一種網(wǎng)絡(luò)存儲(chǔ)設(shè)備的訪問(wèn)控制方法，屬于計(jì)算機(jī)網(wǎng)絡(luò)存儲(chǔ)系統(tǒng)，解決現(xiàn)有訪問(wèn)控制方法維護(hù)和管理一個(gè)集中的訪問(wèn)控制列表，形成性能瓶頸，影響存儲(chǔ)系統(tǒng)性能和可擴(kuò)展性的問(wèn)題。本發(fā)明專(zhuān)利技術(shù)包括創(chuàng)建對(duì)象步驟和對(duì)象操作步驟，網(wǎng)絡(luò)存儲(chǔ)設(shè)備存儲(chǔ)用戶(hù)所需的數(shù)據(jù)對(duì)象和目錄對(duì)象，它們均由屬性部分和數(shù)據(jù)部分組成，屬性部分包括訪問(wèn)控制列表。本發(fā)明專(zhuān)利技術(shù)將訪問(wèn)控制列表作為數(shù)據(jù)對(duì)象的安全屬性和數(shù)據(jù)一起存儲(chǔ)，定義了訪問(wèn)控制列表的繼承規(guī)則和訪問(wèn)控制項(xiàng)的優(yōu)先級(jí)，提高了數(shù)據(jù)訪問(wèn)控制的靈活性，在讀取用戶(hù)所要操作的數(shù)據(jù)的同時(shí)，定位了相應(yīng)的訪問(wèn)控制列表，實(shí)現(xiàn)分布式訪問(wèn)控制，極大程度地減少了分布式存儲(chǔ)系統(tǒng)的訪問(wèn)控制開(kāi)銷(xiāo)，提高了系統(tǒng)的可擴(kuò)展性。
【技術(shù)實(shí)現(xiàn)步驟摘要】
本專(zhuān)利技術(shù)屬于計(jì)算機(jī)網(wǎng)絡(luò)存儲(chǔ)系統(tǒng)，具體涉及一種網(wǎng)絡(luò)存儲(chǔ)設(shè)備的訪 問(wèn)控制方法。
技術(shù)介紹
互聯(lián)網(wǎng)的擴(kuò)展使得數(shù)據(jù)信息呈幾何級(jí)數(shù)爆炸性增長(zhǎng)，圖靈獎(jiǎng)得主Jim Gray指出網(wǎng)絡(luò)環(huán)境下每18個(gè)月新增的數(shù)據(jù)量等于有史以來(lái)數(shù)據(jù)量的總 和。數(shù)字圖書(shū)館、電子商務(wù)、醫(yī)學(xué)影像、生物工程、科學(xué)計(jì)算、虛擬現(xiàn) 實(shí)、數(shù)字化地球、網(wǎng)站多媒體等應(yīng)用的不斷發(fā)展，對(duì)建立高性能、高可 靠的海量信息存儲(chǔ)系統(tǒng)提出了需求，未來(lái)的存儲(chǔ)系統(tǒng)其規(guī)模將達(dá)到PB 級(jí)。PB級(jí)高性能網(wǎng)絡(luò)存儲(chǔ)系統(tǒng)具有成百上千的存儲(chǔ)設(shè)備，需要同時(shí)對(duì)大 量用戶(hù)提供并發(fā)和突發(fā)的服務(wù)。最近幾年，對(duì)PB級(jí)網(wǎng)絡(luò)存儲(chǔ)系統(tǒng)的構(gòu)建技術(shù)展開(kāi)了大量研究，目前 已經(jīng)構(gòu)建和正在使用的海量網(wǎng)絡(luò)存儲(chǔ)系統(tǒng)，如附網(wǎng)存儲(chǔ)系統(tǒng)或?qū)ο蟠鎯?chǔ) 系統(tǒng)，多包括應(yīng)用客戶(hù)、元數(shù)據(jù)服務(wù)器和存儲(chǔ)設(shè)備三個(gè)主要的部分，將 存儲(chǔ)設(shè)備直連到網(wǎng)絡(luò)上，元數(shù)據(jù)和數(shù)據(jù)分離，盡管這種數(shù)據(jù)路徑和控制 