专利名称：一种公有云与私有云之间的访问控制系统及方法
技术领域：
本发明属于计算机安全访问领域，特别涉及一种公有云与私有云之间的访问控制系统及方法。
背景技术：
对于现今IT时代来说，云计算代表着未来信息技术领域的核心竞争力，无论是云计算的研究者，还是各种IT企业，甚至是世界各国的政府都对此十分的关注。云计算以其便利、经济、高可拓展性等优势吸引了越来越多的企业的目光，将其从IT基础设施管理与维护的沉重压力中解放出来，更专注于自身的核心业务发展。现已存在多种云的部署形式，比如公有云、私有云、混合云等。公有云是由公有云服务提供商提供者提供的计算资源，这些计算资源可供所有的网络用户使用，是指由若干企业和用户共享使用的云环境。但出于安全性的考虑，有能力的大企业偏向于搭建自身的私有云，私有云可由企业自身的IT机构，也可由云提供商进行构建，其中的资源仅供企业内部的用户或者与该企业相关的特定外部用户使用。在此“托管式专用”模式中，像Sun，IBM这样的云计算提供商可以安装、配置和运营基础设施，以支持一个企业数据中心内的私有云，此模式赋予公司对于云资源使用情况极高水平的控制能力，同时带来建立并运作该环境所需的专门知识。虽然私有云比公有云具有更高的安全性和稳定性，但企业仍然是需要使用到公有云上的资源与服务的，比如说邮件服务，因此企业的私有云必定要与公有云进行数据交换，也就是说它们之间需要进行相互的访问，基于这种潜在的需要，公有云与私有云之间的数据交换安全问题显得非常重要。而目前针对公有云与私有云之间访问方式的技术方案仍然非常的少。较多的是用户与云端的数据访问方案，其中比较有代表性的就是基于角色的访问控制。一般IT企业处理数据交换问题都是站在数据格式转换的角度，出现了较多的云端数据库与本地数据库进行数据交换时的数据类型透明转换。
在公开号为CN102571821A的中国专利申请公开了一种云安全访问控制模型，该专利结合基于角色的访问控制模型RBAC (Role-Based Access Control,基于角色的访问控制模型)，针对云计算的多租户架构特点，将租户和云服务提供商概念引入访问控制模型中，通过模型元素的定义和模型函数的形式化描述，构成统一的租户访问控制模型和用户访问控制模型。但是该模型只是针对云内部的访问控制模型，并没有涉及到公有云与私有云之间的访问控制，而且，该模型仅是针对租户内部用户访问云服务提供商提供的客户关系管理CRM (Customer Relationship Management,客户关系管理)服务而设计的。
发明内容
本发明的一个目的在于克服现有技术的缺点与不足，提供一种公有云与私有云之间的访问控制系统，该访问控制系统使得云间的访问更加安全。本发明的另一个目的在于利用上述系统实现一种公有云与私有云之间的访问控制方法。
为了达到上述第一个目的，本发明采用以下技术方案一种公有云与私有云之间的访问控制系统，包括私有云端的私有云控制模块和公有云端的公有云控制模块，所述私有云控制模块包括云间数据交换模块和用户访问控制模块；所述云间数据交换模块通过网络分别与所述用户访问控制模块和公有云控制模块连接；云间数据交换模块用于处理具有访问权限用户的访问请求，根据其权限绑定到相应的权限账号，再通过该权限账号使私有云的用户能够得到公有云相应的服务和资源；公有云控制模块用于判断请求访问的私有云租户信息，审核所属私有云租户的权限账号信息，获取公有云中用户账号所属的角色信息，根据角色带有的权限提供相关资源和服务；用户访问控制模块用于处理私有云中用户对公有云的访问请求，进行用户属性匹配，判定用户对公有云的访问权限。为了达到上述第二个目的，本发明采用以下技术方案一种公有云与私有云之间的访问控制方法，包括以下步骤(I)私有云向公有云申请租户，登记租户信息，根据私有云中的权限账号在公有云中创建与私有云中权限账号具有相同账号名和密码的用户账号，然后根据与用户账号具有相同账号名和密码的权限账号所具备的权限，对各个用户账号赋予相应的角色；所述用户账号为从属于该私有云租户下的用户账号；(2)私有云中的用户向私有云提出访问请求，若私有云中的资源或服务不能满足用户的需求，则首先由用户访问控制模块对该用户的信息进行审核，判断该用户是否为私有云的合法用户；若是，则执行步骤(3);
