[发明专利]测试访问策略

说明书

背景技术

可以通过确定既定的资源访问请求是否可以得到准许的策略控制对资源的访问。在发出资源访问请求时，参照所述策略对所述请求进行评估。如果基于所述评估确定可允许所述请求，那么准许所请求的访问；否则拒绝。

随着计算系统和环境变得更加复杂，掌控对资源的访问的策略也变得越来越复杂。策略可以确定谁或者什么能够访问数量非常多的资源，并且可能取决于复杂的交织缠绕的各种因素。因而，往往难以预测既定策略的效果，而且策略中的差错（意外地准许对错误负责人的访问，或者拒绝对正当负责人的访问的前景）的代价非常高。即使对现有的策略的微小变化可能产生在做出策略变化时难以预测的深远影响。

发明内容

可以在部署策略之前对策略进行测试，从而确定所述策略是否将产生其预期效果。在一个例子中，策略掌控对资源的访问，并且管理员想要改变所述策略。管理员可以创建新的策略，并且可以使所述新的策略连同现有策略一起受到评估作为测试。在发出资源访问请求时，既根据现有策略又根据正受到测试的新策略对所述请求进行评估。可以根据现有策略而不是测试策略做出有关是否准许对资源的访问的实际判断。然而，可以记录根据所述测试策略的评估的结果，从而如果所述测试策略实际生效了则确定将准许还是拒绝所述访问请求。换言之，在试用期内可以针对现实世界的访问请求对新策略的效果进行测试，在试用期内并未将所述新的策略实际用来控制对资源的访问。如果收集到足够的有关测试策略的行为的数据，并且如果数据指示所述策略将如预期地表现，那么可以采用新的策略替代现有策略。在采用新的策略替代现有策略时，可以根据新的策略做出未来的访问判断。

在既根据现有策略又根据测试策略对访问请求进行评估时，可以通过各种方式记录所得到的评估。在一个例子中，可以记录每一请求。在另一个例子中，记录使测试策略产生了不同于现有策略的结果的每一请求。对这种记录方案的一种变型是记录一定百分比的评估，或者记录所述评估直到收集到某一具体数量的数据为止。可以将所述日志报告给管理员，该管理员可以采用所述日志判断是否采用所述测试策略替代现有策略。或者，如果测试策略和现有策略之间的行为差异超过了某一极限（或者保持在该极限内），那么可以自动对所述测试策略做出变化。

提供这一发明内容从而以简化的形式介绍原理的选择，在下文的具体实施方式中将对其做进一步描述。这一发明内容并非旨在标明所要求保护的主题的关键特征或基本特征，也并非旨在用于限定所要求保护的主题的范围。

附图说明

图1是可以对策略进行测试的示范性过程的流程图。

图2是示范性记录过程的流程图。

图3是授权策略用于掌控对资源的访问的示范性方案的方框图。

图4是可以结合文中描述的主题的实现所使用的示范性部件的方框图。

具体实施方式

可以根据策略控制对资源的访问。在发出对访问资源的请求时，可以做出有关什么策略（一种或多种）适用于所述资源的确定。一旦识别出了可适用的一种或多种策略，就可以针对这些策略对所述请求进行评估。如果所述策略（或者所述策略的逻辑乘或逻辑加组合）允许对所述资源进行访问，那么可以准许所述访问请求。否则，可以拒绝所述请求。

早期的访问控制系统相对简单，例如，每一文件或其它资源通常标有可以访问该资源的负责人或群体的名称。在这样的系统中，对策略效果的理解相对简单。例如，如果策略规定“Joe能够读/写这一资源，并且会计组能够阅读这一资源”，那么可以相对直接地理解将准许哪些访问请求以及将拒绝哪些访问请求。然而，随着计算环境以及负责人之间的关系变得越来越复杂，掌控资源的访问策略也变得越来越复杂。在很多情况下，掌控对资源的访问的策略（或策略的组合）相当地复杂，从而难以预测所述策略在各种各样的情况下将如何表现。此外，对策略的看似小的变化可能对准许哪些访问请求以及拒绝哪些访问请求具有深远的、无法预知的影响。因而，做出未加测试的策略变化可能存在风险，因为变化的影响难以预测。