[发明专利]一种大数据环境下的多粒度访问控制方法

摘要

本发明公开了一种大数据环境下的多粒度访问控制方法，其通过将文件层次的访问控制丰富成文件夹、文件、文件元数据三个层次的访问控制，实现多粒度的访问控制，从多个层面保障了大数据环境下的数据安全。在用户创建文件夹时指定基于文件夹的访问控制策略，上传文件时指定基于文件和文件元数据的访问控制策略，并且可选择对文件进行CPABE加密方式进行加密，使其以密文的形式存储在云端，适应了云端的半可信特性。当用户请求数据时，会依次判断文件夹的访问权限和文件的访问权限，只有同时满足条件时才能得到密文，并用自己的密钥进行解密。由于增加了策略冲突检测和策略合并模块，使整个系统的运行更加高效。

主权项

1.一种大数据环境下的多粒度访问控制方法，其特征在于，包括以下步骤：(1)客户端接收来自用户的请求，在接收到的该请求中添加用户令牌信息，并将添加了用户令牌信息以后的该请求转发到服务端；在接收到的该请求中添加用户令牌信息的过程具体包括以下子步骤：(1‑1)验证该用户是否合法，如果合法则构造该用户的身份令牌，然后转入步骤(1‑2)，否则过程结束；(1‑2)判断接收到的请求的类型，是文件夹粒度类型请求、文件粒度类型请求、以及元数据粒度类型请求，如果是文件夹粒度类型请求，则转入子步骤(1‑3)，如果是文件粒度类型请求，则转入子步骤(1‑6)，如果是元数据粒度类型请求，则转入子步骤(1‑13)；(1‑3)获取文件夹粒度类型请求对应的文件夹信息，并将该文件夹信息以及构造的用户的身份令牌发送给服务端；(1‑4)获取文件夹粒度类型请求中用户定义的文件夹访问控制策略，并将该文件夹访问控制策略发送到服务端；(1‑5)等待接收来自于服务端的处理结果，并将该处理结果反馈给用户，过程结束；(1‑6)判断该文件粒度类型请求是上传文件类型请求，还是下载文件类型请求，如果是上传文件类型请求，则转入步骤(1‑7)，如果是下载文件类型请求，则转入步骤(1‑11)；(1‑7)获取该上传文件类型请求对应的文件，并将该文件以及构造的用户的身份令牌发送给服务端；(1‑8)获取文件粒度类型请求中用户定义的文件访问控制策略，并将该文件访问控制策略发送到服务端；(1‑9)获取文件粒度类型请求中用户定义的文件元数据访问控制策略，并将该文件元数据访问控制策略发送到服务端；(1‑10)等待接收来自于服务端的处理结果，并将该处理结果反馈给用户，过程结束；(1‑11)获取该下载文件类型请求对应的文件名，并将该文件名作为参数以及构造的用户的身份令牌发送给服务端；(1‑12)等待接收来自于服务端的处理结果，并将该处理结果反馈给用户；(1‑13)获取元数据粒度类型请求对应的元数据请求信息，并将该元数据请求信息作为参数以及构造的用户的身份令牌发送给服务端；(1‑14)等待接收来自于服务端的处理结果，并将该处理结果反馈给用户，过程结束；(2)服务端判断接收到的请求的类型，是策略类型请求，还是文件数据类型请求，如果是策略类型请求，则转入步骤(3)，否则转入步骤(4)；(3)服务端针对读类型的策略类型请求，直接读取其本地存储的与该策略类型请求对应的策略；针对写类型的策略类型请求，根据该策略类型请求对应的粒度进行策略冲突检测以及策略合并操作，并将成功操作的结果存储在服务端本地，然后转入步骤(5)；(4)服务端根据请求类型参数读取其本地存储的策略，根据该策略以及用户的身份令牌判断该用户是否具有访问权限，并在该用户具有访问权限时执行与该文件数据类型请求对应的数据操作，以得到操作结果，然后转入步骤(5)；(5)服务端将操作结果反馈给客户端。