本發(fā)明涉及一種云計(jì)算數(shù)據(jù)中心的安全領(lǐng)域，尤其涉及一種訪問控制方法及平臺。

背景技術(shù)：

在云計(jì)算數(shù)據(jù)中心領(lǐng)域，saas(softwareasaservice)是一種新的軟件應(yīng)用模式,它極大地減少了企業(yè)在信息基礎(chǔ)設(shè)施上的投入。目前，saas模式大概可以分為四級成熟度，當(dāng)saas達(dá)到第三級成熟度即多租戶模式時，則要求saas能夠滿足租戶各自配置基礎(chǔ)數(shù)據(jù)并能夠隔離租戶間的數(shù)據(jù)，以此來使得每個租戶的數(shù)據(jù)足夠安全。此時，該模式是否足夠安全并具有相當(dāng)?shù)目晒芾硇允秦酱鉀Q的問題。多租戶模式使得處于同一實(shí)例的租戶數(shù)據(jù)有被其他租戶非法訪問的風(fēng)險(xiǎn)。

在目前存在的訪問控制方法中，主流使用的有：自主訪問控制(dac)、強(qiáng)制訪問控制(mac)、基于角色的訪問控制(rbac)。但對于saas模式來說，目前的研究中，大多都是基于傳統(tǒng)rbac模型的，傳統(tǒng)rabc模型為單層管理模型，即針對平臺層進(jìn)行訪問控制。平臺角色分為規(guī)則角色和管理角色，規(guī)則角色用來執(zhí)行平臺的業(yè)務(wù)功能，管理角色用來管理平臺中角色的創(chuàng)建、權(quán)限的分配。但是傳統(tǒng)rbac模型對整個平臺資源的分配和角色劃分都是全局性的，不能根據(jù)租戶需求進(jìn)行訪問控制策略定制，也不能將各租戶之間的規(guī)則、管理角色分開，進(jìn)而無法將同一平臺不同租戶的數(shù)據(jù)進(jìn)行隔離管理；同時，平臺管理員具有租戶管理員的部分權(quán)限，在權(quán)限繼承上會出現(xiàn)平臺管理員干預(yù)租戶業(yè)務(wù)的情況，從而影響租戶的數(shù)據(jù)安全性；傳統(tǒng)rbac模型也不能根據(jù)租戶需求對平臺功能資源進(jìn)行個性化定制，導(dǎo)致租戶需要為不必要的功能資源買單，從而降低租戶滿意度。

技術(shù)實(shí)現(xiàn)要素：

本發(fā)明要解決的主要技術(shù)問題是，提供一種訪問控制方法及平臺，以解決現(xiàn)有技術(shù)中不能將同一平臺中不同租戶的數(shù)據(jù)進(jìn)行隔離，導(dǎo)致各租戶的數(shù)據(jù)安全無法有效保證的技術(shù)問題。

為解決上述技術(shù)問題，本發(fā)明提供一種訪問控制方法，包括：

接收用戶向平臺發(fā)起的資源訪問請求，所述資源訪問請求包含所述用戶賬號和目標(biāo)資源；

根據(jù)所述用戶賬號獲取所述用戶所在租戶中對應(yīng)的角色及角色權(quán)限；

根據(jù)該角色權(quán)限判斷該角色是否具備訪問所述目標(biāo)資源的權(quán)限；

若具備訪問所述目標(biāo)資源的權(quán)限，提供目標(biāo)資源給所述用戶，若不具備訪問所述目標(biāo)資源的權(quán)限，拒絕提供目標(biāo)資源給所述用戶。

在本發(fā)明一種實(shí)施例中，在所述接收用戶向平臺發(fā)起的資源訪問請求之前還包括：

接收所述租戶向平臺發(fā)起的注冊申請并進(jìn)行審核；

審核通過后生成租戶管理員，并對所述租戶管理員選擇的資源進(jìn)行授權(quán)。

在本發(fā)明一種實(shí)施例中，所述審核通過后生成租戶管理員，并對所述租戶管理員選擇的資源進(jìn)行授權(quán)包括：

為所述租戶生成所述租戶管理員；

通過所述租戶管理員進(jìn)行角色創(chuàng)建、權(quán)限分配和資源選擇；

根據(jù)選擇的資源進(jìn)行授權(quán)。

在本發(fā)明一種實(shí)施例中，所述租戶管理員創(chuàng)建的角色包括租戶規(guī)則角色和租戶管理角色，所述租戶管理角色對所述租戶規(guī)則角色進(jìn)行管理。

