云計(jì)算環(huán)境下應(yīng)用資源訪問(wèn)控制架構(gòu)研究

許 靜，苗 炬，許 崢

(1.中國(guó)電子科技集團(tuán)公司第五十四研究所，河北 石家莊 050081；2.中國(guó)移動(dòng)通信集團(tuán)河北有限公司，河北 石家莊 050035)

云計(jì)算環(huán)境下應(yīng)用資源訪問(wèn)控制架構(gòu)研究

許 靜1，苗 炬1，許 崢2

(1.中國(guó)電子科技集團(tuán)公司第五十四研究所，河北 石家莊 050081；2.中國(guó)移動(dòng)通信集團(tuán)河北有限公司，河北 石家莊 050035)

針對(duì)私有云環(huán)境下應(yīng)用資源訪問(wèn)控制問(wèn)題，分析研究了用戶權(quán)限定制、資源有效性管理以及授權(quán)動(dòng)態(tài)調(diào)整等關(guān)鍵技術(shù)，提出了以專業(yè)服務(wù)為中心的訪問(wèn)控制架構(gòu)。該架構(gòu)對(duì)身份認(rèn)證、用戶信息、資源和授權(quán)服務(wù)的職責(zé)進(jìn)行嚴(yán)格劃分，運(yùn)用面向服務(wù)的設(shè)計(jì)思想構(gòu)建了專業(yè)化服務(wù)，統(tǒng)一了基于組織機(jī)構(gòu)的用戶管理和認(rèn)證機(jī)制，通過(guò)資源的分層管理模式加深了數(shù)據(jù)、服務(wù)和軟件的控制粒度，使得用戶主體與資源主體分離，避免了授權(quán)管理控制的緊耦合問(wèn)題，從而提高了動(dòng)態(tài)性、靈活性，對(duì)云環(huán)境下同類項(xiàng)目的研究具有參考價(jià)值。

訪問(wèn)控制；云計(jì)算；授權(quán)管理；資源管理

0 引言

云計(jì)算是繼分布式計(jì)算、網(wǎng)格計(jì)算、對(duì)等計(jì)算之后的一種新型計(jì)算模式[1]，其核心是通過(guò)整合分布式資源，構(gòu)建能夠應(yīng)對(duì)多種服務(wù)要求的計(jì)算環(huán)境，以滿足用戶定制化需求，由此使得IT領(lǐng)域按需服務(wù)的理念得到了真正體現(xiàn)[2]。由此，云環(huán)境下用戶所需的應(yīng)用程序、數(shù)據(jù)和服務(wù)通過(guò)計(jì)算機(jī)網(wǎng)絡(luò)為通信手段大規(guī)模服務(wù)集群來(lái)實(shí)現(xiàn)，存儲(chǔ)的信息或數(shù)據(jù)則保存在計(jì)算機(jī)網(wǎng)絡(luò)的服務(wù)數(shù)據(jù)中心。

云計(jì)算實(shí)現(xiàn)了服務(wù)使用的解耦，具有資源共享、高效利用等特點(diǎn)，但同時(shí)也具有高度的動(dòng)態(tài)和不確定性。文獻(xiàn)[3-5]論述了云計(jì)算的發(fā)展正面臨許多關(guān)鍵性問(wèn)題，而安全問(wèn)題首當(dāng)其沖。特別是對(duì)于私有云的使用者而言，所遇到的最大問(wèn)題就是數(shù)據(jù)安全問(wèn)題[6]。如何在有效的監(jiān)管下，妥善地解決好非授權(quán)用戶不能訪問(wèn)數(shù)據(jù)和服務(wù)，同時(shí)授權(quán)的用戶也不能被限制而造成使用困難[7]的問(wèn)題成為促進(jìn)云發(fā)展的關(guān)鍵點(diǎn)之一。

本文旨在研究一種高可用、有效的資源訪問(wèn)控制體系架構(gòu)，按照組織結(jié)構(gòu)分職能、分應(yīng)用階段的細(xì)化訪問(wèn)控制的各類資源，對(duì)主體、客體、權(quán)限和授權(quán)[8]等進(jìn)行專業(yè)分工，建立起了以服務(wù)為中心的柔性訪問(wèn)控制架構(gòu)，并通過(guò)應(yīng)用實(shí)例進(jìn)行了驗(yàn)證。

