对物理访问控制的静态权限的基于策略的审核的制作方法

发明领域

本文公开的主题涉及对物理访问控制的静态权限进行基于策略的审核，并且涉及一种用于对物理访问控制的静态权限进行基于策略的审核的系统和方法。

相关技术说明

通常，物理访问控制系统，例如建筑物访问控制系统确保只有授权用户(凭证持有人、持卡人)在合适的环境下才能访问受保护区域。例如，物理访问控制系统可以将提供的凭证与存储的静态权限进行比较，以允许或拒绝在给定时间访问区域。另外，这种静态权限可以涉及单个资源(单个读取器)或资源分组(某一区域内的一批读取器)。静态权限还可以涉及访问被允许或拒绝时的环境条件(诸如，一周内的时间)。

物理访问控制系统需要管理任务添加、移除和更新静态权限，以确保物理访问控制系统的适当的静态权限和有效使用。管理任务通常会利用手动操作，这相当费时并且会引入错误权限记录的风险。基于规则的策略可以有效地管理会影响权限记录的正确性的动态改变，诸如用户属性、组织结构、资源属性(诸如敏感度等级)等的改变。现有的使用这类基于规则的策略的访问控制系统正使用所述策略来动态处理个别访问请求，这要求系统能够实时地运行规则引擎来处理访问请求。具有动态处理能力的这类系统往往与使用要求可获得静态权限来判定访问的软件和硬件架构的现有物理访问控制系统是不兼容的。更换现有的物理访问控制系统的架构来实现对基于规则的策略的动态使用将是昂贵而又不切实际的。需要能够将基于规则的策略与现有的访问控制系统一起使用来使静态权限的管理自动化的系统和方法。

技术实现要素：

根据本发明的一个实施方案，用于审核对至少一个资源的物理访问的系统包括：静态权限数据库，所述静态权限数据库含有标识至少一位凭证持有人对至少一个资源的访问权限的多个静态权限记录；策略数据库，所述策略数据库含有多个策略；处理器，所述处理器用于执行多个策略中的至少一个策略以产生至少一个策略的执行结果，从而将至少一个策略的执行结果与多个静态权限记录中的至少一个适当的静态权限记录进行比较；以及调度器，所述调度器用于响应于偶然事件、调度或管理员的动作中的至少一项而触发处理器来执行至少一个策略并且将所述至少一个策略的执行结果与至少一个适当的静态权限记录进行比较。

除了上文所述的一个或多个特征之外，或者作为替代方案，另外的实施方案可以包括多个策略中的每一个是一个或多个规则的集合并且每个规则包括用户属性、资源属性和环境属性中的至少一项，还包括访问决策，所述访问决策判定满足用户属性的对应的用户是否能够在满足环境属性的环境中访问满足资源属性的至少一个资源。

除了上文所述的一个或多个特征之外，或者作为替代方案，另外的实施方案可以包括多个策略中的每一个包括冲突解决对策以判定策略内的规则的规则优先级。

除了上文所述的一个或多个特征之外，或者作为替代方案，另外的实施方案可以包括违规数据库，所述违规数据库含有如由处理器所计算违反策略中的一个或多个的多个静态权限记录。

除了上文所述的一个或多个特征之外，或者作为替代方案，另外的实施方案可以包括异常数据库，所述异常数据库含有免除多个策略的多个异常静态权限记录。

除了上文所述的一个或多个特征之外，或者作为替代方案，另外的实施方案可以包括处理器被配置来添加新的静态权限记录或者移除多个静态权限记录中的一个。

根据本发明的一个实施方案，审核对至少一个资源的物理访问的方法包括：在静态资源数据库中提供多个静态权限记录，其标识至少一位凭证持有人对至少一个资源的访问权限；在策略数据库中提供多个策略；经由处理器来执行多个策略中的至少一个策略以产生至少一个策略的执行结果；经由处理器来将至少一个策略的执行结果与多个静态权限记录中的至少一个适当的静态权限记录进行比较；以及响应于偶然事件、经由调度器实现的调度或管理员采取的动作中的至少一项而触发处理器来执行至少一个策略并且将所述至少一个策略的执行结果与至少一个适当的静态权限记录进行比较。

