[发明专利]用于管理安全对象的方法和系统

摘要

本发明提供一种用于监视访问控制决定的方法，即使它们没有全部记录在审计跟踪中。相反，维护一计数，其是通过在决定哪些授权可能已准许或拒绝访问时相关的所有参数总结的，所述参数包括但不限于主题、对象、访问级别和决定。经过一个（任意的，通常可配置）时间间隔之后，它被写出，作为我们所称的访问摘要记录。这有助于确保将数据丢失限制到最多一个时间间隔。有关这些时间间隔的信息可以进行整合以创建涵盖更长时间间隔的访问摘要记录。所述访问摘要记录与当前安全规则（访问控制数据库）进行比较以标记安全规则、安全属性或特定授权是否在所述访问摘要所涵盖的时间段内已使用（用于授权或拒绝）。可选的筛选步骤，其中例如可选择安全规则的子集，用于自动处理、人工批准或根本不做任何处理。可选的人工批准步骤，其中可以批准删除被标记为已使用的授权。

主权项

一种用于在计算机系统中管理用户对资源的访问的方法，包括以下步骤：‑接收有关所述用户请求访问所述资源的消息，所述访问与一访问级别关联，如果所述用户和所述资源之间存在用于所述访问级别的访问路径，则准许所述访问，所述访问路径包括：‑身份通告器，用于表示所述用户、所述用户作为成员的组或角色，以及‑访问控制描述符，用于表示所述身份被授权访问所述资源或包括所述资源的资源组所达到的访问级别；其中所述身份通告器和所述访问控制描述符均为安全对象，每个都包括表示其在授权访问资源时的使用的标志；‑响应于接收到所述消息，在记录中存储所述用户的第一标识符、所述资源的第二标识符、所述访问级别以及用于表示已请求访问的第一值；‑识别可用于判定是否授权所述用户以所述访问级别访问所述资源的所有访问路径；‑将这样识别的每个访问路径的安全对象的标志设置为所述第一值；‑接收另一安全对象，包括表示其在授权访问资源时的使用的标志；‑根据这样接收的所述另一安全对象的标志值，针对该对象作出决定。