CN115859260A - 一种权限认证方法、装置、设备及可读存储介质 - Google Patents

Abstract

本申请公开了一种权限认证方法、装置、设备及可读存储介质，该方法包括：响应于用户管理界面的用户管理操作，管理用户信息；响应于策略管理界面的策略部署操作，设置主题权限；接收对目标集群进行访问的请求；结合用户信息和主题权限，对请求进行权限认证。在本申请中，用户可通过对用户管理界面和策略管理界面进行操作，从而实现用户信息管理以及设置主题的权限。当接收到访问请求，则可结合该用户信息和主题权限，对请求进行权限认证。即，用户可以在界面操作就可以完成用户与策略的管理，使得权限认证更加的符合实际认证需求。

Description

一种权限认证方法、装置、设备及可读存储介质

技术领域

本申请涉及安全保障技术领域，特别是涉及一种权限认证方法、装置、设备及可读存储介质。

背景技术

Kafka是一个开源的分布式消息引擎/消息中间件，同时Kafka也是一个流处理平台。

在Kafka集群(cluster)中，一个Kafka节点就是一个Broker，消息由Topic(主题，对应资源)来承载，可以存储在一个或多个Partition(分区)中。发布消息的应用为Producer、消费消息的应用为Consumer，多个Consumer开源促成Consumer Group共同消费一个Topic中的消息。

开源的Kafka manager，能够支持的功能点有很多，比如集群内部主题的创建、删除、查看、配置的更新等操作。但是，随着Kafka集群的用户数量和主题数量的增多，Kafkamanager的用户管理和主题管理难以满足实际应用需求。而用户信息与主题权限是Kafka集群进行权限认证的关键因素。

综上所述，如何有效地解决集群的权限认证等问题，是目前本领域技术人员急需解决的技术问题。

发明内容

本申请的目的是提供一种权限认证方法、装置、设备及可读存储介质，通过用户管理界面和策略管理界面，能够对用户信息和主题权限信息进行有效管理，可为权限认证提供便利。

为解决上述技术问题，本申请提供如下技术方案：

一种权限认证方法，包括：

响应于用户管理界面的用户管理操作，管理用户信息；

响应于策略管理界面的策略部署操作，设置主题权限；

接收对目标集群进行访问的请求；

结合所述用户信息和所述主题权限，对所述请求进行权限认证。

优选地，所述管理用户信息，包括：

调用zookeeper的API，管理所述用户信息。

优选地，所述响应于策略管理界面的策略部署操作，设置主题权限，包括：

响应于所述策略部署操作中的主题选择操作，确定待设置主题；

响应于所述策略部署操作中的权限设置操作，设置所述待设置主题的操作权限。

优选地，所述响应于所述策略部署操作中的主题选择操作，确定待设置主题，包括：

完全匹配模式下，在所述策略管理界面显示所有主题信息；

响应于主题勾选操作，确定所述待设置主题。

优选地，所述响应于所述策略部署操作中的主题选择操作，确定待设置主题，包括：

在前缀匹配模式下，从所述策略管理界面中获取前缀字符串；

在所述测量管理界面显示与所述前缀字符串对应的主题；

将所显示的主题确定为所述待设置主题。

优选地，所述响应于用户管理界面的用户管理操作，管理用户信息，包括：

响应于所述用户管理操作中的用户创建操作，将所述用户管理界面中输入的用户名和密码确定为所述用户信息；

保存所述用户信息。

优选地，在所述权限认证通过后，将所述请求发送至所述目标集群。

优选地，还包括：

将编译成功后的用户管理依赖包和策略管理依赖包拷贝到私有仓库；

将所述用户管理依赖包和所述策略管理依赖包显示的配置到依赖配置的入口；

在接口入口声明用户管理和策略管理的定义，并引入用户管理和策略管理方法的类路径；

调用用户管理和策略管理对应的javaAPI，实现在管理界面集成所述用户管理界面和所述策略管理界面。

一种权限认证装置，包括：

用户信息管理模块，用于响应于用户管理界面的用户管理操作，管理用户信息；

主题权限管理模块，用于响应于策略管理界面的策略部署操作，设置主题权限；

请求接收模块，用于接收对目标集群进行访问的请求；

权限认证模块，用于结合所述用户信息和所述主题权限，对所述请求进行权限认证。

一种电子设备，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现上述权限认证方法的步骤。

一种可读存储介质，所述可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现上述权限认证方法的步骤。

应用本申请实施例所提供的方法，响应于用户管理界面的用户管理操作，管理用户信息；响应于策略管理界面的策略部署操作，设置主题权限；接收对目标集群进行访问的请求；结合用户信息和主题权限，对请求进行权限认证。

