CN115225299B - 用户认证方法、服务器和*** - Google Patents

Abstract

本申请公开了一种用户认证方法、服务器和***，其中方法包括：设置与目标计算集群对应的认证模块；获取用户认证端发送的认证请求信息，认证请求信息包括账号类型和身份认证信息；根据账号类型确定出与用户对应的身份认证源；在身份认证源为目标计算集群的情况下，根据认证模块发送身份认证信息至身份认证源以进行身份认证；在身份认证成功的情况下，生成并向用户认证端返回身份令牌，以使用户认证端能够根据身份令牌访问高性能计算服务环境。本申请在不改变原有基础设施前提下，使得用户采用原有账号即可快速登录高性能计算服务环境；提高了登录的准确性；且显著提高了用户的工作效率、降低了操作繁琐性、极大程度上提高了用户的体验感受。

Description

用户认证方法、服务器和***

技术领域

本申请涉及信息安全技术领域，尤其涉及用户认证方法、服务器和***。

背景技术

高性能计算服务环境作为科技创新的重要手段，能够提供各种专业软件，和大型计算服务器。目前高性能计算服务环境已涵盖了多个大型计算结点，为用户提供便捷的计算服务，后续会有更多的计算结点加入到环境中。

随着科学技术的发展，高性能计算服务环境聚合的计算结点和对外支撑的应用社区以及业务平台数量和种类越来越多。计算结点和应用社区以及业务平台的用户想利用原有账号直接登录访问高性能计算服务环境。现有技术中，用户在登录访问高性能计算服务环境时，针对不同的计算结点要分别进行认证，效率低下，计算量大，用户操作繁琐；且计算集群的用户在登录访问集群时，需要在执行界面输入复杂的口令，存在着操作麻烦、无法实现可视化、容易出错的缺陷。

