專利名稱：基于資源屬性控制資源訪問的制作方法
基于資源屬性控制資源訪問背景在典型的企業(yè)環(huán)境中，維護(hù)和處理的數(shù)據(jù)量是巨大的，并迅速地增長。信息技術(shù)(IT)部門必須處理數(shù)十種格式的數(shù)百萬或者甚至數(shù)十億的文件。此外，現(xiàn)有的數(shù)量往往以相當(dāng)大的速率增長(例如，每年兩位數(shù)的增長)。對(duì)于這樣的數(shù)據(jù)大小和增長，IT部門需要考慮多個(gè)復(fù)雜的場(chǎng)景，包括關(guān)于順從性、安全性和存儲(chǔ)。對(duì)于非結(jié)構(gòu)化數(shù)據(jù)(例如，文件)、半結(jié)構(gòu)化數(shù)據(jù)(例如，帶有屬性儲(chǔ)存庫的文件)以及結(jié)構(gòu)化數(shù)據(jù)(例如，數(shù)據(jù)庫)，這些場(chǎng)景是相關(guān)的。這些數(shù)據(jù)通常沒有被積極地管理，并且以非結(jié)構(gòu)化形式保存在文件共享中。為管理對(duì)諸如文件等資源(對(duì)象)的訪問，當(dāng)前安全模型是基于對(duì)該對(duì)象具有訪問 控制策略，該訪問控制策略允許合法用戶具有訪問權(quán)而限制未授權(quán)用戶的訪問。然而，除了經(jīng)由包含數(shù)據(jù)的資源上的訪問控制列表(ACL)、基于業(yè)務(wù)策略來保護(hù)訪問以外，企業(yè)還尋求基于內(nèi)容敏感性來保護(hù)數(shù)據(jù)。作為示例，考慮這樣的文件，該文件帶有對(duì)安全小組中幾百個(gè)用戶授予讀訪問的安全策略。如果文件內(nèi)容有時(shí)被無意地更新使得文件暴露顧客記錄數(shù)據(jù)，則公司可能不再想向整個(gè)安全小組提供這樣的訪問。然而，沒有用于檢測(cè)內(nèi)容改變并隨后修訂安全策略的自動(dòng)機(jī)制。文件中已改變的內(nèi)容可能具有公司希望如何處理數(shù)據(jù)的其他暗示。例如，公司可能想要內(nèi)容中的以下改變添加敏感性數(shù)據(jù)以更改可如何發(fā)布數(shù)據(jù)，諸如以便防止包含該數(shù)據(jù)的文件被附在電子郵件中、或以明文復(fù)制到便攜式存儲(chǔ)設(shè)備(例如USB設(shè)備)上。使用現(xiàn)有安全模型來防止對(duì)作為已改變內(nèi)容的結(jié)果進(jìn)行訪問和/或發(fā)布是不可能的。這導(dǎo)致非預(yù)期的信息泄露和數(shù)據(jù)的內(nèi)部破壞，且這是多個(gè)企業(yè)等(包括在受管制工業(yè)中以及公共部門中)面臨的重大問題。概述提供本概述以便以簡(jiǎn)化形式介紹將在以下的詳細(xì)描述中進(jìn)一步描述的一些代表性概念。本概述不旨在標(biāo)識(shí)出所要求保護(hù)的主題的關(guān)鍵特征或必要特征，也不旨在以限制所要求保護(hù)的主題的范圍的任何方式來使用。簡(jiǎn)言之，本文描述的主題的各方面涉及以下技術(shù)基于策略來確定對(duì)資源的訪問，該策略用于針對(duì)與該資源的訪問請(qǐng)求相關(guān)聯(lián)的用戶聲明來評(píng)估與該資源相關(guān)聯(lián)的資源標(biāo)簽。在一個(gè)實(shí)現(xiàn)中，該策略從該資源解耦，且與該資源分開地/獨(dú)立地維護(hù)，從而提供將同一策略應(yīng)用于多個(gè)資源的方式。資源可以是文件，且資源標(biāo)簽可通過將該文件分類成分類屬性來獲取。以此方式，例如，對(duì)該文件的內(nèi)容改變導(dǎo)致重新分類，該重新分類可改變其資源標(biāo)簽，由此根據(jù)其相應(yīng)的一個(gè)或多個(gè)用戶聲明來改變哪些用戶可訪問該文件。該訪問可從策略中確定，該策略可僅基于資源標(biāo)簽對(duì)比用戶聲明評(píng)估、或結(jié)合一個(gè)或多個(gè)其他評(píng)估結(jié)果來指定訪問。例如，訪問控制列表對(duì)比用戶令牌評(píng)估可被進(jìn)一步用于確定是授予還是拒絕訪問。由此，例如，策略可指定用戶是用戶小組的成員(基于ACL的評(píng)估)而且具有對(duì)比資源敏感級(jí)的足夠許可級(jí)(基于資源標(biāo)簽的評(píng)估)來獲取訪問。在另一示例中，策略可指定用戶或是用戶小組的成員(基于ACL的評(píng)估)或是被標(biāo)識(shí)為特定項(xiàng)目的成員(基于資源標(biāo)簽的評(píng)估)來獲取訪問。結(jié)合附圖
閱讀以下詳細(xì)描述，本發(fā)明的其他優(yōu)點(diǎn)會(huì)變得顯而易見。附圖簡(jiǎn)述作為示例而非限制，在附圖中示出了本發(fā)明，附圖中相同的附圖標(biāo)記指示相同或相似的元素，附圖中圖I是表示用于基于資源標(biāo)簽對(duì)比用戶聲明來控制資源訪問的計(jì)算環(huán)境中的示例組件的框圖。圖2是表示在授予對(duì)資源的訪問中可由安全授權(quán)機(jī)構(gòu)采取的步驟的流程圖。圖3示出了可以將本發(fā)明的各個(gè)方面集成到其中的計(jì)算環(huán)境的說明性示例。詳細(xì)描述本文描述的技術(shù)的各方面通常涉及基于通過對(duì)資源進(jìn)行分類所獲取的分類屬性集(一個(gè)或多個(gè)分類屬性)來將訪問策略應(yīng)用于該資源。