CN104967620A - 一种基于属性访问控制策略的访问控制方法 - Google Patents

Abstract

本发明公开了一种基于属性访问控制策略的访问控制方法。本方法为：1)提取数据库中用户-角色表和角色-权限表的属性信息，生成用户-角色-授权的访问控制关系哈希表；2)根据访问控制关系哈希表生成访问控制策略：对访问控制关系哈希表进行迭代遍历，获得每一个键值对，即每个用户及其权限属性集合；然后根据用户的权限属性生成该用户的访问控制策略规则；3)物联网搜索引擎对于收到的每一访问请求，根据所述访问控制策略规则对该访问请求进行判断，确定是否允许访问。本发明对搜索请求快速的做出响应，大大提高了物联网搜索引擎的效率。

Description

一种基于属性访问控制策略的访问控制方法

技术领域

本发明属于网络技术领域，具体涉及到一种基于属性访问控制策略的访问控制方法。

背景技术

本发明的背景是在物联网搜索环境中，当用户搜索第三方数据时，为了保护用户的隐私，物联网搜索引擎不能告诉第三方用户信息，因而第三方将数据库数据以及其基于角色的访问控制策略提交给物联网搜索引擎，由物联网搜索引擎判断用户对资源的访问权限并返回响应给用户。第三方的访问控制各式各样，然而物联网中常用的访问控制为基于属性的访问控制，若第三方能够在将访问控制策略和数据提交给物联网搜索引擎之前，将该访问控制策略转化为基于属性的访问控制，那么将大大提高物联网搜索引擎的效率，也能够避免物联网无法识别该访问控制而无法做出判断的缺陷。因此我们拟提出一种方案，来解决第三方基于角色的访问控制转化为基于属性的XACML的问题。

在物联网搜索引擎中，当用户检索到第三方机制的数据时，第三方往往将其数据与权限发送给物联网搜索引擎，物联网搜索引擎再根据其数据及访问控制策略来判定返回给用户的资源。物联网搜索引擎中常用的是基于属性的访问控制，因此需要将非基于属性的访问控制转化为基于属性的访问控制。在以往数据库的研究上，很多集中于数据库数据的转化：将数据库数据通过发布函数转化为XML或者XML使用映射函数转化为数据库数据。但对于数据库中访问控制的转化，暂时没有统一能自动执行转换的工具来实现转换，以往常常通过人工手动去执行转换，这种方法费时且效率低，在转化的时候更可能因为人为的疏忽，造成了新旧权限不一致。

发明内容

本发明的目的在于解决访问控制策略的转换问题，提供一种转换机制，在物联网搜索引擎中，在不改变原基于角色的访问控制的前提下，通过输入，能够自动的将第三方的基于角色访问控制转换为XACML，对搜索请求快速的做出响应，大大提高了物联网搜索引擎的效率。

本发明的技术方案为：

一种基于属性访问控制策略的访问控制方法，其步骤为：

1)提取数据库中用户-角色表和角色-权限表的属性信息，生成用户-角色-授权的访问控制关系哈希表；

2)根据访问控制关系哈希表生成访问控制策略：对访问控制关系哈希表进行迭代遍历，获得每一个键值对，即每个用户及其权限属性集合；然后根据用户的权限属性生成该用户的访问控制策略规则；

3)物联网搜索引擎对于收到的每一访问请求，根据所述访问控制策略规则对该访问请求进行判断，确定是否允许访问。

进一步的，生成所述访问控制关系哈希表的方法为：首先创建一空哈希表，将每一用户作为该哈希表的一主键；然后针对每一用户，根据用户-角色关系表获得该用户对应的角色，再依据每个角色解析角色-权限关系表，得到每一角色对应的数据对象及其权限；然后将该数据对象及其权限添加到该用户的权限属性集合中，然后将该用户和其对应的权限属性集合作为一个键值对添加到哈希表中，生成所述访问控制关系哈希表。