在本發(fā)明一種實(shí)施例中，在對所述租戶管理員選擇的資源進(jìn)行授權(quán)之后， 且接收用戶向平臺發(fā)起的資源訪問請求之前還包括：

接收管理用戶向平臺發(fā)起的管理請求，所述管理請求包含所述管理用戶賬號和目標(biāo)管理對象；

根據(jù)所述管理用戶賬戶獲取所述管理用戶在所述租戶中對應(yīng)的角色及角色權(quán)限；

根據(jù)所述角色權(quán)限確定所述管理用戶的管理范圍；

根據(jù)所述管理范圍判斷該角色是否具備管理所述目標(biāo)管理對象的權(quán)限；

若具備管理所述目標(biāo)管理對象的權(quán)限，允許所述管理用戶對目標(biāo)管理對象進(jìn)行管理，若不具備管理所述目標(biāo)管理對象的權(quán)限，拒絕所述管理用戶對目標(biāo)管理對象進(jìn)行管理。

在本發(fā)明一種實(shí)施例中，所述平臺包含平臺規(guī)則角色和平臺管理角色，所述平臺管理角色對所述平臺規(guī)則角色進(jìn)行管理。

進(jìn)一步地，本發(fā)明還提供了一種訪問控制平臺，包括：

第三接收模塊，用于接收用戶向平臺發(fā)起的資源訪問請求，所述資源訪問請求包含所述用戶賬號和目標(biāo)資源；

第一獲取模塊，用于根據(jù)所述用戶賬號獲取所述用戶所在租戶中對應(yīng)的角色及角色權(quán)限；

第一判斷模塊，用于根據(jù)該角色權(quán)限判斷該角色是否具備訪問所述目標(biāo)資源的權(quán)限；

第一處理模塊，用于若具備訪問目標(biāo)資源的權(quán)限，提供目標(biāo)資源給所述用戶，若不具備訪問目標(biāo)資源的權(quán)限，拒絕提供目標(biāo)資源給所述用戶。

在本發(fā)明一種實(shí)施例中，在所述第三接收模塊接收用戶向平臺發(fā)起的資源訪問請求之前還包括：

第一接收模塊，用于接收所述租戶向平臺發(fā)起的注冊申請并進(jìn)行審核；

授權(quán)模塊，用于審核通過后生成租戶管理員，并對所述租戶管理員選擇的資源進(jìn)行授權(quán)。

在本發(fā)明一種實(shí)施例中，所述授權(quán)模塊包括：

生成子模塊，用于為所述租戶生成所述租戶管理員；

配置子模塊，用于通過所述租戶管理員進(jìn)行角色創(chuàng)建、權(quán)限分配和資源選擇；

授權(quán)子模塊，用于根據(jù)選擇的資源進(jìn)行授權(quán)。

在本發(fā)明一種實(shí)施例中，在所述授權(quán)模塊根據(jù)選擇的資源進(jìn)行授權(quán)之后，且所述第三接收模塊接收用戶向平臺發(fā)起的資源訪問請求之前還包括：

第二接收模塊，用于接收管理用戶向平臺發(fā)起的管理請求，所述管理請求包含所述管理用戶賬戶和目標(biāo)管理對象；

第二獲取模塊，用于根據(jù)所述管理用戶賬戶獲取所述管理用戶在所述租戶中對應(yīng)的角色及角色權(quán)限；

確定模塊，用于根據(jù)所述角色權(quán)限確定所述管理用戶的管理范圍；

第二判斷模塊，用于根據(jù)所述管理范圍判斷該角色是否具備管理所述目標(biāo)管理對象的權(quán)限；

第二處理模塊，用于若具備管理權(quán)限所述目標(biāo)管理對象的權(quán)限，允許所述管理用戶對目標(biāo)管理對象進(jìn)行管理，若不具備管理權(quán)限所述目標(biāo)管理對象的權(quán)限，拒絕所述管理用戶對目標(biāo)管理對象進(jìn)行管理。