在本申请中，用户可通过对用户管理界面进行操作，从而实现用户信息管理，通过策略管理界面进行策略部署操作，从而设置主题的权限。当接收到对目标集群进行访问的请求，则可结合该用户信息和主题权限，对请求进行权限认证。即，在本申请中，用户可以在界面操作就可以完成用户与策略的管理，使得权限认证更加的符合实际认证需求。

相应地，本申请实施例还提供了与上述权限认证方法相对应的权限认证装置、设备和可读存储介质，具有上述技术效果，在此不再赘述。

附图说明

为了更清楚地说明本申请实施例或相关技术中的技术方案，下面将对实施例或相关技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例中一种权限认证方法的实施流程图；

图2为本申请实施例中一种权限认证装置的结构示意图；

图3为本申请实施例中一种电子设备的结构示意图；

图4为本申请实施例中一种电子设备的具体结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本申请方案，下面结合附图和具体实施方式对本申请作进一步的详细说明。显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

为便于本领域技术人员更好地理解本申请实施例所提供的技术方案，下面针对本文中涉及的技术术语进行解释说明：

认证(authentication)：包括client与broker以及broker与zookeeper之间的互相认证。

SASL(Simple Authentication and Security Layer)：一个安全层框架，具体实现可以是如下表所示的Kerberos、PLAIN或者SCRAM：

请参考图1，图1为本申请实施例中一种权限认证方法的流程图，该方法可应用于SASL中，该方法包括以下步骤：

S101、响应于用户管理界面的用户管理操作，管理用户信息。

在本申请实施例中，可以在UI界面中集成用户管理界面和策略管理界面。如此，用户便可通过对用户管理界面和策略管理界面分别对用户信息进行管理，对策略进行部署。具体的，可开发设计出用户管理界面和策略管理界面，并对应编译好用户管理方法和策略管理方法，并设计接口，将用户管理界面、策略管理界面集成到UI界面中，通过设计好的接口将用户管理方法和策略管理方法与管理设备(如zookeeper)进行对接。

在本申请中的一种具体实施方式中，可在manager界面集成用户管理界面和策略管理界面。具体的，在管理界面集成用户管理界面和策略管理界面，包括：

步骤一、将编译成功后的用户管理依赖包和策略管理依赖包拷贝到私有仓库；

步骤二、将用户管理依赖包和策略管理依赖包显示的配置到依赖配置的入口；

步骤三、在接口入口声明用户管理和策略管理的定义，并引入用户管理和策略管理方法的类路径；

步骤四、调用用户管理和策略管理对应的javaAPI，实现在管理界面集成用户管理界面和策略管理界面。

为便于描述，下面将上述四个步骤结合起来进行说明。

在本实施例中，首先，解决了代码编译问题和网络连接问题。具体的，cmak使用的sbt作为编译工具，可在外网环境编译成功，后续把下载到仓库内的依赖包拷贝到内网环境，这样就不必在每次编译的时候需要重新下载，也解决了不能连接外网的问题。

其次，权限校验***使用scala语言作为主要语言，对于当前项目内的成员较为不友好。而在本申请实施例中，使用scala调用java语言的方式，可避免使用scala语言。具体的，先在开发出自定义的用于操作用户以及策略的APIJar包到私有仓库，然后，把此依赖显示的配置到依赖配置的入口，这样可以保证每次在打包的时候可以将自定义包打入整包，而在接口的入口，声明出用户与策略接口的定义，引入自定义方法的类路径，直接调用已经编写的iava API方法，即可完成接口的开发。

开发完毕后，就可以集成用户管理界面和策略管理界面到manager界面，使得用户可以直接界面操作即可完成对于用户以及策略的操作。

具体的，通过对用户管理界面的用户管理操作进行响应，可以对用户信息进行管理。例如，可以创建、删除、更新和查询用户信息。

在本申请中的一种具体实施方式中，响应于用户管理界面的用户管理操作，管理用户信息，包括：

步骤一、响应于用户管理操作中的用户创建操作，将用户管理界面中输入的用户名和密码确定为用户信息；

步骤二、保存用户信息。

为便于描述，下面将上述两个步骤结合起来进行说明。

具体的，可在用户管理界面上配置填写用户的名字与密码的输入框，以及确认点击按钮。如此，用户便可在用户管理界面的名字与密码的输入框中输入用户名和密码，在点击确定之后，通过对该用户创建操作进行响应，即可创建出用户，相应地，用户输入的用户名和密码即为该用户的用户信息。具体的，可在zookeeper中创建一个节点，在该节点中保存该用户信息。