进一步的，如果一个用户具有多个角色，则分别根据每个角色解析角色-权限关系表，得到每一角色对应的数据对象以及其权限。

进一步的，如果一角色继承其他角色，则通过该角色所继承的角色来获得该角色对应的数据对象以及其权限。

进一步的，如果一角色存在约束条件，则将该约束条件作为该角色的一单独属性保存于对应访问控制策略规则中。

进一步的，所述访问控制策略规则为：subject，role，resource，action，effect，condition；其中，subject为主键，role为角色属性，resource为资源属性，action为操作属性，effect为权限属性，condition为条件属性。

进一步的，对生成的访问控制策略规则进行最小化处理，其方法为：将访问控制策略规则两两之间进行检查，如果两访问控制策略规则中只有一项属性不同，则将这两条访问控制策略规则进行合并，如果都相同则删除其中一条。

进一步的，将访问控制策略规则两两之间按照用户->角色->资源->操作四项属性顺序进行检查，如果两访问控制策略规则中只有一项属性不同，则将这两条访问控制策略规则进行合并，如果都相同则删除其中一条。

进一步的，将两条访问控制策略规则进行合并的方法为：将待合并的两访问控制策略规则中同一属性项对应的两不同属性值写入到该属性项中，其他相同属性项的属性值保持不变。

进一步的，所述物联网搜索引擎根据访问控制策略规则对该访问请求进行判断，确定是否允许访问的方法为：所述物联网搜索引擎将该访问请求生成一XACML访问控制请求；然后将该XACML访问控制请求与策略库中的所述访问控制策略规则进行匹配，如果有匹配结果则允许该访问请求，否则拒绝该访问请求。

与现有技术相比，本发明的积极效果为：

1、以往的访问控制策略转化往往需要人工手动的进行，而且错误率高。本发明所提供的模型，能够自动的将角色访问控制策略转化为XACML访问控制策略，不需要手动的对策略进行操作。

2、在转化完成后对XACML策略进行了策略最小化。将一个用户对应的多个角色中重复的权限进行了合并删除，在获取角色对应的可访问资源的时候也对其进行了合并，最小化XACML访问控制策略，避免生成的XACML访问控制策略规则膨胀而导致效率变低。

3、本发明在转化为XACML访问控制策略规则之后，每个访问用户依然保持了其在原来的访问控制***中对应的角色以及相应的权限。同时在原数据库中的访问控制***也未改变。

4、本发明设计的思路，根据实际需要亦可以适当扩展和轻微改变。增加实际需要的扩展或变换为其它访问控制策略的转化，本发明大大提高了物联网搜索引擎的效率。

附图说明

图1为基于角色的访问控制模型图；

图2为本发明流程图；

图3为程序整体模型图；

图4为基于属性的XACML决策流程图。

具体实施方式

以下结合附图对本发明的原理和特征进行描述，所举实例只用于解释本发明，并非用于限定本发明的范围。

本方案拟在物联网搜索引擎和第三方之间实现一个访问控制转化机制，将第三方的基于角色的访问控制转化成物联网常用的基于属性的XACML访问控制。这样物联网搜索引擎能够依据该XACML访问控制和第三方提交的数据库数据，对搜索请求快速的做出响应。

完整的基于角色的访问控制模型如图1所示，其中UA代表用户与角色的映射关系，PA代表角色与权限的映射关系，会话S为用户实时访问数据库数据时所生成的。一般来说(如sql server)在每种基于角色的访问控制的数据库***中都会存在两张表，一个是用户-角色映射表，记录用户与角色之间的映射关系，一个是角色-权限映射表，记录每个数据对象的权限分配情况(如sql server中的sysmembers和syspermissions两个***表)。本方案中我们拟转化的为数据库中的用户-角色-授权的访问控制关系，即提取数据库中对应的用户-角色表和角色-权限表的属性，然后将这些属性对应生成XACML策略规则。如图2所示，该方案具体实现如下：

