CN105468295B - 一种实现对象存储的安全防护访问方法及*** - Google Patents

一种实现对象存储的安全防护访问方法及*** Download PDF

Info

Publication number
CN105468295B
CN105468295B CN201510781188.2A CN201510781188A CN105468295B CN 105468295 B CN105468295 B CN 105468295B CN 201510781188 A CN201510781188 A CN 201510781188A CN 105468295 B CN105468295 B CN 105468295B
Authority
CN
China
Prior art keywords
client
certificate
access
meta data
server
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201510781188.2A
Other languages
English (en)
Other versions
CN105468295A (zh
Inventor
冯丹
吴锋
胡燏翀
王阿孟
文可
肖仁智
张晓阳
常栓霞
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huazhong University of Science and Technology
Original Assignee
Huazhong University of Science and Technology
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huazhong University of Science and Technology filed Critical Huazhong University of Science and Technology
Priority to CN201510781188.2A priority Critical patent/CN105468295B/zh
Publication of CN105468295A publication Critical patent/CN105468295A/zh
Application granted granted Critical
Publication of CN105468295B publication Critical patent/CN105468295B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0602—Interfaces specially adapted for storage systems specifically adapted to achieve a particular effect
    • G06F3/062—Securing storage systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0602—Interfaces specially adapted for storage systems specifically adapted to achieve a particular effect
    • G06F3/0614—Improving the reliability of storage systems
    • G06F3/0617—Improving the reliability of storage systems in relation to availability
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/06—Digital input from, or digital output to, record carriers, e.g. RAID, emulated record carriers or networked record carriers
    • G06F3/0601—Interfaces specially adapted for storage systems
    • G06F3/0668—Interfaces specially adapted for storage systems adopting a particular infrastructure
    • G06F3/067—Distributed or networked storage systems, e.g. storage area networks [SAN], network attached storage [NAS]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Human Computer Interaction (AREA)
  • Databases & Information Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Storage Device Security (AREA)

Abstract

本发明提供一种实现对象存储的安全防护访问方法，包括：客户端从认证服务器处获取访问证书，并将其和访问请求一起发送至至少三台元数据服务器；元数据服务器检查访问证书及访问请求的有效性后，根据访问请求类型进行处理并向客户端返回相应的元数据信息；客户端接收元数据信息后，向对象存储设备请求数据，对象存储设备收到请求后会对客户端进行验证，通过后会将数据发送给客户端。相应地本发明还提供了一种实现对象存储的安全防护访问***。本发明通过设置多个不同***的元数据服务器，在实现***多样化的同时，增强了***可靠性及数据存储访问的安全性，另外通过设置的认证服务器对客户端认证，增强了数据访问的安全性能。

