CN105827663A - 访问控制方法和*** - Google Patents

Abstract

本发明公开了一种访问控制方法和***，所述访问控制方法包括：请求访问目标对象；判断请求对象与所述目标对象是否处于同一安全域；若所述请求对象与所述目标对象处于同一安全域，根据预设的第一映射模型将所述请求对象映射至所述目标对象的第一权限；根据所述第一权限访问所述目标对象；若所述请求对象与所述目标对象处于不同安全域，根据预设的第二映射模型将所述请求对象映射至所述目标对象的第二权限；根据所述第二权限访问所述目标对象。本发明提供的技术方案基于角色映射控制对象的跨域访问权限，在独立自治的安全域之间通过角色映射建立起合同性质的访问授权关系，既提高了访问控制的安全性和公平性，又提高了访问控制的灵活性。

Description

访问控制方法和***

技术领域

本发明涉及通信技术领域，尤其涉及一种访问控制方法和***。

背景技术

Java智能卡作为一种广泛应用的智能卡，满足了用户对于一卡多用的需要，节省了发行方的市场部署时间，延长了智能卡的使用周期。目前，Java智能卡已经成为移动终端最主要的SIM卡品种。当多个应用存在于同一Java智能卡之中时，Java智能卡需要提供一种面向对象的访问机制，一方面保证了卡内不同应用提供方开发的应用相互隔离互不干扰，另一方面也为多个合作方的应用在卡内进行数据交换提供技术支持。

现有技术采用应用防火墙机制实现应用的隔离和共享。然而，这种应用防火墙机制存在如下漏洞：首先，请求对象认为目标对象是绝对信任的，只要目标对象同意，请求对象可以毫无戒备地访问目标对象提供的服务。在这种情况上，请求对象可能遭受到目标对象的恶意服务，存在数据泄漏或者遭到攻击等安全隐患。其次，现有技术使用的分级对象共享机制使得卡内应用信息只可以从等级低的对象流向等级高的对象。由于卡内应用的业务类型往往存在较大差异，现有技术将所有对象按照同样的参考体系进行访问权限的分级，使得访问控制缺乏合理性和公平性。

发明内容

为解决上述问题，本发明提供一种访问控制方法和***，至少部分解决现有的访问控制存在安全漏洞，以及缺乏合理性和公平性的问题。

为此，本发明提供一种访问控制方法，包括：

请求访问目标对象；

判断请求对象与所述目标对象是否处于同一安全域；

若所述请求对象与所述目标对象处于同一安全域，根据预设的第一映射模型将所述请求对象映射至所述目标对象的第一权限；

根据所述第一权限访问所述目标对象；

若所述请求对象与所述目标对象处于不同安全域，根据预设的第二映射模型将所述请求对象映射至所述目标对象的第二权限；

根据所述第二权限访问所述目标对象。

可选的，所述安全域包括至少一个对象，所述对象具有至少一个角色，所述角色具有对应的权限。

可选的，所述若所述请求对象与所述目标对象处于同一安全域，根据预设的第一映射模型将所述请求对象映射至所述目标对象的第一权限的步骤包括：

将所述请求对象的角色映射至所述目标对象的角色；

获取所述目标对象的角色对应的第一权限。

可选的，所述若所述请求对象与所述目标对象处于不同安全域，根据预设的第二映射模型将所述请求对象映射至所述目标对象的第二权限的步骤包括：

将所述请求对象的角色映射至所述目标对象的角色；

获取所述目标对象的角色对应的第二权限；

将所述第二权限发送至所述请求对象。

可选的，所述将所述请求对象的角色映射至所述目标对象的角色的步骤包括：

将第一安全域内的第一角色转换为第二安全域内的第二角色，所述请求对象属于所述第一安全域，所述目标对象属于所述第二安全域，所述第一角色为所述请求对象在所述第一安全域内的角色，所述第二角色为所述目标对象在所述第二安全域内的角色。