1 問(wèn)題域分析

私有云通常被一個(gè)組織管理[9]，擁有自己的基礎(chǔ)設(shè)施和組織機(jī)構(gòu)，對(duì)整個(gè)云資源使用情況有極高水平的控制能力。管理私有云的組織涉及多個(gè)部門或下屬單位，而各個(gè)部門及下屬單位之間既有聯(lián)系又相互隔離，因此要嚴(yán)格區(qū)分其使用的數(shù)據(jù)、應(yīng)用以及服務(wù)的權(quán)限，以防止非法訪問(wèn)的發(fā)生[10]。

通過(guò)上述分析，在私有云環(huán)境下實(shí)現(xiàn)資源共享可控，就需要滿足以下幾個(gè)條件：

① 具有嚴(yán)格的身份認(rèn)證管理機(jī)制，只有通過(guò)認(rèn)證的用戶方能進(jìn)入云環(huán)境使用其資源。身份認(rèn)證的方式可以采用密碼、密鑰、令牌和生物特征識(shí)別等技術(shù)手段的一種或多種的聯(lián)合[11]；

② 所有數(shù)據(jù)、服務(wù)和應(yīng)用均依托統(tǒng)一的用戶身份。即在使用數(shù)據(jù)、服務(wù)和應(yīng)用時(shí)，若這些資源與用戶相關(guān)，則必需使用經(jīng)過(guò)身份認(rèn)證的用戶，不允許使用自行建立的用戶信息，這一點(diǎn)對(duì)歷史遺留的應(yīng)用尤為重要；

③ 用戶根據(jù)其在該組織中的職務(wù)，使用其所必須的數(shù)據(jù)、服務(wù)和應(yīng)用，不允許在未經(jīng)許可的情況下跨職能部門非法使用資源；

④ 私有云環(huán)境下的各種資源均得到有效管理并可方便地提供使用，即具有高可用性。在該環(huán)境下，各類不同用戶可以便捷地獲取其所需的資源，同時(shí)控制該用戶無(wú)法檢索、下載和使用那些沒(méi)有使用權(quán)限的資源；

⑤ 為適應(yīng)云計(jì)算環(huán)境的分布式、高擴(kuò)展性等特點(diǎn)，盡量多地采用松耦合設(shè)計(jì)，減少各種資源和服務(wù)的相互影響；若確實(shí)不能消除依賴關(guān)系，則需考慮在訪問(wèn)控制過(guò)程中妥善處理好其間的依賴。

鑒于云計(jì)算環(huán)境下各類使用資源具有實(shí)時(shí)、動(dòng)態(tài)變化的特點(diǎn)，因此無(wú)論采用何種訪問(wèn)控制架構(gòu)，必須要適應(yīng)云計(jì)算環(huán)境的分布式、高擴(kuò)展性和動(dòng)態(tài)性。此外，在系統(tǒng)安全機(jī)制完善的情況下還應(yīng)盡量提高系統(tǒng)的方便性和可用性。

2 應(yīng)用資源訪問(wèn)控制總體架構(gòu)

云計(jì)算環(huán)境下采用訪問(wèn)控制模型，實(shí)質(zhì)上可以認(rèn)為是控制用戶獲取云服務(wù)資源[12]。因此，在私有云環(huán)境下，經(jīng)過(guò)分析用戶對(duì)應(yīng)用資源訪問(wèn)控制的問(wèn)題后，可以得到如下幾個(gè)訪問(wèn)控制基本元素：

① 身份認(rèn)證：負(fù)責(zé)對(duì)用戶身份的合法性進(jìn)行認(rèn)證；

② 用戶信息：包括私有云內(nèi)所有用戶、組織關(guān)系等信息；

③ 數(shù)據(jù)資源：可以為不同服務(wù)、應(yīng)用提供數(shù)據(jù)支撐，且組織內(nèi)各個(gè)部門使用的數(shù)據(jù)相互隔離；

