测试访问策略制造技术

可以在将掌控对资源的访问的策略用于控制对资源的访问之前针对现实访问请求对所述策略进行测试。在一个例子中，通过被称为有效策略的策略掌控对资源的访问。在要对所述策略进行修改或替换时，所述修改或替换可以变成测试策略。在发出对访问资源的请求时，可以既根据有效策略又根据测试策略对所述请求进行评估。根据有效策略确定是否准许访问，但是要指明根据测试策略将做出的判断并且可以对其加以记录。如果确定测试策略在面对现实访问请求时表现令人满意，那么可以采用所述测试策略替代现有有效策略。

【技术实现步骤摘要】
测试访问策略
技术介绍
可以通过确定既定的资源访问请求是否可以得到准许的策略控制对资源的访问。在发出资源访问请求时，参照所述策略对所述请求进行评估。如果基于所述评估确定可允许所述请求，那么准许所请求的访问；否则拒绝。随着计算系统和环境变得更加复杂，掌控对资源的访问的策略也变得越来越复杂。策略可以确定谁或者什么能够访问数量非常多的资源，并且可能取决于复杂的交织缠绕的各种因素。因而，往往难以预测既定策略的效果，而且策略中的差错(意外地准许对错误负责人的访问，或者拒绝对正当负责人的访问的前景)的代价非常高。即使对现有的策略的微小变化可能产生在做出策略变化时难以预测的深远影响。
技术实现思路
可以在部署策略之前对策略进行测试，从而确定所述策略是否将产生其预期效果。在一个例子中，策略掌控对资源的访问，并且管理员想要改变所述策略。管理员可以创建新的策略，并且可以使所述新的策略连同现有策略一起受到评估作为测试。在发出资源访问请求时，既根据现有策略又根据正受到测试的新策略对所述请求进行评估。可以根据现有策略而不是测试策略做出有关是否准许对资源的访问的实际判断。然而，可以记录根据所述测试策略的评估的结果，从而如果所述测试策略实际生效了则确定将准许还是拒绝所述访问请求。换言之，在试用期内可以针对现实世界的访问请求对新策略的效果进行测试，在试用期内并未将所述新的策略实际用来控制对资源的访问。如果收集到足够的有关测试策略的行为的数据，并且如果数据指示所述策略将如预期地表现，那么可以采用新的策略替代现有策略。在采用新的策略替代现有策略时，可以根据新的策略做出未来的访问判断。在既根据现有策略又根据测试策略对访问请求进行评估时，可以通过各种方式记录所得到的评估。在一个例子中，可以记录每一请求。在另一个例子中，记录使测试策略产生了不同于现有策略的结果的每一请求。对这种记录方案的一种变型是记录一定百分比的评估，或者记录所述评估直到收集到某一具体数量的数据为止。可以将所述日志报告给管理员，该管理员可以采用所述日志判断是否采用所述测试策略替代现有策略。或者，如果测试策略和现有策略之间的行为差异超过了某一极限(或者保持在该极限内)，那么可以自动对所述测试策略做出变化。提供这一
技术实现思路
从而以简化的形式介绍原理的选择，在下文的具体实施方式中将对其做进一步描述。这一
技术实现思路
并非旨在标明所要求保护的主题的关键特征或基本特征，也并非旨在用于限定所要求保护的主题的范围。附图说明图1是可以对策略进行测试的示范性过程的流程图。图2是示范性记录过程的流程图。图3是授权策略用于掌控对资源的访问的示范性方案的方框图。图4是可以结合文中描述的主题的实现所使用的示范性部件的方框图。具体实施例方式可以根据策略控制对资源的访问。在发出对访问资源的请求时，可以做出有关什么策略(一种或多种)适用于所述资源的确定。一旦识别出了可适用的一种或多种策略，就可以针对这些策略对所述请求进行评估。如果所述策略(或者所述策略的逻辑乘或逻辑加组合)允许对所述资源进行访问，那么可以准许所述访问请求。否则，可以拒绝所述请求。早期的访问控制系统相对简单，例如，每一文件或其它资源通常标有可以访问该资源的负责人或群体的名称。在这样的系统中，对策略效果的理解相对简单。