本發(fā)明的有益效果是：

本發(fā)明提供了一種訪問控制方法及平臺，包括：接收用戶向平臺發(fā)起的資源訪問請求，該資源訪問請求包含用戶賬號和目標(biāo)資源；根據(jù)該用戶賬號獲取 用戶所在租戶中對應(yīng)的角色及角色權(quán)限，然后根據(jù)該角色權(quán)限判斷該角色是否具備訪問目標(biāo)資源的權(quán)限，若具備訪問所述目標(biāo)資源的權(quán)限，提供目標(biāo)資源給所述用戶，若不具備訪問所述目標(biāo)資源的權(quán)限，拒絕提供目標(biāo)資源給所述用戶。通過本發(fā)明的實(shí)施，當(dāng)用戶在平臺中進(jìn)行資源訪問時，通過用戶所在租戶的角色權(quán)限驗(yàn)證該用戶是否具備訪問該目標(biāo)資源的權(quán)限，有效的將不同租戶的數(shù)據(jù)進(jìn)行隔離，從而保證在同一平臺下的每個租戶數(shù)據(jù)安全。而現(xiàn)有的基于角色的訪問控制模型是單層管理模型，其訪問控制策略使得整個系統(tǒng)資源的分配、角色等級的劃分都是全局性的，導(dǎo)致租戶不能自主進(jìn)行角色劃分、權(quán)限分配和資源選擇，同時在進(jìn)行資源訪問時對于同一平臺中的不同租戶的數(shù)據(jù)也不能進(jìn)行有效隔離管理，從而無法保障租戶的隱私安全。相比之下，本申請?zhí)峁┑脑L問控制方法通過將各租戶的數(shù)據(jù)進(jìn)行隔離，更靈活有效的提升租戶隱私的安全性。

此外，本申請將租戶概念引入基于角色的訪問控制模型中，增加了租戶規(guī)則角色和租戶管理角色，將單層管理模型擴(kuò)展為兩層管理管理模型(即平臺層和租戶層)，使得平臺與租戶管理模型之間部分分開，避免平臺管理員對租戶的干預(yù)，同時，租戶可根據(jù)自身需求進(jìn)行差異化定制，從而避免用戶為不需要的平臺資源買單。

附圖說明

圖1為本發(fā)明實(shí)施例一提供的saas系統(tǒng)結(jié)構(gòu)示意圖；

圖2為本發(fā)明實(shí)施例一提供的用戶資源訪問控制流程圖；

圖3為本發(fā)明實(shí)施例一提供的企業(yè)注冊流程圖；

圖4為本發(fā)明實(shí)施例一提供的管理用戶管理控制流程圖；

圖5為本發(fā)明實(shí)施例二提供的訪問控制平臺示意圖。

具體實(shí)施方式

下面通過具體實(shí)施方式結(jié)合附圖對本發(fā)明作進(jìn)一步詳細(xì)說明。

實(shí)施例一：

本發(fā)明提供了一種訪問控制方法，請參見圖1所示的saas系統(tǒng)結(jié)構(gòu)示意圖。圖1中，包含以下幾個基本元素：

租戶，指saas(softwareasaservice，軟件即服務(wù))平臺的使用企業(yè)，記作t＝{t1,t2,...,tn}，表示所有租戶的集合。

用戶，指可以獨(dú)立訪問平臺中的資源的主體，各用戶只能在租戶許可的范圍內(nèi)訪問平臺的資源，記作u＝{u1,u2,...,un}，表示所有用戶的集合；在saas平臺中，租戶t的用戶集為u(t)，而saas平臺管理員為u(pa)。

角色，指組織或任務(wù)中的工作或崗位，在saas平臺中角色包括租戶規(guī)則角色r、租戶管理角色ar、平臺規(guī)則角色par和平臺管理角色paar。其中，r(t)、ar(t)分別表示租戶t的規(guī)則角色集和管理角色集。

訪問權(quán)限，指允許對資源進(jìn)行的各項(xiàng)操作，訪問權(quán)限分為：

租戶規(guī)則權(quán)限：p＝{p1,p2,...,pn}

租戶管理權(quán)限：ap＝{ap1,ap2,...,apn}

平臺規(guī)則權(quán)限：pap＝{pap1,pap2,...,papn}

平臺管理權(quán)限：paap＝{paap1,paap2,...,paapn}

用p(t)、ap(t)分別表示租戶t的規(guī)則權(quán)限集和管理權(quán)限集。

資源，指所有需要設(shè)置權(quán)限的資源通稱，如某部分?jǐn)?shù)據(jù)，記作res＝{res1,res2,...,resn}。其中res(t)表示租戶t的資源集合。