除了上文所述的一个或多个特征之外，或者作为替代方案，另外的实施方案可以包括多个策略中的每一个是一个或多个规则的集合并且每个规则包括由用户属性、资源属性和环境属性组成的组中的至少一项，还包括访问决策，所述访问决策判定满足用户属性的对应的用户是否能够在满足环境属性的环境中访问满足资源属性的至少一个资源。

除了上文所述的一个或多个特征之外，或者作为替代方案，另外的实施方案可以包括经由至少一个冲突解决对策来判定多个策略中的每一个的策略内的规则的规则优先级。

除了上文所述的一个或多个特征之外，或者作为替代方案，另外的实施方案可以包括将多个违规记录在违规数据库中。

除了上文所述的一个或多个特征之外，或者作为替代方案，另外的实施方案可以包括在异常数据库中提供免除多个策略的多个异常静态权限记录。

除了上文所述的一个或多个特征之外，或者作为替代方案，另外的实施方案可以包括经由处理器来添加新的静态权限记录或者移除多个静态权限记录中的一个。

除了上文所述的一个或多个特征之外，或者作为替代方案，另外的实施方案可以包括经由图形用户界面来指定多个策略中的至少一个。

根据本发明的一个实施方案，体现在有形计算机可读存储介质上的计算机程序产品包括：在静态资源数据库中提供多个静态权限记录，其标识至少一位凭证持有人对至少一个资源的访问权限；在策略数据库中提供多个策略；经由处理器来执行多个策略中的至少一个策略以产生至少一个策略的执行结果；经由处理器来将至少一个策略的执行结果与多个静态权限记录中的至少一个适当的静态权限记录进行比较；以及响应于偶然事件或调度或管理员的动作中的至少一项而触发处理器来执行至少一个策略并且将所述至少一个策略的执行结果与适当的静态权限记录进行比较。

上述实施方案的技术功能包括执行至少一个策略；将策略结果与适当的静态权限记录进行比较；以及调度对至少一个策略的执行和对策略结果与至少一个静态权限记录的比较。

本发明的其他方面、特征和技术将从以下结合附图进行的描述中变得更为显而易见。

若干附图的简述

在说明书结尾处的权利要求书中具体指出并明确主张了被视为是本发明的主题。本发明的前述和其他特征及优点根据以下结合附图进行的具体实施方式将变得显而易见，其中相同元件在若干附图中的编号相同：

图1是根据本发明的实施方案的物理访问控制系统的示意图；

图2示出根据本发明的实施方案的用于与物理访问控制系统一起使用的示例性管理系统的示意图；并且

图3是根据本发明的实施方案的对物理访问控制系统内的静态权限进行基于策略的管理的方法的流程图。

具体实施方式

现参照附图，图1示出用于与根据本发明的实施方案的基于策略的管理系统和方法一起使用的示例性物理访问控制系统100的一般示意图。在实施方案中，物理访问控制系统100是用来控制对资源的访问的物理访问控制系统。物理访问控制系统100包括资源102、访问控制处理器104和存储库106。

物理访问控制系统100的资源102可以包括受读取器、锁、门、或其他物理屏障保护的区域或资源。在示例性实施方案中，凭证101，诸如由管理员提供的标识卡用来与资源102交互。在某些实施方案中，资源可以是物理的或逻辑的。在某些实施方案中，多个资源102被一起分组在某一区域中的资源集合中。

存储库106含有静态权限记录，所述静态权限记录提供有关特定用户和特定资源的访问信息。在示例性实施方案中，静态权限记录包括有关环境访问，诸如当天时间的信息。在某些实施方案中，静态权限记录提供对具有对应的凭证的某一用户在当天某一时间要访问某一资源或资源组的允许或拒绝判定。如前所述，添加、移除、更新和一般地管理这些静态权限可能是耗时的并且会引入误差。存储库106可以含有多个数据库或存储库。