路徑相分離的結(jié)構(gòu)提高了存儲(chǔ)系統(tǒng)的性能和可擴(kuò)展性，但也帶來(lái)了安全 隱患，通過(guò)開(kāi)放的網(wǎng)絡(luò)，客戶(hù)機(jī)可以直接訪問(wèn)存儲(chǔ)設(shè)備上的對(duì)象，存儲(chǔ) 設(shè)備失去了系統(tǒng)的保護(hù)，必須自己應(yīng)對(duì)來(lái)自網(wǎng)絡(luò)的安全威脅和惡意客戶(hù) 的攻擊，為此，對(duì)網(wǎng)絡(luò)存儲(chǔ)系統(tǒng)訪問(wèn)必須進(jìn)行控制。在各種現(xiàn)有的存儲(chǔ)系統(tǒng)中，用戶(hù)數(shù)據(jù)以數(shù)據(jù)對(duì)象和目錄對(duì)象進(jìn)行組織。數(shù)據(jù)對(duì)象就是用戶(hù)存儲(chǔ)的數(shù)據(jù)，目錄對(duì)象負(fù)責(zé)對(duì)數(shù)據(jù)對(duì)象進(jìn)行組織， 在一般文件系統(tǒng)中就相當(dāng)于普通的目錄，在對(duì)象文件系統(tǒng)中，根對(duì)象、 分區(qū)對(duì)象和集合對(duì)象都可以當(dāng)成目錄對(duì)象。網(wǎng)絡(luò)存儲(chǔ)系統(tǒng)訪問(wèn)控制的任務(wù)是在系統(tǒng)為用戶(hù)提供最大限度系統(tǒng)資 源共享的基礎(chǔ)上，對(duì)用戶(hù)的訪問(wèn)權(quán)限進(jìn)行管理，防止用戶(hù)的非法操作和 對(duì)信息特別是機(jī)密信息的竊取。用戶(hù)的訪問(wèn)權(quán)限管理是通過(guò)訪問(wèn)控制列表(ACL，Access Control List)來(lái)實(shí)現(xiàn)的，通過(guò)將ACL與受控?cái)?shù)據(jù)對(duì)象關(guān) 聯(lián)起來(lái)，當(dāng)用戶(hù)訪問(wèn)一個(gè)數(shù)據(jù)對(duì)象時(shí)，通過(guò)查詢(xún)?cè)摂?shù)據(jù)對(duì)象的訪問(wèn)控制 列表，如果能夠找到該用戶(hù)的訪問(wèn)控制項(xiàng)，并且具有請(qǐng)求操作的權(quán)限時(shí)， 才會(huì)執(zhí)行用戶(hù)的操作，否則拒絕用戶(hù)的請(qǐng)求。目前的網(wǎng)絡(luò)存儲(chǔ)系統(tǒng)訪問(wèn)控制方法，大多采用安全和策略管理器對(duì)用 戶(hù)的訪問(wèn)操作進(jìn)行集中的權(quán)限檢查并頒發(fā)相應(yīng)權(quán)限證書(shū)，如T10技術(shù)委員 會(huì)提出的基于對(duì)象存儲(chǔ)設(shè)備命令的標(biāo)準(zhǔn)(SCSI Object-Based Storage Device Commands畫(huà)2 (OSD國(guó)2)， Project tl0/1729-d， revision 3 ed.， T10 Technical Committee, NCITS, January 2008)，由安全和策略管理器維護(hù)和 管理一個(gè)集中的訪問(wèn)控制列表，對(duì)于PB級(jí)大規(guī)模存儲(chǔ)系統(tǒng)明顯形成了性 能瓶頸，極大地影響了網(wǎng)絡(luò)存儲(chǔ)系統(tǒng)的性能和可擴(kuò)展性。
技術(shù)實(shí)現(xiàn)思路
