專利名稱：實現(xiàn)云計算環(huán)境中數(shù)據(jù)的粒度自主訪問控制的方法和系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及云計算數(shù)據(jù)存儲的領(lǐng)域，更具體地，涉及對于存儲于云計算環(huán)境中的數(shù)據(jù)實現(xiàn)粒度數(shù)據(jù)所有者可配置訪問控制(granulardata owner-configurable access control)。
背景技術(shù)：
基于云的存儲服務(wù)，即特別地用于數(shù)據(jù)存儲和/或管理的云服務(wù)，允許組織卸載數(shù)據(jù)管理開銷并且增加地理上分開的群組之間的數(shù)據(jù)可訪問性。可從授權(quán)的用戶能夠與云存儲服務(wù)連接的任何計算裝置訪問存儲于云存儲器中的數(shù)據(jù)。例如，修理技術(shù)人員能夠從互連網(wǎng)連接性可用的任何作業(yè)現(xiàn)場訪問服務(wù)手冊和修
理報告。

發(fā)明內(nèi)容
本發(fā)明的一個方面可包括用于實現(xiàn)云計算環(huán)境中的自主數(shù)據(jù)訪問控制的方法。這種方法可開始于通過在云計算環(huán)境中操作的訪問管理器服務(wù)(access manager service) 獲得數(shù)據(jù)請求和對于數(shù)據(jù)請求的響應(yīng)消息。響應(yīng)消息可以由云計算環(huán)境的數(shù)據(jù)存儲服務(wù)響應(yīng)于數(shù)據(jù)請求而產(chǎn)生。響應(yīng)消息可表示對于由數(shù)據(jù)存儲服務(wù)存儲的數(shù)據(jù)人工制品(data artifact)的訪問的允許或拒絕?？勺R別適用于數(shù)據(jù)請求的所有者規(guī)定的訪問規(guī)則和/或所有者規(guī)定的訪問例外?？苫谶m用的所有者規(guī)定的訪問規(guī)則和/或所有者規(guī)定的訪問例外確定對于數(shù)據(jù)請求的訪問響應(yīng)。訪問響應(yīng)可表示對于請求的數(shù)據(jù)人工制品的訪問的允許或拒絕。所有者規(guī)定的訪問規(guī)則可定義限制訪問數(shù)據(jù)人工制品的參數(shù)值。所有者規(guī)定的訪問例外可定義允許否則會被拒絕的對數(shù)據(jù)人工制品的訪問的條件。然后，確定的訪問響應(yīng)可與響應(yīng)消息相比較。當確定的訪問響應(yīng)不匹配響應(yīng)消息時，響應(yīng)消息可被否決 (override)以表達(express)確定的訪問響應(yīng)。當確定的訪問響應(yīng)匹配響應(yīng)消息時，響應(yīng)消息可被傳輸?shù)綌?shù)據(jù)請求的發(fā)起實體。本發(fā)明的另一方面可包括能夠?qū)崿F(xiàn)對于云存儲服務(wù)的自主數(shù)據(jù)訪問控制的系統(tǒng)。 這種系統(tǒng)可包括表示電子數(shù)據(jù)文件的數(shù)據(jù)人工制品、云計算環(huán)境、數(shù)據(jù)存儲云服務(wù)和訪問管理器云服務(wù)。云計算環(huán)境可包含被配置為根據(jù)云計算模型操作的云服務(wù)提供器。數(shù)據(jù)存儲云服務(wù)可被配置為管理云計算環(huán)境內(nèi)的數(shù)據(jù)人工制品的存儲和訪問。訪問管理器云服務(wù)可被配置為對于由數(shù)據(jù)存儲云服務(wù)管理的數(shù)據(jù)人工制品提供自主訪問控制。自主訪問控制可以在數(shù)據(jù)存儲云服務(wù)執(zhí)行的訪問控制操作之外(in addition to)被執(zhí)行。自主訪問控制能夠撤銷(countermand)由數(shù)據(jù)存儲云服務(wù)做出的訪問允許和訪問拒絕。本發(fā)明的另一方面可包括計算機程序產(chǎn)品，包含具有嵌入的計算機可用程序代碼的計算機可讀存儲介質(zhì)。計算機可用程序代碼可被配置為獲得數(shù)據(jù)請求和對于數(shù)據(jù)請求的響應(yīng)消息。響應(yīng)消息可由在云計算環(huán)境中操作的數(shù)據(jù)存儲服務(wù)響應(yīng)于數(shù)據(jù)請求而產(chǎn)生。響應(yīng)消息可表示對于由數(shù)據(jù)存儲服務(wù)存儲的數(shù)據(jù)人工制品的訪問的允許或拒絕。計算機可用程序代碼可被配置為識別適用于數(shù)據(jù)請求的所有者規(guī)定的訪問規(guī)則和/或所有者規(guī)定的訪問例外。然后，計算機可用程序代碼可被配置為基于識別的所有者規(guī)定的訪問規(guī)則和/ 或所有者規(guī)定的訪問例外確定對于數(shù)據(jù)請求的訪問響應(yīng)。訪問響應(yīng)可表示對于請求的數(shù)據(jù)人工制品的訪問的允許或拒絕。所有者規(guī)定的訪問規(guī)則可定義限制訪問數(shù)據(jù)人工制品的參數(shù)值。所有者規(guī)定的訪問例外可定義允許否則會被拒絕的對數(shù)據(jù)人工制品的訪問的條件。 計算機可用程序代碼可被配置為比較確定的訪問響應(yīng)與響應(yīng)消息。當確定的訪問響應(yīng)不匹配響應(yīng)消息時，計算機可用程序代碼可被配置為否決響應(yīng)消息以表達確定的訪問響應(yīng)。計算機可用程序代碼可被配置為當確定的訪問響應(yīng)匹配響應(yīng)消息時將響應(yīng)消息傳輸?shù)綌?shù)據(jù)請求的發(fā)起實體。本發(fā)明的又一方面可包括用于實現(xiàn)云存儲系統(tǒng)中的自主數(shù)據(jù)訪問控制的方法。這種方法可在云存儲系統(tǒng)的數(shù)據(jù)存儲云服務(wù)接收訪問由云計算環(huán)境內(nèi)的云存儲系統(tǒng)存儲的數(shù)據(jù)人工制品的數(shù)據(jù)請求時開始?？赏ㄟ^數(shù)據(jù)存儲云服務(wù)確定對于數(shù)據(jù)請求的響應(yīng)，從而表示對于數(shù)據(jù)人工制品的訪問的允許或拒絕。訪問管理器云服務(wù)可檢測數(shù)據(jù)存儲云服務(wù)對于數(shù)據(jù)請求的接收。訪問管理器云服務(wù)然后可在所確定的響應(yīng)的執(zhí)行之前中斷數(shù)據(jù)存儲云服務(wù)對于數(shù)據(jù)請求的處理?？赏ㄟ^訪問管理器云服務(wù)獲得數(shù)據(jù)請求的副本和數(shù)據(jù)存儲云服務(wù)的響應(yīng)。訪問管理器云服務(wù)可針對為數(shù)據(jù)人工制品定義的自主訪問控制來評價數(shù)據(jù)請求副本的內(nèi)容?？赏ㄟ^與數(shù)據(jù)人工制品相關(guān)聯(lián)的實體配置自主訪問控制?？赏ㄟ^訪問管理器云服務(wù)確定來自數(shù)據(jù)請求副本的所述評價的響應(yīng)，從而表示對于數(shù)據(jù)人工制品的訪問的允許或拒絕。訪問管理器云服務(wù)然后可比較由數(shù)據(jù)存儲云服務(wù)確定的響應(yīng)與內(nèi)部確定的響應(yīng)。當比較表示數(shù)據(jù)存儲云服務(wù)與訪問管理器云服務(wù)的響應(yīng)不一致時，訪問管理器云服務(wù)可否決數(shù)據(jù)存儲云服務(wù)的響應(yīng)。當比較表示數(shù)據(jù)存儲云服務(wù)與訪問管理器云服務(wù)的響應(yīng)一致時，訪問管理器云服務(wù)可釋放數(shù)據(jù)存儲云服務(wù)對于數(shù)據(jù)請求的處理的中斷，從而允許數(shù)據(jù)存儲云服務(wù)完成數(shù)據(jù)請求的實現(xiàn)。