操作，指對資源的操作，比如刪除、增加，記作opera＝{opera1,opera2,...,operan}，表示所有操作集，如讀、寫、執(zhí)行。其中opera(t)表示租戶t的操作集。

par/pap(platformrole/platformpermission)，指平臺規(guī)則角色/權(quán)限，這些角色使用這些權(quán)限來負(fù)責(zé)平臺日常維護(hù)，包括租戶賬號審核、租戶狀態(tài)管理、租戶費(fèi)用管理，租戶權(quán)限的管理。但是平臺管理員沒有任何權(quán)限干涉租戶的具體業(yè)務(wù)，一般部署該服務(wù)的企業(yè)才會是平臺管理員。

paar/paap(platformadministrativerole/platformadministrativepermission)，指平臺管理角色/權(quán)限，這些角色使用這些權(quán)限來維護(hù)平臺規(guī)則角色等，一般整個saas平臺中也只有較少幾個這樣的角色。

papac/paapac：平臺規(guī)則權(quán)限/平臺管理權(quán)限分配約束，定義平臺規(guī)則權(quán)限/平臺管理權(quán)限在分配給規(guī)則角色/管理角色時的相關(guān)約束條件。

pauac/paauac，指平臺規(guī)則角色-用戶/平臺管理角色-用戶分配約束，定義了將平臺規(guī)則角色/平臺管理角色分配給用戶時的相關(guān)約束條件。

t(tenant)，指租戶，單個租戶包含多個規(guī)則角色r、規(guī)則權(quán)限p、管理角色ar、管理權(quán)限ap，而會話集s、約束集c中為所有租戶各自的會話集的合集。并且由于平臺管理角色paar與租戶沒有關(guān)系，平臺對租戶的管理通過平臺規(guī)則角色pap來完成。租戶部分，規(guī)則角色、管理角色以及用戶之間的關(guān)系與平臺部分類似，這里不再贅述。

此外，平臺部分與租戶部分的1:n關(guān)系，表示該模型的平臺控制結(jié)構(gòu)只有一個，而可以有多個租戶控制結(jié)構(gòu)，由各租戶自行實(shí)現(xiàn)。

進(jìn)一步地，在上述基本元素的基礎(chǔ)上，請參見圖2，圖2為本實(shí)施例提供的用戶資源訪問控制流程圖。在本實(shí)施例中，訪問控制方法的步驟具體如下：

s201，接收用戶向平臺發(fā)起的資源訪問請求，資源訪問請求包含用戶賬號和目標(biāo)資源；

s202，根據(jù)用戶賬號獲取用戶所在租戶中對應(yīng)的角色及角色權(quán)限；

s203，根據(jù)該角色權(quán)限判斷該角色是否具備訪問目標(biāo)資源的權(quán)限，若具備訪問所述目標(biāo)資源的權(quán)限，請轉(zhuǎn)入s204步驟，若不具備訪問所述目標(biāo)資源的權(quán)限，請轉(zhuǎn)入s205步驟；

s204，提供目標(biāo)資源給該用戶；

s205，拒絕提供目標(biāo)資源給所述用戶。

通過上述方法，平臺獲取用戶在租戶中分配到的角色以及該角色對應(yīng)的角色權(quán)限，根據(jù)角色權(quán)限確定租戶分配給用戶的資源，該資源是由租戶從系統(tǒng)中選擇的資源提供，然后驗(yàn)證用戶請求訪問的目標(biāo)資源是否在租戶分配給用戶的資源中，若是，則正常進(jìn)行目標(biāo)資源訪問，反之，結(jié)束訪問。有效的驗(yàn)證用戶是否具備訪問目標(biāo)資源的權(quán)限，進(jìn)而將各租戶間的數(shù)據(jù)進(jìn)行隔離，保障租戶數(shù)據(jù)安全。

