專利名稱：網(wǎng)絡(luò)計(jì)算環(huán)境中基于策略的安全訪問方法
技術(shù)領(lǐng)域：
本發(fā)明是一種分布式計(jì)算的安全解決方案。主要用于解決網(wǎng)格計(jì)算的安全問題，屬于分布式計(jì)算軟件安全技術(shù)領(lǐng)域。
背景技術(shù)：
網(wǎng)格計(jì)算(Grid Computing)是指通過高速網(wǎng)絡(luò)把分散在各處的硬件、軟件、信息資源連結(jié)成一個(gè)巨大的整體，從而使得人們能夠利用地理上分散于各處的資源，完成各種大規(guī)模的、復(fù)雜的計(jì)算和數(shù)據(jù)處理的任務(wù)。與以前的協(xié)同工作(Cooperative work)、分布式計(jì)算(Distributed Computing)等概念相比較，網(wǎng)格計(jì)算的集成程度更高、使用更加方便、資源的利用更加充分和有效。它標(biāo)志著現(xiàn)代信息技術(shù)應(yīng)用有一個(gè)新的、更高水平。
由于網(wǎng)格計(jì)算的諸多優(yōu)點(diǎn)，因而被人們認(rèn)為是互聯(lián)網(wǎng)之后最重要的技術(shù)，對(duì)網(wǎng)格計(jì)算的研究正成為學(xué)術(shù)界和工業(yè)界的熱點(diǎn)之一。但是安全性是制約網(wǎng)格計(jì)算技術(shù)廣泛使用的重要因素之一，因此研究網(wǎng)格計(jì)算的安全問題具有重要意義。
網(wǎng)格計(jì)算環(huán)境具有許多特殊性，包括網(wǎng)格中用戶與資源的動(dòng)態(tài)性，以及申請(qǐng)釋放資源等操作的動(dòng)態(tài)性，因此，在網(wǎng)格環(huán)境中，對(duì)系統(tǒng)的高可擴(kuò)展性，靈活性等方面有更高的要求，這給對(duì)網(wǎng)格客戶端進(jìn)行授權(quán)方面提出了新的挑戰(zhàn)。傳統(tǒng)的使用訪問控制列表(ACL)方式的訪問控制模型通常都需要使用數(shù)據(jù)庫來實(shí)現(xiàn)，而在網(wǎng)格計(jì)算環(huán)境中，信息的表達(dá)方式是xml的文件格式，因而使用訪問控制列表還需要進(jìn)行xml文件和數(shù)據(jù)庫的互操作過程，這樣就會(huì)影響到訪問控制的性能；而基于角色的訪問控制模型又比較復(fù)雜，目前還處于研究探索階段。相對(duì)而言，若能夠使用信息表達(dá)方式為xml格式的訪問控制模型，則能夠很好的適應(yīng)網(wǎng)格計(jì)算環(huán)境的需要，因?yàn)閤ml是可擴(kuò)展元標(biāo)記語言，通過根據(jù)網(wǎng)格計(jì)算的需要來自行定義并增加相應(yīng)的xml標(biāo)記，這樣在制定策略時(shí)就有很大的自主性和可擴(kuò)展性。

發(fā)明內(nèi)容
技術(shù)問題本發(fā)明的目的是提供網(wǎng)格計(jì)算環(huán)境中基于策略的安全訪問方法來構(gòu)筑網(wǎng)格環(huán)境中的對(duì)用戶進(jìn)行授權(quán)的體系，通過使用本發(fā)明提出的方法，可以達(dá)到是否允許網(wǎng)格用戶使用網(wǎng)格資源的目的，并且能夠?qū)τ脩羰褂觅Y源的權(quán)限進(jìn)行控制。
技術(shù)方案與傳統(tǒng)的使用訪問控制列表(ACL)和強(qiáng)制訪問控制(MAC)來進(jìn)行授權(quán)的方法不同，本方法是一種策略性方法，根據(jù)網(wǎng)格計(jì)算提供者的不同資源的特性來制定不同的訪問控制策略集合，其目標(biāo)是解決網(wǎng)格計(jì)算環(huán)境中如何對(duì)用戶訪問資源時(shí)進(jìn)行授權(quán)的問題。
下面給出該模型中的幾個(gè)概念自治域(Autonomy Domain)加入網(wǎng)格環(huán)境的內(nèi)部具有一致的安全體系的個(gè)體、組織、部門和團(tuán)體等。
虛擬組織(Virtual Organization)所謂虛擬組織就是指在網(wǎng)格環(huán)境中，為了完成某一特定任務(wù)而由不同自治域的節(jié)點(diǎn)組成的一個(gè)跨地域，異構(gòu)型并共享資源協(xié)同完成任務(wù)的一些個(gè)人、組織或者資源的動(dòng)態(tài)組合。
網(wǎng)格服務(wù)提供域(Grid Service Provider Domain)由提供某一特定服務(wù)或者通用服務(wù)而組成的一個(gè)網(wǎng)格域，該域可以為網(wǎng)格自治域，也可以是虛擬組織。
