全系統(tǒng)將是有益的。

發(fā)明內(nèi)容
本發(fā)明的各方面針對對數(shù)據(jù)項目的基于區(qū)域的安全管理。在本發(fā)明的一個實施例中，計算機(jī)系統(tǒng)確定對項目的至少一部分的權(quán)限。計算機(jī)系統(tǒng)包括儲存多個項目的卷，被劃分成至少一個安全區(qū)域。儲存在計算機(jī)系統(tǒng)的每一項目駐留在單個安全區(qū)域中。由于每一項目存在于單個安全區(qū)域內(nèi)，因而可以創(chuàng)建規(guī)則以控制那些項目的安全，其中，無需為每一個別的項目指定規(guī)則，但取而代之，規(guī)則可應(yīng)用于區(qū)域的子集。計算機(jī)系統(tǒng)訪問指示主體(principal)身份的已被核實的驗證信息。
計算機(jī)系統(tǒng)也訪問卷的安全區(qū)域的規(guī)則。安全規(guī)則指定了主體或主體組對項目所具有的權(quán)限。安全規(guī)則至少包括元素、主體和權(quán)限變量。元素變量指定了如通過元素路徑可對其授予權(quán)限的項目的至少一部分。通過元素路徑指定項目的至少一部分對允許適當(dāng)粒度的規(guī)則定義是有用的，使得無需對數(shù)據(jù)存儲中每一個別單元(或信息片段)制定規(guī)則。主體變量能夠指定至少一個主體。該至少一個主體是向其授予對項目的至少一部分的安全權(quán)限的實體。計算機(jī)系統(tǒng)基于訪問的安全規(guī)則標(biāo)識已核實的主體對該項目的至少一部分的權(quán)限。
在本發(fā)明的另一實施例中，計算機(jī)系統(tǒng)向主體委托管理權(quán)限。計算機(jī)系統(tǒng)包括儲存有許多項目的卷，被劃分成至少一個不重疊區(qū)域。每一項目駐留在至少一個不重疊的區(qū)域中的區(qū)域內(nèi)。由于每一項目在一個區(qū)域內(nèi)，可以適當(dāng)?shù)牧６任泄芾頇?quán)限，該粒度比整個數(shù)據(jù)庫表精細(xì)，但仍足夠粗，以便無需對每一項目委托。每一區(qū)域具有一個或多個擁有管理權(quán)限的主體。計算機(jī)系統(tǒng)在主區(qū)域中標(biāo)識第一項目。
這些第一項目是將對其委托管理權(quán)限的項目。計算機(jī)系統(tǒng)將主區(qū)域分割為如兩個區(qū)域，即第一區(qū)域和剩余主區(qū)域。具有管理權(quán)限的一個或多個主體保持對剩余主區(qū)域和第一區(qū)域的管理權(quán)限。第一區(qū)域包括先前標(biāo)識的第一項目。剩余主區(qū)域包括主區(qū)域中除第一區(qū)域中的項目之外的項目。計算機(jī)系統(tǒng)指定一個或多個第一主體也具有對第一項目的管理權(quán)限。
本發(fā)明另外的特征和優(yōu)點將在下文描述，通過閱讀描述，能夠部分清楚本發(fā)明的另外的特征和優(yōu)點，或通過本發(fā)明的實踐來學(xué)會。本發(fā)明的特征和優(yōu)點可以通過所附權(quán)利要求書中特別指出的儀器和組合來實現(xiàn)并獲得。閱讀以下描述和所附權(quán)利要求書，可以完全明白本發(fā)明的這些和其它特征，或者可通過下文所述的本發(fā)明的實踐來學(xué)會。


為以能獲取本發(fā)明的上述和其它優(yōu)點和特征的方式描述，參考附圖中說明的特定實施例，將對上文簡要描述的本發(fā)明呈現(xiàn)更詳細(xì)的描述。應(yīng)當(dāng)理解，這些附圖僅描述了本發(fā)明的典型實施例，因此不應(yīng)考慮為對其范圍的限制，通過使用附圖來描述并解釋本發(fā)明另外的特征和細(xì)節(jié)，附圖中圖1所示是依照本發(fā)明的原理包含能管理安全的系統(tǒng)的示例網(wǎng)絡(luò)體系結(jié)構(gòu)；圖2所示是依照本發(fā)明的原理用于儲存項目并定義規(guī)則的示例分層卷；圖3所示是依照本發(fā)明的原理劃分成安全區(qū)域的示例分層卷；圖4所示是利用本發(fā)明的一些實施例的各方面委托權(quán)限的示例方法；圖5所示是利用本發(fā)明的一些實施例的各方面確定安全權(quán)限的示例方法；以及圖6所示是用于本發(fā)明原理的合適的操作環(huán)境。
具體實施例方式
本發(fā)明延及基于區(qū)域的對數(shù)據(jù)項的安全管理的方法、系統(tǒng)和計算機(jī)程序產(chǎn)品。在一個實施例中，計算機(jī)系統(tǒng)確定對包括在安全區(qū)域中的數(shù)據(jù)項目的至少一部分的安全權(quán)限。通過元素路徑指定數(shù)據(jù)項目的該部分，從而無需在單元級應(yīng)用安全規(guī)則。在本發(fā)明的另一實施例中，計算機(jī)系統(tǒng)向主體委托管理權(quán)限(即，改變對數(shù)據(jù)項目的至少一部分的安全的能力)。每一項目駐留在至少一個不重疊的區(qū)域中的一個區(qū)域內(nèi)。由于每一項目在一個區(qū)域內(nèi)，可以適當(dāng)?shù)牧６任泄芾頇?quán)限，該粒度比整個數(shù)據(jù)庫表精細(xì)，但是足夠粗，以便無需對每一項目委托。
現(xiàn)在參考圖1，示出了可實踐本發(fā)明的各方面的示例性環(huán)境。圖1示出了網(wǎng)絡(luò)體系結(jié)構(gòu)100。網(wǎng)絡(luò)體系結(jié)構(gòu)100包括能夠儲存各種數(shù)據(jù)項目和/或計算機(jī)可執(zhí)行指令(如，方法)的存儲102。存儲102可以多種不同的存儲媒質(zhì)實現(xiàn)，包括但不限于下文在圖6的描述中提出的。存儲102包括能以分層格式儲存數(shù)據(jù)項目的數(shù)據(jù)存儲104。例如，項目106可包括一個或多個元素108。數(shù)據(jù)元素還可細(xì)分成依賴數(shù)據(jù)元素108的屬性110。在分層格式中，一個數(shù)據(jù)項目可以是元素或較高級別的數(shù)據(jù)項目的屬性。