访问控制处理器104可以是响应于存储在存储介质上的程序指令而执行操作的通用处理器。访问控制处理器104从资源102接收输入，并且处理所接收的输入并基于存储在存储库106中的记录而产生允许或拒绝判定。在示例性实施方案中，访问控制处理器104基于静态权限记录而提供实时或近实时判定以允许或拒绝用户访问。访问控制处理器104通过检查系统中是否存储了将允许凭证在当天给定时间给门解锁的静态权限来对进入请求作出响应，只有在存储了这种权限的情况下才会准予访问所述资源。按照惯例，访问控制处理器104是简单的处理器，所述简单的处理器用来将由资源102提供的凭证与由存储库106接收的静态记录进行比较。有利的是，这类处理器可以包括预先安装的遗留系统，从而实现成本有效的且可靠的操作。与这种系统交互的基于规则的策略管理系统实现了对静态权限的流线化、自动化和更稳靠的管理，而不会引入更换利用基本静态权限处理器的遗留访问系统的成本。

虽然公开的实施方案中示出和描述了特定的物理访问控制系统，但是将了解到，其他配置和/或机器包括可以在商业建筑物、车辆和也可能受益于所公开的实施方案的其他应用中操作的其他访问控制系统。

如图2所示，基于规则的管理系统200与存储库206交互。基于规则的管理系统200包括处理器201，所述处理器201可以是计算机或服务器的一部分。处理器201可以是响应于存储在存储介质上的程序指令而执行操作的通用处理器。在示例性实施方案中，存储库206是物理访问控制系统的存储库，所述物理访问控制系统利用静态权限来相对于资源或资源组执行允许或拒绝判定。管理系统200包括存储库206、调度器216、管理应用程序220、规则引擎224。管理系统200的部件可以是物理连接或操作性地连接的。

在示例性实施方案中，存储库206含有访问控制数据库208、策略数据库210、异常数据库212以及违规数据库214。在某些实施方案中，存储库206含有访问控制数据库208和组的组合，所述组包括但不限于：策略数据库210、异常数据库212和违规数据库214。

在示例性实施方案中，访问控制数据库208包括存储库106的访问控制数据库中涵盖的信息。在某些实施方案中，访问控制数据库208含有由访问控制系统捕获的标准数据，诸如与用户、资源、权限、活动日志等有关的信息。

在示例性实施方案中，策略数据库210含有基于规则的策略来管理物理访问控制系统的静态权限，诸如物理访问控制存储库106。这类策略将适当的访问权限描述为逻辑规则基于用户、资源和环境的属性的结果，其中资源指代区域、门、锁等，并且环境指代时间、威胁等级等。例如，策略可能含有规则1和2，其中规则1规定不是美国人的用户应不能在任何给定时间访问标示为正实施出口控制的区域，而规则2规定为工程部门成员的用户应能在工作日的上午7点到下午8点访问标示为研究实验室的区域。在示例性实施方案中，多个策略存储在存储库中。在某些实施方案中，策略包括对冲突解决对策的指定，所述冲突解决对策用于在一些规则提供了有关允许或拒绝访问的冲突决策的情况下对特定用户和权限判定策略决策。在以上实例中，规则1和规则2将提供与不是美国人而为工程部门成员的用户是否能够访问正实施出口控制的研究实验室有关的冲突决策。如果以上策略包括将涉及出口控制的规则的优先级设定成高于一般规则的冲突解决对策，那么规则1的决策效果将驳回规则2的效果并且最终策略决策将是拒绝访问。

这类基于规则的策略实现了对静态权限的自动化审核。通过应用一般动态规则，而不是手动检查个别静态权限，可以有效地审核静态权限。例如，通过应用来自静态权限记录(其中每个记录指示哪些用户能访问哪些区域)的数据库上的先前的实例的基于规则的策略，我们可以自动地检测数据库中的任何非美国人是否能访问受出口控制的实验室或者工程部门的任何美国人成员是否错过访问研究实验室。一旦被检测到，相对于所述策略的那些偏差就会被自动修复。

在示例性实施方案中，这些策略通过以下方式来评估或执行：由规则引擎224计算与所述策略兼容的静态权限和/或将所述策略与静态权限记录进行比较和/或在检测到策略与数据库中的相关静态权限记录之间存在不兼容性时出现违规。