網(wǎng)格服務(wù)提供節(jié)點(diǎn)(Grid Service Provider Node)在網(wǎng)格服務(wù)提供域中的能夠?qū)ν馓峁┵Y源服務(wù)的最小單位成員。
策略(Policy)由一組規(guī)則、規(guī)則組合算法的標(biāo)識(shí)符、一組義務(wù)和一個(gè)目標(biāo)組成的一個(gè)xml文件。
請(qǐng)求訪問策略(Request Access Policy)網(wǎng)格用戶生成的請(qǐng)求訪問網(wǎng)格資源的策略，只包括主體、客體和操作三部分。該請(qǐng)求訪問策略和網(wǎng)格服務(wù)中的策略進(jìn)行匹配。
目標(biāo)(Target)包含三類屬性(主體、資源、動(dòng)作)及其屬性值來實(shí)現(xiàn)的確定策略是否與請(qǐng)求有關(guān)。策略和請(qǐng)求的相關(guān)性決定了是否要為請(qǐng)求評(píng)估該策略。將這些屬性的值與請(qǐng)求中具有相同屬性的值進(jìn)行比較，如果匹配，則認(rèn)為該策略是相關(guān)的，并對(duì)其進(jìn)行評(píng)估。
主體(Subject)是指能夠訪問網(wǎng)格服務(wù)提供域的授權(quán)實(shí)體，可以包含有關(guān)身份、角色或其他屬性的信息。
客體(Object)是指網(wǎng)格服務(wù)中提供資源的節(jié)點(diǎn)，可以是網(wǎng)格服務(wù)提供節(jié)點(diǎn)，同樣可以包含其身份或其他屬性信息。
操作(Action)是指對(duì)資源的使用方式，對(duì)于網(wǎng)格資源而言，可以是讀、寫、執(zhí)行任務(wù)、修改、刪除等。
規(guī)則(Rule)是指用來對(duì)資源的訪問進(jìn)行限定的條目，每條規(guī)則由條件、結(jié)果和目標(biāo)組成。
條件(Condition)是關(guān)于屬性的陳述，評(píng)估結(jié)果為True、False或Indeterminate。
結(jié)果(Result)是符合規(guī)則的預(yù)期后果，值可以為Permit或Deny。
一、體系結(jié)構(gòu)圖1給出了一個(gè)運(yùn)用這種方法的訪問控制的組成結(jié)構(gòu)圖，與傳統(tǒng)的訪問控制結(jié)構(gòu)不同，這種結(jié)構(gòu)主要表現(xiàn)在使用了xml文件格式來作為策略的載體，而不需要使用數(shù)據(jù)庫來實(shí)現(xiàn)?？蛻舳松烧?qǐng)求策略文件，請(qǐng)求策略文件的格式如圖2所示，服務(wù)提供節(jié)點(diǎn)生成策略文件，策略文件的格式如圖3所示，請(qǐng)求策略文件和策略文件都提交到網(wǎng)格服務(wù)端，服務(wù)端使用匹配程序?qū)@兩種文件進(jìn)行匹配，匹配結(jié)果就存放在相應(yīng)的響應(yīng)策略文件中，響應(yīng)策略文件如圖4所示，該響應(yīng)策略文件就包含了對(duì)客戶端的請(qǐng)求是允許訪問和拒絕訪問的元素。圖5是我們提供的網(wǎng)格服務(wù)提供節(jié)點(diǎn)所生成的四種策略，這四種策略都是針對(duì)網(wǎng)格服務(wù)提供節(jié)點(diǎn)對(duì)自身資源的保護(hù)所提出的，由這四種策略就組成了服務(wù)提供節(jié)點(diǎn)的策略文件。
下面我們給出四種策略的說明操作選擇策略對(duì)于每一個(gè)網(wǎng)格服務(wù)提供節(jié)點(diǎn)而言，根據(jù)提供的對(duì)外服務(wù)資源的特點(diǎn)，在某一時(shí)間期內(nèi)，規(guī)定該外對(duì)服務(wù)資源的使用方式。比如，當(dāng)提供的資源還處于開發(fā)期或者修改期時(shí)，可以以只讀的方式對(duì)外提供服務(wù)，因而在制定策略時(shí)，<操作>子元素的值為“read”；而當(dāng)資源能夠正常對(duì)外提供服務(wù)時(shí)，可以規(guī)定<操作>子元素的值為“read|write|run-task”等。其中“|”表示“或”的意思，即可以是其中某一種或幾種操作方式?！皉un-task”表示用戶可以使用該資源運(yùn)行任務(wù)，而“write”表示用戶可以對(duì)資源進(jìn)行修改更新操作。
