[发明专利]一种基于LDAP的数据加密访问控制方法及系统

说明书

本申请公开了一种基于LDAP的数据加密访问控制方法及系统，该方法包括：根据用户请求，基于LDAP进行用户身份、业务属性和资源属性的注册；根据业务属性生成角色访问控制权限；根据资源属性制定属性访问控制规则，并构建访问控制矩阵；根据待加密的文件信息和资源属性集合，生成属性加密密钥；根据访问控制矩阵和属性加密密钥，生成基于属性的加密密文；当用户登录云计算平台时，根据角色访问控制权限、属性访问控制规则和属性加密密钥，验证其访问权限。该系统包括：LDAP身份认证模块、基于角色的访问控制模块、基于属性的加密模块和密钥管理模块。通过本申请，能够在确保数据安全性的基础上，有效降低用户访问控制的复杂度，从而提高数据访问效率。

技术领域

本申请涉及加密存储技术领域，特别是涉及一种基于LDAP(Light DirectoryAccess Protocol，轻量级目录访问协议)的数据加密访问控制方法及系统。

背景技术

随着互联网技术的高速发展，云计算平台上需要存储和共享越来越多的数据,例如:云存储和云共享。为了实现对文件的安全访问，云计算平台通常需要采用访问控制规则对用户身份进行验证。因此，如何设置数据加密访问控制方法，是个重要的技术问题。

目前的数据加密访问控制方法，通常采用基于角色的访问控制模型RBAC(Role-Based Access Control，基于角色的访问控制)。该访问控制模型的结构可以参见图1所示。由图1可知，基本模型在标准中被定义为Core RBAC，主要包括了能构成一个RBAC访问控制系统的最基本的元素集合。包括五个基本的元素集合：用户(USERS)、角色(ROLES)、客体(OBJECTS)、操作(OPS)和权限(PRMS)。用户被指定给相应的角色并获得该角色所被赋予的相应权限。而会话集合中的每一个会话，都是用户与其激活的角色之间的一个映射。图中用户分配关系(UA)和权限分配关系(PA)，显示了RBAC模型中两级授权的模式。一个用户可被分配一个或多个角色，同时一个角色也可被指定给一个或多个用户。

然而，目前的数据加密访问控制方法中，由于一个用户可被分配一个或多个角色，同时一个角色也可被指定给一个或多个用户，当用户角色比较多时，访问控制规则会变的非常复杂，使得数据加密访问控制效率较低。

发明内容

本申请提供了一种基于LDAP的数据加密访问控制方法及系统，以解决现有技术中的数据加密访问控制方法中访问控制规则太复杂，从而导致数据加密访问控制效率较低的问题。

为了解决上述技术问题，本申请实施例公开了如下技术方案：

一种基于LDAP的数据加密访问控制方法，所述方法包括：

根据用户请求，基于LDAP进行用户身份注册、业务属性注册以及资源属性注册；

根据LDAP提供的业务属性，生成角色访问控制权限；

根据LDAP提供的资源属性，制定相应的属性访问控制规则，并构建访问控制矩阵；

根据待加密的文件信息以及所述属性访问控制规则中的资源属性集合，生成属性加密密钥；

根据所述访问控制矩阵和属性加密密钥，对待加密的文件信息进行加密，生成基于属性的加密密文；

将所述密文存储至云计算平台；

当用户登录云计算平台时，结合所述用户的资源属性和业务属性，根据所述角色访问控制权限、属性访问控制规则以及属性加密密钥，验证用户的访问权限，且当用户获取访问权限时，返回相应的密文。

可选地，所述根据用户请求，基于LDAP进行用户身份注册、业务属性注册以及资源属性注册，包括：

根据所获取的用户请求，生成用户名和密码；

为所述用户注册符合业务功能的业务属性；