Description

一种实现对象存储的安全防护访问方法及***
技术领域
本发明涉及计算机领域，具体涉及一种实现对象存储的安全防护访问方法及***。
背景技术
随着Internet和网络应用的普及和飞速发展，日益增加的用户数量，数据分布的地域空间更加广阔，数据存储量***性增长，越来越高的数据可靠性要求以及访问数据的设备种类日益增多，对数据存储***和数据安全提出了考验。
计算机和网络技术的极大发展，推动了文件***的不断进步完善。采用分布式存储(如SAN和NAS)可以有效存储的产生的大数据。面对海量数据，对数据的处理能力的也有着极高的要求，一个高效的文件***会带来明显的性能提升。
并行文件***(相较于直接为用户或应用服务器提供文件I/O的NAS和块I/O的SAN相比)对于数据的存取有着较大性能提升。并行文件***的元数据和数据分离存取，并行文件***可以在不影响全局空间管理的前提下通过增I/O节点的数量对***容量进行扩展，而通过增加元数据服务器以组成元数据服务器机群，***可支持更大规模的元数据管理；同时并行文件***可以提供元数据的冗余存储，可提供高可靠的服务；并行文件***不存在单点失效问题，重要节点和链路可以冗余配置，重要数据可以在多个I/O节点间进行冗余存储和自动备份恢复，因此，并行文件***具有更高的可靠性和可用性；同时并行文件***将元数据集中存放，也有利于统一管理。
对象存储***的出现有效结合了NAS和SAN的优点，与传统的块存储和文件存储不同，对象存储***中的对象存储设备以对象为单位组织和访问数据，对外提供具有丰富语义的对象接口，对内负责所有对象的内部磁盘空间管理。由于对象存储设备的智能化，建立在对象存储设备上的并行文件***，即基于对象的存储***更加简单和易于管理，而对象所包含的丰富属性和变长特点使得对象存储支持更加复杂强大的文件分割功能和灵活的制，结果是基于对象的存储***在可扩展性、性能、安全和易用性等方面都有改善。
对象存储***的数据和元数据是分离存储，由于元数据的集中存储，虽然便于管理，但是当数据量增大，访问请求增多，为了满足容量和IO带宽，作为***的关键部分，压力会骤然增大。现有对象存储设备的访问技术存在以下缺陷：(1)随着访问请求增多，对象存储***中的元数据服务器会出现宕机现象，***故障的概率会随之增大；(2)由于存储关键数据的设备更容易成为数据窃取的主要对象，而一般的对象存储***，用户均直接向元数据服务器获取元数据，元数据服务器直接暴露在外面，有较大风险。
发明内容
针对现有技术的以上缺陷或不足，本发明提供一种实现对象存储的安全防护访问方法及***，其中，通过设置至少三台元数据服务器为客户端提供访问服务，实现了对象存储***的多样化，增加了***的可靠性；通过认证服务器对客户端进行认证管理，同时对元数据服务器进行流量监控，显著提高了数据访问的安全性。通过执行本发明中的方案，大大降低了对象存储***故障的概率，进一步保证了对象存储***服务质量。
为实现上述目的，本发明提出了一种实现对象存储的安全防护访问方法，其特征在于，所述方法包括：
(1)客户端从认证服务器处获取访问证书；
(2)客户端将获取的访问证书和访问请求一起发送至至少三台元数据服务器；
(3)元数据服务器检查访问证书及访问请求的有效性后，根据访问请求类型进行处理：若访问请求为数据请求，则返回相关的元数据信息至客户端，执行步骤(5)-(6)；若访问请求为权限操作命令请求，则待元数据服务器作出授权决策后，将授权结果发送至对象存储设备，执行步骤(4)，同时返回相关的元数据信息至客户端，执行步骤(5)-(6)；
(4)对象存储设备对本地保存的权限列表进行修改；
(5)客户端接收最先到达的元数据信息，丢弃针对同一请求的其他元数据服务器发送的元数据信息；
(6)客户端接收元数据信息后，向对象存储设备请求数据，对象存储设备收到请求后会对用户进行验证，通过后会将数据发送给用户。
作为进一步优选的，所述步骤(1)包括：首先，客户端和认证服务器协商会话密钥；认证服务器用协商的会话密钥加密证书后，发送给客户端，客户端用协商的会话密钥对接收的加密证书进行解密。