现有技术中，虽然存在一些支持第三方认证的方法，但是由于计算集群的特殊性，计算集群无法直接挪用现有的第三方认证方法来登录访问高性能计算服务环境。

发明内容

本申请实施例提供了一种用户认证方法、服务器和***，以实现为用户提供一种便捷的、可采用原有账号快速登录高性能计算服务环境的方法。

本申请实施例采用下述技术方案：

根据本申请的一方面，提供了一种用户认证方法，由用户认证服务器执行，包括：

设置与目标计算集群对应的认证模块，目标计算集群为接入到用户认证***的计算集群；

获取用户认证端发送的认证请求信息，认证请求信息包括用户的账号类型和身份认证信息；

根据账号类型确定出与用户对应的身份认证源；

在身份认证源为目标计算集群的情况下，根据认证模块发送身份认证信息至身份认证源以进行身份认证；

在身份认证成功的情况下，生成并向用户认证端返回身份令牌，以使用户认证端能够根据身份令牌访问高性能计算服务环境。

可选的，在上述方法中，设置与目标计算集群对应的认证模块包括：

设置与目标计算集群对应的认证接口，使接口可以将接收到的身份认证信息封装为目标计算集群所支持的认证信息格式；

根据认证模块发送身份认证信息至身份认证源以进行身份认证包括：

通过认证接口对身份认证信息进行封装，将封装后的身份认证信息发送给目标计算集群的集群终端，以使集群终端将封装后的身份认证信息发送至身份认证源以进行身份认证。

可选的，在上述方法中，设置与目标计算集群对应的认证模块包括：

设置与目标计算集群的集群终端对应的模拟终端；

根据认证模块发送身份认证信息至身份认证源以进行身份认证包括：

利用模拟终端将身份认证信息封装为目标计算集群所支持的认证信息格式，将封装后的身份认证信息发送至身份认证源以进行身份认证。

可选的，在上述方法中，获取用户认证端发送的认证请求信息包括：

向用户认证端提供前端页面，通过前端页面接收用户认证端发送的认证请求信息；

其中，前端页面包括账号类型控件和身份认证信息输入控件；

账号类型控件的可选取项是根据用户认证***已支持的应用和/或计算集群配置的；

身份认证信息输入控件配置有输入校验规则。

可选的，在上述方法中，根据账号类型确定出与用户对应的身份认证源包括：

在账户类型为计算集群类型的情况下，获取用户认证端的网络环境信息；

根据网络环境信息识别出与用户认证端对应的计算集群；

将识别出的计算集群的身份认证源，作为与用户对应的身份认证源。

可选的，上述方法还包括：

若根据网络环境信息无法识别出与用户认证端对应的计算集群，则向用户认证端返回认证失败信息。

可选的，上述方法还包括：

根据认证请求信息，判断用户是否为用户认证***中的已注册用户；

若用户不是已注册用户，则获取用户注册信息；

根据用户注册信息为用户在用户认证***中进行注册。

可选的，在上述方法中，根据认证请求信息，判断用户是否为用户认证***中的已注册用户包括：

根据身份认证信息中的用户名，在该用户对应的身份认证源的已注册用户列表中进行检索；

若能够检索到，则用户为用户认证***中的已注册用户，否则，用户不是用户认证***中的已注册用户。

可选的，上述方法还包括：

在身份认证源为用户认证***自身认证源的情况下，基于LDAP协议对身份认证信息进行认证；

在身份认证源为第三方应用的情况下，通过OAuth2协议将身份认证信息发送至身份认证源以进行身份认证。

根据本申请的另一方面，提供了一种用户认证服务器，该用户认证服务器用于实现如上所述任一的方法。

根据本申请的又一方面，提供了一种用户认证***，包括如上所述的用户认证服务器，以及若干个用户认证端；

用户认证端，用于向用户认证服务器发送用户认证信息，接收用户认证服务器返回的身份令牌；以及根据身份令牌访问高性能计算服务环境。

本申请实施例采用的上述至少一个技术方案能够达到以下有益效果：

本申请通过构建了目标计算集群对应的认证模块，并将该认证模块与用户所在用户认证端以及各目标计算集群的身份认证源联动起来，将不同来源的用户信息分配至相应的身份认证源进行认证，使得不同计算集群来源的用户在用户认证端均可采用原有身份账号信息即可快速登录访问高性能计算服务环境，在不改变原有基础设施前提下，使得计算集群的用户在无需书写复杂的口令，也无需申请新的账号的情况下，即可快速登录高性能计算服务环境；提高了登录的准确性；且显著提高了用户的工作效率、降低了操作繁琐性、极大程度上提高了用户的体验感受。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为根据本申请的一个实施例的用户认证方法的流程示意图；

图2为根据本申请的一个实施例的用户认证***的结构示意图；

图3为根据本申请的另一个实施例的用户认证***的结构示意图；

图4为根据本申请的另一个实施例的用户认证方法的流程示意图；

图5为根据本申请的一个实施例的用户认证服务器的结构示意图；

图6为本申请实施例中一种电子设备的结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

以下结合附图，详细说明本申请各实施例提供的技术方案。

高性能计算服务环境是将全国优质计算资源集合在一起统筹管理和使用的平台，高性能计算服务环境一方面能够提供强大计算能力的硬件服务，另一方面能够提供丰富的软件，如开源软件、商业软件以及自主研发的软件，涉及到量子化学、分子模拟、高能物理、生物科学等等领域。

随着高性能计算服务环境的发展，高性能计算服务环境聚合的计算结点和支撑的应用社区和业务平台越来越多。现有技术中，计算集群的用户在登录访问高性能计算服务环境时，需要在执行界面输入复杂的口令，操作繁琐，容易出错；第三方应用如应用社区或业务平台的用户需要在高性能计算服务环境重新申请账号，造成一个用户的账号数量众多，使得用户容易遗忘和混淆。而各计算集群都有自己的账号管理***，计算集群的用户也都有基于自身账号管理***的账号，为了提高用户的使用感受，本申请旨在提供一种统一的认证方法，使得计算集群的用户能够使用原有账号快速、便捷的登录访问高性能计算服务环境，显著提高了用户的使用感受。

图1示出了根据本申请的一个实施例的用户认证方法的流程示意图，从图1可以看出，该方法由用户认证服务器执行，至少包括步骤S110～S150：

步骤S110：设置与目标计算集群对应的认证模块，目标计算集群为接入到用户认证***的计算集群。

计算集群包括但不限于高性能计算服务环境已经聚合的大型计算中心。计算集群的使用方式通常为：通过集群终端进行用户认证，在认证通过后，再通过集群终端提交计算任务。

区别于高性能计算服务环境支撑的领域社区或平台，计算集群的特殊性在于集群终端并非是通过浏览器架构实现，而且集群终端并没有针对各计算集群的可视化登录界面，各计算集群的用户只能通过执行语句登录，操作繁琐，容易出错，也使得集群终端的用户认证无法与其他计算结点的用户认证简单地统一起来。

针对计算集群的上述特点，本申请实施例的设计在于，首先，建立与目标计算集群对应的认证模块，认证模块设置在用户认证服务器上，用来实现与目标计算集群的认证通信。这样，就解决了浏览器架构的用户认证端无法直接与目标计算集群建立认证通信的难题。

需要说明的是，该方法适用对象是已接入高性能计算服务环境的计算集群的用户，对于还未加入到高性能计算服务环境的计算集群，在访问高性能计算服务环境前，首先需要聚合到该高性能计算服务环境，并在加入高性能计算服务环境后，设置相应的认证模块。