举例说明：在创建用户时，可以采用Kafka组件下的提供的脚本进行执行，脚本名称为Kafka-configs.sh，主要的参数包括zookeeper的地址信息，用户的名称以及用户的密码。即，该脚本可以在与Kafka关联的zookeeper集群内，创建一个Znode节点在路径/config/users(根目录)下，此节点下会保存着用户的基本信息，如用户的名称，用户密码用于加密的盐值以及最后加密后的密码。

对于删除、更新和查询用户信息的具体响应，可以参照上述用户创建过程，在此不再一一赘述。

在本申请中的一种具体实施方式，管理用户信息，包括：调用zookeeper的API，管理用户信息。在实际应用中，考虑到基于shell命令行来进行用户信息管理，存在响应速度慢的问题。在本实施例中，可以直接基于zookeeper的API操作，创建用户即为在路径/config/users路径下创建用户，而实际创建的用户信息，可以基于使用shell操作的信息作为模板，写入到Znode节点内。对用户信息的更新操作进行响应，实际为添加操作的覆盖，原理一致，这里不做赘述。查询操作即为查询Znode节点的个数，而删除操作为Znode节点的删除。对比于原来的shell命令行操作，经过实验，可发现对用户信息进行操作，可以在2s内进行返回结果，自用户管理界面发起请求计时，也可在3s内返回结果，这样可以极大的提高用户的体验。

S102、响应于策略管理界面的策略部署操作，设置主题权限。

策略管理界面可实现对主题的操作权限进行策略部署的界面。

对于策略管理来讲，指的是规定一批用户对于Kafka中的资源即主题的操作权限。这里的用户可具体为响应于用户管理界面的用户管理操作而创建的用户。Kafka中的资源指的是主题，即topic，对策略部署操作进行响应，则可以完成主题权限设置。用户在策略管理界面可以逐个对主题的操作权限进行部署，也可以对多个主题的操作权限进行批量部署。

在本申请中的一种具体实施方式中，响应于策略管理界面的策略部署操作，设置主题权限，包括：

步骤一、响应于策略部署操作中的主题选择操作，确定待设置主题；

步骤二、响应于策略部署操作中的权限设置操作，设置待设置主题的操作权限。

为便于描述，下面将上述两个步骤结合起来进行说明。

首先，基于测量部署操作中的主题选择操作，确定出待设置的主题，然后在对测量部署操作的权限设置操作进行响应，从而对该待设置主题的操作权限进行设置。

具体的，确定待设置主题包括但不限于以下两种模式：

模式一：完全匹配模式，确定待设置主题包括：

步骤1、完全匹配模式下，在策略管理界面显示所有主题信息；

步骤2、响应于主题勾选操作，确定待设置主题。

模式二：前缀匹配模式，确定待设置主题包括：

步骤1、在前缀匹配模式下，从策略管理界面中获取前缀字符串；

步骤2、在测量管理界面显示与前缀字符串对应的主题；

步骤3、将所显示的主题确定为待设置主题。

也就是说，对于主题的匹配方式分为完全匹配与前缀匹配，在选择完全匹配时，策略管理界面可展示为当前Kafka集群下所有主题信息。可对下拉选择的主题进行勾选。而选择前缀匹配时，需要前缀的字符串，即满足这个前缀的主题都会被涉及到。

确定了待设置主题之后，则是设置主题的操作权限，包括读取、写入、删除以及全部，其中，全部勾选即为选择读取、写入以及删除。经过这一系列的操作，即可定义一个或多个用户对于某个或者某些主题具有读取或者写入或者删除的权限策略。