(1)生成哈希表(算法1)。

首先创建一个空哈希表(第1行代码)，将每一个用户作为哈希表的一个主键，并为每一个主键创建一个对应的值，该值为一个空的集合(第3行代码)。然后针对每一个用户，对用户-角色关系表进行解析，获得该用户对应的角色，该角色可能是一个也可能是多个(第4行代码)。再依据每个角色解析角色-权限关系表，得到每一个角色对应的数据对象以及其权限，需要注意的是，在解析一个角色对应的权限时，该角色可能继承另一个角色，因此需要对此进行判定，如未继承其他角色，则直接获取权限(第18-28行代码)，如若是继承其他角色，则继续通过对应的角色来获得权限(第5-17行代码)。在判定角色的继承关系后，还需要判定是否存在约束条件(第11-13，22-24行代码)，如有，则将该约束条件作为规则的一个单独的属性保存于该规则中(无则为)。最后将这些属性添加到该用户的权限属性集合中(第14-15，25-26行代码)，并将该用户和其对应的权限属性集合作为一个键值对添加到哈希表中(第29行代码)，完成了哈希表的生成，生成的哈希表如下所示。

用哈希表可以存放解析基于角色的关系表中的属性，通过哈希表中的属性可以快速的生成XACML策略规则，并且可以消除重复的属性，使得生成XACML时不会产生重复规则(特别是在角色继承时一个角色继承多个角色，这些角色产生的权限重复，从而在生成XACML时容易产生大量重复规则)。

该部分所生成的哈希表是由的用户-角色，角色-权限映射表得到的，并未做其他特殊处理，因此该哈希表所得到的访问控制数据是与用户-角色，角色-权限映射表中一一对应的。

(2)通过哈希表生成XACML访问控制策略(算法2)。

如图3所示，这一步，先对已经生成的哈希表进行迭代遍历，获得每一个键值对，即每个用户和它对应的权限属性集合。从每个键中获得一个用户，再从值的集合中提取一个元素(第5行代码),获得该用户对应的角色及属性(第5-10行代码，属性包括角色、资源，操作，权限和条件)，然后通过这些属性生成XACML策略规则，在生成XACML策略规则时，需要注意是否有约束条件，如有，则在XACML规则中构建该角色的一条属性来表示约束条件(第11-15行代码)。最后将生成的规则添加到XACML访问控制策略中(第16行代码)。例如，通过主键userA和值中的第一个元素可以得到userA，role1，res1，select，permit等5个属性和1个为空的条件属性，他们各自作为XACML规则中的一条属性来构建XACML访问控制策略规则<userA，role1，res1，select，permit，>(为便于阅读书写，我们将一个XACML规则形式化定义为一个6元组<subject，role，resource，action，effect，condition>，其实际策略规则如下所示)。

该步骤中，由于每一条XACML规则均是通过哈希表迭代遍历，获取其中的每一对属性来生成的XACML规则，因此其过程均是确定的。上两步其正确性也可以通过动态验证的方式来检验：可以通过相同的输入，两个转换器进行转换，检查得到的输出结果是否一致，然后将输出结果与输入的基于角色的访问控制对比，对比语义是否一致。

(3)对生成的XACML访问控制最小化(算法3)。

对所生成的XACML策略最小化，减少策略规模，提高XACML策略在实际使用时的效率。按照用户->角色->资源->操作的顺序来进行检查(第3行代码)，如果两条规则中其它相同，只有一条属性不同，则可进行合并(第4-8行代码)，如果两条规则都相同则可删除一条(第9-11行代码)。例如<user，role，res1，select，permit，>和<user，role，res2，select，permit，>经检查这两个资源不同，其他属性相同，则可以合并，合并后为<user，role，{res1,res2}，select，permit，>；在经过合并之后，可以简少XACML访问控制策略规则数目，提高规则的检索效率。

(4)基于属性的XACML决策

通过前面的算法和转换机制，我们顺利的将数据库中基于角色的访问控制策略转化为基于属性的访问控制策略，在这一节，我们建立一个决策方案，通过该方案，我们能够顺利的将用户对某种资源的请求进行判断并给出响应，其具体方案如下(如图4所示)：