步骤S120：获取用户认证端发送的认证请求信息，认证请求信息包括用户的账号类型和身份认证信息。

用户通过使用在用户认证端的用户登录界面填写的用户信息进行登录，用户认证端根据用户信息生成认证请求信息，用户认证端将该认证请求信息发送至用户认证服务器。认证请求信息至少包括用户的账号类型和身份认证信息，其中，用户的账号类型的设置根据目标计算集群的不同而不同，账号类型可以具体表征目标计算集群为哪一个计算集群，如A大型计算中心对应A账号类型、B大型计算中心对应B账号类型、C大型计算中心对应C账号类型，这里需要注意的是，一个计算集群对应一个账号类型，不会出现多个同类的计算集群对应一个账号类型，即A大型计算中心、B大型计算中心和C大型计算中心对应不同的账号类型，而不是这三者对应同一个账号类型。在一个计算集群接入高性能计算用户认证服务后，就会为这个计算集群设置特定的对应的账号类型，用户根据自身所在的计算集群进行选择或者填写。

身份认证信息包括但不限于用户名和密码，这里需要说明的是，这里的身份认证信息如用户名和密码是用户原有的、在各自计算集群的账号管理***中的，例如可称为原始用户名和原始密码，无需重新申请。

步骤S130：根据账号类型确定出与用户对应的身份认证源。

对于用户的身份认证是用户所在的计算集群自身的身份认证源进行的，身份认证源包括但不限于计算集群的账号管理***，由于账号类型可以具体表征目标计算集群为哪一个计算结点，因此可以根据账号类型确定出某一用户的身份认证源为哪一个计算集群。

承上，如一位用户填写的账号类型为A账号类型，则确定该用户的身份认证源为A大型计算中心；一位用户填写的账号类型为B账号类型，则确定该用户的身份认证源为B大型计算中心。

步骤S140：在身份认证源为目标计算集群的情况下，根据认证模块发送身份认证信息至身份认证源以进行身份认证。

这里以目标计算集群为A大型计算中心为例，在身份认证源为A大型计算中心的情况下，认证模块将用户的身份认证信息发送至A大型计算中心，以使A大型计算中心对接收的用户的身份认证信息进行认证。需要说明的是，这里的发送可以是直接发送，也可以是通过其他中转途径间接发送。

步骤S150：在身份认证成功的情况下，生成并向用户认证端返回身份令牌，以使用户认证端能够根据身份令牌访问高性能计算服务环境。

在身份认证成功的情况下，对用户进行授权，具体的，用户认证服务器在接收到身份认证成功的消息后，生成身份令牌(Token)，并将该身份令牌返回至用户认证端，用户认证端能够根据身份令牌访问高性能计算服务环境，并利用高性能计算服务环境中的资源，包括但不限于硬件资源和软件资源。

Token可以是用户认证服务器生成的一串字符串，当用户认证端登录时，用户认证服务器生成一个Token，并将此Token返回给用户认证端，以后用户认证端只需带上这个Token即可访问高性能计算服务环境。

从图1所示的方法可以看出，本申请通过构建了目标计算集群的认证模块，并将该认证模块与用户所在用户认证端以及各目标计算集群的身份认证源联动起来，将不同来源的用户信息分配至相应的身份认证源进行认证，使得计算集群在用户认证端均可采用原有身份账号信息即可快速登录访问高性能计算服务环境，在不改变原有基础设施前提下，使得计算集群的用户在无需书写复杂的口令，也无需申请新的账号的情况下，即可快速登录高性能计算服务环境；提高了登录的准确性；且显著提高了用户的工作效率、降低了操作繁琐性、极大程度上提高了用户的体验感受。

在本申请的一些实施例中，在上述方法中，设置与目标计算集群对应的认证模块包括：设置与目标计算集群对应的认证接口，使认证接口可以将接收到的身份认证信息封装为目标计算集群所支持的认证信息格式。根据认证模块发送身份认证信息至所述身份认证源以进行身份认证包括：通过认证接口对身份认证信息进行封装，将封装后的身份认证信息发送给目标计算集群的集群终端，以使集群终端将封装后的身份认证信息发送至所述身份认证源以进行身份认证。

认证模块可设置在用户认证服务器上，具体形式可以但不限于认证接口，该认证接口能够接收并转换身份认证信息，具体的，接收用户认证端发送的身份认证信息，身份认证信息可以包括但不限于用户名和密码，然后将身份认证信息进行封装，在封装的过程中，对身份认证信息进行转换，转换为目标计算集群所支持的认证信息格式。

在对身份认证信息分发环节，可以由认证接口将装后的身份认证信息发送给目标计算集群的集群终端，该集群终端可以是在计算集群处为用户认证专门设置的独立终端，也可以将该终端集成在用户认证端。

图2示出了根据本申请的一个实施例的用户认证***的结构示意图，在该实施例中，集群终端是在计算集群处为用户认证专门设置的独立终端，从图2中可以看出，该用户认证***1000包括：用户认证服务器100和至少一个计算集群，这里记为A计算集群和B计算集群。用户认证服务器100包括认证模块110，认证模块110包括认证接口111。以A计算集群为例，A计算集群200-1包括用户认证端210-1、集群终端220-1和身份认证源230-1，集群终端220-1分别于用户认证端210-1和身份认证源230-1通信连接。

