[发明专利]用于基于凭证的访问控制的支持语句

权利要求书

1.一种采用使用包括变量和/或前提子句的逻辑形式的访问控制语言的系统，包括：

与至少一个资源和相关联的用于访问所述资源的使用策略链接的服务器组件；

请求访问所述资源的客户机组件；以及

指示如何构造论证所请求的访问应被准许的证明的一个或多个断言。

2.如权利要求1所述的系统，其特征在于，所述客户机组件不是所述服务器组件所信任的实体。

3.如权利要求1所述的系统，其特征在于，还包括至少一个辅助客户机，所述辅助客户机是为所述客户机组件提供信息的任何实体。

4.如权利要求3所述的系统，其特征在于，所述证明仅在所有必需的信息都被接收到之后才被构造。

5.如权利要求1所述的系统，其特征在于，所述一个或多个断言指示用值替换变量。

6.如权利要求1所述的系统，其特征在于，所述一个或多个断言指示证明至少一个前提子句。

7.如权利要求1所述的系统，其特征在于，所述一个或多个断言指示递归证明前提子句。

8.如权利要求1所述的系统，其特征在于，所述一个或多个断言指示如何构造论证所请求的访问应被准许的证明的仅一部分。

9.如权利要求1所述的系统，其特征在于，所述一个或多个断言被所述客户机组件用于构造论证所请求的访问应被准许的证明。

10.如权利要求1所述的系统，其特征在于，所述一个或多个断言被所述服务器组件用于构造论证所请求的访问应被准许的证明。

11.如权利要求1所述的系统，其特征在于，所述服务器组件还包括记录所请求的访问为何被准许或拒绝的审计组件。

12.如权利要求11所述的系统，其特征在于，所述审计组件记录所述证明。

13.如权利要求1所述的系统，其特征在于，所述服务器组件从由所述客户机组件和至少一个辅助客户机构成的组中选择的提供者接收至少一个关于所述客户机组件的凭证语句。

14.如权利要求1所述的系统，其特征在于，所述凭证语句被存储在所述提供者以外的位置处，且所述提供者在向所述服务器组件提供所述凭证语句时参考所述凭证语句。

15.一种用于在与和使用策略相关联的资源相关联的实体(“服务器”)与请求访问所述资源的实体(“客户机”)之间通信的计算机实现的方法，包括：

在所述服务器从所述客户机接收到对访问所述资源的请求之际，所述服务器向所述客户机发送一命题，所述命题包括帮助所述客户机构造论证所述客户机应被准许所述访问请求的证明的附加断言；

在接收到所述证明之际，所述服务器检查所述证明；

如果所述证明是正确的，则所述服务器准许所述访问请求；以及

如果所述证明是不正确的，则所述服务器拒绝所述访问请求。

16.如权利要求15所述的计算机实现的方法，其特征在于，还包括：

在接收到来自所述服务器的命题之际，所述客户机使用包括在所述命题中的附加断言来构造所述证明。

17.一种用于在与和使用策略相关联的资源相关联的实体(“服务器”)与请求防问所述资源的实体(“客户机”)之间通信的计算机实现的方法，包括：所述客户机向所述服务器发送访问请求以及凭证语句利一个或多个附加断言，其中一个或多个附加断言向所述服务器指示如何构造论证所请求的访问应被准许的证明。

18.如权利要求17所述的计算机实现的方法，其特征在于，由所述客户机或所述服务器以外的实体提供任何所述凭证语句和所述一个或多个附加断言。