访问控制方法、装置和设备制造方法及图纸

本公开的实施例提供了访问控制方法、设备、装置、存储介质和程序产品。在访问控制方法中，确定应用于云环境中的服务的访问控制规则。访问控制规则指定云环境中被允许访问该服务的源对象。确定云环境中部署有该服务的目标实例，并且在目标实例启用该访问控制规则。这样，本公开的实施例实现了分布式访问控制。以此方式，简化了安全策略配置，并且使安全策略的故障半径可控，从而可以提升安全策略的运维效率。效率。效率。

【技术实现步骤摘要】
访问控制方法、装置和设备


[0001]本公开的实施例主要涉及计算机
，尤其是云计算领域。更具体地，本公开的实施例涉及用于云环境中的访问控制方法、装置、设备、计算机可读存储介质以及计算机程序产品。

技术介绍

[0002]云技术用于实现云环境中托管的服务，是计算机领域中发展最快的技术之一。云计算可以向消费方提供诸如网络、网络带宽、服务器、存储、应用等资源作为服务。以公有云为例，器涉及众多数据中心和众多服务。一些服务之间可能具有依赖性，因此需要交互。为了保证服务的网络安全，需要针对不同服务的安全策略以进行访问控制。当前，这样的安全策略通常由集中式防火墙来实现。然而，集中式防火墙具有诸多问题，例如可靠性低、易用性不高、成本高等。