服務(wù)時(shí)間策略對(duì)于每一個(gè)網(wǎng)格服務(wù)提供節(jié)點(diǎn)而言，根據(jù)節(jié)點(diǎn)自身能夠?qū)ν夥?wù)的時(shí)間來規(guī)定服務(wù)時(shí)間范圍，這種規(guī)定是在元素“規(guī)則”中的子元素“條件”中完成。比如，服務(wù)提供者在“條件”元素中規(guī)定服務(wù)時(shí)間范圍為09:00:00-17:00:00，而在此時(shí)間段外的服務(wù)予以拒絕。
信任屬性策略信任屬性策略即是對(duì)訪問網(wǎng)格服務(wù)資源的客戶的信任范圍，是在策略中以“主體”的形式來表示的。比如，網(wǎng)格服務(wù)提供節(jié)點(diǎn)可能只是信任某個(gè)IP地址段內(nèi)(如“10.10.9.*”)的用戶，或者用電子郵件形式表示的(如*@grid.com)某個(gè)區(qū)域內(nèi)的用戶。
系統(tǒng)性能策略系統(tǒng)性能策略是網(wǎng)格服務(wù)提供節(jié)點(diǎn)規(guī)定的能夠?qū)ν馓峁┓?wù)的系統(tǒng)性能，是在策略中以“條件”的形式來表示的。比如，一個(gè)節(jié)點(diǎn)規(guī)定自己的cpu運(yùn)行速度為1.5GHz，而客戶端所需要的服務(wù)提供的cpu性能為2.0GHz，那么該匹配結(jié)果就為拒絕提供服務(wù)。
二、方法流程1、生成策略文件對(duì)于網(wǎng)格服務(wù)而言，每一網(wǎng)格服務(wù)提供節(jié)點(diǎn)都應(yīng)該制定適合自身資源特點(diǎn)的策略文件，以保護(hù)資源的使用能夠在自己的允許范圍內(nèi)，根據(jù)上面所列的四種策略和策略結(jié)構(gòu)圖我們就可以構(gòu)造出相應(yīng)的策略文件。
1)生成操作選擇策略根據(jù)圖3的策略結(jié)構(gòu)，對(duì)于操作選擇策略，規(guī)定<動(dòng)作>元素的屬性為“regexp-string-match”，該屬性表示相應(yīng)的“動(dòng)作值”是可選的字符串形式，而“動(dòng)作值”則根據(jù)網(wǎng)格服務(wù)提供節(jié)點(diǎn)對(duì)資源保護(hù)的特點(diǎn)而自行決定，如前面所示可以為“read|write|run-task”。因而得到的<動(dòng)作>元素內(nèi)容為<動(dòng)作 動(dòng)作屬性＝“regexp-string-match”>read|write|run-task</動(dòng)作>
2)生成服務(wù)時(shí)間策略根據(jù)圖3的策略結(jié)構(gòu)，服務(wù)時(shí)間策略需要制定元素<條件>，規(guī)定<條件>的屬性為“time-in-range”，該屬性表示相應(yīng)的“條件值”為時(shí)間范圍形式?！皸l件值”為服務(wù)提供節(jié)點(diǎn)自行定義的時(shí)間段，格式為“hourminutesecond”。對(duì)于時(shí)間范圍的制定則需要給出兩個(gè)“條件值”，一個(gè)為起始時(shí)間，另一個(gè)為終止時(shí)間。若用戶要求的使用時(shí)間不在該時(shí)間段內(nèi)，則拒絕用戶使用該資源的請(qǐng)求。得到的<條件>元素內(nèi)容為<條件 條件屬性＝“time-in-range”>
<起始時(shí)間 屬性＝“time”>09:00:00</起始時(shí)間>
<終止時(shí)間 屬性＝“time”>17:00:00</終止時(shí)間>
</條件>
3)生成信任屬性策略根據(jù)圖3的策略結(jié)構(gòu)，信任屬性策略根據(jù)主體的屬性類型可以生成幾類信任屬性策略。規(guī)定<主體>的屬性為“rfc822Name-match”時(shí)，“主體值”應(yīng)該為“grid.com.cn”域名形式，表示只信任擁有*@grid.com.cn該郵箱的用戶；而當(dāng)規(guī)定<主體>的屬性為“regexp-string-match”時(shí)，“主體值”可以為“10.10.*.*”IP地址形式；而當(dāng)規(guī)定<主體>的屬性為“x500Name-match”時(shí)，“主體值”可以為“O＝NJUPT，C＝CN”x500Name形式。這三種形式的<主體>元素內(nèi)容分別為<主體 主體屬性＝“rfc822Name-match”>grid.com.cn</主體>
<主體 主體屬性＝“regexp-string-match”>10.10.*.*</主體>
<主體 主體屬性＝“x500Name-match”>O＝NJUPT C＝CN</主體>
