分布式云環(huán)境下的安全訪問控制架構(gòu)及其訪問方法
【技術(shù)領(lǐng)域】
[0001] 本發(fā)明涉及云數(shù)據(jù)處理技術(shù)領(lǐng)域，具體來說是分布式云環(huán)境下的安全訪問控制架 構(gòu)及其訪問方法。
【背景技術(shù)】
[0002] 云計(jì)算的日益普及對(duì)其安全性的挑戰(zhàn)已引起強(qiáng)烈關(guān)注，而由于資源共享，在這方 面的問題則尤為突出。由于潛在的不誠信租賃中物理資源的共享，其結(jié)果將使信道遭受攻 擊的風(fēng)險(xiǎn)增加，致使以多租戶經(jīng)營及虛擬為特征的云計(jì)算將其獨(dú)特的安全性及訪問控制的 挑戰(zhàn)擺在面前。另外，多租戶計(jì)算間的干擾可能導(dǎo)致未授權(quán)的信息流。同時(shí)，云計(jì)算環(huán)境中 的服務(wù)多樣性也要求訪問控制方面不同粒度等級(jí)。不適當(dāng)或不可靠的授權(quán)機(jī)制可能顯著增 加云資源和服務(wù)未授權(quán)使用的風(fēng)險(xiǎn)。為防止這種攻擊，細(xì)分的授權(quán)機(jī)制可以有助于實(shí)現(xiàn)標(biāo) 準(zhǔn)化的安全措施，因此一些訪問控制方面的挑戰(zhàn)及與其管理相伴的復(fù)雜性需要一種先進(jìn)有 效的安全機(jī)制，這種機(jī)制不僅僅可適合訪問管理需求，而且也能確保云系中安全的互操作。
[0003] 部分研究人員已提出一些關(guān)于云計(jì)算的訪問控制問題，如Daniel Nurmi和他的團(tuán) 隊(duì)曾經(jīng)提出了一種控制虛擬機(jī)執(zhí)行的授權(quán)系統(tǒng)，以確保只有管理人員和擁有者（業(yè)主）可 以對(duì)其訪問。Stefan Berger和他的團(tuán)隊(duì)提出了一種建立在基于角色的訪問控制和安全標(biāo) 簽基礎(chǔ)上的授權(quán)模型，以用于控制對(duì)共享數(shù)據(jù)、虛擬機(jī)、和網(wǎng)絡(luò)資源的訪問。Jose Alcaraz Calero和他的團(tuán)隊(duì)提出了一種中央授權(quán)系統(tǒng)，該系統(tǒng)提供了一種基于結(jié)盟路徑的訪問控制 機(jī)制。
[0004] 現(xiàn)在才需要能夠提出一種用于多租戶運(yùn)營的虛擬環(huán)境下的分布式多云系訪問控 制架構(gòu)，該架構(gòu)結(jié)構(gòu)的設(shè)計(jì)建立在安全管理和軟件工程原理的基礎(chǔ)上。從安全管理的視角， 其目標(biāo)是要滿足云用戶的訪問控制需求。從軟件工程的視角，其目標(biāo)在于形成針對(duì)這些需 求的具體技術(shù)規(guī)范。

【發(fā)明內(nèi)容】

[0005] 本發(fā)明的目的是為了解決現(xiàn)有技術(shù)中尚無針對(duì)分布式多云系訪問控制架構(gòu)的缺 陷，提供一種分布式云環(huán)境下的安全訪問控制架構(gòu)及其訪問方法來解決上述問題。
[0006] 為了實(shí)現(xiàn)上述目的，本發(fā)明的技術(shù)方案如下：
[0007] 分布式云環(huán)境下的安全訪問控制架構(gòu)，分布式云環(huán)境A包括云應(yīng)用服務(wù)端A、云平 臺(tái)服務(wù)端A、虛擬基礎(chǔ)設(shè)備服務(wù)端A和物理層設(shè)備A，云應(yīng)用服務(wù)端A與云平臺(tái)服務(wù)端A進(jìn) 行數(shù)據(jù)通信，云平臺(tái)服務(wù)端A與虛擬基礎(chǔ)設(shè)備服務(wù)端A進(jìn)行數(shù)據(jù)通信，虛擬基礎(chǔ)設(shè)備服務(wù)端 A基于物理層設(shè)備A進(jìn)行數(shù)據(jù)處理操作，
[0008] 還包括虛擬資源管理器A和分布式訪問控制模塊A，虛擬資源管理器A用于提供和 配置虛擬資源，維護(hù)與其配置關(guān)聯(lián)的虛擬需求資源表，虛擬需求資源表包括整個(gè)虛擬全局 目錄服務(wù)庫中的本地和遠(yuǎn)程資源；分布式訪問控制模塊A用于強(qiáng)化訪問控制策略，其包括 策略決策點(diǎn)A、策略強(qiáng)化點(diǎn)A和策略庫A ;所述的云應(yīng)用服務(wù)端A、云平臺(tái)服務(wù)端A和虛擬基 礎(chǔ)設(shè)備服務(wù)端A均安裝虛擬資源管理器A和分布式訪問控制模塊A。
