一种网格计算环境下的访问控制决策器制造技术

网格计算环境下的访问控制决策器是一种解决网格计算环境下如何实现用户对资源或服务的访问控制的方案。主要针对网格计算环境的动态性、异构性特点提出一个网格访问控制模型，并利用此模型实现一个访问控制决策器，解决网格计算环境下访问控制的决策问题，该方案为一个动态的附加四元素网格访问控制模型，即在实现访问控制决策时除了用户、客体、角色、权限四个基本元素外增加了授权、义务、条件和规定四个元素，建立了基于此模型的网格访问控制决策机制，该方案扩展了基于角色的访问控制功能，增加了访问控制决策的动态特性，实现了网格计算下动态访问控制的决策，为网格安全中访问控制机制的策略研究提供了一种崭新的模式。

【技术实现步骤摘要】
一种网格计算环境下的访问控制决策器
本专利技术是一种解决网格计算环境下如何实现用户对资源或服务的访问控制的方案。主要针对网格计算环境的动态性、异构性特点提出一个网格访问控制模型，并利用此模型实现一个访问控制决策器，解决网格计算环境下访问控制的决策问题，属于网格计算、计算机软件安全

技术介绍
网格(Grid)技术是近年来国际上兴起的一种重要信息技术，它的目标是将地理上广泛分布、系统异构的各种计算资源全面整合在一起，实现网络虚拟环境上的高性能资源共享和协同工作。网格计算环境具有如下特殊属性：1)用户数量庞大且动态变化，参与者变化的频率较高；2)资源池庞大，且动态可变；3)一个计算(由计算创建的过程)可能要求在执行期间动态地使用或释放资源；4)组成计算的进程可以用不同的机制进行通信，包括单播和多播，程序执行期间，低级别的通信连接(例如TCP/IP套接字)可能被动态地创建或撤销；5)资源可支持不同的认证和授权机制，这包括Kerberos、明文口令、安全套接协议(SSL)、Secure Shell(SSH)；6)用户在不同的资源上可有不同的标识；7)资源和用户可能属于多个组织。正是由于这些特殊属性，在设计网格安全机制时特别要考虑网格计算环境的动态和异构特性，网格安全是网格计算的核心问题。访问控制是通过某种途径显式地准许或限制主体对客体访问能力及范围的一种方法。它是针对越权使用系统资源的防御措施，通过限制对关键资源的访问，防止非法用户的侵入或因为合法用户的不慎操作而造成的破坏，从而保证系统资源受控地、合法地使用。具体地说，网格计算环境下的访问控制策略就是要实现“谁在什么条件下对什么资源可执行什么样的访问并履行什么样的义务”的安全目标。由于网格计算的本质是资源共享，因而设计合理、安全的访问控-->制策略才能为建立完善的网格计算环境提供安全保障机制，访问控制策略研究是网格安全中一个重要研究领域。目前已有的有关网格访问控制模型都是基于属性(静态)的，即授权或分配资源的决定是基于用户(主体)、客体(资源或服务)及被请求的权限的属性，并且在进行访问控制授权时只有两种授权结果：授予或拒绝，不能实现有约束条件和附加规定的授权，这导致了在将这类访问控制策略直接应用于以“动态性”为显著特征的网格计算环境下必然导致一定的缺陷，我们必须针对网格的特点制定一个适用于网格计算环境下的访问控制模型，最大限度地提高资源的利用率，实现动态的访问控制决策机制。
技术实现思路
技术问题：本专利技术的目的是提供一种网格计算环境下的访问控制决策器的实现方案，即网格计算环境下动态访问控制的模型，并实现基于此模型的访问控制决策器的实现方案。技术方案：本专利技术将借鉴最新的访问控制研究成果的思想，结合网格计算环境的特点，提出一个网格访问控制模型，实现一个安全访问控制决策器，给出一个网格计算环境下的访问控制的实现方案。本专利技术是一种策略性的方案，借鉴最新的访问控制研究成果、结合成熟的基于角色的访问控制(Role-based Access Control，RBAC)模型，提出一个适应于网格环境下的访问控制模型，实现网格的动态访问控制机制。