專利名稱：分層服務(wù)管理系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種服務(wù)管理系統(tǒng)。具體而言，本發(fā)明涉及一種服務(wù)管理系統(tǒng)的開發(fā)，其允許服務(wù)提供商建立并管理分層管理域。分層管理域的實例是服務(wù)提供商與用戶的網(wǎng)絡(luò)，具有中央、地區(qū)和本地機關(guān)的組織結(jié)構(gòu)。
背景技術(shù)：
隨著技術(shù)的出現(xiàn)，國際互聯(lián)網(wǎng)和類似通信方法的使用驚人地增加。它們?yōu)槿祟愄峁┒喾N服務(wù)，服務(wù)提供商通過網(wǎng)絡(luò)提供這些服務(wù)。
服務(wù)提供商可將個人和組織作為其用戶并向它們提供各種服務(wù)。此類服務(wù)的某些實例是“安全性服務(wù)”和“服務(wù)質(zhì)量”?！鞍踩苑?wù)”在網(wǎng)絡(luò)中預(yù)防未經(jīng)許可的破壞。非法用戶可以改變數(shù)據(jù)、未經(jīng)許可地訪問數(shù)據(jù)、破壞數(shù)據(jù)、或未經(jīng)許可地使用一個組織的計算機資源。所述組織需要阻止這類非法用戶訪問數(shù)據(jù)。因此對于所述組織而言，“安全性服務(wù)”非常重要。“服務(wù)質(zhì)量”基于服務(wù)協(xié)議的條款向用戶提供可得到的最好的服務(wù)。服務(wù)提供商需要實施策略以便做出關(guān)于所述服務(wù)的決定。策略是控制網(wǎng)絡(luò)通信的一組規(guī)則并且它負責(zé)用戶的管理。
服務(wù)提供商向其用戶提供這些服務(wù)。在某些情況下，服務(wù)提供商可直接管理用戶，而在其它情況下，可通過較小服務(wù)提供商管理用戶，所述較小服務(wù)提供商又可由較大服務(wù)提供商來管理。為管理這樣一個用戶的層級，需要一種分層服務(wù)管理系統(tǒng)，而不是對每個由一較大服務(wù)提供商管理的較小服務(wù)提供商布署不同服務(wù)管理系統(tǒng)。
這樣一個用戶的層級可存在于兩個服務(wù)提供商之間，其中一個服務(wù)提供商將其資源和服務(wù)出售給另一個服務(wù)提供商，且第二服務(wù)提供商將服務(wù)出售給它自己的用戶并管理其用戶而不受第一服務(wù)提供商的干擾。所述第二服務(wù)提供商也可以根據(jù)其用戶的要求定制服務(wù)。
因此，需要一種能夠?qū)嵤┻@樣一種服務(wù)提供商的安排的系統(tǒng)和方法。這將減輕服務(wù)提供商的負擔(dān)并提供一種容易管理大量用戶的方法。

發(fā)明內(nèi)容
本發(fā)明提供一種用于管理分層管理域的系統(tǒng)和方法。就服務(wù)提供商而言，一用戶層級包含一根服務(wù)提供商(Root Service Provider，RSP)、分層服務(wù)提供商(Tiered Service Provider，TSP)和終端用戶。在這個文獻的剩余部分中，將通過使用服務(wù)提供商管理域來解釋本發(fā)明的概念。所屬領(lǐng)域的技術(shù)人員將易了解可將本發(fā)明擴展到如在一大企業(yè)環(huán)境中的其它分層管理域。
根據(jù)一個方面，本發(fā)明提供一種用于控制用戶和管理資源的方法。以分層方式(hierarchical manner)安排用戶。
層級是基于用戶與直接服務(wù)提供商之間的協(xié)議的。用戶可以作為終端用戶或TSP加入RSP或一TSP。如果用戶作為一TSP加入所述層級，那么只要所述TSP有資源，所述用戶就可以建立更多的用戶而不需要用戶層級中在其之上的任一TSP或RSP的批準。
通過策略控制服務(wù)。策略是服務(wù)提供商制定用以控制提供給用戶的服務(wù)的一組規(guī)則。通過一策略執(zhí)行裝置執(zhí)行所述策略。為了了解網(wǎng)絡(luò)中諸如安全性破壞的警報情形，本發(fā)明判定在網(wǎng)絡(luò)通信流和一預(yù)定規(guī)則之間是否存在規(guī)則匹配。如果存在匹配，那么通知用戶及其服務(wù)提供商。
根據(jù)另一個方面，本發(fā)明也在資源分配的時候檢查資源違反(resourceviolation)，如果存在違反，那么通知用戶及其服務(wù)提供商。
根據(jù)又一個方面，本發(fā)明提供一種用于以分層方式(hierarchical manner)管理用戶的服務(wù)管理系統(tǒng)。所述系統(tǒng)建立并管理用戶的資源并且通過實施策略來控制它們。所述系統(tǒng)檢查一個用戶的任何資源違反(resource violation)，如果存在違反，那么通知用戶和這個用戶的服務(wù)提供商。
所述系統(tǒng)還判定網(wǎng)絡(luò)通信流與一預(yù)定規(guī)則是否存在規(guī)則匹配。如果存在匹配，那么通知用戶及其服務(wù)提供商。
根據(jù)又一個方面，本發(fā)明提供一種用于以分層方式(hierarchical manner)管理用戶的計算機程序模塊。


