CN103312721B - 一种云平台访问控制架构及其实现方法 - Google Patents

Abstract

本发明提供一种云平台访问控制架构及其实现方法。涉及在云平台环境下，通过对云平台采用分层架构进行设计，实现访问控制。本发明的方法具体可以包括：通过分层的方法，将应用软件组件的访问控制从基础平台层分担到租户层，由上层租户管理下层子租户的访问控制权限，基础平台层只管理顶层租户，减小了平台层对租户访问控制的管理复杂度，提高云平台访问控制的自我管理能力，提高了***的易用性和可维护性；实现租户的组件转租能力；通过域名与租户映射，实现多品牌多租户访问功能；扩展性强、通用性强。

Description

一种云平台访问控制架构及其实现方法

技术领域

本发明属于信息技术领域，尤其涉及在云平台环境下，通过对云平台采用分层架构进行设计，实现访问控制。

背景技术

在云平台环境下，存在SaaS(Software as a service，软件即服务)这种应用软件组件模式，该模式通过将应用软件组件统一部署在服务器上，租户根据自己的需求，向服务商订购所需的应用软件组件，并按照租赁时间或具体订购的应用软件组件支付相应费用。这种应用模式是一种多租户的***架构，平台的每一款应用软件组件都支持多个租户同时使用，租户之间在使用过程中互不影响，感觉像是自己独享该应用软件组件一样。这种模式下需要严格的访问控制，从而保证租户之间以及租户下的用户之间的数据隔离和应用、配置隔离，提高数据的安全性、一致性和完整性。

传统的访问控制RBAC(Role-Based Access Control，基于角色的访问控制)普遍用于解决大型企业内部的统一组件访问，基本原理是定义角色，并制定该角色具有访问一组或多组应用软件组件的权限，再将用户指派为该角色，通过权限-角色-用户的方式实现访问控制。然而，RBAC上没有租户的概念，不能适应云平台应用场景，缺乏角色自我管理能力，在大型云平台***中，采用RBAC需要建立大量角色，降低了***易用性和可维护性。

现有技术针对云平台的特点，对传统RBAC上进行了改进，增加了租户的概念，以适应云平台要求，但在这种架构下，当租户过多或应用软件组件过多时，对访问控制的管理仍然是一个庞大的工作，并且，这种架构下，由于租户只能定义自身的用户，租户之间完全隔离，导致无法实现租户组件或应用的转租，另一方面，不同的用户使用云平台时，需要首先访问云平台的公用登录界面，再通过登录时将租户与用户关联，进而转入租户的私有界面，不能从本质上支持多租户下多用户品牌的特点。

因此，有必要提出一种新的应用平台访问控制架构，解决现有技术中不能在同一个平台上同时兼容多级租户多品牌服务，以及应用软件组件的访问控制权限不能转租的问题。

发明内容

有鉴于此，本发明提供了一种云平台访问控制架构及其实现方法，以解决现有技术中存解决现有技术中不能在同一个平台上同时兼容多级租户，以及应用软件组件的访问控制权限不能转租的问题。

为解决上述技术问题，本发明的技术方案是这样实现的：

第一发明，本发明提供一种云平台访问控制架构，包括：

基础平台层，位于访问控制架构的顶层，用于为顶层租户层中的顶层租户提供可使用的应用软件组件，并直接管理每一个顶层租户的访问控制权限；

顶层租户层，位于基础平台层之下，用于为每一个顶层租户创建子租户，实现对顶层租户所使用的应用软件组件的转租；并直接管理每个顶层租户的下一层子租户的访问控制权限。

进一步的，所述云平台访问控制架构还包括：下层租户层，所述下层租户层由所述顶层租户的子租户构成或由每一层子租户的更下一层子租户构成。

进一步的，所述基础平台层包括平台层管理员，用于对所述顶层租户所请求使用的应用软件组件进行审核和管理；并为每个审核通过的顶层租户创建顶层租户管理员。

具体的，所述顶层租户管理员，用于创建本租户的用户角色，并在创建用户时分配用户角色，根据用户角色对用户请求使用的应用软件组件进行访问控制。以及所述顶层租户管理员，还用于对下层子租户所请求转租的应用软件组件进行审核和管理，并为每个审核通过的子租户创建下层租户管理员。

具体的，顶层租户和各子租户在云平台内通过唯一的租户ID进行识别，且每个租户对用户提供唯一的域名访问地址，所述域名访问地址的IP地址都映射到云平台的实际IP地址上。