下面先给出网格访问控制模型中八个基本元素的定义及其功能：1)用户(Users)：具有某些属性并对客体(Objects)提出申请要求具有控制或操作权限的实体，其属性包括身份、角色、安全级别、成员资格等。这些属性将间接地通过角色应用于授权过程。一个用户在同一时间可以拥有多个不同活动权限的角色，但不能分配给两个互斥的角色。2)角色(Roles)：一个或一群用户在虚拟组织(Virtual Organizations，VO)内可执行的操作的集合。角色意味着用户在组织内的责任和职能。用户通过角色实现对资源或服务权限的使用。角色有其生命周期，在用户提交访问控制任务时被访问控制策略器创建，在用户实现了其基于角色载体的访问控制权限后被撤消，其生命周期有运行态、就绪态、等待态三种状态，三者之间根据条件-->的满足或情况的变化可以相互转变。3)客体(Objects)：角色可对之进行操作的实体集，其属性包括安全级别、所有者、等级等。这些属性也将用于授权过程。4)权限(Rights)：角色拥有的对客体进行控制和操作的一些特权。权限由一个角色对客体进行访问或使用的功能集组成。权限可分成许多功能类，如读、写、审计、修改等。一个用户可对应多个角色，多个角色可对应同一个权限。5)授权(Authorizations)：为做出授权使用结果必须检验的一组功能谓词，报告角色是否被允许对客体执行请求的权限操作。其规则是允许主体通过角色对客体进行访问或使用前必须满足的一个需求集，用来检查主体分配的角色是否有资格访问客体的决策因素。6)条件(Conditions)：在使用授权规则进行授权过程中，允许主体通过角色对客体进行访问权限前必须检验的一个决策因素集。条件是环境的、基于上下文的或面向系统的决策因素。条件可用来检查存在的限制，使用权限是否有效，哪些限制必须更新等。7)规定(Disciplines)：在使用授权规则进行授权过程中，允许主体通过角色对客体实现访问权限时必须检验的一个决策因素集。其内容是主体通过角色对客体进行访问或使用时必须满足的一个需求集，是面向用户的，用来检查主体分配的角色是否有资格访问客体的决策因素。8)义务(oBligations)：一个用户在获得对客体的访问权限后必须实时履行的强制需求。分配了权限，就应有执行这些权限的义务责任。并且，若用户没有在规定时间内履行这些责任，其使用客体的权限将实时的被剥夺。除了继承传统的基于角色的RBAC访问控制模型中用户与角色分离、角色与权限分离的思想，我们在网格访问控制模型中增加了授权(Authorizations)、义务(oBligations)、条件(Conditions)和规定(Discipline)四个重要元素，(简称为ABCD四元素)，因而我们提出的网格访问控制模型可简称为附加四元素网格访问控制模型或ABCD-GACM(ABCD-Grid Access Control Model)模型，模型中这八个元素之间的关系是：用户(Users)提交访问控制任务后将由角色(Roles)实现其要求的访问权限，而对客体(Objects)的访问权限将由授权(Authorizations)、义务(oBligations)、规定(Discipline)和条件(Conditions)四个元素共同决定，若角色获得授权许可，它将实现其对客体所要求的访问权-->限(Rights)。图1是ABCD-GACM的结构关系图。我们将建立基于此模型下的网格访问控制决策器。一、访问控制决策器的体系结构基于ABCD-GACM模型的访问控制决策器包括如下三个部分：访问控制管理设备(Access Control Management Facility，ACMF)、访问控制决策设备(AccessControl Decision Facility，ACDF)、访问控制执行设备(Access ControlEnforcement Facility，ACEF)组成。其中，ACMF由用户管理模块、权限管理模块、客体管理模块三个部分组成，负责整个策略器中有关用户本文档来自技高网...

