基于云計算通用訪問控制模型設(shè)計與研究

摘 要 云計算是科學(xué)技術(shù)發(fā)展過程中所新興的一種網(wǎng)絡(luò)技術(shù)，憑借其優(yōu)勢得到了越來越多人的關(guān)注和重視。依托于云計算技術(shù)進(jìn)行通用訪問控制模式設(shè)計，則可以有效降低計算機應(yīng)用過程中所產(chǎn)生的風(fēng)險，有助于推動數(shù)據(jù)安全性保護(hù)策略的實現(xiàn)。基于此，本文就基于云計算通用訪問控制模型進(jìn)行設(shè)計和研究，希望能夠為云計算的有效應(yīng)用提供借鑒，希望可以為云計算平臺的訪問提供支持。

【關(guān)鍵詞】云計算平臺 訪問控制模型 設(shè)計分析

云計算技術(shù)在近幾年的迅速興起和發(fā)展標(biāo)志著信息技術(shù)領(lǐng)域走向了規(guī)模化、集約化及專業(yè)化的道路，其出現(xiàn)讓IT領(lǐng)域掀起分包，促進(jìn)其進(jìn)入一場具有跨時代意義的變革之中。依托于云計算，計算機互聯(lián)網(wǎng)能夠?qū)崿F(xiàn)依照需要來進(jìn)行資源共享的計算機應(yīng)用模式，通過對資源的正好和領(lǐng)域達(dá)到共享池的構(gòu)建，對于遠(yuǎn)程使用者提供便捷。但與此同時，我們也必須認(rèn)識到共享者在進(jìn)行計算機訪問和控制過程中存在的安全隱患，極容易造成所有者數(shù)據(jù)和機密的丟失和泄露，給用戶隱私帶來威脅。為了更好地保障數(shù)據(jù)擁有者的隱私和保密性，做好訪問控制就顯得極為重要。

1 訪問控制技術(shù)原理

訪問控制技術(shù)是應(yīng)用于計算機之上的，保證用戶數(shù)據(jù)安全的重要技術(shù)之一，其能夠通過訪問者的權(quán)限限制對訪問者的操作進(jìn)行監(jiān)控，防止通過訪問者的操作破壞系統(tǒng)安全性能，促使整個計算機網(wǎng)絡(luò)安全體系建設(shè)重要技術(shù)。

訪問控制工作機制主要包括以下幾個方面：

（1）對訪問者進(jìn)行身份識別，其主要是通過監(jiān)視器來完成。監(jiān)視器通過對用戶身份的合法性驗證，確定其是否具有訪問系統(tǒng)的資格，并對訪問者的權(quán)限予以設(shè)置。（如圖1所示）。

（2）如果訪問者的身份是合法的，那么訪問控制系統(tǒng)就會進(jìn)入到下一步，那就是允許訪問者進(jìn)入系統(tǒng)，并訪問系統(tǒng)中的系統(tǒng)資源。在此過程中，系統(tǒng)將會給訪問者給予一定權(quán)限，既能夠保證訪問者實現(xiàn)功能需要，又能夠保證訪問者不會對系統(tǒng)安全性造成影響。對于訪問者的越權(quán)請求 系統(tǒng)將會予以拒絕，并對訪問者的合理操作給予相應(yīng)。

（3）訪問者的所有行為都是在審計監(jiān)督下完成的，訪問者的每個操作和行為都會被予以記錄，通過訪問者的操作記錄將能夠為后續(xù)問題的解決提供數(shù)據(jù)支持。

就訪問控制工作機制的流程來說可以通過圖1來進(jìn)行表示。

2 基于云計算通用訪問控制模型設(shè)計

2.1 CIRBAC模型

云計算中所涉及的用戶具有各種各樣角色，不僅繁多而且變化性大，這就需要對其進(jìn)行角色和權(quán)限的分類和隔離。RBAC模型能夠?qū)τ脩艉徒巧M(jìn)行定義，并對其賦予只能的完成，角色通過其所具有的用戶和權(quán)限中間層權(quán)限，解耦權(quán)限和用戶關(guān)系，達(dá)到角色權(quán)限的分配。

CIRBAC在RBAC模型基礎(chǔ)上對角色進(jìn)行了更為細(xì)致的劃分，并結(jié)合云計算特點對角色進(jìn)行權(quán)限分配，其主要權(quán)限包括如下：

云管理員：具有系統(tǒng)所有權(quán)限。

安全管理員：具有系統(tǒng)所有權(quán)限。

系統(tǒng)管理員：擁有Project權(quán)限范圍內(nèi)權(quán)限，諸如用戶、鏡像操作、開始或中止虛擬機實例都可以為其使用。

網(wǎng)路管理員：可以分配IP地址，更改防火墻。

開發(fā)者：擁有Project范圍內(nèi)權(quán)限。

通過圖2、圖3我們可以了解CIRBAC用戶、角色和權(quán)限關(guān)系，及其直觀權(quán)限表。

2.2 CITE模型

TE模型屬于強制訪問控制模型，其能夠?qū)χ黧w客體進(jìn)行分組，達(dá)到域和類型概念的定義效果。其通過主體的組劃分形成域，并將客體進(jìn)行劃分形成類型，將域和類型一一對應(yīng)，并定義域標(biāo)簽，實現(xiàn)訪問權(quán)限的分配。

在TE模型基礎(chǔ)上CITE模型得以呈現(xiàn)，其為TE模型的加強版，用于控制虛擬機實例生命周期的資源調(diào)度階段以及運行過程中對資源的訪問。其體系結(jié)構(gòu)如圖4所示。