進(jìn)一步地，在平臺接收用戶發(fā)起的資源訪問請求之前，租戶需向平臺發(fā)起注冊申請，申請通過后租戶(即企業(yè))中的用戶才可正常進(jìn)行資源訪問。請參見圖3，租戶在平臺的注冊流程如下：

s301，接收租戶向平臺發(fā)起的注冊申請并進(jìn)行審核；

s302，審核通過后生成租戶管理員，并對租戶管理員選擇的資源進(jìn)行授權(quán)。

進(jìn)一步地，租戶向平臺申請注冊時，包括租戶企業(yè)名稱等租約相關(guān)信息，并設(shè)置管理員賬號，然后平臺方(即運(yùn)營服務(wù)提供商)對租戶進(jìn)行審核，在審核通過后為租戶生成租戶管理員，該租戶管理員代表租戶，并通過該租戶管理員對租戶進(jìn)行角色劃分、權(quán)限分配以及系統(tǒng)資源選擇等初始化工作。具體的，租戶管理員創(chuàng)建租戶規(guī)則角色和租戶管理角色，租戶管理角色對租戶規(guī)則角色進(jìn)行管理，不同的租戶規(guī)則角色和不同的租戶管理角色賦予對應(yīng)的角色權(quán)限，如：租戶管理角色對其在租戶中的管理范圍進(jìn)行劃分，租戶規(guī)則角色對其在租 戶中所需的資源進(jìn)行選擇，然后運(yùn)營服務(wù)提供商根據(jù)租戶規(guī)則角色從系統(tǒng)中選擇的資源進(jìn)行收費(fèi)，并授權(quán)租戶規(guī)則角色使用其定制的系統(tǒng)功能，最后租戶企業(yè)就可正常進(jìn)行租戶業(yè)務(wù)。通過該注冊流程，解決了平臺中系統(tǒng)資源的按需授予，將系統(tǒng)資源按租戶需求從總資源池中映射出子資源池給租戶，然后租戶對子資源池進(jìn)行自主分配，該方法簡單且便于租戶租費(fèi)的計(jì)算和收取，亦可避免租戶為不必要的資源買單，從而造成資源浪費(fèi)的情況。應(yīng)該注意的是，資源包括各種基礎(chǔ)數(shù)據(jù)以及各種系統(tǒng)功能。

進(jìn)一步地，在租戶企業(yè)成功注冊并獲取平臺授權(quán)之后，且在用戶對平臺發(fā)起資源訪問請求之前，還包括對租戶管理用戶的管理權(quán)限進(jìn)行驗(yàn)證的流程，該管理控制流程與普通用戶的資源訪問控制流程相對應(yīng)，請參見圖4，圖4為本實(shí)施例提供的管理用戶管理控制流程圖，具體管理控制流程如下：

s401，接收管理用戶向平臺發(fā)起的管理請求，該管理請求包含管理用戶賬號和目標(biāo)管理對象；

s402，根據(jù)管理用戶賬號獲取管理用戶在租戶中對應(yīng)的角色及角色權(quán)限；

s403，根據(jù)角色權(quán)限確定管理用戶的管理范圍；

s404，根據(jù)管理范圍判斷該角色是否具備管理目標(biāo)管理對象的權(quán)限，若具備管理所述目標(biāo)管理對象的權(quán)限，請轉(zhuǎn)入s405步驟，若不具備管理所述目標(biāo)管理對象的權(quán)限，請轉(zhuǎn)入s406步驟；

s405，允許管理用戶對目標(biāo)管理對象進(jìn)行管理；

s406，拒絕管理用戶對目標(biāo)管理對象進(jìn)行管理。

在上述管理控制流程中，管理用戶為租戶中管理角色對應(yīng)的用戶，普通用戶為租戶中規(guī)則角色對應(yīng)的用戶，管理用戶對普通用戶進(jìn)行權(quán)限分配、資源劃分等管理。平臺在接收管理用戶發(fā)起的管理請求時，管理請求中包含管理用戶 的登錄信息，登錄信息中含有管理用戶賬號以及目標(biāo)管理對象，該目標(biāo)管理對象為管理用戶請求管理的其所在租戶中的相應(yīng)信息，相應(yīng)信息包括但不限于普通用戶的角色權(quán)限和角色等級。管理用戶對該相應(yīng)信息進(jìn)行管理前，首先需要通過平臺進(jìn)行驗(yàn)證，驗(yàn)證其是否具備管理該相應(yīng)信息的權(quán)限，即驗(yàn)證其管理的目標(biāo)管理對象是否超過其職責(zé)管理范圍。如果驗(yàn)證未通過，平臺拒絕管理用戶的管理請求，通過該方法，有效的控制租戶管理用戶的管理范圍，使得租戶的管理行為都在自身的安全域內(nèi)進(jìn)行，該租戶不會干擾到其他租戶，當(dāng)然其他租戶也不會干擾到該租戶本身。