例如，如果策略规定“Joe能够读/写这一资源，并且会计组能够阅读这一资源”，那么可以相对直接地理解将准许哪些访问请求以及将拒绝哪些访问请求。然而，随着计算环境以及负责人之间的关系变得越来越复杂，掌控资源的访问策略也变得越来越复杂。在很多情况下，掌控对资源的访问的策略(或策略的组合)相当地复杂，从而难以预测所述策略在各种各样的情况下将如何表现。此外,对策略的看似小的变化可能对准许哪些访问请求以及拒绝哪些访问请求具有深远的、无法预知的影响。因而，做出未加测试的策略变化可能存在风险，因为变化的影响难以预测。文中描述的主题提供了用于在所述策略实际用于掌控对资源的访问之前在现实情况下测试策略的技术。在要改变有效(effective)策略时，可以使测试策略与所述有效策略相关。在对受到有效策略掌控的资源发出访问请求时，可以既根据有效策略又根据测试策略对所述请求进行评估。响应于所述请求给出的实际访问判断以根据有效策略的评估结果为基础。然而，确定根据所述测试策略的评估结果，并且可以对其进行记录。既根据有效策略又根据测试策略对各种请求进行评估的结果以及这些结果之间的任何差异可以表明所述测试策略将如何表现、以及在正被测试的策略最终替代现有有效策略时将产生访问的什么变化。应当指出，一些访问控制系统可以响应于访问请求而对多项有效策略进行评估。然而，应当指出，既对有效策略进行评估又对测试策略(尚未有效的策略)进行评估的系统并非只是对多个有效策略进行评估的系统的显见变型。在只是响应于访问请求而对多个有效策略进行评估的系统中，所述各种策略可能都对针对该访问请求的实际判断产生作用。作为对比，在响应于访问请求而对测试策略进行评估时，测试策略的结果通常不对所做出的实际访问判断产生作用(并且至此可能尚未对任何资源的任何访问判断产生作用)，相反可能用来确定将来是否要将所述测试策略部署为有效策略。现在转向附图，图1示出了可以对策略进行测试的示范性过程。在着手对图1进行描述之前，应当指出，此处(图1以及图2中)包含的每一流程图示出了按照特定的顺序执行过程的各个阶段的例子，所述顺序由连接所述块的线表示，但是可以按照任何顺序或者按照任何组合或子组合执行这些图表中所示的各个阶段。在102中创建策略104。策略104可以指定可以准许对资源的访问的条件。例如，策略104可以指定可以准许的访问类型、可以准许其访问的负责人的类别、可以准许在其期间访问的日期和/或时间、可以在其上准许访问的机器的类型、与可以通过其寻求访问的网络的类型有关的限制、与负责人可以准许访问其他负责人相关的授权规定或者任何其他掌控有关是否准许访问资源的判断的条件。此外，策略104可以隐含地或者明确地指定准许访问的资源的种类，在下文中将对其予以更加详细的讨论。在106中，策略104可以与具体的范围相关。范围定义资源的集合，并且可以通过任何方式定义范围。在一个例子中，范围只是落在该范围内的任何资源列表。在另一个例子中，可以用更加概括的语言定义范围，例如，具体文件夹内的资源集合、具体机器上的资源集合、其名称匹配规则表达式[abcdef] [a-z0-9]*\. txt的资源集合、或者任何其他定义资源集合的方式。使策略与范围相关则申明了所述策略适用于所述范围内的那些资源。应当指出，适用性判断的部分可以是所述策略本身的部分。例如，范围可以包括名称以字母A-F开头的所有资源，但是与该范围相关的策略可以含有实际上使所述策略仅适用于名称以字母A开头的资源的规则。(应当指出，在实践中，能够采用文中描述的技术测试的很多策略变化都涉及作为策略的部分的适用性判断。然而，文中描述的主题不限于影响适用性判断的变化。)。在108中，可以部署策略104。在部署策略后，参照策略对处于策略的相关范围内的资源的访问请求进行评估。要指出的是，策略已被部署未必暗指该策略为有效策略。既可以部署有效策略，也可以部署测试策略，其意义在于，在寻求对落在所部署的策略的范围内本文档来自技高网...