若否，则拒绝访问；(3)若用户访问控制模块检测到用户为合法用户，则将该用户的属性与用户访问控制策略进行匹配，若匹配不成功，则拒绝用户的访问；若匹配成功，即该用户具有访问公有云的权限，由用户访问控制模块将用户信息和用户的访问权限提交到云间数据交换模块，同时记录提交日志；(4)云间数据交换模块将接收到的用户信息进行暂存，并对用户的访问权限进行判断，然后选择相应的权限账号与用户信息进行绑定，使用绑定后的权限账号访问公有云;(5)公有云控制模块接收到来自私有云权限账号的访问请求后，先核实该私有云的租户信息，确定其是否为合法租户，若该租户为不合法的，则拒绝访问，并将拒绝访问提示发送给云间数据交换模块；若该租户为合法的，确定该租户为合法租户后，执行步骤(6)；(6)公有云控制模块审核请求访问的权限账号的账号信息是否属于该租户，若否，则拒绝访问请求，并将拒绝访问提示发送给云间数据交换模块；若是，则请求访问的权限账号信息审核通过，云间数据交换模块向用户信息绑定在该权限账号的用户返回访问请求成功的信息；公有云控制模块获取与该权限账号具有相同账号名和密码的用户账号所属的角色信息，根据该用户账号所属角色带有的访问权限，提供资源和服务。优选的，所述私有云的用户对公有云具有资源读取、增加、修改、删除以及运行的权限。优选的，所述步骤(I)中的租户信息为企业基本信息，包括企业的名称、地址和联系方式。优选的，所述步骤(I)中由租户管理员在公有云中创建用户账号。优选的，所述步骤(I)中由公有云服务提供商保存租户信息和公有云上用户账号信息。更进一步的，所述用户账号信息包括账号名、密码、从属私有云租户及角色信息。优选的，所述步骤(I)中每一种角色对应一组相应的权限。优选的，所述权限账号的账号信息包括账号名、密码、所属私有云租户及权限信
肩、O本发明相对于现有技术具有如下的优点及效果( I)本发明将基于角色的访问控制与基于属性的访问控制相结合，在私有云内部采用基于属性的访问控制方式，有效地控制云内部用户的访问请求管理，在私有云访问公有云的时候米用基于角色的访问控制方式，公有云根据与私有云权限账号具有相同账号名和密码的用户账号所属角色带有的访 问权限，向用户提供相应的资源或服务；私有云中用户与相应的权限账号绑定在一起后通过权限账号访问公有云，使公有云可以限制私有云的用户对公有云中资源或服务的访问权限，保证云间数据交换的安全性。(2)本发明通过私有云中的绑定用户信息的权限账号访问公有云，因此公有云只得到权限账号的相关信息，并没有直接得到用户的用户信息，因此本发明能够达到对私有云中的用户进行匿名保护作用。(3)本发明能够为公有云与私有云之间的数据交换提供一种安全访问的方式，能够使构建了自身私有云的政府和企业通过一种更安全的方式去利用公有云上的资源，防止私有云内部数据泄露，方便共享公有云的资源，能够很好地促进公共信息安全的进步。企业可以根据此云间访问方式监控移动数据安全性情况，避免重要数据非法流出，减少了信息泄露带来的经济损失，既提高工作效率，又提高了企业经济效益。因此本发明不仅具有较好的经济效益，还有较大的社会价值。
图1是本发明访问控制系统的框图。图2是本发明访问控制方法的流程图。
具体实施例方式下面结合实施例及附图对本发明作进一步详细的描述，但本发明的实施方式不限于此。实施例如图1所不,本实施例的一种公有云与私有云之间的访问控制系统,包括私有云端的私有云控制模块和公有云端的公有云控制模块，私有云控制模块包括云间数据交换模块和用户访问控制模块；云间数据交换模块通过网络分别与所述用户访问控制模块和公有云控制模块连接。云间数据交换模块用于处理具有访问权限用户的访问请求，根据其权限绑定到相应的权限账号，再通过该权限账号使私有云的用户能够得到公有云相应的服务和资源。公有云控制模块用于判断请求访问的私有云租户信息，审核所属私有云租户的权限账号信息，获取公有云中用户账号所属的角色信息，根据角色带有的权限提供相关资源和服务。用户访问控制模块，用于处理私有云中用户对公有云的访问请求，进行用户属性和用户访问控制策略的匹配，判 定用户对公有云的访问权限。如图2所示，本实施例一种公有云与私有云之间的访问控制方法，包括以下步骤(I)企业构建了自己的私有云，私有云需要访问公有云服务提供商的资源以及向其租用一定的存储空间。企业私有云先向公有云服务提供商提出申请，通过注册流程成为公有云的租户，并且登记租户信息，其中租户信息包括企业名称、地址、联系方式等企业基本信息。