4)生成系統(tǒng)性能策略根據(jù)圖3的策略結(jié)構(gòu)，系統(tǒng)性能策略要規(guī)定<規(guī)則>元素中的<條件>子元素，屬性值規(guī)定為“double-less-than-or-equal”，表示條件值是double型，并且請(qǐng)求策略所要求的應(yīng)該小于該條件值，條件值定義為cpu的運(yùn)行速度。因而還需要生成一個(gè)<條件>元素，其內(nèi)容為<條件 條件屬性＝“double-greater-than-or-equal”>1.5</條件>
另外需要確定的是<資源>元素，資源就用擁有該資源的服務(wù)提供節(jié)點(diǎn)的IP地址來表示，其屬性為“anyURI-equal”，因而資源元素的內(nèi)容為<資源 資源屬性＝“anyURI-equal”>10.10.9.71</資源>
最后是規(guī)則屬性的確定，當(dāng)上面的策略都能夠滿足時(shí)，則規(guī)則屬性為“permit”，表示允許使用該資源。而若有一項(xiàng)沒有滿足則規(guī)則屬性為“deny”，表示拒絕使用該資源。
2、生成請(qǐng)求策略文件對(duì)于網(wǎng)格客戶端而言，請(qǐng)求策略文件比策略文件要簡單的多，只是包含了<目標(biāo)>的三個(gè)子元素，而沒有包含<規(guī)則>元素，對(duì)應(yīng)于上面四種策略，相應(yīng)的也有四種請(qǐng)求策略。
1)生成操作選擇請(qǐng)求策略根據(jù)圖2的策略請(qǐng)求結(jié)構(gòu)，在生成操作選擇請(qǐng)求策略時(shí)，對(duì)于<動(dòng)作>元素的屬性選為“string”，而“動(dòng)作值”則由客戶端根據(jù)自己想進(jìn)行的操作來確定。比如客戶端想借用網(wǎng)格服務(wù)端的資源來運(yùn)行任務(wù)，則“動(dòng)作值”為“run-task”。
<動(dòng)作 動(dòng)作屬性＝“string”>run-task</動(dòng)作>
2)生成服務(wù)時(shí)間和信任屬性策略根據(jù)圖2的策略請(qǐng)求結(jié)構(gòu)，由于請(qǐng)求策略中沒有<規(guī)則>元素，因而我們將服務(wù)時(shí)間中的關(guān)于<條件>元素的內(nèi)容放到<主體>中來實(shí)現(xiàn)，因而<主體>元素需要確定三個(gè)子元素一個(gè)是根據(jù)主體自身的屬性確定的主體值，這是用來表達(dá)信任屬性策略，同樣，當(dāng)主體屬性不同時(shí)，得到的<主體>元素的內(nèi)容也不一樣。當(dāng)信任屬性策略定義的<主體>屬性為“rfc822Name-match”，則“主體值”應(yīng)該為“*@grid.com.cn”域名形式，其余兩種類似；另外兩個(gè)主體元素則是客戶端所要求提供服務(wù)的“初始時(shí)間”子元素和“終止時(shí)間”子元素，其屬性值為“time”，用來表示服務(wù)時(shí)間策略。
<主體 主體屬性＝“rfc822Name-match”>chenjg@grid.com.cn</主體>
<主體 主體屬性＝“regexp-string-match”>10.10.20.2</主體>
<主體 主體屬性＝“x500Name-match”>CN＝Grid-Client O＝NJUPT C＝CN</主體>
<主體>
<起始時(shí)間 屬性＝“time”>09:00:00</起始時(shí)間>
<終止時(shí)間 屬性＝“time”>17:00:00</終止時(shí)間>
</主體>
3)生成系統(tǒng)性能請(qǐng)求策略根據(jù)圖2的策略請(qǐng)求結(jié)構(gòu)，在生成系統(tǒng)性能請(qǐng)求策略時(shí)，<資源>元素包含兩個(gè)子元素一個(gè)是根據(jù)資源自身的屬性來確定的資源值，另一個(gè)則是客戶端所要求提供服務(wù)的“cpu運(yùn)行速度”，其屬性為“double”，而元素值則是客戶端所需要的服務(wù)提供節(jié)點(diǎn)的cpu運(yùn)行速度。
<資源 資源屬性＝“anyURI-equal”>10.10.9.71</資源>
<資源>
<條件 條件屬性＝“double”>2.0</條件>
</資源>
確定了<目標(biāo)>元素中的<主體><資源><動(dòng)作>這三個(gè)子元素的內(nèi)容后，請(qǐng)求策略文件也就生成。