【技术保护点】
一种对测试策略进行评估的方法，所述方法包括：创建（110）测试策略（320）；使所述测试策略与范围（310）相关（114）；接收（118）访问处于所述范围（310）内的资源（304）的请求（328）；根据所述测试策略（320）评估（122）所述请求（328），从而根据所述测试策略（320）确定要允许还是拒绝所述请求（328）；根据与所述范围（310）相关的有效策略（318）对所述请求（328）进行评估（120），从而根据所述有效策略（318）确定要允许还是拒绝所述请求（328）；根据所述有效策略（318）而非根据所述测试策略（320）做出允许还是拒绝对所述资源（304）的访问的确定（124）；基于所述确定，允许或者拒绝（128）对所述资源（304）的访问；以及对所述测试策略（320）和所述有效策略（318）之间的所述请求的评估的差别进行记录（126）。

【技术特征摘要】
2011.11.10 US 13/294,1621.一种对测试策略进行评估的方法，所述方法包括 创建(I 10)测试策略(320)； 使所述测试策略与范围(310)相关(114)； 接收(118)访问处于所述范围(310)内的资源(304)的请求(328)； 根据所述测试策略(320)评估(122)所述请求(328)，从而根据所述测试策略(320)确定要允许还是拒绝所述请求(328)； 根据与所述范围(310 )相关的有效策略(318 )对所述请求(328 )进行评估(120 )，从而根据所述有效策略(318)确定要允许还是拒绝所述请求(328)； 根据所述有效策略(318)而非根据所述测试策略(320)做出允许还是拒绝对所述资源(304)的访问的确定(124)； 基于所述确定，允许或者拒绝(128)对所述资源(304)的访问；以及对所述测试策略(320)和所述有效策略(318)之间的所述请求的评估的差别进行记录(126)。2.根据权利要求1所述的方法，所述操作还包括 确定所述请求是在多个机器的子集中的一个上做出的； 基于在处于所述机器子集内的机器上发出的、而不是在所述多个机器中的不处于所述子集内的机器上发出的所述请求，根据所述测试策略执行所述请求的评估。3.根据权利要求1所述的方法，所述有效策略包括多个构成部分的组合，所述测试策略表示对一个或多个所述构成部分的改变,所述操作还包括 确定允许还是拒绝所述请求的判断在所述测试策略和所述有效策略之间不变化； 确定所述构成部分中的一个或多个在所述测试策略和所述有效策略之间变化；以及基于所述构成部分中的一个或多个在所述测试策略和所述有效策略之间变化的事实对所述请求进行记录，尽管允许或拒绝访问的所述判断在所述测试策略和所述有效策略之间不变化。4.根据权利要求1所述的方法，所述有效策略实施有关所述有效策略可适用于所述范围内的哪些资源的判断，所述测试策略表示相对于所述测试策略的适用性变化。5.一种计算机可读介质，具有执行根据权利要求1-4中的任何一项所述的方法的计算机可执行指令。6.一种用于对测试策略进行评估的...

【专利技术属性】
技术研发人员：MF诺瓦克，P利奇，V阿加瓦尔，D麦菲尔森，S戈图穆卡拉，J沙，AK南达，NB茨维，P库克雷加，R兰加纳桑，
申请(专利权)人：微软公司，
类型：发明
国别省市：