[发明专利]一种基于角色的域间访问控制系统

权利要求书

1、一种基于角色的域间访问控制系统，包括用户认证模块(31)，其特征在于，还包括用户上下文安全信息库(34)、域控制模块(32)和客体访问控制模块(33)，

用户上下文安全信息库(34)用于记录当前经过用户认证模块(31)认证通过的用户信息；

域控制模块(32)用于接收经过用户认证模块(31)认证通过的访问请求，根据用户信息和访问请求中的客体信息确认用户是本域访问还是跨域访问，根据访问类型分配用户角色，将角色分配结果传送给用户上下文安全信息库(34)，并将用户访问请求传送给客体访问控制模块(33)；

客体访问控制模块(33)用于接收来自用户上下文安全信息库(34)的用户信息和来自域控制模块(32)的访问请求，判断经过角色分配后的用户是否有权访问客体，若是，用户实施访问，并将访问结果返回给用户。

2、根据权利要求1所述的一种基于角色的域间访问控制系统，其特征在于，所述域控制模块包括域上下文感知器(321)、子域控制器(322)、中央域控制器(323)和角色分配器(324)；

域上下文感知器(321)用于接收来自用户上下文安全信息库(34)的用户信息和经过用户认证模块(31)认证通过的访问请求，判断用户和客体是否属于同一域，若是，则将用户信息和访问请求传送给子域控制器(322)，否则将用户信息和访问请求传送给中央域控制器(323)；

子域控制器(322)用于接收来自域上下文感知器(321)的用户信息和访问请求，复位用户原本域角色，将用户访问请求传送给所述客体访问控制模块(33)；

中央域控制器(323)用于接收来自域上下文感知器(321)的用户信息和访问请求，查询预存的客体域间可访问性列表以判断来自用户所属域的用户是否有权访问客体所属域，若是，将客体域间可访问性列表、用户信息和访问请求传送给角色分配器(324)；

所述客体域间可访问性列表包括客体名称、客体所属域ID、异域可访问域ID列表和客体可访问角色列表，客体可访问角色列表包括本域用户可访问角色列表和异域用户可访问角色列表；

角色分配器(324)用于接收来自中央域控制器(323)的客体域间可访问性列表、用户信息和访问请求，判断用户是否为全局用户，若是，保持用户角色不变；否则，将用户当前角色的权限集P1与所述本域用户可访问角色列表对应的权限集P2作比较：若P1包含P2，将用户所属域作为异域的异域用户可访问角色列表分配给用户；若P1与P2交集为空，将随机生成的例外角色分配给用户；否则，将P1与P2的权限交集对应的角色列表分配给用户；将角色分配结果传送给用户上下文信息库(34)，并将访问请求传送给所述客体访问控制模块(33)。

3、根据权利要求1或2所述的一种基于角色的域间访问控制系统，其特征在于，所述客体访问控制模块(33)包括事前评估单元(331)、客体访问单元(332)和事后审查单元(333)，

事前评估单元(331)接收来自角色分配器(324)的访问请求和来自用户上下文安全信息库(34)的用户信息，判断经过角色分配后的用户是否有权访问客体，若是，驱动客体访问单元(332)以实施具体访问，访问完毕后驱动事后审查单元(333)对访问结果作进一步的审核以滤掉不属于当前用户权限的结果对象，最后将审核后的访问结果反馈给用户。

4、根据权利要求3所述的一种基于角色的域间访问控制系统，其特征在于，所述事前评估单元(331)和事后审查单元(333)的审核方法为：逐一提取用户被分配的角色，采用投票制判断担任该角色的用户是否有权访问客体，汇总投票结果，根据预定授权策略确定用户是否有权访问客体或者访问结果属于用户权限；

投票规则如下：

I若角色包含于预存所述客体可访问角色列表，投赞成票；

II若角色不包含于所述客体可访问角色列表：当角色为例外角色，且客体可访问角色列表不包括任一例外角色，保持中立；否则，投反对票。