租户管理员根据私有云中的权限账号在公有云中创建与私有云权限账号具有相同账号名和密码的用户账号，然后根据与用户账号具有相同账号名和密码的权限账号所具备的权限，对各个用户账号赋予相应的角色，每一种角色对应一组相应的权限。公有云服务提供商保存租户信息和公有云上用户账号信息，根据用户账号的角色所具有的权限，提供相应的资源和服务。其中用户账号信息包括账号名、密码、从属私有云租户及角色信息对于公有云来说，租户管理员创建的这些用户账号是从属于该企业私有云租户下的用户账号，其中租户管理员是公有云给租户的一个有一定高权限的账号，它在公有云中管理从属于自己租户的用户账号和各种事务。在本实施例中，租户管理员根据私有云中权限账号C_Read,在公有云中创建一个账号名和密码与权限账号C_Read相同的用户账号C_Read,由于权限账号C_Read只有Read权限，因此将用户账号C_Read赋予一种只有Read权限的角色。(2)企业私有云中的用户U向该企业的私有云提出访问资源R的详细信息的请求，而私有云中只保存了资源R的本地影像，详细信息要从公有云中获取，此时首先由用户访问控制模块对该用户U的信息进行审核，判断其是否为私有云中的合法用户，若是，则执行步骤(3);若否，则拒绝用户U的访问请求。(3)若用户访问控制模块检测到用户U为私有云中合法的用户，则将该用户属性与用户访问控制策略进行匹配；若匹配不成功，则拒绝用户的访问；若匹配成功，则执行步骤(4)；本实施例匹配结果为该用户具有对公有云中资源的读取(Read)权限，于是，用户访问控制模块将用户U的用户信息和用户U对公有云中资源的Read权限提交到云间数据交换模块，同时记录提交日志。其中在用户访问控制模块的用户访问控制策略中有一个策略角色为如果用户属性的组属性为“Z”，则允许该用户访问公有云中的资源R，并且访问权限仅为读取(Read)。因此当用户访问模块检测到请求访问的用户U的用户属性的组属性为“Z”，则用户U的用户属性与用户访问控制策略匹配成功，允许用户U访问公有云中的资源R，并且访问权限仅为读取(Read)。(4)云间数据交换模块将接收到的用户U的用户信息进行暂存，并对用户访问控制模块提交过来的用户U对公有云中资源的Read权限进行判断，在私有云中选择只有Read权限的权限账号C_Read，将用户U的用户信息与权限账号C_Read进行绑定，然后由该权限账号CRead去访问公有云；(5)公有云控制模块接收到来自私有云中权限账号C_Read的访问请求后，先核实该私有云的租户信息，确定其是否为合法租户，若该租户为不合法的，则拒绝访问请求，并将拒绝访问提示发送给云间数据交换模块； 若该租户为合法的，在确定该租户为合法租户后，执行步骤(6 )。(6)公有云控制模块审核请求访问的权限账号C_Read账号信息是否属于该租户，其中权限账号的账号信息包括账号名、密码、所属私有云租户及权限信息；若否，则拒绝访问请求，并将拒绝访问提示发送给云间数据交换模块；若是，则请求访问的权限账号C_Read信息审核通过，即请求访问的权限账号C_Read确实属于该公有云中的租户，云间数据交换模块向用户信息绑定在该权限账号(_Read上的用户U返回访问请求成功的信息，公有云根据与权限账号C_Read具有相同账号名和密码的用户账号C_Read所属角色带有的访问权限，向用户U提供相应的资源或服务，由于公有云中的用户账号C_Read所属的角色只具有对公有云中资源R的Read权限，因此公有云只允许用户U读取资源R的内`容，而并不允许其对资源R进行修改或者其他操作。由于公有云只受到权限账号C_Read的访问强求，其得到的是权限账号的相关信息，并没有直接得到用户U的用户信息，具有对私有云中的用户进行匿名保护的作用。其中用户访问控制模块对用户的权限进行判定的方式，即将用户属性与用户访问控制策略进行匹配的方式，为基于属性的访问控制方式。上述实施例为本发明较佳的实施方式，但本发明的实施方式并不受上述实施例的限制，其他的任何未背离本发明的精神实质与原理下所作的改变、修饰、替代、组合、简化，均应为等效的置换方式，都包含在本发明的保护范围之内。
权利要求
