分布式云环境下的安全访问控制架构及其访问方法
【技术领域】
[0001] 本发明涉及云数据处理技术领域，具体来说是分布式云环境下的安全访问控制架 构及其访问方法。
【背景技术】
[0002] 云计算的日益普及对其安全性的挑战已引起强烈关注，而由于资源共享，在这方 面的问题则尤为突出。由于潜在的不诚信租赁中物理资源的共享，其结果将使信道遭受攻 击的风险增加，致使以多租户经营及虚拟为特征的云计算将其独特的安全性及访问控制的 挑战摆在面前。另外，多租户计算间的干扰可能导致未授权的信息流。同时，云计算环境中 的服务多样性也要求访问控制方面不同粒度等级。不适当或不可靠的授权机制可能显著增 加云资源和服务未授权使用的风险。为防止这种攻击，细分的授权机制可以有助于实现标 准化的安全措施，因此一些访问控制方面的挑战及与其管理相伴的复杂性需要一种先进有 效的安全机制，这种机制不仅仅可适合访问管理需求，而且也能确保云系中安全的互操作。
[0003] 部分研究人员已提出一些关于云计算的访问控制问题，如Daniel Nurmi和他的团 队曾经提出了一种控制虚拟机执行的授权系统，以确保只有管理人员和拥有者（业主）可 以对其访问。Stefan Berger和他的团队提出了一种建立在基于角色的访问控制和安全标 签基础上的授权模型，以用于控制对共享数据、虚拟机、和网络资源的访问。Jose Alcaraz Calero和他的团队提出了一种中央授权系统，该系统提供了一种基于结盟路径的访问控制 机制。
[0004] 现在才需要能够提出一种用于多租户运营的虚拟环境下的分布式多云系访问控 制架构，该架构结构的设计建立在安全管理和软件工程原理的基础上。从安全管理的视角， 其目标是要满足云用户的访问控制需求。从软件工程的视角，其目标在于形成针对这些需 求的具体技术规范。
【发明内容】
[0005] 本发明的目的是为了解决现有技术中尚无针对分布式多云系访问控制架构的缺 陷，提供一种分布式云环境下的安全访问控制架构及其访问方法来解决上述问题。
[0006] 为了实现上述目的，本发明的技术方案如下：
[0007] 分布式云环境下的安全访问控制架构，分布式云环境A包括云应用服务端A、云平 台服务端A、虚拟基础设备服务端A和物理层设备A，云应用服务端A与云平台服务端A进 行数据通信，云平台服务端A与虚拟基础设备服务端A进行数据通信，虚拟基础设备服务端 A基于物理层设备A进行数据处理操作，
[0008] 还包括虚拟资源管理器A和分布式访问控制模块A，虚拟资源管理器A用于提供和 配置虚拟资源，维护与其配置关联的虚拟需求资源表，虚拟需求资源表包括整个虚拟全局 目录服务库中的本地和远程资源；分布式访问控制模块A用于强化访问控制策略，其包括 策略决策点A、策略强化点A和策略库A ;所述的云应用服务端A、云平台服务端A和虚拟基 础设备服务端A均安装虚拟资源管理器A和分布式访问控制模块A。
[0009] 分布式云环境下的安全访问控制架构的访问方法，本地云访问过程包括以下步 骤：
[0010] 用户访问云应用服务端A，根据云应用服务端A的分布式访问控制模块A的验证判 断，通过云应用服务端A的虚拟资源管理器A获取云平台服务端A的访问资源；
[0011] 用户访问云平台服务端A，根据云平台服务端A的分布式访问控制模块A的验证判 断，通过云平台服务端A的虚拟资源管理器A获取虚拟基础设备服务端A的访问资源；
[0012] 用户访问虚拟基础设备服务端A，根据虚拟设备服务端A的分布式访问控制模块A 的验证判断，通过虚拟设备服务端A的虚拟资源管理器A调用物理层设备A。
[0013] 云应用服务端A的访问方法包括以下步骤：
[0014] 用户启动授权过程，访问本地云的云应用服务端A，请求服务或访问虚拟资源；
[0015] 云应用服务端A的分布式访问控制模块A判断是否允许请求，若允许则将请求转 至云应用服务端A的虚拟资源管理器A ;
[0016] 云应用服务端A的虚拟资源管理器A对虚拟资源和计算的请求、存储进行辨识，对 虚拟全局目录服务库进行查阅后，虚拟资源管理器A通过授权请求申请所需资源。
[0017] 所述的分布式访问控制模块A判断是否允许请求包括以下步骤：
[0018] 用户提出的授权请求到达策略决策点组件A，策略决策点组件A从授权请求中提 取资格验证信息和语义信息，并将提取结果馈送给策略强化点组件A ;
