新一代互连网技术之网格计算虚拟的超级计算机 第21页

表4.2域间访问控制策略

表4.3 域间被访问控制策略

在每张访问控制策略表中，第一行代表资源，资源可以是某一域内的具体资源，也可以是一个域；第一列代表访问者，访问者可以是某一域内的具体用户，也可以是一个域。表中的内容代表不同访问者对不同资源的不同访问权限，其中R（Read）表示读权限，W（write）表示写权限，A（add）代表添加权限，D（delete）代表删除权限，All代表访问者对资源拥有一切操作的权限，No代表访问者对资源没有任何操作的权限。

假定A域内某一用户需要访问某一资源，他将访问控制请求发送给A服务器，如果用户访问的是本域内的某一资源，那A服务器读取域内访问控制策略，决定用户对该域内该资源的访问权限，然后根据用户的权限对用户对资源的请求进行访问控制处理。

假定A域内某一用户需要访问B域内的某一资源，交互过程如图6.5所示：

1)A域内的用户把对B域内资源的访问请求提交给A服务器；

2)A服务器查询自身文护的域间访问控制策略，取出该用户对B域的访问权限；

3)A服务器将用户的资源访问请求，连同用户对B域的访问权限数字签名后，提交给B服务器；

4)B服务器收到访问请求后，验证数字签名，验证通过后查询自身文护的域间被访问控制策略，取出A域对被访问资源的访问权限；

5)B服务器将A服务器提交的用户对B域的访问权限和A域对被访问资源的访问权限取交集，得到用户对资源的最终的访问权限。

6)B服务器将最终得到的访问权限经过自身的数字签名后发还给A服务器，再由A服务器发还给用户；

                            图6.5 MPBAC模型

7)用户将对资源的访问请求连同由B服务器签名的访问权限发给B域内的被访问资源；

8)B域内的被访问资源首先验证B服务器的数字签名，验证通过后比较用户的请求和用户的访问权限，若用户请求在用户的权限之内，则允许用户对自身的访问，若用户请求在用户的权限之外，则拒绝用户对自身的访问。

例如A域内的用户甲要对B域内的数据库进行Read的操作，A服务器收到请求后查询自身的域间访问控制策略得到甲对B域的访问权限为{R，W，D}，而B服务器收到请求后查询自身的域间被访问控制策略得到A域对数据库的访问权限为{R，W，A}，于是B域计算权限的交集为{R，W}，而甲的请求是对数据库进行Read操作，接受甲的访问请求。

 << 上一页  [21] [22] [23] [24] [25] [26] [27] [28] [29] [30]  ... 下一页  >>