云計算環(huán)境下虛擬實驗室云端訪問的權(quán)限控制方法

文/曾志區(qū)

本文基于OpenStack（開源的云計算管理平臺），采用CP-ABE（基于屬性的加密）方案，構(gòu)建虛擬實驗室，使用戶能夠在云計算管理平臺創(chuàng)建、管理計算實例，并提出云計算環(huán)境下虛擬實驗室云端訪問權(quán)限控制方法的實現(xiàn)路徑，旨在幫助服務(wù)方通過簡化工作流程，省略用戶權(quán)限數(shù)據(jù)的維護環(huán)節(jié)，提升服務(wù)能力。

相關(guān)調(diào)查結(jié)果顯示，在高速發(fā)展的同時，云計算應(yīng)用也存在較多問題，且隨著人們個性化需求的不斷提升，訪問權(quán)限的管理成為云計算應(yīng)用中的突出問題。雖然上傳服務(wù)的方式有利于數(shù)據(jù)的傳輸與共享，但其也會降低數(shù)據(jù)的私密性。因此，傳統(tǒng)訪問控制方法已逐漸不能滿足現(xiàn)階段的發(fā)展需求?；诖耍P者提出以屬性為依托的非對稱加密方法，并將其作為云計算中控制訪問權(quán)限的基礎(chǔ)，以供借鑒。

一、構(gòu)建虛擬實驗室

IaaS 又稱基礎(chǔ)設(shè)施即服務(wù)，是云計算的三種服務(wù)模式之一，其作用是向用戶提供計算資源。與PaaS（平臺即服務(wù)）、SaaS（軟件即服務(wù)）相比，IaaS 便利度有待提升，但用戶的自主性更強。而OpenStack 作為應(yīng)用較為廣泛的云計算管理平臺，可為IaaS 層服務(wù)。OpenStack 平臺具有開放的源代碼，能夠提高用戶操作的自主性?；诖?，筆者在OpenStack 平臺的基礎(chǔ)上，構(gòu)建了虛擬實驗室，并研究了云端訪問權(quán)限控制方法。

（一）方案選擇

在虛擬實驗室搭建環(huán)節(jié)，筆者將CP-ABE 算法庫融合在服務(wù)器與客戶端，以簡單、高效為設(shè)計目標，有效把控密文、密鑰長度，合理調(diào)節(jié)系統(tǒng)運行時的網(wǎng)絡(luò)流量。

（二）虛擬實例訪問

虛擬實驗室本身屬于B/S（服務(wù)器模式）架構(gòu)的服務(wù)，用戶與服務(wù)端可通過瀏覽器進行交互，且用戶可以在Web（全球廣域網(wǎng)）頁面查看計算實例，借助VNS 協(xié)議，訪問虛擬機交互界面。同時，在大型IaaS 服務(wù)中，許多廠商通常會設(shè)置公共IP 地址，以此為訪問互聯(lián)網(wǎng)的用戶提供計算實例。但由于在設(shè)計環(huán)節(jié)，設(shè)計人員要避免IPv4 地址資源不夠充足的問題，一個服務(wù)端無法為實例分配多個公共IP 地址。基于此，筆者提出應(yīng)當為計算實例提供端口轉(zhuǎn)發(fā)服務(wù)。這樣的話，用戶便可在虛擬實驗室界面添加相應(yīng)規(guī)則，進一步指定本地端口，系統(tǒng)便可在無人員干預(yù)的情況下自行選擇外部端口。

二、云計算環(huán)境下虛擬實驗室云端訪問權(quán)限控制的實現(xiàn)路徑

在完成云計算環(huán)境下虛擬實驗室的構(gòu)建后，筆者認為可利用基于屬性的加密方式，實現(xiàn)云端訪問的權(quán)限控制。具體實現(xiàn)路徑如下。

（一）角色劃分

在云計算環(huán)境中，用戶可結(jié)合個性化需要，進行多種角色的扮演，但不同角色擁有的權(quán)限應(yīng)存在一定的差異性（見表1）。

表1 角色權(quán)限示例

在通常情況下，云計算環(huán)境更像是較為開放的平臺，與傳統(tǒng)計算模式相比，其局限性在于難以將資源布置在完全受控的環(huán)境下。也就是說，任何用戶都可憑借客戶端訪問云計算服務(wù)。因此，在實際操作時，系統(tǒng)開發(fā)人員需要根據(jù)角色間的差異性來進行訪問權(quán)限的控制。

（二）OpenStack 權(quán)限控制

訪問控制矩陣是指用矩陣的形式描述系統(tǒng)的訪問控制模型，其最初是由學(xué)者Lampson提出的。而訪問控制列表也正是以此為依托設(shè)計的，相關(guān)示例如表2 所示。

表2 訪問控制示例

由表2 可知，訪問控制矩陣是一種相對抽象的模型。現(xiàn)階段，我國大部分云計算平臺將訪問控制矩陣作為應(yīng)用基準，借助OpenStack 組件的權(quán)限功能，保證訪問控制矩陣可存儲于服務(wù)器數(shù)據(jù)庫中。但需要注意的是，隨著用戶規(guī)模的持續(xù)擴大，訪問控制矩陣存儲難度也會隨之提升；資源規(guī)模的逐漸攀升也會影響系統(tǒng)維護效率，最終影響云計算平臺的整體性能。同時，OpenStack 組件無法對用戶進行細粒度劃分，其主要功能停留在：憑借用戶所在項目組開展特定的權(quán)限管理。為解決此類問題，開發(fā)人員需要以CP-ABE 為核心實現(xiàn)權(quán)限控制。