用户认证服务器100与各计算集群通信连接，具体的，认证模块110分别与用户认证端210-1和集群终端220-1分别通信连接。

采用图2所示的用户认证***执行上述的用户认证方法的具体流程可描述如下：

用户认证端210-1接收用户填写的用户信息，根据用户信息生成认证请求信息，并将认证请求信息发送至用户认证服务器100的认证模块110的认证接口111。认证接口111解析认证请求信息，得到账号类型和身份认证信息，根据账号类型确定出与用户对应的身份认证源为哪一个计算集群，这里以为A计算集群为例。认证接口111将身份认证信息封装为A计算集群支持的认证信息格式，并将封装后的身份认证信息发送至A集群终端220-1，由集群终端220-1发送至A身份认证源230-1进行身份认证。

在本申请的一些实施例中，设置与目标计算集群对应的认证模块包括：设置与目标计算集群的集群终端对应的模拟终端；根据认证模块发送身份认证信息至身份认证源以进行身份认证包括：利用模拟终端将身份认证信息封装为目标计算集群所支持的认证信息格式，将封装后的身份认证信息发送至身份认证源以进行身份认证。

为了将计算量转移至用户认证服务器处，可以在用户认证服务器上设置与目标计算集群的集群终端对应的模拟终端，模拟终端能够实现集群终端的所有功能。在设有模拟终端的情况下，身份认证信息的封装和分发由模拟终端负责。

图3示出了根据本申请的另一个实施例的用户认证***的结构示意图，在该实施例中，设有模拟终端，从图3可以看出，该用户认证***1000包括：

用户认证服务器100和至少一个计算集群，这里记为A计算集群和B计算集群。用户认证服务器100包括认证模块110，认证模块110包括模拟终端112。以A计算集群为例，A计算集群200-1包括用户认证端210-1、集群终端220-1和身份认证源230-1，集群终端220-1分别于用户认证端210-1和身份认证源230-1通信连接。

用户认证服务器100与各计算集群通信连接，具体的，认证模块110分别与用户认证端210-1和集群终端220-1分别通信连接。

采用图3所示的用户认证***执行上述的用户认证方法的具体流程可描述如下：

用户认证端210-1接收用户填写的用户信息，根据用户信息生成认证请求信息，并将认证请求信息发送至用户认证服务器100的认证模块110的模拟终端112。模拟终端112解析认证请求信息，得到账号类型和身份认证信息，根据账号类型确定出与用户对应的身份认证源为哪一个计算集群，这里以为A计算集群为例。模拟终端112将身份认证信息封装为A计算集群支持的认证信息格式，并将封装后的身份认证信息发送至A集群终端220-1，由集群终端220-1发送至A身份认证源230-1进行身份认证。

前面的实施例示出了认证模块的两种具体实现方式，一种方式下，认证模块并不直接与身份认证源通信，而是通过原有的集群终端与身份认证源通信，这种方式看似繁琐，但实则可以是集群终端在此过程中完成身份认证，即一次认证过程中，既实现了用户认证端的身份认证，也实现了集群终端的身份认证，这样无论是用户想要通过用户认证端使用高性能计算环境中的其他应用，还是想要通过集群终端使用目标计算集群，都不需要再次进行身份认证了。

而另一种方式下，则是认证模块直接与身份认证源通信，认证模块实际模拟了集群终端的身份认证功能。在一些实施例中，该认证模块还可以模拟集群终端的其他功能，例如向目标计算集群提交计算任务，等等，但用户如果想使用本地的集群终端登录目标计算集群，则还需重新进行身份认证。

在本申请的一些实施例中，在上述方法中，获取用户认证端发送的认证请求信息包括：向用户认证端提供前端页面，通过前端页面接收用户认证端发送的认证请求信息；其中，前端页面包括账号类型控件和身份认证信息输入控件；账号类型控件的可选取项是根据用户认证***已支持的应用和/或计算集群配置的；身份认证信息输入控件配置有输入校验规则。

为了使得用户更加方便的填写信息，可向用户认证端提供前端页面，这样实现的登录访问高性能计算服务环境的可视化操作，具体的，在前端页面中可显示出需要用户填写或选择的信息，至少显示出账号类型和身份认证信息，在后台，可通过账号类型控件和身份认证信息输入控件实现，其中，账号类型控件的可选取项是根据用户认证***已支持的应用和/或计算集群配置的，即一个应用或一个集群对应一个可选取项；为了提高身份认证信息的准确性，可对输入控件配置有输入校验规则，以使用户根据校验规则进行校验。

在本申请的一些实施例中，在上述方法中，根据账号类型确定出与用户对应的身份认证源包括：在账户类型为计算集群类型的情况下，获取用户认证端的网络环境信息；根据网络环境信息识别出与用户认证端对应的计算集群；将识别出的计算集群的身份认证源，作为与用户对应的身份认证源。