管理应用程序220允许执行和审核策略数据库210的基于规则的策略。管理应用程序220出于不同的应用特定目的而在组织内管理与访问控制数据库208中的用户和权限有关的信息。管理应用程序220允许经由与管理员交互，或自动使用一组预先定义的校正动作来解决违规。在某些实施方案中，这些校正动作包括添加、移除或更新静态权限、持卡人属性、资源属性等。在其他实施方案中，将添加或移除静态权限来修复违规。

在示例性实施方案中，管理应用程序220允许管理员自动识别违反了选定策略的访问权限并将所述访问权限登记在违规存储库214中，并且然后分析和解决策略违规。在某些实施方案中，管理应用程序220进一步在异常存储库212中声明策略违规的异常(其还可以包括期满日)，所述异常之后不再被视为是违规直到所述异常期满或被明确注销。在某些实施方案中，管理应用程序220结合调度器216一起连续地或间歇地监测策略违规。监测可以是基于预定调度(每小时、每天、每周、...)或基于特定事件触发(在持卡人简档更新，规则更新，资源更新等之后)。在其他实施方案中，可以由管理应用程序220单独、调度器216或通过任何其他合适的手段或组合来调度监测。

在示例性实施方案中，调度器216在所需时间或事件下触发管理应用程序220。基于实时策略的系统需要大量复杂的处理系统来提供实时判定以允许或拒绝对资源的访问。有利的是，调度器216可以触发基于规则的管理系统200来根据资源不是那么密集的设定的调度来应用基于规则的策略。应用基于规则的策略还可能会导致对运行管理应用程序的系统管理员的明确动作作出响应。另外，使用调度器216允许使用现有的遗留物理访问系统，所述遗留物理访问系统在不要求主要部件改变的情况下利用静态权限来允许使用基于规则的策略来对访问进行实时判定。在示例性实施方案中，管理应用程序220在实时资源请求下并不评估和执行策略。

在某些实施方案中，调度器216可以响应于某些事件而触发管理应用程序220。这类事件可以包括组织变化、用户的添加、用户组的添加、用户组的移除、用户属性的改变、资源属性(诸如敏感度等级)的改变、资源的添加或移除、资源集合的改变等。类似地，通过在某些时间触发管理应用程序220，处理基于规则的策略所需的资源会被有效地利用。在某些实施方案中，调度器216的功能是由管理员或某些管理员动作触发的，无论是手动触发的还是响应于其他管理员输入而触发的。在其他实施方案中，在出现偶然事件时，诸如在向资源102(例如，读卡器)呈现凭证101(例如，钥匙卡)时会发生管理应用程序220的触发。

在某些实施方案中，规则引擎224用用户信息和由管理应用程序220提供的条件信息来评估和执行策略。在某些实施方案中，规则引擎224的功能被结合在管理应用程序220中，而在其他实施方案中，规则引擎224是单独的部件，同时在其他实施方案中，规则引擎224以任何合适的方式配置。

在示例性实施方案中，违规数据库214含有对静态权限不同于预期结果的违规的记录。在将策略应用于特定用户或用户组之后，将结果与相应的静态权限中的每一个进行比较以记录偏差或违规。在示例性实施方案中，这类违规会在偏差包括高于预期的权限或低于预期的权限时出现。在示例性实施方案中，所得的违规会导致静态权限被改变，规则被改变或异常被授予静态权限。在示例性实施方案中，违规存储库或数据库214含有违规的列表，包括过去发生的或当前有效的违规。对于每个违规，违规存储库214存储对其所违反的特定版本的策略的引用以及其被检测到的日期/时间。

在示例性实施方案中，异常数据库212含有对异常的记录，所述异常被指定为可免除对满足策略的要求，从而允许经评估的异常继续违反规则或策略。在某些实施方案中，异常还可以与期满时间相关联，在此时间之后，与策略不相符的权限将被视为违规。

图3示出用于使用基于规则的策略来管理物理访问控制系统的方法300。在操作302中，例如经由图形用户界面、直接文本输入或通过一些其他手段来创建多个潜在策略中的至少一个策略。在示例性实施方案中，所述策略以任何合适的方式创建。