這是基于通過處理該資源的當(dāng)前內(nèi)容來獲取分類屬性集的至少一部分。與資源相關(guān)聯(lián)的、用于確定對(duì)該資源的訪問的分類屬性被稱為資源標(biāo)簽。如下文描述的，請(qǐng)求訪問該資源的實(shí)體提供了針對(duì)該資源標(biāo)簽(或多個(gè)資源標(biāo)簽)所評(píng)估的一個(gè)或多個(gè)用戶聲明，以便確定是授予還是拒絕與訪問有關(guān)的操作。由此，例如，如果文件的內(nèi)容改變，則該文件被重新分類，借此其資源可對(duì)改變加標(biāo)簽，由此防止對(duì)已改變的資源標(biāo)簽不具有一個(gè)或多個(gè)適當(dāng)?shù)挠脩袈暶鞯挠脩暨M(jìn)行訪問。作為更具體的一個(gè)示例，如果文件改變了使得現(xiàn)在該文件包含敏感數(shù)據(jù)，則該文件被重新分類，從而產(chǎn)生經(jīng)修改的資源標(biāo)簽，該經(jīng)修改的資源標(biāo)簽防止那些不具備允許其訪問這類敏感數(shù)據(jù)的用戶聲明的用戶進(jìn)行訪問。應(yīng)當(dāng)理解，此處的任何示例均是非限制性的。實(shí)際上，為說明起見，本文一般描述了對(duì)形式為文件的資源的訪問，但是文件僅僅是資源的一種類型；其他資源可包括任何數(shù)據(jù)集以及物理實(shí)體和/或虛擬實(shí)體，其中數(shù)據(jù)集諸如文件的諸部分、數(shù)據(jù)庫行和/或列等，物理實(shí)體諸如計(jì)算機(jī)和外圍設(shè)備，虛擬實(shí)體諸如應(yīng)用角色。因此，本發(fā)明不限于在此描述的任何具體的實(shí)施例、方面、概念、結(jié)構(gòu)、功能或示例。相反，在此所描述的實(shí)施例、方面、概念、結(jié)構(gòu)、功能或示例中的任何一個(gè)都是非限制性的，并且本發(fā)明可以按一般在計(jì)算和資源訪問中提供益處和優(yōu)點(diǎn)的各種方式來使用。圖I示出示例計(jì)算環(huán)境，其中當(dāng)前與訪問控制列表(ACL)104相關(guān)聯(lián)的資源102由分類器106分類，以獲取包括至少一個(gè)資源標(biāo)簽108的分類屬性集。注意，分類可導(dǎo)致獲取包含與該資源相關(guān)聯(lián)的許多分類屬性的屬性集，且該屬性集可包括不止一個(gè)資源標(biāo)簽，然而，出于簡(jiǎn)明/解釋的目的，圖I中僅示出一個(gè)資源標(biāo)簽。對(duì)于文件資源，資源和ACL被維持在存儲(chǔ)110中，該存儲(chǔ)110也可用于高速緩沖包括資源標(biāo)簽108的分類屬性。可包括處理數(shù)據(jù)項(xiàng)內(nèi)容的分類在第12/427，755號(hào)美國專利申請(qǐng)中進(jìn)一步描述， 該專利申請(qǐng)通過引用被結(jié)合于此。該技術(shù)在微軟公司的Windmvs:_R::Server2008 R2中實(shí)現(xiàn)為文件分類基礎(chǔ)結(jié)構(gòu)(FCI)，并且可以用作文件服務(wù)器資源管理器(FSRM)服務(wù)器角色的一部分，所述文件分類基礎(chǔ)結(jié)構(gòu)用于定義分類屬性并將其分配給文件，并且指定動(dòng)作以應(yīng)用于文件服務(wù)器上的文件。
資源標(biāo)簽108以某一方式與資源相關(guān)聯(lián)，所述方式例如通過根據(jù)某些規(guī)則將資源標(biāo)簽自動(dòng)分配給文檔的聲明性分類規(guī)則、通過指向分類屬性的高速緩存的參考指針、和/或通過將資源標(biāo)簽存儲(chǔ)在文件資源的替代數(shù)據(jù)流中，如在通過引用被結(jié)合于此的第12/605,451號(hào)、題為“用于文件分類的替代數(shù)據(jù)流高速緩存(Alternate Data StreamCache for File Classification)”的美國專利申請(qǐng)中描述的。注意,資源標(biāo)簽可從分類規(guī)則中推斷出來，而不必被存儲(chǔ)。一般而言，資源標(biāo)簽108包含可 以與用戶聲明聯(lián)合用來應(yīng)用策略的信息。然而，經(jīng)高速緩存的資源標(biāo)簽可能是過時(shí)的或以其他方式無效的。例如，存在許多經(jīng)高速緩存的資源標(biāo)簽可以是過時(shí)的方式，包括如果文件被修改或移動(dòng)(從而使屬性不適用)；由此，這包括內(nèi)容改變，和/或如果文件被重命名或移動(dòng)到文件系統(tǒng)內(nèi)的另一位置(這可能導(dǎo)致基于新位置的分類改變)。經(jīng)高速緩存的資源標(biāo)簽變?yōu)闊o效的另一種方式是如果在先前分類中使用的分類規(guī)則(在上述第12/427，755號(hào)美國專利申請(qǐng)中描述的)已經(jīng)被修改，和/或如果確定分類的模塊的內(nèi)部狀態(tài)或配置被修改。例如，即使分類規(guī)則未改變，組合兩個(gè)或更多分類規(guī)則的順序和/或方式也可能改變，任何這樣的狀態(tài)改變可能導(dǎo)致不同的文件屬性分類結(jié)果，并因此導(dǎo)致無效的經(jīng)高速緩存的資源標(biāo)簽。因此，在相對(duì)于用戶聲明評(píng)估資源標(biāo)簽以前，檢驗(yàn)高速緩存資源標(biāo)簽的有效性和最新狀態(tài)以確定是否需要重新分類。