圖1是示出根據(jù)這里公開的本發(fā)明的配置的實施例的通過使用云計算環(huán)境中的數(shù)據(jù)存儲服務(wù)實現(xiàn)對于為其提供訪問的數(shù)據(jù)人工制品的粒度自主訪問控制的概念處理流程圖。圖2是示出根據(jù)這里公開的本發(fā)明的配置的實施例的對于在云計算環(huán)境中操作的數(shù)據(jù)存儲服務(wù)提供粒度自主訪問控制的系統(tǒng)的示意圖。圖3是在總體上詳述根據(jù)這里公開的本發(fā)明的配置的實施例的用于實現(xiàn)自主訪問控制的關(guān)于數(shù)據(jù)存儲服務(wù)的訪問管理器服務(wù)的功能的方法的流程圖。圖4是描述根據(jù)這里公開的本發(fā)明的配置的實施例的訪問管理器服務(wù)的操作的方法的流程圖。圖5是詳述根據(jù)這里公開的本發(fā)明的配置的實施例的數(shù)據(jù)所有者對訪問管理器服務(wù)的使用的方法的流程圖的集合。
具體實施例方式雖然數(shù)據(jù)存儲和數(shù)據(jù)傳送總是關(guān)心數(shù)據(jù)安全性，但是，控制其它用戶和/或組織對于存儲的數(shù)據(jù)的訪問或可見性對于數(shù)據(jù)所有者(即，授權(quán)用戶、組織)來說經(jīng)常是受限的。由于云服務(wù)一般被設(shè)計為適應(yīng)廣泛的用戶類型和需求，因此，云服務(wù)的特征和/或能力本質(zhì)上常常是基本的或一般性的。因而，當與許多組織所習慣的企業(yè)級數(shù)據(jù)管理系統(tǒng)相比時，可用于云存儲服務(wù)中的訪問控制的類型(即，訪問控制列表、用戶群組、基于角色的訪問等)是相對簡單的。利用云存儲服務(wù)的每個組織被限于相同的訪問控制。雖然基于角色的訪問控制方法可以適用于大的組織，但它對于較小的組織可能過度復雜。類似地，適于中小組織的基于用戶群組的方法對于大企業(yè)可能是不適用的。并且，一個組織的通過云存儲服務(wù)存儲的數(shù)據(jù)受到服務(wù)提供器的可見性和/或訪問規(guī)則的約束。在云存儲服務(wù)提供器改變它們的可見性/訪問規(guī)則的情況下，對于組織的數(shù)據(jù)的訪問可能會受損。本發(fā)明公開了一種用于實現(xiàn)對于由云計算環(huán)境中的數(shù)據(jù)存儲云服務(wù)處理的數(shù)據(jù)人工制品的自主數(shù)據(jù)訪問控制的方案。數(shù)據(jù)存儲云服務(wù)可管理數(shù)據(jù)人工制品的存儲和訪問。訪問管理器云服務(wù)可應(yīng)用一組自主訪問控制，以動態(tài)調(diào)整由數(shù)據(jù)存儲云服務(wù)確定的對于數(shù)據(jù)人工制品的訪問的允許或拒絕。自主訪問控制可由所有者規(guī)定的訪問規(guī)則和所有者規(guī)定的訪問例外表示。所有者規(guī)定的訪問規(guī)則可定義限制對于數(shù)據(jù)人工制品的訪問的參數(shù)值。所有者規(guī)定的訪問例外可定義允許否則會被拒絕的對數(shù)據(jù)人工制品的訪問的條件。本領(lǐng)域技術(shù)人員可以理解，本發(fā)明的方面可實現(xiàn)為系統(tǒng)、方法或計算機程序產(chǎn)品。 因此，本發(fā)明的方面可采取完全硬件實施例、完全軟件實施例(包含固件、駐留軟件、微代碼等)或組合軟件和硬件方面的實施例，它們在這里均可被統(tǒng)稱為“電路”、“模塊”或“系統(tǒng)”。并且，本發(fā)明的方面可采取實施在具有在其上面實施的計算機可讀程序代碼的一個或更多個計算機可讀介質(zhì)中的計算機程序產(chǎn)品的形式?？梢岳靡粋€或更多個計算機可讀介質(zhì)的任意組合。計算機可讀介質(zhì)可以是計算機可讀信號介質(zhì)或計算機可讀存儲介質(zhì)。計算機可讀存儲介質(zhì)可例如為但不限于電子、磁、 光學、電磁、紅外或半導體系統(tǒng)、裝置或設(shè)備或以上的任意適當?shù)慕M合。計算機可讀存儲介質(zhì)的更具體的例子(非詳盡的列表)會包含以下方面具有一個或更多個導線的電連接、 便攜式計算機盤、硬盤、隨機存取存儲器(RAM)、只讀存儲器(ROM)、可擦可編程只讀存儲器 (EPR0M或閃存)、光纖、便攜式光盤只讀存儲器(CD-ROM)、光學存儲設(shè)備、磁存儲設(shè)備或以上的任意適當?shù)慕M合。在本文件的上下文中，計算機可讀存儲介質(zhì)可以是可包含或存儲供指令執(zhí)行系統(tǒng)、裝置或設(shè)備使用或與其組合的程序的任何有形介質(zhì)。計算機可讀信號介質(zhì)可例如在基帶中或作為載波的一部分包含具有在其中實施的計算機可讀程序代碼的傳播的數(shù)據(jù)信號。這種傳播的信號可采取包含但不限于電磁、光學或它們的任意適當?shù)慕M合的各種形式中的任一種。計算機可讀信號介質(zhì)可以為不是計算機可讀存儲介質(zhì)并且可傳送、傳播或傳輸供指令執(zhí)行系統(tǒng)、裝置或設(shè)備使用或與其組合的程序的任何計算機可讀介質(zhì)?？赏ㄟ^使用包含但不限于無線、有線、光纖電纜、RF等或以上的任意適當?shù)慕M合的任意適當?shù)慕橘|(zhì)傳送在計算機可讀介質(zhì)上實施的程序代碼?？梢砸园ㄖT如Java、 SmalltalKC++等的面向?qū)ο蟮木幊陶Z言和諸如“C”編程語言或類似的編程語言的常規(guī)的過程編程語言的一個或更多個編程語言的任意組合編寫用于實施本發(fā)明的方面的操作的計算機程序代碼。程序代碼可完全在用戶的計算機上、部分地在用戶的計算機上、作為獨立軟件包、部分地在用戶的計算機上并且部分地在遠程計算機上、或者完全在遠程計算機或服務(wù)器上執(zhí)行。在后一種方案中，遠程計算機可通過包含局域網(wǎng)絡(luò)(LAN)或廣域網(wǎng)絡(luò)(WAN) 的任意類型的網(wǎng)絡(luò)與用戶的計算機連接，或者，可與外部計算機連接(例如，使用互連網(wǎng)服務(wù)商通過互連網(wǎng))。以下參照根據(jù)本發(fā)明的實施例的方法、裝置(系統(tǒng))和計算機程序產(chǎn)品的流程圖和/或框圖描述本發(fā)明的方面。可以理解，可通過計算機程序指令實現(xiàn)流程圖和/或框圖的各塊和流程圖和/或框圖中的塊的組合。這些計算機程序指令可被提供給通用計算機、 專用計算機或其它的可編程數(shù)據(jù)處理裝置的處理器，以生成機器，使得通過計算機或其它的可編程數(shù)據(jù)處理裝置的處理器執(zhí)行的指令產(chǎn)生用于實現(xiàn)在流程圖和/或框圖塊中規(guī)定的功能/動作的裝置。這些計算機程序指令也可被存儲于計算機可讀介質(zhì)中，該計算機可讀介質(zhì)可引導計算機、其它的可編程數(shù)據(jù)處理裝置或其它的設(shè)備以以特定的方式工作，使得存儲于計算機可讀介質(zhì)中的指令產(chǎn)生包含實現(xiàn)在流程圖和/或框圖塊中規(guī)定的功能/動作的指令的制造物品。計算機程序指令也可被加載到計算機、其它的可編程數(shù)據(jù)處理裝置或其它的設(shè)備上，以導致在計算機、其它的可編程裝置或其它的設(shè)備上執(zhí)行一系列的操作步驟，以產(chǎn)生計算機實現(xiàn)的處理，使得在計算機或其它的可編程裝置上執(zhí)行的指令提供用于實現(xiàn)在流程圖和/或框圖塊中規(guī)定的功能/動作的處理。圖1是示出根據(jù)這里公開的本發(fā)明的配置的實施例的通過使用云計算環(huán)境110中的數(shù)據(jù)存儲服務(wù)115實現(xiàn)對于對其提供訪問的數(shù)據(jù)人工制品145的粒度自主訪問控制130 的概念處理流程圖100。在處理流程100中，數(shù)據(jù)消費者105可向在云計算環(huán)境110中操作的數(shù)據(jù)存儲服務(wù)115發(fā)送對于數(shù)據(jù)人工制品145的數(shù)據(jù)請求107。數(shù)據(jù)消費者105可與請求訪問指定的數(shù)據(jù)人工制品145的人類用戶和/或計算實體對應(yīng)。數(shù)據(jù)人工制品145可表示以電子格式中存儲的各種數(shù)據(jù)(即，文本文件、圖像文件、音頻文件、多媒體文件等)。