作为进一步优选的，在步骤(3)中，所述元数据服务器检查访问证书及访问请求的有效性，具体包括：
(3-1)根据本地保存的用户撤销列表检查客户端访问证书，所述用户撤销列表中保存有过期用户或者无效用户；
(3-2)如果访问证书有效，对客户端访问请求进行权限检查，如果权限合法，则根据访问请求类型进行处理；否则，则返回错误信息。
作为进一步优选的，所述至少三台元数据服务器的操作***不同。
作为进一步优选的，对所述元数据服务器开启流量监测，定期对时间段T内各元数据服务器的流量进行对比，如果监测到任意一台元数据服务器的数据量比其他元数据服务器的数据量多时，则判断该元数据服务器在泄露数据，那么关闭该元数据服务器，并进行***安全检查，重新配置该元数据服务器的环境，然后恢复数据启动。
为实现上述目的，本发明还提供了一种实现对象存储的安全防护访问***，包括至少一台客户端Client，至少三台元数据服务器MDS，认证服务器TA，至少一台对象存储设备OSD，其特征在于，
所述客户端，用于从认证服务器处获取访问证书，并将获取的访问证书和访问请求一起发送至至少三台元数据服务器；还用于接收最先到达的元数据信息，丢弃其他元数据服务器发送的元数据信息，根据接收的元数据信息向对象存储设备请求数据，并接收对象存储设备返回的对应数据；
所述认证服务器，用于向客户端发送访问证书及协助元数据服务器检查访问证书；
所述元数据服务器，用于检查访问证书及访问请求的有效性后，根据访问请求类型进行处理：若访问请求为数据请求，则返回相关的元数据信息至客户端；若访问请求为权限操作命令请求，则待元数据服务器作出授权决策后，将授权结果发送至对象存储设备，同时返回相关的元数据信息至客户端；
所述对象存储设备，用于接收所述元数据服务器发送的授权结果，并根据授权结果对本地保存的权限列表进行修改；还用于在接收客户端发送的数据请求后对客户端进行验证，验证通过后将对应数据发送给客户端。
作为进一步优选的，所述客户端与所述认证服务器协商会话密钥；所述认证服务器用协商的会话密钥加密证书后，发送给客户端，所述客户端用协商的会话密钥对接收的加密证书进行解密。
作为进一步优选的，所述元数据服务器，用于检查访问证书及访问请求的有效性，具体包括：所述元数据服务器根据本地保存的用户撤销列表检查客户端访问证书，所述用户撤销列表中保存有过期用户或者无效用户；如果访问证书有效，对访问请求进行权限检查，如果权限合法，则根据访问请求类型进行处理；否则，则返回错误信息。
作为进一步优选的，所述至少三台元数据服务器的操作***不同。
作为进一步优选的，所述***还包括监控模块，用于对所述元数据服务器开启流量监测，定期对时间段T内各元数据服务器的流量进行对比，如果监测到任意一台元数据服务器的数据量比其他元数据服务器的数据量多时，则判断该元数据服务器在泄露数据，那么关闭该元数据服务器，并进行***安全检查，重新配置该元数据服务器的环境，然后恢复数据启动。
总体而言，按照本发明点的以上技术方案与现有技术相比，主要具备以下的技术优点：
1、本发明通过设置至少三台元数据服务器，当任意一台服务器出现故障时，对于客户端的访问请求服务不受影响，同时，元数据服务器也不需要有数据同步的操作，大大降低了***故障的概率，进一步保证了对象存储***服务质量，提高了数据访问的可靠性；
2、此外，本发明通过认证服务器对客户端进行认证，防止非法用户登录***获取数据；同时对元数据服务器进行流量监控，进行对比，发现立即，并执行清理操作，然后恢复数据，重新工作，显著提高了数据访问的安全性。
附图说明
图1是一种实现对象存储的安全防护访问***的基本结构示意图
图2是一种实现对象存储的安全防护访问方法的数据流向示意图
图3是一种实现对象存储的安全防护访问***的流量监测示意图
图4是一种实现对象存储的安全防护访问方法的流量监测流程图
具体实施方案
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
本发明的技术方案是按照以下方式实现的，***的物理环境和架构如下：
