[发明专利]一种面向混合云的跨云用户认证系统

权利要求书

1.一种面向混合云的跨云用户认证系统，其特征在于，包括服务请求端、混合云管理系统、跨云认证管理系统、访问监测系统和信息存储系统；

所述服务请求端用于为服务请求者访问混合云内的私有云服务提供访问接口；

所述混合云管理系统包括混合云身份管理模块、混合云分级管理模块；所述混合云身份管理模块用于基于证书认证机制对加入混合云的私有云进行管理，并建立各私有云之间的信任关系；所述混合云分级管理模块用于根据私有云的保密等级将私有云划分为公开级、秘密级和机密级，并针对不同等级采取不同的安全策略进行管理；

所述跨云认证管理系统包括跨云认证模块和报警模块；所述跨云认证模块用于为服务请求者进行跨云访问时获取服务请求者的属性令牌，以及基于自定义的跨云认证协议实现本地私有云的服务请求者对其他私有云的服务进行跨云访问时的跨云认证提供通信服务；

所述访问监测系统用于对服务请求者跨云访问的过程进行监测；

所述信息存储系统用于存储服务请求者的访问信息和报警信息。

2.根据权利要求1所述的一种面向混合云的跨云用户认证系统，其特征在于，所述混合云身份管理模块包括：

(1)证书签发单元：用于在私有云加入或退出混合云时为该私有云的认证代理签发或撤销公钥证书，并对混合云内签发的公钥证书进行统一管理；

(2)云间认证代理单元：用于接收新加入的私有云的注册，管理新加入的私有云的认证代理的注册信息，从而建立其与私有云之间的信任关系。

3.根据权利要求2所述的一种面向混合云的跨云用户认证系统，其特征在于，所述私有云的认证代理支持身份认证机制和证书认证机制，用于管理私有云内的身份认证和属性令牌的签发，并在跨云认证模块进行跨云认证时，将所述注册信息提交给混合云身份管理模块进行管理，接收混合云身份管理模块签发的公钥证书；所述管理新加入的私有云的认证代理的注册信息，包括：审核新加入的私有云的认证代理的注册信息、接收新加入的私有云的认证代理的注册信息、将注册信息存入安全数据库、在私有云退出混合云时删除退出的私有云的注册信息。

4.根据权利要求1所述的一种面向混合云的跨云用户认证系统，其特征在于，所述信息存储系统采用多层模型对信息进行存储，包括存储层、管理层和接口层，所述存储层处于存储模块的底层，由不同的设备构成，所述管理层位于存储层之上，通过各种软件对存储设备进行管理，所述接口层面向服务请求者提供服务，能够根据客户需求，提供不同的服务接口。

5.根据权利要求1所述的一种面向混合云的跨云用户认证系统，其特征在于，所述在服务请求者进行跨云访问时获取服务请求者的属性令牌，包括：

(1)服务请求者向要跨云访问的其他私有云的服务S发送访问服务请求；

(2)服务S响应访问服务请求后，向服务请求者发送属性请求；

(3)服务请求者输入自定义密码，所述自定义密码位数必须大于6位，并将自定义密码与其身份标识通过签名加密后连同所述属性请求作为消息一起发送给私有云的认证代理，认证代理通过自己的私钥和服务请求者的公钥对消息进行解密验证，验证通过后，根据服务请求者的属性请求从属性存储模块中提取与属性请求对应的属性并签发属性令牌，生成会话密钥，与所述属性令牌和自定义密码一起签名加密后发送给服务请求者；

(4)服务请求者收到消息后，利用自己的私钥和认证代理的公钥证书对消息进行解密，若信息中含有自定义密码，则认证了所述认证代理的身份，同时也获得了属性令牌。

6.根据权利要求5所述的一种面向混合云的跨云用户认证系统，其特征在于，所述在获取属性令牌失败或解密失败时发出报警信息，包括：

(1)服务请求者向要跨云访问的其他私有云的服务S发送访问服务请求；

(2)服务S响应访问服务请求后，向服务请求者发送属性请求；

(3)服务请求者输入自定义密码错误，获取属性令牌失败，报警模块发出警报信息，属性令牌获发送给服务请求者后，服务请求者无法对信息进行解密，不能完成身份验证，报警模块也发出报警信息。