存儲102還包括能儲存以分層格式排列的方法的方法存儲112。方法項目114包括可以為方法的元素116。該元素還可包括較低層方法(如方法118)。較低層方法118其自身可以是有任其處理的其它子方法的方法。盡管示出方法存儲112和數(shù)據(jù)存儲104為單獨(dú)的存儲，方法存儲112和數(shù)據(jù)存儲104可以在同一層次中共同排列。因而，數(shù)據(jù)項目可具有依賴該數(shù)據(jù)項目的方法，或者方法可具有依賴該方法的數(shù)據(jù)項目屬性。
在本發(fā)明的一個實施例中，網(wǎng)絡(luò)體系結(jié)構(gòu)100包括應(yīng)用122，為用于執(zhí)行各種功能的計算機(jī)可執(zhí)行代碼。應(yīng)用程序122通過通信信道124連接到存儲102。示出的通信信道124具有卷屏127，其中，卷屏127表示可以在應(yīng)用122和存儲102之間傳遞的數(shù)據(jù)項目、數(shù)據(jù)元素、數(shù)據(jù)屬性、方法項目和方法。存在的另一通信信道126用于從應(yīng)用向驗證模塊146傳輸令牌，如令牌128。
令牌128指定允許驗證模塊146確定呈現(xiàn)令牌的主體身份的信息。例如，在本示例中，令牌128包含標(biāo)識主體，即應(yīng)用122的信息。核實主體身份的過程經(jīng)常被稱為驗證。驗證模塊148可訪問驗證信息的數(shù)據(jù)庫以與令牌比較。在本發(fā)明的一個實施例中，驗證數(shù)據(jù)庫儲存在存儲102中。一旦驗證了主體，就可以通過檢查通過咨詢訪問控制列表(ACL)對該主體指定的權(quán)限來確定對該主體的權(quán)限。
存儲102還包括一個或多個ACL 130，用于確定主體對存儲102中的項目具有哪些權(quán)限。通常，ACL具有三個變量，包括主體變量、權(quán)限變量和項目變量。這三個變量一起指定了哪些主體對哪些項目具有何種權(quán)限。使用經(jīng)過驗證的令牌128，可以確定應(yīng)用122具有訪問數(shù)據(jù)存儲104中的項目或執(zhí)行方法存儲112中的方法的權(quán)限。盡管在本示例中，示出了單個ACL，然而應(yīng)當(dāng)理解，在本發(fā)明的實施例中，ACL表示許多安全規(guī)則，每一安全規(guī)則向主體授予對項目的權(quán)限。
在本發(fā)明的一個實施例中，能夠授予的四種權(quán)限是讀、寫、刪除和執(zhí)行。當(dāng)授予讀、寫和刪除權(quán)限時，允許主體分別審閱、操作并刪除數(shù)據(jù)項目(如數(shù)據(jù)項目106)或元素(如元素108)或?qū)傩?如屬性110)。當(dāng)授予執(zhí)行權(quán)限時，允許主體，如應(yīng)用122調(diào)用方法，如方法118。
網(wǎng)絡(luò)體系結(jié)構(gòu)100還可包括用戶接口132。用戶接口132允許計算機(jī)用戶134與網(wǎng)絡(luò)體系結(jié)構(gòu)100交互。用戶接口132通過通信路徑136連接到存儲102。在網(wǎng)絡(luò)體系結(jié)構(gòu)100中示出的另一通信路徑是路徑138，用來從計算機(jī)用戶134向用戶接口132傳輸令牌140和查詢或請求142。存在的再一通信路徑是通信路徑144，通過該通信路徑，數(shù)據(jù)項目、元素和屬性能夠在計算機(jī)用戶134和用戶接口132之間傳輸。用戶接口132通過通信路徑136方便了數(shù)據(jù)項目、元素和屬性至和自存儲102的傳輸。
在本發(fā)明的一個實施例中，為使計算機(jī)用戶134獲取對數(shù)據(jù)存儲104中的數(shù)據(jù)項目的訪問或執(zhí)行方法存儲112中的方法，計算機(jī)用戶134必須被授權(quán)以獲取對數(shù)據(jù)項目的訪問或執(zhí)行方法。為方便這一過程，計算機(jī)用戶134通過通信路徑138向用戶接口132發(fā)送令牌140。用戶接口132通過通信路徑126將令牌140定向到驗證模塊144。驗證模塊144然后核實計算機(jī)用戶134的身份。諸如ACL 130的ACL確定計算機(jī)用戶134具有的對數(shù)據(jù)存儲104中的數(shù)據(jù)項目和方法存儲112中的方法的權(quán)限。
在本發(fā)明的一個實施例中，可以由對數(shù)據(jù)存儲104和方法存儲112中的項目具有管理權(quán)限的管理主體創(chuàng)建ACL 130。管理主體可以是具有管理權(quán)限的多個主體之一。本發(fā)明的一個實施例中，具有管理權(quán)限的多個主體對安全區(qū)域中存在的所有項目而言是相同的，該安全區(qū)域在后文中更詳細(xì)地描述。
盡管圖1示出了網(wǎng)絡(luò)體系結(jié)構(gòu)100，應(yīng)當(dāng)理解，本發(fā)明的實施例可以以眾多不同的體系結(jié)構(gòu)實現(xiàn)，包括分布式計算環(huán)境、如圖6所示并論述的單個計算機(jī)系統(tǒng)，或多種其它合適的系統(tǒng)。
通過分析圖2和3，可以更充分地理解安全區(qū)域的概念。圖2示出了在諸如存儲102等存儲中的項目的分層布局。在圖2所示的示例中，示出項目在卷202中。如上所述，卷202可存在于如圖6所示并論述的任一適當(dāng)?shù)拇鎯ξ恢弥小＞?02包含存儲102中的所有項目。在一個示例中，整個卷202可包括單個區(qū)域。因而，多個主體對區(qū)域/卷202中所有項目具有管理權(quán)限，即，改變安全的能力。在本發(fā)明的其它實施例中，如圖3所示，卷被劃分成多個區(qū)域，如區(qū)域302和區(qū)域304。每一區(qū)域可具有擁有管理權(quán)限的不同的多個主體。因而，通過將卷202分割成區(qū)域302和304，可以向其它主體委托管理權(quán)限。
現(xiàn)在參考圖4，在方法400中示出了向其它主體委托權(quán)限的方法。在本發(fā)明的一個實施例中，方法400在如圖1的網(wǎng)絡(luò)體系結(jié)構(gòu)100的計算機(jī)系統(tǒng)中實踐，其中，項目，如數(shù)據(jù)項目106和方法項目114儲存在如圖2所示的卷202的卷中。卷被劃分成至少一個不重疊的區(qū)域，如區(qū)域302和304。方法400還考慮每一項目駐留于至少一個不重疊區(qū)域中的一個區(qū)域內(nèi)。每一區(qū)域具有一個或多個管理主體。管理主體管理其所屬的特定區(qū)域的安全和/或?qū)徍?。方?00在向其它主體委托對第一項目的管理權(quán)限的上下文環(huán)境下設(shè)計，該第一項目包含在至少一個不重疊區(qū)域內(nèi)的一個的區(qū)域中。
方法400包括用于形成第一區(qū)域的以功能效果為目的的步驟(步驟408)。步驟408可包括用于形成第一區(qū)域的任意相應(yīng)行動。然而，在圖4的示例方法中，步驟408包括在主區(qū)域中標(biāo)識第一項目的相應(yīng)行動(行動402)。行動402可包括計算機(jī)系統(tǒng)在主區(qū)域中標(biāo)識第一項目。例如，網(wǎng)絡(luò)體系結(jié)構(gòu)100中的計算機(jī)系統(tǒng)能標(biāo)識來自卷202的項目。經(jīng)標(biāo)識的第一項目可以是區(qū)域的一個或多個管理主體希望向其委托管理權(quán)限的項目。
步驟408還包括將主區(qū)域分割成第一區(qū)域和剩余主區(qū)域的相應(yīng)行動(行動404)。行動404可包括計算機(jī)系統(tǒng)將主區(qū)域分割成第一區(qū)域和剩余主區(qū)域。例如，網(wǎng)絡(luò)體系結(jié)構(gòu)100中的計算機(jī)系統(tǒng)能將卷202分割成區(qū)域302和304。在兩個區(qū)域形成于行動404的同時，該一個或多個主主體保持對第一區(qū)域和剩余主區(qū)域的管理權(quán)限。
主區(qū)域的分割使第一項目位于第一區(qū)域中，而剩余主區(qū)域包括原先在主區(qū)域中而不包含在第一項目中的那部分項目。圖3示出了一個分割的示例。例如，主區(qū)域可以是卷202。分割致使區(qū)域302和304被創(chuàng)建。盡管卷最初包括項目306到328，然而分割致使項目324到328在一個區(qū)域(即，第一區(qū)域)中，而項目306到322在另一區(qū)域(即，剩余主區(qū)域)中。在這一點上，區(qū)域302和304的管理主體是相同的。
方法400還包括指定一個或多個第一主體也具有對第一項目的管理權(quán)限的行動(行動406)。行動406可包括計算機(jī)系統(tǒng)指定一個或多個第一主體也具有對第一項目的管理權(quán)限。例如，網(wǎng)絡(luò)體系結(jié)構(gòu)100中的計算機(jī)系統(tǒng)能指定一個或多個第一主體具有對區(qū)域302中的項目的管理權(quán)限。
行動406可以通過向一個或多個另外的主體分配管理權(quán)限來實現(xiàn)。因而，主主體和一個或多個另外的主體都具有區(qū)域中的項目的管理權(quán)限。例如，如果區(qū)域302是第一區(qū)域，則一個或多個主主體以及一個或多個第一主體對區(qū)域302中的項目都具有管理權(quán)限。管理權(quán)限可以是安全權(quán)限或?qū)徍藱?quán)限。
方法400也可以是一個或多個第一主體可由一個或多個主主體改變。即，任一主主體能夠向一個或多個第一主體添加主體，或從一個或多個第一主體中移除主體。
方法400也可包括以對應(yīng)于第一區(qū)域的區(qū)域枚舉標(biāo)注第一區(qū)域中的項目。例如，如圖3所示，以區(qū)域枚舉330標(biāo)注區(qū)域302中的項目。區(qū)域枚舉330有益于跟蹤哪些項目駐留在哪一區(qū)域中。當(dāng)分割主區(qū)域時，檢查剩余主區(qū)域和第一區(qū)域以確保這兩個區(qū)域不具有任何重疊的項目。只要在分割區(qū)域時，檢查了它們是不重疊的，就無需在第一區(qū)域和剩余主區(qū)域中進(jìn)行重疊項目的檢查。區(qū)域枚舉也有益于當(dāng)在項目之間添加新關(guān)系時確保沒有重疊。例如，如果項目要關(guān)聯(lián)到其它項目，所有關(guān)聯(lián)的項目應(yīng)當(dāng)在同一區(qū)域中。這可以通過咨詢區(qū)域枚舉來實現(xiàn)。
在創(chuàng)建第一區(qū)域之后，可以向諸如區(qū)域302的第一區(qū)域添加如圖1所示的儲存在ACL 130中的安全規(guī)則。在本發(fā)明的一個實施例中，第一區(qū)域自動包括先前在主區(qū)域中的任何安全規(guī)則。在本發(fā)明的其它實施例中，第一區(qū)域不包括其創(chuàng)建之后的任何安全規(guī)則，必須對第一區(qū)域創(chuàng)建所有的新安全規(guī)則。
區(qū)域也可重新組合起來。區(qū)域應(yīng)當(dāng)或者與在創(chuàng)建該區(qū)域時所創(chuàng)建的其它區(qū)域重新組合，或者與在創(chuàng)建該區(qū)域時所創(chuàng)建的其它區(qū)域之外的某一時刻創(chuàng)建的區(qū)域重新組合。在分割剩余主區(qū)域以形成第二區(qū)域之后重新組合區(qū)域時出現(xiàn)一個難題。例如在圖3中，如分界線332所示作出分割，將項目320組合成第二區(qū)域，而項目308到318以及322在隨后的剩余主區(qū)域中。然而，通過重新組合第一區(qū)域和隨后的剩余主區(qū)域可以創(chuàng)建一個新區(qū)域。在這一情況下，該隨后的剩余主區(qū)域是對其管理主體具有原先用于主區(qū)域的主體的區(qū)域。重新組合的區(qū)域具有原先在主區(qū)域中的主體作為其主體。