选择3台元数据服务器MDS，运行的***分别是Fedora，Centos，redhat；多台对象存储设备OSD，***为Fedora；1台认证服务器TA，***为redhat或者Fedora；多台客户机Client，***为Fedora。存储***为OBS对象存储***。流量监测工具为tcpdump。在环境搭建好之后，将三台MDS挂载到客户机。
如图1所示，本发明提供了一种实现对象存储的安全防护访问***，包括至少一台客户端Client，至少三台元数据服务器MDS，认证服务器TA，至少一台对象存储设备OSD，其特征在于，
所述客户端，用于从认证服务器处获取访问证书，并将获取的访问证书和访问请求一起发送至至少三台元数据服务器；还用于接收最先到达的元数据信息，丢弃其他元数据服务器发送的元数据信息，根据接收的元数据信息向对象存储设备请求数据，并接收对象存储设备返回的对应数据；
所述认证服务器，用于向客户端发送访问证书及协助元数据服务器检查访问证书；
所述元数据服务器，用于检查访问证书及访问请求的有效性后，根据访问请求类型进行处理：若访问请求为数据请求，则返回相关的元数据信息至客户端；若访问请求为权限操作命令请求，则待元数据服务器作出授权决策后，将授权结果发送至对象存储设备，同时返回相关的元数据信息至客户端；
所述对象存储设备，用于接收所述元数据服务器发送的授权结果，并根据授权结果对本地保存的权限列表进行修改；还用于在接收客户端发送的数据请求后对客户端进行验证，验证通过后将对应数据发送给客户端。
作为进一步优选的，所述客户端与所述认证服务器协商会话密钥；所述认证服务器用协商的会话密钥加密证书后，发送给客户端，所述客户端用协商的会话密钥对接收的加密证书进行解密。
作为进一步优选的，所述元数据服务器，用于检查访问证书及访问请求的有效性，具体包括：所述元数据服务器根据本地保存的用户撤销列表检查客户端访问证书，所述用户撤销列表中保存有过期用户或者无效用户；如果访问证书有效，对访问请求进行权限检查，如果权限合法，则根据访问请求类型进行处理；否则，则返回错误信息。
作为进一步优选的，所述至少三台元数据服务器的操作***不同。
作为进一步优选的，所述***还包括监控模块，用于对所述元数据服务器开启流量监测，定期对时间段T内各元数据服务器的流量进行对比，如果监测到任意一台元数据服务器的数据量比其他元数据服务器的数据量多时，则判断该元数据服务器在泄露数据，那么关闭该元数据服务器，并进行***安全检查，重新配置该元数据服务器的环境，然后恢复数据启动。
本发明还提出了一种实现对象存储的安全防护访问方法，其特征在于，所述方法包括：
(1)客户端从认证服务器处获取访问证书；
用户登录客户机，输入用户名和口令；向认证服务器TA发送认证请求，TA确定用户合法之后，会给用户发送一个证书，用户凭借证书向元数据服务器集群请求数据。TA会把用户撤销信息发送给元数据服务器，以便元数据服务器对用户进行认证。其中，客户端和认证服务器首先协商会话密钥；认证服务器用协商的会话密钥加密证书后，发送给客户端，客户端用协商的会话密钥对接收的加密证书进行解密。
(2)客户端将获取的访问证书和访问请求一起发送至至少三台元数据服务器，所述至少三台元数据服务器的操作***不同；
(3)元数据服务器检查访问证书及访问请求的有效性后，根据访问请求类型进行处理：若访问请求为数据请求，则返回相关的元数据信息至客户端，执行步骤(5)-(6)；若访问请求为权限操作命令请求，则待元数据服务器作出授权决策后，将授权结果发送至对象存储设备，执行步骤(4)，同时返回相关的元数据信息至客户端，执行步骤(5)-(6)；
所述元数据服务器检查访问证书及访问请求的有效性，具体包括：
(3-1)根据本地保存的用户撤销列表检查客户端访问证书，所述用户撤销列表中保存有过期用户或者无效用户；
(3-2)如果访问证书有效，对客户端访问请求进行权限检查，如果权限合法，则根据访问请求类型进行处理；否则，则返回错误信息。用户只接收返回最快那个元数据服务器的数据，然后将数据操作命令，将证书和必要的安全参数发送给对象存储设备OSD。