[0019] 策略强化点组件A中的资格评估器A接收资格验证信息，策略强化点组件中A的 语义评估器A接收语义信息；
[0020] 策略强化点组件A判断是否允许用户的授权请求，若授权请求包含资格认证，资 格评估器A通过策略定点组件A使用语义信息中的用户-角色分配规则，将存放在策略库 A中的本地角色赋予该用户；若语义信息中不包括用户-角色分配规则，则无法赋予用户相 应的本地角色；
[0021] 策略强化点组件A将该用户的本地角色返回给策略决策点组件A，分布式访问控 制模块A允许请求。
[0022] 还包括服务层级协议模块和与分布式云环境A结构相同的分布式云环境B，服务 层级协议模块用于进行不同云系之间的角色映射，将本地云角色映射到远程云中的角色， 并准许访问所有的经允许的映射任务；分布式云环境A与分布式云环境B通过服务层级协 议模块进行云系穿越访问。
[0023] 基于分布式云环境A与分布式云环境B的云系穿越访问包括以下步骤：
[0024] 用户访问分布式云环境A中的云应用服务端A，云应用服务端A的分布式访问控 制模块A通过用户的授权请求，分布式访问控制模块A发现请求的资源位于分布式云环境 B中，在查询虚拟目录全局服务后，云应用服务端A的虚拟资源管理器A将用户的授权请求 发至对应的服务层级协议模块；
[0025] 服务层级协议模块进行角色映射，
[0026] 服务层级协议模块将进行角色映射后的用户引导至分布式云环境B的云应用服 务端B的分布式访问控制模块B，进行云应用服务端B的访问。
[0027] 所述的服务层级协议模块进行角色映射包括以下步骤：
[0028] 云应用服务端A的虚拟资源管理器A发出的授权请求到达服务层级协议模块的 SLA策略强化点；
[0029] SLA策略强化点提取授权请求中的语义信息，并将语义信息发给SLA语义抽取器；
[0030] SLA决策点组件使用语义信息中的用户-映射角色分配规则，将存放在SLA策略库 中的映射角色赋予该用户；
[0031] 角色映射组件将完成映射角色后的授权决策发送给SLA策略强化点；
[0032] 服务层级协议模块完成角色映射过程。
[0033] 有益效果
[0034] 本发明的分布式云环境下的安全访问控制架构及其访问方法，与现有技术相比提 出了在多租户及资源虚拟环境中预防通道攻击和无干扰的方法，建立一种安全可信的分布 式云计算基础架构，其不仅可适合访问管理需求，还能确保云系中安全的互操作，保证了云 环境下的访问安全性。
[0035] 同时，本访问控制架构具有以下度量特征：多云连锁范围中服务与资源共享的高 度互操作性；无任何干预下穿越合作云系完成其本地局域操作的自主性；在其内部策略和 局部约束条件范围开放信息的高隐秘度；具有在集成复杂的多重策略时，检验全部约束条 件正确性的认证能力。
【附图说明】
[0036] 图1为现有技术中多云环境中的合作特征解析图；
[0037] 图2为本发明的架构图；
[0038] 图3a为本发明中本地云访问过程的方法流程图；
[0039] 图3b为本发明中云系穿越访问的方法流程图；
[0040] 图4为本发明中分布式访问控制模块的架构图；
[0041] 图5为本发明中服务层级协议模块的架构图；
[0042] 其中，1-云应用服务端A、2-云平台服务端A、3-虚拟基础设备服务端A、4-物理 层设备A、5-虚拟资源管理器A、6-分布式访问控制模块A、7-服务层级协议模块、21-云 应用服务端B、22-分布式访问控制模块B、51-策略决策点组件A、52-策略强化点组件A、 53-资格评估器A、54-语义评估器A、55-策略定点组件A、56-策略库A、71-SLA策略强化 点、72-SLA语义抽取器、73-SLA决策点组件、74-SLA策略库、75-角色映射组件。
【具体实施方式】
[0043] 为使对本发明的结构特征及所达成的功效有更进一步的了解与认识，用以较佳的 实施例及附图配合详细的说明，说明如下：
[0044] 如图2所不，本发明所述的分布式云环境下的安全访问控制架构，其中分布式云 环境A包括云应用服务端AU云平台服务端A2、虚拟基础设备服务端A3和物理层设备A4。 其中，物理层设备A4则为云服务的提供商，其提