【技术保护点】
一种网格计算环境下的访问控制决策器的实现方案，其特征在于该方案为一个动态的附加四元素网格访问控制模型，即在实现访问控制决策时除了用户、客体、角色、权限四个基本元素外增加了授权、义务、条件和规定四个元素，建立了基于此模型的网格访问控制决策机制，其访问控制决策器的具体实现方案如下：第一步：用户通过登录网格门户进行身份认证，如果认证通过则获取了虚拟组织的认可成为合法用户并可向其提交任务；否则，如果认证不通过，则不能实现对此虚拟组织内任何客体访问的权限，该用户被确定为非法用户 ，其此次访问操作将被终止；第二步：用户在向虚拟组织成功提交任务请求后，要求对该虚拟组织内一客体进行一种指定的访问权限，该虚拟组织的访问控制决策器中的访问控制执行设备将接受其访问请求并由其中的用户化模块首先实现用户实现访问控制的角色载 体，生成具体访问客体权限的角色实体并将用户的请求提交给访问控制决策设备等待其进行决策，角色处于就绪态；第三步：访问控制决策器中的访问控制决策设备根据访问控制执行设备传来的信息，启动其条件检测模块和授权决策模块进行决策，如果条件检测模 块检测通过，即用户要获取访问权限客观环境或设备必须满足的先决条件已具备，则授权决策模块决定授权角色相应的权限，并同时启动规定检测模块准备检测，并将授权结果通知访问控制执行设备；否则，若条件检测未通过，角色将置于等待状态，直至用户具备获取访问权限的先决条件满足重新回到就绪态；第四步：访问控制执行设备根据访问控制决策设备的授权决策结果执行授予角色访问客体权限的请求，若此时规定检测模块检测赋予角色权限的规定不能立即满足，则角色将仍处于就绪状态，等待规定检测通过并由访问控制执 行设备中的监控模块将其激活；若规定检测通过，则角色将置于执行态，真正被赋予对客体使用含规定的权限，访问控制执行设备启动访问控制管理设备中的客体管理模块、权限管理模块，记载客体将被如何使用的详细记录，如使用时间段、使用要求，同时访问控制执行设备中的更新模块将更新有关用户、角色和客体使用权限的信息和访问日志；第五步：角色在获得了对客体的访问权限后，执行用户指定的对客体的访问操作，并将结果返回用户，同时在权限执行过程中访问控制决策设备中的义务执行模块将被启动，它将监测用户对 既定义务的完成情况，若在角色执行权限的限定时间内用户没有实时履行既定义务，则访问控制决策设备中的授权决策模块将撤消角色的权限使...

【技术特征摘要】
1、一种网格计算环境下的访问控制决策器的实现方案，其特征在于该方案为一个动态的附加四元素网格访问控制模型，即在实现访问控制决策时除了用户、客体、角色、权限四个基本元素外增加了授权、义务、条件和规定四个元素，建立了基于此模型的网格访问控制决策机制，其访问控制决策器的具体实现方案如下：第一步：用户通过登录网格门户进行身份认证，如果认证通过则获取了虚拟组织的认可成为合法用户并可向其提交任务；否则，如果认证不通过，则不能实现对此虚拟组织内任何客体访问的权限，该用户被确定为非法用户，其此次访问操作将被终止；第二步：用户在向虚拟组织成功提交任务请求后，要求对该虚拟组织内一客体进行一种指定的访问权限，该虚拟组织的访问控制决策器中的访问控制执行设备将接受其访问请求并由其中的用户化模块首先实现用户实现访问控制的角色载体，生成具体访问客体权限的角色实体并将用户的请求提交给访问控制决策设备等待其进行决策，角色处于就绪态；第三步：访问控制决策器中的访问控制决策设备根据访问控制执行设备传来的信息，启动其条件检测模块和授权决策模块进行决策，如果条件检测模块检测通过，即用户要获取访问权限客观环境或设备必须满足的先决条件已具备，则授权决策模块决定授权角色相应的权限，并同时启动规定检测模块准备检测，并将授权结果通知访问控制执行设备；否则，若条件检测未通过，...

【专利技术属性】
技术研发人员：王汝传，王海艳，杨庚，
申请(专利权)人：南京邮电大学，
类型：发明
国别省市：84[中国|南京]