在下文中將結(jié)合附圖描述本發(fā)明的優(yōu)選實施例，提供附圖用來說明而非限制本發(fā)明，附圖中相同標記表示相同元件，在附圖中圖1展示出一實例為用戶層級的一部分；圖2是根據(jù)本發(fā)明的一個實施例具有一用戶接口和一策略執(zhí)行裝置的分層服務(wù)管理系統(tǒng)的方框圖，所述用戶接口和所述策略執(zhí)行裝置由所述服務(wù)管理系統(tǒng)來控制；圖3a和圖3b根據(jù)本發(fā)明的一個實施例展示一說明用戶在分層服務(wù)管理系統(tǒng)中建立規(guī)則的流程圖；圖4a和圖4b是根據(jù)本發(fā)明的一個實施例描述以分層方式執(zhí)行的策略表；圖5是根據(jù)本發(fā)明的一個實施例說明當(dāng)網(wǎng)絡(luò)通信流與一預(yù)定規(guī)則匹配時的警報的運行的流程圖；圖6是根據(jù)本發(fā)明的一個實施例說明對用戶的資源分配的流程圖；和圖7是根據(jù)本發(fā)明的一個實施例說明分配給用戶的資源的變化的流程圖。
具體實施例方式
本發(fā)明是一種用于以分層方式(hierarchical manner)管理用戶的系統(tǒng)和方法。通過一服務(wù)管理系統(tǒng)管理用戶。用戶的管理涉及對用戶執(zhí)行策略以便控制用戶并管理用戶的資源。策略是調(diào)整用戶的行為的一組規(guī)則。
本發(fā)明允許用戶中存在一分層結(jié)構(gòu)，且通過向RSP提供一允許在所述RSP之下的用戶充當(dāng)一分層服務(wù)提供商(Tiered Service Provider，TSP)而減少根服務(wù)提供商(Root Service Provider，RSP)的負擔(dān)。這使得一用戶層級形成。用戶的分層結(jié)構(gòu)使得大量用戶的管理變得容易。
通過以分層方式(hierarchical manner)向用戶分配資源而實現(xiàn)用戶的分層管理。RSP和TSP向在其之下的直接用戶分配資源。一服務(wù)提供商的直接用戶是用戶層級中在所述服務(wù)提供商下一級(level)的用戶。
服務(wù)提供商需要執(zhí)行用于向其用戶提供各種服務(wù)的規(guī)則。分層服務(wù)管理系統(tǒng)確保能夠以分層方式(hierarchical manner)執(zhí)行所述規(guī)則并實現(xiàn)用戶的分層管理。RSP和TSP執(zhí)行包含用于在其之下的直接用戶的這些規(guī)則的策略。通過一策略執(zhí)行裝置執(zhí)行所述策略。這些策略的執(zhí)行使得能夠向用戶提供諸如安全性服務(wù)的各種服務(wù)。分層服務(wù)管理系統(tǒng)支持用戶隔離并控制用戶的可見度以確保用戶的保密性。
用戶隔離使得服務(wù)提供商能夠?qū)σ粋€用戶的策略做出改變而不會影響其它用戶。用戶層級中一用戶的策略的配置并不影響用戶層級中不在其之下的其它用戶。所述策略的配置的變化只影響已改變策略的用戶和用戶層級中在其之下的用戶。
所述分層服務(wù)管理系統(tǒng)確保一TSP的保密信息受到保護且只對于它可見。用戶可見度使得每個服務(wù)提供商能夠管理其用戶而不受用戶層級中在其之上的服務(wù)提供商的干擾。用戶可見度被限制在一個級從而使得每個服務(wù)提供商只能夠查看其直接用戶的數(shù)據(jù)。這允許TSP擁有其自己的用戶而不必擔(dān)心其直接服務(wù)提供商了解到其用戶的詳細資料。
然而，在組織的情況下(其中要求一較高可見度級)，可見度級可改變?yōu)橐粋€以上。策略也控制用戶的訪問權(quán)。一些例示性的訪問權(quán)是用來建立更多用戶的權(quán)限、用來建立更多規(guī)則的權(quán)限、系統(tǒng)的注冊權(quán)、和用來查看規(guī)則的權(quán)限。
所述分層服務(wù)管理系統(tǒng)支持以分層方式(hierarchical manner)進行報告。服務(wù)提供商和用戶可以在任一時間點產(chǎn)生報告以便了解服務(wù)管理系統(tǒng)的運行。報告包含輔助分析規(guī)則的執(zhí)行、安全性破壞、安全性破壞的頻率和其它這類問題的監(jiān)控數(shù)據(jù)。在警報情形下，產(chǎn)生一警報以使得用戶和直接服務(wù)提供商注意所述情形。
在本發(fā)明的一個優(yōu)選實施例中，用戶層級是樹形。
在一以樹形安排的用戶層級中，處于用戶層級的根處的用戶稱為RSP。處于用戶層級中一分支的末端處的用戶稱為終端用戶(EC)。既不在用戶層級的根處又不在一分支的末端處的用戶稱為TSP。一RSP可以在其之下建立零個或多個TSP和零個或多個終端用戶。一TSP也可以在其之下建立零個或多個TSP和零個或多個終端用戶。終端用戶不能建立更多的用戶。RSP向是其直接用戶的TSP和終端用戶提供服務(wù)。在RSP之下的TSP又向其直接用戶提供服務(wù)。
圖1展示出一實例為用戶層級的一部分。一RSP 102具有一TSP1 104、一TSP2 106和一EC1 108作為直接用戶。作為RSP 102的一終端用戶的EC1108不能具有更多的用戶，而TSP1 104和TSP2 106將具有各自的分支。TSP1104進一步具有一TSP3 110、一EC2 112和一TSP4 114作為直接用戶。EC2112是一終端用戶且不能具有任何另外的用戶。TSP3 110和TSP4 114可以具有屬于它們的更多用戶。
在本發(fā)明的一個優(yōu)選實施例中，用戶可以基于與直接服務(wù)提供商的協(xié)議，加入用戶層級中的一個位置。所述直接服務(wù)提供商可以是用戶層級中的一RSP或一TSP。所述用戶可以作為一終端用戶或一TSP加入。如果所述用戶作為一TSP加入所述層級，那么只要所述TSP有資源，所述用戶就可以建立更多的用戶而不需要用戶層級中在其之上的TSP或RSP的批準。