需要注意的是，在执行步骤S101和步骤S102可以无先后顺序，例如，当已保存有用户信息之后，可以先执行步骤S102，再执行步骤S101。

S103、接收对目标集群进行访问的请求。

其中，目标集群可以为常见的需要进行权限认证的集群，如Kafka集群等。

例如，可将Kafka集群与zookeeper绑定在一起，当用户操作主题或者集群的命令/请求到达集群前，首先会到达zookeeper。

S104、结合用户信息和主题权限，对请求进行权限认证。

对请求进行权限验证，即利用用户信息对请求进行用户密码验证，利用主题权限验证用户是否对请求操作的主题具有权限。

在权限认证通过后，将请求发送至目标集群。

例如，在权限认证通过之后，则可将请求发送给Kafka集群，以使得Kafka集群对该请求进行响应。对于Kafka集群具体如何对Kafka集群进行响应，则可参照相关处理流程，在此不再一一赘述。

权限认证未通过，则将请求进行拦截。具体的，如果请求对应的用户持有的密码与之前创建的密码不一致，或者用户拥有的权限点不能满足当前操作的主题的操作权限时，会返回客户端以失败的信息。

应用本申请实施例所提供的方法，响应于用户管理界面的用户管理操作，管理用户信息；响应于策略管理界面的策略部署操作，设置主题权限；接收对目标集群进行访问的请求；结合用户信息和主题权限，对请求进行权限认证。

在本申请中，用户可通过对用户管理界面进行操作，从而实现用户信息管理，通过策略管理界面进行策略部署操作，从而设置主题的权限。当接收到对目标集群进行访问的请求，则可结合该用户信息和主题权限，对请求进行权限认证。即，在本申请中，用户可以在界面操作就可以完成用户与策略的管理，使得权限认证更加的符合实际认证需求。

相应于上面的方法实施例，本申请实施例还提供了一种权限认证装置，下文描述的权限认证装置与上文描述的权限认证方法可相互对应参照。

参见图2所示，该装置包括以下模块：

用户信息管理模块101，用于响应于用户管理界面的用户管理操作，管理用户信息；

主题权限管理模块102，用于响应于策略管理界面的策略部署操作，设置主题权限；

请求接收模块103，用于接收对目标集群进行访问的请求；

权限认证模块104，用于结合用户信息和主题权限，对请求进行权限认证。

应用本申请实施例所提供的装置，响应于用户管理界面的用户管理操作，管理用户信息；响应于策略管理界面的策略部署操作，设置主题权限；接收对目标集群进行访问的请求；结合用户信息和主题权限，对请求进行权限认证。

在本申请中，用户可通过对用户管理界面进行操作，从而实现用户信息管理，通过策略管理界面进行策略部署操作，从而设置主题的权限。当接收到对目标集群进行访问的请求，则可结合该用户信息和主题权限，对请求进行权限认证。即，在本申请中，用户可以在界面操作就可以完成用户与策略的管理，使得权限认证更加的符合实际认证需求。

在本申请的一种具体实施方式中，用户信息管理模块101，具体用于调用zookeeper的API，管理用户信息。

在本申请的一种具体实施方式中，主题权限管理模块102，具体用于响应于策略部署操作中的主题选择操作，确定待设置主题；

响应于策略部署操作中的权限设置操作，设置待设置主题的操作权限。

在本申请的一种具体实施方式中，主题权限管理模块102，具体用于完全匹配模式下，在策略管理界面显示所有主题信息；

响应于主题勾选操作，确定待设置主题。

在本申请的一种具体实施方式中，主题权限管理模块102，具体用于在前缀匹配模式下，从策略管理界面中获取前缀字符串；

在测量管理界面显示与前缀字符串对应的主题；

将所显示的主题确定为待设置主题。

在本申请的一种具体实施方式中，用户信息管理模块101，具体用于响应于用户管理操作中的用户创建操作，将用户管理界面中输入的用户名和密码确定为用户信息；

保存用户信息。

在本申请的一种具体实施方式中，还包括：请求处理模块，用于在权限认证通过后，将请求发送至目标集群。

在本申请的一种具体实施方式中，还包括：

界面集成模块，用于在Kafka管理界面集成用户管理界面和策略管理界面;

界面集成模块，具体用于将编译成功后的用户管理依赖包和策略管理依赖包拷贝到私有仓库；

将用户管理依赖包和策略管理依赖包显示的配置到依赖配置的入口；

在接口入口声明用户管理和策略管理的定义，并引入用户管理和策略管理方法的类路径;