(4)对象存储设备对本地保存的权限列表进行修改；
(5)客户端接收最先到达的元数据信息，丢弃其他元数据服务器发送的元数据信息；
(6)客户端接收元数据信息后，向对象存储设备请求数据，对象存储设备收到请求后会对用户进行验证，通过后会将数据发送给用户。
用户只接收最先达到的元数据信息，然后将数据操作命令、证书和必要的安全参数发送给对象存储设备OSD；对象存储设备OSD收到请求后，对用户的证书进行检查，确认用户的身份，根据授权列表来对用户做出授权决定。若收到是客户机发来的数据操作命令则返回用户请求的数据；若收到的是元数据服务器发来的预授权命令，则对本地存储的预授权列表进行相应的操作。
结合图2中的数据流向，对上述方法进行具体描述。
①用户向认证服务器请求证书，为了防止数据被窃取，用户会和认证服务器先协商会话密钥，通过会话密钥加密证书；认证服务器用会话密钥加密证书后，发送给用户，用户收到加密的证书后，用协商的密钥对证书进行解密。
②用户将证书解密后，将请求和证书打包成命令描述符，同时发给3台元数据服务器，每一台元数据服务器都会对用户的请求进行响应，具体步骤：第一步，检查用户的证书，每台元数据服务器上都有一份用户撤销列表，保存的是过期的用户或者无效的用户。第二步，如果用户的证书有效，那么会对用户的请求进行权限检查，如果越权则返回错误信息。第三步，如果权限合法，则会对命令进行解析，根据命令类型返回相关的元数据信息。
用户端会收到3台元数据服务器发送的响应，但是用户只接收一份最快的，另外两个丢弃。这样做的好处，最大限度的保证了性能，同时元数据服务器端都会处理用户请求，所以3台元数据服务器上的数据始终是一致的。
③用户得到了元数据服务器发送的元数据后，会向对象存储请求数据，对象存储设备收到请求后会对用户进行验证，通过后会将数据发送给用户。
④认证服务器会将维护的用户证书列表发送给元数据服务器，提供验证依据；
⑤当用户的请求不是数据请求，而是权限操作命令，则元数据服务器会按照保存的全局访问控制列表作出授权决策，将结果发送给对象存储设备。存储设备则对保存的权限列表进行相应的修改。
另外，如图3-4所示，在本发明提出的技术方案中，对所述元数据服务器还开启流量监测，定期对时间段T内各元数据服务器的流量进行对比，如果监测到任意一台元数据服务器的数据量比其他元数据服务器的数据量多时，则判断该元数据服务器在泄露数据，那么关闭该元数据服务器，并进行***安全检查，重新配置该元数据服务器的环境，然后恢复数据启动。
在这个过程中，监控模块会记下各个元数据服务器流出的数据量，以便进行阶段性的对比，发现是否有异常的元数据服务器。
若通过tcpdump的流量监测找到了发送数据量比其他两台要多的那一台服务器，则将立即将其关闭，进行清理，还原服务器到纯净状态。
当一台机器因为故障或者泄露数据被关闭后，需要再重新启动，我们需要将数据进行恢复，需要保证三台元数据服务器的数据是一样的。在一个方案中，在故障的元数据服务器恢复数据的时候，服务器可以继续工作，但是要将故障机器在关闭到重新工作之间的用户请求记录下来，重新操作一遍；在另一个方案中，在故障的元数据服务器恢复数据的时候，服务器可以继续工作，但是要将故障机器在关闭到重新工作之间的用户请求记录下来，读数据的命令可以过滤掉，将请求以文件名进行分类，最先处理删除命令，如果最后有删除命令就不用操作之前的命令，直接执行删除命令，然后是写命令和修改命令。
本发明在数据存取的关键路径进行冗余，可以容忍元数据服务器连续坏两台而不影响功能，有很强的可靠性；本发明对关键的路径上的部件采用多***异构的方案，增加了***的多样性，大大的降低了因某一特定***攻击导致***完全不能用的风险，有很强的防御功能；本发明通过增加一个流量监测模块，可以通过对比3台元数据服务器的流量，从而可以找到受到攻击的元数据服务器，进而关闭此元数据服务器，因此有一定的查杀功能。因此，本发明有着很高的可靠性和安全性。
本领域的技术人员容易理解，以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (8)