本发明还提供一种访问控制***，包括：

第一请求单元，用于请求访问目标对象；

第一判断单元，用于判断请求对象与所述目标对象是否处于同一安全域；

第一映射单元，用于若所述请求对象与所述目标对象处于同一安全域，根据预设的第一映射模型将所述请求对象映射至所述目标对象的第一权限；

第一访问单元，用于根据所述第一权限访问所述目标对象；

第二映射单元，用于若所述请求对象与所述目标对象处于不同安全域，根据预设的第二映射模型将所述请求对象映射至所述目标对象的第二权限；

第二访问单元，用于根据所述第二权限访问所述目标对象。

可选的，所述安全域包括至少一个对象，所述对象具有至少一个角色，所述角色具有对应的权限。

可选的，所述第一映射单元包括：

第一映射模块，用于将所述请求对象的角色映射至所述目标对象的角色；

第一获取模块，用于获取所述目标对象的角色对应的第一权限。

可选的，所述第二映射单元包括：

第二映射模块，用于将所述请求对象的角色映射至所述目标对象的角色；

第二获取模块，用于获取所述目标对象的角色对应的第二权限；

第一发送模块，用于将所述第二权限发送至所述请求对象。

可选的，所述第二映射模块包括：

第一转换子模块，用于将第一安全域内的第一角色转换为第二安全域内的第二角色，所述请求对象属于所述第一安全域，所述目标对象属于所述第二安全域，所述第一角色为所述请求对象在所述第一安全域内的角色，所述第二角色为所述目标对象在所述第二安全域内的角色。

本发明具有下述有益效果：

本发明提供的访问控制方法和***之中，所述访问控制方法包括：请求访问目标对象；判断请求对象与所述目标对象是否处于同一安全域；若所述请求对象与所述目标对象处于同一安全域，根据预设的第一映射模型将所述请求对象映射至所述目标对象的第一权限；根据所述第一权限访问所述目标对象；若所述请求对象与所述目标对象处于不同安全域，根据预设的第二映射模型将所述请求对象映射至所述目标对象的第二权限；根据所述第二权限访问所述目标对象。本发明提供的技术方案基于角色映射控制对象的跨域访问权限，在独立自治的安全域之间通过角色映射建立起合同性质的访问授权关系，从而实现了相互联通以及相互操作。而且，通过第三方权威机构负责存储跨域对象之间的映射关系，从而保证了访问控制的公平性和安全性。本发明提供的技术方案以角色作为载体，每个对象对应一个域内角色，不同的角色匹配不同的权限。各个安全域自行对角色进行设置和管理，跨域访问时通过角色映射进行不同域内角色和权限的匹配。这样既能够保证各个安全域对域内对象的独立控制权，又能够在保证域内自治性的基础上解决跨域授权的问题，从而提高了资源共享的灵活性。因此，本发明提供的技术方案既提高了访问控制的安全性和公平性，又提高了访问控制的灵活性。

附图说明

图1为本发明实施例一提供的一种访问控制方法的流程图；

图2为图1所示访问控制方法的具体流程图；

图3为图1所示访问控制方法的映射流程图；

图4为本发明实施例二提供的一种访问控制***的结构示意图。

具体实施方式

为使本领域的技术人员更好地理解本发明的技术方案，下面结合附图对本发明提供的访问控制方法和***进行详细描述。

实施例一

图1为本发明实施例一提供的一种访问控制方法的流程图。如图1所示，所述访问控制方法包括：

步骤1001、请求访问目标对象。

步骤1002、判断请求对象与所述目标对象是否处于同一安全域。

步骤1003、若所述请求对象与所述目标对象处于同一安全域，根据预设的第一映射模型将所述请求对象映射至所述目标对象的第一权限。

步骤1004、根据所述第一权限访问所述目标对象。

本实施例中，所述安全域包括至少一个对象，所述对象具有至少一个角色，所述角色具有对应的权限。所述若所述请求对象与所述目标对象处于同一安全域，根据预设的第一映射模型将所述请求对象映射至所述目标对象的第一权限的步骤包括：将所述请求对象的角色映射至所述目标对象的角色；获取所述目标对象的角色对应的第一权限。

在实际应用中，应用防火墙机制将Java智能卡内的对象划分为以应用上下文为标签的多个集合。同一集合内的对象之间的访问是合法的，不同集合之间的对象访问是有条件的。这种跨集合的对象访问规则就是共享接口对象访问机制。请求对象首先将共享接口服务请求通过JAVA卡运行环境(JavaCardRuntimeEnvironment，简称JCRE)发送至目标对象，由目标对象验证是否开放共享接口服务。如果验证成功，请求对象可以调用共享接口提供的服务。