调用用户管理和策略管理对应的javaAPI，实现在Kafka管理界面集成用户管理界面和策略管理界面。

相应于上面的方法实施例，本申请实施例还提供了一种电子设备，下文描述的一种电子设备与上文描述的一种权限认证方法可相互对应参照。

参见图3所示，该电子设备包括：

存储器332，用于存储计算机程序；

处理器322，用于执行计算机程序时实现上述方法实施例的权限认证方法的步骤。

具体的，请参考图4，图4为本实施例提供的一种电子设备的具体结构示意图，该电子设备可因配置或性能不同而产生比较大的差异，可以包括一个或一个以上处理器(central processing units，CPU)322(例如，一个或一个以上处理器)和存储器332，存储器332存储有一个或一个以上的计算机程序342或数据344。其中，存储器332可以是短暂存储或持久存储。存储在存储器332的程序可以包括一个或一个以上模块(图示没标出)，每个模块可以包括对数据处理设备中的一系列指令操作。更进一步地，中央处理器322可以设置为与存储器332通信，在电子设备301上执行存储器332中的一系列指令操作。

电子设备301还可以包括一个或一个以上电源326，一个或一个以上有线或无线网络接口350，一个或一个以上输入输出接口358，和/或，一个或一个以上操作***341。

上文所描述的权限认证方法中的步骤可以由电子设备的结构实现。

相应于上面的方法实施例，本申请实施例还提供了一种可读存储介质，下文描述的一种可读存储介质与上文描述的一种权限认证方法可相互对应参照。

一种可读存储介质，可读存储介质上存储有计算机程序，计算机程序被处理器执行时实现上述方法实施例的权限认证方法的步骤。

该可读存储介质具体可以为U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可存储程序代码的可读存储介质。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

本领域技术人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件的方式来执行，取决于技术方案的特定应用和设计约束条件。本领域技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应该认为超出本申请的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系属于仅仅用来将一个实体或者操作与另一个实体或者操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语包括、包含或者其他任何变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。

本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上，本说明书内容不应理解为对本申请的限制。

Claims (10)

1.一种权限认证方法，其特征在于，包括：

响应于用户管理界面的用户管理操作，管理用户信息；

响应于策略管理界面的策略部署操作，设置主题权限；

接收对目标集群进行访问的请求；

结合所述用户信息和所述主题权限，对所述请求进行权限认证。

2.根据权利要求1所述的权限认证方法，其特征在于，所述管理用户信息，包括：

调用zookeeper的API，管理所述用户信息。

3.根据权利要求1所述的权限认证方法，其特征在于，所述响应于策略管理界面的策略部署操作，设置主题权限，包括：

响应于所述策略部署操作中的主题选择操作，确定待设置主题；

响应于所述策略部署操作中的权限设置操作，设置所述待设置主题的操作权限。

4.根据权利要求3所述的权限认证方法，其特征在于，所述响应于所述策略部署操作中的主题选择操作，确定待设置主题，包括：

完全匹配模式下，在所述策略管理界面显示所有主题信息；

响应于主题勾选操作，确定所述待设置主题。

5.根据权利要求3所述的权限认证方法，其特征在于，所述响应于所述策略部署操作中的主题选择操作，确定待设置主题，包括：

在前缀匹配模式下，从所述策略管理界面中获取前缀字符串；

在所述测量管理界面显示与所述前缀字符串对应的主题；

将所显示的主题确定为所述待设置主题。

6.根据权利要求1所述的权限认证方法，其特征在于，在所述权限认证通过后，将所述请求发送至所述目标集群。

7.根据权利要求1至6任一项所的权限认证方法，其特征在于，还包括：

将编译成功后的用户管理依赖包和策略管理依赖包拷贝到私有仓库；

将所述用户管理依赖包和所述策略管理依赖包显示的配置到依赖配置的入口；

在接口入口声明用户管理和策略管理的定义，并引入用户管理和策略管理方法的类路径；

调用用户管理和策略管理对应的javaAPI，实现在管理界面集成所述用户管理界面和所述策略管理界面。

8.一种权限认证装置，其特征在于，包括：

用户信息管理模块，用于响应于用户管理界面的用户管理操作，管理用户信息；

主题权限管理模块，用于响应于策略管理界面的策略部署操作，设置主题权限；

请求接收模块，用于接收对目标集群进行访问的请求；

权限认证模块，用于结合所述用户信息和所述主题权限，对所述请求进行权限认证。

9.一种电子设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至7任一项所述权限认证方法的步骤。

10.一种可读存储介质，其特征在于，所述可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述权限认证方法的步骤。

Images