在确定身份认证源的过程中，可以根据计算集群的网络环境信息对身份认证源进行确定，通常情况下，一个计算集群的网络环境信息都具有表征其身份的属性，如网络环境信息包括但不限于计算集群的域名，计算集群的账号的扩展名等等，通过这些信息可确定出与用户认证端对应的计算集群。进一步的，将识别出的计算集群的身份认证源，作为与用户对应的身份认证源，如将A大型计算中心的账号管理***作为与用户对应的身份认证源。

在本申请的一些实施例中，如果根据网络环境信息无法识别出与用户认证端对应的计算集群，则向用户认证端返回认证失败信息。

即如果通过网络环境信息不能确定用户所在的用户认证端属于哪个计算集群，则不能确定用户的来源，进一步的，不能确定将用户的身份认证信息分发给哪个身份认证源，在这种情况下，直接向用户认证端返回认证失败信息。

在本申请的一些实施例中，上述方法还包括：根据认证请求信息，判断用户是否为用户认证***中的已注册用户；若用户不是已注册用户，则获取用户注册信息；根据用户注册信息为用户在用户认证***中进行注册。

在对用户的身份认证之前可前置一个验证用户是否为已注册用户的步骤，若为已注册用户，则继续之前后续步骤。

该步骤也可由身份认证源执行，也可以由用户认证服务器执行，但二者执行的目的是不同的。

在该步骤也由身份认证源执行的情况下，在本申请的一些实施例中，在上述方法中，根据认证请求信息，判断用户是否为用户认证***中的已注册用户包括：根据身份认证信息中的用户名，在该用户对应的身份认证源的已注册用户列表中进行检索；若能够检索到，则用户为用户认证***中的已注册用户，否则，用户不是用户认证***中的已注册用户。

上述步骤的目的是为了验证用户是否为身份认证源的已注册用户，如果是未注册用户，后续的身份认证必然不会通过，为了节省计算量，可先执行该步骤。

在身份认证源中设置有已注册用户列表，可根据身份认证信息中的用户名在已注册用户列表中进行检索，以确定该用户是不是身份认证源的已注册用户，如果该用户为身份认证源的已注册用户，则进一步确定，该用户为用户认证***中的已注册用户。如果该用户不是身份认证源的已注册用户，说明该用户为身份认证源的新用户，则需要为该新用户进行注册，该注册包含为用户分配用户名和密码。

在该步骤由用户认证服务器执行的情况下，其目的是判断一个用户是否首次登陆访问高性能计算服务环境的用户。这里需要说明的是，这种情况下，该注册行为并不包含为用户分配用户名和密码，只是记录一些用户的研究方向和使用偏好，以便后续用户在使用高性能计算服务环境的资源时更加便利。

在本申请的一些实施例中，上述方法还包括：在身份认证源为用户认证***自身认证源的情况下，基于LDAP协议对身份认证信息进行认证。在身份认证源为第三方应用的情况下，通过OAuth2协议将身份认证信息发送至身份认证源以进行身份认证。

访问高性能计算服务环境的用户并不局限于来自计算集群的用户，还可以包括用户认证***自身的用户，以及第三方应用的用户。在用户来自于用户认证***自身认证源的情况下，用户对应的身份认证源即为用户认证***自身的后台认证服务，此时，基于LDAP协议对身份认证信息进行认证，具体认证方法可参考现有技术。

在用户来自于第三方应用的情况下，用户对应的身份认证源即为第三方应用，此时，可通过OAuth2协议将身份认证信息发送至第三方应用以进行身份认证。第三方应用包括但不限于应用社区和业务平台等等。

