[发明专利]一种保证光传输网管网络安全的方法

权利要求书

1.一种保证光传输网管网络安全的方法，包括以下步骤：步骤一，部署服务；步骤二，初始化设置；步骤三，保障登陆安全性；步骤四，保障操作安全性；其特征在于：

其中在上述步骤一中，安装光传输网管时，部署安全服务、人脸认证服务、UKey服务、资源同步模块和资源建模注册模块；

其中在上述步骤二中，初始化网管设置包括以下步骤：

1)系统管理员使用用户权限管理功能，将网元物理资源划分给不同角色/用户供调控使用；完成划分后，具备资源调控权限的角色/用户可使用相应资源进行端到端业务的新建、删除和修改，不具备资源调控权限的角色/用户则无法使用相应资源进行端到端业务的新建、删除和修改；

2)用户使用网管的网元管理功能，对光传输网元设置鉴权粒度，属性取值为网元或端口，默认为网元；

3)用户在网管用户管理模块对用户管理的网元/单板/端口进行划分管理；

4)对指定功能开启用户操作鉴权，重要功能开启二次生物双因子鉴权；

其中在上述步骤三中，用户登录网管前，由系统管理员指定用户开启人脸识别+UKey双因子登录认证，双因子认证根据认证方式设置、人脸认证服务和UKey服务运行情况，从认证服务中获取最终的认证方式，双因子认证结果为两种认证方式结果的并集结果；

其中在上述步骤四中，用户下发操作时，首先通过业务模块判断是否需要进行当前操作的用户鉴权，若需要，则业务模块从安全服务获取用户鉴权模式，业务模块根据鉴权模式调用不同的鉴权前端服务，当前鉴权模式分为用户名/密码、人脸+UKey两种模式，网管比对当前用户信息和已登录账号信息；若比对结果不一致，则网管驳回操作指令；若比对结果一致，则业务模块依据该项操作的类别判断是否需要二次鉴权；若不需要二次鉴权，则网管正常下发操作指令；若需二次鉴权，则业务模块从安全服务获取二次鉴权模式，业务模块根据二次鉴权模式，调用不同的二次鉴权前端服务，当前二次鉴权分为用户名/密码、人脸+UKey两种模式；第二用户生物鉴权后，鉴权服务将鉴权结果返回，业务模块获取二次鉴权结果，若鉴权通过，则网管正常下发操作指令；若鉴权失败，则网管驳回操作指令。

2.根据权利要求1所述的一种保证光传输网管网络安全的方法，其特征在于：所述步骤一中，安全服务包含鉴权微服务和用户管理微服务。

3.根据权利要求1所述的一种保证光传输网管网络安全的方法，其特征在于：所述步骤一中，资源同步模块用于监听单板资源、网元资源的变更通知；资源建模注册模块用于注册新的资源模型，被注册的资源模型所对应的资源数据在网管数据库的资源表中可以进行保存。

4.根据权利要求3所述的一种保证光传输网管网络安全的方法，其特征在于：所述资源同步模块在网管运行期间的监听包括以下两种：一是对单板创建/删除/修改通知的监听：资源同步模块获取对应网元的鉴权粒度属性，若鉴权粒度为空或为网元，则丢弃该通知，不做任何处理；若鉴权粒度为端口，则三种通知的处理逻辑如下：创建通知：将单板数据及单板下的端口数据同步到资源库中，单板/端口数据需按父子关系体现，即：网元-单板-端口；删除通知：在资源库中同步删除对应的单板/端口数据；修改通知：光传输设备单板的端口数量发生变更时，此时同步更新资源库的端口数据；二是对网元属性变更通知的监听：当网元鉴权粒度属性发生变更，需要同步更新资源库中该网元的单板/端口数据；若鉴权粒度由”网元”变更为”端口”，则须将该网元的单板/端口数据同步到资源库；若“鉴权粒度”由”端口”变更为”网元”，则须同步删除资源库中该网元的单板/端口数据。

5.根据权利要求1所述的一种保证光传输网管网络安全的方法，其特征在于：所述步骤二1)中，划分的颗粒度支持整机、板卡和端口，其中，板卡包括线路板卡和支路板卡，端口包括线路端口和支路端口；资源划分授权实施步骤为：新增定义单板/端口资源，新定义两种资源模型：单板board，端口port，其中模型定义中的特定字段配置为支持网管的鉴权模块，资源建模注册模块在启动时，调用API注册资源模型，当API判断系统中已存在重复模型定义时，不再进行注册。