[发明专利]控制权限的委托

说明书

背景

计算机和其他电子设备遍布人们的职业和个人生活。在职业设置中，人们 在项目协作期间交换和共享机密信息。在个人设置中，人们参与电子商务以及 个人信息的传输。在这些和其他众多情况中，电子安全措施被认为是重要的。

电子安全措施范例可令职业信息保持机密以及个人信息保持私密。电子安 全措施范例可涉及某种水平的加密和/或针对诸如病毒、蠕虫和间谍软件等恶意 软件的保护。信息的加密以及针对恶意软件的保护历来受到极大的关注，尤其 是近几年来。

然而，控制对信息的访问是保护电子信息安全性同等重要的方面。对于其 中受益于电子信息的共享和/或传送的情形尤其如此。在这样的情形中，某些人 被准许访问，而其他人要被排除在外。

访问控制自早期的共享系统以来就是共享计算机和应用程序服务器的共 同特征。存在用于控制对信息的访问的多种不同的方法。它们在组合对请求对 某一资源的访问的实体的认证以及授权所允许的访问的机制方面享有共同的 基础。认证机制包括口令、Kerberos、以及x.509证书。其目的在于允许进行 资源控制的实体肯定地标识进行请求的实体或它所需的关于实体的信息。

授权示例包括访问控制列表(ACL)以及基于策略的机制，诸如可扩展访 问控制标记语言(XACML)或特权和角色管理基础架构(PERMIS)。这些机 制定义哪些实体可访问给定的资源，诸如文件系统中的文件、硬件设备、数据 库信息等。它们通过提供关于请求者的认证信息以及所允许的对资源的访问之 间的映射来执行这种授权。

随着计算机系统越来越普遍地连接到诸如因特网等大型网络上，这些机制 被证实在处理日益发展的访问控制要求方面稍有限制和不灵活。地理上散布的 用户和计算机资源的系统，包括横跨多个行政区域的那些系统尤其提出了当前 部署的技术解决不好的多个挑战。

概述

权限的委托可按照多种方式来控制。在一示例实现中，委托授权机构断言 是用委托方主体、被委托方主体、动词短语、资源和委托指示动词来制定的。 在另一示例实现中，涉及断言者、第一主体和第二主体的委托机制使委托能被 具体控制。在又一示例实现中，连锁委托机制允许对许可的传递连锁深度的显 式控制。

提供本概述以便以简化的形式介绍将在以下详细描述中进一步描述的一 些概念。该概述不旨在标识所要求保护的主题的关键特征或必要特征，也不旨 在用于帮助确定所要求保护的主题的范围。而且，其它方法、系统、方案、装 置、设备、介质、过程、API、安排、协议等的实现也在此得到描述。

附图简述

在各图中使用相同的数字来引用相同和/或对应的方面、特征和组件。

图1是示出其中可以实现示例安全方案的示例一般环境的框图。

图2是示出具有两个设备以及多个示例安全相关组件的示例安全环境的 框图。

图3是示出其中在安全相关组件之间交换示例安全相关数据的图2的示例 安全环境的框图。

图4是可用于本文所述的安全相关实现的示例设备的框图。

图5是示出用于一般安全方案的示例断言格式的框图。

图6是从功能观点示出示例委托机制以及示例委托情形并包括委托授权 机构断言的框图。

图7是从逻辑观点示出示例委托机制以及示例委托类型的框图。

图8是示出委托机制的委托授权机构断言的示例断言格式的框图。

图9是从功能观点示出示例连锁委托机制以及示例连锁委托情形的框图。

图10是示出连锁委托机制的两个示例格式方法的框图。

图11是示出用于创建委托授权机构断言的方法的示例的流程图。

详细描述

示例安全环境

图1是示出其中可以实现示例安全方案100的示例一般环境的框图。安全 方案100表示进行保护的集成方法。如图所示，安全方案100包括多个安全概 念：安全令牌100(A)、安全策略100(B)、以及求值引擎100(C)。一般，安全 令牌100(A)、安全策略100(B)共同提供对求值引擎100(C)的输入。求值引擎 100(C)接受输入，并产生指示应许可还是拒绝对某一资源的访问的授权输出。