第二发明，提供一种云平台访问控制架构的实现方法，包括：

步骤1，创建提供应用软件组件的基础平台层；

步骤2，顶层租户向基础平台层发起使用应用软件组件的注册申请；基础平台层接收所述注册申请并审核通过后，直接管理顶层租户的访问控制权限；

步骤3，顶层租户接收下层子租户的注册申请并审核通过后，实现对本顶层租户所使用的应用软件组件的转租；并直接管理下层子租户的访问控制权限。

进一步的，在步骤2中，平台层管理员审核顶层租户发起的注册申请，在审核通过后对顶层租户所申请的应用软件组件进行授权，并为顶层租户创建顶层租户管理员，直接管理顶层租户的访问控制权限；

在步骤3中，顶层租户接收下层子租户的注册申请并审核通过后，对发出注册申请的下层子租户所申请的应用软件组件进行授权，并为所述下层租户创建下层租户管理员，直接管理顶层租户的访问控制权限。

进一步的，所述方法还包括步骤4，子租户接收更下一层子租户的注册申请并审核通过后，对发出注册申请的更下一层子租户所申请使用的应用软件组件进行授权，创建更下一层租户管理员；并直接管理更下一层子租户的访问控制权限。

具体的，所述步骤1和/或步骤2和/或步骤3和/或步骤4，具体还包括：

创建角色访问控制步骤：注册申请审核通过后，租户管理员直接拥有所申请使用的应用软件组件的管理权限，租户管理员根据实际需求定义多个角色，每个角色拥有相应的功能和数据的访问权限；

创建用户访问控制步骤：由租户管理员直接为所属租户创建用户，并对创建的用户进行角色分配；

实现访问控制步骤：用户访问租户唯一的域名到云平台登录界面，输入帐号和密码后，云平台根据该用户所访问的租户域名和ID，从数据库中获取该租户的信息，进行身份验证通过后允许登录；***将获取该用户角色信息，根据角色权限为用户指定应用软件组件的访问权限。

综上所述，本发明本发明的有益效果包括：通过分层的方法，将应用软件组件的访问控制从平台层分担到租户层，由上层租户管理下层子租户的访问控制权限，平台层只管理顶层租户，减小了平台层对租户访问控制的管理复杂度，提高云平台访问控制的自我管理能力，提高了***的易用性和可维护性；实现租户的组件转租能力；通过域名与租户映射，实现多品牌多租户访问功能；扩展性强、通用性强。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例的云平台访问控制架构的结构框图；

图2为本发明实施例的云平台访问控制架构的访问控制模型图；

图3为本发明实施例的云平台访问控制架构的实现方法流程图；

图4为本发明实施例的云平台中用户的访问控制流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

参见图1，为本发明本发明实施例的云平台访问控制架构的结构框图，包括：

基础平台层101，位于访问控制架构的顶层，用于为顶层租户层中的顶层租户提供可使用的应用软件组件，并直接管理每一个顶层租户的访问控制权限。该基础平台层不能对租户的应用软件组件的使用情况进行管理，只拥有***所有应用软件组件的管理权，不拥有应用软件组件的使用权。

顶层租户层102，位于基础平台层之下，用于为每一个顶层租户创建子租户，实现对顶层租户所使用的应用软件组件的转租；并直接管理每个顶层租户的下一层子租户的访问控制权限。所述的租户可能是公司、企业或任意社会团体，是应用软件组件的使用者，每个租户对请求使用应用软件组件拥有最高使用权限。每一个租户下可以再建立租户，实现对应用软件软件组件的转租，形成了下层租户层103，上一层租户管理并控制下一层所建立租户的访问权限。

下层租户层103，所述下层租户层103由所述顶层租户的子租户构成或由每一层子租户的更下一层子租户构成。

参见图2，为本发明实施例的云平台访问控制架构的访问控制模型图。租户和基础平台层之间成多对一关系，基础平台层建立平台层管理员，通过平台层管理员直接管理顶层租户的访问控制权限，可能还有费用、状态等，并创建顶层租户的顶层租户管理员，基础平台层不能管理除顶层租户以下的访问控制权限。

租户可以实现转租自己使用的应用软件组件给其他租户，转租后，二者成为父租户和子租户关系，父租户直接管理子租户的访问控制权限，可能还有费用、状态等，并创建子租户的租户管理员，父租户不能对子租户的具体业务进行管理，父租户与子租户之间是一对多关系，租户可以转租应用软件组件给多个租用者，租用者只能从一个租户处继承应用软件组件。

