[发明专利]一种扩展xacml访问控制的排序策略授权方法及系统

说明书

本发明公开了一种扩展xacml访问控制的排序策略授权方法及系统，所述访法包括如下步骤：步骤一，定义并生成访问策略；步骤二，定义并生成管理策略，获得策略库；步骤三，将策略库中的策略按level值从大到小进行排序；步骤四，向xacml访问框架的策略判断点pdp提交访问请求；步骤五，搜索有序的策略库，返回level值最大的策略的判断结果，通过本发明，可提高授权策略的搜索效率。

技术领域

本发明涉及网络空间安全领域，特别是涉及一种扩展xacml访问控制的排序策略授权方法及系统。

背景技术

在信息安全领域，访问控制管理是一种基于用户身份管理资源访问的方法，授权是一种灵活的访问管理机制，指用户可以将其特定资源的访问权限转移到其他实体。现存的大多数授权机制都是基于角色的访问控制(RBAC)模型，将访问权限给予角色进行授权，也有少数模型是基于属性访问控制(ABAC)模型的授权。

XACML v3.0 Administration and Delegation Profile Version 1.0,2014描述了一种基于xacml标准的授权机制，其通过搜索授权策略访问请求的issuer属性，生成基于PP、PI、DP和DI四种路径的策略图，进行图搜索寻找可信策略判断授权允许或拒绝。该方法会因多策略issuer搜索、属性判断造成严重的性能开销，且可信策略由省略issuer元素定义，缺乏验证机制，容易被伪造。

Malik Imran Daud等人在Ontology-based Delegation of Access Control:AnEnhancement to the XACML Delegation Profile,2015中提出基于访问主体的授权模型，定义访问策略、管理策略，在管理策略添加授权等级属性限制分配层级，为每个用户在本地维护单独的链接委托者的策略集，通过O(2n)时间复杂度搜索可信策略判断并返回授权结果，其中n为授权路径长度。然而该模型运用本地维护策略集、基于授权人的关系(如subjectID)搜索管理策略，搜索效率仍由进一步拓展空间。

发明内容

为克服上述现有技术存在的不足，本发明之目的在于提供一种扩展xacml访问控制的排序策略授权方法及系统，以提高授权策略的搜索效率。

为达上述及其它目的，本发明提出一种扩展xacml访问控制的排序策略授权方法，包括如下步骤：

步骤一，定义并生成访问策略；

步骤二，定义并生成管理策略，获得策略库；

步骤三，将策略库中的策略按level值从大到小进行排序；

步骤四，向xacml访问框架的策略判断点pdp提交访问请求；

步骤五，搜索有序的策略库，返回level值最大的策略的判断结果。

进一步地，于步骤一中，所述访问策略的元素包括带priority属性的policy、带priority属性的rule、subjectID、roleID、department、resourceID、resourcePath、actionID，level表示policy等级高低的指标，由形如abcdef的六位数特征值组成，其中a为优先级priority、b为主体subject、c为角色role、d为部门department、e为资源resource、f为操作action，priority为优先级，由大于等于0的整数值表示，为level的表示值之一。

进一步地，所述访问策略生成步骤如下：

步骤S11，对访问策略的基本属性赋值，计算并赋值level属性；

步骤S12，搜索管理策略库；

步骤S13，查找是否存在符合访问策略属性匹配的管理策略p，若存在，进入步骤S14，若不存在，则进入步骤S15；