如果是，則執(zhí)行重新分類，如在上述美國專利申請(qǐng)中描述的。注意到可以檢驗(yàn)經(jīng)高速緩存的屬性集中的部分或全部的有效性，和/或可以重新分類資源的部分或全部以更新經(jīng)高速緩存的屬性集。轉(zhuǎn)向資源標(biāo)簽知曉的安全模型對(duì)策略的應(yīng)用，當(dāng)對(duì)資源102的訪問請(qǐng)求112由安全授權(quán)引擎114 (例如，被構(gòu)建到操作系統(tǒng)中)接收到時(shí)，授權(quán)引擎114處理該請(qǐng)求以查看在訪問請(qǐng)求112中所標(biāo)識(shí)出的與訪問有關(guān)的操作是否被允許。在一個(gè)實(shí)現(xiàn)中，訪問請(qǐng)求112與常規(guī)訪問令牌116相關(guān)聯(lián)，該常規(guī)訪問令牌116可取決于一個(gè)或多個(gè)策略118針對(duì)資源的ACL 104而被評(píng)估。如已知的，常規(guī)的基于ACL的安全針對(duì)令牌116來比較資源的ACL。然而，基于ACL的策略基本上是靜態(tài)的，且不根據(jù)文檔中的內(nèi)容(例如，數(shù)據(jù)的敏感性)而改變。使外部代理監(jiān)視內(nèi)容改變并適當(dāng)?shù)馗淖傾CL是可能的，然而，這并不實(shí)際，因?yàn)檫@涉及相當(dāng)?shù)墓芾韽?fù)雜性；例如，這樣的代理在任何策略改變的情況下必須監(jiān)視并有可能改變成百/上千個(gè)文件的策略。作為對(duì)比，如本文描述的，資源標(biāo)簽108對(duì)比用戶聲明120的評(píng)估提供了文檔狀態(tài)(例如，其敏感性、文件所屬的項(xiàng)目等)與處理這些標(biāo)簽的策略118之間的分離。策略改變可集中地進(jìn)行，同時(shí)維護(hù)文件上的標(biāo)簽。 由此，如本文描述的，取決于該策略(或多個(gè)策略)118，可針對(duì)資源標(biāo)簽108來評(píng)估用戶聲明120 (基于資源的當(dāng)前狀態(tài))，以便確定與訪問有關(guān)的操作是否被允許。如圖I中所示，授權(quán)引擎114的策略評(píng)估機(jī)制122 (下文參考圖2所例示的)執(zhí)行安全檢查，該安全檢查可包括針對(duì)包括用戶聲明120的訪問令牌116來評(píng)估ACL 104和/或資源標(biāo)簽108。在這一示例中，策略評(píng)估機(jī)制122授予或拒絕訪問。出于完整性而在圖I中示出的是策略結(jié)合器124。一般而言，可能存在資源訪問的許多策略分量，諸如全局策略、域?qū)Ｓ貌呗?、局部策略、目錄策略等如跨組織定義的和/或由企業(yè)所有者定義的策略。如在策略應(yīng)用中一般公知的，諸如繼承、覆蓋、阻止等概念可用于建立對(duì)資源的組合的策略。然而，盡管各策略由此可以如所需的那樣復(fù)雜、如單個(gè)策略那樣少，但直接策略可與文描述的技術(shù)一起使用，例如，以便在訪問令牌/用戶聲明滿足資源標(biāo)簽和ACL的情況下授予訪問。同時(shí)，這樣的策略易于改變，因?yàn)樵摬呗耘c各個(gè)資源是分開的。在一個(gè)實(shí)現(xiàn)中，授權(quán)引擎114基于微軟公司的Windows 7增強(qiáng)的授權(quán)運(yùn)行時(shí)。Windows 7運(yùn)行時(shí)支持使用基于聲明(基于“名稱一值” 對(duì))的身份來指定復(fù)雜策略的條件表達(dá)式語目。 作為示例，以下策略(可被重寫成安全描述符定義語言，或稱SDDL)規(guī)定XYZ公司全職雇員可批準(zhǔn)小于10000 (美元)的核準(zhǔn)量(XA ; ; APPROVE ; ; ; W D ; (memb er_o f { SG_X YZ , SG_FTE }ANDApprovalAmount<10000)).作為如本文描述的、策略如何經(jīng)由標(biāo)簽和用戶聲明來應(yīng)用的一個(gè)示例，考慮這樣的公司，該公司希望允許在特定環(huán)境中(諸如主存文件的業(yè)務(wù)單元)被許可訪問敏感顧客數(shù)據(jù)的個(gè)人(由安全小組中的成員來表示)對(duì)帶有敏感顧客數(shù)據(jù)的文檔進(jìn)行讀訪問。這種類型的策略評(píng)估“必要性”而非“充分性”，因?yàn)橐鈭D是允許被許可的個(gè)人訪問該環(huán)境中的所有敏感顧客數(shù)據(jù)；相反，訪問只在當(dāng)業(yè)務(wù)需要這樣做時(shí)才被允許。這一充分性策略由根據(jù)文檔的業(yè)務(wù)需要所設(shè)置的ACL來指定。在受管制的工業(yè)中(諸如財(cái)務(wù)、醫(yī)療、公共部門等)政府管制需要或要求這類限制，以便防止泄露財(cái)務(wù)信息、顧客數(shù)據(jù)和業(yè)務(wù)關(guān)鍵數(shù)據(jù)。如上所述，使用當(dāng)前ACL模型的策略實(shí)施是不實(shí)際的。文本描述的技術(shù)實(shí)施策略而無需物理地將該策略附連到資源，由此使其非常有彈性、易于實(shí)施、且跨帶有業(yè)務(wù)敏感數(shù)據(jù)的一個(gè)或多個(gè)計(jì)算機(jī)集合來分布。繼續(xù)該示例公司希望基于資源標(biāo)簽來實(shí)施對(duì)特定用戶組的訪問，以便指定只有“SG_ClearedPrnl”小組成員可讀取帶有“customerData (顧客數(shù)據(jù))”聲明的文件，但在其他方面任何人(帶有用于資源ACL的其他方面的適當(dāng)令牌)可讀取不帶這類數(shù)據(jù)的文件，以下可被設(shè)置成該策略(XA;;GR;;;WD; (resource.Exists (customerData)ANDmember_of{SG_ClearedPrnl}OR NOT(resource. Exists(customerData)))如可以看到的，如果文件包含顧客數(shù)據(jù)，則讀訪問僅授予那些作為SG_ClearedPrnl小組成員的用戶。如果文件先前沒有包含顧客數(shù)據(jù)，而隨后被修改以包含顧客數(shù)據(jù)，則文件將被重新分類(由于內(nèi)容改變)，且指示該文件中存在顧客數(shù)據(jù)的資源標(biāo)簽與該文件相關(guān)聯(lián)。由此，訪問基于文件中是否存在顧客數(shù)據(jù)而改變。作為另一示例，可將級(jí)別分配給資源標(biāo)簽和用戶聲明，級(jí)別隨后可以按比較方式被用于基于其分類的級(jí)別來允許或禁止訪問資源(XA;;GR;;;WD;(user, cIearanceLeveI>=resource. sensitivityLevel)當(dāng)資源首先被分類時(shí)，該分類可在資源標(biāo)簽中設(shè)置敏感級(jí)別。針對(duì)用戶的許可級(jí)另IJ (與用戶聲明中的數(shù)據(jù)對(duì)應(yīng)的值等)來比較資源的敏感級(jí)別(與資源標(biāo)簽中的數(shù)據(jù)對(duì)應(yīng)的值等)，以便確定是否達(dá)到了該敏感級(jí)別(借此訪問被允許)。如果資源以某種方式被改變且隨后被重新分類，則資源標(biāo)簽中的敏感級(jí)別可改變，由此增加或降低訪問文件所需的許可級(jí)別。另一示例允許訪問用戶項(xiàng)目的文件，即便用戶不是可訪問該文件的安全小組的一部分。例如，根據(jù)以下策略(其可按適當(dāng)?shù)恼Z言來重寫)，可給予諸如顧問之類的非雇員對(duì)文件的訪問權(quán)，該文件原本僅可由雇員訪問。(XA;;GR;;;WD;(user, projects OVERLAP resource.projects))注意，以上提供的用于評(píng)估復(fù)合條件，復(fù)合條件包括允許后期綁定解析的用戶聲明和資源標(biāo)簽。一個(gè)不例是“User. Projects any_of Resource. Projects” 等。圖2示出策略如何可被用于基于ACL和/或資源標(biāo)簽對(duì)比用戶聲明來確定對(duì)資源的訪問的簡(jiǎn)化示例。在圖2中，存在所簡(jiǎn)化的用于使用ACL以及資源標(biāo)簽的兩個(gè)可能策略，即，對(duì)于訪問是否需要ACL和資源標(biāo)簽兩者(即，“與(AND)”邏輯組合，諸如作為用戶小組中的成員“與”具有足夠的許可)，或者是否任一項(xiàng)就能授予訪問(即，“或(0R)”邏輯組合，諸如作為用戶小組中的成員“或”被標(biāo)識(shí)成與項(xiàng)目相關(guān)聯(lián))。策略設(shè)置如何將邏輯應(yīng)用于給定資源，且如可容易地理解的，更復(fù)雜的邏輯組合(非(NOT)、異或(XOR)等)也是可行的。例如，資源標(biāo)簽可能要求多個(gè)小組(復(fù)合主體)中的用戶成員關(guān)系以獲取訪問。其他示例包括各條件，諸如使資源僅在一天的特定時(shí)間、以特定量(如在其他地方所記錄的)對(duì)適當(dāng)用戶可訪問等。步驟202表示確定對(duì)于給定資源，資源標(biāo)簽是否被高速緩存，即，分類先前是否已被執(zhí)行。如果是，則步驟204評(píng)估資源標(biāo)簽是否為有效且最新的、或是否需要重新分類，如在前述“用于文件分類的替代數(shù)據(jù)流高速緩存(Alternate Data Stream Cache for FileClassification)”的專利申請(qǐng)中一般地描述的。如果需要初始分類(步驟202)或重新分類(步驟204)，則執(zhí)行步驟206來對(duì)該資源分類/重新分類。步驟208表示高速緩存分類屬性(包括一個(gè)或多個(gè)資源標(biāo)簽)以供后續(xù)使用。步驟210表示對(duì)比資源的ACL來評(píng)估用戶的訪問令牌，即，執(zhí)行常規(guī)訪問檢查。如果訪問將被授予，則在這一簡(jiǎn)化示例中步驟212評(píng)估該訪問自身是否足夠(策略規(guī)定ACL訪問“或”資源標(biāo)簽訪問)；如果是，則訪問被授予，如步驟220中表示的。這對(duì)應(yīng)于“項(xiàng)目”示例，例如，用戶可通過用戶小組聲明(對(duì)比ACL) “或”具有項(xiàng)目用戶聲明(對(duì)比資源標(biāo)簽)來獲取訪問。在“項(xiàng)目”示例中獲取訪問的其他方式是，如果在步驟210處ACL不授予訪問，則在步驟214處策略為“‘或’資源標(biāo)簽”。如果是，則步驟216經(jīng)由用戶聲明對(duì)比資源標(biāo)簽在步驟216處評(píng)估用戶訪問。如果資源標(biāo)簽允許訪問，則步驟216分支到步驟220以允許訪問，否則，訪問經(jīng)由步驟218被拒絕。如上所述，圖2的邏輯還處理“與”組合，諸如需要在安全小組中“與”具有敏感數(shù)據(jù)的許可。如通過跟隨步驟212和/或214的“與”分支可以容易地理解的，訪問要求ACL檢查和資源標(biāo)簽都被通過。注意，分類可為文件設(shè)置資源標(biāo)簽，使得步驟216自動(dòng)地被通過(除非之后被不同地重新分類)，例如，敏感級(jí)別為零，使得每個(gè)人都有許可直到以其他方式被重新分類。注意，對(duì)于資源的與所請(qǐng)求的訪問有關(guān)的操作可以不止是簡(jiǎn)單的讀或?qū)?或執(zhí)行)訪問。使用以上示例之一，用戶可能正請(qǐng)求文件訪問以便以明文將該文件復(fù)制到便攜式存儲(chǔ)設(shè)備(例如，直接地或經(jīng)由剪貼板)。盡管可在訪問策略的邊界內(nèi)允許讀訪問(例如，在域機(jī)器上)，以明文進(jìn)行復(fù)制可能被允許或可能不被允許，這取決于如資源標(biāo)簽對(duì)比請(qǐng)求者的用戶聲明中所反映的當(dāng)前文件內(nèi)容。在其他示例中，另一與所請(qǐng)求的訪問有關(guān)的操作可以是將數(shù)據(jù)片附連到電子郵件消息，這也將取決于資源標(biāo)簽對(duì)比請(qǐng)求者的用戶聲明。這樣的策略可以被指定，且可以在適當(dāng)配備的授權(quán)引擎/操作系統(tǒng)中實(shí)現(xiàn)。此外，訪問策略可隨文件移動(dòng)，諸如在文件的替代數(shù)據(jù)流中。例如，基于文件內(nèi)容的本質(zhì)，可能需要當(dāng)文件移出訪問策略邊界時(shí)將訪問策略與文件一起包裝，使得在文件再次被復(fù)制回遵照該訪問策略的設(shè)備的情況下應(yīng)用策略。為實(shí)施這一操作，文件在超出訪問策略的邊界時(shí)被保護(hù)(例如，被加密)。
基于資源屬性來訪問的其他場(chǎng)景包括跨儲(chǔ)存庫維護(hù)訪問策略。當(dāng)文件在不同的機(jī)器和儲(chǔ)存庫之間移動(dòng)時(shí)(例如，從文件服務(wù)器移動(dòng)到SharePoint ),只要該文件維護(hù)其標(biāo)簽，且只要該文件停留在同一策略域中(在那里分類標(biāo)簽被引用到同一訪問策略)，則訪問策略被維護(hù)。如可以看到的，提供了基于用戶聲明對(duì)比資源標(biāo)簽來實(shí)施訪問策略的能力，包括用于基于文件的分類屬性將訪問策略應(yīng)用于該文件。用戶聲明和資源標(biāo)簽可在復(fù)雜條件集中使用，復(fù)雜條件集諸如許可/敏感級(jí)別、和/或其他邏輯組合。這便于靈活且復(fù)雜的策略，包括用于復(fù)雜主體和其他條件，這在已知系統(tǒng)中當(dāng)前是不可用的。示例性操作環(huán)境圖3示出圖I和2的示例可在其上實(shí)現(xiàn)的合適計(jì)算和聯(lián)網(wǎng)環(huán)境300的示例。計(jì)算系統(tǒng)環(huán)境300只是合適計(jì)算環(huán)境的一個(gè)示例，而非意在暗示對(duì)本發(fā)明使用范圍或功能有任何限制。也不應(yīng)該將計(jì)算環(huán)境300解釋為對(duì)示例性操作環(huán)境300中示出的任一組件或其組合有任何依賴性或要求。本發(fā)明可用各種其他通用或?qū)Ｓ糜?jì)算系統(tǒng)環(huán)境或配置來操作。適用于本發(fā)明的公知計(jì)算系統(tǒng)、環(huán)境、和/或配置的示例包括但不限于個(gè)人計(jì)算機(jī)、服務(wù)器計(jì)算機(jī)、手持式或膝上型設(shè)備、平板設(shè)備、多處理器系統(tǒng)、基于微處理器的系統(tǒng)、機(jī)頂盒、可編程消費(fèi)電子產(chǎn)品、網(wǎng)絡(luò)PC、微型計(jì)算機(jī)、大型計(jì)算機(jī)、包括任何以上系統(tǒng)或設(shè)備的分布式計(jì)算環(huán)境等等。本發(fā)明可在諸如程序模塊等由計(jì)算機(jī)執(zhí)行的計(jì)算機(jī)可執(zhí)行指令的通用上下文中描述。一般而言，程序模塊包括執(zhí)行特定任務(wù)或?qū)崿F(xiàn)特定抽象數(shù)據(jù)類型的例程、程序、對(duì)象、組件、數(shù)據(jù)結(jié)構(gòu)等等。本發(fā)明也可以在其中任務(wù)由通過通信網(wǎng)絡(luò)鏈接的遠(yuǎn)程處理設(shè)備執(zhí)行的分布式計(jì)算環(huán)境中實(shí)現(xiàn)。在分布式計(jì)算環(huán)境中，程序模塊可以位于包括存儲(chǔ)器存儲(chǔ)設(shè)備在內(nèi)的本地和/或遠(yuǎn)程計(jì)算機(jī)存儲(chǔ)介質(zhì)中。參考圖3，用于實(shí)現(xiàn)本發(fā)明的各方面的示例性系統(tǒng)可包括計(jì)算機(jī)310形式的通用計(jì)算設(shè)備。計(jì)算機(jī)310的組件可以包括但不限于處理單元320、系統(tǒng)存儲(chǔ)器330和將包括系統(tǒng)存儲(chǔ)器在內(nèi)的各種系統(tǒng)組件f禹合至處理單兀320的系統(tǒng)總線321。系統(tǒng)總線321可以是若干類型的總線結(jié)構(gòu)中的任一種，包括使用各種總線體系結(jié)構(gòu)中的任一種的存儲(chǔ)器總線或存儲(chǔ)器控制器、外圍總線、以及局部總線。作為示例而非限制，這樣的體系結(jié)構(gòu)包括工業(yè)標(biāo)準(zhǔn)體系結(jié)構(gòu)(ISA)總線、微通道體系結(jié)構(gòu)(MCA)總線、增強(qiáng)型ISA (EISA)總線、視頻電子標(biāo)準(zhǔn)協(xié)會(huì)(VESA)局部總線，以及也稱為夾層(Mezzanine)總線的外圍部件互連(PCI)總線。計(jì)算機(jī)310通常包括各種計(jì)算機(jī)可讀介質(zhì)。計(jì)算機(jī)可讀介質(zhì)可以是能由計(jì)算機(jī)310訪問的任何可用介質(zhì)，并包含易失性和非易失性介質(zhì)以及可移動(dòng)、不可移動(dòng)介質(zhì)。作為示例而非限制，計(jì)算機(jī)可讀介質(zhì)可包括計(jì)算機(jī)存儲(chǔ)介質(zhì)和通信介質(zhì)。計(jì)算機(jī)存儲(chǔ)介質(zhì)包括以存儲(chǔ)諸如計(jì)算機(jī)可讀的指令、數(shù)據(jù)結(jié)構(gòu)、程序模塊或其他數(shù)據(jù)之類的信息的任何方法或技術(shù)實(shí)現(xiàn)的易失性和非易失性、可移動(dòng)和不可移動(dòng)介質(zhì)。計(jì)算機(jī)存儲(chǔ)介質(zhì)包括，但不僅限于，RAM、ROM、EEPR0M、閃存或其他存儲(chǔ)器技術(shù)、CD-ROM、數(shù)字多功能盤(DVD)或其他光盤存儲(chǔ)、磁帶盒、磁帶、磁盤存儲(chǔ)或其他磁存儲(chǔ)設(shè)備，或可以用來存儲(chǔ)所需信息并可以被計(jì)算機(jī)310訪問的任何其他介質(zhì)。通信介質(zhì)通常以諸如載波或其他傳輸機(jī)構(gòu)之類的已調(diào)制數(shù)據(jù)信號(hào)來具體化計(jì)算機(jī)可讀指令、數(shù)據(jù)結(jié)構(gòu)、程序模塊或其他數(shù)據(jù)，并且包括任何信息傳送介質(zhì)。術(shù)語“已調(diào)制數(shù)據(jù)信號(hào)”是指具有以在信號(hào)中編碼信息的方式被設(shè)定或改變其一個(gè)或多個(gè)特征的信號(hào)。作為示例而非限制，通信介質(zhì)包括諸如有線網(wǎng)絡(luò)或直接線連接之類的有線介質(zhì)，以及諸如聲學(xué)、RF、紅外及其他無線介質(zhì)之類的無線介質(zhì)。上面各項(xiàng)中的任何項(xiàng)的組合也包括在計(jì)算機(jī)可讀介質(zhì)的范圍內(nèi)。系統(tǒng)存儲(chǔ)器330包括易失性和/或非易失性存儲(chǔ)器形式的計(jì)算機(jī)存儲(chǔ)介質(zhì)，如只讀存儲(chǔ)器(ROM) 331和隨機(jī)存取存儲(chǔ)器(RAM) 332。包含諸如在啟動(dòng)期間幫助在計(jì)算機(jī)310內(nèi)的元件之間傳輸信息的基本例程的基本輸入/輸出系統(tǒng)333 (BIOS)通常儲(chǔ)存儲(chǔ)在ROM331中。RAM 332通常包含處理單元320可立即訪問和/或當(dāng)前正在操作的數(shù)據(jù)和/或程序模塊。作為示例而非限制，圖3示出了操作系統(tǒng)334、應(yīng)用程序335、其他程序模塊336和程序數(shù)據(jù)337。計(jì)算機(jī)310也可以包括其他可移動(dòng)/不可移動(dòng)、易失性/非易失性計(jì)算機(jī)存儲(chǔ)介質(zhì)。僅作為示例，圖3示出了從不可移動(dòng)、非易失性磁介質(zhì)中讀取或向其寫入的硬盤驅(qū)動(dòng)器341，從可移動(dòng)、非易失性磁盤352中讀取或向其寫入的磁盤驅(qū)動(dòng)器351，以及從諸如⑶ROM或其他光學(xué)介質(zhì)等可移動(dòng)、非易失性光盤356中讀取或向其寫入的光盤驅(qū)動(dòng)器355?？稍谑纠圆僮鳝h(huán)境中使用的其他可移動(dòng)/不可移動(dòng)、易失性/非易失性計(jì)算機(jī)存儲(chǔ)介質(zhì)包括但不限于，磁帶盒、閃存卡、數(shù)字多功能盤、數(shù)字錄像帶、固態(tài)RAM、固態(tài)ROM等。硬盤驅(qū)動(dòng)器341通常通過諸如接口 340之類的不可移動(dòng)存儲(chǔ)器接口連接到系統(tǒng)總線321，并且磁盤驅(qū)動(dòng)器351和光盤驅(qū)動(dòng)器355通常通過諸如接口 350之類的可移動(dòng)存儲(chǔ)器接口連接到系統(tǒng)總線321。以上描述并在圖3中示出的驅(qū)動(dòng)器及其相關(guān)聯(lián)的計(jì)算機(jī)存儲(chǔ)介質(zhì)為計(jì)算機(jī)310提供了對(duì)計(jì)算機(jī)可讀指令、數(shù)據(jù)結(jié)構(gòu)、程序模塊和其他數(shù)據(jù)的存儲(chǔ)。例如，在圖3中，硬盤驅(qū)動(dòng)器341被示為存儲(chǔ)操作系統(tǒng)344、應(yīng)用程序345、其他程序模塊346和程序數(shù)據(jù)347。注意，這些組件可與操作系統(tǒng)334、應(yīng)用程序335、其他程序模塊336和程序數(shù)據(jù)337相同，也可與它們不同。操作系統(tǒng)344、應(yīng)用程序345、其他程序模塊346和程序數(shù)據(jù)347在這里被標(biāo)注了不同的附圖標(biāo)記是為了說明至少它們是不同的副本。用戶可通過諸如平板或者電子數(shù)字化儀364、話筒363、鍵盤362和定點(diǎn)設(shè)備361 (通常指的是鼠標(biāo)、跟蹤球或觸摸墊)等輸入設(shè)備向計(jì)算機(jī)310輸入命令和信息。圖3中未示出的其他輸入設(shè)備可以包括操縱桿、游戲手柄、圓盤式衛(wèi)星天線、掃描儀等。這些以及其他輸入設(shè)備通常通過耦合到系統(tǒng)總線的用戶輸入接口 360連接到處理單元320，但也可通過諸如并行端口、游戲端口或通用串行總線(USB) 之類的其他接口和總線結(jié)構(gòu)來連接。監(jiān)視器391或其他類型的顯示設(shè)備也通過諸如視頻接口 390之類的接口連接至系統(tǒng)總線321。監(jiān)視器391也可以與觸摸屏面板等集成。注意到監(jiān)視器和/或觸摸屏面板可以在物理上耦合至其中包括計(jì)算設(shè)備310的外殼，諸如在平板型個(gè)人計(jì)算機(jī)中。此外，諸如計(jì)算設(shè)備310等計(jì)算機(jī)還可以包括其他外圍輸出設(shè)備，諸如揚(yáng)聲器395和打印機(jī)396，它們可以通過輸出外圍接口 394等連接。計(jì)算機(jī)310可使用到一個(gè)或多個(gè)遠(yuǎn)程計(jì)算機(jī)(諸如，遠(yuǎn)程計(jì)算機(jī)380)的邏輯連接而在聯(lián)網(wǎng)環(huán)境中操作。遠(yuǎn)程計(jì)算機(jī)380可以是個(gè)人計(jì)算機(jī)、服務(wù)器、路由器、網(wǎng)絡(luò)PC、對(duì)等設(shè)備或其他常見網(wǎng)絡(luò)節(jié)點(diǎn)，并且通常包括許多或所有以上相對(duì)計(jì)算機(jī)310所描述的元件，但在圖3中僅示出了存儲(chǔ)器存儲(chǔ)設(shè)備381。圖3中所示的邏輯連接包括一個(gè)或多個(gè)局域網(wǎng)(LAN) 371和一個(gè)或多個(gè)廣域網(wǎng)(WAN) 373，但也可以包括其他網(wǎng)絡(luò)。此類聯(lián)網(wǎng)環(huán)境在辦公室、企業(yè)范圍的計(jì)算機(jī)網(wǎng)絡(luò)、內(nèi)聯(lián)網(wǎng)和因特網(wǎng)中是常見的。當(dāng)在LAN聯(lián)網(wǎng)環(huán)境中使用時(shí)，計(jì)算機(jī)310通過網(wǎng)絡(luò)接口或適配器370連接到LAN371。當(dāng)在WAN聯(lián)網(wǎng)環(huán)境中使用時(shí)，計(jì)算機(jī)310通常包括調(diào)制解調(diào)器372或用于通過諸如因特網(wǎng)等WAN 373建立通信的其他手段?？蔀閮?nèi)置或可為外置的調(diào)制解調(diào)器372可以經(jīng)由用戶輸入接口 360或其他合適的機(jī)構(gòu)連接至系統(tǒng)總線321。諸如包括接口和天線的無線聯(lián)網(wǎng) 組件可通過諸如接入點(diǎn)或?qū)Φ扔?jì)算機(jī)等合適的設(shè)備耦合到WAN或LAN。在聯(lián)網(wǎng)環(huán)境中，相對(duì)于計(jì)算機(jī)310所示的程序模塊或其部分可被存儲(chǔ)在遠(yuǎn)程存儲(chǔ)器存儲(chǔ)設(shè)備中。作為示例而非限制，圖3示出了遠(yuǎn)程應(yīng)用程序385駐留在存儲(chǔ)器設(shè)備381上?？梢岳斫?，所示的網(wǎng)絡(luò)連接是示例性的，也可以使用在計(jì)算機(jī)之間建立通信鏈路的其他手段。輔助子系統(tǒng)399 (例如，用于內(nèi)容的輔助顯示)可經(jīng)由用戶接口 360連接，從而即使計(jì)算機(jī)系統(tǒng)的主要部分處于低功率狀態(tài)中，也允許諸如程序內(nèi)容、系統(tǒng)狀態(tài)和事件通知等數(shù)據(jù)被提供給用戶。輔助子系統(tǒng)399可連接至調(diào)制解調(diào)器372和/或網(wǎng)絡(luò)接口 370，從而在主處理單元320處于低功率狀態(tài)中時(shí)，也允許在這些系統(tǒng)之間進(jìn)行通信。結(jié)語盡管本發(fā)明易于作出各種修改和替換構(gòu)造，但其某些說明性實(shí)施例在附圖中示出并在上面被詳細(xì)地描述。然而應(yīng)當(dāng)了解，這不旨在將本發(fā)明限于所公開的具體形式，而是相反地，旨在覆蓋落入本發(fā)明的精神和范圍之內(nèi)的所有修改、替換構(gòu)造和等效方案。
權(quán)利要求
1.一種在計(jì)算環(huán)境中在至少ー個(gè)處理器上執(zhí)行的方法，所述方法包括基于從資源去耦的策略來確定對(duì)所述資源的訪問，包括通過針對(duì)與訪問請(qǐng)求相關(guān)聯(lián)的用戶聲明來評(píng)估與所述資源相關(guān)聯(lián)的資源標(biāo)簽。
2.如權(quán)利要求I所述的方法，其特征在于，還包括從經(jīng)由ー個(gè)或多個(gè)分類規(guī)則所獲取的資源分類中獲取所述資源標(biāo)簽。
3.如權(quán)利要求2所述的方法，其特征在于，所述分類規(guī)則包括向特定文件分配特定資源標(biāo)簽的聲明性指令，其中所述資源是文件，且獲取每ー資源標(biāo)簽包括基于以下各項(xiàng)來執(zhí)行所述資源分類所述文件內(nèi)容的改變，所述文件的一個(gè)或多個(gè)標(biāo)簽的改變，所述文件的其他屬性的改變，所述文件的位置的改變，分類規(guī)則的改變，或一個(gè)或多個(gè)分類規(guī)則的狀態(tài)改變，或所述文件內(nèi)容的改變、所述文件的一個(gè)或多個(gè)標(biāo)簽的改變、所述文件的其他屬性的改變、所述文件的位置的改變、分類規(guī)則的改變、或一個(gè)或多個(gè)分類規(guī)則的狀態(tài)改變中的任意組合。
4.如權(quán)利要求I所述的方法，其特征在于，還包括基于耦合到所述資源的訪問控制列表來進(jìn)ー步確定所述訪問。
5.如權(quán)利要求I所述的方法，其特征在于，針對(duì)與所述訪問請(qǐng)求相關(guān)聯(lián)的用戶聲明來評(píng)估與所述資源相關(guān)聯(lián)的資源標(biāo)簽包括評(píng)估復(fù)合條件。
6.如權(quán)利要求I所述的方法，其特征在于，還包括將所述資源標(biāo)簽與所述文件相關(guān)聯(lián)地進(jìn)行高速緩存。
7.如權(quán)利要求I所述的方法，其特征在于，針對(duì)與所述訪問請(qǐng)求相關(guān)聯(lián)的用戶聲明來評(píng)估所述資源標(biāo)簽包括確定與所述用戶聲明中的數(shù)據(jù)對(duì)應(yīng)的用戶許可級(jí)別值是否達(dá)到了與所述資源標(biāo)簽中的數(shù)據(jù)對(duì)應(yīng)的資源敏感級(jí)別值。
8.一種在計(jì)算環(huán)境中的系統(tǒng)，包括基于策略來確定對(duì)資源的訪問的授權(quán)引擎，包括通過使用所述策略中的信息來針對(duì)與訪問請(qǐng)求相關(guān)聯(lián)的用戶聲明來評(píng)估與所述資源相關(guān)聯(lián)的資源標(biāo)簽。
9.如權(quán)利要求8的系統(tǒng)，其特征在于，所述策略是基于策略分量的組合、或所述策略是獨(dú)立于所述資源來維護(hù)并應(yīng)用于多個(gè)資源，或者所述策略是基于策略分量的組合、且所述策略是獨(dú)立于所述資源來維護(hù)并應(yīng)用于多個(gè)資源。
10.如權(quán)利要求8所述的系統(tǒng)，其特征在干，所述資源包括文件，且進(jìn)一歩包括通過對(duì)所述文件進(jìn)行分類來提供所述資源標(biāo)簽的分類器。
11.如權(quán)利要求8所述的系統(tǒng)，其特征在于，所述資源包括文件，且所述資源標(biāo)簽被高速緩存在所述文件的替代數(shù)據(jù)流中。
12.—個(gè)或多個(gè)具有計(jì)算機(jī)可執(zhí)行指令的計(jì)算機(jī)可讀介質(zhì)，所述計(jì)算機(jī)可執(zhí)行指令在被執(zhí)行時(shí)執(zhí)行以下步驟，包括處理訪問請(qǐng)求以授予或拒絕與訪問有關(guān)的對(duì)資源的操作，包括獲取從所述資源解耦的策略，以及使用所述策略來確定是授予還是拒絕所述與訪問有關(guān)的操作，包括通過針對(duì)與所述訪問請(qǐng)求相關(guān)聯(lián)的用戶聲明來評(píng)估與所述資源相關(guān)聯(lián)的資源標(biāo)簽。
13.如權(quán)利要求12所述的ー個(gè)或多個(gè)計(jì)算機(jī)可讀介質(zhì)，其特征在于，所述資源是文件，所述資源標(biāo)簽與所述文件相關(guān)聯(lián)地進(jìn)行高速緩存，且還具有計(jì)算機(jī)可執(zhí)行指令包括確定所述資源級(jí)別是否為有效且最新的，如果否，則獲取有效且最新的資源標(biāo)簽，并將所述有效且最新的資源標(biāo)簽與所述文件相關(guān)聯(lián)地進(jìn)行高速緩存。
14.如權(quán)利要求12所述的ー個(gè)或多個(gè)計(jì)算機(jī)可讀介質(zhì)，其特征在于，多個(gè)策略是適用的，且其中使用所述策略來確定是授予還是拒絕與訪問有關(guān)的操作還包括在邏輯上將針對(duì)用戶聲明來對(duì)與所述資源相關(guān)聯(lián)的資源標(biāo)簽進(jìn)行評(píng)估的結(jié)果與至少ー個(gè)其他策略評(píng)估的結(jié)果相結(jié)合。
15.如權(quán)利要求14所述的ー個(gè)或多個(gè)計(jì)算機(jī)可讀介質(zhì)，其特征在于，至少ー個(gè)其他策略評(píng)估的結(jié)果包括基于訪問控制列表的評(píng)估結(jié)果。
全文摘要
描述的是以下技術(shù)根據(jù)從資源去耦的策略，通過針對(duì)訪問請(qǐng)求的用戶聲明來評(píng)估該資源的資源標(biāo)簽來確定對(duì)該資源的訪問。該資源可以是文件，且該資源標(biāo)簽可通過將該文件分類成分類屬性來獲取，使得對(duì)該文件的改變可改變其資源標(biāo)簽，由此改變哪些用戶可訪問該文件?；谫Y源標(biāo)簽的訪問評(píng)估在邏輯上可與基于常規(guī)ACL的訪問評(píng)估相結(jié)合，以便確定是授予還是拒絕對(duì)該資源的訪問。
文檔編號(hào)G06F9/44GK102667719SQ201080052356
公開日2012年9月12日 申請(qǐng)日期2010年10月29日 優(yōu)先權(quán)日2009年11月20日
發(fā)明者A·塞繆爾森, C·勞, J·B·漢布林, M·H·沃爾尼克, N·本-茨維, P·A·奧爾泰安, R·P·佩魯瑪, R·卡拉赫, Z·李 申請(qǐng)人:微軟公司