[0009] 分布式云環(huán)境下的安全訪問控制架構(gòu)的訪問方法，本地云訪問過程包括以下步 驟：
[0010] 用戶訪問云應(yīng)用服務(wù)端A，根據(jù)云應(yīng)用服務(wù)端A的分布式訪問控制模塊A的驗(yàn)證判 斷，通過云應(yīng)用服務(wù)端A的虛擬資源管理器A獲取云平臺(tái)服務(wù)端A的訪問資源；
[0011] 用戶訪問云平臺(tái)服務(wù)端A，根據(jù)云平臺(tái)服務(wù)端A的分布式訪問控制模塊A的驗(yàn)證判 斷，通過云平臺(tái)服務(wù)端A的虛擬資源管理器A獲取虛擬基礎(chǔ)設(shè)備服務(wù)端A的訪問資源；
[0012] 用戶訪問虛擬基礎(chǔ)設(shè)備服務(wù)端A，根據(jù)虛擬設(shè)備服務(wù)端A的分布式訪問控制模塊A 的驗(yàn)證判斷，通過虛擬設(shè)備服務(wù)端A的虛擬資源管理器A調(diào)用物理層設(shè)備A。
[0013] 云應(yīng)用服務(wù)端A的訪問方法包括以下步驟：
[0014] 用戶啟動(dòng)授權(quán)過程，訪問本地云的云應(yīng)用服務(wù)端A，請(qǐng)求服務(wù)或訪問虛擬資源；
[0015] 云應(yīng)用服務(wù)端A的分布式訪問控制模塊A判斷是否允許請(qǐng)求，若允許則將請(qǐng)求轉(zhuǎn) 至云應(yīng)用服務(wù)端A的虛擬資源管理器A ;
[0016] 云應(yīng)用服務(wù)端A的虛擬資源管理器A對(duì)虛擬資源和計(jì)算的請(qǐng)求、存儲(chǔ)進(jìn)行辨識(shí)，對(duì) 虛擬全局目錄服務(wù)庫進(jìn)行查閱后，虛擬資源管理器A通過授權(quán)請(qǐng)求申請(qǐng)所需資源。
[0017] 所述的分布式訪問控制模塊A判斷是否允許請(qǐng)求包括以下步驟：
[0018] 用戶提出的授權(quán)請(qǐng)求到達(dá)策略決策點(diǎn)組件A，策略決策點(diǎn)組件A從授權(quán)請(qǐng)求中提 取資格驗(yàn)證信息和語義信息，并將提取結(jié)果饋送給策略強(qiáng)化點(diǎn)組件A ;
[0019] 策略強(qiáng)化點(diǎn)組件A中的資格評(píng)估器A接收資格驗(yàn)證信息，策略強(qiáng)化點(diǎn)組件中A的 語義評(píng)估器A接收語義信息；
[0020] 策略強(qiáng)化點(diǎn)組件A判斷是否允許用戶的授權(quán)請(qǐng)求，若授權(quán)請(qǐng)求包含資格認(rèn)證，資 格評(píng)估器A通過策略定點(diǎn)組件A使用語義信息中的用戶-角色分配規(guī)則，將存放在策略庫 A中的本地角色賦予該用戶；若語義信息中不包括用戶-角色分配規(guī)則，則無法賦予用戶相 應(yīng)的本地角色；
[0021] 策略強(qiáng)化點(diǎn)組件A將該用戶的本地角色返回給策略決策點(diǎn)組件A，分布式訪問控 制模塊A允許請(qǐng)求。
[0022] 還包括服務(wù)層級(jí)協(xié)議模塊和與分布式云環(huán)境A結(jié)構(gòu)相同的分布式云環(huán)境B，服務(wù) 層級(jí)協(xié)議模塊用于進(jìn)行不同云系之間的角色映射，將本地云角色映射到遠(yuǎn)程云中的角色， 并準(zhǔn)許訪問所有的經(jīng)允許的映射任務(wù)；分布式云環(huán)境A與分布式云環(huán)境B通過服務(wù)層級(jí)協(xié) 議模塊進(jìn)行云系穿越訪問。
[0023] 基于分布式云環(huán)境A與分布式云環(huán)境B的云系穿越訪問包括以下步驟：
[0024] 用戶訪問分布式云環(huán)境A中的云應(yīng)用服務(wù)端A，云應(yīng)用服務(wù)端A的分布式訪問控 制模塊A通過用戶的授權(quán)請(qǐng)求，分布式訪問控制模塊A發(fā)現(xiàn)請(qǐng)求的資源位于分布式云環(huán)境 B中，在查詢虛擬目錄全局服務(wù)后，云應(yīng)用服務(wù)端A的虛擬資源管理器A將用戶的授權(quán)請(qǐng)求 發(fā)至對(duì)應(yīng)的服務(wù)層級(jí)協(xié)議模塊；
