專利名稱：強擴展式網絡柵格SaaS訪問控制方法
技術領域：
本發明屬于互聯網軟件服務平臺SaaS (軟件即服務)領域，具體涉及一種強擴展式網絡柵格&iaS訪問控制方法。
背景技術：
隨著互聯網不斷的發展，網絡帶寬逐漸能夠滿足用戶的需要，多媒體，大量文件傳送，分布式數據庫技術的建立，特別是最近云計算技術的日趨成熟，給傳統的軟件生產商提出了新的挑戰和理念。傳統的軟件生產商，大致分為開發，出售，部署，且一般都將自己的軟件部署在特定的服務器上。而現在提出的新軟件理念MaS (software as service)，讓軟件生產商只租售自己的產品即可，租用其軟件的客戶將軟件應用部署到^aS云計算平臺上，這樣，軟件的使用者通過登錄平臺，點擊需要的軟件應用來得到服務。既然軟件不再部署在特定地方的服務器上，并且^aS平臺最大的用戶體驗就是個性化定制，那么，數據存儲結構自然和傳統的軟件數據庫產生了很大差異。信息存儲主要分為元數據存儲(MetaData DB)和租戶(tenant)數據庫存儲。元數據存儲完成了特定的tenant到其使用的數據庫的映射，便于登錄用戶的快速訪問。Tenant 數據庫存儲的就是對應的業務對象，如產品信息、客戶信息等。由以上簡介可知，MaS平臺下尋找一個合適的安全訪問控制機制是必須的，主要是防止不同tenant的用戶在尋找對應的數據庫時不互相干擾，防止非法用戶隨意進入未被授權的tenant服務中，同時還包括對每個tenant數據庫的安全訪問控制機制。從計算機和互聯網產生以來，訪問控制技術就是數據庫安全所依賴的策略。目前， 隨著云計算的發展，軟件市場將發生很大的變化，傳統的固定部署軟件將轉變成出租軟件， 發布于支持MaS的平臺上，如此以來，“軟件超市”這一模式隨機產生。于是，以往傳統的數據庫安全訪問策略必須作出相應的調整，用于應付“軟件超市”所具有的復雜特點。

發明內容
為了克服現有技術的上述缺點，本發明提供了一種強擴展式網絡柵格^aS訪問控制方法，利用部署在LDARP目錄服務器上的元數據網絡柵格來實現特定用戶到特定 tenant的入口認證，然后單個tenant利用個性化定制服務來完成本數據庫的安全訪問策略；并且，當多個tenant產生共享資源時，將信息反饋于元數據網絡柵格，元數據網絡柵格完成共享資源柵格的新拼裝。然后，對于非法用戶采用柵格屏蔽的方法阻斷其訪問，對于tenant的有效期運行采用柵格撤銷和柵格標示的方式完成維護。本發明主要用于基于 SaaS互聯軟件服務平臺的安全訪問控制，具有高效率，低耦合的特點，為整個^aS平臺提供安全保障。本發明解決其技術問題所采用的技術方案是一種強擴展式網絡柵格Mas訪問控制方法，包括如下步驟第一步、元數據庫維護一張虛擬網絡柵格，用于標識租戶和用戶的信息；第二步、當一個租戶完成了在MaS平臺的許可的時候，元數據庫對此租戶的虛擬網絡柵格進行初始化；第三步、當用戶訪問^aS平臺，尋找對應的服務的時候，網絡柵格對用戶進行訪問控制；第四步、用戶通過元數據庫的許可之后，對每個租戶的數據庫進行訪問的時候，采用主流的訪問控制策略進行監管；第五步、當用戶訪問共享數據資源的時候，直接啟動網絡柵格上標識共享數據資源的入口進入共享資源數據庫。所述虛擬網絡柵格采用二維平面網格的形式，用四個象限的數字做記錄，具體過程為第一租戶tenmrtA對應的標識GridT. A在二維平面的第一象限上，其中一個頂點為原點，邊長為單位1，標識數字為(0. 5,0. 5)；第二租戶tenantB對應的標識GridT. B向X軸正方向擴展，邊長亦為單位1，標識數字為(1. 5,0.幻，依次類推。第二步所述的初始化包括兩個階段，第一階段是對租戶的一級柵格初始化，用 GridT標識租戶數據庫所對應的網絡柵格，且租戶頒發第一標識符和第二標識符給用戶； 第二階段是對用戶的次級柵格初始化。