根据上述应用防火墙原理，Java智能卡的存储区域分成不同的安全域，不同安全域对应不同类型的对象集合，彼此之间通过防火墙进行隔离。每个安全域内设置一个代理(Agent)，所述代理对域内所有对象进行角色管理、角色对应的权限管理以及对象之间的访问控制。本实施例中，同一安全域的对象之间的相互访问由对应的代理根据对象所属的角色权限进行控制。不同安全域之间对象的相互访问则需要JCRE进行角色映射，再根据映射后的角色权限跨域调用共享接口提供的服务。本实施例提供的技术方案基于角色映射控制对象的跨域访问权限，在独立自治的安全域之间通过角色映射建立起合同性质的访问授权关系，从而实现了相互联通以及相互操作。而且，通过第三方权威机构负责存储跨域对象之间的映射关系，从而保证了访问控制的公平性和安全性。

本实施例以对象编号(ObjectID，OID)作为JAVA智能卡上每个应用对象的唯一身份标识。图2为图1所示访问控制方法的具体流程图。如图2所示，整个卡对象的访问过程包括两部分，虚线所示为用户与卡应用的服务请求建立过程：用户向卡应用发起服务请求，请求信息包括请求服务的应用OID以及用户信息。根据用户信息对用户身份进行验证，具体验证方式包括密码认证、PIN码认证以及生物识别认证之中的至少一种。身份验证成功后，建立用户与访问请求对象之间的服务通道，根据用户身份提供相应服务。

参见图2，实线部分表示对象之间的相互访问流程，假设请求Object_i请求调用目标Object_j的共享接口服务，具体流程为：请求Object_i向AgentI提出访问请求，访问请求信息包括申请者OID、目标OID和访问请求类型。其中，申请者OID为Object_i对应的OID_i，目标OID为Object_j对应的OID_j。访问请求类型设置为1，默认为共享接口访问。

AgentI获取请求Object_i的服务请求后，访问控制模块首先根据OID_j寻址到目标Object_j的存储位置。如果请求Object_i和目标Object_j在同一安全域内则根据两者在域内的角色，按权限共享两者的访问空间，Object_i可以通过访问通道获取目标Object_j的部分服务和数据。

步骤1005、若所述请求对象与所述目标对象处于不同安全域，根据预设的第二映射模型将所述请求对象映射至所述目标对象的第二权限。

步骤1006、根据所述第二权限访问所述目标对象。

本实施例中，所述若所述请求对象与所述目标对象处于不同安全域，根据预设的第二映射模型将所述请求对象映射至所述目标对象的第二权限的步骤包括：将所述请求对象的角色映射至所述目标对象的角色；获取所述目标对象的角色对应的第二权限；将所述第二权限发送至所述请求对象。

参见图2，若所述请求对象与所述目标对象不在同一安全域内，首先识别出此次访问请求对应的角色映射类型，然后根据映射需求将访问请求以及Object_i对应的角色r_i转发至JCRE。JCRE根据此次访问请求信息，按照请求Object_i和目标Object_j的映射关系，将请求Object_i在安全域I内的角色r_i转换为目标Object_j所属的安全域J内的角色r_j，并将访问请求连同映射后的角色r_j下发AgentJ。AgentJ根据角色r_j以及目标Object_j对应角色的权限下发至Object_j。建立请求Object_j和目标Object_j的访问通道，按照角色权限共享两者的访问空间。本实施例提供的技术方案以角色作为载体，每个对象对应一个域内角色，不同的角色匹配不同的权限。各个安全域自行对角色进行设置和管理，跨域访问时通过角色映射进行不同域内角色和权限的匹配。这样既能够保证各个安全域对域内对象的独立控制权，又能够在保证域内自治性的基础上解决跨域授权的问题，从而提高了资源共享的灵活性。因此，本实施例提供的技术方案既提高了访问控制的安全性和公平性，又提高了访问控制的灵活性。

本实施例中，所述将所述请求对象的角色映射至所述目标对象的角色的步骤包括：将第一安全域内的第一角色转换为第二安全域内的第二角色，所述请求对象属于所述第一安全域，所述目标对象属于所述第二安全域，所述第一角色为所述请求对象在所述第一安全域内的角色，所述第二角色为所述目标对象在所述第二安全域内的角色。

图3为图1所示访问控制方法的映射流程图。如图3所示，将JAVA智能卡内的安全域集设置为SECS，安全域内的对象集设置为OBJS_p，安全域角色集设置为ROLES_p，下标p是安全域标识，p∈SECS。安全域内角色对应关系表示为JCRE中的映射中介集为MAPS，引入第三方角色集ROLES_f作为跨域角色映射的中介角色，下标f是映射中介标识，f∈MAPS。