1.一种实现对象存储的安全防护访问方法，其特征在于，所述方法包括：
(1)客户端从认证服务器处获取访问证书；
(2)客户端将获取的访问证书和访问请求一起发送至至少三台元数据服务器；
(3)元数据服务器检查访问证书及访问请求的有效性后，根据访问请求类型进行处理：若访问请求为数据请求，则返回相关的元数据信息至客户端，执行步骤(5)-(6)；若访问请求为权限操作命令请求，则待元数据服务器作出授权决策后，将授权结果发送至对象存储设备，执行步骤(4)，同时返回相关的元数据信息至客户端，执行步骤(5)-(6)；
(4)对象存储设备对本地保存的权限列表进行修改；
(5)客户端接收最先到达的元数据信息，丢弃针对同一请求的其他元数据服务器发送的元数据信息；
(6)客户端接收元数据信息后，向对象存储设备请求数据，对象存储设备收到请求后会对客户端进行验证，通过后会将数据发送给客户端；
执行步骤(1)～(6)的同时，对所述元数据服务器开启流量检测，定期对时间段T内各元数据服务器的流量进行对比，如果监测到任意一台元数据服务器的数据量比其他元数据服务器的数据量多时，则判断该元数据服务器在泄露数据，那么关闭该元数据服务器，并进行***安全检查，重新配置该元数据服务器的环境，然后恢复数据启动。
2.根据权利要求1所述的方法，其特征在于，所述步骤(1)包括：首先，客户端和认证服务器协商会话密钥；认证服务器用协商的会话密钥加密证书后，发送给客户端，客户端用协商的会话密钥对接收的加密证书进行解密。
3.根据权利要求1所述的方法，其特征在于，在步骤(3)中，所述元数据服务器检查访问证书及访问请求的有效性，具体包括：
(3-1)根据本地保存的用户撤销列表检查客户端访问证书，所述用户撤销列表中保存有过期用户或者无效用户；
(3-2)如果访问证书有效，对客户端访问请求进行权限检查，如果权限合法，则根据访问请求类型进行处理；否则，则返回错误信息。
4.根据权利要求1所述的方法，其特征在于，所述至少三台元数据服务器的操作***不同。
5.一种实现对象存储的安全防护访问***，包括至少一台客户端Client，至少三台元数据服务器MDS，认证服务器TA，至少一台对象存储设备OSD，其特征在于，
所述客户端，用于从认证服务器处获取访问证书，并将获取的访问证书和访问请求一起发送至至少三台元数据服务器；还用于接收最先到达的元数据信息，丢弃其他元数据服务器发送的元数据信息，根据接收的元数据信息向对象存储设备请求数据，并接收对象存储设备返回的对应数据；
所述认证服务器，用于向客户端发送访问证书及协助元数据服务器检查访问证书；
所述元数据服务器，用于检查访问证书及访问请求的有效性后，根据访问请求类型进行处理：若访问请求为数据请求，则返回相关的元数据信息至客户端；若访问请求为权限操作命令请求，则待元数据服务器作出授权决策后，将授权结果发送至对象存储设备，同时返回相关的元数据信息至客户端；
所述对象存储设备，用于接收所述元数据服务器发送的授权结果，并根据授权结果对本地保存的权限列表进行修改；还用于在接收客户端发送的数据请求后对客户端进行验证，验证通过后将对应数据发送给客户端；
所述***还包括监控模块，用于对所述元数据服务器开启流量监测，定期对时间段T内各元数据服务器的流量进行对比，如果监测到任意一台元数据服务器的数据量比其他元数据服务器的数据量多时，则判断该元数据服务器在泄露数据，那么关闭该元数据服务器，并进行***安全检查，重新配置该元数据服务器的环境，然后恢复数据启动。
6.根据权利要求5所述的***，其特征在于，所述客户端与所述认证服务器协商会话密钥；所述认证服务器用协商的会话密钥加密证书后，发送给客户端，所述客户端用协商的会话密钥对接收的加密证书进行解密。
7.根据权利要求5所述的***，其特征在于，所述元数据服务器，用于检查访问证书及访问请求的有效性，具体包括：
所述元数据服务器根据本地保存的用户撤销列表检查客户端访问证书，所述用户撤销列表中保存有过期用户或者无效用户；
如果访问证书有效，对访问请求进行权限检查，如果权限合法，则根据访问请求类型进行处理；否则，则返回错误信息。
8.根据权利要求5所述的***，其特征在于，所述至少三台元数据服务器的操作***不同。
CN201510781188.2A 2015-11-14 2015-11-14 一种实现对象存储的安全防护访问方法及*** Active CN105468295B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201510781188.2A CN105468295B (zh) 2015-11-14 2015-11-14 一种实现对象存储的安全防护访问方法及***