本專(zhuān)利技術(shù)提供，解決現(xiàn)有訪問(wèn)控制 方法由安全和策略管理器維護(hù)和管理一個(gè)集中的訪問(wèn)控制列表，形成性 能瓶頸，影響網(wǎng)絡(luò)存儲(chǔ)系統(tǒng)的性能和可擴(kuò)展性的問(wèn)題，為存儲(chǔ)系統(tǒng)提供本專(zhuān)利技術(shù)中，父對(duì)象為子對(duì)象目錄的集合，在普通的文件系統(tǒng)中目錄 相對(duì)于其包含的子目錄和文件來(lái)說(shuō)是父對(duì)象，而在對(duì)象文件系統(tǒng)中，根 對(duì)象、分區(qū)對(duì)象和集合對(duì)象都可以是父對(duì)象；子對(duì)象是一個(gè)相對(duì)于父對(duì) 象的概念，是被父對(duì)象包含的對(duì)象。本專(zhuān)利技術(shù)中，用戶(hù)和角色的對(duì)應(yīng)關(guān)系為多對(duì)多關(guān)系 一個(gè)用戶(hù)可以屬 于一種或多種角色， 一種角色可以包含一個(gè)或多個(gè)用戶(hù)；角色有優(yōu)先級(jí) 之分，其優(yōu)先級(jí)定義由具體的應(yīng)用系統(tǒng)決定。本專(zhuān)利技術(shù)的，包括創(chuàng)建對(duì)象步驟和 對(duì)象操作步驟，先進(jìn)行創(chuàng)建對(duì)象步驟，創(chuàng)建對(duì)象步驟完成后，才能響應(yīng) 用戶(hù)的對(duì)象操作請(qǐng)求，開(kāi)始對(duì)象操作步驟；所述網(wǎng)絡(luò)存儲(chǔ)設(shè)備為對(duì)象存 儲(chǔ)設(shè)備或附網(wǎng)存儲(chǔ)設(shè)備，存儲(chǔ)用戶(hù)所需的數(shù)據(jù)對(duì)象和目錄對(duì)象，對(duì)外提 供標(biāo)準(zhǔn)的對(duì)象接口或文件接口；其特征在于一.所述數(shù)據(jù)對(duì)象和目錄對(duì)象均由屬性部分和數(shù)據(jù)部分組成，屬性 部分包括數(shù)據(jù)創(chuàng)建者、數(shù)據(jù)大小和訪問(wèn)控制列表；所述訪問(wèn)控制列表包 括頭部、控制區(qū)和擴(kuò)展區(qū)索引；所述目錄對(duì)象屬性部分訪問(wèn)控制列表還 增加繼承區(qū)；所述頭部包含訪問(wèn)控制列表字節(jié)數(shù)、繼承標(biāo)志、繼承對(duì)象號(hào)、擴(kuò)展 標(biāo)志、控制區(qū)訪問(wèn)控制項(xiàng)數(shù)字段和繼承區(qū)訪問(wèn)控制項(xiàng)數(shù)字段；訪問(wèn)控制 列表字節(jié)數(shù)字段指示訪問(wèn)控制列表及其擴(kuò)展區(qū)所占的字節(jié)數(shù)；繼承標(biāo)志 字段指示該數(shù)據(jù)對(duì)象的訪問(wèn)控制列表是否具有動(dòng)態(tài)繼承屬性；繼承對(duì)象號(hào)字段指定該數(shù)據(jù)對(duì)象從屬的父對(duì)象的對(duì)象號(hào)，用于在動(dòng)態(tài)繼承過(guò)程中査找父對(duì)象；擴(kuò)展標(biāo)志字段指示該對(duì)象訪問(wèn)控制列表是否擴(kuò)展；控制區(qū) 訪問(wèn)控制項(xiàng)數(shù)字段指示訪問(wèn)控制列表控制區(qū)中包含的各種訪問(wèn)控制項(xiàng)的 數(shù)目；繼承區(qū)訪問(wèn)控制項(xiàng)數(shù)字段指示訪問(wèn)控制列表繼承區(qū)中包含的各種 訪問(wèn)控制項(xiàng)的數(shù)目；所述控制區(qū)由若干訪問(wèn)控制項(xiàng)組成，訪問(wèn)控制項(xiàng)分為用戶(hù)訪問(wèn)控制 