通過該訪問控制平臺，各租戶企業(yè)可以很方便地對租戶業(yè)務(wù)進(jìn)行執(zhí)行，對租戶內(nèi)部進(jìn)行管理。當(dāng)租戶企業(yè)中某個用戶職位發(fā)生變化時，其管理權(quán)限也相應(yīng)變化，本實(shí)施例提供的方法可以很靈活的對該用戶對應(yīng)的角色進(jìn)行調(diào)整，管理用戶也相應(yīng)的對該角色賦予對應(yīng)的權(quán)限，真正實(shí)現(xiàn)saas第三級成熟度模型，實(shí)現(xiàn)租戶數(shù)據(jù)的有效隔離。

進(jìn)一步地，提供平臺服務(wù)的運(yùn)營服務(wù)提供商中的平臺角色包括平臺管理角色和平臺規(guī)則角色，其中，平臺管理角色通常在整個saas平臺中只有較少的幾個，其主要對平臺規(guī)則角色進(jìn)行管理；而平臺管理角色相對要多些，主要負(fù)責(zé)對平臺的日常維護(hù)，包括租戶賬號審核、租戶狀態(tài)管理、租戶費(fèi)用管理以及租戶權(quán)限的管理，但是平臺管理員沒有任何權(quán)限干涉租戶的具體業(yè)務(wù)，一般部署該服務(wù)的企業(yè)才會是平臺管理員。此外，在模型中引入平臺管理用戶類型和租戶管理用戶類型，實(shí)現(xiàn)平臺管理、租戶管理的職能分離，進(jìn)而消除了平臺管理員和租戶管理員權(quán)限的繼承關(guān)系，實(shí)現(xiàn)平臺安全管理。

由于本實(shí)施例引入租戶概念，在租戶系統(tǒng)中分別增加了租戶-用戶管理，租戶-角色管理，租戶-權(quán)限管理，通過該管理模型，有效地對統(tǒng)一系統(tǒng)中的不同 租戶的數(shù)據(jù)進(jìn)行隔離管理，并且將基于角色訪問控制模型的單層管理模型擴(kuò)展到兩層管理模型(平臺層到租戶層)，使得平臺與租戶管理模型之間得以部分分開，以實(shí)現(xiàn)平臺管理者對租戶的不可干預(yù)，有效保障各租戶的隱私。

在本實(shí)施例中，上述流程均基于以下規(guī)則定義進(jìn)行執(zhí)行，具體定義如下：

租戶規(guī)則部分定義：

其中x∈{r,u,p}；

表示從角色集/用戶集/權(quán)限集到租戶集的多對一映射。

其中x∈{u,p,r}；

表示從角色集到用戶集/權(quán)限集/角色集的多對多映射。

租戶管理部分定義：

其中x∈{ar,ap}；

表示從管理角色集/管理權(quán)限集到租戶集的多對一映射。

其中x∈{u,ap,ar}；

表示從管理角色集到用戶/管理權(quán)限集/管理角色集的多對多映射。

平臺規(guī)則部分定義：

其中x∈{pap,u,par}；

表示某saas應(yīng)用中，從saas平臺規(guī)則角色集到saas平臺規(guī)則權(quán)限集/用戶/平臺規(guī)則角色集的多對多映射。

平臺管理部分定義：

其中x∈{paap,u,paar}；

表示某saas應(yīng)用中，從saas平臺管理角色集到saas平臺管理權(quán)限集/用戶/平臺管理角色集的多對多映射。

映射定義：

permission：opera->res；

表示操作到資源的映射關(guān)系，用(opera，res)二元組表示，如：

(read,res1)∈permission，表示對res1具有讀取權(quán)限。

users：s->u；

表示會話到用戶的映射關(guān)系，用(session，user)表示，如：

(session1,user1)∈users，表示session1是屬于用戶user1的會話。

roles：roles:s→2^{rt∪art∪par∪paar}；

表示會話到角色集的映射關(guān)系，用二元組(session,roleset)表示，如：(session1,roleset1)∈roles，表示session1所具有的相應(yīng)角色集，其中roleset表示一組角色的集合。并且有：(在實(shí)現(xiàn)時，可以將服務(wù)提供商視為一個特別的租戶)