當(dāng)重新組合區(qū)域時，兩個區(qū)域的安全規(guī)則保持在適當(dāng)?shù)奈恢?。在新?chuàng)建的區(qū)域中也可以定義其它安全規(guī)則。
現(xiàn)在參考圖5，說明了使用本發(fā)明的各方面來確定安全權(quán)限的方法，如方法500。方法500可以在計算機(jī)系統(tǒng)中實踐，如圖1所示的網(wǎng)絡(luò)體系結(jié)構(gòu)100。計算機(jī)系統(tǒng)包括項目，如數(shù)據(jù)項目106和方法項目114。項目駐留在計算機(jī)系統(tǒng)上的卷中，如圖2所示的卷202。卷被劃分成至少一個安全區(qū)域。每一項目駐留在單個安全區(qū)域中。圖3示出了這樣一個示例。圖3示出兩個安全區(qū)域，區(qū)域302和區(qū)域304。區(qū)域302中的項目(項目324-326)沒有一個駐留在區(qū)域304中。此外，區(qū)域304中的項目(項目306-322)沒有一個駐留在區(qū)域302中。
方法500包括訪問指示主體身份已被核實的驗證信息的行動(行動502)。行動502可包括計算機(jī)系統(tǒng)訪問指示主體身份已被核實的驗證信息。例如，網(wǎng)絡(luò)體系結(jié)構(gòu)100中的計算機(jī)系統(tǒng)能訪問驗證模塊146提供的驗證信息或儲存在高速緩存120中的驗證信息。在本發(fā)明的一個實施例中，行動502由驗證模塊144，如圖1所示的驗證模塊執(zhí)行。
驗證模塊可從主體接收令牌，如令牌128或令牌140。驗證模塊然后將令牌中的信息與驗證模塊144中具有的可用信息相比較，以核實主體身份。這一信息可以在包含驗證信息的數(shù)據(jù)庫中可用。存在若干不同類型的令牌，如密碼、加密串、諸如智能卡的物理密鑰、諸如指紋的生物測定密鑰、語音分析等等?？梢允褂玫膬煞N特定令牌是Windows令牌和經(jīng)過驗證的XrML許可組。行動502還可通過咨詢高速緩存條目，如圖1所示的高速緩存120中的條目來執(zhí)行。特別地，在本發(fā)明的一個實施例中，一旦驗證模塊144驗證了令牌，就可以將信息放置到高速緩存120中，以使隨后在同一會話中的主體的驗證立刻可以通過咨詢高速緩存中的條目來完成。
方法500包括訪問安全規(guī)則的行動(行動504)。行動504可包括計算機(jī)系統(tǒng)訪問安全規(guī)則。例如，網(wǎng)絡(luò)體系結(jié)構(gòu)100中的計算機(jī)系統(tǒng)可訪問來自ACL 130的安全規(guī)則。安全規(guī)則為安全區(qū)域而存在。安全規(guī)則可以在本發(fā)明的一個實施例中實施為如圖1所示的ACL 130。安全規(guī)則可具有三個變量，即元素、主體和權(quán)限變量。元素變量通過元素路徑指定項目的至少一部分。
例如，如果安全規(guī)則對圖3中的項目312授予權(quán)限，則元素變量將指定到項目312的路徑，如306.308.312。這一路徑包括最高項目-項目306，依賴于項目306的項目-項目308，以及最后對其應(yīng)用安全的項目，即依賴于項目308的項目312。在本發(fā)明的另一實施例中，安全規(guī)則可指定一個元素為包括多個屬性的復(fù)合元素。在這一情況下，可以向該元素的所有屬性授予訪問。例如，如果元素路徑為306.310，則主體將具有對元素310的權(quán)限以及對依賴元素310的所有元素，包括元素316到322的權(quán)限。
另外，安全規(guī)則可指定主體僅能訪問特定類型的元素。例如，復(fù)合元素是具有若干不同屬性的元素。復(fù)合元素的一個特定示例是數(shù)字地址簿中的類型名字的元素。類型名字的元素可包括名、姓和中間名屬性。若用戶被授予對包括類型名字元素以及其它元素的項目的權(quán)限，則可以通過在安全規(guī)則中指定類型名字來將用戶僅限制在類型名字元素上。
安全規(guī)則還可包括拒絕訪問控制條目(ACE)，從數(shù)據(jù)項目的至少一部分中排除至少一個元素。例如，規(guī)則可指定主體具有對項目310的權(quán)限。如上所述，如果僅指定了項目310，則主體具有對項目316、318、320和322的權(quán)限。然而，使用拒絕ACE，規(guī)則可指定主體具有對不包含項目320的項目310的權(quán)限。
安全規(guī)則包括指定具有安全權(quán)限的主體的主體變量。在本發(fā)明的一個實施例中，主體是計算機(jī)用戶，如圖1所示的計算機(jī)用戶134。在本發(fā)明的另一實施例中，主體可以是在計算機(jī)系統(tǒng)上運(yùn)行的應(yīng)用程序，如在網(wǎng)絡(luò)體系結(jié)構(gòu)100上運(yùn)行的應(yīng)用122。主體變量可指定可以被授予權(quán)限的一組主體。例如，主體變量可包括所有網(wǎng)絡(luò)管理員。安全規(guī)則也可包括拒絕ACE，其中，拒絕ACE從主體組中排除至少一個主體。
例如，規(guī)則可指定一組包括所有網(wǎng)絡(luò)管理員的主體，而排除一個特定的管理員。如果在不同的安全規(guī)則中向被拒絕ACE排除的特定網(wǎng)絡(luò)管理員授予權(quán)限，而這些權(quán)限是與從其中排除該網(wǎng)絡(luò)管理員的安全規(guī)則中的相同，則該網(wǎng)絡(luò)管理員將擁有所指定的安全權(quán)限。例如，如果一個安全規(guī)則指定除X之外的所有管理員具有對項目Y的權(quán)限，而第二安全規(guī)則指定管理員X具有對項目Y的權(quán)限，則管理員X具有對項目Y的權(quán)限。為移除管理員X對項目Y的權(quán)限，可以使用拒絕ACE以在授予對項目Y權(quán)限的每一規(guī)則中排除管理員X。本發(fā)明的一個實施例中的安全規(guī)則是授權(quán)，指可以授予權(quán)限。創(chuàng)建拒絕規(guī)則不能將權(quán)限從主體中取走，相反，必須修改或移除所有的授權(quán)規(guī)則以不允許主體具有特定的權(quán)限。