第三步所述訪問控制過程為首先，元數據庫從用戶登錄信息里取得第一標識符， 如果信息正確，那么相應的租戶數據庫所對應的網絡柵格狀態轉化為開啟，允許用戶訪問該租戶數據庫入口 ；然后，網絡柵格利用次級柵格進行下一步的比對，如果第二標識符正確，那么次級柵格為用戶開啟，用戶開始訪問該租戶的數據庫。所述主流的訪問控制策略包括自主訪問控制、強制訪問控制和基于角色訪問控制。元數據庫采用GridT. sign, (a, b)來標識共享數據資源的入口，如果用戶信息中同時帶有MarkUser. A和MarkUser. B，那么GridT. sign, (a, b)為用戶打開，用戶可以直接訪問共享數據庫DataSpace (A，B)。與現有技術相比，本發明的積極效果是通過元數據服務器+Tenant數據庫的訪問結構，讓每個termat的用戶可以很快找到自己對應的數據資源，由此，在元數據服務器上設定虛擬網絡柵格，便于控制眾多用戶對tenant數據庫的訪問；具有強擴展性的同時也滿足對共享資源的控制，并且使用時限長，維護簡單。本發明在低占用網絡及硬件資源、低維護量的情況下完成了針對MaS平臺下元數據以及tenant數據庫的安全訪問控制，可部署于目前網絡上的MaS平臺上，成為新軟件商業趨勢下的安全訪問控制模式。


本發明將通過例子并參照附圖的方式說明，其中圖1為元數據網絡柵格結構示意圖；圖2為tenant級柵格和次級柵格結構示意圖；圖3為共享數據擴展柵格結構示意圖。
具體實施例方式一種強擴展式網絡柵格MaS訪問控制方法，包括如下步驟第一步、元數據庫維護一張虛擬網絡柵格，用于標識tenant的信息，以及用戶 (user)的信息在存儲元數據的LDARP服務器中，維持一張虛擬的網絡柵格圖形陣列，用數字矩陣來表示。每一個柵格代表一個租戶(tenant)數據庫的唯一信息，可以看做是tenant的一個虛擬入口，表示為GridT，對于每一個GridT中，又可以用柵格的形式標識出屬于此 tenant的用戶(user)的次級柵格，表示為=GridUser，具體結構如圖1所示。元數據庫里維護的虛擬網絡柵格，采用二維平面網格的形式，用四個象限的數字做記錄。具體過程為第一個termatA對應的GridT. A在二維平面的第一象限上，其中一個頂點為原點，邊長為單位1，標識數字為(0.5，0.5)，即正方形中心點坐標。第二個tenantB 對應的GridT. B向X軸正方向擴展，邊長仍然為單位1，標識數字為(1.5，0. 5)，依次類推。 如此的設計，可以讓網絡柵格在計算機內存中得到存儲，并且可以定位。另外，如此的設計具有擴展性強，用以滿足^aS軟件超市的發展。第二步、當一個tenant完成了在&iaS平臺的許可的時候，元數據庫對此tenant 的虛擬網絡柵格進行初始化網絡柵格初始化包括兩個階段，第一階段是對tenant的一級柵格初始化，第二階段是對user的柵格初始化。其中在第一階段，對于租戶tenantA，當他在MaS平臺上獲得使用權限的時候，元數據服務器上，虛擬網絡柵格中，就用一塊空閑柵格，給予標識GridT. A。當用戶User, no. a已經取得了登錄MaS平臺的權力，并且隸屬于tenantA之后，會去選擇自己希望得到的軟件服務，這個時候，用戶User. no. a會得到tenantA頒發的兩個標識符第一標識符 MarkUser. A 和第二標識符 NoteUser. a。在第二階段，GridT. A為用戶建立次級柵格，標識為SubGrid. User, a，在GridT. A 的次級柵格中，用一空閑柵格標識用戶User. no. a。此標識符的作用就是保證此user是隸屬于tenantA的。按照如此步驟，對虛擬網絡柵格的每一個租戶Tenant建立一塊柵格，每一個柵格再建立次級柵格，一張很大的蜂窩狀柵格將建立在元數據服務器里，如圖2所示。第三步、用戶user訪問MaS平臺，尋找對應的tenant提供的服務的時候，網絡柵格對用戶進行訪問控制當用戶登錄MaS平臺之后，訪問元數據服務器，元數據服務器調出網絡柵格數據，用來和用戶信息進行比對。