數(shù)據(jù)請求107可以是識別提出請求的數(shù)據(jù)消費者105和要被訪問的數(shù)據(jù)人工制品 145的電子消息。根據(jù)消息格式和/或數(shù)據(jù)存儲服務(wù)115，數(shù)據(jù)請求107還可包含各種其它消息傳遞信息，諸如提出請求的數(shù)據(jù)消費者105的互連網(wǎng)協(xié)議(IP)地址、由數(shù)據(jù)消費者105 執(zhí)行的動作和數(shù)據(jù)請求107的時間戳等。云計算環(huán)境110可表示根據(jù)云計算模型配置的硬件/軟件計算環(huán)境。云計算環(huán)境 110可實現(xiàn)對于像貯藏庫(i^pository) 125那樣的可配置計算資源的共享池的按需訪問。 云計算環(huán)境110可實現(xiàn)為私有云(S卩，由單獨的組織所有)、社區(qū)云(即，由多個和諧的組織共享)、公共云(即，可用于公眾或大群組)或混合云(即，多個云類型的配置)。數(shù)據(jù)存儲服務(wù)115可表示特別地被配置為管理其相關(guān)聯(lián)的云貯藏庫125中的數(shù)據(jù)人工制品145的存儲和訪問的云服務(wù)。數(shù)據(jù)存儲服務(wù)115和貯藏庫125可表示統(tǒng)稱為云存儲系統(tǒng)或云存儲服務(wù)的東西。除了數(shù)據(jù)人工制品145的簡單的存儲，數(shù)據(jù)存儲服務(wù)115也可包含諸如文件共享、版本控制和在線協(xié)作的各種數(shù)據(jù)管理功能。數(shù)據(jù)存儲服務(wù)115可確定是允許還是拒絕數(shù)據(jù)請求107。但是，與典型的數(shù)據(jù)存儲服務(wù)115實現(xiàn)中不同，訪問管理器服務(wù)120可中斷由數(shù)據(jù)存儲服務(wù)115對于數(shù)據(jù)人工制品145的提供，以基于粒度自主訪問控制130(這里稱為自主訪問控制130)檢查是否允許數(shù)據(jù)人工制品145的提供。訪問管理器服務(wù)120可表示被配置為用作實現(xiàn)在由數(shù)據(jù)存儲服務(wù)115提供的數(shù)據(jù)人工制品145上執(zhí)行自主訪問控制130的獨立機制的云服務(wù)。即，訪問管理器服務(wù)120可基于在自主訪問控制130中定義的參數(shù)來調(diào)整數(shù)據(jù)存儲服務(wù)115向數(shù)據(jù)消費者105的數(shù)據(jù)人工制品145的提供。例如，自主訪問控制130可被用來將對于特定的數(shù)據(jù)人工制品145的訪問限制到僅三個用戶105，即使數(shù)據(jù)存儲服務(wù)115通常會向其它的用戶105提供數(shù)據(jù)人工制品145。自主訪問控制130可表示可根據(jù)數(shù)據(jù)人工制品145的數(shù)據(jù)所有者150的裁量被設(shè)定以允許和/或拒絕對于數(shù)據(jù)人工制品145的訪問的可配置參數(shù)。數(shù)據(jù)所有者150可表示數(shù)據(jù)人工制品145的授權(quán)用戶或組織或具有授權(quán)以代表授權(quán)用戶/組織的用戶。例如，授權(quán)組織的數(shù)據(jù)管理員可被給予管理對于所有數(shù)據(jù)人工制品145的自主訪問控制130的任務(wù)，盡管不是數(shù)據(jù)人工制品145的授權(quán)用戶。自主訪問控制130可包含所有者規(guī)定的訪問規(guī)則135和所有者規(guī)定的訪問例外 140。所有者規(guī)定的訪問規(guī)則135(這里稱為訪問規(guī)則135)可表示限制對于數(shù)據(jù)人工制品 145的訪問的條件。所有者規(guī)定的訪問例外140(這里稱為訪問例外140)可表達對于訪問規(guī)則135的經(jīng)授權(quán)的例外。訪問規(guī)則135可意味著標準策略，而訪問例外140可表示與標準策略相反的偶然和/或暫時的允許。用于訪問規(guī)則135和訪問例外140的參數(shù)可利用在數(shù)據(jù)請求107內(nèi)包含的數(shù)據(jù)字段、對于數(shù)據(jù)人工制品145定義的元數(shù)據(jù)和/或由數(shù)據(jù)存儲服務(wù)115利用的數(shù)據(jù)要素(例如，用戶名稱、用戶角色、訪問等級等)。一旦訪問管理器服務(wù)120查明數(shù)據(jù)請求107是否應(yīng)被允許/拒絕，訪問管理器服務(wù)120可確定通過數(shù)據(jù)存儲服務(wù)115的數(shù)據(jù)人工制品145的提供應(yīng)該被否決還是繼續(xù)。根據(jù)該確定，訪問管理器服務(wù)120可向數(shù)據(jù)消費者105發(fā)送適當?shù)脑L問響應(yīng)147(即，訪問準予/拒絕)。為了示出常規(guī)的方法和由自主訪問控制130提供的方法之間的差異，使用外部實體105需要一次訪問以查看一般限于內(nèi)部用戶105的數(shù)據(jù)人工制品145的例子。當使用常規(guī)的云數(shù)據(jù)存儲服務(wù)115時，通過使用數(shù)據(jù)存儲服務(wù)115的可用的訪問控制機制，外部實體105可被分配對于數(shù)據(jù)人工制品145的適當訪問等級(即，向外部實體 105分配適當?shù)慕巧?。但是，這樣做將向外部實體105提供對于可用于該訪問等級的所有數(shù)據(jù)人工制品145的不受限的訪問-如果其它的敏感內(nèi)部數(shù)據(jù)人工制品145共享該訪問等級，那么這是不希望的情況。作為替代，我們嘗試通過使用只能訪問特定的數(shù)據(jù)人工制品145的數(shù)據(jù)存儲服務(wù) 115的訪問控制機制來定義新的角色/群組。雖然是更好的選擇，但是，訪問控制機制很可能在廣義上被定義并且將不支持對于外部實體105能夠在數(shù)據(jù)人工制品145上執(zhí)行的動作類型的限制。因此，該方法雖然將外部實體105的訪問限于特定的數(shù)據(jù)人工制品145，但不能確保外部實體105將只能查看數(shù)據(jù)人工制品145。對于這兩個選擇，數(shù)據(jù)所有者150必須記著一旦確定訪問會話完成則從數(shù)據(jù)存儲服務(wù)115的訪問控制機制去除或去激活(deactivate)外部實體105的訪問。另一常用的用于處理這種類型的情況的手段可以是以電子的方式向外部實體105 提供數(shù)據(jù)人工制品145的副本(S卩，電子郵件、文件傳送)。在這種情況下，數(shù)據(jù)所有者150 放棄對于數(shù)據(jù)人工制品145的控制；外部實體105可以沒有限制地分配和/或修改數(shù)據(jù)人工制品145。如果外部實體105對數(shù)據(jù)人工制品145處理不當，那么該選擇會有損于組織。作為替代方案，可對于數(shù)據(jù)存儲服務(wù)115使用UNIX或類UNIX操作系統(tǒng)的固有文件安全特征。UNIX或類UNIX操作系統(tǒng)可使保護位與存儲的數(shù)據(jù)人工制品145相關(guān)聯(lián)，保護位對于數(shù)據(jù)所有者、所有者屬于的群組和所有其它的用戶定義讀取/寫入/執(zhí)行許可。雖然該特征顧及外部實體105可關(guān)于數(shù)據(jù)人工制品145執(zhí)行的動作，但是，該選擇會招致與訪問有關(guān)的其它問題。首先，大多數(shù)的組織利用基于INTEL的操作系統(tǒng)，這在通過不同的操作系統(tǒng)嘗試存儲數(shù)據(jù)人工制品145時可導致互操作性問題。第二，只能通過實際的作者(創(chuàng)建數(shù)據(jù)人工制品145的用戶)或系統(tǒng)管理員執(zhí)行改變保護位以改變許可。由于這是基于云的數(shù)據(jù)存儲服務(wù)115，因此，可能不能向數(shù)據(jù)所有者150提供任何執(zhí)行基于操作系統(tǒng)的命令的能力。即使這些問題被克服，該方法也可能具有其它的與性能有關(guān)的缺點。不能使用保護位來支持其中數(shù)據(jù)消費者105和/或數(shù)據(jù)所有者150可能是多個群組的成員的訪問控制機制。并且，數(shù)據(jù)消費者105屬于的群組不能與要被賦予群組許可的數(shù)據(jù)所有者150不同。 不能使用系統(tǒng)管理員以外的代理來做出許可改變。最后，一旦保護位改變，該改變就可能沒有區(qū)別地影響群組的所有成員的訪問。通過使用訪問管理器服務(wù)120，將數(shù)據(jù)人工制品145限于內(nèi)部用戶可被表示為訪問規(guī)則135，因為它是這個和/或其它數(shù)據(jù)人工制品145的標準訪問策略。外部實體105訪問數(shù)據(jù)人工制品145的需要可被定義為訪問例外140。訪問例外140可被編寫為對于外部實體105的標識符是特有的，將允許的動作僅限于查看并且僅允許單個訪問會話。并且，通過該方法，數(shù)據(jù)人工制品145可保持安全地存儲于貯藏庫125中；外部實體105不能存儲本地副本。由訪問規(guī)則135表示的數(shù)據(jù)人工制品145的標準訪問策略可保持完整。一旦訪問管理器服務(wù)120執(zhí)行了訪問例外140，訪問例外140可被去激活以防止外部實體105對于數(shù)據(jù)人工制品145的進一步訪問。通過該方法，可以在云計算環(huán)境110中提供以下的能力·基于組織的操作國的數(shù)據(jù)訪問規(guī)定/限制的組織特有的“拒絕方列表”，而不管貯藏庫125駐留在什么國家， 如果數(shù)據(jù)存儲服務(wù)115被損害和/或改變它們的內(nèi)部訪問/可見性規(guī)則，數(shù)據(jù)泄漏的最小化·云數(shù)據(jù)存儲服務(wù)115主持(host)組織的內(nèi)聯(lián)網(wǎng)的能力云計算環(huán)境110可包含傳輸在載波內(nèi)編碼的數(shù)據(jù)所需要的任何硬件/軟件/和固件。數(shù)據(jù)可包含于模擬或數(shù)字信號內(nèi)并且通過數(shù)據(jù)或語音信道被傳輸。云計算環(huán)境110可包含本地組件和在計算設(shè)備組件間以及在集成設(shè)備組件和外圍設(shè)備之間交換通信所需要的數(shù)據(jù)路徑。云計算環(huán)境110還可包含一起形成例如互連網(wǎng)的數(shù)據(jù)網(wǎng)絡(luò)的網(wǎng)絡(luò)設(shè)備，諸如路由器、數(shù)據(jù)線、集線器和中間服務(wù)器。云計算環(huán)境110還可包含諸如電話交換機、調(diào)制解調(diào)器、蜂窩式通信塔等的基于電路的通信組件和移動通信組件。云計算環(huán)境110可包含基于線路的和/或無線通信路徑。如這里使用的那樣，給出的貯藏庫125可以是被配置為存儲數(shù)字信息的物理或虛擬存儲空間?？梢栽谖锢砩显诎幌抻诖疟P、光盤、半導體存儲器、數(shù)字編碼塑料存儲器、全息存儲器或任何其它的記錄介質(zhì)的任意類型的硬件內(nèi)實現(xiàn)貯藏庫125。貯藏庫125可以是獨立存儲單元以及由多個物理設(shè)備形成的存儲單元。另外，可以以各種方式在貯藏庫 125內(nèi)存儲信息。例如，可以在數(shù)據(jù)庫結(jié)構(gòu)內(nèi)或者可以在文件存儲系統(tǒng)的一個或更多個文件內(nèi)存儲信息，這里，每個文件可以出于信息搜索目的而被索引或者可以不被索引。并且，貯藏庫125可利用一個或更多個加密機制以保護存儲的信息以避免未授權(quán)的訪問。圖2是示出根據(jù)這里公開的本發(fā)明的配置的實施例的對于在云計算環(huán)境205中操作的數(shù)據(jù)存儲服務(wù)225提供粒度自主訪問控制的系統(tǒng)200的示意圖?？梢栽谔幚砹鞒?00 的上下文中利用系統(tǒng)200。在系統(tǒng)200中，可通過數(shù)據(jù)存儲服務(wù)225在云計算環(huán)境205的貯藏庫210內(nèi)存儲數(shù)據(jù)人工制品215。數(shù)據(jù)人工制品215的數(shù)據(jù)所有者280可利用訪問管理器服務(wù)M5的所有者規(guī)定的訪問規(guī)則255(這里稱為訪問規(guī)則25 和/或所有者規(guī)定的訪問例外沈0 (這里被稱為訪問例外260)，來為尋求對于數(shù)據(jù)人工制品215的訪問的數(shù)據(jù)消費者265定義自主訪問控制。數(shù)據(jù)所有者280可表示數(shù)據(jù)人工制品215的授權(quán)用戶或發(fā)起組織或具有代表授權(quán)用戶/組織的授權(quán)的用戶。數(shù)據(jù)消費者265可與請求訪問指定的數(shù)據(jù)人工制品215的人類用戶和/或計算實體(即，其它的云服務(wù))對應(yīng)。數(shù)據(jù)人工制品215可表示以電子格式存儲的各種數(shù)據(jù)(即，文本文件、圖像文件、音頻文件、多媒體文件等)。云計算環(huán)境205可表示實現(xiàn)云計算模型的硬件/軟件組件的配置。一般地，云計算環(huán)境205可包含諸如服務(wù)器、數(shù)據(jù)存儲裝置和軟件應(yīng)用的支持在互連網(wǎng)上提供云服務(wù)的硬件/軟件組件。在本例子中，云計算環(huán)境205可包含用于數(shù)據(jù)人工制品215的存儲的貯藏庫210、 用于數(shù)據(jù)存儲服務(wù)225的服務(wù)提供器(servic印rOVider)220和用于訪問管理器服務(wù)對5 的服務(wù)提供器對0。應(yīng)當注意，在不背離本公開的本實施例的精神的情況下，附加的貯藏庫210和/或服務(wù)提供器220和/或MO以及由服務(wù)提供器220和/或240提供的其它的云服務(wù)可包含于云計算環(huán)境205內(nèi)。注意，同樣重要的是，由于云計算環(huán)境205基于互連網(wǎng)，因此，系統(tǒng)200的各種組件之間的通信所需要的任何計算機網(wǎng)絡(luò)(例如，公有、私有、WAN、LAN等)可作為云計算環(huán)境 205的一部分被包含并且未作為單獨的實體被示出。服務(wù)提供器220和240可表示支持它們各自的服務(wù)225和245的操作所需要的硬件和/或軟件組件。在另一設(shè)想的實施例中，數(shù)據(jù)存儲服務(wù)225和訪問管理器服務(wù)245可由同一服務(wù)提供器220或240提供。在系統(tǒng)200中，每個服務(wù)提供器220和240可被示為分別具有單獨的數(shù)據(jù)存儲裝置230和250。應(yīng)當注意，數(shù)據(jù)存儲裝置230和250的使用是要示出每個云服務(wù)225和M5 特定的數(shù)據(jù)要素的邏輯分離，而不旨在表達所需的實現(xiàn)。在系統(tǒng)200的實現(xiàn)中，數(shù)據(jù)存儲裝置230和/或250的內(nèi)容可被存儲于貯藏庫210和/或可通過相應(yīng)的服務(wù)提供器220或240訪問的另一這種貯藏庫210中。即，數(shù)據(jù)存儲裝置230和250的內(nèi)容可存儲于包含在云計算環(huán)境205中的可由服務(wù)提供器220或240訪問的任何貯藏庫210上。數(shù)據(jù)存儲服務(wù)225可表示被配置為管理云貯藏庫210中的數(shù)據(jù)人工制品215的存儲和訪問的云服務(wù)。除了數(shù)據(jù)人工制品215的存儲以外，數(shù)據(jù)存儲服務(wù)225還可包含諸如文件共享、版本控制和在線協(xié)作的各種數(shù)據(jù)管理功能。數(shù)據(jù)存儲服務(wù)225可基于數(shù)據(jù)存儲服務(wù)225特定的一組數(shù)據(jù)處理規(guī)則(data handling rule) 235來確定是允許還是拒絕對于數(shù)據(jù)人工制品215的訪問。數(shù)據(jù)處理規(guī)則 235可表示由政府機構(gòu)或組織施加的適用于服務(wù)提供器220、貯藏庫210、數(shù)據(jù)所有者觀0和 /或數(shù)據(jù)消費者265的位置的數(shù)據(jù)訪問要求和/或規(guī)定。例如，對基于美國的醫(yī)療數(shù)據(jù)的數(shù)據(jù)存儲服務(wù)225可具有確保由數(shù)據(jù)存儲服務(wù) 225處理的數(shù)據(jù)人工制品215符合健康保險攜帶和責任法案(HIPAA)的數(shù)據(jù)處理規(guī)則235。訪問管理器服務(wù)245可表示被配置為用作獨立機制的云服務(wù)，該獨立機制可根據(jù)數(shù)據(jù)所有者觀0的裁量對于由數(shù)據(jù)存儲服務(wù)225提供的數(shù)據(jù)人工制品215通過訪問規(guī)則 255進一步限制訪問或者通過訪問例外沈0允許特許。訪問管理器服務(wù)245因此能夠在提供對于受訪問規(guī)則255和/或訪問例外260約束的數(shù)據(jù)人工制品215的訪問時否決數(shù)據(jù)存儲服務(wù)225的決定。如上所述，訪問規(guī)則255可意味著標準策略的表示，而訪問例外260可表示對由數(shù)據(jù)存儲服務(wù)225的數(shù)據(jù)處理規(guī)則235和/或訪問管理器服務(wù)245的訪問規(guī)則255體現(xiàn)的策略的偶然和/或暫時的免除。應(yīng)當強調(diào)，訪問規(guī)則255和訪問例外沈0的管理和執(zhí)行獨立于數(shù)據(jù)存儲服務(wù)225 的操作而發(fā)生。即，訪問管理器服務(wù)255可在數(shù)據(jù)存儲服務(wù)225完成其操作之后執(zhí)行其操作。數(shù)據(jù)存儲服務(wù)225可以在不知道訪問管理器服務(wù)255的動作的情況下操作。因此，訪問管理器服務(wù)255的功能可被應(yīng)用于當前的數(shù)據(jù)存儲服務(wù)225，而不需要云計算環(huán)境205內(nèi)的體系和/或系統(tǒng)變化。在另一實施例中，可在提供對所請求的數(shù)據(jù)人工制品215的訪問之前作為訪問控制的最終階段由數(shù)據(jù)存儲服務(wù)225調(diào)用訪問管理器服務(wù)255。用于表達訪問規(guī)則255和訪問例外沈0的參數(shù)可利用包含于由數(shù)據(jù)存儲服務(wù)225 從數(shù)據(jù)消費者265接收的數(shù)據(jù)請求內(nèi)的數(shù)據(jù)字段、對于數(shù)據(jù)人工制品215定義的元數(shù)據(jù)和 /或由數(shù)據(jù)存儲服務(wù)225利用的數(shù)據(jù)要素。這些參數(shù)的例子可包含但不限于用戶名稱、電子郵件地址、電子郵件域、IP地址、 數(shù)據(jù)人工制品215的類型、用戶角色、執(zhí)行的動作的類型、數(shù)據(jù)人工制品215的置信度水平、 接收請求的時間和請求路由等。數(shù)據(jù)所有者280可通過使用在客戶機裝置270上運行的訪問管理器用戶界面275 定義訪問規(guī)則255和/或訪問例外沈0。客戶機裝置270可表示能夠運行訪問管理器用戶界面275并與云計算環(huán)境205通信的各種計算裝置。訪問管理器用戶界面275可表示其中可向數(shù)據(jù)所有者280呈現(xiàn)用于定義訪問規(guī)則 255和/或訪問例外沈0的可配置機制的圖形用戶界面(⑶I)。訪問管理器用戶界面275 可進一步被配置為利用安全措施來限制對于數(shù)據(jù)項和/或特征的訪問或使用。例如，為了將訪問例外260的創(chuàng)建限制于具有“管理員”角色的數(shù)據(jù)所有者觀0，可以使用基于角色的方法。并且，可以使用不同的角色來限制數(shù)據(jù)所有者280可創(chuàng)建和/或修改的訪問規(guī)則255的類型。應(yīng)當注意，不使用訪問管理器用戶界面275來與數(shù)據(jù)存儲服務(wù)225交互作用。與數(shù)據(jù)存儲服務(wù)225的交互作用將利用與數(shù)據(jù)存儲服務(wù)225相關(guān)聯(lián)的用戶界面(未示出)。云計算環(huán)境205可包含傳輸在載波內(nèi)編碼的數(shù)據(jù)所需要的任何硬件/軟件/和固件。數(shù)據(jù)可包含于模擬或數(shù)字信號內(nèi)并且通過數(shù)據(jù)或語音信道被傳輸。云計算環(huán)境205可包含本地組件和在計算設(shè)備組件間以及在集成設(shè)備組件和外圍設(shè)備之間交換通信所需要的數(shù)據(jù)路徑。云計算環(huán)境205還可包含一起形成例如互連網(wǎng)的數(shù)據(jù)網(wǎng)絡(luò)的網(wǎng)絡(luò)設(shè)備，諸如路由器、數(shù)據(jù)線、集線器和中間服務(wù)器。云計算環(huán)境110還可包含諸如電話交換機、調(diào)制解調(diào)器、蜂窩式通信塔等的基于電路的通信組件和移動通信組件。云計算環(huán)境205可包含基于線路的和/或無線通信路徑。如這里使用的那樣，給出的貯藏庫210和數(shù)據(jù)存儲裝置230和250可以是被配置為存儲數(shù)字信息的物理或虛擬存儲空間?？梢栽谖锢砩显诎幌抻诖疟P、光盤、半導體存儲器、數(shù)字編碼塑料存儲器、全息存儲器或任何其它的記錄介質(zhì)的任意類型的硬件內(nèi)實現(xiàn)貯藏庫210和數(shù)據(jù)存儲裝置230和250。貯藏庫210和數(shù)據(jù)存儲裝置230和250可以是獨立存儲單元以及由多個物理設(shè)備形成的存儲單元。另外，可以以各種方式在貯藏庫210 和數(shù)據(jù)存儲裝置230和250內(nèi)存儲信息。例如，可以在數(shù)據(jù)庫結(jié)構(gòu)內(nèi)或者可以在文件存儲系統(tǒng)的一個或更多個文件內(nèi)存儲信息，這里，每個文件可以出于信息搜索目的而被索引或者可以不被索引。并且，貯藏庫210和/或數(shù)據(jù)存儲裝置230和/或250可利用一個或更多個加密機制來保護存儲的信息以避免未授權(quán)的訪問。圖3是在總體上詳述根據(jù)這里公開的本發(fā)明的配置的實施例的用于實現(xiàn)自主訪問控制的關(guān)于數(shù)據(jù)存儲服務(wù)的訪問管理器服務(wù)的功能的方法300的流程圖?？梢栽谔幚砹鞒?00和/或系統(tǒng)200的上下文內(nèi)執(zhí)行方法300。方法300可示出由數(shù)據(jù)存儲服務(wù)執(zhí)行的一系列步驟305 325和響應(yīng)于數(shù)據(jù)存儲服務(wù)執(zhí)行步驟305和325而被觸發(fā)的由訪問管理器服務(wù)執(zhí)行的第二組步驟350 395。為了簡化，首先討論方法300的與數(shù)據(jù)存儲服務(wù)有關(guān)的一部分，然后討論訪問管理器服務(wù)的那些步驟。方法300的步驟305 325可表示由數(shù)據(jù)存儲服務(wù)對數(shù)據(jù)請求的典型的處理。在步驟305中，數(shù)據(jù)存儲服務(wù)可從數(shù)據(jù)消費者接收數(shù)據(jù)請求。如果需要的話，在步驟310中， 數(shù)據(jù)存儲服務(wù)可啟動用于數(shù)據(jù)消費者的用戶會話。在步驟315中，數(shù)據(jù)存儲服務(wù)可基于其內(nèi)部處理規(guī)則確定對于數(shù)據(jù)請求的提供器響應(yīng)(即，允許，拒絕)。應(yīng)當注意，使用術(shù)語“提供器響應(yīng)”來區(qū)分由數(shù)據(jù)存儲服務(wù)確定的響應(yīng)和由訪問管理器服務(wù)確定的響應(yīng)(由術(shù)語“訪問響應(yīng)”表示)。數(shù)據(jù)存儲服務(wù)然后可在步驟320中創(chuàng)建對于數(shù)據(jù)請求的響應(yīng)消息。在步驟325中， 可通過數(shù)據(jù)存儲服務(wù)向請求者(數(shù)據(jù)消費者)發(fā)送響應(yīng)消息。如虛線307所示，數(shù)據(jù)存儲服務(wù)執(zhí)行步驟305可觸發(fā)訪問管理器服務(wù)執(zhí)行步驟 350。在步驟350中，訪問管理器服務(wù)可諸如通過使用監(jiān)聽器部件或通過詢問數(shù)據(jù)存儲服務(wù)的消息隊列來檢測數(shù)據(jù)存儲服務(wù)已接收數(shù)據(jù)請求。在步驟355中，訪問管理器服務(wù)可獲得數(shù)據(jù)請求的副本。在步驟360中，訪問管理器服務(wù)可識別適用于數(shù)據(jù)請求的所有者規(guī)定的訪問規(guī)則和/或例外。然后，在步驟365中， 可由訪問管理器服務(wù)基于識別的訪問規(guī)則和/或例外確定對于數(shù)據(jù)請求的訪問響應(yīng)。訪問管理器服務(wù)可響應(yīng)于數(shù)據(jù)存儲服務(wù)執(zhí)行步驟325而執(zhí)行步驟370。在步驟370 中，訪問管理器服務(wù)可截斷(intercept)數(shù)據(jù)存儲服務(wù)發(fā)送的響應(yīng)消息。訪問管理器服務(wù)可在步驟375中確定它確定的訪問響應(yīng)是否匹配截斷的響應(yīng)消息的提供器響應(yīng)。當響應(yīng)匹配(即，兩個服務(wù)均同意請求者應(yīng)具有或不應(yīng)具有訪問權(quán))時，可以執(zhí)行步驟380，其中訪問管理器服務(wù)向請求者發(fā)送響應(yīng)消息(即，釋放截斷的響應(yīng)消息)。當響應(yīng)不匹配時，訪問管理器服務(wù)可在步驟385中否決數(shù)據(jù)存儲服務(wù)的響應(yīng)消息。在執(zhí)行步驟385的點上，可存在兩種可能的情況-訪問管理器服務(wù)希望拒絕數(shù)據(jù)存儲服務(wù)允許的訪問或允許數(shù)據(jù)存儲服務(wù)拒絕的訪問。在任一種情況下，可以執(zhí)行步驟390，其中訪問管理器服務(wù)可向數(shù)據(jù)存儲服務(wù)提供對于請求者的會話許可的必要的否決修改。訪問管理器服務(wù)然后可在步驟395中修改響應(yīng)消息的響應(yīng)并且將響應(yīng)消息發(fā)送給請求者。圖4是描述根據(jù)這里公開的本發(fā)明的配置的實施例的訪問管理器服務(wù)的操作的方法400的流程圖?？梢栽谔幚砹鞒?00、系統(tǒng)200的上下文內(nèi)和/或與方法300結(jié)合執(zhí)行方法400。方法400可在步驟405開始，其中訪問管理器服務(wù)可獲得數(shù)據(jù)請求和由數(shù)據(jù)存儲服務(wù)確定的響應(yīng)消息?？稍诓襟E410中對于數(shù)據(jù)請求識別所有者規(guī)定的訪問規(guī)則和/或例外。在步驟415中，可以確定對于數(shù)據(jù)請求是否存在訪問例外。當不存在訪問例外時， 識別的訪問規(guī)則可在步驟420中聚合(aggregate)。由于訪問規(guī)則可能由單獨的用戶產(chǎn)生、在各種粒度水平上存在并且/或者適用于不同參數(shù)，因此，存在訪問規(guī)則相互沖突的可能性。訪問管理器服務(wù)可利用優(yōu)先權(quán)值以確立哪個訪問規(guī)則應(yīng)占先。如果需要的話，可以在步驟425中使用該優(yōu)先權(quán)值以解決識別的訪問規(guī)則之間的沖突。在步驟430中，可基于識別的訪問規(guī)則確定訪問響應(yīng)。可以在步驟435中確定所確定的訪問響應(yīng)是否匹配來自數(shù)據(jù)存儲服務(wù)的響應(yīng)消息。當確定的訪問響應(yīng)匹配響應(yīng)消息時，可以執(zhí)行步驟440，其中將響應(yīng)消息傳輸?shù)秸埱笳?數(shù)據(jù)消費者)。當確定的訪問響應(yīng)不匹配響應(yīng)消息時，在步驟465中，請求者的會話可被修改以按每個確定的訪問響應(yīng)允許或拒絕訪問。在步驟470中，反映確定的訪問響應(yīng)的響應(yīng)消息可被發(fā)送給請求者。當在步驟415中確定存在訪問例外時，方法400的流程可前進到步驟445，其中訪問管理器服務(wù)可請求來自請求者的請求認證。對于訪問例外的認證可以是附加的安全階段，并可被推薦用于敏感或?qū)Ｓ脭?shù)據(jù)人工制品。認證可采取各種形式，包含但不限于質(zhì)詢/響應(yīng)格式、一次性密碼、數(shù)字令牌、存儲于智能卡上的認證參數(shù)、管理員對會話的人工授權(quán)、生物測定讀數(shù)、認證形式的組合等?？稍诓襟E450中確定認證的有效性。當請求者提供有效的認證時，可執(zhí)行步驟 455，其中訪問管理器服務(wù)可根據(jù)訪問例外修改請求者的會話。當請求者提供無效的認證時，可在步驟460中將無效的認證通知給請求者。從步驟460，流程可返回再次請求認證的步驟445。圖5是詳述根據(jù)這里公開的本發(fā)明的配置的實施例的數(shù)據(jù)所有者使用訪問管理器服務(wù)的方法500和520的流程圖的集合?？梢栽谔幚砹鞒?00、系統(tǒng)200的上下文內(nèi)和/ 或與方法300和/或400結(jié)合執(zhí)行方法500和/或520。在方法500中，用戶可在步驟505中通過使用訪問管理器用戶界面定義新的訪問規(guī)則。然后可在步驟510中向輸入的訪問規(guī)則分配優(yōu)先權(quán)值。作為替代方案，訪問管理器服務(wù)可被配置為自動執(zhí)行步驟510，從而基于創(chuàng)建訪問規(guī)則的用戶分配優(yōu)先權(quán)值。例如，與由團隊級用戶創(chuàng)建的訪問規(guī)則相比，由管理員級用戶創(chuàng)建的訪問規(guī)則可被自動分配更高的優(yōu)先權(quán)值。在步驟515中，可存儲新的訪問規(guī)則供訪問管理器服務(wù)使用。方法520可描述訪問例外的創(chuàng)建。方法520可在步驟525中開始，其中管理員可在訪問管理器用戶界面中定義訪問例外。可以在步驟530中確定是否啟用自動認證(即， 由訪問管理器服務(wù)自動產(chǎn)生的認證信息)。由訪問管理器服務(wù)使用的自動認證的類型可被擴展為包含強認證，即需要兩種或更多種識別手段的認證方法。例如，訪問管理器服務(wù)可產(chǎn)生暫時的密碼和質(zhì)詢/響應(yīng)組。為了獲得訪問，請求者必須正確地輸入密碼和響應(yīng)。當自動認證被啟用時，訪問管理器服務(wù)可在步驟535中向管理員提供認證信息。 在步驟MO中，管理器可向準予訪問的指定用戶提供認證信息。從步驟M0，如方法400的步驟445和450那樣，訪問管理器服務(wù)可繼續(xù)以電子的方式認證指定的用戶。當自動認證不被啟用時，可執(zhí)行步驟M5，其中管理員可等待指定用戶的帶外認證。例如，指定的用戶可聯(lián)系管理員并且在口頭上提供識別信息(即，地址、出生日期、社會安全號碼)?？梢栽诓襟E550中確定有效認證的接收。當接收的認證有效時，管理員可在步驟 555中為訪問管理器服務(wù)手動激活訪問例外。當接收的認證無效時，方法520的流程可返回步驟M5，其中管理員可繼續(xù)等待有效的認證。圖中的流程和框圖示出根據(jù)本發(fā)明的各種實施例的系統(tǒng)、方法和計算機程序產(chǎn)品的可能的實現(xiàn)的結(jié)構(gòu)、功能和操作。在這方面，流程圖或框圖中的各塊可表示包含用于實現(xiàn)規(guī)定的邏輯功能的一個或更多個可執(zhí)行指令的模塊、段或代碼的一部分。應(yīng)當注意，在一些替代性實現(xiàn)中，在塊中注明的功能的次序可以與在圖中注明的次序不同。例如，根據(jù)包含的功能，連續(xù)示出的兩個塊事實上可被基本上同時執(zhí)行，或者，各塊有時可以以相反的次序被執(zhí)行。還應(yīng)注意，可通過執(zhí)行規(guī)定的功能或動作的基于專用硬件的系統(tǒng)或?qū)Ｓ糜布陀嬎銠C指令的組合，實現(xiàn)框圖和/或流程圖的每個塊和框圖和/或流程圖的各塊的組合。
權(quán)利要求
1.一種計算環(huán)境中的方法，包括由在云計算環(huán)境中操作的訪問管理器服務(wù)獲得數(shù)據(jù)請求和對于數(shù)據(jù)請求的響應(yīng)消息， 其中，所述響應(yīng)消息是由云計算環(huán)境的數(shù)據(jù)存儲服務(wù)響應(yīng)于數(shù)據(jù)請求而產(chǎn)生的，其中，所述響應(yīng)消息指示對于由數(shù)據(jù)存儲服務(wù)存儲的數(shù)據(jù)人工制品的訪問的允許和拒絕中的至少一個；識別適用于數(shù)據(jù)請求的至少一個所有者規(guī)定的訪問規(guī)則和至少一個所有者規(guī)定的訪問例外中的至少一個的存在；基于識別的至少一個所有者規(guī)定的訪問規(guī)則和至少一個所有者規(guī)定的訪問例外確定對于數(shù)據(jù)請求的訪問響應(yīng)，其中，所述訪問響應(yīng)指示對于在數(shù)據(jù)請求中請求的數(shù)據(jù)人工制品的訪問的允許和拒絕中的至少一個，其中所有者規(guī)定的訪問規(guī)則定義限制訪問數(shù)據(jù)人工制品的至少一個參數(shù)，并且其中所有者規(guī)定的訪問例外定義允許訪問數(shù)據(jù)人工制品的條件，其中訪問被數(shù)據(jù)存儲服務(wù)和至少一個所有者規(guī)定的訪問規(guī)則中的至少一個拒絕； 比較確定的訪問響應(yīng)與響應(yīng)消息；如果確定的訪問響應(yīng)不匹配響應(yīng)消息，則否決響應(yīng)消息以表達確定的訪問響應(yīng)；和如果確定的訪問響應(yīng)匹配響應(yīng)消息，則將響應(yīng)消息傳輸?shù)綌?shù)據(jù)請求的發(fā)起實體。
2.根據(jù)權(quán)利要求1的方法，其中，獲得數(shù)據(jù)請求和響應(yīng)消息還包含 檢測數(shù)據(jù)存儲服務(wù)對數(shù)據(jù)請求的接收；和從數(shù)據(jù)存儲服務(wù)請求所述數(shù)據(jù)請求的副本。
3.根據(jù)權(quán)利要求1的方法，其中，獲得數(shù)據(jù)請求和響應(yīng)消息還包含 檢測數(shù)據(jù)存儲服務(wù)對響應(yīng)消息的傳送；和截斷響應(yīng)消息的傳送。
4.根據(jù)權(quán)利要求1的方法，其中，如果所述識別的結(jié)果是存在所有者規(guī)定的訪問例外， 則所述方法還包括請求來自數(shù)據(jù)請求的發(fā)起實體的認證數(shù)據(jù)； 在接收到認證數(shù)據(jù)時，證實所述認證數(shù)據(jù)；和如果認證數(shù)據(jù)被確定為有效，則立即否決響應(yīng)消息以表達所有者規(guī)定的訪問例外。
5.根據(jù)權(quán)利要求4的方法，還包括評估所有者規(guī)定的訪問例外是否要保持激活以供訪問管理器服務(wù)使用；和如果所有者規(guī)定的訪問例外被評估為不保持激活，則自動去激活所有者規(guī)定的訪問例夕卜，其中，所述所有者規(guī)定的訪問例外不可用于訪問管理器服務(wù)。
6.根據(jù)權(quán)利要求4的方法，還包括如果認證數(shù)據(jù)被確定為無效，則將無效認證數(shù)據(jù)通知給數(shù)據(jù)請求的發(fā)起實體；和重復請求和證實來自發(fā)起實體的認證數(shù)據(jù)，其中，對于數(shù)據(jù)人工制品的訪問被拒絕，直到有效認證數(shù)據(jù)的接收、由數(shù)據(jù)存儲服務(wù)創(chuàng)建的與數(shù)據(jù)請求相關(guān)聯(lián)的會話的終止、和預(yù)定的時間限制的期滿中的至少一個。
7.根據(jù)權(quán)利要求1的方法，其中，訪問響應(yīng)的確定還包含 聚合所述至少一個識別的所有者規(guī)定的訪問規(guī)則；識別所有者規(guī)定的訪問規(guī)則的聚合內(nèi)沖突的存在，其中，如果至少兩個所有者規(guī)定的訪問規(guī)則的參數(shù)值相互排斥，則所述至少兩個所有者規(guī)定的訪問規(guī)則被視為沖突，如果沖突存在，通過使用與識別為沖突的每個所有者規(guī)定的訪問規(guī)則相關(guān)聯(lián)的優(yōu)先權(quán)值來解決所述沖突，其中，具有最高優(yōu)先權(quán)值的所有者規(guī)定的訪問規(guī)則優(yōu)先于具有較低優(yōu)先權(quán)值的所有者規(guī)定的訪問規(guī)則被使用，其中從所有者規(guī)定的訪問規(guī)則的聚合去除具有較低優(yōu)先權(quán)值的所有者規(guī)定的訪問規(guī)則；比較與由所有者規(guī)定的訪問規(guī)則的聚合表達的參數(shù)值對應(yīng)的來自數(shù)據(jù)請求的數(shù)據(jù)值；如果所述比較表示數(shù)據(jù)值滿足參數(shù)值，則將訪問響應(yīng)設(shè)為拒絕對于數(shù)據(jù)人工制品的訪問；和如果所述比較表示參數(shù)不被數(shù)據(jù)值滿足，則將訪問響應(yīng)設(shè)為允許對于數(shù)據(jù)人工制品的訪問ο
8.根據(jù)權(quán)利要求1的方法，其中，響應(yīng)消息的否決還包含實施對于由數(shù)據(jù)存儲服務(wù)為數(shù)據(jù)請求創(chuàng)建的會話的至少一個參數(shù)的修改，其中，所述至少一個參數(shù)控制對會話準予的訪問；修改響應(yīng)消息以反映確定的訪問響應(yīng)；和將響應(yīng)消息傳輸?shù)綌?shù)據(jù)請求的發(fā)起實體。
9.一種系統(tǒng)，包括表示電子數(shù)據(jù)文件的多個數(shù)據(jù)人工制品；包含被配置為根據(jù)云計算模型操作的多個云服務(wù)提供器的云計算環(huán)境；被配置為管理云計算環(huán)境內(nèi)的多個數(shù)據(jù)人工制品的存儲和訪問的數(shù)據(jù)存儲云服務(wù)；被配置為對由數(shù)據(jù)存儲云服務(wù)管理的多個數(shù)據(jù)人工制品提供自主訪問控制的訪問管理器云服務(wù)，其中，在由數(shù)據(jù)存儲云服務(wù)執(zhí)行的訪問控制操作之外執(zhí)行所述自主訪問控制， 并且其中訪問管理器云服務(wù)的自主訪問控制能夠撤銷由數(shù)據(jù)存儲云服務(wù)做出的訪問允許和訪問拒絕。
10.根據(jù)權(quán)利要求9的系統(tǒng)，其中，數(shù)據(jù)存儲云服務(wù)還包含定義對于訪問多個數(shù)據(jù)人工制品的限制的多個數(shù)據(jù)處理規(guī)則，其中，數(shù)據(jù)存儲云服務(wù)利用所述多個數(shù)據(jù)處理規(guī)則來對于請求訪問數(shù)據(jù)人工制品的數(shù)據(jù)消費者確定訪問允許和訪問拒絕中的至少一個。
11.根據(jù)權(quán)利要求9的系統(tǒng)，其中，訪問管理器云服務(wù)還包含定義限制訪問數(shù)據(jù)人工制品的至少一個參數(shù)值的多個所有者規(guī)定的訪問規(guī)則；和定義允許訪問數(shù)據(jù)人工制品的條件的多個所有者規(guī)定的訪問例外，其中，訪問被數(shù)據(jù)存儲服務(wù)和至少一個所有者規(guī)定的訪問規(guī)則中的至少一個拒絕。
12.根據(jù)權(quán)利要求11的系統(tǒng)，其中，還包括被配置為證實與所有者規(guī)定的訪問例外相關(guān)聯(lián)的認證信息的認證機制，其中，訪問管理器云服務(wù)接收到有效認證數(shù)據(jù)使得能夠?qū)崿F(xiàn)訪問數(shù)據(jù)人工制品。
13.根據(jù)權(quán)利要求12的系統(tǒng)，其中，認證機制進一步被配置為自動產(chǎn)生認證信息。
