[发明专利]混合云环境中资源访问控制的方法及系统

权利要求书

1.混合云环境中资源访问控制的方法，其特征是，包括：

接收用户访问的业务系统的指令，在网络数据包的源端注入用户的有效身份信息，具体步骤如下：

步骤(1)：用户访问业务系统时，在网络数据包的源端的驱动层判断所访问的目的地址以及应用端口是否是第一策略列表中所定义的资源所在的服务器的地址及端口，如果是第一策略列表中所定义的合法的访问并且用户当前处于登录状态，则在驱动层注入用户身份的有效信息；

在网络数据包的目的端截获网络数据包并分析用户身份，通过策略列表中已定义的用户与所访问应用的关联关系，判定放行还是拒绝本次网络数据包，具体步骤如下：

步骤(2)：用户访问业务系统时，在网络数据包的目的端的驱动层判断，所访问的业务系统的端口是否在第二策略列表中所定义以及判断用户身份的合法性，根据第二策略列表中记录的用户的访问权限、用户当前的状态信息、业务系统的访问级别，放行或禁止当前网络数据包；

用户的访问权限是指，用户信息与所能访问的业务系统的端口的关联关系，访问权限记录在第一策略列表中；

用户的状态信息是指，用户登录或注销的状态，只有当用户处于登录状态时，网络数据包的源端的驱动层才有可能注入用户身份的有效信息，状态信息记录在第一策略列表中；

业务系统的访问级别是指，细粒度的控制用户的访问权限，以应急特殊事件的发生，业务系统的访问级别记录在第二策略列表中；

第一策略列表与第二策略列表必须保持用户有效信息一致，当步骤(1)中发生在驱动层注入用户身份的有效信息的事件时，相同的用户身份的有效信息必须同步更新到步骤(2)中的策略列表中；

用户身份的有效信息，是指4字节长度的数字，该数字按照一定的时间规律动态的变化。

2.混合云环境中资源访问控制的系统，其特征是，包括：

网络出口模块，被配置为：接收用户访问的业务系统的指令，在网络数据包的源端注入用户的有效身份信息，具体步骤如下：

步骤(1)：用户访问业务系统时，在网络数据包的源端的驱动层判断所访问的目的地址以及应用端口是否是第一策略列表中所定义的资源所在的服务器的地址及端口，如果是第一策略列表中所定义的合法的访问并且用户当前处于登录状态，则在驱动层注入用户身份的有效信息；

网络入口模块，被配置为：在网络数据包的目的端截获网络数据包并分析用户身份，通过策略列表中已定义的用户与所访问应用的关联关系，判定放行还是拒绝本次网络数据包，具体步骤如下：

步骤(2)：用户访问业务系统时，在网络数据包的目的端的驱动层判断，所访问的业务系统的端口是否在第二策略列表中所定义以及判断用户身份的合法性，根据第二策略列表中记录的用户的访问权限、用户当前的状态信息、业务系统的访问级别，放行或禁止当前网络数据包；

用户的访问权限是指，用户信息与所能访问的业务系统的端口的关联关系，访问权限记录在第一策略列表中；

用户的状态信息是指，用户登录或注销的状态，只有当用户处于登录状态时，网络数据包的源端的驱动层才有可能注入用户身份的有效信息，状态信息记录在第一策略列表中；

业务系统的访问级别是指，细粒度的控制用户的访问权限，以应急特殊事件的发生，业务系统的访问级别记录在第二策略列表中；

第一策略列表与第二策略列表必须保持用户有效信息一致，当步骤(1)中发生在驱动层注入用户身份的有效信息的事件时，相同的用户身份的有效信息必须同步更新到步骤(2)中的策略列表中；

用户身份的有效信息，是指4字节长度的数字，该数字按照一定的时间规律动态的变化。

3.IAM系统，其特征是，所述系统包括IAM系统服务器、信息输入单元及显示单元，利用信息输入单元用于输入用户访问业务系统的指令，利用显示单元将IAM系统服务器处理后的相关信息进行显示；

其中，所述IAM系统服务器被配置为执行权利要求1中的具体步骤。

4.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现权利要求1所述的混合云环境中资源访问控制的方法的步骤。

5.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现权利要求1混合云环境中资源访问控制的方法的步骤。