ПЕРЕДАВАЕМЫЕ ОГРАНИЧЕННЫЕ МАРКЕРЫ БЕЗОПАСНОСТИ

1. Способ, исполняемый, по меньшей мере, частично в вычислительном устройстве (800), для безопасной обработки запросов третьих лиц на доступ к пользовательским данным в среде (104) веб-услуги, и этот способ содержит следующие этапы, на которых:
- принимают (902) запрос доступа от поставщика - третьего лица (106), причем запрос связан с подпроцессом, дополняющим процесс веб-услуги;
- извлекают (904) мандат (218) и требование из запроса, причем мандат (218) включает в себя параметр срока действия и роль (324, 326) с ограничением;
- проверяют (908), что срок действия мандата (218) не истек;
- загружают (910), по меньшей мере, одну роль (322) пользователя, связанную с мандатом (218);
- определяют (912, 914) ограничение доступа для запроса на основе нахождения пересечения роли (324, 326) с ограничением и упомянутой, по меньшей мере, одной роли (322) пользователя; и
- делают (916) возможным для третьего лица доступ к пользовательским данным, исходя из определенного таким образом ограничения доступа.
2. Способ по п.1, в котором мандат (218) связывают с именем домена поставщика - третьего лица (106).
3. Способ по п.1, дополнительно содержащий этап, на котором:
- выполняют (906) аутентификацию мандата (218) перед определением ограничения доступа.
4. Способ по п.3, в котором аутентификацию мандата (218) выполняют, применяя цифровую подпись.
5. Способ по п.4, в котором проверяют требование, используя цифровую подпись.
6. Способ по п.3, в котором аутентификацию мандата (218) выполняют, применяя HMAC (Hash Message Authentication Code - Хеш-код идентификации сообщений).
7. Способ по п.6, в котором мандат (218) дополнительно включает в себя, по меньшей мере, одно из следующего: указатель ключа и идентификатор организации.
8. Способ по п.6, дополнительно содержащий этап, на котором:
- ограничивают мандат (218) конкретным действием путем добавления бита к части этого мандата, относящейся к HMAC.
9. Способ по п.1, в котором мандат (218) дополнительно включает в себя параметр повторения, который задает, сколько раз мандат (218) может быть использован для доступа к пользовательским данным.
10. Способ по п.1, в котором нахождение (914) пересечения роли (324, 326) с ограничением и упомянутой, по меньшей мере, одной роли (322) пользователя включает в себя выбор более строгого из ограничений, заданных в ролях.
11. Способ по п.1, дополнительно содержащий этап, на котором:
- применяют заранее заданную роль в дополнение к выбору упомянутого более строгого из ограничений, заданных в ролях.
12. Система для безопасной обработки запросов третьих лиц на доступ к пользовательским данным в среде CRM-услуги на веб-основе, содержащая:
- по меньшей мере, один веб-сервер (772) CRM, выполненный с возможностью:
- принимать (902) запрос доступа от поставщика - третьего лица (106), причем запрос связан с подпроцессом, дополняющим процесс упомянутой CRM-услуги на веб-основе;
- извлекать (904) мандат (218) из запроса, причем мандат (218) связан с именем домена поставщика - третьего лица (106) и включает параметр срока действия и параметр ограничения;
- проверять (908), что срок действия мандата (218) не истек;
- определять (910, 912, 914) ограничение доступа для запроса на основе параметра ограничения, причем упомянутое ограничение доступа отличается от ограничения доступа для пользователя (102), для которого исполняют упомянутый подпроцесс; и
- делать (916) возможным для третьего лица доступ к пользовательским данным, исходя из определенного таким образом ограничения доступа.
13. Система по п.12, в которой упомянутый, по меньшей мере, один веб-сервер (772) CRM дополнительно выполнен с возможностью:
- создавать ограниченного в правах пользователя/домен с соответствующими ролями (324, 326) с ограничением на основе параметра ограничения; и
- определять ограничение доступа на основе нахождения (914) пересечения упомянутых соответствующих ролей (324, 326) с ограничением и роли (322) пользователя.
14. Система по п.12, в которой упомянутый, по меньшей мере, один веб-сервер (772) CRM дополнительно выполнен с возможностью:
- извлекать список ролей (324, 326) с ограничением из мандата (218);
- загружать роль (322) пользователя, связанную с подпроцессом; и
- определять ограничение доступа на основе нахождения (914) пересечения ролей (324, 326) с ограничением и загруженной роли (322) пользователя.
15. Система по п.14, в которой каждая роль (324, 326) с ограничением и роль (322) пользователя включают глубину привилегий, задающую уровень полномочий доступа к пользовательским данным, и ограничение доступа определяют путем выбора более строгой глубины привилегий в пересекающихся ролях.
16. Система по п.12, в которой веб-сервер (772) CRM дополнительно выполнен с возможностью обеспечивать графический интерфейс пользователя (GUI) для конфигурирования глубины привилегий в ролях (324, 326) с ограничением и роли (322) пользователя.
17. Система по п.12, в которой, по меньшей мере, одно ограничение, присвоенное роли (322) пользователя, связанной с подпроцессом, задают на основе иерархической структуры организации-клиента CRM-услуги на веб-основе.
18. Машиночитаемое средство хранения информации с сохраненными в нем инструкциями для безопасной обработки запросов третьего лица на доступ к пользовательским данным в среде (104) веб-услуги, причем эти инструкции содержат:
- прием (902) запроса доступа от поставщика - третьего лица (106), причем запрос связан с подпроцессом, дополняющим процесс веб-услуги;
- извлечение (904) мандата (218) и требования из запроса, причем мандат (218) связан с именем домена поставщика - третьего лица (106) и включает в себя параметр срока действия, роль (324, 326) с ограничением и параметр повторения;
- выполнение (906) аутентификации мандата (218) перед определением ограничения доступа;
- проверку (908), что срок действия мандата (218) не истек;
- загрузку (910), по меньшей мере, одной роли (322) пользователя, связанной с мандатом (218);
- определение (914) ограничения доступа для запроса на основе нахождения пересечения роли (324, 326) с ограничением и упомянутой, по меньшей мере, одной роли (322) пользователя; и
- обеспечение (916) возможности для третьего лица доступа к пользовательским данным, исходя из определенного таким образом ограничения доступа.
19. Машиночитаемое средство хранения информации по п.18, в котором этап (914) определения роли (324, 326) с ограничением и упомянутой, по меньшей мере, одной роли (322) пользователя включает в себя выбор более строгого из ограничений, заданных в упомянутых ролях, и применение заранее заданной роли.
20. Машиночитаемое средство хранения информации по п.18, в котором упомянутый доступ является, по меньшей мере, одним из следующего: создание новой записи, удаление существующей записи, модифицирование существующей записи, обновление существующей записи, извлечение рабочих параметров, связанных с выполнением упомянутого подпроцесса, и модифицирование схемы, связанной с пользовательскими данными.