[发明专利]访问控制方法、装置、网关、客户端和安全令牌服务

说明书

本公开涉及一种访问控制方法、装置、网关、客户端和安全令牌服务，通过客户端向网关发送API访问请求，API访问请求中包含用于请求签名验证的参数和用于权限鉴定的参数，因此，网关收到API访问请求之后，可以直接根据API访问请求中携带的用于请求签名验证的参数进行请求签名验证，根据用于权限鉴定的参数进行权限鉴定，无需访问数据库获取所需要的参数，减少了网络I/O和查询数据库的时间，请求签名验证通过并且权限鉴定通过，网关将所述API访问请求转发至对应的业务线接口，从而，提高了API的访问效率。

技术领域

本公开涉及计算机技术领域，尤其涉及一种访问控制方法、装置、网关、客户端和安全令牌服务。

背景技术

身份和访问管理(Identity and Access Management，IAM)角色有确定的身份，角色可以被赋予一组权限策略，用于访问被授权的云服务应用程序接口(ApplicationProgramming Interface，API)，但是，角色没有确定的登陆密码或者访问密钥，临时身份是角色的一种临时访问密钥。当一个实体用户的客户端要使用角色时，实体用户的客户端通过扮演角色获取角色的临时身份；例如：实体用户的客户端可以通过调用“STS APIAssumeRole”获得角色的临时身份，使用临时身份以角色访问被授权的云服务API。

现有技术中，客户端向安全令牌服务(Security Token Service，STS) 发送获取临时身份的请求信息，安全令牌服务生成所述客户端对应的临时身份，临时身份中包含：访问密钥标识(AccessKey ID，AK)和秘密访问密钥(Secret Access Key，SK)，安全令牌服务把AK、AK 所属的角色、所述角色的权限信息、临时身份有效期、使用AES-128 加密后的SK存储到数据库中，把AK和SK返回给客户端；客户端按照AWSV4的签名算法使用AK和SK计算请求签名，生成API访问请求，向网关发送API访问请求，网关接收到API访问请求后，从API 访问请求的头部获取AK，网关通过AK从数据库中获取加密后的SK，解密SK，按照AWSV4的签名算法使用解密后的AK和SK计算请求签名，将计算的请求签名与接收到的API访问请求中的请求签名进行比对，若比对结果为相同，则验证签名通过，从数据库中获取AK所属的角色和临时身份有效期，如果在临时身份有效期范围内，从数据库中获取所述角色的权限信息，进行鉴权，鉴权通过，则将请求发送给业务线接口。

然而，采用现有技术的方式，由于临时身份信息的有效期通常较短，一般为15分钟到20分钟，因此，客户端需要频繁的获取临时身份信息，数据库中存储的临时身份信息会越来越多，数据库的查询效率不高，使得签名验证和鉴权效率不高，影响访问速度。

发明内容

为了解决上述技术问题或者至少部分地解决上述技术问题，本公开提供了一种访问控制方法、装置、网关、客户端和安全令牌服务。

本公开第一方面提供一种访问控制方法，所述方法应用于网关，包括：

网关接收客户端发送的应用程序接口API访问请求，所述API访问请求中包含用于请求签名验证的参数和用于权限鉴定的参数；

所述网关根据所述用于请求签名验证的参数进行请求签名验证，根据所述用于权限鉴定的参数进行权限鉴定；

所述请求签名验证通过并且所述权限鉴定通过，所述网关将所述 API访问请求转发至对应的业务线接口。

可选的，所述用于请求签名验证的参数包括：访问密钥标识AK 和秘密访问密钥SK；

所述用于权限鉴定的参数包括：角色的权限信息和角色的临时身份有效期。

可选的，所述API访问请求中包含所述AK、第一请求签名和第一安全令牌；