图4示出了根据本申请的另一个实施例的用户认证方法的流程示意图，从图4可以看出，该实施例包括步骤S410～步骤S450。

步骤S410：设置与目标计算集群对应的认证模块。

步骤S420：获取用户认证端发送的认证请求信息，所述认证请求信息包括用户的账号类型和身份认证信息。

步骤S430：该步骤包括平行的三个子步骤。

根据用户的账号类型确定用户对应的用户认证源为用户认证***自身的后台认证服务或某计算集群或某第三方应用。

步骤S440：该步骤包括平行的三个子步骤。

在根据用户的账号类型确定用户对应的用户认证源为用户认证***自身的后台认证服务的情况下，基于LDAP对身份认证信息进行身份认证；

在根据用户的账号类型确定用户对应的用户认证源为某计算集群的情况下，将身份认证信息发送至A大型计算中心的身份认证源，以进行身份认证。

在根据用户的账号类型确定用户对应的用户认证源为某第三方应用的情况下，通过OAuth2，将身份认证信息发送至第三方用户的身份认证源，以进行身份认证。

步骤S450：若身份认证成功，向认证模块返回身份令牌，以使认证模块将该身份令牌返回用户认证端；若认证失败，返回认证失败信息。

图5示出了根据本申请的一个实施例的用户认证服务器的结构示意图，从图5中可以看出，用户认证服务器100包括：

设置单元510，用于设置与目标计算集群对应的认证模块，目标计算集群为接入到用户认证***的计算集群。

计算集群包括但不限于高性能计算服务环境已经聚合的大型计算中心。计算集群的使用方式通常为：通过集群终端进行用户认证，在认证通过后，再通过集群终端提交计算任务。

区别于高性能计算服务环境支撑的领域社区或平台，计算集群的特殊性在于集群终端并非是通过浏览器架构实现，而且集群终端并没有针对各计算集群的可视化登录界面，各计算集群的用户只能通过执行语句登录，操作繁琐，容易出错，也使得集群终端的用户认证无法与其他计算结点的用户认证简单地统一起来。

针对计算集群的上述特点，本申请实施例的设计在于，首先，建立与目标计算集群对应的认证模块，认证模块设置在用户认证服务器上，用来实现与目标计算集群的认证通信。这样，就解决了浏览器架构的用户认证端无法直接与目标计算集群建立认证通信的难题。

需要说明的是，该方法适用对象是已接入高性能计算服务环境的计算集群的用户，对于还未加入到高性能计算服务环境的计算集群，在访问高性能计算服务环境前，首先需要聚合到该高性能计算服务环境，并在加入高性能计算服务环境后，设置相应的认证模块。

获取单元520，用于获取用户认证端发送的认证请求信息，认证请求信息包括用户的账号类型和身份认证信息。

用户通过使用在用户认证端的用户登录界面填写的用户信息进行登录，用户认证端根据用户信息生成认证请求信息，用户认证端将该认证请求信息发送至用户认证服务器。认证请求信息至少包括用户的账号类型和身份认证信息，其中，用户的账号类型的设置根据目标计算集群的不同而不同，账号类型可以具体表征目标计算集群为哪一个计算集群，如A大型计算中心对应A账号类型、B大型计算中心对应B账号类型、C大型计算中心对应C账号类型，这里需要注意的是，一个计算集群对应一个账号类型，不会出现多个同类的计算集群对应一个账号类型，即A大型计算中心、B大型计算中心和C大型计算中心对应不同的账号类型，而不是这三者对应同一个账号类型。在一个计算集群接入高性能计算用户认证服务后，就会为这个计算集群设置特定的对应的账号类型，用户根据自身所在的计算集群进行选择或者填写。

身份认证信息包括但不限于用户名和密码，这里需要说明的是，这里的身份认证信息如用户名和密码是用户原有的、在各自计算集群的账号管理***中的，例如可称为原始用户名和原始密码，无需重新申请。

确定单元530，用于根据账号类型确定出与用户对应的身份认证源。

对于用户的身份认证是用户所在的计算集群自身的身份认证源进行的，身份认证源包括但不限于计算集群的账号管理***，由于账号类型可以具体表征目标计算集群为哪一个计算结点，因此可以根据账号类型确定出某一用户的身份认证源为哪一个计算集群。

承上，如一位用户填写的账号类型为A账号类型，则确定该用户的身份认证源为A大型计算中心；一位用户填写的账号类型为B账号类型，则确定该用户的身份认证源为B大型计算中心。

分发单元540，用于在身份认证源为目标计算集群的情况下，根据认证模块发送身份认证信息至身份认证源以进行身份认证；

这里以目标计算集群为A大型计算中心为例，在身份认证源为A大型计算中心的情况下，认证模块将用户的身份认证信息发送至A大型计算中心，以使A大型计算中心对接收的用户的身份认证信息进行认证。需要说明的是，这里的发送可以是直接发送，也可以是通过其他中转途径间接发送。

信息返回单元550：在身份认证成功的情况下，生成并向用户认证端返回身份令牌，以使用户认证端能够根据身份令牌访问高性能计算服务环境。

在身份认证成功的情况下，对用户进行授权，具体的，用户认证服务器在接收到身份认证成功的消息后，生成令牌(Token)，并将该令牌返回至用户认证端，用户认证端能够根据身份令牌访问高性能计算服务环境，并利用高性能计算服务环境中的资源，包括但不限于硬件资源和软件资源。

Token可以是用户认证服务器生成的一串字符串，当用户认证端登录时，用户认证服务器生成一个Token，并将此Token返回给用户认证端，以后用户认证端只需带上这个Token即可访问高性能计算服务环境。

在本申请的一些实施例中，在上述服务器中，设置单元510，用于设置与目标计算集群对应的认证接口，使接口可以将接收到的身份认证信息封装为目标计算集群所支持的认证信息格式；分发单元540，用于通过认证接口对身份认证信息进行封装，将封装后的身份认证信息发送给目标计算集群的集群终端，以使集群终端将封装后的身份认证信息发送至身份认证源以进行身份认证。