安全規(guī)則也可包括權(quán)限變量。本發(fā)明的各種實施例允許的權(quán)限包括讀、寫、刪除和執(zhí)行權(quán)限。如果向主體授予對項目的讀權(quán)限，則該權(quán)限一般與主體可察看但不可更改或刪除的數(shù)據(jù)項目相關(guān)聯(lián)。若向主體授予對項目的寫權(quán)限，則該權(quán)限一般與主體一般可察看并編輯但不可刪除的數(shù)據(jù)項目相關(guān)聯(lián)。如果向主體授予對項目的刪除權(quán)限，則該權(quán)限一般與主體可察看、編輯并刪除的數(shù)據(jù)項目相關(guān)聯(lián)。如果授予對項目的執(zhí)行權(quán)限，則該權(quán)限一般與主體可引發(fā)其執(zhí)行的方法項目相關(guān)聯(lián)。
方法500包括基于訪問的安全規(guī)則標(biāo)識已核實的主體對項目的至少一部分的權(quán)限的行動(行動506)。行動506可包括計算機(jī)系統(tǒng)基于訪問的安全規(guī)則標(biāo)識已核實的主體對項目的至少一部分的權(quán)限。例如，網(wǎng)絡(luò)體系結(jié)構(gòu)100中的計算機(jī)系統(tǒng)可基于從ACL 130訪問的安全規(guī)則標(biāo)識已核實的主體對項目324的權(quán)限。這樣，在本發(fā)明的一個實施例中，網(wǎng)絡(luò)體系結(jié)構(gòu)100可確定諸如計算機(jī)用戶134或應(yīng)用122的主體具有對儲存在存儲102中的項目的何種訪問。
如果在安全規(guī)則的主體變量中指定了主體，則方法500也可向主體授予在安全規(guī)則中指定的權(quán)限。
方法500也接收包括查詢元素變量的查詢。如果發(fā)送查詢的主體對查詢元素變量中的元素具有適當(dāng)?shù)臋?quán)限，則方法500返回查詢結(jié)果。例如，如果主體發(fā)送查詢，請求特定項目內(nèi)為“綠”的所有元素，且該主體對該項目或該項目中所有元素具有權(quán)限，則將返回為綠的元素。如果該主體對該項目中所有元素不具有權(quán)限，即使主體對項目中為綠的某些元素具有權(quán)限，查詢也將返回“未找到”。完成這一過程，可使安全規(guī)則無需與每一元素關(guān)聯(lián)而仍能夠執(zhí)行有效的搜索。因而，如果主體希望發(fā)送查詢以找出所有“綠”元素，則主體可向除主體不對其具有權(quán)限的元素之外的所有元素發(fā)送查詢。因此，例如，如果主體對圖3所示的除元素320之外的項目310具有權(quán)限，則主體必須請求項目310中除項目320之外為綠的所有元素。
方法500也可控制用于修改安全規(guī)則其自身的權(quán)限。在這種情況下，安全規(guī)則作為一個項目包括在卷(如圖2和3中的卷202)中。然后可利用另一安全規(guī)則設(shè)置該安全規(guī)則的安全。
在本發(fā)明的一個實施例中，提供了允許用戶查詢項目的有效安全的API。API基于安全規(guī)則的設(shè)置計算安全。API可以是可執(zhí)行程序代碼，如下文圖6中所討論的。
本發(fā)明的范圍內(nèi)的實施例也包括計算機(jī)可讀媒質(zhì)，在其上承載或儲存有計算機(jī)指令或數(shù)據(jù)結(jié)構(gòu)。這類計算機(jī)可讀媒質(zhì)可以是可由通用或?qū)Ｓ糜嬎銠C(jī)訪問的任一可用媒質(zhì)。作為示例而非局限，這類計算機(jī)可讀媒質(zhì)可包括RAM、ROM、EEPROM、CD-ROM或其它光盤存儲、磁盤存儲或其它磁存儲設(shè)備、或可用來以計算機(jī)可執(zhí)行指令或數(shù)據(jù)結(jié)構(gòu)的形式攜帶或儲存所期望的程序代碼方法并可由通用或?qū)Ｓ糜嬎銠C(jī)訪問的任一其它媒質(zhì)。當(dāng)通過網(wǎng)絡(luò)或另一通信連接(或者硬布線、或者無線、或硬布線和無線的組合)向計算機(jī)傳輸或提供信息時，計算機(jī)適當(dāng)?shù)貙⒃撨B接視為計算機(jī)可讀媒質(zhì)。因而，任一這類連接被恰當(dāng)?shù)胤Q為計算機(jī)可讀媒質(zhì)。上述的組合也應(yīng)當(dāng)包括在計算機(jī)可讀媒質(zhì)的范圍內(nèi)。計算機(jī)可執(zhí)行指令包括，如，使通用計算機(jī)、專用計算機(jī)或?qū)Ｓ锰幚碓O(shè)備執(zhí)行特定功能或功能組的指令和數(shù)據(jù)。
圖6及以下討論提供對適于在其中實現(xiàn)本發(fā)明的計算環(huán)境的簡要的一般描述。盡管并非所需，但本發(fā)明將在計算機(jī)可執(zhí)行指令的一般語境下描述，計算機(jī)可執(zhí)行指令如程序模塊，由網(wǎng)絡(luò)環(huán)境中的計算機(jī)執(zhí)行。一般而言，程序模塊包括例程、程序、對象、組件、數(shù)據(jù)結(jié)構(gòu)等等，執(zhí)行特定的任務(wù)或?qū)崿F(xiàn)特定的抽象數(shù)據(jù)類型。計算機(jī)可執(zhí)行指令、相關(guān)的數(shù)據(jù)結(jié)構(gòu)以及程序模塊代表了用于執(zhí)行在此揭示的方法的步驟的程序代碼手段的示例。這類可執(zhí)行指令或相關(guān)數(shù)據(jù)結(jié)構(gòu)的特定順序代表了用于實現(xiàn)在這類步驟中所述功能的相應(yīng)行動的示例。
