，領(lǐng)域信息管理模塊800根據(jù)管理員指令刪除數(shù)據(jù)庫100中領(lǐng)域知識(shí)庫110中的相關(guān)信息或服務(wù)信息庫140中的相關(guān)信息，并將刪除領(lǐng)域知識(shí)信息成功或服務(wù)信息成功的記錄加入數(shù)據(jù)庫的審計(jì)信息庫180中；(4)管理員修改領(lǐng)域知識(shí)信息或服務(wù)信息，領(lǐng)域信息管理模塊800根據(jù)管理員的指令修改數(shù)據(jù)庫100中領(lǐng)域知識(shí)庫110的相應(yīng)信息或服務(wù)信息庫140中的相應(yīng)信息，并將修改領(lǐng)域知識(shí)信息成功或服務(wù)信息成功的記錄加入數(shù)據(jù)庫的審計(jì)信息庫180中。
[0042]審計(jì)模塊900主要是對(duì)系統(tǒng)管理員的所有操作提供查詢功能，可以通過用戶名和時(shí)間范圍來對(duì)系統(tǒng)管理員的操作進(jìn)行查詢。這些記錄主要涉及敏感信息庫、服務(wù)信息庫和領(lǐng)域知識(shí)庫的操作記錄。
[0043]本發(fā)明不僅局限于上述【具體實(shí)施方式】，本領(lǐng)域一般技術(shù)人員根據(jù)本發(fā)明公開的內(nèi)容，可以采用其它多種【具體實(shí)施方式】實(shí)施本發(fā)明，因此，凡是采用本發(fā)明的設(shè)計(jì)結(jié)構(gòu)和思路，做一些簡(jiǎn)單的變化或更改的設(shè)計(jì)，都落入本發(fā)明保護(hù)的范圍。
【主權(quán)項(xiàng)】
1.一種私有云環(huán)境下訪問控制策略構(gòu)建系統(tǒng)，其特征在于，該系統(tǒng)包括有數(shù)據(jù)庫(100)、上下文感知模塊(200)、局部訪問控制策略構(gòu)建模塊(300)、局部訪問控制策略優(yōu)化模塊(400)、全局訪問控制策略構(gòu)建模塊(500)和全局訪問控制策略分解模塊￠00)、敏感信息管理模塊(700)、領(lǐng)域信息管理模塊(800)和審計(jì)模塊(900);其中，數(shù)據(jù)庫(100)用于存儲(chǔ)局部訪問控制策略以及影響局部訪問控制策略構(gòu)建的各種上下文信息及領(lǐng)域知識(shí)信息，存放通過沖突檢測(cè)與調(diào)整和融合后的全局訪問控制策略以及影響全局訪問控制策略調(diào)整和融合的服務(wù)信息，同時(shí)存放對(duì)全局訪問控制策略進(jìn)行分解所需的策略敏感信息以及分解后的訪問控制策略信息；上下文感知模塊(200)用于感知主體上下文信息、權(quán)限上下文信息和環(huán)境上下文信息，進(jìn)而利用領(lǐng)域知識(shí)形成統(tǒng)一的上下文信息并將結(jié)果存儲(chǔ)于數(shù)據(jù)庫(100)中；局部訪問控制策略構(gòu)建模塊(300)用于利用獲取到的功能性特征和非功能性特征，共同為局部訪問控制策略優(yōu)化模塊提供滿足企業(yè)安全和功能需求的初始局部訪問控制策略集合；局部訪問控制策略優(yōu)化模塊(400)基于多目標(biāo)決策選取在各個(gè)目標(biāo)總體評(píng)價(jià)最優(yōu)的初始局部訪問控制策略并存儲(chǔ)于數(shù)據(jù)庫(100)中；全局訪問控制策略構(gòu)建模塊(500)通過檢測(cè)參與服務(wù)組合的局部訪問控制策略中的不一致性，并在可控范圍內(nèi)對(duì)整個(gè)構(gòu)建的全局訪問控制策略進(jìn)行動(dòng)態(tài)調(diào)整并將最終構(gòu)建的全局訪問控制策略存儲(chǔ)于數(shù)據(jù)庫(100)中；全局訪問控制策略分解模塊(600)依據(jù)參與服務(wù)組合的局部訪問控制策略所屬訪問控制域之間的關(guān)系，將全局訪問控制策略分解到不同的局部訪問控制域中并將分解后的訪問控制策略存儲(chǔ)在數(shù)據(jù)庫(100)中；敏感信息管理模塊(700)接收來自系統(tǒng)管理員對(duì)參與服務(wù)組合構(gòu)建的各個(gè)局部訪問控制策略服務(wù)提供方在全局訪問控制策略中的敏感信息進(