租户直接定义用户的角色，具体由租户管理员执行，角色和租户之间是多对一关系，角色被限制在租户的范围内生效。角色的权限由租户管理员指定，角色与权限之间是多对多关系，且角色所拥有的权限必须限制在角色所属租户拥有的权限范围内。

租户直接创建用户，具体由租户管理员执行，创建的用户需要被指定用户角色，用户与角色之间是多对一关系，用户被限制在租户授权的范围内使用云平台的应用软件组件。用户与角色之间的映射关系是会话，记录用户被允许的权限和角色被允许的权限。

每个租户所拥有的权限都由该租户的父租户直接指定，权限包括应用软件组件的功能使用权和数据读写权，权限与租户之间是多对多关系。

本发明的另一个目的，提供一种云平台访问控制架构的实现方法，参见图3，为本发明实施例的云平台访问控制架构的实现方法流程图，包括：

步骤301，创建提供应用软件组件的基础平台层。所述应用软件组件包括例如任务管理、客户管理、外派考勤、通讯录、员工位置、媒体推送、智能网管等为企业提供的云服务。本软件组件也可以是由租户定制开发完成。

步骤302，顶层租户向基础平台层发起使用应用软件组件的注册申请；基础平台层接收所述注册申请并审核通过后，直接管理顶层租户的访问控制权限。

顶层租户通过使用基础平台层所提供的注册功能，向基础平台层发起注册申请，注册申请内容包括基本信息，例如单位、域名、租赁内容、租赁时间，由平台层管理员审核申请内容，审核通过后，并对租户所申请的应用软件组件进行授权，创建顶层租户管理员。

步骤303，顶层租户接收下层子租户的注册申请并审核通过后，实现对本顶层租户所使用的应用软件组件的转租；并直接管理下层子租户的访问控制权限。

当顶层租户的子租户需要将其拥有的应用软件组件转租给其它租用者时，租用者需要向该转租租户发起注册申请，申请的方式是访问该租户的注册功能地址，其中，不同租户和云平台的网络访问地址都是通过唯一的域名进行识别；由该顶层租户管理员审核，审核申请通过后，租用者成为该顶层租户的子租户。例如租用者C计划从云平台A的顶层租户B租赁应用软件组件，则租用者C首先通过域名访问顶层租户B，发起注册申请，内容包括单位、域名、租赁内容、租赁期限等，顶层租户B对应的下层租户管理员对申请进行审核，租赁的内容和期限限制在顶层租户B所拥有的范围内。

若审核通过，则***新建的租户D，并保存租户D的唯一域名，顶层租户B的管理员根据申请内容为租户D分配相应的访问权限，并创建租户D的租户管理员，则顶层租户B成为租户D的父租户，租户D成为顶层租户B的子租户；否则，拒绝。审核通过后，具体执行如下步骤：

1)创建角色访问控制：申请审核通过后，租户管理员直接拥有所租赁的应用软件组件的管理权限，租户管理员根据实际需求定义多个角色，每个角色拥有相应的功能和数据的访问权限；

2)创建用户访问控制：由租户管理员直接为所属租户创建用户，并对创建的用户进行角色指定；

3)实现访问控制：用户访问租户唯一的域名到云平台登录界面，输入帐号和密码后，云平台根据该用户所访问的租户域名和ID，从数据库中获取该租户的信息，然后获取该用户的信息，进行身份验证，若通过，则允许登录，***将获取该用户角色信息，根据角色权限为用户指定应用软件组件的访问权限；若不存在该用户，或者该用户属于其它租户，则身份验证都不能通过，***将拒绝登录。

步骤304,子租户接收更下一层子租户的注册申请并审核通过后，对发出注册申请的更下一层子租户所申请使用的应用软件组件进行授权，创建更下一层租户管理员；并直接管理更下一层子租户的访问控制权限。