1.一种公有云与私有云之间的访问控制系统，其特征在于，包括私有云端的私有云控制模块和公有云端的公有云控制模块，所述私有云控制模块包括云间数据交换模块和用户访问控制模块；所述云间数据交换模块通过网络分别与所述用户访问控制模块和公有云控制丰吴块连接； 云间数据交换模块用于处理具有访问权限用户的访问请求，根据其权限绑定到相应的权限账号，再通过该权限账号使私有云的用户能够得到公有云相应的服务和资源； 公有云控制模块用于判断请求访问的私有云租户信息，审核所属私有云租户的权限账号信息，获取公有云中用户账号所属的角色信息，根据角色带有的权限提供相关资源和服务； 用户访问控制模块用于处理私有云中用户对公有云的访问请求，进行用户属性匹配，判定用户对公有云的访问权限。
2.一种基于权利要求1所述访问控制系统的公有云与私有云之间的访问控制方法，其特征在于，包括以下步骤 (1)私有云向公有云申请租户，登记租户信息，根据私有云中的权限账号在公有云中创建与私有云中权限账号具有相同账号名和密码的用户账号，然后根据与用户账号具有相同账号名和密码的权限账号所具备的权限，对各个用户账号赋予相应的角色；所述用户账号为从属于该私有云租户下的用户账号； (2)私有云中的用户向私有云提出访问请求，若私有云中的资源或服务不能满足用户的需求，则首先由用户访问控制模块对该用户的信息进行审核，判断该用户是否为私有云的合法用户； 若是，则执行步骤(3); 若否，则拒绝访问； (3)若用户访问控制模块检测到用户为合法用户，则将该用户的属性与用户访问控制策略进行匹配， 若匹配不成功，则拒绝用户的访问； 若匹配成功，即该用户具有访问公有云的权限，由用户访问控制模块将用户信息和用户的访问权限提交到云间数据交换模块，同时记录提交日志； (4)云间数据交换模块将接收到的用户信息进行暂存，并对用户的访问权限进行判断，然后选择相应的权限账号与用户信息进行绑定，使用绑定后的权限账号访问公有云； (5)公有云控制模块接收到来自私有云权限账号的访问请求后，先核实该私有云的租户信息，确定其是否为合法租户， 若该租户为不合法的，则拒绝访问，并将拒绝访问提示发送给云间数据交换模块； 若该租户为合法的，确定该租户为合法租户后，执行步骤(6 ); (6)公有云控制模块审核请求访问的权限账号的账号信息是否属于该租户， 若否,则拒绝访问请求,并将拒绝访问提示发送给云间数据交换模块； 若是，则请求访问的权限账号信息审核通过，云间数据交换模块向用户信息绑定在该权限账号的用户返回访问请求成功的信息；公有云控制模块获取与该权限账号具有相同账号名和密码的用户账号所属的角色信息，根据该用户账号所属角色带有的访问权限，提供资源和服务。
3.根据权利要求2所述的公有云与私有云之间的访问控制方法，其特征在于，所述私有云的用户对公有云具有资源读取、增加、修改、删除以及运行的权限。
4.根据权利要求2所述的公有云与私有云之间的访问控制方法，其特征在于，所述步骤(I)中的租户信息为企业基本信息，包括企业的名称、地址和联系方式。
5.根据权利要求2所述的公有云与私有云之间的访问控制方法，其特征在于，所述步骤(I)中由租户管理员在公有云中创建用户账号。
6.根据权利要求2所述的公有云与私有云之间的访问控制方法，其特征在于，所述步骤(I)中由公有云服务提供商保存租户信息和公有云上用户账号信息。
7.根据权利要求6所述的公有云与私有云之间的访问控制方法，其特征在于，所述用户账号信息包括账号名、密码、从属私有云租户及角色信息。
8.根据权利要求2所述的公有云与私有云之间的访问控制方法，其特征在于，所述步骤(I)中每一种角色对应一组相应的权限。
9.根据权利要求2所述的公有云与私有云之间的访问控制方法，其特征在于，所述权限账号的账号信息包括账号名、密码、所属私有云租户及权限信息。
全文摘要
本发明公开了一种公有云与私有云之间的访问控制系统及方法，该访问控制系统包括私有云端的私有云控制模块和公有云端的公有云控制模块，私有云控制模块包括云间数据交换模块和用户访问控制模块；云间数据交换模块通过网络分别与所述用户访问控制模块和公有云控制模块连接；本发明方法将基于角色的访问控制与基于属性的访问控制相结合，在私有云内部采用基于属性的访问控制方式，在私有云访问公有云时采用基于角色的访问控制方式，由于本发明限制了私有云的用户对公有云中资源或服务的访问权限，因此本发明具有云间数据交换安全性非常高的优点。
文档编号H04L29/08GK103067406SQ20131001373
公开日2013年4月24日 申请日期2013年1月14日 优先权日2013年1月14日
发明者姚国祥, 罗伟其, 黄彩婷, 官全龙, 魏林锋, 朱淑华, 詹丽, 叶林 申请人:暨南大学