（三）以CP-ABE 為核心的權(quán)限控制

根據(jù)上文研究可知，用戶身份角色可采用屬性來完成標識操作。以某學(xué)院教師為例，開發(fā)人員可直接將其屬性串設(shè)置為SIST teacher。這樣的話，屬性串的釋義便可直接從字面解讀出來，但屬性值卻無特殊含義，只是任務(wù)字符串。因此，開發(fā)人員可以采用屬性串標識用戶，并進行加密操作，實現(xiàn)權(quán)限控制。關(guān)于CPABE 算法，由于結(jié)構(gòu)樹本身與密文之間的關(guān)聯(lián)性較高，因此開發(fā)人員可將用戶屬性上傳到私鑰中。由此可見，在開展加密算法的過程中，開發(fā)人員可忽略用戶的實際身份。此外，云計算的本質(zhì)表現(xiàn)為分布式環(huán)境，所有參與者集合始終處于動態(tài)變化狀態(tài)，而CPABE 極為適合此類環(huán)境。因此，開發(fā)人員可以將CP-ABE 作為訪問權(quán)限控制的核心架構(gòu)。[1]

通常來說，虛擬實驗室用戶會基于CP-ABE 私鑰進行個人標識，而私鑰內(nèi)的屬性集合則主要用于反映用戶屬性，與之相對應(yīng)的資源在構(gòu)建環(huán)節(jié)可直接用于訪問結(jié)構(gòu)樹。此時，管理員具備修改權(quán)限，能夠為用戶訪問結(jié)構(gòu)樹可以提供必要條件。在用戶完成密鑰選取后，瀏覽器會自動進行密鑰解析，并呈現(xiàn)密鑰屬性集。這時候，用戶可以同時擁有多個屬性。虛擬實驗室服務(wù)器集群涵蓋認證、資源服務(wù)器，其系統(tǒng)公鑰保持公開狀態(tài)，而用戶持有的私鑰則是保密的。用戶若想要得到指定資源，則應(yīng)先發(fā)出請求，使服務(wù)器形成一個秘密。服務(wù)器在獲取訪問結(jié)構(gòu)樹的權(quán)限后，便可在無人員干預(yù)的情況下自動運行Encrypt 軟件以獲取秘密，然后將相關(guān)數(shù)據(jù)反饋給用戶。用戶在擁有私鑰后，主動啟動運行Decrypt 軟件，便可解密秘密。直至私鑰屬性滿足訪問結(jié)構(gòu)樹的條件，Decrypt 軟件便可進行明文秘密的輸出，再將秘密發(fā)送至資源地址。對秘密進行查詢且評估了秘密的合法性后，資源服務(wù)器便會研判是否提供服務(wù)。需要注意的是，虛擬實驗室的認證是指服務(wù)器不定向形成的秘密，當完成加密處理后，服務(wù)器會將秘密發(fā)送給指定用戶。當用戶解密出明文后，相關(guān)數(shù)據(jù)參數(shù)才會反饋給服務(wù)器。另外，在模型中，用戶若想解密，需要滿足結(jié)構(gòu)樹要求，取得相應(yīng)授權(quán)。[2]

相較于傳統(tǒng)的認證機制來說，上述權(quán)限控制方法的優(yōu)勢在于：云服務(wù)提供商無須維護用戶權(quán)限信息，只需充分擴展系統(tǒng)，并根據(jù)用戶特點，做出細粒度的權(quán)限管理劃分。

（四）屬性撤銷

在OpenStack 平臺中，用戶屬性集可實現(xiàn)自動改變，授權(quán)機構(gòu)也能通過撤銷用戶屬性的形式，使用戶失去相應(yīng)權(quán)限。屬性撤銷可以通過為屬性添加失效日期來實現(xiàn)，比如當屬性名為teacher時，授權(quán)機構(gòu)可通過將屬性編成“teacher2023-09-20”，使屬性在2023 年9 月20 日之前有效。授權(quán)機構(gòu)通常會進行周期性的密鑰更新，但這種方式也存在一定問題：每個周期的密鑰存在一定差異性；用戶可能要進行多個周期密鑰的儲存，并結(jié)合實際情況開展針對性使用；此類操作相對煩瑣。在虛擬實驗室中，用戶可直接持有最新密鑰，這主要是因為：在虛擬實驗室認證系統(tǒng)中，若用戶請求資源，系統(tǒng)就會自動實現(xiàn)密文解密，而服務(wù)端則可通過最新屬性集開展加密，用戶并非作為解密歷史文件需求的生產(chǎn)者。因此，開發(fā)人員可對CP-ABE 方案稍做修改，使之滿足虛擬實驗室的需求。

上述通過更新版本號實現(xiàn)屬性撤銷的方式，無法做到及時撤銷。對此，開發(fā)人員需要采用一些技巧以達到即時撤銷的目標。簡單來說，開發(fā)人員需要保持虛擬實驗室服務(wù)器的屬性集與授權(quán)機構(gòu)的更新頻率一致，這樣，任何屬性撤銷都會第一時間反映在密文內(nèi)。[3]

三、結(jié)語

綜上所述，本文基于Open Stack 平臺，采用CP-ABE 方案，構(gòu)建云計算環(huán)境下的虛擬實驗室，并提出云計算環(huán)境下虛擬實驗室云端訪問權(quán)限控制方法。通過本文研究，筆者希望服務(wù)方能夠舍棄原始的認證機制，實現(xiàn)對單個用戶細粒度的權(quán)限劃分，提高管理的質(zhì)量與效率。