④ 服務(wù)資源：為各類應(yīng)用提供服務(wù)，也可直接為用戶提供服務(wù)；

⑤ 應(yīng)用資源：用戶可直接使用的系統(tǒng)應(yīng)用；

⑥ 授權(quán)管理：負(fù)責(zé)根據(jù)角色對(duì)有身份的用戶進(jìn)行各種資源的授權(quán)。

從上述基本元素中還可派生出：組織機(jī)構(gòu)、角色等元素，而這些元素之間并不是相互孤立的。為了使訪問(wèn)控制架構(gòu)達(dá)到高可變性的目的，這里采用文獻(xiàn)[13-15]所論述的面向服務(wù)的架構(gòu) (Service Oriented Architecture，SOA)核心思想，利用服務(wù)這個(gè)最核心的抽象手段，將訪問(wèn)控制過(guò)程劃分為一系列粗粒度的業(yè)務(wù)服務(wù)和業(yè)務(wù)流程，使得服務(wù)之間的交互是動(dòng)態(tài)的，位置是透明的。由此得到兩點(diǎn)好處：① 它適應(yīng)變化的靈活性；② 當(dāng)某個(gè)服務(wù)的內(nèi)部結(jié)構(gòu)和實(shí)現(xiàn)逐漸發(fā)生改變時(shí)，不影響其他服務(wù)。應(yīng)用資源訪問(wèn)控制的總體架構(gòu)如圖1所示。

圖1 應(yīng)用資源訪問(wèn)控制總體架構(gòu)示意

使用者首先在用戶信息的支持下通過(guò)身份認(rèn)證進(jìn)入系統(tǒng)，在權(quán)限管理的控制下從資源集合中搜索其所要的數(shù)據(jù)、服務(wù)和應(yīng)用資源，并根據(jù)所授權(quán)限下載、使用。其中用戶信息不僅與其身份有著一一對(duì)應(yīng)的關(guān)系，同時(shí)還統(tǒng)一了各種應(yīng)用資源中的用戶信息，特別是對(duì)于歷史遺留的應(yīng)用。由此便劃分出了身份認(rèn)證、用戶信息管理、資源管理和授權(quán)管理4個(gè)核心服務(wù)，通過(guò)這4個(gè)服務(wù)的相互協(xié)作完成了應(yīng)用資源的訪問(wèn)控制過(guò)程。

3 架構(gòu)設(shè)計(jì)

3.1 建立服務(wù)

根據(jù)總體架構(gòu)的設(shè)想，需建立身份認(rèn)證、用戶信息管理、資源管理和授權(quán)管理4個(gè)服務(wù)。

3.1.1 身份認(rèn)證服務(wù)

由于私有云中的每個(gè)用戶只能通過(guò)身份認(rèn)證才能使用云環(huán)境下的資源，因此每個(gè)用戶的身份具有唯一性。身份認(rèn)證除包括終端認(rèn)證設(shè)備外，還有身份認(rèn)證接入網(wǎng)關(guān)和身份認(rèn)證服務(wù)；身份認(rèn)證服務(wù)根據(jù)用戶數(shù)量可以擴(kuò)充為多個(gè)，并通過(guò)其內(nèi)部的負(fù)載平衡機(jī)制提高服務(wù)水平。本文為說(shuō)明訪問(wèn)控制架構(gòu)，僅涉及與資源訪問(wèn)控制有關(guān)的身份認(rèn)證服務(wù)功能，而忽略了用戶的身份認(rèn)證過(guò)程。

3.1.2 用戶信息管理服務(wù)

用戶首先是隸屬于組織中的某個(gè)部門或下屬單位，因此該服務(wù)不僅要提供所有的用戶的屬性信息，還要提供組織機(jī)構(gòu)層次關(guān)系和用戶在組織機(jī)構(gòu)中的隸屬關(guān)系。

組織機(jī)構(gòu)描述組織的框架體系[16]，其層次關(guān)系通過(guò)組織結(jié)構(gòu)樹(shù)描述：組織結(jié)構(gòu)樹(shù)的每一分支為一個(gè)部門，葉子結(jié)點(diǎn)均為用戶；每一個(gè)用戶至少隸屬于一個(gè)部門，一個(gè)用戶可以同時(shí)隸屬于組織機(jī)構(gòu)中的多個(gè)部門；

用戶信息則包括：身份卡號(hào)、姓名、在職狀態(tài)、性別、職務(wù)和隸屬部門編碼；其中，在職狀態(tài)包括：在編、離職、借調(diào)和休假4種狀態(tài)。

3.1.3 資源管理服務(wù)