3、進(jìn)行策略匹配每個(gè)網(wǎng)格服務(wù)提供節(jié)點(diǎn)生成的策略文件都傳輸給網(wǎng)格服務(wù)端，網(wǎng)格服務(wù)端將這些策略文件存儲(chǔ)起來。在客戶端生成請(qǐng)求策略文件并傳輸給網(wǎng)格服務(wù)端后，如圖1所示，網(wǎng)格服務(wù)端就運(yùn)行一個(gè)匹配程序(用java語言來實(shí)現(xiàn))將請(qǐng)求策略文件和存放在服務(wù)端的策略文件進(jìn)行匹配，匹配的結(jié)果格式如圖4所示。匹配的原則是對(duì)請(qǐng)求策略文件中的每個(gè)元素，首先檢查其屬性是否和策略文件中定義的屬性相同，若相同則進(jìn)行元素值的匹配，例如對(duì)于“操作選擇請(qǐng)求策略”中規(guī)定的“動(dòng)作值”為“run-task”，而相應(yīng)的“操作選擇策略”規(guī)定的“動(dòng)作值”為“read|write|run-task”時(shí)，由于“操作選擇策略”的“動(dòng)作值”有“run-task”，則匹配成功，生成的響應(yīng)策略文件中的元素<決策>為“permit”。說明客戶端能夠滿足該服務(wù)提供節(jié)點(diǎn)的策略要求，因而能夠使用該服務(wù)提供節(jié)點(diǎn)的資源執(zhí)行“run-task”操作。
該方法所包含的具體步驟為步驟1).服務(wù)提供節(jié)點(diǎn)根據(jù)信任服務(wù)策略，確定<目標(biāo)>元素中的<主體>元素的屬性和值；步驟2).服務(wù)提供節(jié)點(diǎn)根據(jù)操作選擇策略，確定<目標(biāo)>元素中的<動(dòng)作>子元素的屬性和值；步驟3).服務(wù)提供節(jié)點(diǎn)根據(jù)服務(wù)時(shí)間策略，確定<規(guī)則>元素中的<條件>子元素關(guān)于“時(shí)間”的屬性和值；步驟4).服務(wù)提供節(jié)點(diǎn)根據(jù)系統(tǒng)性能策略，確定<規(guī)則>元素中的<條件>子元素關(guān)于“性能”的屬性和值；步驟5).服務(wù)提供節(jié)點(diǎn)確定<目標(biāo)>元素中的<資源>子元素的屬性和值；步驟6).確定四種策略后，生成相應(yīng)的策略文件；步驟7).服務(wù)提供節(jié)點(diǎn)將策略文件提交給服務(wù)端；步驟8).需要訪問網(wǎng)格服務(wù)的客戶端填寫服務(wù)端提供的四種請(qǐng)求策略信息，并生成請(qǐng)求策略文件；步驟9).客戶端將生成的請(qǐng)求策略文件提交給服務(wù)端；步驟10).服務(wù)端接收到策略文件后，檢查策略文件所需要確定的元素，并相應(yīng)的對(duì)外發(fā)布請(qǐng)求策略信息，分別為操作選擇請(qǐng)求策略、服務(wù)時(shí)間請(qǐng)求策略、信任屬性請(qǐng)求策略、系統(tǒng)性能請(qǐng)求策略，每種請(qǐng)求策略信息都提供了相應(yīng)的元素名和所需要的屬性，以供客戶端填寫；步驟11).服務(wù)端得到請(qǐng)求策略文件后，將請(qǐng)求策略文件與每一個(gè)服務(wù)提供節(jié)點(diǎn)提交的策略文件進(jìn)行匹配；步驟12).服務(wù)端檢查請(qǐng)求策略文件和策略文件中<目標(biāo)>元素中的子元素<主體>的值是否相匹配，主體匹配成功，繼續(xù)后面元素的匹配過程；若主體匹配失敗，這時(shí)便生成響應(yīng)策略文件，并且<決策>元素的值為“deny”，表示該服務(wù)提供節(jié)點(diǎn)拒絕為該客戶提供服務(wù)；步驟13).服務(wù)端檢查請(qǐng)求策略文件和策略文件中<目標(biāo)>元素中的子元素<操作>值是否相匹配，同樣若匹配成功則繼續(xù)后面的匹配過程，不成功就生成響應(yīng)策略文件，并且<決策>元素的值為“deny”；步驟14).服務(wù)端比較請(qǐng)求策略文件中<目標(biāo)>元素中的子元素<主體>關(guān)于“服務(wù)時(shí)間”的元素值和策略文件中<規(guī)則>元素中的子元素<條件>關(guān)于“服務(wù)時(shí)間”的元素值是否匹配，即客戶端所要求提供的服務(wù)時(shí)間是否在服務(wù)提供節(jié)點(diǎn)所能提供的服務(wù)時(shí)間范圍內(nèi)，若在則匹配成功，進(jìn)行后面的匹配，若不在，則匹配失敗，便生成響應(yīng)策略文件，并且<決策>元素的值為“deny”；步驟15).服務(wù)端比較請(qǐng)求策略文件中<目標(biāo)>元素中的子元素<主體>關(guān)于“系統(tǒng)性能”的元素值和策略文件中<規(guī)則>元素中的子元素<條件>關(guān)于“系統(tǒng)性能”的元素值是否匹配，若匹配則生成響應(yīng)策略文件，并且<決策>元素的值為“permit”，若匹配失敗，便生成響應(yīng)策略文件，并且<決策>元素的值為“deny”；步驟16).服務(wù)端對(duì)請(qǐng)求策略文件和每一個(gè)策略文件都匹配完成后，得到一組相應(yīng)的響應(yīng)策略文件；步驟17).服務(wù)端從響應(yīng)策略文件中提取出<決策>元素的值為“permit”的響應(yīng)策略文件，并從中得到相應(yīng)的服務(wù)提供節(jié)點(diǎn)；步驟18).客戶端將任務(wù)提交給服務(wù)端；步驟19).服務(wù)端將任務(wù)分別在通過授權(quán)的服務(wù)提供節(jié)點(diǎn)上運(yùn)行，至此授權(quán)過程結(jié)束。
