[发明专利]一种跨域动态细粒度访问控制方法

说明书

技术领域

本发明涉及一种计算机信息安全领域的访问控制方法，特别涉及一种跨域 动态细粒度访问控制方法。

背景技术

目前，随着全国各个系统、产业信息化工作的开展，各个网络应用系统逐 渐需要互联互通，来发挥信息化更大的效能。与之对应，各个网络应用系统相 互之间属于不同的信任域，但又需要有信息共享与业务协作的情况，这样的情 况已出现在某些电子政务，电子商务领域。

而要在不同的网络之间相互访问，访问的安全性、可控性就成为新出现的 问题。

为了解决上述问题，特别需要一种跨域动态细粒度访问控制方法，实现不 同信任域之间的各个网络应用系统的安全可控的访问。

发明内容

本发明的目的在于提供一种跨域动态细粒度访问控制方法，通过对用户的 角色、用户的标示和资源的标示三重访问控制，实现不同信任域之间的各个网 络应用系统的安全可控的访问。

本发明所解决的技术问题可以采用以下技术方案来实现：

一种跨域动态细粒度访问控制方法，其特征在于，它包括如下步骤：

(1)请求域中的用户在本请求域中被标识，对用户在本请求域中的标识 具有唯一性；

(2)资源域中的资源在本资源域中被标识，对用户在本资源域中的标识 具有唯一性；

(3)请求域中的用户被归属于本请求域中的一个角色，该角色通过请求 域代理和资源域代理进行沟通，确认该请求域角色有权映射资源域中的一个角 色；

(4)被请求域中的角色映射的资源域中的角色有访问资源域资源的权限；

(5)请求域中的角色取得被映射的资源域中角色访问资源域资源的权限；

(6)跨域访问控制策略允许请求域的用户跨域访问；

(7)跨域访问控制策略允许资源域的资源被外域访问；

(8)请求域的用户完成对资源域的资源的访问。

在本发明的一个实施例中，请求域中用户的约束条件为：

(1)若请求域用户U(A)，则域条件U(A)属于请求域为TRUE，否则 为FALSE；

(2)若请求域用户U(A)被标示为U(A)(a)，此标示具有唯一性；

(3)若请求域角色Role(A)，则角色条件Role(A)属于请求域为TRUE， 否则为FALSE；

(4)若用户U(A)属于角色Role(A)，则用户U(A)取得角色Role (A)的权限为TRUE，否则为FALSE。

在本发明的一个实施例中，资源域中资源的约束条件为：

(1)若资源域资源Z(B)，则域条件Z(B)属于资源域为TRUE，否则 为FALSE；

(2)若资源域资源Z(B)被标示为Z(B)(b)，此标示具有唯一性；

(3)资源域角色Role(B)，则角色条件Role(A)属于资源域为TRUE， 否则为FALSE；

(4)资源域角色Role(B)被资源域授权访问资源Z(B)，则资源Z(B) 属于角色Role(B)为TRUE，否则为FALSE。

在本发明的一个实施例中，启动请求域代AgentA，根据本请求域的安 全策略与资源域代AgentB协商确定请求域与资源域的角色映射。请求域用 户U(A)欲访问资源域资源Z(B)，通过以下授权步骤实现请求域用户U(A) 的角色Role(A)对资源域角色Role(B)的映射授权：

(1)请求域代理AgentA执行若请求域用户U(A)，则域条件U(A)属 于请求域，若为TRUE，则继续；否则，中止授权；

(2)请求域代AgentA执行若请求域角色Role(A)，则角色条件Role (A)属于请求域，若为TRUE，则继续；否则，中止授权；

(3)资源域代理AgentB执行资源域角色Role(B)，则角色条件Role(A) 属于资源域，若为TRUE，则继续；否则，中止授权；

(4)资源域代理AgentB执行资源域角色Role(B)被资源域授权访问资 源Z(B)，则资源Z(B)属于角色Role(B)，若为TRUE，则继续；否则， 中止授权；