一種云計(jì)算環(huán)境下云應(yīng)用訪問控制的系統(tǒng)及方法
【專利摘要】本發(fā)明提供一種云計(jì)算環(huán)境下云應(yīng)用訪問控制的系統(tǒng)及方法，網(wǎng)關(guān)代理與客戶端交互，接收用戶對云應(yīng)用的鏈接請求或向用戶反饋授權(quán)的云應(yīng)用；通過與網(wǎng)關(guān)代理交互的用戶應(yīng)用權(quán)限服務(wù)模塊，對用戶權(quán)限的有效性進(jìn)行驗(yàn)證；通過與網(wǎng)關(guān)代理交互的應(yīng)用路由服務(wù)模塊在路由表中尋找有效的應(yīng)用路由地址；通過與網(wǎng)關(guān)代理交互的云應(yīng)用服務(wù)模塊，提供與權(quán)限信息相匹配的云應(yīng)用的運(yùn)行環(huán)境。本發(fā)明通過網(wǎng)關(guān)代理將路由及認(rèn)證在內(nèi)部服務(wù)間完成，實(shí)現(xiàn)對應(yīng)用權(quán)限統(tǒng)一管理，靈活控制，屏蔽了信息泄露的可能。
【專利說明】一種云計(jì)算環(huán)境下云應(yīng)用訪問控制的系統(tǒng)及方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明屬于云計(jì)算領(lǐng)域，具體涉及云應(yīng)用的使用和訪問授權(quán)控制技術(shù)。
【背景技術(shù)】
[0002]云計(jì)算是一種動態(tài)的、易擴(kuò)展的、基于虛擬化的資源計(jì)算方式，通常是通過互聯(lián)網(wǎng)提供，用戶不需要了解云內(nèi)部的細(xì)節(jié)。云計(jì)算服務(wù)包括3層，即基礎(chǔ)設(shè)施即服務(wù)(IaaS)、基礎(chǔ)平臺即服務(wù)(PaaS)和軟件即服務(wù)(SaaS)。基礎(chǔ)設(shè)施即服務(wù)是針對網(wǎng)絡(luò)、主機(jī)、存儲等基礎(chǔ)資源進(jìn)行管理，是云計(jì)算體系的基石，是實(shí)現(xiàn)云計(jì)算的第一步；基礎(chǔ)平臺即服務(wù)是針對中間件、數(shù)據(jù)庫等進(jìn)行管理；軟件即服務(wù)針對用戶應(yīng)用進(jìn)行管理。
[0003]云應(yīng)用在云計(jì)算環(huán)境下主要有兩種實(shí)現(xiàn)形式:一、應(yīng)用服務(wù)托管的方式，應(yīng)用在客戶端有本地的運(yùn)行界面，但是應(yīng)用內(nèi)部所涉及到的數(shù)據(jù)和計(jì)算部分都在后臺云數(shù)據(jù)中心匯總。二、遠(yuǎn)程應(yīng)用的方式，使您可以通過遠(yuǎn)程桌面服務(wù)遠(yuǎn)程訪問程序，就好像它們在最終用戶的本地計(jì)算機(jī)上運(yùn)行一樣。這些程序稱為云應(yīng)用程序，一般情況時在同一應(yīng)用服務(wù)器之上會運(yùn)行多個應(yīng)用實(shí)例。然而，對于第二種方式，由于應(yīng)用是實(shí)際運(yùn)行在遠(yuǎn)端計(jì)算機(jī)中，所以當(dāng)多個應(yīng)用被多個用戶使用時，不同應(yīng)用或者不同用戶同種應(yīng)用之間存在相互之間信息泄露的風(fēng)險。
[0004]信息泄露風(fēng)險主要體現(xiàn)在，1.應(yīng)用訪問記錄的殘留，暴露訪問足跡；2.存儲緩存容易被后續(xù)登錄者獲??；3.應(yīng)用運(yùn)行中可以對本級其他進(jìn)程進(jìn)行監(jiān)控；4.無法做到有效的隔離。