其中，會話權(quán)限如下：

由于管理權(quán)限只能賦予管理角色，規(guī)則權(quán)限只能賦予規(guī)則角色，所以租戶規(guī)則權(quán)限、租戶管理權(quán)限、平臺規(guī)則權(quán)限、平臺管理權(quán)限兩兩無交集。

實(shí)施例二：

請參見圖5，圖5為本實(shí)施例提供的訪問控制平臺示意圖；此外，上述基本元素和規(guī)則定義同樣適用于本實(shí)施例，這里不再闡述。

在本實(shí)施例中，訪問控制平臺5包括：

第三接收模塊501，用于接收用戶向平臺發(fā)起的資源訪問請求，資源訪問請求包含用戶賬號和目標(biāo)資源；

第一獲取模塊502，用于根據(jù)用戶賬號獲取用戶所在租戶中對應(yīng)的角色及角 色權(quán)限；

第一判斷模塊503，用于根據(jù)該角色權(quán)限判斷該角色是否具備訪問目標(biāo)資源的權(quán)限；

第一處理模塊504，用于若具備訪問目標(biāo)資源的權(quán)限，提供目標(biāo)資源給所述用戶，若不具備訪問目標(biāo)資源的權(quán)限，拒絕提供目標(biāo)資源給所述用戶。

通過上述訪問控制平臺5，在獲取用戶在租戶中分配到的角色以及該角色對應(yīng)的角色權(quán)限后，根據(jù)角色權(quán)限確定租戶分配給用戶的資源，該資源是由租戶從系統(tǒng)中選擇的資源提供，然后驗(yàn)證用戶請求訪問的目標(biāo)資源是否在租戶分配給用戶的資源中，若是，則正常進(jìn)行目標(biāo)資源訪問，反之，拒絕目標(biāo)資源的訪問，有效的驗(yàn)證用戶是否具備訪問目標(biāo)資源的權(quán)限，進(jìn)而將各租戶間的數(shù)據(jù)進(jìn)行隔離，保障租戶數(shù)據(jù)安全。

進(jìn)一步地，在第三接收模塊501接收用戶向平臺發(fā)起的資源訪問請求之前，租戶需向平臺發(fā)起注冊申請，申請通過后租戶(即企業(yè))中的用戶才可正常進(jìn)行資源訪問，因此還包括以下模塊：

第一接收模塊505，用于接收所述租戶向平臺發(fā)起的注冊申請并進(jìn)行審核；

授權(quán)模塊506，用于審核通過后生成租戶管理員，并對租戶管理員選擇的資源進(jìn)行授權(quán)。

其中，授權(quán)模塊506包括：

生成子模塊5061，用于為租戶生成租戶管理員；

配置子模塊5062，用于通過租戶管理員進(jìn)行角色創(chuàng)建、權(quán)限分配和資源選擇；

授權(quán)子模塊5063，用于根據(jù)選擇的資源進(jìn)行授權(quán)。

上述子模塊具體為：租戶向平臺申請注冊時，注冊的信息包括租戶企業(yè)名 稱等租約相關(guān)信息，同時設(shè)置管理員賬號，然后平臺方(即運(yùn)營服務(wù)提供商)對租戶進(jìn)行審核，在審核通過后生成子模塊5061為租戶生成租戶管理用戶，該租戶管理用戶代表租戶，對租戶執(zhí)行角色劃分、權(quán)限分配以及系統(tǒng)資源選擇等初始化工作。具體的，租戶管理用戶創(chuàng)建租戶規(guī)則角色和租戶管理角色，不同的租戶規(guī)則角色和不同的租戶管理角色賦予對應(yīng)的角色權(quán)限，如租戶管理角色對其在租戶中的管理范圍進(jìn)行劃分，租戶規(guī)則角色對其在租戶中所需的資源進(jìn)行選擇。然后運(yùn)營服務(wù)提供商通過授權(quán)子模塊5063根據(jù)租戶規(guī)則角色從系統(tǒng)中選擇的資源進(jìn)行收費(fèi)，并授權(quán)租戶規(guī)則角色使用其定制的系統(tǒng)功能，最后租戶企業(yè)正常進(jìn)行租戶業(yè)務(wù)，使得平臺中系統(tǒng)資源能按需授予，將系統(tǒng)資源按租戶需求從總資源池中映射出子資源池給租戶，然后租戶對子資源池進(jìn)行自主分配，避免租戶為不必要的資源買單，從而造成資源浪費(fèi)。