14.根據(jù)權(quán)利要求12的系統(tǒng)，其中，認證機制被配置為利用強認證處理。
15.根據(jù)權(quán)利要求11的系統(tǒng)，還包括被配置為允許定義多個所有者規(guī)定的訪問規(guī)則和多個所有者規(guī)定的訪問例外的訪問管理器服務(wù)用戶界面。
16.一種方法，包括云存儲系統(tǒng)的數(shù)據(jù)存儲云服務(wù)接收數(shù)據(jù)請求，其中，所述數(shù)據(jù)請求請求訪問由云計算環(huán)境內(nèi)的云存儲系統(tǒng)存儲的數(shù)據(jù)人工制品；數(shù)據(jù)存儲云服務(wù)確定對數(shù)據(jù)請求的響應(yīng)，其中，所述確定表示對于數(shù)據(jù)人工制品允許訪問和拒絕訪問中的至少一個；訪問管理器云服務(wù)檢測數(shù)據(jù)存儲云服務(wù)對于數(shù)據(jù)請求的接收； 訪問管理器云服務(wù)在所確定的響應(yīng)的執(zhí)行之前中斷數(shù)據(jù)存儲云服務(wù)對于數(shù)據(jù)請求的處理；訪問管理器云服務(wù)獲得數(shù)據(jù)請求的副本和數(shù)據(jù)存儲云服務(wù)的響應(yīng)； 訪問管理器云服務(wù)針對為數(shù)據(jù)人工制品定義的自主訪問控制來評價數(shù)據(jù)請求的副本的內(nèi)容，其中，所述自主訪問控制由與數(shù)據(jù)人工制品相關(guān)聯(lián)的實體配置；訪問管理器云服務(wù)根據(jù)數(shù)據(jù)請求副本的所述評價確定響應(yīng)，其中，所述確定表示對于數(shù)據(jù)人工制品允許訪問和拒絕訪問中的至少一個；比較由數(shù)據(jù)存儲云服務(wù)確定的響應(yīng)與由訪問管理器云服務(wù)在內(nèi)部確定的響應(yīng)； 如果所述比較表示數(shù)據(jù)存儲云服務(wù)和訪問管理器云服務(wù)的響應(yīng)不一致，則訪問管理器云服務(wù)否決數(shù)據(jù)存儲云服務(wù)的響應(yīng)，其中，由訪問管理器云服務(wù)確定的響應(yīng)優(yōu)先于由數(shù)據(jù)存儲云服務(wù)確定的響應(yīng)；和如果所述比較表示數(shù)據(jù)存儲云服務(wù)和訪問管理器云服務(wù)的響應(yīng)一致，則訪問管理器云服務(wù)釋放數(shù)據(jù)存儲云服務(wù)對于數(shù)據(jù)請求的處理的中斷，其中，允許數(shù)據(jù)存儲云服務(wù)完成數(shù)據(jù)請求的實現(xiàn)。
17.根據(jù)權(quán)利要求16的方法，其中，數(shù)據(jù)存儲云服務(wù)對于數(shù)據(jù)請求的處理的中斷還包含訪問管理器云服務(wù)檢測所述響應(yīng)從數(shù)據(jù)存儲服務(wù)向數(shù)據(jù)請求的發(fā)起實體傳送；和訪問管理器云服務(wù)截斷所述傳送。
18.根據(jù)權(quán)利要求16的方法，其中，評價數(shù)據(jù)請求副本的內(nèi)容還包含訪問管理器云服務(wù)識別適用于數(shù)據(jù)請求副本的至少一個所有者規(guī)定的訪問例外的存在，其中，自主訪問控制利用所有者規(guī)定的訪問例外，其中所有者規(guī)定的訪問例外定義允許否則被數(shù)據(jù)存儲服務(wù)和自主訪問控制中的至少一個拒絕的對數(shù)據(jù)人工制品的訪問的條件；如果至少一個適用的所有者規(guī)定的訪問例外存在，則訪問管理器云服務(wù)請求來自數(shù)據(jù)請求副本的發(fā)起實體的認證數(shù)據(jù)；在接收到認證數(shù)據(jù)時，訪問管理器云服務(wù)證實所述認證數(shù)據(jù)；以及， 如果認證數(shù)據(jù)被確定為有效，則訪問管理器云服務(wù)立即否決數(shù)據(jù)存儲云服務(wù)的響應(yīng)， 其中，由訪問管理器云服務(wù)確定的響應(yīng)優(yōu)先于通過數(shù)據(jù)存儲云服務(wù)確定的響應(yīng)。
19.根據(jù)權(quán)利要求18的方法，其中，如果至少一個所有者規(guī)定的訪問例外不存在，則所述方法還包括訪問管理器云服務(wù)識別適用于數(shù)據(jù)請求副本的至少一個所有者規(guī)定的訪問規(guī)則的存在，其中，自主訪問控制利用所有者規(guī)定的訪問規(guī)則，其中所有者規(guī)定的訪問規(guī)則定義限制訪問數(shù)據(jù)人工制品的至少一個參數(shù)值；如果至少一個適用的所有者規(guī)定的訪問規(guī)則存在，則訪問管理器云服務(wù)聚合至少一個適用的所有者規(guī)定的訪問規(guī)則；訪問管理器云服務(wù)識別適用的所有者規(guī)定的訪問規(guī)則的聚合內(nèi)沖突的存在，其中，如果至少兩個適用的所有者規(guī)定的訪問規(guī)則的參數(shù)值相互排斥，則所述至少兩個適用的所有者規(guī)定的訪問規(guī)則被視為沖突，如果沖突存在，訪問管理器云服務(wù)通過使用與被識別為沖突的每個所有者規(guī)定的訪問規(guī)則相關(guān)聯(lián)的優(yōu)先權(quán)值來解決所述沖突，其中，具有最高優(yōu)先權(quán)值的所有者規(guī)定的訪問規(guī)則優(yōu)先于具有較低優(yōu)先權(quán)值的所有者規(guī)定的訪問規(guī)則被使用，其中從適用的所有者規(guī)定的訪問規(guī)則的聚合去除具有較低優(yōu)先權(quán)值的所有者規(guī)定的訪問規(guī)則；訪問管理器云服務(wù)比較與由適用的所有者規(guī)定的訪問規(guī)則的聚合表達的參數(shù)值對應(yīng)的來自數(shù)據(jù)請求副本的數(shù)據(jù)值，其中，數(shù)據(jù)值滿足參數(shù)值表示拒絕對于數(shù)據(jù)人工制品的訪問。
20.根據(jù)權(quán)利要求16的方法，其中，數(shù)據(jù)存儲云服務(wù)的響應(yīng)的否決還包含 訪問管理器云服務(wù)實施對于由數(shù)據(jù)存儲服務(wù)為數(shù)據(jù)請求創(chuàng)建的會話的至少一個參數(shù)的修改，其中所述至少一個參數(shù)控制對會話準予的訪問；訪問管理器云服務(wù)重新啟動數(shù)據(jù)存儲云服務(wù)對于數(shù)據(jù)請求的處理，其中，數(shù)據(jù)存儲云服務(wù)對數(shù)據(jù)請求的處理反映對于會話的至少一個參數(shù)的修改。
全文摘要
本發(fā)明涉及實現(xiàn)云計算環(huán)境中數(shù)據(jù)的粒度自主訪問控制的方法和系統(tǒng)。實現(xiàn)云計算環(huán)境中的自主訪問控制可從通過訪問管理器服務(wù)獲得數(shù)據(jù)請求和響應(yīng)消息開始。響應(yīng)消息可由數(shù)據(jù)存儲服務(wù)響應(yīng)于數(shù)據(jù)請求而產(chǎn)生。訪問管理器服務(wù)可識別適用于數(shù)據(jù)請求的所有者規(guī)定的訪問規(guī)則和/或訪問例外。可通過使用適用的所有者規(guī)定的訪問規(guī)則和/或訪問例外確定訪問響應(yīng)。響應(yīng)消息和訪問響應(yīng)均可表示對于請求的數(shù)據(jù)人工制品的訪問的允許或拒絕。訪問響應(yīng)可與響應(yīng)消息相比較。如果訪問響應(yīng)不匹配響應(yīng)消息，則響應(yīng)消息可被否決以表達訪問響應(yīng)。如果訪問響應(yīng)匹配響應(yīng)消息，則響應(yīng)消息可被傳輸?shù)綌?shù)據(jù)請求的發(fā)起實體。
文檔編號G06F17/30GK102567454SQ20111036002
公開日2012年7月11日 申請日期2011年11月15日 優(yōu)先權(quán)日2010年12月27日
發(fā)明者O·S·派克祖爾, S·P·克魯格 申請人:國際商業(yè)機器公司