在此模型應(yīng)用過程中設(shè)主體S，以及客體O，其上下文為context（），值為1，0則表示無關(guān)，客體類型標(biāo)簽type（），主體標(biāo)簽為label（），資源調(diào)度scheduling（）。

3 系統(tǒng)設(shè)計

3.1 整體設(shè)計

整體設(shè)計需要遵守四個原則，第一堅持做到機制和策略相分離，保證模塊的具體應(yīng)用以及策略模塊相互獨立；第二堅持做到最小特權(quán)，從而保證系統(tǒng)安全；第三堅持結(jié)構(gòu)層次性，這與云計算特點相符合，便于系統(tǒng)開發(fā)；第四堅持調(diào)度操作針對普通用戶透明。

依照以上四個原則所進(jìn)行的模塊設(shè)計為圖5展示，系統(tǒng)的層次性如圖6所示。此設(shè)計能夠保證各個模塊的獨立性，同時又能夠保證各模塊之間的關(guān)聯(lián)性，在應(yīng)用過程中具有較強的實效性。而且，訪問控制模塊處于資源的虛擬化平臺之中，在應(yīng)用過程中也不易被攻擊，保證了系統(tǒng)的安全性。

3.2 模塊設(shè)計

訪問控制模型所涉及的模塊較多，每一個模塊都需要根據(jù)其需要以及功能來進(jìn)行單獨設(shè)計。服務(wù)接口模塊主要是針對管理層進(jìn)行設(shè)計，需要提供策略管理控制功能，將其分為兩類較為合適，一種是策略管理類，一種是標(biāo)簽管理類；

策略管理模塊主要是在上級下達(dá)命令時候予以接收和執(zhí)行，以XML格式進(jìn)行儲存，并依照管理員策略進(jìn)行二進(jìn)制轉(zhuǎn)換，將其裝載到ACM模塊之中，并通過兩種虛擬機進(jìn)行運行，一旦出現(xiàn)沖突時候也能夠做到相互獨立。

訪問控制模塊存在于hypervisor中，能夠?qū)υL問控制策略予以執(zhí)行。通過hook函數(shù)和接口函數(shù)進(jìn)行連接，hook進(jìn)行系統(tǒng)攔截和訪問控制判斷。

就整個模塊運行系統(tǒng)來說，其所擁有的運行權(quán)限如圖7所示。

3.3 安全性分析

云計算基礎(chǔ)上所進(jìn)行的訪問控制模型構(gòu)建最重要的便是需要保證系統(tǒng)的安全性。本系統(tǒng)在運行過程中通過CIRBAC模型來對訪問者進(jìn)行權(quán)限設(shè)置，并依托于角色進(jìn)行權(quán)限分配，能夠更好地對訪問者進(jìn)行合理化管理，同時結(jié)合角色進(jìn)行權(quán)限限制，有效防止使用者的越權(quán)行為。資源層的管理也能夠予以更好權(quán)限配置。其主要是通過CITE模型來進(jìn)行權(quán)限判定的，這樣能夠讓虛擬機之間形成有效且及時的通信，以及資源共享，能夠有效解決云計算過程中因為設(shè)置層問題所造成的資源抽象情況。而且，此系統(tǒng)在應(yīng)用過程中能夠做到對上層管理者全透明化，管理者可以隨時監(jiān)控系統(tǒng)運行中的各種操作，并對可能出現(xiàn)的問題和漏洞予以跟進(jìn)，系統(tǒng)安全運行更為可靠。整個系統(tǒng)的設(shè)計也更加符合云計算基礎(chǔ)設(shè)施服務(wù)體系的需要和特點，能夠?qū)①Y源從底層用戶上傳到管理層用戶，在實際應(yīng)用性方面也同樣可以保證系統(tǒng)安全。

4 結(jié)語

依托于云計算進(jìn)行的訪問控制模型設(shè)計，對云計算特點進(jìn)行了高效利用，也讓共享資源得到了有效利用，更讓系統(tǒng)在應(yīng)用過程中保證了安全性。相關(guān)人員還需要對此訪問控制模型的設(shè)計進(jìn)行深入研究，讓系統(tǒng)訪問控制得以更好優(yōu)化，讓系統(tǒng)的運行真正為使用者帶來便利和安全，讓云計算充分發(fā)揮功效。

參考文獻(xiàn)

[1]熊達(dá)鵬，陳亮，王鵬，鄒鵬，鮑俊雷.云計算訪問控制技術(shù)研究進(jìn)展[J].裝備學(xué)院學(xué)報，2017（02）：71-76.

[2]王靜宇，馮黎曉，鄭雪峰.一種面向云計算環(huán)境的屬性訪問控制模型[J].中南大學(xué)學(xué)報（自然科學(xué)版），2015（06）：2090-2097.

[3]王于丁，楊家海，徐聰，凌曉，楊洋.云計算訪問控制技術(shù)研究綜述[J].軟件學(xué)報，2015（05）：1129-1150.

[4]馮朝勝，秦志光，袁丁，卿昱.云計算環(huán)境下訪問控制關(guān)鍵技術(shù)[J].電子學(xué)報，2015（02）：312-319.

[5]張凱，潘曉中.云計算下基于用戶行為信任的訪問控制模型[J].計算機應(yīng)用，2014（04）：1051-1054.

作者簡介

朱愛梅（1977-12）女，湖南省長沙市人。碩士學(xué)位。講師。研究方向為云計算、信息安全。

黃毅（1976-），男，副教授。研究方向為信息安全。

作者單位

湖南科技職業(yè)學(xué)院 湖南省長沙市 410001endprint