項(xiàng)和角色訪問(wèn)控制項(xiàng)；所述擴(kuò)展區(qū)索引包含開(kāi)始?jí)K號(hào)和連續(xù)塊數(shù)兩個(gè)字段，分別指示擴(kuò)展 區(qū)域在存儲(chǔ)設(shè)備上的物理塊號(hào)和連續(xù)的塊數(shù)，用于擴(kuò)展用戶(hù)訪問(wèn)控制項(xiàng) 和角色訪問(wèn)控制項(xiàng)；所述繼承區(qū)，由若干訪問(wèn)控制項(xiàng)組成，訪問(wèn)控制項(xiàng)分為用戶(hù)訪問(wèn)控 制項(xiàng)和角色訪問(wèn)控制項(xiàng)，提供給子對(duì)象繼承使用；所述用戶(hù)訪問(wèn)控制項(xiàng)和角色訪問(wèn)控制項(xiàng)，各自均由用戶(hù)或角色標(biāo)識(shí) 字段和權(quán)限字段組成，權(quán)限字段用權(quán)限掩碼限定用戶(hù)或角色的操作權(quán)限;二.所述創(chuàng)建對(duì)象步驟的過(guò)程為(2.1) 讀取父對(duì)象的訪問(wèn)控制列表當(dāng)網(wǎng)絡(luò)存儲(chǔ)設(shè)備收到用戶(hù)的創(chuàng) 建對(duì)象操作請(qǐng)求時(shí)，讀取所要?jiǎng)?chuàng)建數(shù)據(jù)對(duì)象或者目錄對(duì)象的父對(duì)象的訪 問(wèn)控制列表；(2.2) 檢查是否有創(chuàng)建權(quán)限檢查該用戶(hù)在該父對(duì)象下是否具有創(chuàng) 建對(duì)象的權(quán)限，是則執(zhí)行創(chuàng)建操作，轉(zhuǎn)過(guò)程(2.3);否則拒絕創(chuàng)建對(duì)象操 作請(qǐng)求；(2.3) 初始化對(duì)象信息在網(wǎng)絡(luò)存儲(chǔ)設(shè)備上為所要?jiǎng)?chuàng)建的數(shù)據(jù)對(duì)象或者目錄對(duì)象分配空間，在屬性部分將該用戶(hù)設(shè)為數(shù)據(jù)創(chuàng)建者、數(shù)據(jù)大 小置0;在訪問(wèn)控制列表的控制區(qū)增加針對(duì)創(chuàng)建者的用戶(hù)訪問(wèn)控制項(xiàng)，并 賦予其全部權(quán)限，將控制區(qū)訪問(wèn)控制項(xiàng)數(shù)字段賦l;將訪問(wèn)控制列表擴(kuò)展 區(qū)索引開(kāi)始?jí)K號(hào)和連續(xù)塊數(shù)兩個(gè)字段置0;(2.4) 檢査靜態(tài)繼承標(biāo)志是否有效檢查用戶(hù)創(chuàng)建對(duì)象操作請(qǐng)求的 靜態(tài)繼承標(biāo)志字段是否有效，是則轉(zhuǎn)過(guò)程(2.5)，否則結(jié)束；(2.5) 靜態(tài)繼承將父對(duì)象繼承區(qū)的訪問(wèn)控制項(xiàng)添加到所創(chuàng)建數(shù)據(jù) 對(duì)象或者目錄對(duì)象訪問(wèn)控制列表的控制區(qū)，并對(duì)控制區(qū)訪問(wèn)控制項(xiàng)數(shù)字 段做相應(yīng)修改，結(jié)束；三.