應(yīng)用資源的類型主要分為3個(gè)層次：數(shù)據(jù)、服務(wù)和應(yīng)用軟件。數(shù)據(jù)處于底層為服務(wù)和應(yīng)用軟件提供數(shù)據(jù)支撐，而數(shù)據(jù)和服務(wù)共同為應(yīng)用軟件提供支持。由此可見(jiàn)，數(shù)據(jù)、服務(wù)和應(yīng)用軟件三者之間存在依賴關(guān)系，這種依賴關(guān)系要通過(guò)資源描述來(lái)體現(xiàn)。

數(shù)據(jù)資源用以下信息描述：數(shù)據(jù)編碼、數(shù)據(jù)名稱、數(shù)據(jù)存儲(chǔ)類型、使用類型、所屬部門編碼、數(shù)據(jù)存儲(chǔ)地址、啟用時(shí)間和驅(qū)動(dòng)名稱；服務(wù)資源用以下信息描述：服務(wù)名稱、服務(wù)編碼、發(fā)布時(shí)間、版本號(hào)、功能描述、服務(wù)地址、依賴的數(shù)據(jù)和依賴的服務(wù)；應(yīng)用軟件資源用以下信息描述：軟件名稱、軟件編碼、軟件類型、發(fā)布時(shí)間、版本號(hào)、功能描述、所占空間、執(zhí)行命令、依賴的數(shù)據(jù)和依賴的服務(wù)。

用戶在使用時(shí)可按照其權(quán)限檢索數(shù)據(jù)、服務(wù)和應(yīng)用軟件資源的信息，并下載使用。

3.1.4 授權(quán)管理服務(wù)

由于各部門之間的數(shù)據(jù)等資源有隔離使用的需求。因此，用戶的應(yīng)用資源權(quán)限首先由其隸屬的部門來(lái)確定。

授權(quán)管理服務(wù)便建立了與組織機(jī)構(gòu)對(duì)應(yīng)的角色，并根據(jù)該角色在組織機(jī)構(gòu)中的位置來(lái)建立角色授權(quán)模板。角色的授權(quán)模板包括允許該角色使用的數(shù)據(jù)、服務(wù)和應(yīng)用軟件3類資源的編碼及授權(quán)類型，授權(quán)類型包括：使用、可見(jiàn)和可維護(hù)。在給用戶授權(quán)時(shí)，只要選定其所屬的角色，便可將該角色所擁有的權(quán)限賦予該用戶。而用戶是可以有多個(gè)角色的[17]，其最終獲得的權(quán)限是所有角色權(quán)限的疊加。

除此之外，授權(quán)管理服務(wù)還提供了直接為用戶授權(quán)的功能，以便實(shí)現(xiàn)特殊用戶的使用要求。

3.2 資源授權(quán)

身份認(rèn)證、用戶信息管理、資源管理和授權(quán)管理這4個(gè)服務(wù)并不是相互孤立的，它們通過(guò)明確定義的接口(如由WSDL定義的接口)，來(lái)進(jìn)行信息傳遞，以驅(qū)動(dòng)整個(gè)訪問(wèn)控制過(guò)程的實(shí)現(xiàn)，如圖2所示。

圖2 應(yīng)用資源訪問(wèn)控制的各服務(wù)交互示意

用戶信息管理首先定義組織機(jī)構(gòu)各部門的編碼，并建立樹(shù)狀結(jié)構(gòu)的組織機(jī)構(gòu)。之后，在身份認(rèn)證服務(wù)端獲取所有用戶的唯一身份卡號(hào)，并在此基礎(chǔ)上補(bǔ)充姓名、在職狀態(tài)、性別、職務(wù)以及用戶所隸屬的組織機(jī)構(gòu)代碼等。此時(shí)，用戶信息管理服務(wù)便可對(duì)外提供組織機(jī)構(gòu)信息和組織內(nèi)各用戶的基本信息，而其主要的服務(wù)對(duì)象是授權(quán)管理服務(wù)和各個(gè)應(yīng)用軟件。

資源管理服務(wù)在資源庫(kù)中分別載入數(shù)據(jù)、服務(wù)和應(yīng)用軟件資源，并在資源描述信息中記錄其間的依賴關(guān)系。資源管理服務(wù)除對(duì)外提供各種資源外，還提供資源描述信息，以便資源使用者查閱。