jìn)行增加、修改、刪除等操作，并將操作的結(jié)果以及操作記錄存儲(chǔ)在數(shù)據(jù)庫(100)中；領(lǐng)域信息管理模塊(800)接收來自系統(tǒng)管理員對(duì)影響不同上下文獲取與融合的領(lǐng)域信息進(jìn)行增加、修改、刪除等操作，以及指導(dǎo)服務(wù)組合構(gòu)建所需服務(wù)信息的增加、修改、刪除等操作，并將操作的結(jié)果以及操作記錄存儲(chǔ)在數(shù)據(jù)庫(100)中；審計(jì)模塊(900)接收來自系統(tǒng)管理員輸入的查詢消息，通過與數(shù)據(jù)庫(100)的信息交互，獲得滿足查詢條件的所有記錄。
2.根據(jù)權(quán)利要求1所述的私有云環(huán)境下訪問控制策略構(gòu)建系統(tǒng)，其特征在于:所述數(shù)據(jù)庫(100)包括:領(lǐng)域知識(shí)庫(110)、上下文信息庫(120)、局部策略庫(130)、服務(wù)信息庫(140)、全局訪問控制策略庫(150)、分解策略庫(160)、策略敏感信息庫(170)和審計(jì)信息庫(180)，其中，領(lǐng)域知識(shí)庫(110)用來存放描述主體、客體、操作以及環(huán)境屬性的領(lǐng)域知識(shí)；上下文信息庫(120)用來存放主體上下文感知、權(quán)限上下文感知以及環(huán)境上下文感知模塊融合后的影響局部訪問控制策略構(gòu)建的上下文信息；局部策略庫(130)用來存放基于上下文信息構(gòu)建與優(yōu)化的局部訪問控制策略集合；服務(wù)信息庫(140)用來存放描述服務(wù)組合過程中的輸入和輸出信息的范圍限制；全局訪問控制策略庫(150)用來存放消解沖突和融合后的描述服務(wù)組合的全局訪問控制策略集合；分解策略庫(160)用來存放基于敏感信息分解后的策略之間關(guān)聯(lián)關(guān)系的信息；策略敏感信息庫(170)用來存放系統(tǒng)管理員標(biāo)注的參與服務(wù)組合的局部訪問控制策略中的敏感信息；審計(jì)信息庫(180)存放管理員對(duì)領(lǐng)域知識(shí)庫、服務(wù)信息庫以及敏感信息進(jìn)行操作的記錄。
3.根據(jù)權(quán)利要求1所述的私有云環(huán)境下訪問控制策略構(gòu)建系統(tǒng)，其特征在于:所述上下文感知模塊(200)包括主體上下文感知模塊(210)、權(quán)限上下文感知模塊(220)、環(huán)境上下文感知模塊(230)和上下文推理模塊(240);主體上下文感知模塊(210)實(shí)施對(duì)訪問控制系統(tǒng)中的主體特征進(jìn)行感知，通過領(lǐng)域知識(shí)庫(110)中所注冊(cè)的主體特征信息或者主體在系統(tǒng)執(zhí)行過程中的訪問歷史記錄進(jìn)行獲取，并最終形成主體上下文感知信息提交上下文推理模塊(240)進(jìn)行處理；權(quán)限上下文感知模塊(220)利用用戶和權(quán)限之間的指派關(guān)系對(duì)權(quán)限所涉及的操作類型上下文信息以及操作對(duì)象的上下文信息進(jìn)行感知，并形成權(quán)限上下文感知信息提交上下文推理模塊(240)進(jìn)行處理；環(huán)境上下文感知模塊(230)實(shí)施對(duì)服務(wù)訪問時(shí)的可操作性及周圍環(huán)境的實(shí)時(shí)變化信息形成環(huán)境上下文感知信息提交上下文推理模塊(240)進(jìn)行處理；上下文推理模塊(240)對(duì)私有云環(huán)境中系統(tǒng)服務(wù)的不確定性、用戶需求的可變性以及系統(tǒng)環(huán)境的動(dòng)態(tài)性，基于貝葉斯網(wǎng)絡(luò)進(jìn)行合理推理，發(fā)現(xiàn)容易提取、對(duì)變形和特征不敏感且能有效區(qū)別不同類別的上下文信息，實(shí)施對(duì)主體上下文感知模塊(210)、權(quán)限上下文感知模塊(220)和環(huán)境上下文感知模塊(230)所獲取的不同上下文信息進(jìn)行融合推理，提取對(duì)噪聲免疫、容易提取和解釋的屬性信息，為構(gòu)建私有云環(huán)境下的局部訪問控制策略提供必要的數(shù)據(jù)和信息，并存儲(chǔ)于上下文信息庫(120)中。