元數據服務器維護網絡柵格的時候，將網絡柵格定位三種狀態未打開 (unopened),已開啟(open),禁止通過(ban)。元數據庫用已經建立的虛擬網絡柵格對用戶的訪問進行控制。首先，元數據庫從用戶登錄信息里取得第一標識符MarkUser. A，如果信息正確，那么GridT. A狀態從 unopened轉化為open轉化為開啟，允許用戶訪問TenantA的數據庫入口 ；如果用戶的登錄信息中為=MarkUser. B，那么將為其開啟的將為GridT. B。如此的策略就防止了諸多tenant 之間用戶的交叉非法訪問。然后，網絡柵格利用次級柵格進行下一步的比對，如果第二標識符Noteher. a (用戶信息)正確，那么次級柵格SubGrid. User, a為用戶開啟，用戶開始訪問TenantA的數據庫。其次，無論是元數據級的安全控制，還是tenant級的安全控制，當出現非法用戶時，柵格就會標識成禁止(ban)狀態，這樣，相關程序檢查到柵格的狀態后，會調動數據庫入口的關閉，防止非法用戶的訪問。當某個tenant不在此^aS平臺上駐留時，其對應的柵格GridT也將撤銷，回到未初始化狀態，以便用于其他新增的tenant。第四步、用戶通過元數據庫的許可之后，對每個tenant的數據庫進行訪問的時候，采用主流的訪問控制策略進行監管首先，我們從MaS的特點，可以將這個平臺理解為軟件超市。那么，軟件的類別， 應用范圍都會存在極大差異。我們關注的是不同的應用軟件對于數據安全的要求級別。比如，娛樂用的軟件需要的數據庫安全等級相較財務處理類軟件的要求，就低得多。如果我們對每一個tenant都采用同樣的數據安全等級，那么整個系統的開銷將會非常龐大。因此，在管理每一個tenant的數據庫的時候，我們可以采用以下三種靈活的數據庫訪問機制來實現訪問控制自主訪問控制(Discretionnary Access Control)此種訪問控制是基于用戶身份——工作組的對應關系來完成的手段，安全級別較低。強制訪問控制(Mandatory Access Control)此種訪問控制對每一個訪問主體和客體都要分級，指定信任級別，然后采用“向上寫入規則”，“向下讀取規則”來完成。安全級別較高，但是不夠靈活。基于角色訪問控制(Role-Based Access Control)此種訪問控制對每一個用戶給予用戶ID，系統設置幾種“角色”，對數據的操作權限是根據角色來劃分的。用戶被分配的，就是“角色”，這樣，用戶的訪問控制權限就被設定了。第五步、當用戶訪問共享數據資源的時候，直接啟動網絡柵格上標識共享數據資源的入口進入共享資源數據庫元數據庫為Tenant之間的共享數據資源建立特殊的標識柵格GridT. sign, (a, b)，如果用戶信息中同時帶有MarkUser. A，MarkUser. B，那么GridT. sign. (a,b)為用戶打開，用戶可以直接訪問共享數據庫DataSpaCe(A，B) 了。從網絡柵格的描述中，我們可以知道，元數據服務器中虛擬柵格圖表完成了對于每一個tenant的嚴格入口控制。但是，我們從MaS的技術背景中可以看出，完全可能存在一種情況tenantA和tenantB共享某些資源，那么為了數據庫設計的節儉性，維持一些共享數據庫是必須的。那么為了便于用戶操作，不必讓用戶進入termatA的數據庫之后，發現了共享資源，然后再退出tenantA的數據庫，進入共享數據庫。這個流程太過于繁瑣，不便于管理，也浪費資源。于是，我們就需要用到擴展網絡柵格的設計模式。具體結構如圖3所示GridT.A 具有標示符sign, a, GridT. B具有標示符sign, b，當tenantA和tenantB擁有共享資源時， 共享資源當然存儲在共享數據庫tenant (A，B)里，而共享數據庫里給這一塊共享資源開辟的空間為=DataSpace (A，B)，然后在虛擬網絡柵格上利用未標識柵格來標識DataSpace (A， B)的入口，標識為:sign. (a，b)。在&iaS平臺上，用戶登錄之后，若將要使用的服務涉及到tenantA和tenantB 的共享數據資源，元數據服務器上維護的虛擬網絡柵格上，就會將用戶信息和tenantA和tenantB的柵格標識進行比較，如果符合，那么用戶直接跳轉到柵格sign, (a, b)，然后訪問 DataSpace (A，B)。