授權(quán)管理服務(wù)在完成應(yīng)用資源訪問(wèn)授權(quán)時(shí)，需首先獲得用戶信息管理服務(wù)提供的組織機(jī)構(gòu)，據(jù)此建立角色；然后，授權(quán)管理服務(wù)從資源管理服務(wù)獲取的各類資源描述信息，為角色建立授權(quán)模板。授權(quán)管理服務(wù)依據(jù)用戶在組織機(jī)構(gòu)中所屬的部門，賦予該用戶所屬部門對(duì)應(yīng)的角色，由此用戶便獲得了資源的使用權(quán)。若此時(shí)用戶需增加資源使用權(quán)限，則只能通過(guò)修改用戶的角色或角色的授權(quán)模板來(lái)實(shí)現(xiàn)。

由此可見(jiàn)，身份認(rèn)證、用戶信息管理、資源管理和授權(quán)管理這4個(gè)服務(wù)避免了服務(wù)請(qǐng)求者對(duì)于服務(wù)提供者狀態(tài)的依賴，服務(wù)的功能實(shí)體是完全獨(dú)立自主的，實(shí)現(xiàn)了自我管理和控制。

3.3 動(dòng)態(tài)調(diào)整

通過(guò)上述過(guò)程就完成了用戶的應(yīng)用資源訪問(wèn)授權(quán)，但這一過(guò)程并非一成不變，而是隨著用戶、組織結(jié)構(gòu)和資源的變化而及時(shí)動(dòng)態(tài)調(diào)整，授權(quán)管理服務(wù)需定時(shí)同步用戶信息管理和資源管理服務(wù)所提供的信息，并隨之動(dòng)態(tài)調(diào)整已授權(quán)限。

3.3.1 組織機(jī)構(gòu)調(diào)整

首先用戶的隸屬關(guān)系將隨組織機(jī)構(gòu)的變化而改變；授權(quán)管理服務(wù)則修改對(duì)應(yīng)的角色，并根據(jù)變更后的角色重新建立授權(quán)模板，而用戶對(duì)應(yīng)用資源的訪問(wèn)權(quán)限也根據(jù)角色授權(quán)模板的改變而發(fā)生了變化。

3.3.2 應(yīng)用資源變更

由于數(shù)據(jù)、服務(wù)和應(yīng)用軟件資源之間存在依賴關(guān)系，因此在資源變化時(shí)應(yīng)根據(jù)依賴約束進(jìn)行變更，特別是在刪除資源時(shí)應(yīng)維護(hù)其有依賴關(guān)系的資源描述信息，具體方式如下：

① 當(dāng)數(shù)據(jù)資源刪除時(shí)應(yīng)首先檢查使用該數(shù)據(jù)資源的服務(wù)資源、應(yīng)用軟件資源是否能繼續(xù)使用；若不能使用，則需同時(shí)刪除與之相關(guān)的服務(wù)資源、應(yīng)用軟件資源；若能夠使用則需首先去除其間的依賴關(guān)系，然后再刪除該數(shù)據(jù)資源；

② 當(dāng)服務(wù)資源刪除時(shí)應(yīng)首先檢查使用該服務(wù)資源的應(yīng)用軟件資源和其他服務(wù)資源是否能繼續(xù)使用；若不能使用，則需同時(shí)刪除與之相關(guān)的服務(wù)資源、應(yīng)用軟件資源；若能夠使用則需首先去除其間的依賴關(guān)系，然后再刪除該服務(wù)資源。

當(dāng)應(yīng)用資源變化時(shí)，授權(quán)管理服務(wù)也應(yīng)根據(jù)資源的變化對(duì)角色模板進(jìn)行調(diào)整，使得用戶應(yīng)用資源的訪問(wèn)權(quán)限也將隨之動(dòng)態(tài)調(diào)整。

3.3.3 特殊權(quán)限控制

為了適應(yīng)跨部門調(diào)用數(shù)據(jù)等多樣化使用要求，授權(quán)管理服務(wù)還提供了與組織機(jī)構(gòu)無(wú)關(guān)的角色，且定義其狀態(tài)為“專用”，以區(qū)別于其他角色。此外，授權(quán)管理服務(wù)還可為每個(gè)用戶提供不基于角色的應(yīng)用資源授權(quán)，以提高使用的靈活性。