技术实现思路

[0003]本公开的实施例提供了一种用于访问控制的方案。
[0004]在本公开的第一方面，提供了一种访问控制方法。该方法包括：确定应用于云环境中的服务的访问控制规则，访问控制规则指定云环境中被允许访问服务的源对象。方法还包括：确定云环境中部署有服务的目标实例。方法还包括：在目标实例启用访问控制规则。
[0005]以此方式，实现了以服务为保护对象的、在实例处的分布式访问控制。这种方式简化了安全策略配置，并且使安全策略的故障半径可控，从而可以提升安全策略的运维效率。因此，本公开的实施例能够实现云环境中可靠且安全的访问控制。
[0006]在第一方面的一些实施例中，确定应用于服务的访问控制规则包括：确定服务所属于的安全组的访问控制规则，作为应用于服务的访问控制规则。利用安全组，可以统一管理共享相同的访问控制规则的服务。以此方式，可以简化安全策略管理，并提高安全策略的运维效率。
[0007]在第一方面的一些实施例中，服务包括云服务、微服务组、微服务或组件中的至少一项。在这种实施例中，允许将不同层级中的服务作为保护对象。以此方式，可以提高安全策略管理的灵活性。
[0008]在第一方面的一些实施例中，方法还包括：如果增加部署有服务的实例，在所增加的实例启用访问控制规则。在这种实施例中，响应于服务的扩容，可以自动在所增加的实例启用访问控制规则。以此方式，简化了安全策略的人工配置，从而有助于提高安全策略的运维效率。
[0009]在第一方面的一些实施例中，方法还包括：如果目标实例不再部署服务，在目标实例禁用或移除访问控制规则。在这种实施例中，响应于服务的缩容，可以自动在所减少的实例禁用或移除访问控制规则。以此方式，简化了安全策略的人工配置，从而有助于提高安全策略的运维效率。
[0010]在第一方面的一些实施例中，方法还包括：如果目标实例不再部署服务，将目标实例与访问控制规则解除关联。例如，可以从安全组移除目标实例。在这种实施例中，响应于服务的缩容，可以自动调整安全策略。以此方式，简化了安全策略的人工配置，从而有助于提高安全策略的运维效率。
[0011]在第一方面的一些实施例中，确定访问控制规则包括：基于用户输入创建安全组，安全组包括服务和应用于服务的访问控制规则。利用安全组，用户可以统一管理共享相同的访问控制规则的服务。以此方式，可以简化安全策略管理，并提高安全策略的运维效率。
[0012]在第一方面的一些实施例中，方法还包括：基于另一用户输入，向安全组添加一个或多个服务，或从安全组移除一个或多个服务。以此方式，可以简单地通过服务的添加或移除，来管理目标实例处的访问控制规则。
[0013]在第一方面的一些实施例中，源对象包括以下至少一项：云环境中的一个或多个服务，云环境中的一个或多个地址，或云环境中的地址集合。以此方式，可以通过多种方式灵活且便捷地指定源对象。
[0014]在第一方面的一些实施例中，安全组中的服务属于具有相同权限的用户。在这种实施例中，通过设置用户权限，仅具有相应权限的用户才能够指定保护对象。以此方式，可以增强访问控制的可靠性和安全性。
[0015]在第一方面的一些实施例中，在目标实例启用访问控制规则包括：在目标实例启用服务在一个或多个平面的访问控制规则，平面为以下任一项：管理平面、存储平面、运维平面或业务平面。在这种实施例中，分布式访问控制被细化到平面粒度。以此方式，可以提高安全策略管理的精确度，并且可以进一步缩小故障半径。
[0016]在第一方面的一些实施例中，在目标实例启用访问控制规则包括：通过目标实例所在可用区的控制器，将访问控制规则发放到目标实例。以此方式，可以准确、低延时地将访问控制规则调度到目标实例。
[0017]在第一方面的一些实施例中，属于安全组的不同服务部署在不同云环境。利用安全组，可以便捷地实现多云环境中服务的安全策略管理。
[0018]在本公开的第二方面，提供了一种访问控制装置。该装置包括：规则确定单元，被配置为确定应用于云环境中的服务的访问控制规则，访问控制规则指定云环境中被允许访问服务的源对象；实例确定单元，被配置为确定云环境中部署有服务的目标实例；以及规则启用单元，被配置为在目标实例启用访问控制规则。
[0019]以此方式，实现了以服务为保护对象的、在实例处的分布式访问控制。这种方式简化了安全策略配置，并且使安全策略的故障半径可控，从而可以提升安全策略的运维效率。因此，本公开的实施例能够实现云环境中可靠且安全的访问控制。
[0020]在第二方面的一些实施例中，规则确定单元进一步被配置为：确定服务所属于的安全组的访问控制规则，作为应用于服务的访问控制规则。利用安全组，可以统一管理共享相同的访问控制规则的服务。以此方式，可以简化安全策略管理，并提高安全策略的运维效率。
[0021]在第二方面的一些实施例中，服务包括云服务、微服务组、微服务或组件中的至少一项。在这种实施例中，允许将不同层级中的服务作为保护对象。以此方式，可以提高安全策略管理的灵活性。
[0022]在第二方面的一些实施例中，装置还包括：第一更新单元，被配置为如果增加部署有服务的实例，在所增加的实例启用访问控制规则。在这种实施例中，响应于服务的扩容，可以自动在所增加的实例启用访问控制规则。以此方式，简化了安全策略的人工配置，从而有助于提高安全策略的运维效率。
[0023]在第二方面的一些实施例中，装置还包括：第二更新单元，被配置为如果目标实例不再部署服务，在目标实例禁用或移除访问控制规则。在这种实施例中，响应于服务的缩容，可以自动在所减少的实例禁用或移除访问控制规则。以此方式，简化了安全策略的人工配置，从而有助于提高安全策略的运维效率。
[0024]在第二方面的一些实施例中，装置还包括：第三更新单元，被配置为如果目标实例不再部署服务，将目标实例与访问控制规则解除关联。在这种实施例中，响应于服务的缩容，可以自动调整安全策略。以此方式，简化了安全策略的人工配置，从而有助于提高安全策略的运维效率。
[0025]在第二方面的一些实施例中，规则确定单元进一步被配置为：基于用户输入创建安全组，安全组包括服务和应用于服务的访问控制规则。利用安全组，用户可本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种访问控制方法，其特征在于，包括：确定应用于云环境中的服务的访问控制规则，所述访问控制规则指定所述云环境中被允许访问所述服务的源对象；确定所述云环境中部署有所述服务的目标实例；以及在所述目标实例启用所述访问控制规则。2.根据权利要求1所述的方法，其特征在于，确定应用于所述服务的所述访问控制规则包括：确定所述服务所属于的安全组的访问控制规则，作为应用于所述服务的所述访问控制规则。3.根据权利要求1或2所述的方法，其特征在于，所述服务包括云服务、微服务组、微服务或组件中的至少一项。4.根据权利要求1
‑
3中的任一项所述的方法，其特征在于，所述方法还包括：如果增加部署有所述服务的实例，在所增加的实例启用所述访问控制规则。5.根据权利要求1
‑
4中的任一项所述的方法，其特征在于，所述方法还包括：如果所述目标实例不再部署所述服务，在所述目标实例禁用或移除所述访问控制规则。6.根据权利要求1
‑
5所述的方法，其特征在于，所述方法还包括：如果所述目标实例不再部署所述服务，将所述目标实例与所述访问控制规则解除关联。7.根据权利要求1
‑
6中的任一项所述的方法，其特征在于，确定所述访问控制规则包括：基于用户输入创建安全组，所述安全组包括所述服务和应用于所述服务的所述访问控制规则。8.根据权利要求7所述的方法，其特征在于，所述方法还包括：基于另一用户输入，向所述安全组添加一个或多个服务，或从所述安全组移除一个或多个服务。9.根据权利要求1
‑
8中的任一项所述的方法，其特征在于，所述源对象包括以下至少一项：所述云环境中的一个或多个服务，所述云环境中的一个或多个地址，或所述云环境中的地址集合。10.根据权利要求2所述的方法，其特征在于，所述安全组中的服务属于具有相同权限的用户。11.根据权利要求1
‑
10中的任一项所述的方法，其特征在于，在目标实例启用所述访问控制规则包括：在所述目标实例启用所述服务在一个或多个平面的所述访问控制规则，所述平面为以下任一项：管理平面、存储平面、运维平面或业务平面。12.根据权利要求1
‑
10中的任一项所述的方法，其特征在于，在所述目标实例启用所述访问控制规则包括：
通过所述目标实例所在可用区的控制器，将所述访问控制规则发放到所述目标实例。13.根据权利要求2所述的方法，其特征在于，属于所述安全组的不同服务部署在不同云环境。14.一种访问控制装置，其特征在于，包括：规则确定单元，被配置为确定应用于云环境中的服务的访问控制规则，所述访问控制规则指定所述云环境中被允许访问所述服务的源对象；实例确定单元，被配置为确定所述云环境中部署有所述服务的目标实例；以及规则启用单元，被配置为在所述目标实例启用所述访问控制规则。15.根据权利要求14所述的方法，其特征在于，所述规则确定单元进一步被配置为：确定所述服务所属于的安全组的...

【专利技术属性】
技术研发人员：孙应孔，朱小平，
申请(专利权)人：华为云计算技术有限公司，
类型：发明
国别省市：