所屬領(lǐng)域的技術(shù)人員將易了解可存在各種其它方法來確定用戶層級中一用戶的位置。
RSP或TSP通過實施策略和分配資源給其直接用戶來控制其直接用戶。在本發(fā)明的一個優(yōu)選實施例中，所述策略是基于RSP或TSP與其直接用戶之間的協(xié)議的。RSP或TSP也管理其直接用戶的資源。所述資源涵蓋一服務(wù)提供商想要控制的所有方面。這些方面被稱為資源的屬性。例如屬性可以是規(guī)則的數(shù)目、IP地址的數(shù)目和帶寬。
通過一策略執(zhí)行裝置實施用戶層級中的策略。圖2是具有一用戶接口和所述策略執(zhí)行裝置的分層服務(wù)管理系統(tǒng)的方框圖，所述用戶接口和策略執(zhí)行裝置由所述分層服務(wù)管理系統(tǒng)來控制。
通過一策略執(zhí)行裝置202控制提供給用戶的服務(wù)。通過一服務(wù)管理系統(tǒng)200控制策略執(zhí)行裝置202。用戶層級中的用戶可以通過用戶接口206訪問包含配置數(shù)據(jù)的數(shù)據(jù)庫204。用戶接口206和一用戶接口處理器(UI處理器)208相關(guān)聯(lián)，所述處理器服務(wù)從用戶接口206接收的所有請求并將這些請求轉(zhuǎn)發(fā)給訪問權(quán)執(zhí)行器210。
訪問權(quán)執(zhí)行器210負責(zé)以分層方式(hierarchical manner)執(zhí)行訪問權(quán)。用戶的訪問權(quán)由用戶層級中在其之上的TSP決定。舉例而言，圖1中作為根服務(wù)提供商的RSP 102具有無限制的訪問權(quán)。RSP 102的直接用戶(如TSP1104、TSP2 106和EC1 108)的訪問權(quán)將少于或等于RSP 102的訪問權(quán)。TSP3110、EC2 112和TSP4 114的訪問權(quán)將少于或等于TSP1 104的訪問權(quán)等。同樣，如果一TSP自身并不具有一訪問權(quán)，那么所述TSP不能將所述訪問權(quán)給予其用戶。
訪問權(quán)執(zhí)行器210從UI處理器208處獲得請求并檢查用戶是否具有適當(dāng)?shù)脑L問權(quán)來做出所述請求。如果用戶具有不足的訪問權(quán)，那么不服務(wù)所述請求并將一錯誤發(fā)送到用戶接口206。否則，繼續(xù)處理所述請求。
訪問權(quán)執(zhí)行器208和一資源管理器212、一策略處理器214以及一用戶隔離模塊216相關(guān)聯(lián)。
資源管理器212向用戶分配資源。資源管理器212由一資源檢查器218和一資源存儲器220組成。資源檢查器218檢查分配給用戶的資源的有效性。圖6和圖7中進一步討論驗證所分配資源的方法。在所分配資源中存在變化的情況下，已變化的資源通過用戶隔離模塊216而存儲在數(shù)據(jù)庫204中。
策略處理器214為策略執(zhí)行裝置202負責(zé)策略的存儲、策略的檢驗和策略的編譯。策略處理器214由一策略裝載器222、一策略檢驗器224、一策略編譯器226和一策略存儲器228組成。策略裝載器222負責(zé)裝載來自數(shù)據(jù)庫204的所有策略。對于一用戶而言，其裝載這個用戶的服務(wù)提供商分配給這個用戶的所有規(guī)則，和從用戶層級中在其之上一直到RSP的服務(wù)提供商處繼承的所有規(guī)則。然后策略裝載器222將所裝載的策略傳遞給策略檢驗器224。策略檢驗器224檢查所有這些規(guī)則的有效性。如果用戶的一個規(guī)則違反了從用戶層級中所述用戶之上的服務(wù)提供商處繼承的任一非可超越規(guī)則(non-overridable rule)可超越規(guī)則(overridable rule)，那么賦予所述規(guī)則低于所述非可超越規(guī)則(non-overridable rule)可超越規(guī)則(overridable rule)的優(yōu)先權(quán)。檢驗之后，策略檢驗器224將這些規(guī)則傳到策略編譯器226。策略編譯器226負責(zé)編譯所述規(guī)則并以策略執(zhí)行裝置202可理解的格式產(chǎn)生輸出。將策略編譯器226的輸出賦予下載模塊230。下載模塊230下載策略執(zhí)行裝置202上的策略和資源。策略存儲器228負責(zé)通過數(shù)據(jù)加密器/解密器模塊232將策略存儲到數(shù)據(jù)庫204中。
用戶隔離模塊216負責(zé)確定用戶不能查看或修改其同級用戶的數(shù)據(jù)。用戶隔離模塊216還確保服務(wù)提供商只能看到適當(dāng)級的用戶。當(dāng)一用戶加入所述層級時，在其之上的服務(wù)提供商決定這個用戶的訪問權(quán)。這些訪問權(quán)利用用戶隔離模塊216提供用戶隔離。用戶隔離模塊216由數(shù)據(jù)加密器/解密器模塊232和一用戶可見度過濾器234組成。數(shù)據(jù)加密器/解密器模塊232在將所述用戶的數(shù)據(jù)存儲到數(shù)據(jù)庫204之前對其加密。例如數(shù)據(jù)可以是用戶信息、策略和資源分配。數(shù)據(jù)加密器/解密器模塊232通過加密確保即使是具有對數(shù)據(jù)庫204的完全訪問權(quán)的RSP都不能查看所有用戶的數(shù)據(jù)。這確保了用戶隔離。在一個優(yōu)選實施例中，RSP和TSP只能夠看到其直接用戶的數(shù)據(jù)。