参见图3，本实施例根据对象访问过程中是否引入第三方角色集作为中介以及是否直接进行角色指派，将角色映射分为以下四类：安全域角色与中介角色映射、安全域角色间映射、指派型跨域对象间角色映射以及指派型对象与中介角色映射。下面分别对这四种映射进行说明：

安全域角色与中介角色映射时，若有安全域I内角色r_i∈ROLES_I，中介角色r_j∈ROLES_f，则用(r_i,r_j)∈RRSM_I,f表示将安全域I角色r_i映射为中介角色r_j，其中是映射关系集。类似有(r_i,r_j)∈RRSM_f,J，表示将中介角色r_i映射为平台安全域J角色r_j。

安全域角色之间映射时，若有安全域I内角色r_i∈ROLES_I，安全域J内角色r_j∈ROLES_J，则用(r_i,r_j)∈RRSS_I,J表示将安全域I的角色r_i映射为安全域J内角色r_j，其中是映射关系集。

跨域对象间角色映射时。若有安全域I内对象o_i∈OBJS_I，安全域J内角色r_j∈ROLES_J，则用(o_i,r_j)∈ORSS_I,J表示安全域I的用户o_i被指派了安全域J内r_j角色，其中是跨域对象角色映射关系集。

对象与中介角色映射时，若有安全域I内对象o_i∈OBJS_I，中介角色r_j∈ROLES_f，则用(o_i,r_j)∈ORSM_I,J表示安全域I的用户o_i被指派了中介角色r_j，其中是对象与中介角色映射的映射关系集。

为了兼顾访问控制的公平性和安全性，同时保证卡内调用的响应速度，根据访问范围、映射关系、映射关系的存储点以及映射行为的发生位置，本实施例设置了三种映射模型：多边映射模型、双边映射模型以及单点映射模型。下面分别对这三种映射模型进行说明：

在多边映射模型之中，本实施例利用JCRE作中介，通过引入第三方角色集来达到跨域访问控制的目的。建立每个安全域自身角色集到第三方角色集的映射，映射关系保存在位于JCRE上映射中介的策略库内。当跨域访问请求发生时，策略库中的角色转换函数根据请求的流向进行角色映射。以安全域I内的对象o_i跨域访问安全域J的对象为例，安全域I首先对o_i认证和授权后传递给JCRE的角色r_i表示为：

roles_I(o_i)＝{r_i∈ROLES_f|o_i∈OBJS_I}

位于JCRE上的角色映射模块首先根据请求安全域I的属性匹配出与之对应的映射中介，调用对应的角色转换函数将角色r_i映射成中介角色：

g_roles_f(o_i)＝{r_f∈ROLES_f|(r_i,r_f)∈RRSM_I,f,r_i∈roles_I(o_i)}

其中，g_roles_f(o_i)为安全域I与映射中介间的角色转换函数。接下来角色映射模块根据目标安全域J的属性匹配出与之对应的映射中介，调用对应的角色转换函数将中介角色r_f再次转换成安全域J可以识别的角色：

roles_J(o_i)＝{r_j∈ROLES_J|(r_f,r_j)∈RRSM_f,J,(r_i,r_f)∈RRSM_I,f,r_i∈roles_I(o_i)}安全域J的访问控制***根据转化后的角色最终决定对象o_i的访问权限。

本实施例提供的多边映射模型采用了间接映射的方式将I域的角色r_i转换为J域的角色r_j。JCRE保留了(r_i,r_f)∈RRSM_I,f以及(r_f,r_j)∈RRSM_f,J的映射关系，但是两个角色间的直接映射关系(r_i,r_j)∈RRMM_I,J并未出现在映射信息库中。这样，一方面可以保护各安全域的角色信息，确保访问控制的公平性。另一方面可以保证角色映射的灵活性，各个安全域可以根据自身情况随时更改相应的映射信息。

在双边映射模型之中，参与访问交互的两个安全域之间通过协商就特定的角色映射关系达成一致，直接在映射关系中添加(r_i,r_j)∈RRMM_I,J。当安全域I拥有角色r_i的对象o_i跨域访问安全域J的服务时，直接由域J匹配的映射中介将其转换为可识别角色r_j，即：

roles_J(o_i)＝{(r_i,r_j)∈RRMM_I,J,r_i∈roles_I(o_i)}

在单点映射模型之中，本实施例直接指定对象和角色之间的对应关系，包括以下两种情况：a)安全域给自身所辖对象直接指派中介角色；b)给安全域的对象指派本安全域内角色。下面对上述两种情况进行说明：

