[发明专利]一种面向多租户的身份托管鉴权云资源访问控制系统及控制方法

权利要求书

1.一种面向多租户的身份托管鉴权云资源访问控制系统，其特征在于：将云服务提供商的云服务业务分为用户身份鉴权许可部分和基于用户组级的云资源访问控制部分；用户身份鉴权许可部分的许可业务托管给可信的第三方TIdP，并由TIdP负责管辖租户托管的用户信息和群组信息，完成托管用户的用户身份鉴权工作及生成包含身份识别信息的跨域安全凭证服务；基于用户组级的云资源访问控制部分主要负责对已完成用户身份鉴权许可业务的用户所在的群组进行相应权限分配，并拦截解析该群组内的用户对云资源的访问请求，依据群组的访问策略对该请求做出决策，然后执行该决策结果，实现对云资源安全用户组级别的访问权限的控制。

2.根据权利要求1所述的面向多租户的身份托管鉴权云资源访问控制系统，其特征在于：所述身份鉴权许可模块包括用户身份提供服务模块、用户身份验证服务模块、用户属性查询服务模块、数据通信服务模块和数据库；所述用户身份提供服务模块包括云服务提供商通信模块、生成断言模块和认证断言模块；

所述跨域安全凭证包括基于云模式单点登录服务的跨域安全凭证生成服务和基于跨域安全凭证的云模式单点登录服务；

在基于云模式单点登录服务的跨域安全凭证生成服务时，云服务提供商通信模块接收服务提供商传递的用户登录请求，将该请求中获得的用户身份验证信息发送至用户身份验证服务模块，该用户身份验证服务模块将用户身份信息作为查询条件传递给数据通信服务模块，数据通信服务模块通过查询数据源得到结果集，并将结果集判定是否为空的标志及用户标识、用户所在群组作为验证结果，返回至用户身份验证服务模块，至此用户身份验证服务模块完成用户身份的验证，并将验证结果返回至生成断言模块，该生成断言模块生成该用户的跨域安全凭据，作为用户进行跨域访问的凭据；

在基于跨域安全凭证的云模式单点登录服务时，云服务提供商通信模块接收服务提供商传递的跨域安全凭证的认证断言请求，并将该认证断言请求传递给认证断言模块，认证断言模块判断该断言请求有效性，若此断言请求有效则解析断言请求；该断言请求被解析后，将断言请求中的用户身份验证信息发送至用户身份验证服务模块，该用户身份验证服务模块将用户身份信息作为查询条件传递给数据通信服务模块，数据通信服务模块通过查询数据源得到结果集，并将结果集判定是否为空的标志返回至用户身份验证服务模块，至此用户身份验证服务模块完成用户身份的验证，并将验证结果返回至认证断言模块，作为用户已跨域登录的凭据。