[发明专利]有范围的资源授权策略

说明书

背景技术

在大规模计算环境中，特别是在那些分布在多台机器上的大规模计算环境中，定义并实施授权策略是困难的。

资源是要服从策略的任何事物，该策略控制可以对资源进行何种操作。资源的示例包括文件、设备等。依据策略可以对资源进行的操作的示例包括读取、写入、执行、删除等。一种类型的授权系统将许可的集合附加到每一个资源，其中许可定义了可以对该资源进行何种动作以及谁或什么具有该许可以执行该动作。例如，文件可以具有许可的集合，其准许给予文件的拥有者以读取/写入/执行/删除访问，准许给予特定的组以只读访问，并且对于所有其他实体不准许给予授权。在一个示例中，将这种许可附加到资源，并且为每一个资源单独设定这种许可。

一些系统试图为广泛的资源分类共同地指派许可。然而，在实际中，这些系统中的一些被证明是不可工作的，这是因为在资源分类上的控制还不足够细致，并且这些系统缺乏灵活性以精确定义应用于特定资源或资源分类的策略。

发明内容

可以按照使策略范围的概念与策略本身分离的方式来定义资源授权策略。可以提供允许管理员或其他参与者定义授权策略和资源范围的接口。可以分离地定义范围和策略。当某一实体试图执行与资源有关的动作时，访问策略和范围。然后可以确定该资源落入哪些范围，以及哪些策略应用于这些范围。资源保护装置于是可以确定针对所请求的资源使用的策略的特定条件是否被满足。策略可以包括在中央级别处定义的全局策略，以及特定于试图对其进行访问的机器（或机器的组，或环境）的本地策略。如果符合针对所请求的动作的条件，则允许该实体继续进行所请求的动作。否则，拒绝所请求的动作。

资源范围描述了策略可以对其应用的资源（即使可应用的策略自身还没有被识别或被定义）。范围的示例可以包括“在特定文件夹中的所有文件”、“在全部目录树的某些子树中的所有文件”（例如，特定文件夹中或者任何子文件夹中的所有文件）、“具有特定标记的所有资源”、“如果当前时间是在周五的下午5点以后，则所有文件”、“位于德国的服务器上的所有文件”或者资源集合的任何其他适当的定义。授权策略描述了可以对资源进行何种操作，以及在何种条件下可以对资源进行该操作。授权策略的示例包括“对于所有用户的只读授权”、“对于‘财务’组所有成员的读取/写入授权”、“对于‘管理’组成员的删除授权”、“保留直到2011年1月1日”或者可以（或不可以）对资源进行的操作的任何其他描述。可以为每一个范围和每一个策略指派名称或标识符。管理员可以通过使用名称或标识符以链接策略和范围来使得策略应用于特定范围中的资源。策略可以被链接至多于一个的范围，并且范围可以被链接至多于一个的策略。

可以集中地定义策略和范围，并且可以将策略和范围传播至分布式计算环境中的机器。可以在进行请求的机器（或者提供了被请求的资源的其他机器）上使用已经被集中定义了的策略和范围来评价对于使用资源的请求。

提供本发明内容以引入简化形式的概念选择（selection of concept），在下面的具体实施方式中将对其进一步进行描述。本发明内容并不旨在识别出所要求保护的主题的关键特征或实质特征，也没有旨在被用于限定所要求保护的主题的范围。

附图说明

图1是可以在其中建立并应用策略和范围的示例场景的框图。

图2是资源的示例及其与范围的关系的框图。

图3是可以在范围中定义的一些普通资源分类的框图。

图4是一些策略的示例术语的框图。

图5是可以在其中将策略和范围链接在一起的示例的框图。

图6是可以在其中定义、应用和/或实施策略和范围的示例处理的流程图。

图7是可以与在此描述的主题的实现方式一起使用的示例组件的框图。

具体实施方式