本实施例中，安全域I给自身所辖对象o_i直接指派中介角色r_f，即直接添加对象中介角色映射关系(o_i,r_f)∈ORSM_I,f，该信息存储于请求安全域对应的映射中介中，当跨域访问请求发生时，o_i直接获得中介角色：

g_roles_f(o_i)＝{r_f∈ROLES_f|(o_i,r_f)∈ORSM_I,f,r_i∈roles_I(o_i)}

本实施例中：目标安全域通过跨域对象角色映射(指派)，可以直接授予跨域请求对象相应权限。当安全域J指派角色r_j给安全域I的对象o_i时，添加映射关系(o_i,r_j)∈ORSS_I,J，该映射关系存储在位于目标安全域J对应的映射中介中。当对象o_i访问安全域J时,将通过身份转换获得对应的角色：

roles_J(o_i)＝{r_j∈ROLES_J|(o_i,r_j)∈ORSS_I,J,r_i∈roles_I(o_i)}

本实施例提供的技术方案以角色作为载体，每个对象对应一个域内角色，不同的角色匹配不同的权限。各个安全域自行对角色进行设置和管理，跨域访问时通过角色映射进行不同域内角色和权限的匹配。这样既能够保证各个安全域对域内对象的独立控制权，又能够在保证域内自治性的基础上解决跨域授权的问题，从而提高了资源共享的灵活性。因此，本实施例提供的技术方案既提高了访问控制的安全性和公平性，又提高了访问控制的灵活性。

本实施例以安全域I内的对象o_i请求跨域访问安全域J的对象为例，从请求对象o_i到目标角色r_j整个映射流程。首先，由AgentI的访问控制模块识别请求对象o_i到目标角色r_j是否存在指派关系。如果存在指派型跨域对象间角色映射，即(o_i,r_j)∈ORSS_I,J，则参考跨域角色指派模型，由目标安全域J所属的映射代理直接计算出目标角色r_j。如果存在指派型对象与中介角色映射，即存在(o_i,r_f)∈ORSM_I,f，则先由请求安全域所属的映射代理参考中介角色指派模型计算出中介角色r_f，再由目标安全域J所属的映射代理根据r_f与J域角色之间的映射关系(r_f,r_j)∈RRMS_f,J计算出目标角色r_j。如果请求对象o_i到目标角色r_j之间不存在指派关系，AgentI识别出o_i在I域角色r_i。判断是否存在两个安全域角色之间的映射关系，即(r_i,r_j)∈RRMM_I,J。如果存在(r_i,r_j)∈RRMM_I,J映射，则参考双边映射模型，由目标安全域J所属的映射代理根据映射关系直接计算出目标角色r_j。如果不存在(r_i,r_j)∈RRMM_I,J映射，则参考多边映射模型，先由域I所属的映射代理根据映射(r_i,r_f)∈RRSM_I,f转换成中介角色，再由域J所属的映射代理根据映射(r_f,r_j)∈RRSM_f,J计算出目标角色r_j。

本实施例提供的访问控制方法包括：请求访问目标对象；判断请求对象与所述目标对象是否处于同一安全域；若所述请求对象与所述目标对象处于同一安全域，根据预设的第一映射模型将所述请求对象映射至所述目标对象的第一权限；根据所述第一权限访问所述目标对象；若所述请求对象与所述目标对象处于不同安全域，根据预设的第二映射模型将所述请求对象映射至所述目标对象的第二权限；根据所述第二权限访问所述目标对象。本实施例提供的技术方案基于角色映射控制对象的跨域访问权限，在独立自治的安全域之间通过角色映射建立起合同性质的访问授权关系，从而实现了相互联通以及相互操作。而且，通过第三方权威机构负责存储跨域对象之间的映射关系，从而保证了访问控制的公平性和安全性。本实施例提供的技术方案以角色作为载体，每个对象对应一个域内角色，不同的角色匹配不同的权限。各个安全域自行对角色进行设置和管理，跨域访问时通过角色映射进行不同域内角色和权限的匹配。这样既能够保证各个安全域对域内对象的独立控制权，又能够在保证域内自治性的基础上解决跨域授权的问题，从而提高了资源共享的灵活性。因此，本实施例提供的技术方案既提高了访问控制的安全性和公平性，又提高了访问控制的灵活性。

