[发明专利]一种数据访问控制方法及装置有效
申请号: | 201910062322.1 | 申请日: | 2019-01-23 |
公开(公告)号: | CN109815654B | 公开(公告)日: | 2023-04-07 |
发明(设计)人: | 纪鹏 | 申请(专利权)人: | 浪潮通用软件有限公司 |
主分类号: | G06F21/30 | 分类号: | G06F21/30 |
代理公司: | 济南信达专利事务所有限公司 37100 | 代理人: | 李世喆 |
地址: | 250000 *** | 国省代码: | 山东;37 |
权利要求书: | 查看更多 | 说明书: | 查看更多 |
摘要: | |||
搜索关键词: | 一种 数据 访问 控制 方法 装置 | ||
本发明提供了一种数据访问控制方法及装置,该方法包括:构造以图为数据结构来表达实体关系的实体关系图;确定以图为数据结构进行表达的授权规则,授权规则具有如下特征:以一个或多个图表示实体原型之间的关系,使得可以此为基准判定是否允许一类授权主体对一类授权客体进行一个操作;图以实体原型为顶点,以实体原型之间的关系为边;图包含一个或多个路径,路径起点为授权主体的原型,路径终点为授权客体的原型;接收系统外的数据访问请求;根据数据访问请求、实体关系图和授权规则,利用图的路径遍历和路径的比对,判定数据访问控制结果。本方案实现了直觉化表达授权规则,从而允许授权规则包含层级授权、多级授权等复杂规则。
技术领域
本发明涉及计算机技术领域,特别涉及一种数据访问控制方法及装置。
背景技术
在计算机安全领域,广义的访问控制(access control)包括身份证明(identification)、认证(authentication)、授权(authorization)、访问批准 (accessapproval)和审计(audit)。狭义的访问控制可以只包括访问批准,在这个过程中,基于主体的已授权可以访问的内容,系统决定允许或者拒绝已认证主体对客体的访问请求。
在访问控制模型中,在系统中执行动作的实体称之为主体(subject),那些需要控制其访问的资源的实体称之为客体(object),授权(authorization) 指定主体可以做什么,涉及到定义主体的访问权。授权规则确定了主体在系统中所允许执行的操作。
数据访问控制系统通常采用基于角色的访问控制(Role-based access control,RBAC)或基于属性的权限控制(Attribute-based access control, ABAC)。
当前存在的方法在直觉化表达授权规则方面,以及实现多级实体授权方面存在不足。
发明内容
本发明提供了一种数据访问控制方法及装置,实现了直觉化表达授权规则,从而允许授权规则包含层级授权、多级授权等复杂规则。
为了达到上述目的,本发明是通过如下技术方案实现的:
一方面,本发明提供了一种数据访问控制方法,构造实体关系图,所述实体关系图以图为数据结构来表达实体关系;
确定以图为数据结构进行表达的授权规则,其中,所述授权规则具有如下3个特征:
a1.以一个或多个图表示实体原型之间的关系,使得可以此为基准判定是否允许一类授权主体对一类授权客体进行一个操作;
a2.图以实体原型为顶点,以实体原型之间的关系为边;
a3.图包含一个或多个路径,路径起点为授权主体的原型,路径终点为授权客体的原型;
还包括:
接收系统外的数据访问请求;
根据所述数据访问请求、所述实体关系图和所述授权规则,利用图的路径遍历和路径的比对,判定数据访问控制结果。
进一步地,所述实体关系图具有如下3个特征:
b1.以一个或多个图表示实体实例之间的关系,使得可以此为输入并参照所述授权规则,判定是否允许一个授权主体实例对一个授权客体实例进行一个操作;
b2.图以实体实例为顶点,以实体实例之间的关系为边;
b3.图包含一个或多个路径,路径起点为授权主体的一个实例,路径终点为授权客体的一个实例。
进一步地,所述根据所述数据访问请求、所述实体关系图和所述授权规则,利用图的路径遍历和路径的比对,判定数据访问控制结果,包括:
该专利技术资料仅供研究查看技术是否侵权等信息,商用须获得专利权人授权。该专利全部权利属于浪潮通用软件有限公司,未经浪潮通用软件有限公司许可,擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作,请联系【客服】
本文链接:http://www.vipzhuanli.com/pat/books/201910062322.1/2.html,转载请声明来源钻瓜专利网。
- 数据显示系统、数据中继设备、数据中继方法、数据系统、接收设备和数据读取方法
- 数据记录方法、数据记录装置、数据记录媒体、数据重播方法和数据重播装置
- 数据发送方法、数据发送系统、数据发送装置以及数据结构
- 数据显示系统、数据中继设备、数据中继方法及数据系统
- 数据嵌入装置、数据嵌入方法、数据提取装置及数据提取方法
- 数据管理装置、数据编辑装置、数据阅览装置、数据管理方法、数据编辑方法以及数据阅览方法
- 数据发送和数据接收设备、数据发送和数据接收方法
- 数据发送装置、数据接收装置、数据收发系统、数据发送方法、数据接收方法和数据收发方法
- 数据发送方法、数据再现方法、数据发送装置及数据再现装置
- 数据发送方法、数据再现方法、数据发送装置及数据再现装置