所述對(duì)象操作步驟的過(guò)程為(3.1) 讀取訪問(wèn)控制列表當(dāng)網(wǎng)絡(luò)存儲(chǔ)設(shè)備收到用戶(hù)的操作請(qǐng)求時(shí)， 讀取該用戶(hù)所請(qǐng)求數(shù)據(jù)對(duì)象或者目錄對(duì)象訪問(wèn)控制列表的控制區(qū)；(3.2) 檢查用戶(hù)訪問(wèn)控制項(xiàng)是否存在在控制區(qū)中査找該用戶(hù)對(duì)應(yīng) 的用戶(hù)訪問(wèn)控制項(xiàng)是否存在，是則進(jìn)行過(guò)程(3.3);否則轉(zhuǎn)過(guò)程(3.4);(3.3) 檢査是否具有操作權(quán)限檢査用戶(hù)或其所屬角色對(duì)該數(shù)據(jù)對(duì)象或者目錄對(duì)象是否具有所請(qǐng)求的操作權(quán)限，是則執(zhí)行用戶(hù)操作請(qǐng)求，結(jié)束；否則拒絕用戶(hù)操作請(qǐng)求，結(jié)束；(3.4) 檢査角色訪問(wèn)控制項(xiàng)是否存在在控制區(qū)中查找該用戶(hù)所屬角色對(duì)應(yīng)的角色訪問(wèn)控制項(xiàng)是否存在，是則選擇其中優(yōu)先級(jí)最高的角色對(duì)應(yīng)的角色訪問(wèn)控制項(xiàng)，進(jìn)行過(guò)程(3.3)，否則轉(zhuǎn)過(guò)程(3.5);(3.5) 檢查繼承標(biāo)志是否有效檢査該用戶(hù)請(qǐng)求數(shù)據(jù)對(duì)象或者目錄對(duì)象的訪問(wèn)控制列表頭部的繼承標(biāo)志是否有效，是則進(jìn)行過(guò)程(3.6)，否則拒絕用戶(hù)操作請(qǐng)求，結(jié)束；(3.6)讀取父對(duì)象訪問(wèn)控制列表根據(jù)該用戶(hù)請(qǐng)求數(shù)據(jù)對(duì)象或者目 錄對(duì)象的訪問(wèn)控制列表里的繼承對(duì)象號(hào)找到本文檔來(lái)自技高網(wǎng)...
【技術(shù)保護(hù)點(diǎn)】
一種網(wǎng)絡(luò)存儲(chǔ)設(shè)備的訪問(wèn)控制方法，包括創(chuàng)建對(duì)象步驟和對(duì)象操作步驟，先進(jìn)行創(chuàng)建對(duì)象步驟，創(chuàng)建對(duì)象步驟完成后，才能響應(yīng)用戶(hù)的對(duì)象操作請(qǐng)求，開(kāi)始對(duì)象操作步驟；所述網(wǎng)絡(luò)存儲(chǔ)設(shè)備為對(duì)象存儲(chǔ)設(shè)備或附網(wǎng)存儲(chǔ)設(shè)備，存儲(chǔ)用戶(hù)所需的數(shù)據(jù)對(duì)象和目錄對(duì)象，對(duì)外提供標(biāo)準(zhǔn)的對(duì)象接口或文件接口；其特征在于：一．所述數(shù)據(jù)對(duì)象和目錄對(duì)象均由屬性部分和數(shù)據(jù)部分組成，屬性部分包括數(shù)據(jù)創(chuàng)建者、數(shù)據(jù)大小和訪問(wèn)控制列表；所述訪問(wèn)控制列表包括頭部、控制區(qū)和擴(kuò)展區(qū)索引；所述目錄對(duì)象屬性部分訪問(wèn)控制列表還增加繼承區(qū)；所述頭部包目錄對(duì)象訪問(wèn)控制列表的控制區(qū)；（３．２）檢查用戶(hù)訪問(wèn)控制項(xiàng)是否存在：在控制區(qū)中查找該用戶(hù)對(duì)應(yīng)的用戶(hù)訪問(wèn)控制項(xiàng)是否存在，是則進(jìn)行過(guò)程（３．３）；否則轉(zhuǎn)過(guò)程（３．４）；（３．３）檢查是否具有操作權(quán)限：檢查用戶(hù)或其所屬角色對(duì)該數(shù)據(jù)對(duì)象或者目錄對(duì)象是否具有所請(qǐng)求的操作權(quán)限，是則執(zhí)行用戶(hù)操作請(qǐng)求，結(jié)束；否則拒絕用戶(hù)操作請(qǐng)求，結(jié)束；（３．