4 應(yīng)用實(shí)例及效果分析

為驗(yàn)證上述應(yīng)用資源的訪問(wèn)控制架構(gòu)的有效性，在私有云環(huán)境下，實(shí)際構(gòu)建了身份認(rèn)證、用戶信息管理、資源管理和授權(quán)管理服務(wù)，并通過(guò)真實(shí)使用環(huán)境進(jìn)行了驗(yàn)證。

4.1 應(yīng)用環(huán)境

實(shí)際應(yīng)用中，為提高云環(huán)境的性能，這里使用了高性能服務(wù)器和磁盤陣列，如圖3所示。虛擬化服務(wù)器集群通過(guò)雙存儲(chǔ)區(qū)域網(wǎng)絡(luò)(Storage Area Network，SAN)交換機(jī)連接后端的磁盤陣列，實(shí)現(xiàn)了應(yīng)用系統(tǒng)的虛擬化服務(wù)；而虛擬化服務(wù)器集群與各應(yīng)用服務(wù)器一起通過(guò)機(jī)房的萬(wàn)兆交換機(jī)對(duì)外部的云客戶端提供訪問(wèn)服務(wù)。

圖3 云應(yīng)用硬件環(huán)境示意

其中虛擬化服務(wù)器集群采用華為機(jī)架服務(wù)器RH2288V2，其主要指標(biāo)為：處理器型號(hào)：Intel Xeon E5-2640，主頻2.0 GHz，6核；處理器數(shù)量：2個(gè)；內(nèi)存：DDR3 128 GB，最大支持768 GB；板載網(wǎng)絡(luò)：4個(gè)千兆網(wǎng)口；硬盤：2個(gè)15 000轉(zhuǎn)300 GB SAS；RAID支持：支持RAID0、1、5、6。

華為機(jī)架服務(wù)器RH2485V2則用于高數(shù)據(jù)吞吐量或高性能的應(yīng)用服務(wù)，如授權(quán)管理服務(wù)等。其主要指標(biāo)為：處理器型號(hào)：Intel Xeon E5-4610，主頻2.3 GHz 8核；處理器數(shù)量：4個(gè)；內(nèi)存：DDR3 256 GB，最大支持1.5 TB；板載網(wǎng)絡(luò)：4個(gè)千兆網(wǎng)口；硬盤：8個(gè)2.5英寸7 200轉(zhuǎn)1 TB SATA；RAID支持：支持RAID0、1、5、6。

桌面虛擬化平臺(tái)為華為FusionAccess，用以完成數(shù)據(jù)中心、資源池和虛擬機(jī)的管理及維護(hù)。

4.2 系統(tǒng)工作過(guò)程

應(yīng)用資源訪問(wèn)控制的工作過(guò)程分為3個(gè)階段：安裝部署階段、上線運(yùn)行階段和授權(quán)調(diào)整階段。

安裝部署階段首先要在上述環(huán)境下建立各服務(wù)，之后通過(guò)用戶信息管理服務(wù)錄入用戶信息并建立與身份認(rèn)證的對(duì)應(yīng)關(guān)系；通過(guò)資源管理服務(wù)登記各類數(shù)據(jù)、服務(wù)、應(yīng)用軟件資源；最后應(yīng)用授權(quán)管理服務(wù)按照組織架構(gòu)關(guān)系完成不同層級(jí)用戶的使用資源授權(quán)。

系統(tǒng)部署完成上線運(yùn)行后，用戶便可根據(jù)設(shè)置好的資源使用權(quán)限使用資源管理服務(wù)中的數(shù)據(jù)、服務(wù)和應(yīng)用軟件資源，其使用資源的流程如圖4所示。

圖4 用戶使用授權(quán)資源的流程

用戶的資源權(quán)限在使用過(guò)程中不僅可以適應(yīng)3.3節(jié)所述的各種變化，還可在用戶在職狀態(tài)和資源使用類型的變更而調(diào)整授權(quán)。

① 用戶的在職狀態(tài)發(fā)生變化：當(dāng)在職狀態(tài)為“在編”時(shí)，可正常對(duì)其所需使用的資源進(jìn)行授權(quán)并可以使用已授權(quán)的資源；在職狀態(tài)為“離職”時(shí)，則不能進(jìn)行授權(quán)也不能使用任何資源；在職狀態(tài)為“借調(diào)”時(shí)，可對(duì)其所需使用的資源進(jìn)行授權(quán)并可以使用已授權(quán)的資源，在職狀態(tài)為“休假”時(shí)，則撤銷該人員的所有資源使用權(quán)限。

