数据访问控制方法和装置的制造方法
【技术领域】
[0001]本发明涉及计算机信息安全技术领域，尤其涉及一种数据访问控制方法和装置。
【背景技术】
[0002]访问控制是系统保密性、完整性、可用性和合法使用性的重要基础之一，也是网络安全防范和资源保护的关键策略之一。访问控制为系统信息和数据资源安全提供了基本保障。所谓访问控制指系统对用户身份及其所属的预先定义的策略组限制其使用数据资源能力的手段。其基本思想是主体依据某些控制策略或权限对客体本身或其资源进行的不同授权访问。一般来说，访问控制实现是通过数据库系统和应用系统来完成的。应用系统为用户提供操作方便的用户权限管理功能，使被授予特权的用户可在应用系统中交叉维护用户的各种权限。
[0003]基于角色的访问控制(RBAC)是20世纪90年代初美国国家标准及技术研宄所(Nat1nal Institute of Standards and Technology，简称NIST)提出的一种访问控制技术，其基本思想是在用户集合与权限集合之间建立一个角色集合，每一种角色对应一组相应的权限，一旦用户被分配了适当的角色后，该用户就拥有此角色的所有操作权限。在应用系统中，用户通过会话激活角色集，并映射在角色集上的访问权限，间接地访问应用系统的资源和信息。
[0004]基于角色的访问控制从应用系统机制方面能够规范合法用户的使用权限。但从数据访问安全控制的完整性角度来看，忽略了数据的区域范围的访问控制。而在实际工作和管理过程中，各种基于国家(部委)、省(直辖市)、市、区县、乡镇(社区)、村(街道)等多级网络分布式应用系统非常常见。要做好这些应用系统的数据访问安全控制，不仅要实现数据的操作权限的控制，考虑到数据来源、数据共享等方面的利益与安全，更要从数据本身的区域位置属性的角度加以控制。现有技术中的访问控制方法无法实现这样的访问控制。
【发明内容】
[0005]本发明的一个目的在于解决上述技术问题。
[0006]第一方面，本发明提供了一种数据访问控制方法，包括:获取需要访问控制的数据中的每一条数据的位置信息；数据的位置信息用于指示该数据所针对的行政区划；
[0007]在接收到用户发送的访问控制请求时，确定该用户所请求访问控制的目标数据以及该用户被授权控制的行政区划；判断该用户所对应的行政区划与所述目标数据的位置信息所指示的行政区划是否匹配，并仅在匹配时允许该用户对该目标数据访问控制。
[0008]进一步的，所述访问控制请求中携带有用于表示该用户被授权控制的行政区划的位置信息；
[0009]所述确定该用户所请求访问控制的目标数据以及该用户被授权控制的行政区划，包括:根据所述访问控制请求中携带的位置信息确定所述该用户被授权控制的行政区划。
[0010]进一步的，所述判断该用户所对应的行政区划与所述目标数据的位置信息所指示的行政区划是否匹配包括:
[0011]判断该用户被授权控制的行政区划是否与所述目标数据的位置信息所指示的行政区划相同，并在判断为是时判定该用户被授权控制的行政区划与所述目标数据的位置信息所指示的行政区划匹配。
[0012]进一步的，
[0013]所述判断该用户所对应的行政区划与所述目标数据的位置信息所指示的行政区划是否匹配还包括:
[0014]在判断该用户被授权控制的行政区划是否与所述目标数据的位置信息所指示的行政区划不相同时，进一步判断该用户被授权控制的行政区域是否为所述目标数据的位置信息所指示的行政区划的上级行政区划，并在判断为是时判定该用户所对应的行政区划与所述目标数据的位置信息所指示的行政区划匹配，否则判定为不匹配。
[0015]第二方面，本发明提供了一种数据访问控制装置，包括:
[0016]获取模块，用于获取需要访问控制的数据中的每一条数据的位置信息；数据的位置信息用于指示该数据所针对的行政区划；
[0017]控制模块，用于在接收到用户发送的访问控制请求时，确定该用户所请求访问控制的目标数据以及该用户被授权控制的行政区划；判断该用户所对应的行政区划与所述目标数据的位置信息所指示的行政区划是否匹配，并仅在匹配时允许该用户对该目标数据访问控制。
[0018]进一步的，所述访问控制请求中携带有用于表示该用户被授权控制的行政区划的位置信息；