４）檢查角色訪問(wèn)控制項(xiàng)是否存在：在控制區(qū)中查找該用戶(hù)所屬角色對(duì)應(yīng)的角色訪問(wèn)控制項(xiàng)是否存在，是則選擇其中優(yōu)先級(jí)最高的角色對(duì)應(yīng)的角色訪問(wèn)控制項(xiàng)，進(jìn)行過(guò)程（３．３），否則轉(zhuǎn)過(guò)程（３．５）；（３．５）檢查繼承標(biāo)志是否有效：檢查該用戶(hù)請(qǐng)求數(shù)據(jù)對(duì)象或者目錄對(duì)象的訪問(wèn)控制列表頭部的繼承標(biāo)志是否有效，是則進(jìn)行過(guò)程（３．６），否則拒絕用戶(hù)操作請(qǐng)求，結(jié)束；（３．６）讀取父對(duì)象訪問(wèn)控制列表：根據(jù)該用戶(hù)請(qǐng)求數(shù)據(jù)對(duì)象或者目錄對(duì)象的訪問(wèn)控制列表里的繼承對(duì)象號(hào)找到該數(shù)據(jù)對(duì)象的父對(duì)象，讀取該父對(duì)象訪問(wèn)控制列表的繼承區(qū)并轉(zhuǎn)過(guò)程（３．２）。含訪問(wèn)控制列表字節(jié)數(shù)、繼承標(biāo)志、繼承對(duì)象號(hào)、擴(kuò)展標(biāo)志、控制區(qū)訪問(wèn)控制項(xiàng)數(shù)字段和繼承區(qū)訪問(wèn)控制項(xiàng)數(shù)字段；訪問(wèn)控制列表字節(jié)數(shù)字段指示訪問(wèn)控制列表及其擴(kuò)展區(qū)所占的字節(jié)數(shù)；繼承標(biāo)志字段指示該數(shù)據(jù)對(duì)象的訪問(wèn)控制列表是否具有動(dòng)態(tài)繼承屬性；繼承對(duì)象號(hào)字段指定該數(shù)據(jù)對(duì)象從屬的父對(duì)象的對(duì)象號(hào)，用于在動(dòng)態(tài)繼承過(guò)程中查找父對(duì)象；擴(kuò)展標(biāo)志字段指示該對(duì)象訪問(wèn)控制列表是否擴(kuò)展；控制區(qū)訪問(wèn)控制項(xiàng)數(shù)字段指示訪問(wèn)控制列表控制區(qū)中包含的各種訪問(wèn)控制項(xiàng)的數(shù)目；繼承區(qū)訪問(wèn)控制項(xiàng)數(shù)字段指示訪問(wèn)控制列表繼承區(qū)中包含的各種訪問(wèn)控制項(xiàng)的數(shù)目；所述控制區(qū)由若干訪問(wèn)控制項(xiàng)組成，訪問(wèn)控制項(xiàng)分為用戶(hù)訪問(wèn)控制項(xiàng)和角色訪問(wèn)控制項(xiàng)；所述擴(kuò)展區(qū)索引包含開(kāi)始?jí)K號(hào)和連續(xù)塊數(shù)兩個(gè)字段，分別指示擴(kuò)展區(qū)域在存儲(chǔ)設(shè)備上的物理塊號(hào)和連續(xù)的塊數(shù)，用于擴(kuò)展用戶(hù)訪問(wèn)控制項(xiàng)和角色訪問(wèn)控制項(xiàng)；所述繼承區(qū)，...
【技術(shù)特征摘要】
【專(zhuān)利技術(shù)屬性】
技術(shù)研發(fā)人員：周可，雷棟梁，馮丹，牛中盈，閆巍，
申請(qǐng)(專(zhuān)利權(quán))人：華中科技大學(xué)，
類(lèi)型：發(fā)明
國(guó)別省市：83[中國(guó)|武漢]
還沒(méi)有人留言評(píng)論。發(fā)表了對(duì)其他瀏覽者有用的留言會(huì)獲得科技券。