例如，顶层租户的子租户A转租某应用软件组件到租用者C后，子租户A成为租户C的父租户，租用者C成为子租户A的下一层子租户，即租用者C成为云平台***的第三层租户。

参见图4，是本发明实施例的云平台中用户的访问控制流程图，包括如下步骤：

步骤401，用户通过访问租户唯一域名到云平台；

步骤402，云平台***根据用户提交的访问请求,从http协议的host字段解析用户所访问的域名,并从数据库中查找该域名对应的租户；

步骤403，云平台***从数据库中找到该租户的对应租户品牌以及登录页面数据，将页面内容返回给用户；

步骤405，用户输入用户名和密码尝试登录,云平台***根据租户和用户的关系,判断租户中是否存在该用户,该用户登录密码是否正确，即判断登录是否成功；

步骤406，若登录成功，则云平台***查找用户角色，并授权访问内容；否则，拒绝。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种云平台访问控制架构的实现装置，其特征在于，包括：

基础平台层模块，是位于访问控制架构的顶层模块，用于为顶层租户层模块中的顶层租户提供可使用的应用软件组件，并直接管理每一个顶层租户的访问控制权限；

顶层租户层模块，是位于基础平台层模块之下的模块，用于为每一个顶层租户创建子租户，实现对顶层租户所使用的应用软件组件的转租；并直接管理每个顶层租户的下一层子租户的访问控制权限；所述顶层租户和各子租户在云平台内通过唯一的租户ID进行识别，且每个租户对用户提供唯一的域名访问地址，所述域名访问地址的IP地址都映射到云平台的实际IP地址上。

2.根据权利要求1所述的装置，其特征在于，还包括：

下层租户层模块，所述下层租户层模块由所述顶层租户的子租户构成或由每一层子租户的更下一层子租户构成。

3.根据权利要求1或2所述的装置，其特征在于，所述基础平台层模块包括平台层管理员模块，用于对所述顶层租户所请求使用的应用软件组件进行审核和管理；并为每个审核通过的顶层租户创建顶层租户管理员。

4.根据权利要求3所述的装置，其特征在于，所述顶层租户管理员，用于创建本租户的用户角色，并在创建用户时分配用户角色，根据用户角色对用户请求使用的应用软件组件进行访问控制。

5.根据权利要求4所述的装置，其特征在于，所述顶层租户管理员，还用于对下层子租户所请求转租的应用软件组件进行审核和管理，并为每个审核通过的子租户创建下层租户管理员。

6.一种云平台访问控制架构的实现方法，其特征在于，包括：

步骤1，创建提供应用软件组件的基础平台层；

步骤2，顶层租户向基础平台层发起使用应用软件组件的注册申请；基础平台层接收所述注册申请并审核通过后，直接管理顶层租户的访问控制权限；

步骤3，顶层租户接收下层子租户的注册申请并审核通过后，实现对本顶层租户所使用的应用软件组件的转租；并直接管理下层子租户的访问控制权限；所述顶层租户和各子租户在云平台内通过唯一的租户ID进行识别，且每个租户对用户提供唯一的域名访问地址，所述域名访问地址的IP地址都映射到云平台的实际IP地址上。

7.如权利要求6所述的云平台访问控制架构的实现方法，其特征在于，

在步骤2中，平台层管理员审核顶层租户发起的注册申请，在审核通过后对顶层租户所申请的应用软件组件进行授权，并为顶层租户创建顶层租户管理员，直接管理顶层租户的访问控制权限；

在步骤3中，顶层租户接收下层子租户的注册申请并审核通过后，对发出注册申请的下层子租户所申请的应用软件组件进行授权，并为所述下层租户创建下层租户管理员，直接管理下层租户的访问控制权限。

8.如权利要求6或7所述的云平台访问控制架构的实现方法，其特征在于，所述方法还包括步骤4，子租户接收更下一层子租户的注册申请并审核通过后，对发出注册申请的更下一层子租户所申请使用的应用软件组件进行授权，创建更下一层租户管理员；并直接管理更下一层子租户的访问控制权限。

9.如权利要求8所述的云平台访问控制架构的实现方法，其特征在于，所述步骤1和/或步骤2和/或步骤3和/或步骤4，具体还包括：

创建角色访问控制步骤：注册申请审核通过后，租户管理员直接拥有所申请使用的应用软件组件的管理权限，租户管理员根据实际需求定义多个角色，每个角色拥有相应的功能和数据的访问权限；

创建用户访问控制步骤：由租户管理员直接为所属租户创建用户，并对创建的用户进行角色分配；

实现访问控制步骤：用户访问租户唯一的域名到云平台登录界面，输入帐号和密码后，云平台根据该用户所访问的租户域名和ID，从数据库中获取该租户的信息，进行身份验证通过后允许登录；***将获取该用户角色信息，根据角色权限为用户指定应用软件组件的访问权限。