(1)当物联网搜索引擎接收到用户的请求，物联网搜索引擎通过它对应的机制，当请求需要对某一第三方资源涉及到访问控制时，则生成一条对应的请求，发送给基于属性的XACML访问控制程序的执行层；

(2)执行层首先查询是否需要更新策略库，如需要则执行(4)，然后再将该请求经过处理生成XACML访问控制请求传递给决策层；

(3)决策层依据策略库对XACML访问控制请求进行策略匹配，如果匹配则向执行层返回匹配，否则返回不匹配，然后再由执行层依据决策结果进行对应的处理，最后向搜索引擎返回最终结果。

(4)如果第三方需要更新策略库，则第三方通过转换器进行转换，生成XACML策略，将其保存到策略资源库，完成策略的转换，然后向执行层返回结果。

Claims (10)

1.一种基于属性访问控制策略的访问控制方法，其步骤为：

1)提取数据库中用户-角色表和角色-权限表的属性信息，生成用户-角色-授权的访问控制关系哈希表；

2)根据访问控制关系哈希表生成访问控制策略：对访问控制关系哈希表进行迭代遍历，获得每一个键值对，即每个用户及其权限属性集合；然后根据用户的权限属性生成该用户的访问控制策略规则；

3)物联网搜索引擎对于收到的每一访问请求，根据所述访问控制策略规则对该访问请求进行判断，确定是否允许访问。

2.如权利要求1所述的方法，其特征在于，生成所述访问控制关系哈希表的方法为：首先创建一空哈希表，将每一用户作为该哈希表的一主键；然后针对每一用户，根据用户-角色关系表获得该用户对应的角色，再依据每个角色解析角色-权限关系表，得到每一角色对应的数据对象及其权限；然后将该数据对象及其权限添加到该用户的权限属性集合中，然后将该用户和其对应的权限属性集合作为一个键值对添加到哈希表中，生成所述访问控制关系哈希表。

3.如权利要求2所述的方法，其特征在于，如果一个用户具有多个角色，则分别根据每个角色解析角色-权限关系表，得到每一角色对应的数据对象以及其权限。

4.如权利要求2或3所述的方法，其特征在于，如果一角色继承其他角色，则通过该角色所继承的角色来获得该角色对应的数据对象以及其权限。

5.如权利要求2或3所述的方法，其特征在于，如果一角色存在约束条件，则将该约束条件作为该角色的一单独属性保存于对应访问控制策略规则中。

6.如权利要求2所述的方法，其特征在于，所述访问控制策略规则为：subject，role，resource，action，effect，condition；其中，subject为主键，role为角色属性，resource为资源属性，action为操作属性，effect为权限属性，condition为条件属性。

7.如权利要求1所述的方法，其特征在于，对生成的访问控制策略规则进行最小化处理，其方法为：将访问控制策略规则两两之间进行检查，如果两访问控制策略规则中只有一项属性不同，则将这两条访问控制策略规则进行合并，如果都相同则删除其中一条。

8.如权利要求7所述的方法，其特征在于，将访问控制策略规则两两之间按照用户->角色->资源->操作四项属性顺序进行检查，如果两访问控制策略规则中只有一项属性不同，则将这两条访问控制策略规则进行合并，如果都相同则删除其中一条。

9.如权利要求7所述的方法，其特征在于，将两条访问控制策略规则进行合并的方法为：将待合并的两访问控制策略规则中同一属性项对应的两不同属性值写入到该属性项中，其他相同属性项的属性值保持不变。

10.如权利要求1所述的方法，其特征在于，所述物联网搜索引擎根据访问控制策略规则对该访问请求进行判断，确定是否允许访问的方法为：所述物联网搜索引擎将该访问请求生成一XACML访问控制请求；然后将该XACML访问控制请求与策略库中的所述访问控制策略规则进行匹配，如果有匹配结果则允许该访问请求，否则拒绝该访问请求。