[发明专利]访问控制方法和装置

说明书

技术领域

本发明涉及通信技术领域，特别涉及一种访问控制方法和装置。

背景技术

SNMP(Simple Network Management Protocol，简单网络管理协议)是一种非常成熟的网 管协议。SNMPv3的显著特性是增强了安全功能以及访问控制功能，不同的网络管理员具有 不同的管理权限，可以访问设备中不同的管理信息。

在应用SNMP的网管系统中，NMS(Network Management Station，网络管理站，简称网 管站)与被管理设备上的Agent(代理进程，即与管理相关的软件)之间通过SNMP进行通 讯。NMS向被管理设备发出管理命令，如查询或修改，Agent收到管理命令后在设备所存储 的MIB(Management Information Base，管理信息库)中查询或修改数据，并生成应答消息给 NMS。

MIB中的参数被称为被管对象(managed object)，也称作变量，以MIB文件形式定义。 MIB是以树型结构进行存储的，每个被管对象对应树型结构的一个叶子节点，用OID(Object  Identifier，对象标识)唯一识别。MIB树可以被分成若干子树，子树的OID为该子树内最上 层的叶子节点的OID。

SNMPv3的访问控制功能由VACM(View-based Access Control Model，基于视图的访问 控制模型)提供。所谓视图是指一个或多个子树的集合，通过视图可以使拥有不同访问权限 的管理员各自访问整个MIB树的不同部分。VACM提供了配置视图的方法，通过设置 vacmContextTable上下文表、vacmSecurityToGroupTable安全到组映射表、vacmAccessTable  访问权限表和vacmViewTreeFamilyTable视图子树表来控制不同管理员的访问权限。其中，如 表1所示为访问权限表，包括：GroupName用户组名称、contextName上下文名称或者 contextPrefix上下文前缀、securityModel安全模型(如User-based Security Model用户安全模 型，简称USM)、securityLevel安全等级、ReadViewName可读视图名称、WriteViewName可 写视图名称和NotifyViewName可被通知的视图名称，其中，视图可以有不同的访问类型，如 只读、读写、可通知等等，而且每种访问类型只对应一个视图。

表1

通过访问权限表检索到的视图由视图子树表来配置，如表2所示，视图子树表中包括： ViewName视图名称、Subtree子树OID、Subtree Mask子树的掩码和Type子树的类型(是否 包含子树)。

表2