在本申请的一些实施例中，在上述服务器中，设置单元510，用于设置与目标计算集群的集群终端对应的模拟终端；分发单元540，用于利用模拟终端将身份认证信息封装为目标计算集群所支持的认证信息格式，将封装后的身份认证信息发送至身份认证源以进行身份认证。

在本申请的一些实施例中，在上述服务器中，获取单元520，用于向用户认证端提供前端页面，通过前端页面接收用户认证端发送的认证请求信息；其中，前端页面包括账号类型控件和身份认证信息输入控件；账号类型控件的可选取项是根据用户认证***已支持的应用和/或计算集群配置的；身份认证信息输入控件配置有输入校验规则。

在本申请的一些实施例中，在上述服务器中，确定单元530，用于在账户类型为计算集群类型的情况下，获取用户认证端的网络环境信息；用于根据网络环境信息识别出与用户认证端对应的计算集群；以及用于将识别出的计算集群的身份认证源，作为与用户对应的身份认证源。

在本申请的一些实施例中，在上述服务器中，确定单元530，还用于若根据网络环境信息无法识别出与用户认证端对应的计算集群，则向用户认证端返回认证失败信息。

在本申请的一些实施例中，上述服务器还包括判断单元，用于根据认证请求信息，判断用户是否为用户认证***中的已注册用户；若用户不是已注册用户，则获取用户注册信息；根据用户注册信息为用户在用户认证***中进行注册。

在本申请的一些实施例中，在上述服务器中，判断单元，用于根据身份认证信息中的用户名，在该用户对应的身份认证源的已注册用户列表中进行检索；若能够检索到，则用户为用户认证***中的已注册用户，否则，用户不是用户认证***中的已注册用户。

在本申请的一些实施例中，在上述服务器中，在身份认证源为用户认证***自身认证源的情况下，基于LDAP协议对身份认证信息进行认证；分发单元540，用于在身份认证源为第三方应用的情况下，通过OAuth2协议将身份认证信息发送至身份认证源以进行身份认证。

能够理解，上述用户认证服务器，能够实现前述实施例中提供的用户认证方法的各个步骤，关于用户认证方法的相关阐释均适用于用户认证服务器，此处不再赘述。

图6是本申请的一个实施例电子设备的结构示意图。请参考图6，在硬件层面，该电子设备包括处理器，可选地还包括内部总线、网络接口、存储器。其中，存储器可能包含内存，例如高速随机存取存储器(Random-Access Memory，RAM)，也可能还包括非易失性存储器(non-volatile memory)，例如至少1个磁盘存储器等。当然，该电子设备还可能包括其他业务所需要的硬件。

处理器、网络接口和存储器可以通过内部总线相互连接，该内部总线可以是ISA(Industry Standard Architecture，工业标准体系结构)总线、PCI(PeripheralComponent Interconnect，外设部件互连标准)总线或EISA(Extended Industry StandardArchitecture，扩展工业标准结构)总线等。所述总线可以分为地址总线、数据总线、控制总线等。为便于表示，图6中仅用一个双向箭头表示，但并不表示仅有一根总线或一种类型的总线。

存储器，用于存放程序。具体地，程序可以包括程序代码，所述程序代码包括计算机操作指令。存储器可以包括内存和非易失性存储器，并向处理器提供指令和数据。

处理器从非易失性存储器中读取对应的计算机程序到内存中然后运行，在逻辑层面上形成用户认证服务器。图6中示出的用户认证服务器并不构成对用户认证服务器数量的限制。处理器，执行存储器所存放的程序，并具体用于执行以下操作：

设置与目标计算集群对应的认证模块，目标计算集群为接入到用户认证***的计算集群；

获取用户认证端发送的认证请求信息，认证请求信息包括用户的账号类型和身份认证信息；

根据账号类型确定出与用户对应的身份认证源；

在身份认证源为目标计算集群的情况下，根据认证模块发送身份认证信息至身份认证源以进行身份认证；

在身份认证成功的情况下，生成并向用户认证端返回身份令牌，以使用户认证端能够根据身份令牌访问高性能计算服务环境。

上述如本申请图5所示实施例揭示的用户认证服务器执行的方法可以应用于处理器中，或者由处理器实现。处理器可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器可以是通用处理器，包括中央处理器(Central Processing Unit，CPU)、网络处理器(Network Processor，NP)等；还可以是数字信号处理器(Digital SignalProcessor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field－Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本申请实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤。

该电子设备还可执行图5中用户认证服务器执行的方法，并实现用户认证服务器在5所示实施例的功能，本申请实施例在此不再赘述。

本申请实施例还提出了一种计算机可读存储介质，该计算机可读存储介质存储一个或多个程序，该一个或多个程序包括指令，该指令当被包括多个应用程序的电子设备执行时，能够使该电子设备执行图5所示实施例中用户认证服务器执行的方法，并具体用于执行：