舉例而言，圖1中TSP3 110、EC2 112和TSP4 114是TSP1 104的直接用戶，而TSP2 106不是直接用戶。TSP1 104和TSP2 106是RSP 102的直接用戶。TSP1104將能夠看到TSP3 110、EC2 112和TSP4 114的配置數(shù)據(jù)，但不能看到TSP 106的配置數(shù)據(jù)。同樣，RSP 102將不能看到TSP3 110、EC2 112和TSP4114的配置數(shù)據(jù)，因為它們不是RSP 102的直接用戶。用戶可見度受用戶可見度過濾器234的設(shè)置的限制而且是基于RSP和TSP之間的訂約的。此外，在要求較高級可見度的組織的情況下，通過改變用戶可見度過濾器234的參數(shù)可以將用戶可見度從一級改變?yōu)槎嗉?。在一?yōu)選實施例中，用戶可見度在建立層級的時候確定。同樣地，數(shù)據(jù)加密器/解密器模塊232在其它模塊(如，資源管理器212或策略處理器214)處理所述數(shù)據(jù)之前，或所述數(shù)據(jù)轉(zhuǎn)發(fā)到用戶接口206之前對其解密。用戶可見度過濾器234確保所述用戶層級中的用戶只能夠查看用戶具有訪問權(quán)的數(shù)據(jù)。發(fā)送到用戶接口206的所有信息必須經(jīng)過用戶可見度過濾器234。所述信息可以是響應(yīng)來自用戶接口206的請求的數(shù)據(jù)或服務(wù)管理系統(tǒng)產(chǎn)生的一些其它數(shù)據(jù)，如警報。
警報管理器236從策略執(zhí)行裝置202處接收警報。警報管理器236將所述警報存儲在數(shù)據(jù)庫204中，處理所述用于監(jiān)控目的的警報，并且隨后將其傳到用戶可見度過濾器234。用戶可見度過濾器234算出警報屬于哪個用戶并且隨后發(fā)送警報給所述用戶及其直接服務(wù)提供商。
報告管理器238負責(zé)產(chǎn)生從策略執(zhí)行裝置202收集的數(shù)據(jù)的各種報告以便監(jiān)控各種情況。使用監(jiān)控數(shù)據(jù)來產(chǎn)生報告，產(chǎn)生所述監(jiān)控數(shù)據(jù)以便檢查服務(wù)管理系統(tǒng)的情況。用戶或所述用戶的直接服務(wù)提供商可以使用所產(chǎn)生的報告來分析規(guī)則的執(zhí)行、安全性破壞、安全性破壞的頻率和其它這樣的情況。報告管理器238通過用戶可見度過濾器234將所產(chǎn)生的報告發(fā)送給適當(dāng)?shù)挠脩簟?br> 用戶能夠以聚合的方式產(chǎn)生包含關(guān)于其自身及其直接用戶的數(shù)據(jù)的報告。舉例而言，圖1中RSP 102產(chǎn)生一個報告。所述報告將以累積的方式具有關(guān)于RSP 102以及用戶TSP1 104、TSP2 106和EC1 108的數(shù)據(jù)。RSP 102將不能夠區(qū)分TSP3 110、EC2 112和TSP4 114的數(shù)據(jù)。當(dāng)RSP 102產(chǎn)生報告時，TSP3 110、EC2 112和TSP4 114的數(shù)據(jù)將被聚合為TSP1 104數(shù)據(jù)。
以分層方式(hierarchical manner)執(zhí)行策略。用戶可在其策略內(nèi)建立更多的規(guī)則，只要這些規(guī)則不和RSP所給的規(guī)則沖突即可。用戶層級中RSP或TSP所執(zhí)行的規(guī)則可以是可超越規(guī)則(overridable rule)或非可超越規(guī)則(non-overridable rule)可超越規(guī)則(overridable rule)?？沙揭?guī)則(overridablerule)是可以被用戶超越的規(guī)則。這些規(guī)則的優(yōu)點在于用戶層級中的RSP或TSP可以賦予用戶層級中在其之下的用戶一組普遍的廣泛已知的規(guī)則，并且必要時用戶可以改變它們。非可超越規(guī)則(non-overridable rule)可超越規(guī)則(overridable rule)是優(yōu)先權(quán)在用戶所定義的規(guī)則之上的規(guī)則。如果用戶定義了一個規(guī)則，那么賦予它的優(yōu)先權(quán)低于非可超越規(guī)則(non-overridable rule)可超越規(guī)則(overridable rule)并高于在其之上的服務(wù)提供商所定義的可超越規(guī)則(overridable rule)。如果網(wǎng)絡(luò)通信流和多個規(guī)則匹配，那么執(zhí)行具有最高優(yōu)先權(quán)的一個規(guī)則。因此，如果網(wǎng)絡(luò)通信流和一非可超越規(guī)則(non-overridable rule)可超越規(guī)則(overridable rule)以及用戶規(guī)則匹配，那么對所述流執(zhí)行所述非可超越規(guī)則(non-overridable rule)可超越規(guī)則(overridable rule)，因為它的優(yōu)先權(quán)高于用戶規(guī)則。
圖3a和圖3b展示一說明用戶在分層服務(wù)管理系統(tǒng)中建立規(guī)則的流程圖。
在步驟302處，用戶C1建立一個規(guī)則PR1，并通過用戶接口206將其保存。用戶C1可以是一RSP、一TSP或一終端用戶。