【發(fā)明內(nèi)容】

[0005]本發(fā)明提供一種云計(jì)算環(huán)境下云應(yīng)用訪問控制的系統(tǒng)及方法，對云應(yīng)用權(quán)限進(jìn)行控制，支持靈活方便的應(yīng)用隔離，對于高安全級別應(yīng)用作物理隔離，以解決信息泄露的問題。
[0006]為了達(dá)到上述目的，本發(fā)明的一個技術(shù)方案是提供一種云計(jì)算環(huán)境下云應(yīng)用訪問控制的系統(tǒng)，其包含:
網(wǎng)關(guān)代理，作為與客戶端的接口，接收用戶對云應(yīng)用的鏈接請求，或向用戶發(fā)送授權(quán)的云應(yīng)用或拒絕鏈接請求的信息；
用戶應(yīng)用權(quán)限服務(wù)模塊，對用戶權(quán)限信息進(jìn)行管理維護(hù)，還根據(jù)與網(wǎng)關(guān)代理的交互接收用戶認(rèn)證信息，并對用戶權(quán)限的有效性進(jìn)行驗(yàn)證后反饋授權(quán)認(rèn)證結(jié)果至網(wǎng)關(guān)代理；
應(yīng)用路由服務(wù)模塊，對于記錄有云應(yīng)用服務(wù)分配信息的路由表進(jìn)行維護(hù)及更新，還根據(jù)與網(wǎng)關(guān)代理的交互而在路由表中尋找有效的應(yīng)用路由地址并反饋至網(wǎng)關(guān)代理；
云應(yīng)用服務(wù)模塊，通過與網(wǎng)關(guān)代理交互，提供與權(quán)限信息相匹配的云應(yīng)用的運(yùn)行環(huán)境。
[0007]可選地，所述應(yīng)用路由服務(wù)模塊進(jìn)一步包含:
狀態(tài)更新模塊，在路由表中更新應(yīng)用服務(wù)器的信息、應(yīng)用的使用情況；
檢查校驗(yàn)?zāi)K，對于路由表中是否有與鏈接請求相匹配的應(yīng)用路由地址可供選擇進(jìn)行檢查。
[0008]本發(fā)明的另一個技術(shù)方案是提供一種云計(jì)算環(huán)境下云應(yīng)用訪問控制的方法，其包含以下步驟:
A.用戶通過客戶端發(fā)起對于云應(yīng)用的鏈接請求，將該鏈接請求與用戶認(rèn)證信息一起發(fā)送至網(wǎng)關(guān)代理；
B.網(wǎng)關(guān)代理解析相關(guān)信息，并通過用戶應(yīng)用權(quán)限服務(wù)模塊來驗(yàn)證用戶權(quán)限；
C.當(dāng)收到用戶權(quán)限驗(yàn)證為有效的信息后，網(wǎng)關(guān)代理通過應(yīng)用路由服務(wù)模塊在路由表中搜尋符合條件的應(yīng)用路由地址；
D.依照搜尋到的應(yīng)用路由地址，網(wǎng)關(guān)代理通過云應(yīng)用服務(wù)模塊向匹配該應(yīng)用路由地址的云應(yīng)用服務(wù)器進(jìn)行鏈接；
由云應(yīng)用服務(wù)模塊提供與用戶權(quán)限相匹配的云應(yīng)用的運(yùn)行環(huán)境，由網(wǎng)關(guān)代理反饋至用戶的客戶端。
[0009]可選地，步驟A之前，還通過應(yīng)用路由服務(wù)模塊對路由表進(jìn)行初始化，來更新所有應(yīng)用服務(wù)器的信息、所有應(yīng)用的使用情況。
[0010]可選地，步驟D中，應(yīng)用路由服務(wù)模塊還將根據(jù)本次鏈接請求而分配的應(yīng)用服務(wù)器的信息在路由表中進(jìn)行更新。
