[发明专利]一种访问控制系统、访问控制方法及相关装置

说明书

本申请提供了一种访问控制系统、访问控制方法及相关装置，该方法包括接收用户的业务访问许可请求；根据所述业务访问许可请求生成认证页面并将所述认证页面的认证统一资源定位符URL发送给所述策略中心，所述URL包括所述虚拟可信控制节点所提供服务的虚拟化私有云的云标识；接收所述用户发送的业务访问请求，所述业务访问请求携带所述身份令牌和所请求访问的业务的业务信息；向所述策略中心发送鉴权请求，所述鉴权请求中携带所述身份令牌、所述业务信息和所述云标识；接收所述策略中心反馈的鉴权结果，根据所述鉴权结果对所述业务访问请求进行控制。由此实现了VPC的安全防护且维护成本低的目的。

技术领域

本申请涉及网络安全技术领域，尤其涉及一种访问控制系统、访问控制方法及相关装置。

背景技术

随着零信任防护体系逐步进入实际落地实施，对应用业务的用户访问控制，采用零信任安全防护体系进行防护得到越来越的推崇。在云安全的用户安全接入防护需求中，要对每个租户的虚拟私有云(Virtual Private Cloud，VPC)部署零信任系统，而若为每个VPC分别部署一套零信任安全防护系统，其投资和运营成本会很大，同时也存在着较大的安全资源的浪费问题；此外当有大量的VPC时，为每个VPC部署一套零信任系统缺乏可实施性。

因此，如何针对VPC部署安全防护且降低运维成本是值得考虑的技术问题之一。

发明内容

有鉴于此，本申请提供一种访问控制系统、访问控制方法及相关装置，用以针对VPC部署安全防护且降低运维成本。

具体地，本申请是通过如下技术方案实现的：

根据本申请的第一方面，提供一种访问控制系统，包括安全防护可信控制中心和策略中心，所述安全防护可信控制中心中划分了多个虚拟可信控制节点，每个虚拟可信控制节点用于为一个虚拟化私有云提供服务，每个虚拟化私有云用于提供业务服务，其中：

所述虚拟可信控制节点，用于接收用户的业务访问许可请求，并根据所述业务访问许可请求生成认证页面并将所述认证页面的认证统一资源定位符URL发送给所述策略中心，所述URL包括所述虚拟可信控制节点所提供服务的虚拟化私有云的云标识；

所述策略中心，用于在接收到认证URL后，输出所述认证页面以展示给所述用户；以及接收所述用户基于所述认证页面反馈的用户信息，根据所述用户信息和所述云标识对所述用户进行身份认证；在认证通过后为所述用户生成身份令牌并发送给所述用户；

所述虚拟可信控制节点，还用于接收所述用户发送的业务访问请求，所述业务访问请求携带所述身份令牌和所请求访问的业务的业务信息；向所述策略中心发送鉴权请求，所述鉴权请求中携带所述身份令牌、所述业务信息和所述云标识；

所述策略中心，还用于在接收到所述鉴权请求后，根据所述鉴权请求携带的所述身份令牌、所述业务信息和所述云标识对所述用户的访问权限进行鉴权；并向所述虚拟可信控制节点反馈鉴权结果；

所述虚拟可信控制节点，还用于在接收到所述鉴权结果后，对所述业务访问请求进行控制。

根据本申请的第二方面，提供一种访问控制方法，应用于安全防护可信控制中心中，所述安全防护可信控制中心中划分了多个虚拟可信控制节点，每个虚拟可信控制节点用于为一个虚拟化私有云提供服务，每个虚拟化私有云用于提供业务服务，所述方法包括：

接收用户的业务访问许可请求；

根据所述业务访问许可请求生成认证页面并将所述认证页面的认证统一资源定位符URL发送给所述策略中心，所述URL包括所述虚拟可信控制节点所提供服务的虚拟化私有云的云标识；

接收所述用户发送的业务访问请求，所述业务访问请求携带所述身份令牌和所请求访问的业务的业务信息；

向所述策略中心发送鉴权请求，所述鉴权请求中携带所述身份令牌、所述业务信息和所述云标识；