本領(lǐng)域的技術(shù)人員可以理解，本發(fā)明可以在具有多種類型計算機(jī)系統(tǒng)配置的網(wǎng)絡(luò)計算環(huán)境中實踐，包括個人計算機(jī)、手持式設(shè)備、多處理器系統(tǒng)、基于微處理器或可編程消費(fèi)電子設(shè)備、網(wǎng)絡(luò)PC、小型機(jī)、大型機(jī)等等。本發(fā)明也可以在分布式計算環(huán)境中實踐，其中，任務(wù)由通過通信網(wǎng)絡(luò)連接(或者通過硬布線鏈路、或者通過無線鏈路、或通過硬布線或無線鏈路的組合)的本地和遠(yuǎn)程處理設(shè)備來執(zhí)行。在分布式計算環(huán)境中，程序模塊可位于本地和遠(yuǎn)程存儲器存儲設(shè)備中。
參考圖6，用于實現(xiàn)本發(fā)明的示例性系統(tǒng)包括常規(guī)計算機(jī)620形式的通用計算裝置，該裝置包括處理單元621、系統(tǒng)存儲器622以及將包括系統(tǒng)存儲器622在內(nèi)的各類系統(tǒng)組件耦合至處理單元621的系統(tǒng)總線623。系統(tǒng)總線623可以是若干種總線結(jié)構(gòu)類型的任一種，包括存儲器總線或存儲器控制器、外圍總線以及使用任一各類總線結(jié)構(gòu)的本地總線。系統(tǒng)存儲器包括只讀存儲器(ROM)624和隨機(jī)存取存儲器(RAM)625?；据斎?輸出系統(tǒng)(BIOS)626，包含如在啟動時協(xié)助在計算機(jī)620內(nèi)的元件之間傳輸信息的基本例程，可儲存在ROM 624中。
計算機(jī)620也可包括用于對磁硬盤639進(jìn)行讀取和寫入的磁硬盤驅(qū)動器627、用于對可移動磁盤629進(jìn)行讀取和寫入的磁盤驅(qū)動器628以及用于對可移動光盤631諸如CD-ROM或其它光媒質(zhì)進(jìn)行讀取和寫入的光盤驅(qū)動器630。磁硬盤驅(qū)動器627、磁盤驅(qū)動器628以及光盤驅(qū)動器630分別通過硬盤驅(qū)動器接口632、磁盤驅(qū)動器接口633和光盤驅(qū)動器接口634連接至系統(tǒng)總線623。驅(qū)動器及其相關(guān)的計算機(jī)可讀媒質(zhì)為計算機(jī)620提供了計算機(jī)可執(zhí)行指令、數(shù)據(jù)結(jié)構(gòu)、程序模塊和其它數(shù)據(jù)的非易失存儲。盡管在此所述的示例性環(huán)境使用磁硬盤639、可移動磁盤629以及可移動光盤631，但是也可以使用用于儲存數(shù)據(jù)的其它類型的計算機(jī)可讀媒質(zhì)，包括盒式磁帶、閃存卡、數(shù)字多功能盤、Bernoulli盒式磁盤、RAM、ROM等等。
包括一個或多個程序模塊的程序代碼方法可儲存在硬盤639、磁盤629、光盤631、ROM 624或RAM 625中，包括操作系統(tǒng)635、一個或多個應(yīng)用程序636、其它程序模塊637以及程序數(shù)據(jù)638。用戶可以通過鍵盤640、指向設(shè)備642或其它輸入設(shè)備(未示出)，如麥克風(fēng)、操縱桿、游戲墊、圓盤式衛(wèi)星天線、掃描儀等等向計算機(jī)620輸入命令和信息。這些以及其它輸入設(shè)備通常通過耦合至系統(tǒng)總線623的串行端口接口646連接至處理單元621?？蛇x地，輸入設(shè)備也可以通過其它接口連接，如并行端口、游戲端口或通用串行總線(USB)。監(jiān)視器647或另一顯示設(shè)備也通過接口，如視頻適配器648連接至系統(tǒng)總線623。除監(jiān)視器之外，個人計算機(jī)通常包括其它外圍輸出設(shè)備(未示出)，如揚(yáng)聲器和打印機(jī)。
計算機(jī)620可在使用到一個或多個遠(yuǎn)程計算機(jī)，如遠(yuǎn)程計算機(jī)683和693的邏輯連接的網(wǎng)絡(luò)化環(huán)境中運(yùn)行。遠(yuǎn)程計算機(jī)683和693的每一個可以是另一個人計算機(jī)、服務(wù)器、路由器、網(wǎng)絡(luò)PC、對等設(shè)備或其它公用網(wǎng)絡(luò)節(jié)點，且通常包括許多或所有上述與計算機(jī)620相關(guān)的元件。圖6描述的邏輯連接包括局域網(wǎng)(LAN)651和廣域網(wǎng)(WAN)652，在此示出作為示例而非局限。這類網(wǎng)絡(luò)環(huán)境常見于辦公室范圍或企業(yè)范圍計算機(jī)網(wǎng)絡(luò)、內(nèi)聯(lián)網(wǎng)以及因特網(wǎng)。
當(dāng)在局域網(wǎng)網(wǎng)絡(luò)環(huán)境中使用時，計算機(jī)620通過網(wǎng)絡(luò)接口或適配器653連接至局域網(wǎng)651。當(dāng)在廣域網(wǎng)網(wǎng)絡(luò)環(huán)境中使用時，計算機(jī)620可包括調(diào)制解調(diào)器654、無線鏈路或其它裝置，用于通過廣域網(wǎng)652，如因特網(wǎng)建立通信。調(diào)制解調(diào)器654可以是內(nèi)置或外置的，通過串行端口接口646連接至系統(tǒng)總線623。在網(wǎng)絡(luò)化環(huán)境中，所述的與計算機(jī)620相關(guān)的程序模塊或其部分可儲存在遠(yuǎn)程存儲器存儲設(shè)備中?？梢岳斫?，示出的網(wǎng)絡(luò)連接是示例性的，也可以使用通過廣域網(wǎng)652建立通信的其它裝置。
本發(fā)明可以在不脫離其精神或本質(zhì)特征的情況下以其它特定形式實施。所描述的實施例在相應(yīng)方面僅作為說明而非限制來考慮。因此，本發(fā)明的范圍由所附權(quán)利要求書而非上述描述指示。所有處于權(quán)利要求的等效技術(shù)方案的含義和范圍內(nèi)的變化都包含在其范圍之內(nèi)。