[0011]可選地，步驟D之后，還包含在云應(yīng)用使用退出后或者鏈接無效時，通過應(yīng)用路由服務(wù)模塊更新路由表狀態(tài)，讓下一次應(yīng)用鏈接可用。
[0012]可選地，步驟C中在搜尋應(yīng)用路由地址時，根據(jù)用戶權(quán)限之間是否互斥來確定可供部署的應(yīng)用服務(wù)器。
[0013]可選地，步驟D中，網(wǎng)關(guān)代理通過云應(yīng)用服務(wù)模塊向云應(yīng)用服務(wù)器進(jìn)行鏈接時，還同時發(fā)送與用戶權(quán)限相匹配的應(yīng)用的使用控制信息。
[0014]與現(xiàn)有技術(shù)相比，本發(fā)明提供的云計(jì)算環(huán)境下云應(yīng)用訪問控制的系統(tǒng)及方法，其優(yōu)點(diǎn)在于:通過網(wǎng)關(guān)代理的方式將路由及認(rèn)證在內(nèi)部服務(wù)間完成:維護(hù)及更新路由表供云應(yīng)用選擇查詢，由應(yīng)用權(quán)限服務(wù)模塊和路由服務(wù)模塊共同來確定提供服務(wù)的云應(yīng)用地址，以便提供與權(quán)限相匹配的云應(yīng)用，從而完成應(yīng)用的訪問控制。
[0015]本發(fā)明支持遠(yuǎn)程應(yīng)用的云應(yīng)用方式，同時也適用于本地客戶端方式創(chuàng)建的云應(yīng)用。本發(fā)明可以根據(jù)路由策略，將不同的應(yīng)用運(yùn)行在同一機(jī)器上，或運(yùn)行在同一個會話中，或運(yùn)行在不同主機(jī)中，或運(yùn)行在不同子網(wǎng)中，等等。本發(fā)明對應(yīng)用權(quán)限統(tǒng)一管理，靈活控制，屏蔽了信息泄露的可能。
【專利附圖】

【附圖說明】
[0016]圖1是本發(fā)明中路由表生成的示意圖。
[0017]圖2是本發(fā)明云應(yīng)用訪問控制系統(tǒng)的示意圖。
[0018]圖3是本發(fā)明客戶使用云應(yīng)用過程的示意圖。
[0019]圖4是本發(fā)明云應(yīng)用鏈接訪問控制的時序圖。
【具體實(shí)施方式】
[0020]本發(fā)明的應(yīng)用場景包含用戶和云應(yīng)用提供商。用戶主要是應(yīng)用鏈接的發(fā)起者，在客戶端可能還有第三方的桌面程序輔助，用于獲取用戶的基本登陸信息，這些信息也是創(chuàng)建云應(yīng)用鏈接的必要參數(shù)。云應(yīng)用提供商，會提供用戶權(quán)限信息的管理和維護(hù)功能，這些用戶權(quán)限信息被保存在用戶應(yīng)用權(quán)限服務(wù)模塊中。云應(yīng)用會運(yùn)行在云應(yīng)用服務(wù)器中，在實(shí)際部署中云應(yīng)用服務(wù)器一般是具有多會話(session)登陸功能的服務(wù)器，可以是虛擬機(jī)也可以是物理機(jī)。
[0021]云應(yīng)用提供商基于本發(fā)明在圖2中所示的以下服務(wù)角色來實(shí)現(xiàn)對云應(yīng)用的訪問控制，包括:網(wǎng)關(guān)代理，路由服務(wù)模塊，用戶應(yīng)用權(quán)限服務(wù)模塊，云應(yīng)用服務(wù)模塊。
[0022]網(wǎng)關(guān)代理:作為與用戶的接口，接收用戶的鏈接請求或向用戶發(fā)送授權(quán)的云應(yīng)用或拒絕請求的信息；并且，該網(wǎng)關(guān)代理在不同服務(wù)階段中通過與其他各服務(wù)模塊交互來獲取有關(guān)的信息:例如，對用戶權(quán)限的授權(quán)認(rèn)證信息、有效的路由地址、授權(quán)的云應(yīng)用或拒絕請求的信息，等等。