在步驟304處，所述規(guī)則被UI處理器208接收到并被傳到訪問權(quán)執(zhí)行器210進行訪問權(quán)檢查。
在步驟306處，訪問權(quán)執(zhí)行器210判定用戶C1和用戶層級中在其之上的服務(wù)提供商是否具有建立規(guī)則PR1的權(quán)限。
如果用戶C1或用戶層級中在其之上的任一用戶不具有建立規(guī)則PR1的權(quán)限，那么在步驟308處丟棄所述規(guī)則，并且因此用戶試圖建立所述規(guī)則失敗。否則，如果用戶C1和用戶層級中在其之上的所有用戶都具有建立規(guī)則PR1的權(quán)限，那么在步驟310處將用戶C1從用戶層級中在其之上的服務(wù)提供商處繼承的所有規(guī)則從數(shù)據(jù)庫204裝載到策略裝載器222上。將所述規(guī)則以加密的形式存儲在數(shù)據(jù)庫204中。因此數(shù)據(jù)解密器216將所述規(guī)則解密并且隨后將其裝載到策略裝載器222上。
在步驟312處，賦予規(guī)則PR1與策略檢驗器224所繼承的規(guī)則相比較的優(yōu)先權(quán)。賦予規(guī)則PR1的優(yōu)先權(quán)低于所繼承的非可超越規(guī)則(non-overridablerule)可超越規(guī)則(overridable rule)并高于所繼承的可超越規(guī)則(overridablerule)。在策略執(zhí)行裝置202執(zhí)行的規(guī)則匹配中，賦予具有較高優(yōu)先權(quán)的規(guī)則比具有較低優(yōu)先權(quán)的規(guī)則優(yōu)先的選擇。一旦網(wǎng)絡(luò)通信流和對所述網(wǎng)絡(luò)通信執(zhí)行的規(guī)則以外的一個規(guī)則匹配，那么更多的規(guī)則不匹配。舉例而言，如果網(wǎng)絡(luò)通信流與一非可超越規(guī)則(non-overridable rule)可超越規(guī)則(overridablerule)和PR1匹配，那么非可超越規(guī)則(non-overridable rule)可超越規(guī)則(overridable rule)由于其具有較高優(yōu)先權(quán)而對于數(shù)據(jù)流是有效的。
在步驟314處，策略存儲器228經(jīng)過數(shù)據(jù)加密器216而將規(guī)則PR1存儲在數(shù)據(jù)庫204中。以確保用戶隔離的格式將數(shù)據(jù)加密。
在步驟316處，策略編譯器226以適合下載到策略執(zhí)行裝置202的格式產(chǎn)生所述規(guī)則。
在步驟318處，下載模塊230將在用戶C1和用戶層級中在用戶C1之下的用戶上實施的規(guī)則下載到策略執(zhí)行裝置202上。
圖4a和圖4b展示描述以分層方式(hierarchical manner)執(zhí)行的策略表。表1展示RSP 102為EC1 108所建立的規(guī)則，表2展示EC1 108的規(guī)則。表中的行代表規(guī)則，而列代表關(guān)于所述規(guī)則的信息。表1和表2中的“來源”和“目的地”欄表示關(guān)于網(wǎng)絡(luò)通信的來源和目的地網(wǎng)際協(xié)議(IP)地址。“應(yīng)用”欄表示應(yīng)用的類型，“方向”欄表示網(wǎng)絡(luò)通信流的方向，并且“時間”欄表示所述規(guī)則可適用的時間?！癋W行為”欄表示關(guān)于所述規(guī)則的防火墻行為，“繼承自”欄表示從哪個服務(wù)提供商處繼承所述規(guī)則。表2中，規(guī)則3和4是將EC1 108加到由RSP 102所制定的規(guī)則中的規(guī)則。因為規(guī)則3和RSP 102所給的規(guī)則1相抵觸并且是較低優(yōu)先權(quán)的規(guī)則，所以它是無效的。因為規(guī)則4不和RSP 102所給的任何規(guī)則沖突，所以它是有效的，且因此對其執(zhí)行這個規(guī)則的網(wǎng)絡(luò)通信將規(guī)則4作為最高優(yōu)先權(quán)匹配的規(guī)則。
為了在網(wǎng)絡(luò)中檢測警報情況，當(dāng)網(wǎng)絡(luò)通信流和一預(yù)定規(guī)則匹配時，策略執(zhí)行裝置202產(chǎn)生警報。當(dāng)網(wǎng)絡(luò)通信流和一預(yù)定規(guī)則匹配時的警報產(chǎn)生可用于檢測系統(tǒng)中如安全性破壞的情形。圖5是說明當(dāng)網(wǎng)絡(luò)通信流和一預(yù)定規(guī)則匹配時警報的運行的流程圖。
在步驟502處，由于網(wǎng)絡(luò)通信和一預(yù)定規(guī)則匹配，所以策略執(zhí)行裝置202產(chǎn)生警報，所述預(yù)定規(guī)則由一具有訪問權(quán)來建立這樣一個規(guī)則的服務(wù)提供商提供。
在步驟504處，警報管理器236搜索在策略執(zhí)行裝置202中產(chǎn)生警報的規(guī)則。
在步驟506處，判定所述規(guī)則是否存在。如果在數(shù)據(jù)庫204中沒有找到所述規(guī)則，那么表示出錯并且在步驟508處丟棄所述警報。
在步驟510處，由于在服務(wù)管理系統(tǒng)200和策略執(zhí)行裝置202中的規(guī)則之間存在失配，所以在策略執(zhí)行裝置202上更新規(guī)則列表。
