[发明专利]可扩展和/或分布式授权系统和/或提供类似的方法

说明书

技术领域

此处描述的特定的示例实施例涉及可扩展和/或分布式安全系统。更特别地，特定的示例实施例涉及用于与计算机系统有关的使用的可扩展和/或分布式授权技术。

背景技术

计算机应用在社会中变得越来越普遍。笔和纸、机械系统和其它的设备已经被由计算机程序控制的电子设备所替代。现在这些计算机应用处理财务信息、汽车装配过程、动力系统和许多其它种类的功能、系统和流程。

在基本层面上，计算机应用包括流程（例如，批准财务交易、在汽车装配线中操纵机械臂）和数据（例如，交易花费多少、谁将批准交易、确定机械臂移动的坐标值和/或速率）。这样的应用操作的流程和在其上操作的数据具有值并且应当被保护。

由于计算机应用的普遍性已经增长，对保护这样的应用的技术的需求也已经增长。安全可以分类为两个子类别，也就是，认证和授权。

认证可能被执行以检验人（或流程）是如其所说的。比如，对登录网站的人认证那个人是用户。这是一个相当简单的认证形式，因为可能登录的人事实上不是与那个账户“关联的”人。因此，更多的严格的认证形式可能被采用（例如，2-因素认证（2-factor authentication）），以便提高这个人是他/她说他/她是的那个人的可靠性。

安全的第二个方面被称为授权，其可能被用于授予对资源（例如，流程、数据等）的访问。授权的一个元素与这些被授权的访问如何被认为是安全上下文相关。安全上下文可包括涉及所述用户、分配的任务、当所述用户认证时提供的权限数据等的信息。这些上下文随后可被用于确定所述用户（或其他实体）是否与授权以给定的一段数据（或流程）交互的所述上下文相关。

假定确定用户（及其相关上下文）可以访问哪部分可能是为涉及所述资源的特定应用，在某些情况下，它不可能提供抽象授权模式（如，框架）。新开发的应用可包括关于如何/什么用户或目标可访问或查看所述流程的特定应用逻辑和所述应用的数据。例如，在云计算场景中的一组应用，所述应用分享可能不了解其他算法、流程等的数据，促进这些数据使用（或查看）的授权。

一些对认证和授权起作用的现有框架，例如：

1）Spring Security（前身为Acegi）：所述Spring框架提供了与Spring框架、依赖注入模式和面向方面编程设施的其他部分的最高级合作。在它们之上的认证和授权能力都被提供。二者都陈述（与XML）并存储在LDAP、RDBMS或XML文件中。授权使用了访问控制列表（Access Control Lists，ACL）。所述ACL存储在代表客户安装的预配置模式中的客户端数据库内部。授权是直接通过注释方法或呼叫方法内部的所述授权API来实现。所述安全上下文通过静态方法和存储在为区分的线程局部变量被提供。这一行为设定了一个请求总是处理一个线程的先决条件。所述同步接收（synchronization sink）为所述数据库，意味着每个应用可以读取这些ACL和进行授权。

2）JEE安全：JEE包括基于通过中央容器管理认证信息的所述Java认证和授权服务（Java Authentication and Authorization Service，JAAS）。所述认证信息包括用户和任务，并且用于通过编程或注释技术授权。保持实体以特定领域语言（domain specific language，DSL）写入的授权性文件被提供，所述DSL用一个预定义权限集合描述授予资产的规则。所述规则被陈述地（declaratively）应用，并且自动地通过在所述容器内所述提供的安全管理扩展。

3）Apache Shiro：这个框架提供在权限级别上的授权。用户可以描述权限、存储所述权限作为所述用户的属性、将它们应用在资产（asset）上、以及检查访问是否能通过匹配定义权限的所述用户与定义在所述资产上的所述权限来被授予。

这些传统解决方案尝试为在单一应用中的简单和可能最普遍的需求，解决所述认证和授权问题。

然而，上述（及其他）技术在提供应用安全上可包括一个或多个缺陷：

1）在某些情况下，RDBMS中的XML配置和静态ACL表可能不太灵活，并且可能不是可扩展的。所述权限可能更静态或固定，且不能作为灵活性去定义。虽然用户可以配置所述授权流的检查策略，但是所述授权流的扩展是不可能的。