实施例二

图4为本发明实施例二提供的一种访问控制***的结构示意图。如图4所示，所述访问控制***包括第一请求单元101、第一判断单元102、第一映射单元103、第一访问单元104、第二映射单元105以及第二访问单元106。所述第一请求单元101用于请求访问目标对象；第一判断单元102用于判断请求对象与所述目标对象是否处于同一安全域；第一映射单元103用于若所述请求对象与所述目标对象处于同一安全域，根据预设的第一映射模型将所述请求对象映射至所述目标对象的第一权限；第一访问单元104用于根据所述第一权限访问所述目标对象；第二映射单元105用于若所述请求对象与所述目标对象处于不同安全域，根据预设的第二映射模型将所述请求对象映射至所述目标对象的第二权限；第二访问单元106用于根据所述第二权限访问所述目标对象。本实施例提供的技术方案以角色作为载体，每个对象对应一个域内角色，不同的角色匹配不同的权限。各个安全域自行对角色进行设置和管理，跨域访问时通过角色映射进行不同域内角色和权限的匹配。这样既能够保证各个安全域对域内对象的独立控制权，又能够在保证域内自治性的基础上解决跨域授权的问题，从而提高了资源共享的灵活性。

本实施例中，所述安全域包括至少一个对象，所述对象具有至少一个角色，所述角色具有对应的权限。优选的，所述第一映射单元包括第一映射模块和第一获取模块，所述第一映射模块用于将所述请求对象的角色映射至所述目标对象的角色；所述第一获取模块用于获取所述目标对象的角色对应的第一权限。根据应用防火墙原理，Java智能卡的存储区域分成不同的安全域，不同安全域对应不同类型的对象集合，彼此之间通过防火墙进行隔离。每个安全域内设置一个代理(Agent)，所述代理对域内所有对象进行角色管理、角色对应的权限管理以及对象之间的访问控制。本实施例中，同一安全域的对象之间的相互访问由对应的代理根据对象所属的角色权限进行控制。不同安全域之间对象的相互访问则需要JCRE进行角色映射，再根据映射后的角色权限跨域调用共享接口提供的服务。本实施例提供的技术方案基于角色映射控制对象的跨域访问权限，在独立自治的安全域之间通过角色映射建立起合同性质的访问授权关系，从而实现了相互联通以及相互操作。而且，通过第三方权威机构负责存储跨域对象之间的映射关系，从而保证了访问控制的公平性和安全性。

本实施例中，所述第二映射单元包括第二映射模块、第二获取模块以及第一发送模块。所述第二映射模块用于将所述请求对象的角色映射至所述目标对象的角色；第二获取模块用于获取所述目标对象的角色对应的第二权限；第一发送模块用于将所述第二权限发送至所述请求对象。优选的，所述第二映射模块包括第一转换子模块，所述第一转换子模块用于将第一安全域内的第一角色转换为第二安全域内的第二角色，所述请求对象属于所述第一安全域，所述目标对象属于所述第二安全域，所述第一角色为所述请求对象在所述第一安全域内的角色，所述第二角色为所述目标对象在所述第二安全域内的角色。

本实施例提供的访问控制***包括第一请求单元、第一判断单元、第一映射单元、第一访问单元、第二映射单元以及第二访问单元。所述第一请求单元用于请求访问目标对象；第一判断单元用于判断请求对象与所述目标对象是否处于同一安全域；第一映射单元用于若所述请求对象与所述目标对象处于同一安全域，根据预设的第一映射模型将所述请求对象映射至所述目标对象的第一权限；第一访问单元用于根据所述第一权限访问所述目标对象；第二映射单元用于若所述请求对象与所述目标对象处于不同安全域，根据预设的第二映射模型将所述请求对象映射至所述目标对象的第二权限；第二访问单元用于根据所述第二权限访问所述目标对象。本实施例提供的技术方案基于角色映射控制对象的跨域访问权限，在独立自治的安全域之间通过角色映射建立起合同性质的访问授权关系，从而实现了相互联通以及相互操作。而且，通过第三方权威机构负责存储跨域对象之间的映射关系，从而保证了访问控制的公平性和安全性。本实施例提供的技术方案以角色作为载体，每个对象对应一个域内角色，不同的角色匹配不同的权限。各个安全域自行对角色进行设置和管理，跨域访问时通过角色映射进行不同域内角色和权限的匹配。这样既能够保证各个安全域对域内对象的独立控制权，又能够在保证域内自治性的基础上解决跨域授权的问题，从而提高了资源共享的灵活性。因此，本实施例提供的技术方案既提高了访问控制的安全性和公平性，又提高了访问控制的灵活性。