在步驟512處，如果在策略執(zhí)行裝置202上的規(guī)則列表中找到所述規(guī)則，那么在策略執(zhí)行裝置202上的用戶列表中搜索所述規(guī)則所屬于的用戶。
在步驟514處，警報管理器236判定所述用戶是否存在。如果沒有找到所述用戶，那么表示出錯并且在步驟516處丟棄所述警報。
在步驟518處，由于在服務(wù)管理系統(tǒng)200和策略執(zhí)行裝置202中的規(guī)則之間存在失配，所以在策略執(zhí)行裝置202上更新用戶列表。
在步驟520處，如果在策略執(zhí)行裝置202上的用戶列表中找到所述用戶，那么通過用戶可見度過濾器234將警報發(fā)送給這個用戶和這個用戶的服務(wù)提供商，通知所述規(guī)則匹配。
如果在資源配置的時候存在資源違反(resource violation)，那么也產(chǎn)生警報。
用戶的直接服務(wù)提供商控制用戶的資源。將所述資源進行分層分配且服務(wù)提供商分配給用戶的資源總量不應(yīng)該超過所述服務(wù)提供商所接收到的資源。舉例而言，圖1中TSP1 104分配給TSP3 110、EC2 112和TSP4 114的資源總量不應(yīng)該超過RSP 102分配給TSP1 104的資源。
圖6是說明對用戶的資源分配的流程圖。
在步驟602處，服務(wù)提供商SP1通過用戶接口206來建立一具有屬性V1、V2、…、Vn的資源R1。
在步驟604處，服務(wù)提供商SP1通過資源管理器212將資源R1連接到其直接用戶SP2上。
在步驟606處，服務(wù)提供商SP2建立一資源R2，其從資源R1繼承。
在步驟608處，服務(wù)提供商將資源R2連接到其直接用戶EC1、EC2、…、ECn上。
在步驟610處，資源檢查器218進行檢查以便判定服務(wù)提供商SP2分配給其直接用戶的資源總量是否大于服務(wù)提供商SP1分配給服務(wù)提供商SP2的資源R1。當(dāng)檢查所述資源時，檢查它的每個屬性值∑V1[R2]*用戶數(shù)目＞∑V1[R1]和∑V2[R2]*用戶數(shù)目＞∑V2[R1]和∑Vn[R2]*用戶數(shù)目＞∑Vn[R1]在步驟612處，如果服務(wù)提供商SP2分配給其直接用戶的資源總量大于服務(wù)提供商SP1分配給服務(wù)提供商SP2的資源，那么拒絕到服務(wù)提供商SP2的用戶的資源連接。否則，如果服務(wù)提供商SP2分配給其直接用戶的資源總量少于或等于服務(wù)提供商SP1分配給服務(wù)提供商SP2的資源，那么在步驟614處允許到終端用戶EC1的資源連接。
在步驟616處，資源存儲器220在數(shù)據(jù)庫204上產(chǎn)生用于終端用戶EC1的資源列表。
必要時服務(wù)提供商可以改變分配給用戶的資源。圖7展示一說明分配給用戶的資源的變化的流程圖。
在步驟702處，服務(wù)提供商SP1改變資源R1的屬性值，所述資源R1已與一個或一個以上其直接用戶連接。
在步驟704處，資源管理器212判定資源R1是否已增大。如果資源R1的值沒有增大，那么在步驟706處資源檢查器218判定分配給服務(wù)提供商SP(它是SP1的一個用戶)的用戶的資源總量是否大于資源R1的值。
如果所述資源總量不大于資源R1的值，那么在步驟708處更新數(shù)據(jù)庫204上的資源列表。否則，如果所述資源總量大于資源R1的值，那么在步驟710處使資源R1的繼承資源無效并產(chǎn)生警報。隨后在步驟712處，判定服務(wù)提供商SP的用戶是否具有更多的使用資源R1的繼承資源的用戶。如果是這樣，那么對它們重復(fù)步驟706、708、710和712。
返回參看步驟704，如果資源R1的值有變化，那么在步驟714處資源檢查器218判定先前是否從資源R1處繼承了任何無效資源。如果沒有從資源R1處繼承無效資源，那么在步驟708處更新數(shù)據(jù)庫204上的資源列表。否則，在步驟716處資源檢查器218判定分配給用戶的資源總量是否大于資源R1的值。
如果分配給用戶的資源總量大于資源R1的值，那么在步驟718處使所述資源保持無效并產(chǎn)生警報。否則，在步驟720處使資源R1的繼承資源成為有效的。
隨后，在步驟722處更新數(shù)據(jù)庫204上的資源列表。
可將本發(fā)明中所描述的系統(tǒng)或任一其組件以處理機器的形式體現(xiàn)。處理機器的典型實例包括通用計算機、可編程微處理器、微控制器、外圍集成電路元件、和能夠?qū)嵤┙M成本發(fā)明方法的步驟的其它裝置或設(shè)備。
所述處理機器執(zhí)行一組存儲于一個或一個以上存儲元件中的指令以便處理輸入數(shù)據(jù)。所述存儲元件也可視需要保存數(shù)據(jù)或其它信息。所述存儲元件可以是存在于所述處理機器中的數(shù)據(jù)庫或物理存儲器元件的形式。
這組指令可包括指示處理機器執(zhí)行特定任務(wù)(如，組成本發(fā)明的方法的步驟)的各種指令。這組指令可以是程序或軟件的形式。軟件可以是各種形式，如系統(tǒng)軟件或應(yīng)用軟件。此外，軟件可以是以下形式獨立程序的集合、具有一較大程序的程序模塊、或程序模塊的一部分。軟件也可以包括以面向?qū)ο蟮某绦蛟O(shè)計為形式的模塊化程序設(shè)計。處理機器對輸入數(shù)據(jù)的處理可能是響應(yīng)用戶命令，或者是響應(yīng)先前處理的結(jié)果或響應(yīng)另一處理機器所做出的請求。
