[发明专利]安全授权查询

说明书

背景

计算机和其他电子设备遍布人们的职业和个人生活。在职业设置中，人们在项目协作期间交换和共享机密信息。在个人设置中，人们参与电子商务以及个人信息的传输。在这些和其他众多情况中，电子安全措施被认为是重要的。

电子安全措施范例可令职业信息保持机密以及个人信息保持私密。电子安全措施范例可涉及某种水平的加密和/或针对诸如病毒、蠕虫和间谍软件等恶意软件的保护。信息的加密以及针对恶意软件的保护历来受到极大的关注，尤其是近几年来。

然而，控制对信息的访问是保护电子信息安全性同等重要的方面。对于其中受益于电子信息的共享和/或传送的情形尤其如此。在这样的情形中，某些人被准许访问，而其他人要被排除在外。

访问控制自早期的共享系统以来就是共享计算机和应用程序服务器的共同特征。存在用于控制对信息的访问的多种不同的方法。它们在组合对请求对某一资源的访问的实体的认证以及授权所允许的访问的机制方面享有共同的基础。认证机制包括口令、Kerberos、以及x.509证书。其目的在于允许进行资源控制的实体肯定地标识进行请求的实体或它所需的关于实体的信息。

授权示例包括访问控制列表(ACL)以及基于策略的机制，诸如可扩展访问控制标记语言(XACML)或特权和角色管理基础架构(PERMIS)。这些机制定义哪些实体可访问给定的资源，诸如文件系统中的文件、硬件设备、数据库信息等。它们通过提供关于请求者的认证信息以及所允许的对资源的访问之间的映射来执行这种授权。

随着计算机系统越来越普遍地连接到诸如因特网等大型网络上，这些机制被证实在处理日益发展的访问控制要求方面稍有限制和不灵活。地理上散布的用户和计算机资源的系统，包括横跨多个行政区域的那些系统尤其提出了当前部署的技术解决不好的多个挑战。

概述

在一示例实现中，一分支安全方案具有不允许使用否定的第一层和允许使用否定的第二层。在另一示例实现中，一授权查询表将各个资源专用操作映射到相应的相关联授权查询。在又一示例实现中，允许授权查询具有否定，但不允许个别断言具有否定。

提供本概述以便以简化的形式介绍将在以下详细描述中进一步描述的一些概念。该概述不旨在标识所要求保护的主题的关键特征或必要特征，也不旨在用于帮助确定所要求保护的主题的范围。而且，其它方法、系统、方案、装置、设备、介质、过程、API、安排、协议等的实现也在此得到描述。

附图简述

在各图中使用相同的数字来引用相同和/或对应的方面、特征和组件。

图1是示出其中可以实现示例安全方案的示例一般环境的框图。

图2是示出具有两个设备以及多个示例安全相关组件的示例安全环境的框图。

图3是示出其中在安全相关组件之间交换示例安全相关数据的图2的示例安全环境的框图。

图4是可用于本文所述的安全相关实现的示例设备的框图。

图5是示出用于一般安全方案的示例断言格式的框图。

图6是示出具有第一层和第二层的示例分支安全方案的框图。

图7是示出示例授权查询查明和示例授权查询求值的一般框图。

图8是示出响应于资源访问请求的示例授权查询查明的更具体的框图。

图9是示出给定断言上下文情况下的示例授权查询求值的更具体的框图。

图10是示出用于查明授权查询并对其求值的方法的示例的流程图。

详细描述

示例安全环境

图1是示出其中可以实现示例安全方案100的示例一般环境的框图。安全方案100表示进行保护的集成方法。如图所示，安全方案100包括多个安全概念：安全令牌100(A)、安全策略100(B)、以及求值引擎100(C)。一般，安全令牌100(A)、安全策略100(B)共同提供对求值引擎100(C)的输入。求值引擎100(C)接受输入，并产生指示应许可还是拒绝对某一资源的访问的授权输出。

在所述实现中，安全方案100可由一个或多个设备102覆盖和/或与其集成，这些设备由硬件、软件、固件、其某种组合等组成。如图所示，“d”个设备在一个或多个网络104上互连，“d”是某一整数。更具体地，设备102(1)、设备102(2)、设备102(3)...设备102(d)能够经由网络104通信。