Page 24 - 网络电信2019年3月刊下

云计算数据中心访问控制方法的研究

童遥 中兴通讯股份有限公司

摘要：随着信息技术的高速发展，关
于云计算背景下数据中心的设计与建设
成为了社会行业关注的焦点。在云计算
技术不断发展的大背景下，数据中心建
设的自动化运维系统，能够更好地适应
新的环境要求，提高运维效率和技术水
平。目前，保障数据中心之间数据的安
全访问尤为重要。基于此，根据数据中
心网络拓扑结构的特点，提出了一种基
于身份认证的授权访问方法，从而解决
了数据中心之间数据访问安全的问题。
关键词：数据中心；访问控制；权限

一、访问控制研究现状 图 1 基于身份认证的授权访问流程
[1]
访问控制本身是主体对客体访问权限的把控 ，只要主体
通过授权获得对客体的全部或部分访问权限，就可以获得客体
[2]
信息。目前，使用最多的是基于角色的访问控制 ，其最大特
[3]
点是通过角色来获取权限 ，角色不同则权限不同，给用户赋
予的角色也不同，也就意味着改变用户的权限，但约束条件
[4]
类型固定且数量有限 ，不能根据实际环境同时应用多个策略
[5] ，导致系统的安全性防护能力不强。
除了单个数据中心内部的数据访问，多个数据中心之间
也存在大量的数据访问需求，多个数据中心一般按区域进行部
署，上级数据中心与下级数据中心进行大量通信。如何确保多
级数据中心间数据访问的安全性，是需要考虑的重要问题。
心收到该消息后，通过消息总线将处理结果发给授权访问控制
二、基于认证的授权访问方法 模块进行验证。
对于多级数据中心之间数据访问安全保障，提出了一种基 授权访问控制模块收到请求后，先根据数据库中数据验证
于身份认证的授权访问方法，流程如图1所示。
发送方（三级数据中心）身份的有效性。验证通过后，证书服
用户通过客户端将访问请求发到距离最近的下级数据中 务器将根据上级数据中心（图1中一级数据中心）颁发的证书
心（图1中是三级数据中心，访问请求中携带有申请角色的标
内容（在授权有效区域内有效），获取该用户完成该访问所需
志），下级数据中心在收到该用户的访问请求后，通过消息总 的角色，并记录到一张临时证书上。然后证书服务器将为其签
线传递给访问控制模块，该模块通过查找角色-权限数据库（图
名，同时附上自己的公钥，最后将这个临时证书发送给用户。
1中RBAC数据库）来判断该用户是否有权限访问上级数据中心 用户获取到临时证书后，向一级数据中心提交带临时证书
（图1中是一级数据中心），校验完后将结果发回给消息总线。
的访问请求。一级数据中心收到请求后，先用公钥解密，判断
如果该用户具有相应的权限，则消息总线将该用户具有的 是否带有中心服务器的签名，如果有则身份认证通过，用户就
访问权限发给角色分派模块，由角色分派模块进行处理，将访
可以访问一级数据中心的相应数据。图1中的授权有效区域是一
问请求消息重新封装成一个获取角色请求消息，并将该消息发 个逻辑概念，通过它来界定临时证书的有效范围，一级数据中
给最近的上级数据中心（图1中是二级数据中心）。上级数据中
心可以修改或撤销授权有效区域。

网络电信 二零一九年三月 35