4.根據(jù)權(quán)利要求1所述的私有云環(huán)境下訪問控制策略構(gòu)建系統(tǒng)，其特征在于: 所述局部訪問控制策略構(gòu)建模塊(300)包括非功能性特征獲取與處理模塊(310)和功能性特征獲取與處理模塊(320);非功能性特征獲取與處理模塊(310)從數(shù)據(jù)庫(100)的上下文信息庫(120)中獲取描述局部訪問控制策略中角色被指派依據(jù)的非功能性特征信息，進(jìn)而作為構(gòu)建局部訪問控制策略的輔助信息，與功能性特征共同為系統(tǒng)構(gòu)建滿足企業(yè)安全和功能需求的初始局部訪問控制策略集合；功能性特征獲取與處理模塊(320)從數(shù)據(jù)庫(100)的上下文信息庫(120)中獲取描述局部訪問控制策略所反映的業(yè)務(wù)流程相關(guān)的特征，與非功能性特征獲取與處理模塊(310)共同為系統(tǒng)構(gòu)建滿足企業(yè)安全和功能需求的初始局部訪問控制策略集合。
5.根據(jù)權(quán)利要求1或2或3所述的私有云環(huán)境下訪問控制策略構(gòu)建系統(tǒng)，其特征在于:所述全局訪問控制策略構(gòu)建模塊(500)分為服務(wù)組合引擎模塊(510)、局部訪問控制策略沖突消解與融合模塊(520);服務(wù)組合引擎模塊(510)從數(shù)據(jù)庫(100)的服務(wù)信息庫(140)中獲取服務(wù)組合的功能需求信息，進(jìn)而利用基于工作流的服務(wù)組合方法或者基于Al規(guī)劃的服務(wù)組合方法構(gòu)建功能上滿足服務(wù)組合要求的組合服務(wù)；局部訪問控制策略沖突消解與融合模塊(520)對(duì)于構(gòu)建全局訪問控制策略沖突的消解與融合從以下三個(gè)方面進(jìn)行:(al)消解訪問主體之間存在的權(quán)限繼承而造成的權(quán)限定義沖突的情況，確保策略規(guī)則做出唯一的訪問授權(quán)策略；(a2)消解對(duì)同一資源的多條規(guī)則授權(quán)定義而造成的權(quán)限配置的沖突，依據(jù)策略的優(yōu)先級(jí)實(shí)施策略沖突檢測(cè)與消解；如果該策略與其他策略沖突的概率較大或者自身嚴(yán)格性較高，則其優(yōu)先級(jí)也較高，反之則低；(a3)將安全性和功能可滿足性沖突問題規(guī)約為SAT問題，然后利用SAT求解器SAT4J，并調(diào)用最小代價(jià)法或字典編輯優(yōu)選法實(shí)現(xiàn)消解局部安全訪問控制策略安全性和功能可滿足性之間的沖突問題。
【專利摘要】本發(fā)明提供的一種私有云環(huán)境下訪問控制策略構(gòu)建系統(tǒng)，該系統(tǒng)包括有數(shù)據(jù)庫(100)、上下文感知模塊(200)、局部訪問控制策略構(gòu)建模塊(300)、局部訪問控制策略優(yōu)化模塊(400)、全局訪問控制策略構(gòu)建模塊(500)和全局訪問控制策略分解模塊(600)、敏感信息管理模塊(700)、領(lǐng)域信息管理模塊(800)和審計(jì)模塊(900)。本發(fā)明對(duì)私有云環(huán)境下的局部訪問控制策略進(jìn)行了動(dòng)態(tài)構(gòu)建，使得構(gòu)建的策略能夠滿足私有云環(huán)境動(dòng)態(tài)性和自適應(yīng)的要求，同時(shí)實(shí)現(xiàn)了描述組合服務(wù)安全需求的全局訪問控制策略的構(gòu)建及分解，達(dá)到了保證參與協(xié)作的服務(wù)方訪問控制策略中的敏感信息不被泄漏的目的。本發(fā)明系統(tǒng)具有安全性強(qiáng)、執(zhí)行效率高、可擴(kuò)展性強(qiáng)的特點(diǎn)。
【IPC分類】H04L29-06, H04L29-08
【公開號(hào)】CN104580163
【申請(qǐng)?zhí)枴緾N201410791627
【發(fā)明人】馬曉普, 劉金江, 蘭義華, 程寧, 趙莉, 沈鵾霄, 陳思媛
【申請(qǐng)人】南陽師范學(xué)院
【公開日】2015年4月29日
【申請(qǐng)日】2014年12月19日