[发明专利]引用访问控制列表

说明书

用于引用的访问控制列表的方法、系统和装置，包括在计算机存储介质上编码的计算机程序。在一个方面，方法包括访问用于多个对象的对象层次结构，每个对象代表存储位置或文件之一。对于每个对象，对象层次结构包括相应节点，对于作为具有子对象的父对象的每个对象，包括连接表示父对象的节点的有向边。另外，对于每个对象，包括包含访问控制列表标识符的元数据，该访问控制列表标识符标识用于对象的访问控制列表并且由访问控制列表根对象拥有。该方法包括：接收对用于特定对象的访问控制列表的更新，生成新的访问控制列表，以及将新的访问控制列表标识符存储在从特定对象下生的每个对象的元数据中。

背景技术

许多存储系统通过访问控制列表来管理对存储内容的访问。访问控制列表为存储系统提供了一种用于控制对存储在数据库中的内容的访问的机制。例如，在对象层次结构(hierarchy)中，例如互连文件和文件夹的树中，层次结构内的每个对象(例如，每个文件夹、文件等)具有与特定对象一起存储的其自己的访问控制列表。用于每个对象的每个访问控制列表可以存储在每个对象的对象元数据中，或者可以存储在对象本身内。

在这样的对象层次结构中，子对象通常继承父对象的访问控制列表。因此，对访问控制列表的任何改变都需要改变对象层次结构中的用于每个后代对象的每个后代访问控制列表。此外，当改变特定子对象访问控制列表时，必须改变用于其后代对象的访问控制列表，但不需要改变用于其上代对象的访问控制列表。

发明内容

本说明书描述了与管理访问控制列表有关的技术。

通常，本说明书中描述的主题的一个创新方面可以体现在包括访问用于多个对象的对象层次结构的动作的方法中，每个对象代表存储位置或文件之一，每个存储位置可以存储一个或多个从属存储位置或文件。对于每个对象，层次结构包括相应的节点。对于具有子对象的父对象的每个对象，层次结构包括将表示父对象的节点连接到表示子对象的节点的有向边，其中至少一个对象由根对象表示，并且至少一个对象由叶对象表示。对于不是访问控制列表根对象的每个对象，其中访问控制列表根对象是该对象拥有访问控制列表的对象，层次结构包括元数据，该元对象包括标识用于对象的访问控制列表并且由访问控制列表根对象拥有的访问控制列表标识符。对于不是访问控制列表根对象的每个对象，层次结构包括接收对用于特定对象的访问控制列表的更新，以及对于每个更新确定特定对象是否是访问控制列表根对象。对于被确定为访问控制列表根对象的特定对象的每个更新，层次结构包括更新由访问控制列表根对象拥有的访问控制列表。对于未被确定为访问控制列表根对象的特定对象的每个更新，层次结构包括基于更新和由用于节点的访问控制列表标识符引用的访问控制列表生成新的访问控制列表，以及向特定对象设置新的访问控制列表的拥有权，使得该特定对象成为访问控制列表根对象。对于未被确定为访问控制列表根对象的特定对象的每个更新，层次结构包括生成标识新的访问控制列表的新的访问控制列表标识符，并将新的访问控制列表标识符存储在用于从特定对象下生(descend)并从特定对象继承访问控制列表的元数据中。该方面的其他实施例可以包括提供用于当子对象访问控制列表偏离其父对象访问控制列表时，或者当子对象具有两个以上父对象时修改访问控制列表的方法。该方面的其他实施例包括相应的系统、装置和计算机程序，被配置为执行在计算机存储设备上编码的方法的动作。

在为每个对象维护单独的访问控制列表的系统中，由于修改的访问控制列表的数量和由于层次结构中的改变传播而导致的延迟，改变大量访问控制列表可能需要长的完成时间。这可能导致临时访问控制列表错误，其中特定人员可能在访问被撤销之后访问特定对象，或者其中特定人员可能在访问被授权之后无法访问特定对象。另外，与实现如下面所描述的特征的系统所需的资源量相比，为每个文档、文件夹等存储访问控制列表可能使用相对大量的资源(例如，存储位置、存储器等)。