[发明专利]一种基于社区授权服务的动态访问控制方法

说明书

技术领域

本发明是一种网格计算环境下实现用户对资源或服务的动态访问控制的方案。主要针对网格计算环境的动态性特点提出的一个网格访问控制模型，属于网格计算、计算机软件安全技术领域。

背景技术

随着人们对高性能计算和资源分布共享需求的增加，传统的高性能计算模式和计算共享模式已经不能满足人们的需要，人们期望能够像访问电力资源一样随时随地的获取需要的计算和存储等资源，期望不仅仅是在本地计算机上找到所需的服务，而是在整个网络范围内找到最佳的服务，希望将整个网络虚拟成为一个整体。传统的高性能计算模式和资源共享模式因其灵活性差、系统扩充和升级代价高而无法适应这些持续增长的计算要求。网格计算就是在这一需求下应运而生的一种新的计算模式。通俗的说，网格计算就是整合不同组织、机构的计算机资源(包括存储资源、计算资源等)，形成一台巨大的虚拟计算机，完成超大规模的计算，以实现资源的充分利用和信息的整合。资源需求相对集中的用户群按照某种资源共享规则形成一个虚拟组织VO，相互协作完成任务。支持VO的基础设施就是网格。在虚拟组织VO中，网格计算环境具有如下特殊属性：1)用户和资源可以随时加入或退出；2)资源的访问控制即受到虚拟组织的访问策略控制又受到所属自治域的访问策略的控制；3)参与VO的各自治域认证和授权机制各不相同。4)参与一个计算的资源可能来自多个不同自治域。正是由于这些特殊属性，在设计网格安全机制时特别要考虑网格计算环境的动态性和异构特性。

访问控制是网格安全的一个重要方面，主要是针对越权使用系统资源的防御措施，通过限制资源的访问，防止非法用户的侵入或合法用户的不慎操作而造成的破坏，从而保证系统资源的合法使用。访问控制的核心是授权策略，即用于确定一个主体是否能对客体拥有访问能力的一套规则。传统的访问控制方法如自主访问控制DAC、强制访问控制MAC和基于角色的访问控制RBAC都不能满足网格环境由于动态性、异构性、管理域自治性等特点所带来的访问控制问题。针对网格环境的动态性特点，我们基于虚拟组织VO中的社区授权服务CAS及所采用的基于角色的访问控制RBAC方法，制定一种适合于网格环境的动态访问控制模型，以实现网格环境下的动态访问控制，达到资源的充分利用和协同问题求解。

发明内容

技术问题：本发明的目的是提供一种基于社区授权服务的动态访问控制方法，解决网格环境下由于资源和用户的动态加入、退出、根据资源负载动态授权、资源的时效性等所带来的访问控制问题，实现资源的无缝集成和动态访问控制。

技术方案：本发明的方法是一种改进的方法，通过对虚拟组织VO中社区授权服务CAS采用的基于角色的访问控制机制做改进、对资源分层，将用户注册的资源形成物理资源，在物理资源之上汇聚成虚拟资源，在虚拟资源之上再形成有效资源。授予用户的角色都有相应的上下文环境限制，只有用户处在要求的上下文环境时，授予的角色才被激活。用户登录网格时，根据用户的主体上下文环境(如在无线接入环境下可以根据用户的接入链路激活赋予用户的相应角色，用户从内部安全链路接入时激活角色1，从外部安全链路接入激活角色2，从外部非安全链路接入激活角色3)激活用户相应的角色，当用户所在的上下文环境改变时，上下文代理触发社区授权服务CAS改变用户角色，借此实现网格环境下的动态访问控制方案。

下面先给出该网格访问控制模型中基本元素的定义及其功能：

1)物理资源：用户向虚拟组织注册的可以供其它用户使用的实体。物理资源的属性包括：标识、类别(cpu、内存、外存等)、访问类别(读、写、执行)、大小、使用时间限制(开始时间、结束时间)、资源负载限制(当cpu负载＞80％，拒绝访问)等。

2)虚拟资源：根据VO中用户注册的物理资源的类别及访问类别合并形成虚拟资源，比如一个VO中有三个用户注册内存资源，大小分别为：50M、65M、120M，因此，VO中形成的虚拟资源-内存资源大小为235M，虚拟资源的属性包括：标识、类别、大小、访问类别等。

3)有效资源：合并形成的虚拟资源中，有的物理资源因为时间限制、负载限制或不在线等原因不可用。有效资源就是虚拟资源中去掉不可用的资源而形成的可用资源。有效资源随着资源状态的变化而不断变化。

4)用户：在VO中注册并能够提交任务的实体，其属性包括：标识、角色、身份。