[发明专利]一种强制访问的控制方法和装置

权利要求书

1.一种强制访问的控制方法，其特征在于，包括：

对被访问的终端设备的主体和客体的访问权限进行配置，得到配置文件；其中，所述配置文件包括主体域和客体域，所述主体域对应有至少一个主体，所述客体域对应有至少一个客体，所述主体域具有对所述客体域的至少一个访问权限；

获取用户对被访问的终端设备的访问请求；其中，所述访问请求携带有该用户的访问权限、用于表征访问主体的第一属性信息和用于表征被访问客体的第二属性信息；

加载所述配置文件，根据预先设置好的映射关系以及该访问请求包括的第一属性信息和第二属性信息，确定与该用户对应的目标主体域和目标客体域；其中，所述映射关系包括：第一属性信息和主体域的对应关系，以及第二属性信息和客体域的对应关系；

基于该用户的访问权限以及所述目标主体域对所述目标客体域的访问权限，确定该用户的访问请求是否被允许；

所述配置文件还包括特殊标记信息，所述特殊标记信息用于指示预设的目标主体对预设的目标客体的访问权限；

在所述确定与该用户对应的目标主体域和目标客体域之后和在所述基于该用户的访问权限以及所述目标主体域对所述目标客体域的访问权限之前，进一步包括：

判断与该用户对应的访问主体和被访问客体是否具有特殊标记信息；

如果是，则基于该特殊标记信息、该用户的访问权限以及所述目标主体域对所述目标客体域的访问权限，确定该用户的访问请求是否被允许；

如果否，则执行所述基于该用户的访问权限以及所述目标主体域对所述目标客体域的访问权限，确定该用户的访问请求是否被允许；

所述基于该特殊标记信息、该用户的访问权限以及所述目标主体域对所述目标客体域的访问权限，确定该用户的访问请求是否被允许，包括：

判断该特殊标记信息对应的访问权限的类型是否包括该用户的访问权限的类型；

如果是，则确定该用户的访问请求被允许；

如果否，则执行：

确定待比较类型；其中，所述待比较类型为该用户的访问权限的类型中未被该特殊标记信息对应的访问权限的类型包括的类型；

判断所述目标主体域对所述目标客体域的访问权限的类型是否包括所述待比较类型；

如果是，则确定该用户的访问请求被允许；

如果否，则确定该用户的访问请求不被允许；

在所述确定该用户的访问请求不被允许之后，进一步包括：

获取用户对该访问请求的允许指令；其中，所述允许指令携带有该用户的访问请求不被允许的访问权限；

将所述允许指令携带的访问权限添加到该特殊标记信息中；

将该特殊标记信息对应的所有访问权限的类型进行整合。

2.根据权利要求1所述的方法，其特征在于，所述对被访问的终端设备的主体和客体的访问权限进行配置，包括：

基于预设的安全模型，确定第一主体域和第一客体域；其中，预设的安全模型包括BLP安全模型和BIBA安全模型；

基于所述第一主体域和所述第一客体域，对被访问的终端设备的第一主体和第一客体的访问权限进行配置；其中，所述第一主体域对应有至少一个所述第一主体，所述第一客体域对应有至少一个所述第一客体，所述第一主体域具有对所述第一客体域的至少一个访问权限；

基于获取到的用户的配置需求，确定第二主体域和第二客体域；其中，所述配置需求包括：所述第二主体域和被访问的终端设备的第二主体的对应关系，以及所述第二客体域和被访问的终端设备的第二客体的对应关系；

基于所述配置需求包括的对应关系、所述第二主体域和所述第二客体域，对被访问的终端设备的第二主体和第二客体的访问权限进行配置；其中，所述第二主体域对应有至少一个所述第二主体，所述第二客体域对应有至少一个所述第二客体，所述第二主体域具有对所述第二客体域的至少一个访问权限。

3.根据权利要求2所述的方法，其特征在于，在所述基于所述配置需求包括的对应关系、所述第二主体域和所述第二客体域，对被访问的终端设备的第二主体和第二客体的访问权限进行配置之后，进一步包括：

获取预先设置好的第三主体域和第三客体域；

基于所述第三主体域和所述第三客体域，对被访问的终端设备中未被配置的第三主体和第三客体的访问权限进行配置；其中，所述第三主体域对应有至少一个所述第三主体，所述第三客体域对应有至少一个所述第三客体，所述第三主体域具有对所述第三客体域的至少一个访问权限。