在操作304中，经由调度器216的接口来创建审核调度。调度器216可以包括调度器接口，所述调度器接口允许用户定义事件和/或发起对静态权限的管理的时间段。调度或触发事件可以是任何合适的配置，包括但不限于先前描述的方法。如上所述，调度器216可以被配置来在资源102处呈现凭证101时启动管理应用程序220。

在操作311中，在静态资源数据库中提供多个静态权限记录。在某些实施方案中，静态权限记录是来自现有的管理方案的预先存在的静态权限记录或作为当前管理方法的结果而存在，或者其组合。在示例性实施方案中，访问控制数据库含有由访问控制系统捕获的标准数据，诸如与用户、资源、权限、活动日志等有关的信息。

在操作312中，将多个违规记录在违规数据库中。在示例性实施方案中，违规数据库含有违规的列表，包括过去发生的或当前有效的违规。在某些实施方案中，对于每个违规，违规存储库存储对其所违反的特定版本的策略的引用以及其被检测到的日期/时间。

在操作313中，在策略数据库中提供多个策略。在示例性实施方案中，策略可以是先前记录的，或者可以使用本文的方法来记录。所述策略可以经由上述操作302来记录。在示例性实施方案中，策略存储库包括将适当的访问权限描述为逻辑规则基于用户、资源和环境的属性的结果的策略。

在操作314中，响应于至少一个调度或异常事件或明确的管理动作而触发处理器201来执行操作。可以判定调度会利用如前所述的可用资源。在某些实施方案中，可以使用异常事件来触发审核，诸如组织的改变或新用户。

在操作316中，记录多个异常静态权限。在审查到违规之后，将记录与定义的策略不相符的异常静态权限记录。在某些实施方案中，利用如前所述的异常数据库。在其他实施方案中，利用任何合适的方法。

在操作320中，执行所定义的多个策略中的至少一个策略。在示例性实施方案中，如前所述般评估策略。

在操作330中，判定和建立策略内的每个规则的优先级。在示例性实施方案中，优先级判定两个策略是否存在冲突以及哪个策略指出了静态权限记录。

在操作340中，针对用户简档执行策略，并且使用规则引擎224来将所述策略与其静态权限进行比较以验证静态访问权限。这可能会导致检测到错失的权限或策略违规。在两个规则导致不同结果(例如，准予或拒绝访问)的情况下，可以使用规则优先级(如330中所设定)来解决冲突。在其他实施方案中，利用用于将结果与先前建立的权限进行比较的任何合适的方法。

如上所述，示例性实施方案可以是呈处理器实施过程和用于实践这些过程的装置，诸如处理器201的形式。示例性实施方案还可以是呈含有体现在有形介质中的指令的计算机程序代码的形式，所述有形介质诸如软盘、cdrom、硬盘驱动器或任何其他计算机可读存储介质，其中当计算机程序代码被加载到计算机中并由其执行时，所述计算机成为用于实践示例性实施方案的装置。示例性实施方案还可以是呈计算机程序代码的形式，例如，不管所述计算机程序代码存储在存储介质中、加载到计算机中/或由其执行，或者通过某种传输介质传输、加载到计算机中和/或由其执行，或者通过某种传输介质诸如电线或电缆、通过光纤或经由电磁辐射来传输，其中当计算机程序代码被加载到计算机中并且由其执行时，所述计算机成为用于实践示例性实施方案的装置。当在通用微处理器上实施时，计算机程序代码段配置所述微处理器以产生特定的逻辑电路。

本文使用的术语仅仅是为了描述具体实施方案，而不是旨在限制本发明。虽然已经出于说明和描述的目的呈现了本发明的描述，但是所述描述并不旨在是详尽的或以所公开的形式来限制本发明。在不脱离本发明的范围和精神的情况下，本领域普通技术人员将清楚地了解本文没有描述的许多修改、变化、变更、代替或等效布置。另外，尽管已描述了本发明的各种实施方案，但应理解，本发明的各方面可以包括所述实施方案中的仅一些。因此，不应认为本发明受前文描述限制，而是仅受所附权利要求书的范围限制。