② 用戶對(duì)資源使用類型發(fā)生了變化：數(shù)據(jù)資源信息中使用類型為“共享”時(shí)，則對(duì)其他使用者給予該數(shù)據(jù)資源的“使用”權(quán)限，否則僅將“使用”、“可維護(hù)”權(quán)限授予其隸屬部門所對(duì)應(yīng)的角色。對(duì)服務(wù)、軟件資源授予使用、可見(jiàn)和可維護(hù)權(quán)限時(shí)，應(yīng)對(duì)其依賴的數(shù)據(jù)、其他服務(wù)和軟件資源賦予使用權(quán)限。

4.3 應(yīng)用效果

該應(yīng)用資源訪問(wèn)控制架構(gòu)，分別建立了身份認(rèn)證服務(wù)、用戶信息管理服務(wù)、資源管理服務(wù)和授權(quán)管理4個(gè)專業(yè)服務(wù)，基于組織結(jié)構(gòu)實(shí)現(xiàn)了對(duì)不同層級(jí)用戶使用資源的自動(dòng)定制。根據(jù)實(shí)際運(yùn)行結(jié)果，并與之前的系統(tǒng)對(duì)比發(fā)現(xiàn)，其具體效果如下：

① 避免了授權(quán)管理中用戶、角色、資源和授權(quán)之間緊耦合的問(wèn)題，使得用戶主體與資源主體分離，身份認(rèn)證過(guò)程與授權(quán)過(guò)程相互獨(dú)立，提高了用戶使用的靈活性；

② 通過(guò)建立數(shù)據(jù)、服務(wù)和軟件這種層次化的資源管理機(jī)制，不僅將數(shù)據(jù)也作為授權(quán)資源的一種，而且還建立了資源之間的依賴關(guān)系，從而使得包括數(shù)據(jù)在內(nèi)的使用資源得以有效控制。

③ 將整個(gè)授權(quán)及其使用過(guò)程劃分成認(rèn)證、授權(quán)、使用和維護(hù)等獨(dú)立部分，簡(jiǎn)化了授權(quán)過(guò)程，降低了使用門檻。

5 結(jié)束語(yǔ)

隨著云計(jì)算的蓬勃發(fā)展，如何在復(fù)雜用戶關(guān)系下對(duì)資源安全、合理、有效地使用始終是云計(jì)算發(fā)展的重要方向。為了建立具有松耦合、擴(kuò)展性強(qiáng)、易于使用的訪問(wèn)控制架構(gòu)，這里以組織機(jī)構(gòu)為基本框架，運(yùn)用面向服務(wù)的思想建立了職責(zé)分明的專業(yè)化服務(wù)，從數(shù)據(jù)、服務(wù)和應(yīng)用軟件等層面，為不同層級(jí)的用戶提供了使用資源的自動(dòng)定制，解決了系統(tǒng)在權(quán)限控制方面緊耦合的難題，屏蔽了用戶、角色和資源在授權(quán)過(guò)程中的相互影響。此外，資源層次化管理機(jī)制有效的解決了資源間的依賴，簡(jiǎn)化了授權(quán)過(guò)程，不僅易于維護(hù)、擴(kuò)展性強(qiáng)，還明顯提高了使用效率。綜上所述，該應(yīng)用資源訪問(wèn)控制架構(gòu)對(duì)云環(huán)境下資源的使用控制提供了參考模式，對(duì)提升類似系統(tǒng)能力具有借鑒價(jià)值。

[1] 陳 全,鄧倩妮.云計(jì)算及其關(guān)鍵技術(shù)[J].計(jì)算機(jī)應(yīng)用,2009,29(9):2 562-2 567.

[2] 林 闖,蘇文博,孟 坤,等.云計(jì)算安全：架構(gòu)、機(jī)制與模型評(píng)價(jià)[J].計(jì)算機(jī)學(xué)報(bào),2013,36(9):1 765-1 784.

[3] TAKABI H,JOSHI J B D,AHN G J.Security and Privacy Challenges in Cloud Computing Environments[J].IEEE Computer and Reliability Societies,2010,8(6):24-25.