有益效果本發(fā)明方法提出了一種針對(duì)于網(wǎng)格服務(wù)的高效簡便的訪問控制新方法，主要用于解決網(wǎng)格服務(wù)端對(duì)客戶端進(jìn)行訪問控制的問題，通過使用本發(fā)明提出的方法可以避免過去訪問控制需要使用數(shù)據(jù)庫的低效性，在不降低授權(quán)能力的前提下提高了訪問控制決策的速度，可以有效的達(dá)到網(wǎng)格服務(wù)端對(duì)客戶端的訪問控制的目的。下面我們給出具體的說明。
高效性本發(fā)明方法的策略文件和請(qǐng)求策略文件使用的是xml文件格式，可擴(kuò)展標(biāo)記語言xml是一種元標(biāo)記語言，它使用簡單靈活的標(biāo)準(zhǔn)格式，為基于網(wǎng)格的應(yīng)用提供了一個(gè)描述數(shù)據(jù)和交換數(shù)據(jù)的有效手段。因而不再需要使用數(shù)據(jù)庫操作，提高了訪問控制的運(yùn)行效率。
靈活性由于xml文件可以由使用者根據(jù)自己的需要來定義標(biāo)記，因而服務(wù)提供節(jié)點(diǎn)在生成策略文件可以添加所需要的類型，比如可以添加<環(huán)境>元素，用來說明<主體>或者<資源>元素所要求的一些附加條件。這樣使得使用基于策略的訪問控制有很大的靈活性，服務(wù)提供節(jié)點(diǎn)可以靈活地來定義自己的策略文件；可擴(kuò)展性在此只是提供了四種不同類型的策略，服務(wù)提供節(jié)點(diǎn)還可以定義別的策略，比如可以要求客戶端必須是某一群體成員，或者必須得到服務(wù)提供節(jié)點(diǎn)所信任的個(gè)人或組織的授權(quán)等，這些都可以通過在<條件>元素中定義不同的屬性和條件值來實(shí)現(xiàn)。


圖1是使用策略匹配來進(jìn)行網(wǎng)格服務(wù)訪問控制機(jī)制的參考體系結(jié)構(gòu)示意圖。
圖2是請(qǐng)求策略文件的格式。
圖3是策略文件的格式。
圖4是響應(yīng)策略文件的格式。
圖5是本發(fā)明所規(guī)定的策略集合示意圖，表示本發(fā)明方法包括的組件示例。
圖6是本發(fā)明的流程圖。
具體實(shí)施例方式
為了方便描述，我們假定有如下應(yīng)用實(shí)例一個(gè)網(wǎng)格客戶要使用某個(gè)網(wǎng)格服務(wù)來完成某一項(xiàng)任務(wù)，我們假定該網(wǎng)格服務(wù)端已經(jīng)對(duì)網(wǎng)格客戶進(jìn)行了認(rèn)證過程，并且認(rèn)證通過。接著就是對(duì)客戶的授權(quán)過程，使用基于策略的訪問控制(授權(quán))的具體實(shí)施方式
為(1)服務(wù)提供節(jié)點(diǎn)根據(jù)信任服務(wù)策略，確定<目標(biāo)>元素中的<主體>子元素的屬性和值；(2)服務(wù)提供節(jié)點(diǎn)根據(jù)操作選擇策略，確定<目標(biāo)>元素中的<動(dòng)作>元素的屬性和值；(3)服務(wù)提供節(jié)點(diǎn)根據(jù)服務(wù)時(shí)間策略，確定<規(guī)則>元素中的<條件>子元素關(guān)于“時(shí)間”的屬性和值；(4)服務(wù)提供節(jié)點(diǎn)根據(jù)系統(tǒng)性能策略，確定<規(guī)則>元素中的<條件>子元素關(guān)于“性能”的屬性和值；(5)服務(wù)提供節(jié)點(diǎn)確定<目標(biāo)>元素中的<資源>子元素的屬性和值；(6)確定四種策略后，生成相應(yīng)的策略文件；(7)服務(wù)提供節(jié)點(diǎn)將策略文件提交給服務(wù)端，例如使用基于TCP/IP的Socket方法；(8)需要訪問網(wǎng)格服務(wù)的客戶端填寫服務(wù)端提供的四種請(qǐng)求策略信息，并生成請(qǐng)求策略文件；(9)客戶端將生成的請(qǐng)求策略文件提交給服務(wù)端，例如使用基于TCP/IP的Socket方法；(10)服務(wù)端接收到策略文件后，檢查策略文件所需要確定的元素，并相應(yīng)的對(duì)外發(fā)布請(qǐng)求策略信息，分別為操作選擇請(qǐng)求策略、服務(wù)時(shí)間請(qǐng)求策略、信任屬性請(qǐng)求策略、系統(tǒng)性能請(qǐng)求策略，每種請(qǐng)求策略信息都提供了相應(yīng)的元素名和所需要的屬性，以供客戶端填寫；(11)服務(wù)端得到請(qǐng)求策略文件后，將請(qǐng)求策略文件與每一個(gè)服務(wù)提供節(jié)點(diǎn)提交的策略文件進(jìn)行匹配。
