[发明专利]一种多租户访问控制方法及装置、计算机可读存储介质

权利要求书

1.一种多租户访问控制方法，其特征在于，所述方法包括：

从访问请求消息中获取访问者的用户信息，并基于所述访问者的用户信息确定所述访问者所属的租户和任务组；其中，所述租户用于指示用户集合；所述任务组用于指示租户集合；

若所述访问者所属的租户与访问资源的预置租户匹配，和/或所述访问者所属的任务组与访问资源的预置任务组匹配，获取与所述访问者相关的访问控制策略，所述访问控制策略包括所述访问者对应的访问控制策略、所述访问者所属的租户对应的访问控制策略、以及所述访问者所属的任务组对应的访问控制策略；

基于所述访问控制策略判断是否允许所述访问者进行访问，包括：判断所述访问请求消息是否符合所述访问者所属的任务组对应的访问控制策略；若所述访问请求消息符合所述访问者所属的任务组对应的访问控制策略，则继续判断所述访问请求消息是否符合所述访问者所属的租户对应的访问控制策略；若所述访问请求消息符合所述访问者所属的租户对应的访问控制策略，则继续判断所述访问请求消息是否符合所述访问者对应的访问控制策略；若所述访问请求消息符合所述访问者对应的访问控制策略，则授权访问。

2.根据权利要求1所述的方法，其特征在于，所述获取与所述访问者相关的访问控制策略之前，还包括：

从所述访问请求消息中提取访问者的主体属性信息，权限属性信息，环境属性信息以及访问资源的客体属性信息；

若所述主体属性信息、权限属性信息和环境属性信息与所述客体属性信息匹配，获取与所述访问者相关的访问控制策略；

若所述主体属性信息、权限属性信息和环境属性信息与所述客体属性信息不匹配，拒绝授权访问。

3.根据权利要求2所述的方法，其特征在于，所述获取与所述访问者相关的访问控制策略，包括：

获取所述访问者对应的第一子访问控制策略；

获取所述访问者所属租户对应的第二子访问控制策略；

获取所述访问者所属任务组对应的第三子访问控制策略。

4.根据权利要求3所述的方法，其特征在于，所述基于所述访问控制策略信息判断是否允许所述访问请求，包括：

若所述主体属性信息、权限属性信息和环境属性信息符合所述第三子访问控制策略，判断所述主体属性信息、权限属性信息和环境属性信息是否符合所述第二子访问控制策略；

若所述主体属性信息、权限属性信息和环境属性信息符合所述第二子访问控制策略，判断所述主体属性信息、权限属性信息和环境属性信息是否符合第一子访问控制策略；

若所述主体属性信息、权限属性信息和环境属性信息是否符合第一子访问控制策略，授权访问。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：

若所述主体属性信息、权限属性信息和环境属性信息不符合所述第三子访问控制策略，拒绝授权访问。

6.根据权要求4所述的方法，其特征在于，所述方法还包括：

若所述主体属性信息、权限属性信息和环境属性信息不符合所述第二子访问控制策略，拒绝授权访问。