此外，在授權(quán)模塊506根據(jù)選擇的資源進(jìn)行授權(quán)之后，且第三接收模塊501接收用戶向平臺發(fā)起的資源訪問請求之前還包括：

第二接收模塊507，用于接收管理用戶向平臺發(fā)起的管理請求，所述管理請求包含所述管理用戶賬號和目標(biāo)管理對象；

第二獲取模塊508，用于根據(jù)所述管理用戶賬號獲取所述管理用戶在所述租戶中對應(yīng)的角色及角色權(quán)限；

確定模塊509，用于根據(jù)所述角色權(quán)限確定所述管理用戶的管理范圍；

第二判斷模塊510，用于根據(jù)所述管理范圍判斷該角色是否具備管理所述目標(biāo)管理對象的權(quán)限；

第二處理模塊511，用于若具備管理權(quán)限所述目標(biāo)管理對象的權(quán)限，允許所述管理用戶對目標(biāo)管理對象進(jìn)行管理，若不具備管理權(quán)限所述目標(biāo)管理對象的權(quán)限，拒絕所述管理用戶對目標(biāo)管理對象進(jìn)行管理。

在上述各模塊中，管理用戶為租戶中管理角色對應(yīng)的用戶，普通用戶為租戶中規(guī)則角色對應(yīng)的用戶，管理用戶對普通用戶進(jìn)行權(quán)限分配、資源劃分等管理。平臺在接收管理用戶發(fā)起的管理請求時，管理請求中包含管理用戶的登錄信息，登錄信息中含有管理用戶賬號以及目標(biāo)管理對象，該目標(biāo)管理對象為管理用戶請求管理的其所在租戶中的相應(yīng)信息，相應(yīng)信息包括但不限于普通用戶的角色權(quán)限和角色等級。管理用戶對該相應(yīng)信息進(jìn)行管理前，首先需要通過平臺進(jìn)行驗(yàn)證，驗(yàn)證其是否具備管理該相應(yīng)信息的權(quán)限，即驗(yàn)證其管理的目標(biāo)管理對象是否超過其職責(zé)管理范圍。如果驗(yàn)證未通過，平臺拒絕管理用戶的管理請求，通過該方法，有效的控制租戶管理用戶的管理范圍，使得租戶的管理行為都在自身的安全域內(nèi)進(jìn)行，該租戶不會干擾到其他租戶，當(dāng)然其他租戶也不會干擾到該租戶本身。

顯然，本領(lǐng)域的技術(shù)人員應(yīng)該明白，上述本發(fā)明的各模塊或各步驟可以用通用的計(jì)算裝置來實(shí)現(xiàn)，它們可以集中在單個的計(jì)算裝置上，或者分布在多個計(jì)算裝置所組成的網(wǎng)絡(luò)上，可選地，它們可以用計(jì)算裝置可執(zhí)行的程序代碼來實(shí)現(xiàn)，從而，可以將它們存儲在存儲介質(zhì)(rom/ram、磁碟、光盤)中由計(jì)算裝置來執(zhí)行，并且在某些情況下，可以以不同于此處的順序執(zhí)行所示出或描述的步驟，或者將它們分別制作成各個集成電路模塊，或者將它們中的多個模塊或步驟制作成單個集成電路模塊來實(shí)現(xiàn)。所以，本發(fā)明不限制于任何特定的硬件和軟件結(jié)合。

以上內(nèi)容是結(jié)合具體的實(shí)施方式對本發(fā)明所作的進(jìn)一步詳細(xì)說明，不能認(rèn)定本發(fā)明的具體實(shí)施只局限于這些說明。對于本發(fā)明所屬技術(shù)領(lǐng)域的普通技術(shù)人員來說，在不脫離本發(fā)明構(gòu)思的前提下，還可以做出若干簡單推演或替換， 都應(yīng)當(dāng)視為屬于本發(fā)明的保護(hù)范圍。