设置与目标计算集群对应的认证模块，目标计算集群为接入到用户认证***的计算集群；

获取用户认证端发送的认证请求信息，认证请求信息包括用户的账号类型和身份认证信息；

根据账号类型确定出与用户对应的身份认证源；

在身份认证源为目标计算集群的情况下，根据认证模块发送身份认证信息至身份认证源以进行身份认证；

在身份认证成功的情况下，生成并向用户认证端返回身份令牌，以使用户认证端能够根据身份令牌访问高性能计算服务环境。

本领域内的技术人员应明白，本申请的实施例可提供为方法、***、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(***)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本申请的实施例可提供为方法、***或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (9)

1.一种用户认证方法，其特征在于，包括：

设置与目标计算集群对应的认证模块，所述目标计算集群为接入到用户认证***的计算集群；

获取用户认证端发送的认证请求信息，所述认证请求信息包括用户的账号类型和身份认证信息；

根据所述账号类型确定出与所述用户对应的身份认证源；

在所述身份认证源为目标计算集群的情况下，根据所述认证模块发送所述身份认证信息至所述身份认证源以进行身份认证；

在身份认证成功的情况下，生成并向所述用户认证端返回身份令牌，以使所述用户认证端能够根据所述身份令牌访问高性能计算服务环境，

所述根据所述账号类型确定出与所述用户对应的身份认证源包括：

在所述账号类型为计算集群类型的情况下，获取所述用户认证端的网络环境信息；

根据所述网络环境信息识别出与所述用户认证端对应的计算集群；

将识别出的计算集群的身份认证源，作为与所述用户对应的身份认证源；

其中，根据用户的账号类型确定用户对应的用户认证源为用户认证***自身的后台认证服务或某计算集群或某第三方应用；

在根据用户的账号类型确定用户对应的用户认证源为用户认证***自身的后台认证服务的情况下，基于LDAP协议对身份认证信息进行身份认证；

在根据用户的账号类型确定用户对应的用户认证源为某计算集群的情况下，将身份认证信息发送至计算中心的身份认证源，以进行身份认证；

在根据用户的账号类型确定用户对应的用户认证源为某第三方应用的情况下，通过OAuth2协议，将身份认证信息发送至第三方用户的身份认证源，以进行身份认证。

2.根据权利要求1所述的方法，其特征在于，所述设置与目标计算集群对应的认证模块包括：

设置与目标计算集群对应的认证接口，使所述接口可以将接收到的身份认证信息封装为目标计算集群所支持的认证信息格式；

所述根据所述认证模块发送所述身份认证信息至所述身份认证源以进行身份认证包括：

通过所述认证接口对所述身份认证信息进行封装，将封装后的身份认证信息发送给目标计算集群的集群终端，以使所述集群终端将所述封装后的身份认证信息发送至所述身份认证源以进行身份认证。

3.根据权利要求1所述的方法，其特征在于，所述设置与目标计算集群对应的认证模块包括：

设置与所述目标计算集群的集群终端对应的模拟终端；

所述根据所述认证模块发送所述身份认证信息至所述身份认证源以进行身份认证包括：

利用所述模拟终端将所述身份认证信息封装为目标计算集群所支持的认证信息格式，将封装后的身份认证信息发送至所述身份认证源以进行身份认证。

4.根据权利要求1所述的方法，其特征在于，所述获取用户认证端发送的认证请求信息包括：

向所述用户认证端提供前端页面，通过所述前端页面接收用户认证端发送的认证请求信息；

其中，所述前端页面包括账号类型控件和身份认证信息输入控件；

所述账号类型控件的可选取项是根据用户认证***已支持的应用和/或计算集群配置的；

所述身份认证信息输入控件配置有输入校验规则。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

若根据所述网络环境信息无法识别出与所述用户认证端对应的计算集群，则向所述用户认证端返回认证失败信息。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括：

根据所述认证请求信息，判断所述用户是否为用户认证***中的已注册用户；

若所述用户不是已注册用户，则获取用户注册信息；

根据所述用户注册信息为所述用户在所述用户认证***中进行注册。

7.根据权利要求6所述的方法，其特征在于，所述根据所述认证请求信息，判断所述用户是否为用户认证***中的已注册用户包括：

根据所述身份认证信息中的用户名，在该用户对应的身份认证源的已注册用户列表中进行检索；

若能够检索到，则所述用户为用户认证***中的已注册用户，否则，所述用户不是用户认证***中的已注册用户。

8.一种用户认证服务器，其特征在于，用于实现如权利要求1～7中任一项所述的方法。

9.一种用户认证***，其特征在于，包括如权利要求8所述的用户认证服务器，以及若干个用户认证端；

所述用户认证端，用于向所述用户认证服务器发送用户认证信息，接收所述用户认证服务器返回的身份令牌；以及根据所述身份令牌访问高性能计算服务环境。

Images