權(quán)利要求
1.在包括項目的計算機(jī)系統(tǒng)中，所述項目儲存在卷中，所述卷被劃分成至少一個安全區(qū)域，每一項目駐留在單個安全區(qū)域中，一種確定主體對項目的至少一部分的安全權(quán)限的方法，其特征在于，它包括訪問指示主體的身份已被核實的驗證信息的行動；訪問針對所述卷的安全區(qū)域的安全規(guī)則的行動，該安全規(guī)則代表主體對所述安全區(qū)域中至少一個項目的權(quán)限，所述安全規(guī)則至少具有元素、主體和權(quán)限變量，所述安全規(guī)則中的至少一個通過元素路徑指定了項目的至少一部分并指定至少一個主體；以及基于所訪問的安全規(guī)則標(biāo)識所述已核實的主體對所述項目的至少一部分的權(quán)限的行動。
2.如權(quán)利要求1所述的方法，其特征在于，所述安全規(guī)則是授予對所述項目的至少一部分的訪問。
3.如權(quán)利要求1所述的方法，其特征在于，它還包括，如果在所述安全規(guī)則中指定了所述主體，則向所述主體授予在所述安全規(guī)則中指定的權(quán)限的行動。
4.如權(quán)利要求3所述的方法，其特征在于，所述安全規(guī)則指定多個主體。
5.如權(quán)利要求4所述的方法，其特征在于，所述安全規(guī)則包括一拒絕ACE，其中，所述拒絕ACE從所述多個主體中排除至少一個主體。
6.如權(quán)利要求5所述的方法，其特征在于，如果所述安全區(qū)域的任一其它安全規(guī)則指定所述至少一個被排除的主體具有所述安全規(guī)則中指定的所述權(quán)限，則執(zhí)行向所述至少一個被排除的主體授予所述安全規(guī)則中指定的所述權(quán)限的行動。
7.如權(quán)利要求3所述的方法，其特征在于，所述安全規(guī)則中指定的所述權(quán)限為讀、寫或刪除訪問中的至少之一，且所述授予行動包括允許對項目的所述至少一部分的至少一個屬性進(jìn)行訪問。
8.如權(quán)利要求3所述的方法，其特征在于，所述安全規(guī)則中指定的所述權(quán)限為執(zhí)行訪問，且所述授予行動包括允許對項目的所述至少一部分的至少一個方法進(jìn)行訪問。
9.如權(quán)利要求1所述的方法，其特征在于，它還包括接收查詢的行動，所述查詢包括一查詢元素變量，所述查詢元素變量包括至少一個元素；如果所述至少一個元素包括在項目的所述至少一部分中，則返回所述至少一個項目的行動。
10.如權(quán)利要求9所述的方法，其特征在于，所述至少一個元素是包括多個屬性的復(fù)合元素，所述授予行動在所述多個屬性的所有屬性上執(zhí)行。
11.如權(quán)利要求1所述的方法，其特征在于，它還包括接收查詢的行動，所述查詢包括一查詢元素變量，所述查詢元素變量包括至少一個元素；以及如果所述至少一個元素不包括在所述安全規(guī)則的至少一個項目的所述至少一部分中，則返回“未找到”消息的行動。
12.如權(quán)利要求1所述的方法，其特征在于，它包括查詢API來確定項目的安全權(quán)限的行動，其中，所述API基于指定所述項目的安全規(guī)則計算安全權(quán)限。
13.如權(quán)利要求1所述的方法，其特征在于，所述安全規(guī)則是所述卷中的項目。
14.如權(quán)利要求1所述的方法，其特征在于，它還包括接收令牌的行動，所述令牌包括對驗證所述主體有用的數(shù)據(jù)。
15.如權(quán)利要求14所述的方法，其特征在于，所述訪問驗證信息的行動包括高速緩存所述主體的身份以在同一會話中隨后的驗證中使用。
16.如權(quán)利要求1所述的方法，其特征在于，所述訪問驗證信息的行動包括咨詢高速緩存條目來核實所述主體的身份。
17.如權(quán)利要求1所述的方法，其特征在于，所述安全規(guī)則包括從數(shù)據(jù)項目的所述至少一部分排除至少一個元素的拒絕ACE。
18.如權(quán)利要求1所述的方法，其特征在于，所述安全規(guī)則通過不指定任何權(quán)限來指定所有權(quán)限。
19.如權(quán)利要求1所述的方法，其特征在于，所述安全規(guī)則包括指定項目類型的項目類型變量，所述方法還包括接收查詢或請求之一的行動，所述查詢或請求包括一查詢元素變量，該元素變量包括至少一個元素；以及如果所述至少一個元素是所述項目類型的則執(zhí)行的授予行動。
20.如權(quán)利要求1所述的方法，其特征在于，所述安全規(guī)則包括指定項目類型的項目類型變量，所述方法還包括接收查詢或請求之一的行動，所述查詢或請求包括一查詢元素變量，該元素變量包括至少一個元素；以及如果所述至少一個元素不是所述項目類型的則執(zhí)行的返回“未找到”的行動。
21.如權(quán)利要求1所述的方法，其特征在于，所述元素變量通過元素路徑指定項目的至少一部分。
22.如權(quán)利要求1所述的方法，其特征在于，所述主體變量指定至少一個主體。
23.如權(quán)利要求8所述的方法，其特征在于，它還包括執(zhí)行所述至少一個方法以對所述至少一個安全區(qū)域中的安全區(qū)域創(chuàng)建安全規(guī)則的行動。
24.在包括儲存在至少一個卷中的項目的計算機(jī)系統(tǒng)中，所述卷被劃分成至少一個不重疊區(qū)域，每一項目駐留在所述至少一個不重疊區(qū)域中的區(qū)域內(nèi)，每一區(qū)域具有擁有管理權(quán)限的一個或多個主體，一種向其它主體委托對包括在所述至少一個不重疊區(qū)域的主區(qū)域中的第一項目的管理權(quán)限的方法，其特征在于，它包括在所述主區(qū)域中標(biāo)識所述第一項目的行動；將所述主區(qū)域分割成一第一區(qū)域和一剩余主區(qū)域的行動，所述一個或多個主主體保持對所述第一區(qū)域和所述剩余主區(qū)域的管理權(quán)限，所述第一區(qū)域包括所述第一項目，并且所述剩余主區(qū)域包括所述主區(qū)域中不包括在所述第一項目中的那部分項目；以及指定一個或多個第一主體也具有對所述第一項目的管理權(quán)限的行動。