所屬領(lǐng)域的技術(shù)人員可以了解各種處理機器和/或存儲元件不必在物理上位于相同地理位置。所述處理機器和/或存儲元件可位于不同地理位置且彼此連接以便能夠進行通信?？衫酶鞣N通信技術(shù)使得能夠?qū)崿F(xiàn)處理機器和/或存儲元件之間的通信。所述技術(shù)包括處理機器和/或存儲元件之間網(wǎng)絡(luò)形式的會話。所述網(wǎng)絡(luò)可以是內(nèi)部網(wǎng)、外部網(wǎng)、國際互聯(lián)網(wǎng)或能夠進行通信的任一客戶服務(wù)器模型。所述通信技術(shù)可使用各種協(xié)議，如TCP/IP、UDP、ATM或OSI。
盡管已說明并描述了本發(fā)明的優(yōu)選實施例，但是顯然本發(fā)明不僅僅限于這些實施例。所屬領(lǐng)域的技術(shù)人員將易了解許多修改、改變、變化、代替和等價物而不會脫離權(quán)利要求書中所描述的本發(fā)明的精神和范疇。
權(quán)利要求
1.一種用于以分層方式管理根服務(wù)提供商RSP的一個或一個以上用戶的方法，其特征在于，所述方法包括以下步驟a.在所述RSP之下建立一用戶層級，所述用戶包含一個或一個以上分層服務(wù)提供商TSP和一個或一個以上終端用戶；b.向每個TSP和每個終端用戶分配一個或一個以上資源，該分配步驟由所述RSP進行，該分配步驟對直接用戶進行，每個TSP又將資源分配給在其之下的TSP和終端用戶；c.所述RSP在每個TSP和每個終端用戶上實施一個或一個以上策略，該實施步驟在所述直接用戶上進行，所述TSP又對在其之下的TSP和終端用戶上實施所述策略，所述策略是一組規(guī)則；d.對每個用戶判定資源違反；和e.判定網(wǎng)絡(luò)通信流與一屬于一個或一個以上用戶的預(yù)定規(guī)則的規(guī)則匹配，所述預(yù)定規(guī)則由所述用戶或所述用戶層級中在所述用戶之上的TSP或RSP定義。
2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述方法進一步包括以一預(yù)定格式產(chǎn)生一報告，所述報告由所述用戶層級中的一用戶產(chǎn)生。
3.根據(jù)權(quán)利要求1所述的方法，其特征在于，TSP可在其之下進一步建立一個或一個以上TSP和一個或一個以上終端用戶。
4.根據(jù)權(quán)利要求1所述的方法，其特征在于，對每個TSP和每個終端用戶判定資源違反的步驟包括a.檢查資源違反，所述檢查在每個TSP和每個終端用戶上進行；b.如果一用戶存在資源違反，那么產(chǎn)生一警報；和c.將所述警報傳播給這個用戶和這個用戶的服務(wù)提供商。
5.根據(jù)權(quán)利要求1所述的方法，其特征在于，判定網(wǎng)絡(luò)通信流的規(guī)則匹配的步驟包括a.檢查網(wǎng)絡(luò)通信流與一屬于一個或一個以上用戶的預(yù)定規(guī)則的規(guī)則匹配，所述檢查在每個TSP和每個終端用戶上進行；b.如果對于一用戶存在規(guī)則匹配，那么產(chǎn)生一警報；和c.將所述警報傳播給這個用戶和這個用戶的服務(wù)提供商。
6.根據(jù)權(quán)利要求1所述的方法，其特征在于，該在所述RSP之下建立所述用戶層級的步驟是基于每個用戶和直接TSP或RSP之間的協(xié)議而進行的。
7.根據(jù)權(quán)利要求1所述的方法，其特征在于，該在所述RSP之下建立所述用戶層級的步驟包括提供用戶隔離的步驟。
8.根據(jù)權(quán)利要求1所述的方法，其特征在于，該在所述RSP之下建立所述用戶層級的步驟包括提供一預(yù)定用戶可見度的步驟。
9.根據(jù)權(quán)利要求1所述的方法，其特征在于，該在所述TSP和所述終端用戶上實施策略的步驟是以一預(yù)定分層方式進行的。
10.根據(jù)權(quán)利要求1所述的方法，其特征在于，該向所述TSP和所述終端用戶分配資源的步驟使得分層地分配所述資源。
11.根據(jù)權(quán)利要求9所述的方法，其特征在于，所述策略由所述用戶層級中下面的用戶繼承。
12.根據(jù)權(quán)利要求9所述的方法，其特征在于，所述策略中的規(guī)則包含可超越規(guī)則和非可超越規(guī)則可超越規(guī)則。
13.一種用于以一分層方式管理根服務(wù)提供商RSP的一個或一個以上用戶的服務(wù)管理系統(tǒng)，所述用戶是分層服務(wù)提供商TSP和終端用戶，其特征在于，所述系統(tǒng)包括a.一用于向每個TSP和每個終端用戶分配一個或一個以上資源的資源管理器，該分配步驟對直接用戶進行，每個TSP又將資源分配給在其之下的TSP和終端用戶；b.一用于在每個TSP和每個終端用戶上實施一個或一個以上策略的策略執(zhí)行裝置，該實施步驟在所述直接用戶上進行，所述TSP又對在其之下的TSP和終端用戶上實施所述策略，所述策略是一組規(guī)則，所述策略執(zhí)行裝置檢測一用戶的資源違反，所述策略執(zhí)行裝置檢測網(wǎng)絡(luò)通信流與一屬于一個或一個以上用戶的預(yù)定規(guī)則的規(guī)則匹配，所述預(yù)定規(guī)則由所述用戶或所述用戶層級中在所述用戶之上的TSP或RSP定義；和c.一用于在存在資源違反(或規(guī)則匹配時觸發(fā)一警報的警報管理器，所述警報被發(fā)送給這個用戶和這個用戶的直接服務(wù)提供商。
14.根據(jù)權(quán)利要求13所述的系統(tǒng)，其特征在于，所述系統(tǒng)還包括一用于建立規(guī)則并將這些規(guī)則裝載到所述策略執(zhí)行裝置上的策略處理器。
15.根據(jù)權(quán)利要求13所述的系統(tǒng)，其特征在于，所述系統(tǒng)還包括一用于以一預(yù)定格式產(chǎn)生一報告的報告管理器，所述報告由所述用戶層級中的一用戶產(chǎn)生。
16.一種用在一計算機上的計算機程序模塊，其特征在于，所述計算機程序模塊包含一計算機可用媒體，其中包括一計算機可讀程序代碼以便以一分層方式管理根服務(wù)提供商RSP的一個或一個以上用戶，所述用戶是分層服務(wù)提供商TSP和終端用戶，所述計算機程序代碼執(zhí)行以下步驟a.向每個TSP和每個終端用戶分配一個或一個以上資源，該分配步驟由所述RSP進行，該分配步驟對直接用戶進行，每個TSP又將資源分配給在其之下的TSP和終端用戶；b.所述RSP在每個TSP和每個終端用戶上實施一個或一個以上策略，該實施步驟在所述直接用戶上進行，所述TSP又對在其之下的TSP和終端用戶上實施所述策略，所述策略是一組規(guī)則；c.對每個用戶判定資源違反；和d.判定網(wǎng)絡(luò)通信流與一屬于一個或一個以上用戶的預(yù)定規(guī)則的規(guī)則匹配，所述預(yù)定規(guī)則由所述用戶或所述用戶層級中在所述用戶之上的TSP或RSP定義。
17.根據(jù)權(quán)利要求16所述的計算機程序模塊，其特征在于，所述計算機程序代碼還執(zhí)行以一預(yù)定格式產(chǎn)生一報告的步驟，所述報告由所述用戶層級中的一用戶產(chǎn)生。
18.一種用于以一分層方式管理根服務(wù)提供商RSP的一個或一個以上用戶的方法，其特征在于，所述方法包括以下步驟a.在所述RSP之下建立一用戶層級，所述用戶層級包含一個或一個以上分層服務(wù)提供商TSP和一個或一個以上終端用戶；b.向每個TSP和每個終端用戶分配一個或一個以上資源，該分配步驟由所述RSP進行，該分配步驟對直接用戶進行，所述TSP又將資源分配給在其之下的TSP和終端用戶；c.所述RSP在每個TSP和每個終端用戶上實施策略，該實施步驟在所述直接用戶上進行，所述TSP又對在其之下的TSP和終端用戶上實施策略，所述策略是一組規(guī)則；d.對所述用戶判定資源違反，其中判定步驟包括i.通過每個TSP和每個終端用戶檢查資源違反；ii.如果一用戶存在資源違反，那么產(chǎn)生一警報；和iii.將所述警報傳播給這個用戶和這個用戶的服務(wù)提供商；和e.判定網(wǎng)絡(luò)通信流與一預(yù)定規(guī)則的規(guī)則匹配，其中判定的步驟包括i.檢查所述網(wǎng)絡(luò)通信流與一屬于一個或一個以上用戶的預(yù)定規(guī)則的規(guī)則匹配，其中所述預(yù)定規(guī)則由所述用戶或所述用戶層級中在所述用戶之上的TSP或RSP定義；ii.如果找到規(guī)則匹配，那么產(chǎn)生一警報；和iii.將所述警報傳播給這個用戶和這個用戶的服務(wù)提供商。
19.一種用于以一分層方式管理根服務(wù)提供商RSP的一個或一個以上用戶的服務(wù)管理系統(tǒng)，所述用戶是分層服務(wù)提供商TSP和終端用戶，其特征在于，所述系統(tǒng)包括a.一用于向每個TSP和每個終端用戶分配一個或一個以上資源的資源管理器，該分配步驟對直接用戶進行，每個TSP又將資源分配給在其之下的TSP和終端用戶；b.一用于在每個TSP和每個終端用戶上實施一個或一個以上策略的策略執(zhí)行裝置，該實施步驟在所述直接用戶上進行，所述TSP又對在其之下的TSP和終端用戶上實施所述策略，所述策略是一組規(guī)則，所述策略執(zhí)行裝置檢測一用戶的資源違反，所述策略執(zhí)行裝置檢測網(wǎng)絡(luò)通信流與一屬于一個或一個以上用戶的預(yù)定規(guī)則的規(guī)則匹配，其中所述預(yù)定規(guī)則由所述用戶或所述用戶層級中在所述用戶之上的TSP或RSP定義；c.一用于通過一用戶建立規(guī)則并將這些規(guī)則裝載到所述策略執(zhí)行裝置上的策略處理器；d.一用于在存在資源違反或規(guī)則匹配時觸發(fā)一警報的警報管理器，所述警報被發(fā)送給這個用戶和這個用戶的直接服務(wù)提供商；和e.一用于以一預(yù)定格式產(chǎn)生一報告的報告管理器，所述報告由所述用戶層級中的一用戶產(chǎn)生。
全文摘要
本發(fā)明提供一種用于以分層方式管理用戶的系統(tǒng)、方法和計算機程序模塊。這個用戶層級包含根服務(wù)提供商、分層服務(wù)提供商和終端用戶。本發(fā)明通過提供使得較小服務(wù)提供商成為用戶的能力并管理其資源而使較大服務(wù)提供商能夠控制用戶。所述較小服務(wù)提供商又可擁有其自己的用戶。所述較小服務(wù)提供商控制這些用戶而不受層級中在其之上的服務(wù)提供商的干擾。通過策略來控制用戶。策略是服務(wù)提供商制定用以控制用戶的一組規(guī)則。本發(fā)明也能夠使得服務(wù)提供商對不同用戶實施不同策略并且對一個用戶改變策略而不影響其它用戶。
文檔編號G06F15/16GK1910567SQ200480011104
公開日2007年2月7日 申請日期2004年4月19日 優(yōu)先權(quán)日2003年4月25日
發(fā)明者潘卡·帕雷克, 山迪·古波塔, 威杰·曼塔尼, 奧塔·杰, 山杰·庫馬·愛卡惟 申請人:艾珀利斯網(wǎng)絡(luò)公司