權利要求
1.一種強擴展式網絡柵格MaS訪問控制方法，其特征在于包括如下步驟第一步、元數據庫維護一張虛擬網絡柵格，用于標識租戶和用戶的信息；第二步、當一個租戶完成了在^aS平臺的許可的時候，元數據庫對此租戶的虛擬網絡柵格進行初始化；第三步、當用戶訪問^aS平臺，尋找對應的租戶提供的服務的時候，網絡柵格對用戶進行訪問控制；第四步、用戶通過元數據庫的許可之后，對每個租戶的數據庫進行訪問的時候，采用主流的訪問控制策略進行監管；第五步、當用戶訪問共享數據資源的時候，直接啟動網絡柵格上標識共享數據資源的入口進入共享資源數據庫。
2.根據權利要求1所述的強擴展式網絡柵格^aS訪問控制方法，其特征在于所述虛擬網絡柵格采用二維平面網格的形式，用四個象限的數字做記錄，具體過程為第一租戶 termatA對應的標識GridT. A在二維平面的第一象限上，其中一個頂點為原點，邊長為單位 1，標識數字為(0. 5,0. 5)；第二租戶tenantB對應的標識GridT. B向X軸正方向擴展，邊長亦為單位1，標識數字為(1.5，0.5)，依次類推。
3.根據權利要求1所述的強擴展式網絡柵格^aS訪問控制方法，其特征在于第二步所述的初始化包括兩個階段，第一階段是對租戶的一級柵格初始化，用GridT標識租戶數據庫所對應的網絡柵格，且租戶頒發第一標識符和第二標識符給用戶；第二階段是對用戶的次級柵格初始化。
4.根據權利要求1所述的強擴展式網絡柵格^aS訪問控制方法，其特征在于第三步所述訪問控制過程為首先，元數據庫從用戶登錄信息里取得第一標識符，如果信息正確， 那么相應的租戶數據庫所對應的網絡柵格狀態轉化為開啟，允許用戶訪問該租戶數據庫入口 ；然后，網絡柵格利用次級柵格進行下一步的比對，如果第二標識符正確，那么次級柵格為用戶開啟，用戶開始訪問該租戶的數據庫；其次，無論是元數據級的安全控制，還是且戶級的安全控制，當出現非法用戶時，柵格就會標識成禁止狀態，這樣，相關程序檢查到柵格的狀態后，會調動數據庫入口的關閉，防止非法用戶的訪問；當某個租戶不在此^aS平臺上駐留時，其對應的柵格也將撤銷，回到未初始化狀態，以便用于其他新增的租戶。
5.根據權利要求1所述的強擴展式網絡柵格^aS訪問控制方法，其特征在于所述主流的訪問控制策略包括自主訪問控制、強制訪問控制和基于角色訪問控制。
6.根據權利要求1所述的強擴展式網絡柵格^aS訪問控制方法，其特征在于元數據庫采用GridT. sign, (a, b)來標識共享數據資源的入口，如果用戶信息中同時帶有 MarkUser. A和MarkUser. B，那么GridT. sign. (a，b)為用戶打開，用戶可以直接訪問共享數據庫 DataSpace (A, B)。
全文摘要
本發明公開了一種強擴展式網絡柵格SaaS訪問控制方法，利用部署在LDARP目錄服務器上的元數據網絡柵格來實現特定用戶到特定tenant的入口認證，然后單個tenant利用個性化定制服務來完成本數據庫的安全訪問策略；并且，當多個tenant產生共享資源時，將信息反饋于元數據網絡柵格，元數據網絡柵格完成共享資源柵格的新拼裝。然后，對于非法用戶采用柵格屏蔽的方法阻斷其訪問，對于tenant的有效期運行采用柵格撤銷和柵格標示的方式完成維護。本發明主要用于基于SaaS互聯軟件服務平臺的安全訪問控制，具有高效率，低耦合的特點，為整個SaaS平臺提供安全保障。
文檔編號H04L29/06GK102413135SQ20111036628
公開日2012年4月11日 申請日期2011年11月17日 優先權日2011年11月17日
發明者唐雪飛, 郭一錡, 陳科 申請人:成都康賽電子科大信息技術有限責任公司