[0023]用戶應(yīng)用權(quán)限服務(wù)模塊:對用戶權(quán)限信息進(jìn)行管理和維護(hù)，記錄用戶擁有哪些應(yīng)用，及擁有的應(yīng)用可以有哪些外設(shè)的使用權(quán)限和其它相關(guān)權(quán)限；并且，根據(jù)網(wǎng)關(guān)代理指示來對用戶權(quán)限的有效性進(jìn)行驗(yàn)證后，反饋相應(yīng)的授權(quán)認(rèn)證信息至網(wǎng)關(guān)代理。
[0024]應(yīng)用路由服務(wù)模塊:維護(hù)及更新路由表，記錄與云應(yīng)用服務(wù)相關(guān)的分配信息；并且，根據(jù)網(wǎng)關(guān)代理指示來尋找可用的路由地址后反饋至網(wǎng)關(guān)代理。
[0025]云應(yīng)用服務(wù)模塊:根據(jù)網(wǎng)關(guān)代理指示來提供云應(yīng)用的運(yùn)行環(huán)境，并根據(jù)權(quán)限設(shè)置信息對云應(yīng)用的使用進(jìn)行限制。
[0026]如圖1所示是路由表生成的示意圖。應(yīng)用路由服務(wù)模塊進(jìn)一步設(shè)置有狀態(tài)更新模塊和檢查校驗(yàn)?zāi)K:
狀態(tài)更新模塊，能夠?qū)⑺袘?yīng)用服務(wù)器的信息、所有應(yīng)用的使用情況都更新到路由表中。例如，在用戶發(fā)起鏈接請求后，或者根據(jù)權(quán)限及安全的原則向用戶分配了可用的應(yīng)用服務(wù)器后，或者在應(yīng)用斷開或鏈接無效后，該狀態(tài)更新模塊都會對路由表信息進(jìn)行相應(yīng)的更新。
[0027]檢查校驗(yàn)?zāi)K，在用戶申請創(chuàng)建新應(yīng)用的路由信息時，用來對路由表是否有合法有效的路由地址可供選擇進(jìn)行檢查。
[0028]配合參見圖3、圖4所示，本發(fā)明的上述服務(wù)角色完整部署后，用戶通過客戶端創(chuàng)建云應(yīng)用鏈接時，對于云應(yīng)用訪問控制的方法包括以下過程:
1.路由表初始化。應(yīng)用路由服務(wù)模塊將所有應(yīng)用服務(wù)器的信息更新到路由表，還將所有應(yīng)用的使用情況也更新到路由表中。
[0029]2.用戶通過客戶端發(fā)起對于云應(yīng)用的鏈接請求，其中包含有要鏈接的應(yīng)用信息；該鏈接請求與用戶認(rèn)證信息被一起發(fā)送至網(wǎng)關(guān)代理。
[0030]3.網(wǎng)關(guān)代理解析相關(guān)信息，將鏈接請求翻譯成具體的應(yīng)用和應(yīng)用授權(quán)外設(shè)信息；并且，該網(wǎng)關(guān)代理還與用戶應(yīng)用權(quán)限服務(wù)模塊交互，由用戶應(yīng)用權(quán)限服務(wù)模塊進(jìn)一步通過查詢認(rèn)證服務(wù)器來確認(rèn)用戶權(quán)限是否有效，若驗(yàn)證為無效的則返回失敗。
[0031]4.當(dāng)收到用戶權(quán)限驗(yàn)證有效的信息時，網(wǎng)關(guān)代理與應(yīng)用路由服務(wù)模塊交互，由應(yīng)用路由服務(wù)模塊進(jìn)一步在路由表中搜尋符合條件的應(yīng)用路由地址。對于尋找應(yīng)用路由地址時的路由策略，需要根據(jù)用戶權(quán)限之間是否互斥來確定，互斥表示不可以部署在同一應(yīng)用服務(wù)器中。[0032]5.應(yīng)用路由服務(wù)模塊尋找到可用的有效路由地址后，將其反饋給網(wǎng)關(guān)代理，由網(wǎng)關(guān)代理依照該路由地址轉(zhuǎn)向真正的云應(yīng)用服務(wù)器進(jìn)行鏈接；此時，應(yīng)用路由服務(wù)模塊也會根據(jù)本次鏈接請求而分配的應(yīng)用服務(wù)器的信息在路由表中進(jìn)行更新。
[0033]網(wǎng)關(guān)代理通過與云應(yīng)用服務(wù)模塊交互，獲取授權(quán)的云應(yīng)用后將其發(fā)送至用戶的客戶端。本發(fā)明中由于為在授權(quán)服務(wù)保存了應(yīng)用的使用控制信息，并且在網(wǎng)關(guān)代理創(chuàng)建云鏈接時會在發(fā)送給云應(yīng)用服務(wù)模塊的信息中，攜帶與用戶權(quán)限相匹配的所述應(yīng)用的使用控制信息，從而在云應(yīng)用服務(wù)模塊提供云應(yīng)用的運(yùn)行環(huán)境時可以根據(jù)所述應(yīng)用的使用控制信息對云應(yīng)用的使用進(jìn)行限制。
[0034]6.在云應(yīng)用使用退出或者鏈接無效后，應(yīng)用路由服務(wù)模塊會進(jìn)一步更新路由表狀態(tài)，讓下一次應(yīng)用鏈接可用。
[0035]綜上所述，本發(fā)明提供的一種云計(jì)算環(huán)境下云應(yīng)用訪問控制的方法，通過網(wǎng)關(guān)代理的方式將路由及認(rèn)證在內(nèi)部服務(wù)間完成:維護(hù)及更新路由表供云應(yīng)用選擇查詢，由應(yīng)用權(quán)限服務(wù)模塊和路由服務(wù)模塊共同來確定提供服務(wù)的云應(yīng)用地址，以便提供與權(quán)限相匹配的云應(yīng)用，從而完成應(yīng)用的訪問控制。
[0036]本發(fā)明支持遠(yuǎn)程應(yīng)用的云應(yīng)用方式，同時也適用于本地客戶端方式創(chuàng)建的云應(yīng)用。本發(fā)明可以根據(jù)路由策略，將不同的應(yīng)用運(yùn)行在同一機(jī)器上，或運(yùn)行在同一個會話中，或運(yùn)行在不同主機(jī)中，或運(yùn)行在不同子網(wǎng)中，等等。本發(fā)明對應(yīng)用權(quán)限統(tǒng)一管理，靈活控制，屏蔽了信息泄露的可能。
[0037]盡管本發(fā)明的內(nèi)容已經(jīng)通過上述優(yōu)選實(shí)施例作了詳細(xì)介紹，但應(yīng)當(dāng)認(rèn)識到上述的描述不應(yīng)被認(rèn)為是對本發(fā)明的限制。在本領(lǐng)域技術(shù)人員閱讀了上述內(nèi)容后，對于本發(fā)明的多種修改和替代都將是顯而易見的。因此，本發(fā)明的保護(hù)范圍應(yīng)由所附的權(quán)利要求來限定。
【權(quán)利要求】
1.一種云計(jì)算環(huán)境下云應(yīng)用訪問控制的系統(tǒng)，其特征在于，包含: 網(wǎng)關(guān)代理，作為與客戶端的接口，接收用戶對云應(yīng)用的鏈接請求，或向用戶發(fā)送授權(quán)的云應(yīng)用或拒絕鏈接請求的信息； 用戶應(yīng)用權(quán)限服務(wù)模塊，對用戶權(quán)限信息進(jìn)行管理維護(hù)，還根據(jù)與網(wǎng)關(guān)代理的交互接收用戶認(rèn)證信息，并對用戶權(quán)限的有效性進(jìn)行驗(yàn)證后反饋授權(quán)認(rèn)證結(jié)果至網(wǎng)關(guān)代理； 應(yīng)用路由服務(wù)模塊，對于記錄有云應(yīng)用服務(wù)分配信息的路由表進(jìn)行維護(hù)及更新，還根據(jù)與網(wǎng)關(guān)代理的交互而在路由表中尋找有效的應(yīng)用路由地址并反饋至網(wǎng)關(guān)代理； 云應(yīng)用服務(wù)模塊，通過與網(wǎng)關(guān)代理交互，提供與權(quán)限信息相匹配的云應(yīng)用的運(yùn)行環(huán)境。
2.如權(quán)利要求1所述的系統(tǒng)，其特征在于， 所述應(yīng)用路由服務(wù)模塊進(jìn)一步包含: 狀態(tài)更新模塊，在路由表中更新應(yīng)用服務(wù)器的信息、應(yīng)用的使用情況； 檢查校驗(yàn)?zāi)K，對于路由表中是否有與鏈接請求相匹配的應(yīng)用路由地址可供選擇進(jìn)行檢查。
3.—種云計(jì)算環(huán)境下云應(yīng)用訪問控制的方法，其特征在于，包含以下步驟: A.用戶通過客戶端發(fā)起對于云應(yīng)用的鏈接請求，將該鏈接請求與用戶認(rèn)證信息一起發(fā)送至網(wǎng)關(guān)代理； B.網(wǎng)關(guān)代理解析相關(guān)信息，并通過用戶應(yīng)用權(quán)限服務(wù)模塊來驗(yàn)證用戶權(quán)限； C.當(dāng)收到用戶權(quán)限驗(yàn)證為有效的信息后，網(wǎng)關(guān)代理通過應(yīng)用路由服務(wù)模塊在路由表中搜尋符合條件的應(yīng)用路由地址； D.依照搜尋到的應(yīng)用路由地址，網(wǎng)關(guān)代理通過云應(yīng)用服務(wù)模塊向匹配該應(yīng)用路由地址的云應(yīng)用服務(wù)器進(jìn)行鏈接； 由云應(yīng)用服務(wù)模塊提供與用戶權(quán)限相匹配的云應(yīng)用的運(yùn)行環(huán)境，由網(wǎng)關(guān)代理反饋至用戶的客戶端。
4.如權(quán)利要求3所述的方法，其特征在于， 步驟A之前，還通過應(yīng)用路由服務(wù)模塊對路由表進(jìn)行初始化，來更新所有應(yīng)用服務(wù)器的信息、所有應(yīng)用的使用情況。
5.如權(quán)利要求3所述的方法，其特征在于， 步驟D中，應(yīng)用路由服務(wù)模塊還將根據(jù)本次鏈接請求而分配的應(yīng)用服務(wù)器的信息在路由表中進(jìn)行更新。
6.如權(quán)利要求3所述的方法，其特征在于， 步驟D之后，還包含在云應(yīng)用使用退出后或者鏈接無效時，通過應(yīng)用路由服務(wù)模塊更新路由表狀態(tài)，讓下一次應(yīng)用鏈接可用。
7.如權(quán)利要求3所述的方法，其特征在于， 步驟C中在搜尋應(yīng)用路由地址時，根據(jù)用戶權(quán)限之間是否互斥來確定可供部署的應(yīng)用服務(wù)器。
8.如權(quán)利要求3所述的方法，其特征在于， 步驟D中，網(wǎng)關(guān)代理通過云應(yīng)用服務(wù)模塊向云應(yīng)用服務(wù)器進(jìn)行鏈接時，還同時發(fā)送與用戶權(quán)限相匹配的應(yīng)用的使用控制信息。
【文檔編號】H04L29/08GK103944883SQ201410101018
【公開日】2014年7月23日 申請日期:2014年3月19日 優(yōu)先權(quán)日:2014年3月19日
【發(fā)明者】徐廣慶 申請人:華存數(shù)據(jù)信息技術(shù)有限公司