本发明涉及大数据技术领域，特别是涉及教育大数据安全访问控制系统。
背景技术：
教育大数据虽然有广义和狭义之分，但通常是指记录和分析学习者行为的数据。可分为四类：第一类是教学类大数据；第二类是教育教学管理大数据；第三类是教与学行为大数据；第四类是教育教学评估大数据。而且需要主要的是，云计算环境下，教育资源大数据往往不是来自一个高校、一个科研机构，这些数据来自不同网络，共同构成了一个复杂的可信域。
一般来说，云计算环境下，用户访问教育资源大数据都带有很强的目的性，从服务器端易于区分，并能根据需求赋予其不同的权限。如何安全、高效、可靠的实现数据访问控制非常关键。传统的访问控制是用户将数据存储在可信的服务器上，访问时，由服务器核实其身份。但在云计算环境下，这种模式已经不能满足需求，因为用户和教育资源大数据不在同一个可信域内，用户访问时往往不被信任；同时，大数据本身也不在一个可信域内存放，如果不妥善处理这些问题，存放大数据的服务器很可能被恶意控制或者从内部攻击，用户的隐私数据可能暴露。
技术实现要素：
本发明实施例提供了教育大数据安全访问控制系统，可以解决现有技术中存在的问题。
本发明提供了教育大数据安全访问控制系统，该系统包括数据上传客户端、数据访问客户端、可信授权中心和云平台服务器；
所述数据上传客户端连接到所述可信授权中心后，所述可信授权中心生成系统公钥并将其传输至所述数据上传客户端，所述数据上传客户端接收到系统公钥后，使用策略树和系统公钥对待上传的数据进行加密，将生成的密文和策略树作为数据文件一并上传至所述云平台服务器；
当所述数据访问客户端发起数据访问请求后，所述数据访问客户端将自己的属性集上传给所述可信授权中心，并提交私钥申请请求，所述可信授权中心针对提交的属性集和自己存储的主密钥生成私钥发送给所述数据访问客户端，所述数据访问客户端在所述云平台服务器下载需要的数据文件，下载后所述数据访问客户端判断自身的属性集是否满足数据文件中的策略树，如果满足则使用私钥对数据文件中的密文进行解密，获得明文；如果不满足则数据访问请求被拒绝。
优选地，所述云平台服务器存放各种文件的索引信息，多个备份服务器均与所述云平台服务器通信连接，所述云平台服务器中存放的文件索引信息对应的数据文件以不同的安全等级存放在不同的备份服务器中，所述数据访问客户端向所述云平台服务器发出数据访问请求后，所述云平台服务器根据请求的具体信息确定请求的数据文件，然后向存放请求的数据文件的所述备份服务器发送数据访问指令，所述备份服务器接收到数据访问指令后将存放的数据文件发送至所述数据访问客户端。
优选地，所述数据上传客户端和数据访问客户端以单点登录的方式登录至所述云平台服务器。
本发明实施例中的教育大数据安全访问控制系统，采用属性基加密的方式对教育大数据进行加密存储，具有很高的数据安全性，采用分布式备份存储方式对教育大数据进行存储，有利于提高数据的安全等级，在遭到灾难性破坏时可以有效的进行数据恢复，同时采用单点登录的方式提高了数据访问的方便程度。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是本发明实施例提供的教育大数据安全访问控制系统的功能模块图；
图2为图1中云平台服务器的数据存储方式示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
参照图1，本发明实施例中提供的教育大数据安全访问控制系统，该系统包括数据上传客户端、数据访问客户端、可信授权中心和云平台服务器，所述可信授权中心以服务器的形式存在。
所述数据上传客户端连接到所述可信授权中心后，所述可信授权中心生成系统公钥和公开参数，并将系统公钥传输至所述数据上传客户端。所述数据上传客户端接收到系统公钥后，使用策略树和系统公钥对待上传的数据进行加密，将生成的密文和策略树作为数据文件一并上传至所述云平台服务器。
当所述数据访问客户端发起数据访问请求后，所述数据访问客户端将自己的属性集上传给所述可信授权中心，并提交私钥申请请求，所述可信授权中心针对提交的属性集和自己存储的主密钥生成私钥发送给所述数据访问客户端。所述数据访问客户端在所述云平台服务器下载需要的数据文件，下载后所述数据访问客户端判断自身的属性集是否满足数据文件中的策略树，如果满足则使用私钥对数据文件中的密文进行解密，获得明文；如果不满足则数据访问请求被拒绝。
参照图2，所述云平台服务器中的数据采用分布式、备份存储的方式进行存储，即所述云平台服务器作为主服务器，其中存放各种文件的索引信息，多个备份服务器均与所述云平台服务器通信连接，每个所述备份服务器均运行linux文件系统，所述云平台服务器中存放的文件索引信息对应的数据文件以不同的安全等级存放在不同的备份服务器中。所述数据访问客户端向所述云平台服务器发出数据访问请求后，所述云平台服务器根据请求的具体信息确定请求的数据文件，然后向所述数据访问客户端返回一个反馈信息，同时所述云平台服务器向存放请求的数据文件的所述备份服务器发送数据访问指令，所述备份服务器接收到数据访问指令后将存放的数据文件发送至所述数据访问客户端。
所述云平台服务器并不是一个单独的服务器，而是在一个多个相互信任的服务器的集合。用户在进行数据访问操作时需要登录，为了避免用户在不同服务器中进行数据访问时需要多次登录的问题，因此需要采用单点登录的方式进行身份验证。即所述数据上传客户端或数据访问客户端上传的登录信息经过身份验证服务器验证通过后，就可以在所述云平台服务器中进行数据访问，免去多次登录的麻烦。
如果用户是通过虚拟机进行数据访问操作的，则在云环境下的虚拟机之间需要进行虚拟设备的访问控制，常用的访问控制方法有：通过对多租户的隔离实现访问控制、将多租户技术和rbac模型相结合进行访问控制、通过hypervisor实现虚拟机的访问控制。
本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、cd-rom、光学存储器等)上实施的计算机程序产品的形式。
本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。
显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。