25.如權(quán)利要求24所述的方法，其特征在于，指定所述一個或多個主體由所述一個或多個主主體執(zhí)行。
26.如權(quán)利要求24所述的方法，其特征在于，它還包括使用對應(yīng)于所述第一區(qū)域的區(qū)域枚舉來標(biāo)注所述第一項目的行動。
27.如權(quán)利要求24所述的方法，其特征在于，所述管理權(quán)限是安全權(quán)限。
28.如權(quán)利要求24所述的方法，其特征在于，所述管理權(quán)限是審核權(quán)限。
29.如權(quán)利要求24所述的方法，其特征在于，它還包括在所述分割行動之后對所述第一區(qū)域指定安全規(guī)則的行動。
30.如權(quán)利要求24所述的方法，其特征在于，它包括在所述分割行動之前通過默認(rèn)所述主區(qū)域中的安全規(guī)則來對所述第一區(qū)域指定安全規(guī)則的行動。
31.一種從權(quán)利要求24所述的第一區(qū)域和剩余主區(qū)域創(chuàng)建區(qū)域的方法，其特征在于，它包括將所述第一區(qū)域和所述剩余主區(qū)域重新組合的行動。
32.一種從權(quán)利要求24所述的第一區(qū)域以及隨后的剩余主區(qū)域創(chuàng)建區(qū)域的方法，所述隨后的剩余主區(qū)域從分割所述剩余主區(qū)域形成，其中，所述隨后剩余主區(qū)域的管理主體是所述主區(qū)域中的管理主體，包括將所述第一區(qū)域和所述隨后剩余主區(qū)域重新組合的行動。
33.一種在包括項目的計算機(jī)系統(tǒng)中使用的計算機(jī)程序產(chǎn)品，所述項目儲存在卷中，所述卷被劃分成至少一個安全區(qū)域，每一項目駐留在單個安全區(qū)域中，所述計算機(jī)程序產(chǎn)品用于實現(xiàn)一種確定主體對項目的至少一部分的安全權(quán)限的方法，其特征在于，所述計算機(jī)程序產(chǎn)品包括在其上儲存了計算機(jī)可執(zhí)行指令的一個或多個計算機(jī)可讀媒質(zhì)，當(dāng)由處理器執(zhí)行所述計算機(jī)可執(zhí)行指令時，使所述計算機(jī)系統(tǒng)執(zhí)行以下行動訪問指示主體的身份已被核實的驗證信息；訪問對所述卷中的安全區(qū)域的表示主體對所述安全區(qū)域中至少一個項目的權(quán)限的安全規(guī)則，所述安全規(guī)則至少具有元素、主體和權(quán)限變量，所述安全規(guī)則的至少一個通過元素路徑指定項目的至少一部分并指定至少一個主體；以及基于所述訪問的安全規(guī)則標(biāo)識所述已核實的主體對所述項目的所述至少一部分的權(quán)限。
34.一種在包括儲存在至少一個卷中的項目的計算機(jī)系統(tǒng)中使用的計算機(jī)程序產(chǎn)品，所述卷被劃分成至少一個不重疊區(qū)域，每一項目駐留在來自所述至少一個不重疊區(qū)域的區(qū)域中，每一區(qū)域具有擁有管理權(quán)限的一個或多個主體，所述計算機(jī)程序產(chǎn)品用于實現(xiàn)一種向其它主體委托對包括在所述至少一個不重疊區(qū)域中的主區(qū)域中的第一項目的管理權(quán)限的方法，其特征在于，所述計算機(jī)程序產(chǎn)品包括在其上儲存了計算機(jī)可執(zhí)行指令的一個或多個計算機(jī)可讀媒質(zhì)，當(dāng)由處理器執(zhí)行所述計算機(jī)可執(zhí)行指令時，使所述計算機(jī)系統(tǒng)執(zhí)行以下行動在所述主區(qū)域中標(biāo)識所述第一項目；將所述主區(qū)域分割成一第一區(qū)域和一剩余主區(qū)域，所述一個或多個主主體保持對所述第一區(qū)域和所述剩余主區(qū)域的管理權(quán)限，所述第一區(qū)域包括所述第一項目，并且所述剩余主區(qū)域包括所述主區(qū)域中不包括在所述第一項目中的那部分項目；以及指定一個或多個第一主體也具有對所述第一項目的管理權(quán)限。
35.在包括儲存在至少一個卷中的項目的計算機(jī)系統(tǒng)中，所述卷被劃分成至少一個不重疊區(qū)域，每一項目駐留在來自所述至少一個不重疊區(qū)域的區(qū)域中，每一區(qū)域具有擁有管理權(quán)限的一個或多個主體，一種向其它主體委托對包括在所述至少一個不重疊區(qū)域中的主區(qū)域中的第一項目的管理權(quán)限的方法，其特征在于，它包括使用第一項目形成第一區(qū)域的步驟，所述第一區(qū)域從所述主區(qū)域形成，一個或多個主體具有對所述第一項目的管理權(quán)限；以及指定一個或多個第一主體也具有對所述第一項目的管理權(quán)限的行動。
全文摘要
揭示了管理數(shù)字安全。數(shù)據(jù)和方法儲存在計算機(jī)系統(tǒng)的卷中。卷被劃分成不重疊安全區(qū)域。每一項目在一個安全區(qū)域中存在。向主體授予安全規(guī)則，其中，所述安全規(guī)則應(yīng)用到特定區(qū)域中的項目。所述安全規(guī)則指定哪些主體具有對哪些項目的哪些權(quán)限；如讀、寫、刪除和執(zhí)行。主體可以通過分割安全區(qū)域來形成兩個安全區(qū)域以委托管理權(quán)限。具有對安全區(qū)域的管理權(quán)限的主體向所述安全區(qū)域之一分配另外的主體，而維護(hù)對其它區(qū)域的所有管理權(quán)限。由此，主體能夠保持對其自身專有的對特定項目的特定管理權(quán)限，而向其它主體委托對其它項目的管理權(quán)限。
文檔編號G06F21/20GK1585325SQ20041005907
公開日2005年2月23日 申請日期2004年7月26日 優(yōu)先權(quán)日2003年7月30日
發(fā)明者I·胡迪斯, L·諾維克, S·阿南德, S·H·阿加瓦爾, B·S·拉曼 申請人:微軟公司