[4] 馮登國(guó),張 敏,張 妍,等.云計(jì)算安全研究[J].軟件學(xué)報(bào),2011,22(1):71-83.

[5] 房 晶,吳 昊,白松林.云計(jì)算安全研究綜述[J].電信科學(xué),2011(4) :37-42．

[6] 韓燕波,王 磊,王桂玲,等.云計(jì)算導(dǎo)論—從應(yīng)用視角開(kāi)啟云計(jì)算之門[M].北京:電子工業(yè)出版社,2015:213-214.

[7] 楊文志.云計(jì)算技術(shù)指南:應(yīng)用、平臺(tái)與架構(gòu)[M].北京:化學(xué)工業(yè)出版社,2010:13-14.

[8] 吳文康.云計(jì)算服務(wù)中基于角色的訪問(wèn)控制授權(quán)安全性要求[D].長(zhǎng)沙:湖南大學(xué),2014(7):9-11.

[9] 李 喬,鄭 嘯.云計(jì)算研究現(xiàn)狀綜述[J].計(jì)算機(jī)科學(xué),2011,38(4):32-37.

[10] 伍宗文,王欲曉,陳雪軍.網(wǎng)絡(luò)信息安全體系結(jié)構(gòu)研究[J].無(wú)線電工程,2008,38(10):10-13.

[11] 郭亞軍,宋建華,李 莉,等.信息安全原理與技術(shù)[M].北京:清華大學(xué)出版社,2013:149-152.

[12] 林果園,賀 珊,黃 皓,等.基于行為的云計(jì)算訪問(wèn)控制安全模型[J].通信學(xué)報(bào),2012,33(3):59-66.

[13] DAVID S.Service-oriented Architectures[J].Scientific Computing and Instrumentation,2004,21(6):26-28.

[14] 李千日,許滿武,張 宏,等.軟件體系結(jié)構(gòu)設(shè)計(jì)[M].北京:清華大學(xué)出版社,2008:136-142.

[15] 王曉明,牛立棟.基于SOA 的企業(yè)應(yīng)用集成技術(shù)分析[J].無(wú)線電工程,2012,42(1):54-57.

[16] 徐 震,馮登國(guó).一種使用組織結(jié)構(gòu)的訪問(wèn)控制方法[J].計(jì)算機(jī)工程,2006,32(13):20-22.

[17] 張文棟.嵌入式實(shí)時(shí)數(shù)據(jù)庫(kù)系統(tǒng)基于任務(wù)—角色訪問(wèn)控制[D].武漢:華中科技大學(xué),2010(5):12-24.

許 靜 女，(1972—)，高級(jí)工程師。主要研究方向：信息系統(tǒng)、信息處理。

苗 炬 男，(1968—)，高級(jí)工程師。主要研究方向：信息系統(tǒng)、信息處理。

Research on the Access Control Architecture of Application Resources in Cloud Computing Environment

XU Jing1,MIAO Ju1,XU Zheng2

(1.The54thResearchInstituteofCETC,ShijiazhuangHebei050081,China； 2.ChinaMobileGroupHebeiCo.,Ltd.,ShijiazhuangHebei050035,China)

The paper,in terms of access control of application resources in the private cloud environment,makes an insightful analysis of such key technologies as customized user authority,effective resource management and dynamic authorization adjustment and proposes the professional service-centered access control architecture.This architecture places a rigid division of the responsibilities of identity authentication,user information,application resource and authorization；constructs,with the service-oriented design idea,professional services；unifies the organization-based user management and authentication mechanisms；tightens the control of data,service and software with the mode of fine-grained resource control.As a result,it realizes the separation between the user subject and resource subject,avoids the tight coupling of authorization management control,and improves the dynamics and flexibility of the system,which is of reference value to the similar researches in the cloud environment.

access control；cloud computing；authorization management；resource management

10.3969/j.issn.1003-3106.2017.04.02

許 靜，苗 炬，許 崢.云計(jì)算環(huán)境下應(yīng)用資源訪問(wèn)控制架構(gòu)研究[J].無(wú)線電工程,2017,47(4):7-11，34.

2017-01-08

海洋公益性科研專項(xiàng)基金資助項(xiàng)目(201505002)。

TP311.5

A

1003-3106(2017)04-0007-05