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201510781188.2A CN105468295B (zh) 2015-11-14 2015-11-14 一种实现对象存储的安全防护访问方法及***

Publications (2)

Publication Number Publication Date
CN105468295A CN105468295A (zh) 2016-04-06
CN105468295B true CN105468295B (zh) 2019-03-05

Family

ID=55606048

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201510781188.2A Active CN105468295B (zh) 2015-11-14 2015-11-14 一种实现对象存储的安全防护访问方法及***

Country Status (1)

Country Link
CN (1) CN105468295B (zh)

Families Citing this family (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10380100B2 (en) * 2016-04-27 2019-08-13 Western Digital Technologies, Inc. Generalized verification scheme for safe metadata modification
CN106250762A (zh) * 2016-07-18 2016-12-21 乐视控股（北京）有限公司 用于防止存储对象非法引用的方法和***
US10320572B2 (en) 2016-08-04 2019-06-11 Microsoft Technology Licensing, Llc Scope-based certificate deployment
CN106506668B (zh) * 2016-11-23 2019-07-16 浪潮云信息技术有限公司 一种基于分布式存储实现对象存储的方法
US10348764B2 (en) * 2017-06-28 2019-07-09 GM Global Technology Operations LLC System and method for intercepting encrypted traffic and indicating network status
CN109218425A (zh) * 2018-09-17 2019-01-15 苏州爱开客信息技术有限公司 分布式智能停车***
CN112783822B (zh) * 2019-11-04 2023-11-03 上海云教信息技术有限公司 一种科学数据共享平台去中心化的数据收割方法和装置
CN111131441A (zh) * 2019-12-21 2020-05-08 西安天互通信有限公司 一种实时文件共享***及方法
CN111245933A (zh) * 2020-01-10 2020-06-05 上海德拓信息技术股份有限公司 一种基于日志的对象存储追加写实现方法
CN114117507B (zh) * 2020-08-28 2024-01-30 中国电信股份有限公司 对象存储***及其访问控制方法和设备、存储介质
CN112910868A (zh) * 2021-01-21 2021-06-04 平安信托有限责任公司 企业网络安全管理方法、装置、计算机设备及存储介质
CN112947864B (zh) * 2021-03-29 2024-03-08 南方电网数字平台科技(广东)有限公司 元数据的存储方法、装置、设备和存储介质
CN115174602B (zh) * 2022-06-30 2023-04-18 浙江蓝景科技有限公司 一种应用于渔业管理的数据处理方法和***

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101605137A (zh) * 2009-07-10 2009-12-16 中国科学技术大学 安全分布式文件***
CN101997823A (zh) * 2009-08-17 2011-03-30 联想(北京)有限公司 一种分布式文件***及其数据访问方法
CN104320401A (zh) * 2014-10-31 2015-01-28 北京思特奇信息技术股份有限公司 一种基于分布式文件***的大数据存储访问***及方法

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103617308B (zh) * 2013-10-30 2016-06-08 河海大学 一种风电场频域等效模型的构建方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101605137A (zh) * 2009-07-10 2009-12-16 中国科学技术大学 安全分布式文件***
CN101997823A (zh) * 2009-08-17 2011-03-30 联想(北京)有限公司 一种分布式文件***及其数据访问方法
CN104320401A (zh) * 2014-10-31 2015-01-28 北京思特奇信息技术股份有限公司 一种基于分布式文件***的大数据存储访问***及方法

Also Published As

Publication number Publication date
CN105468295A (zh) 2016-04-06

Similar Documents

Publication Publication Date Title
CN105468295B (zh) 一种实现对象存储的安全防护访问方法及***
CN106060796B (zh) 终端的备份销毁方法和装置
CN101764819B (zh) 用于检测浏览器中间人攻击的方法和***
KR101431333B1 (ko) 클라우드 컴퓨팅에서 소셜리티 스토리지 서비스를 위한 데이터 페더레이션 시스템 및 그 방법
CN110489996B (zh) 一种数据库数据安全管理方法及***
US9594922B1 (en) Non-persistent shared authentication tokens in a cluster of nodes
CN105511805A (zh) 集群文件***的数据处理方法和装置
JP2008537203A (ja) 障害復旧フレームワーク
US8719923B1 (en) Method and system for managing security operations of a storage server using an authenticated storage module
US20220094689A1 (en) Automatically Executing Responsive Actions Based on a Verification of an Account Lineage Chain
US20040111391A1 (en) Command processing system by a management agent
CN105430016A (zh) 一种网络接入认证方法及***
US20120331538A1 (en) Method and communication device for accessing to devices in security
CN105553783A (zh) 一种配置双机资源切换的自动化测试方法
CN104219080A (zh) 一种网站错误页日志记录方法
CN112769932A (zh) 基于区块链与数据分离的分布式云存储***
CN103297441A (zh) 访问控制方法和装置
CN109889518A (zh) 一种加密存储方法
CN109815725B (zh) 一种实现数据安全处理的***和方法
CN111371588A (zh) 基于区块链加密的sdn边缘计算网络***、加密方法及介质
CN113961892A (zh) 账户安全管控方法、***、可读存储介质及计算机设备
US20140007197A1 (en) Delegation within a computing environment
CN101408955A (zh) 一种基于策略的责任认定方法与***
CN111488597B (zh) 一种适用于跨网络安全区域的安全审计***
CN107172078B (zh) 一种基于应用服务的核心框架平台的安全管控方法和***

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant