[发明专利]一种资源访问控制方法、装置及系统

权利要求书

1.一种资源访问控制方法，其特征在于，包括：

接收策略执行点PEP发送的访问控制决策请求，所述访问控制决策请求中包括请求访问的目标对象，所述目标对象包括请求访问的目标资源的资源属性访问列表和/或所述目标资源的子资源访问列表；

获取用于对所述访问控制决策请求进行访问权限判决的访问控制策略；其中，所述访问控制策略中包括用于对所述目标对象进行访问权限判决的规则，所述规则包括允许访问的资源属性访问列表和/或允许访问的子资源访问列表；

根据获取到的访问控制策略对所述访问控制决策请求进行访问权限判决，并向所述PEP返回访问权限判决结果。

2.如权利要求1所述的方法，其特征在于，所述根据获取到的访问控制策略对所述访问控制决策请求进行访问权限判决，包括：

若所述请求访问的资源属性不在用于对目标资源的资源属性进行访问权限判决的规则所允许访问的资源属性中，则判决为拒绝对目标资源进行访问，所述目标资源为所述访问控制决策请求所请求访问的目标资源；或者，

若所述请求访问的子资源不在用于对目标资源的子资源进行访问权限判决的规则所允许访问的子资源中，则判决为拒绝对目标资源进行访问，所述目标资源为所述访问控制决策请求所请求访问的目标资源。

3.如权利要求1所述的方法，其特征在于，所述允许访问的资源属性访问列表中包括以下内容之一：

一个或多个允许访问的资源属性或者资源属性的指示信息；

用于表示所有资源属性均被允许访问的指示信息；

用于表示所有资源属性均不允许访问的指示信息。

4.如权利要求3所述的方法，其特征在于，所述用于对资源属性进行访问权限判决的规则中若不包括允许访问的资源属性访问列表，则该规则表明所有资源属性均不允许访问。

5.如权利要求1所述的方法，其特征在于，所述子资源访问列表中包括以下内容之一：

一个或多个允许访问的子资源或者子资源的指示信息；

用于表示所有子资源均被允许访问的指示信息；

用于表示所有子资源均不允许访问的指示信息。

6.如权利要求5所述的方法，其特征在于，所述用于对子资源进行访问权限判决的规则中若不包括子资源访问列表，则该规则表明所有子资源均不允许访问。

7.如权利要求1所述的方法，其特征在于，所述访问控制决策请求中还包括请求访问的目标资源的指示信息；

所述用于对所述访问控制决策请求进行访问权限判决的访问控制策略中还包括允许访问的目标资源列表；

所述根据获取到的访问控制策略对所述访问控制决策请求进行权限判决，包括：

若所述访问控制决策请求中的目标资源的指示信息不在所述允许访问的目标资源列表中，则判决为拒绝对所述访问控制决策请求所请求的目标资源进行访问。

8.如权利要求1所述的方法，其特征在于，所述访问控制决策请求中，还包括提供建议指示；

所述方法还包括：

若判决为拒绝对所述访问控制决策请求所请求的目标资源进行访问，则根据所述提供建议指示，获取建议请求访问的目标对象列表，该列表中包含的资源属性和/或子资源能够被所述访问控制决策请求的发起方访问；

将所述建议请求访问的目标对象列表发送给所述PEP。