[0019]所述控制模块具体用于根据所述访问控制请求中携带的位置信息确定所述该用户被授权控制的行政区划。
[0020]进一步的，所述访问控制请求中携带有用于表示该用户对应的行政区划的位置信息;
[0021]所述控制模块具体用于根据所述访问控制请求中携带的位置信息确定所述该用户被授权控制的行政区划。
[0022]进一步的，
[0023]所述控制模块还用于
[0024]在判断该用户被授权控制的行政区划是否与所述目标数据的位置信息所指示的行政区划不相同时，进一步判断该用户被授权控制的行政区域是否为所述目标数据的位置信息所指示的行政区划的上级行政区划，并在判断为是时判定该用户所对应的行政区划与所述目标数据的位置信息所指示的行政区划匹配，否则判定为不匹配。
[0025]本发明提供的数据访问控制方法中，由于仅在用户被授权控制行政区划与所述目标数据的位置信息所指示的行政区划匹配时允许该用户访问该目标数据，能够有效地防止被授权控制区域与该目标数据所针对的行政区划不匹配的用户访问控制该目标数据，从而实现基于行政区划的访问控制。
【附图说明】
[0026]通过参考附图会更加清楚的理解本发明的特征和优点，附图是示意性的而不应理解为对本发明进行任何限制，在附图中:
[0027]图1为本发明提供的数据访问控制方法的流程示意图；
[0028]图2为本发明提供的数据访问控制装置的结构示意图。
【具体实施方式】
[0029]下面将结合附图对本发明的实施例进行详细描述。
[0030]本发明提供了一种数据访问控制方法，包括:
[0031]步骤101，获取需要访问控制的数据中的每一条数据的位置信息；数据的位置信息用于指示该数据所针对的行政区划；
[0032]步骤102，在接收到用户发送的访问控制请求时，确定该用户所请求访问控制的目标数据以及该用户被授权控制的行政区划；
[0033]步骤103，判断该用户所对应的行政区划与所述目标数据的位置信息所指示的行政区划是否匹配，并仅在匹配时允许该用户对该目标数据访问控制。
[0034]本发明提供的数据访问控制方法中，由于仅在用户被授权控制行政区划与所述目标数据的位置信息所指示的行政区划匹配时允许该用户访问该目标数据，能够有效地防止被授权控制区域与该目标数据所针对的行政区划不匹配的用户访问控制该目标数据，从而实现基于行政区划的访问控制。
[0035]进一步的，所述访问控制请求中携带有用于表示该用户被授权控制的行政区划的位置信息；
[0036]所述确定该用户所请求访问控制的目标数据以及该用户被授权控制的行政区划，包括:根据所述访问控制请求中携带的位置信息确定所述该用户被授权控制的行政区划。
[0037]进一步的，所述判断该用户所对应的行政区划与所述目标数据的位置信息所指示的行政区划是否匹配包括:
[0038]判断该用户被授权控制的行政区划是否与所述目标数据的位置信息所指示的行政区划相同，并在判断为是时判定该用户被授权控制的行政区划与所述目标数据的位置信息所指示的行政区划匹配。
[0039]所述判断该用户所对应的行政区划与所述目标数据的位置信息所指示的行政区划是否匹配还包括:
[0040]在判断该用户被授权控制的行政区划是否与所述目标数据的位置信息所指示的行政区划不相同时，进一步判断该用户被授权控制的行政区域是否为所述目标数据的位置信息所指示的行政区划的上级行政区划，并在判断为是时判定该用户所对应的行政区划与所述目标数据的位置信息所指示的行政区划匹配，否则判定为不匹配。
[0041]不难理解，这里所指的一条数据的位置信息用于指示该数据所针对的行政区划，是指该数据是用于描述行政区划内的相关数据；比如该行政区划内的土地使用率、气象数据、人口数据、该行政区划的面积等。
[0042]下面结合具体场景对本发明提供的数据访问控制方法的一种可选的实施方式说明:
[0043]众所周知，地球上80 %的数据资源和信息都与地理位置有关，都具有地理位置的自然属性。比如用户的籍贯属性、单位位置属性，职业职位属性等等。这样用户与数据之间，就可以通过位置属性关联，从而为实现用户对数据内容从属性尺度和空间尺度上进行安全控制提供了基础。
[0044]基于此，本发明实施例中:
[0045]1、在RBAC的基础上，增加用户与人员、人员与科室、科室与单位、单位与行政区划的层次关联关系库，这是本发明的基础之一。具体