[发明专利]一种Telnet模式下指令级用户权限控制方法

说明书

技术领域

本发明属于电力信息网络技术领域，涉及计算机网络环境下用户自主性指令级权限控制方法，具体为一种Telnet模式下指令级用户权限控制方式。

背景技术

用户权限控制是一个极其复杂的问题，但也可简单表述为这样的逻辑表达式：判断“Who对What(Which)进行How的操作”的逻辑表达式是否为真。针对不同的应用，需要根据项目的实际情况和具体架构，在维护性、灵活性、完整性等多个性能之间比较权衡，选择符合的方案。

目前在系统用户权限控制中，一般有两种方法：

1.自主型访问控制方法

在自主型访问控制方法中，由客体的属主对自己的客体进行管理，由属主自己决定是否将自己客体的访问权或部分访问权授予其他主体。

2.强制型访问控制方法

在强制型访问控制方法中，用户（或其他主体）与文件（或其他客体）都被标记了固定的安全属性（如安全级、访问权限等），在每次访问发生时，系统检测安全属性以便确定一个用户是否有权访问该文件。

目前的各种访问控制方法已经能够很完善地控制主体对物理设备类客体的访问。但它们存在一个巨大的缺陷：无法做到对指令执行权限的逐条精确控制，而仅仅只能做到对已有指令集合的粗粒度控制。

现有的指令权限控制模式是一种强制型访问控制模式，它是使用基于角色访问控制方法来实现的。厂家在设备出厂前对设备的指令集合进行划分，形成几个固定的指令子集，并将之与不同的角色相对应。系统管理员在安装好设备后，为每个用户分配具有一定访问权限的角色。设备根据用户所具有的角色来控制用户对指令集合的访问。

在Cisco路由器和Juniper防火墙中，设备将所有指令形成的全集对应到超级用户角色，而将部分指令所形成的子集对应到普通用户角色。系统管理员在控制用户权限时，仅仅能够为用户分配角色，也就是分配厂家预先划分好的指令子集。

现有指令权限控制模式的缺点：

1.系统管理员无法自主地调整设备指令子集。

2.用户权限的控制是粗粒度的，仅能针对指令集合，不能针对每条命令。

发明内容

本发明要解决的问题是：现有技术下，在计算机网络环境中，用户访问设备指令的主要途径是通过Telnet客户端连接设备内置的Telnet服务器，本发明所要解决的技术问题是如何在用户使用Telnet客户端登陆设备的情况下，提供系统管理员对用户的自主性指令级权限控制。

本发明的技术方案为：一种Telnet模式下指令级用户权限控制方法，网络系统包括用户Telnet客户端、设备Telnet服务器和中间控制平台CME，所述中间控制平台CME包括内置Telnet服务器和内置Telnet客户端，当用户Telnet客户端需要与设备Telnet服务器连接时，用户Telnet客户端通过中间控制平台CME启动到设备Telnet服务器的Telnet会话，该会话被中间控制平台CME拆分为两个内部Telnet会话和一个内部通信流：

两个内部Telnet会话：

用户Telnet客户端到中间控制平台CME的内置Telnet服务器的会话；

中间控制平台CME内置Telnet客户端到设备Telnet服务器的会话；

一个内部通信流：

联系所述两个内部Telnet会话的平台内部通信流。

中间控制平台CME作为用户Telnet客户端和设备Telnet服务器之间的数据中转，通过两个内部Telnet会话和一个内部通信流获得用户Telnet客户端与设备Telnet服务器之间传输的数据，进行用户权限控制，当用户Telnet客户端向设备Telnet服务器发送单个数据指令时，控制步骤为：

步骤1、用户Telnet客户端按字符向中间控制平台CME传送用户输入，即发出数据指令；

步骤2、中间控制平台CME向设备Telnet服务器发送收到的字符，如果收到的数据指令中包含回车符，则扣留回车符不发；

步骤3、设备Telnet服务器对收到的字符进行处理，生成回显字符串；

步骤4、设备Telnet服务器向中间控制平台CME发送回显字符串；