[发明专利]访问控制方法、装置、网关、客户端和安全令牌服务

权利要求书

1.一种访问控制方法，所述方法应用于网关，其特征在于，包括：

网关接收客户端发送的应用程序接口API访问请求，所述API访问请求中包含用于请求签名验证的参数和用于权限鉴定的参数；

所述网关根据所述用于请求签名验证的参数进行请求签名验证，根据所述用于权限鉴定的参数进行权限鉴定；

所述请求签名验证通过并且所述权限鉴定通过，所述网关将所述API访问请求转发至对应的业务线接口；

其中，所述用于请求签名验证的参数包括：访问密钥标识AK和秘密访问密钥SK；

所述用于权限鉴定的参数包括：角色的权限信息和角色的临时身份有效期；

所述API访问请求中包含所述AK、第一请求签名和第一安全令牌；

其中，所述第一请求签名为客户端根据AK、第一SK和请求签名算法生成的；所述第一安全令牌为根据加密算法对第一初始安全令牌加密处理得到的，所述第一初始安全令牌包括：第一SK、第一角色的权限信息、第一角色的临时身份有效期。

2.根据权利要求1所述的方法，其特征在于，所述网关根据所述用于请求签名验证的参数进行请求签名验证，根据所述用于权限鉴定的参数进行权限鉴定，包括：

所述网关采用所述加密算法对应的解密算法对所述第一安全令牌进行解密，得到第二初始安全令牌，所述第二初始安全令牌包括：第二SK、第二角色的权限信息和第二角色的临时身份有效期；

所述网关根据所述请求签名算法、所述AK和所述第二SK，对所述第一请求签名进行请求签名验证；

所述网关根据所述第二角色的权限信息和所述第二角色的临时身份有效期进行权限鉴定。

3.根据权利要求2所述的方法，其特征在于，所述第一初始安全令牌中还包括：第一令牌签名；所述第一令牌签名为根据角色密钥、第一SK、第一角色的权限信息、所述第一角色的临时身份有效期和令牌签名算法得到；所述第二初始安全令牌中还包括：第二令牌签名；

所述网关根据所述用于请求签名验证的参数进行请求签名验证，根据所述用于权限鉴定的参数进行权限鉴定之前，还包括：

所述网关根据所述令牌签名算法、第二SK、第二角色的权限信息、第二角色的临时身份有效期和角色密钥，对所述第二令牌签名进行令牌签名验证，确定所述第二令牌签名和所述第一令牌签名相同。

4.根据权利要求2或3所述的方法，其特征在于，所述网关采用所述加密算法对应的解密算法对所述安全令牌进行解密之前，还包括：

所述网关确定所述AK为临时AK。

5.根据权利要求4所述的方法，其特征在于，所述加密算法为AES-128加密算法，和/或，所述请求签名算法为AWS V4签名算法。

6.一种访问控制方法，所述方法应用于客户端，其特征在于，包括：

客户端生成应用程序接口API访问请求，其中，所述API访问请求中包含用于请求签名验证的参数和用于权限鉴定的参数；

所述客户端向网关发送所述API访问请求，以使所述网关根据所述用于请求签名验证的参数进行请求签名验证，和用于权限鉴定的参数进行权限鉴定；

其中，所述用于请求签名验证的参数包括：访问密钥标识AK和秘密访问密钥SK；

所述用于权限鉴定的参数包括：角色的权限信息和角色的临时身份有效期；

所述API访问请求中包含所述AK、第一请求签名和第一安全令牌；

其中，所述第一请求签名为客户端根据AK、第一SK和请求签名算法生成的；所述第一安全令牌为根据加密算法对第一初始安全令牌加密处理得到的，所述第一初始安全令牌包括：第一SK、第一角色的权限信息、第一角色的临时身份有效期。

7.根据权利要求6所述的方法，其特征在于，所述客户端生成API访问请求之前，还包括：

所述客户端向安全令牌服务发送临时身份信息请求，所述临时身份信息请求用于请求临时身份信息；

所述客户端接收所述安全令牌服务发送的临时身份信息响应，所述临时身份信息响应中包含用于请求签名验证的参数和用于权限鉴定的参数。