(12)檢查請(qǐng)求策略文件和策略文件中<目標(biāo)>元素中的子元素<主體>的值是否相匹配，比如當(dāng)策略文件中的“主體屬性”為“rfc822Name-match”，“主體值”為“grid.com.cn”，而請(qǐng)求策略文件的“主體值”為“chenjg@grid.com.cn”時(shí)，主體匹配成功，繼續(xù)后面元素的匹配過程；而若而請(qǐng)求策略文件的“主體值”為“chenjg@sohu.com.cn”時(shí)，主體匹配失敗，這時(shí)便生成響應(yīng)策略文件，并且<決策>元素的值為“deny”，表示該服務(wù)提供節(jié)點(diǎn)拒絕為該客戶提供服務(wù)。
(13)檢查請(qǐng)求策略文件和策略文件中<目標(biāo)>元素中的子元素<操作>值是否相匹配，同樣若匹配成功則繼續(xù)后面的匹配過程，不成功就生成響應(yīng)策略文件，并且<決策>元素的值為“deny”。
(14)比較請(qǐng)求策略文件中<目標(biāo)>元素中的子元素<主體>關(guān)于“服務(wù)時(shí)間”的元素值和策略文件中<規(guī)則>元素中的子元素<條件>關(guān)于“服務(wù)時(shí)間”的元素值是否匹配，即客戶端所要求提供的服務(wù)時(shí)間是否在服務(wù) 提供節(jié)點(diǎn)所能提供的服務(wù)時(shí)間范圍內(nèi)，若在則匹配成功，進(jìn)行后面的匹配，若不在，則匹配失敗，便生成響應(yīng)策略文件，并且<決策>元素的值為“deny”。
(15)比較請(qǐng)求策略文件中<目標(biāo)>元素中的子元素<主體>關(guān)于“系統(tǒng)性能”的元素值和策略文件中<規(guī)則>元素中的子元素<條件>關(guān)于“系統(tǒng)性能”的元素值是否匹配，若匹配則生成響應(yīng)策略文件，并且<決策>元素的值為“permit”，表示客戶端的請(qǐng)求策略文件完全滿足該服務(wù)提供節(jié)點(diǎn)的要求，該服務(wù)提供節(jié)點(diǎn)允許客戶使用該資源；若匹配失敗，便生成響應(yīng)策略文件，并且<決策>元素的值為“deny”。
(16)服務(wù)端對(duì)請(qǐng)求策略文件和每一個(gè)策略文件都匹配完成后，得到一組相應(yīng)的響應(yīng)策略文件；(17)服務(wù)端從響應(yīng)策略文件中提取出<決策>元素的值為“permit”的響應(yīng)策略文件，并從中得到相應(yīng)的服務(wù)提供節(jié)點(diǎn)，這些節(jié)點(diǎn)即是能夠向該客戶提供服務(wù)的節(jié)點(diǎn)；(18)服務(wù)端將客戶端提交給服務(wù)端的任務(wù)分別在通過授權(quán)的服務(wù)提供節(jié)點(diǎn)上運(yùn)行，至此授權(quán)過程結(jié)束。
權(quán)利要求
1.一種網(wǎng)格計(jì)算環(huán)境中基于策略的安全訪問方法，其特征在于該方法所包含的步驟為步驟1).服務(wù)提供節(jié)點(diǎn)根據(jù)信任服務(wù)策略，確定<目標(biāo)>元素中的<主體>元素的屬性和值；步驟2).服務(wù)提供節(jié)點(diǎn)根據(jù)操作選擇策略，確定<目標(biāo)>元素中的<動(dòng)作>子元素的屬性和值；步驟3).服務(wù)提供節(jié)點(diǎn)根據(jù)服務(wù)時(shí)間策略，確定<規(guī)則>元素中的<條件>子元素關(guān)于“時(shí)間”的屬性和值；步驟4).服務(wù)提供節(jié)點(diǎn)根據(jù)系統(tǒng)性能策略，確定<規(guī)則>元素中的<條件>子元素關(guān)于“性能”的屬性和值；步驟5).服務(wù)提供節(jié)點(diǎn)確定<目標(biāo)>元素中的<資源>子元素的屬性和值；步驟6).確定四種策略后，生成相應(yīng)的策略文件；步驟7).服務(wù)提供節(jié)點(diǎn)將策略文件提交給服務(wù)端；步驟8).