可以理解的是，以上实施方式仅仅是为了说明本发明的原理而采用的示例性实施方式，然而本发明并不局限于此。对于本领域内的普通技术人员而言，在不脱离本发明的精神和实质的情况下，可以做出各种变型和改进，这些变型和改进也视为本发明的保护范围。

Claims (10)

1.一种访问控制方法，其特征在于，包括：

请求访问目标对象；

判断请求对象与所述目标对象是否处于同一安全域；

若所述请求对象与所述目标对象处于同一安全域，根据预设的第一映射模型将所述请求对象映射至所述目标对象的第一权限；

根据所述第一权限访问所述目标对象；

若所述请求对象与所述目标对象处于不同安全域，根据预设的第二映射模型将所述请求对象映射至所述目标对象的第二权限；

根据所述第二权限访问所述目标对象。

2.根据权利要求1所述的访问控制方法，其特征在于，所述安全域包括至少一个对象，所述对象具有至少一个角色，所述角色具有对应的权限。

3.根据权利要求2所述的访问控制方法，其特征在于，所述若所述请求对象与所述目标对象处于同一安全域，根据预设的第一映射模型将所述请求对象映射至所述目标对象的第一权限的步骤包括：

将所述请求对象的角色映射至所述目标对象的角色；

获取所述目标对象的角色对应的第一权限。

4.根据权利要求2所述的访问控制方法，其特征在于，所述若所述请求对象与所述目标对象处于不同安全域，根据预设的第二映射模型将所述请求对象映射至所述目标对象的第二权限的步骤包括：

将所述请求对象的角色映射至所述目标对象的角色；

获取所述目标对象的角色对应的第二权限；

将所述第二权限发送至所述请求对象。

5.根据权利要求4所述的访问控制方法，其特征在于，所述将所述请求对象的角色映射至所述目标对象的角色的步骤包括：

将第一安全域内的第一角色转换为第二安全域内的第二角色，所述请求对象属于所述第一安全域，所述目标对象属于所述第二安全域，所述第一角色为所述请求对象在所述第一安全域内的角色，所述第二角色为所述目标对象在所述第二安全域内的角色。

6.一种访问控制***，其特征在于，包括：

第一请求单元，用于请求访问目标对象；

第一判断单元，用于判断请求对象与所述目标对象是否处于同一安全域；

第一映射单元，用于若所述请求对象与所述目标对象处于同一安全域，根据预设的第一映射模型将所述请求对象映射至所述目标对象的第一权限；

第一访问单元，用于根据所述第一权限访问所述目标对象；

第二映射单元，用于若所述请求对象与所述目标对象处于不同安全域，根据预设的第二映射模型将所述请求对象映射至所述目标对象的第二权限；

第二访问单元，用于根据所述第二权限访问所述目标对象。

7.根据权利要求6所述的访问控制***，其特征在于，所述安全域包括至少一个对象，所述对象具有至少一个角色，所述角色具有对应的权限。

8.根据权利要求7所述的访问控制***，其特征在于，所述第一映射单元包括：

第一映射模块，用于将所述请求对象的角色映射至所述目标对象的角色；

第一获取模块，用于获取所述目标对象的角色对应的第一权限。

9.根据权利要求7所述的访问控制***，其特征在于，所述第二映射单元包括：

第二映射模块，用于将所述请求对象的角色映射至所述目标对象的角色；

第二获取模块，用于获取所述目标对象的角色对应的第二权限；

第一发送模块，用于将所述第二权限发送至所述请求对象。

10.根据权利要求9所述的访问控制***，其特征在于，所述第二映射模块包括：

第一转换子模块，用于将第一安全域内的第一角色转换为第二安全域内的第二角色，所述请求对象属于所述第一安全域，所述目标对象属于所述第二安全域，所述第一角色为所述请求对象在所述第一安全域内的角色，所述第二角色为所述目标对象在所述第二安全域内的角色。