[0025] 服務(wù)層級(jí)協(xié)議模塊進(jìn)行角色映射，
[0026] 服務(wù)層級(jí)協(xié)議模塊將進(jìn)行角色映射后的用戶引導(dǎo)至分布式云環(huán)境B的云應(yīng)用服 務(wù)端B的分布式訪問控制模塊B，進(jìn)行云應(yīng)用服務(wù)端B的訪問。
[0027] 所述的服務(wù)層級(jí)協(xié)議模塊進(jìn)行角色映射包括以下步驟：
[0028] 云應(yīng)用服務(wù)端A的虛擬資源管理器A發(fā)出的授權(quán)請(qǐng)求到達(dá)服務(wù)層級(jí)協(xié)議模塊的 SLA策略強(qiáng)化點(diǎn)；
[0029] SLA策略強(qiáng)化點(diǎn)提取授權(quán)請(qǐng)求中的語義信息，并將語義信息發(fā)給SLA語義抽取器；
[0030] SLA決策點(diǎn)組件使用語義信息中的用戶-映射角色分配規(guī)則，將存放在SLA策略庫 中的映射角色賦予該用戶；
[0031] 角色映射組件將完成映射角色后的授權(quán)決策發(fā)送給SLA策略強(qiáng)化點(diǎn)；
[0032] 服務(wù)層級(jí)協(xié)議模塊完成角色映射過程。
[0033] 有益效果
[0034] 本發(fā)明的分布式云環(huán)境下的安全訪問控制架構(gòu)及其訪問方法，與現(xiàn)有技術(shù)相比提 出了在多租戶及資源虛擬環(huán)境中預(yù)防通道攻擊和無干擾的方法，建立一種安全可信的分布 式云計(jì)算基礎(chǔ)架構(gòu)，其不僅可適合訪問管理需求，還能確保云系中安全的互操作，保證了云 環(huán)境下的訪問安全性。
[0035] 同時(shí)，本訪問控制架構(gòu)具有以下度量特征：多云連鎖范圍中服務(wù)與資源共享的高 度互操作性；無任何干預(yù)下穿越合作云系完成其本地局域操作的自主性；在其內(nèi)部策略和 局部約束條件范圍開放信息的高隱秘度；具有在集成復(fù)雜的多重策略時(shí)，檢驗(yàn)全部約束條 件正確性的認(rèn)證能力。
【附圖說明】
[0036] 圖1為現(xiàn)有技術(shù)中多云環(huán)境中的合作特征解析圖；
[0037] 圖2為本發(fā)明的架構(gòu)圖；
[0038] 圖3a為本發(fā)明中本地云訪問過程的方法流程圖；
[0039] 圖3b為本發(fā)明中云系穿越訪問的方法流程圖；
[0040] 圖4為本發(fā)明中分布式訪問控制模塊的架構(gòu)圖；
[0041] 圖5為本發(fā)明中服務(wù)層級(jí)協(xié)議模塊的架構(gòu)圖；
[0042] 其中，1-云應(yīng)用服務(wù)端A、2-云平臺(tái)服務(wù)端A、3-虛擬基礎(chǔ)設(shè)備服務(wù)端A、4-物理 層設(shè)備A、5-虛擬資源管理器A、6-分布式訪問控制模塊A、7-服務(wù)層級(jí)協(xié)議模塊、21-云 應(yīng)用服務(wù)端B、22-分布式訪問控制模塊B、51-策略決策點(diǎn)組件A、52-策略強(qiáng)化點(diǎn)組件A、 53-資格評(píng)估器A、54-語義評(píng)估器A、55-策略定點(diǎn)組件A、56-策略庫A、71-SLA策略強(qiáng)化 點(diǎn)、72-SLA語義抽取器、73-SLA決策點(diǎn)組件、74-SLA策略庫、75-角色映射組件。
【具體實(shí)施方式】
[0043] 為使對(duì)本發(fā)明的結(jié)構(gòu)特征及所達(dá)成的功效有更進(jìn)一步的了解與認(rèn)識(shí)，用以較佳的 實(shí)施例及附圖配合詳細(xì)的說明，說明如下：
[0044] 如圖2所不，本發(fā)明所述的分布式云環(huán)境下的安全訪問控制架構(gòu)，其中分布式云 環(huán)境A包括云應(yīng)用服務(wù)端AU云平臺(tái)服務(wù)端A2、虛擬基礎(chǔ)設(shè)備服務(wù)端A3和物理層設(shè)備A4。 其中，物理層設(shè)備A4則為云服務(wù)的提供商，其提