需要訪問網(wǎng)格服務(wù)的客戶端填寫服務(wù)端提供的四種請(qǐng)求策略信息，并生成請(qǐng)求策略文件；步驟9).客戶端將生成的請(qǐng)求策略文件提交給服務(wù)端；步驟10).服務(wù)端接收到策略文件后，檢查策略文件所需要確定的元素，并相應(yīng)的對(duì)外發(fā)布請(qǐng)求策略信息，分別為操作選擇請(qǐng)求策略、服務(wù)時(shí)間請(qǐng)求策略、信任屬性請(qǐng)求策略、系統(tǒng)性能請(qǐng)求策略，每種請(qǐng)求策略信息都提供了相應(yīng)的元素名和所需要的屬性，以供客戶端填寫；步驟11).服務(wù)端得到請(qǐng)求策略文件后，將請(qǐng)求策略文件與每一個(gè)服務(wù)提供節(jié)點(diǎn)提交的策略文件進(jìn)行匹配；步驟12).服務(wù)端檢查請(qǐng)求策略文件和策略文件中<目標(biāo)>元素中的子元素<主體>的值是否相匹配，主體匹配成功，繼續(xù)后面元素的匹配過程；若主體匹配失敗，這時(shí)便生成響應(yīng)策略文件，并且<決策>元素的值為“deny”，表示該服務(wù)提供節(jié)點(diǎn)拒絕為該客戶提供服務(wù)；步驟13).服務(wù)端檢查請(qǐng)求策略文件和策略文件中<目標(biāo)>元素中的子元素<操作>值是否相匹配，同樣若匹配成功則繼續(xù)后面的匹配過程，不成功就生成響應(yīng)策略文件，并且<決策>元素的值為“deny”；步驟14).服務(wù)端比較請(qǐng)求策略文件中<目標(biāo)>元素中的子元素<主體>關(guān)于“服務(wù)時(shí)間”的元素值和策略文件中<規(guī)則>元素中的子元素<條件>關(guān)于“服務(wù)時(shí)間”的元素值是否匹配，即客戶端所要求提供的服務(wù)時(shí)間是否在服務(wù)提供節(jié)點(diǎn)所能提供的服務(wù)時(shí)間范圍內(nèi)，若在則匹配成功，進(jìn)行后面的匹配，若不在，則匹配失敗，便生成響應(yīng)策略文件，并且<決策>元素的值為“deny”；步驟15).服務(wù)端比較請(qǐng)求策略文件中<目標(biāo)>元素中的子元素<主體>關(guān)于“系統(tǒng)性能”的元素值和策略文件中<規(guī)則>元素中的子元素<條件>關(guān)于“系統(tǒng)性能”的元素值是否匹配，若匹配則生成響應(yīng)策略文件，并且<決策>元素的值為“permit”，若匹配失敗，便生成響應(yīng)策略文件，并且<決策>元素的值為“deny”；步驟16).服務(wù)端對(duì)請(qǐng)求策略文件和每一個(gè)策略文件都匹配完成后，得到一組相應(yīng)的響應(yīng)策略文件；步驟17).服務(wù)端從響應(yīng)策略文件中提取出<決策>元素的值為“permit”的響應(yīng)策略文件，并從中得到相應(yīng)的服務(wù)提供節(jié)點(diǎn)；步驟18).服務(wù)端將客戶端提交來的任務(wù)分別在通過授權(quán)的服務(wù)提供節(jié)點(diǎn)上運(yùn)行，至此授權(quán)過程結(jié)束。
全文摘要
網(wǎng)格計(jì)算環(huán)境中基于策略的安全訪問方法是一種分布式計(jì)算的安全解決方案，主要用于解決網(wǎng)格計(jì)算的安全問題。這種結(jié)構(gòu)主要表現(xiàn)在使用了xml文件格式來作為策略的載體，而不需要使用數(shù)據(jù)庫來實(shí)現(xiàn)?？蛻舳松烧?qǐng)求策略文件，服務(wù)提供節(jié)點(diǎn)生成策略文件，請(qǐng)求策略文件和策略文件都提交到網(wǎng)格服務(wù)端，服務(wù)端使用匹配程序?qū)@兩種文件進(jìn)行匹配，匹配結(jié)果就存放在相應(yīng)的響應(yīng)策略文件中，該響應(yīng)策略文件就包含了對(duì)客戶端的請(qǐng)求是允許訪問和拒絕訪問的元素。圖5是我們提供的網(wǎng)格服務(wù)提供節(jié)點(diǎn)所生成的四種策略，這四種策略都是針對(duì)網(wǎng)格服務(wù)提供節(jié)點(diǎn)對(duì)自身資源的保護(hù)所提出的，由這四種策略就組成了服務(wù)提供節(jié)點(diǎn)的策略文件。
文檔編號(hào)H04L29/06GK1787529SQ20051012284
公開日2006年6月14日 申請(qǐng)日期2005年12月6日 優(yōu)先權(quán)日2005年12月6日
發(fā)明者王汝傳, 陳建剛, 楊庚 申請(qǐng)人:南京郵電大學(xué)