[发明专利]在局域网络服务器环境中支持分布计算机制的系统和方法

说明书

技术领域

本发明涉及计算机系统中的鉴别，更具体地，是涉及用户—服务器局域网络环境中的鉴别技术。

技术背景

在一般局域网络的建立对话中，传统上都经过一个过程，如图2所示，其中用户100和服务器102协商得出网络协议104(NP)。在这种协商中，就协议和有关的协议级别208取得一致(例如对应于CORE，局域网络2.1等)，为用户100确定对话秘钥106。

用户100通常向服务器102且更具体地是向重定向器116发送用户id、姓名和口令112等信息(图8)，而重定向器116起着与局域网络服务器102连接的网络接口的作用。重定向器116主要起网络接口的作用，并将盘驱动器和文件输入/输出重定向等。例如，如果用户连接到一个驱动器，对于用户来说它是一个本地驱动器。然而，重定向器主要起着可以将驱动器技术特性传送到管理该驱动器的实际的文件系统的作用，从而将来自用户的请求重定向到管理该驱动器的实际文件服务器，这种过程对于用户来说是透明的。

在传统的操作中，服务器102此时通常检验其数据库118(图3)，并根据用户id提取用户的口令和对话秘钥106(图2)，并判定是否符合。如果符合，服务器102就从服务器的本地数据库118中提取用户定义120。应该注意的是，这种对话秘钥106基本上是时间戳或序列数。在所考虑的实施方案中，为了本发明下面讨论中将会明确的理由，不采用数据库118，而采用分布计算环境(DCE)和相关的Kerberos登记122(图4)，更具体地，是其中驻留有用户定义的DCE的目录和保安服务器(DSS)部件。

因此可总结为，在登录时，当用户100在登录到分布计算环境时，协商一个协议104(图2)，其结果是被送回的协议级别208。在某些局域网络服务器环境—诸如IBM公司的局域网络Server Enterprise(LSE)产品中，希望采用DCE来鉴别对DCE的使用，并由此与连接到该局域网络的用户所用的DCE凭证相联系，因为这被认为是比通常的局域网络服务器鉴别机构更为安全的环境。因此，希望在登录时获得服务器102能够明白的DCE凭证，这种DCE凭证通常是通过远程过程调用(RPC)获得的。

然而，已经发现，在这种局域网络中会出现问题，其中没有为服务器102提供从用户100获得这种DCE凭证的机制。更具体地，在LSE和类似的局域网络产品的情况下，RPC调用没有在本地得到利用，而服务器需要获得真实的凭证以在建立对话期间对用户进行鉴别。这种凭证被用来确定对LSE资源的存取，而这种LSE资源是由POSIX存取控制清单(ACL)所保护的。因此，产生了一个严重的问题，即借助当前的协议(诸如通常由X/Open协会定义的，以服务器管理块(SMB)协议为代表)向服务器提供用于从用户获得这种DCE凭证的机制，而同时却仍然采用传统的局域网络服务器机制。

发明内容

在本发明的最佳实施例中，计算机化的局域网络中的局域网络服务器得到适当的配置，以使得它们能够利用它们已有的机制来传送类属安全子系统(GSS)的分布计算环境(DCE)凭证。X/Open定义的服务器管理块(SMB)协议得到扩展，以便利这种凭证的交换，其中服务器利用DCE提供的GSS API接口来获得并确认这种凭证。该GSS接口提供了包含有所有所需的信息的令牌，以进行用户与服务器之间的彼此鉴别。

在最佳实施例中，对于这种SMB协议扩展，定义了一种新的协议级别，在具体的实施例中，它包括在协商的协议(NP)SMB中交换的新的协议名。已有的局域网络服务器(例如IBM的局域网络Server Enterprise(LSE)产品)在响应中将SMB_secmode域中的一位(对于LSE为位2)置位，该位表示服务器支持secpkgX SMB交换。服务器随后将等待SMBsecpkgX或SMBsesssetupX请求。前一响应将允许用户和服务器交换GSS令牌并相互鉴别，并将进一步允许服务器能够从多个包中进行选择。已有的局域网络服务器产品将定义SMB_pkgname名下的一个新包，局域网络服务器将送出并识别该包以处理GSSDCE令牌。一旦该SMBsecpkgX已经流动，用户将被鉴别，因为该鉴别将分配并送回所需的数据结构，以使服务器对用户进行跟踪。