Управление доступом к ресурсам на ролевой основе

1. Способ управления доступом к вычислительным ресурсам на ролевой основе, включающий
прием, по сети связи, от процесса, выполняющегося на клиентском устройстве, запроса на выполнение какого-либо типа доступа к вычислительному ресурсу;
идентификацию, с помощью хранилища информации, хранящего идентификаторы процессов и связанную с ними информацию управления доступом, информации управления доступом, связанной с запрашивающим процессом, на основе идентификатора запрашивающего процесса;
определение на основе информации управления доступом, связанной с запрашивающим процессом, с использованием по меньшей мере одного аппаратного процессора машины, разрешен ли запрашивающему процессу запрошенный тип доступа к вычислительному ресурсу; и
если запрашивающему процессу разрешен запрошенный тип доступа к вычислительному ресурсу, инициирование обработки запроса.
2. Способ по п. 1, отличающийся тем, что информация управления доступом, связанная с запрашивающим процессом, указывает один или более вычислительных ресурсов, к которым разрешен доступ запрашивающему процессу.
3. Способ по п. 2, отличающийся тем, что информация управления доступом, связанная с запрашивающим процессом, также указывает, по меньшей мере для одного из указанных одного или более вычислительных ресурсов, тип доступа по меньшей мере к одному вычислительному ресурсу из указанных одного или более вычислительных ресурсов, разрешенный для запрашивающего процесса.
4. Способ по п. 1, включающий также
прием по сети связи по меньшей мере одного текстового файла, содержащего идентификаторы процессов и связанную с ними информацию управления доступом; и
сохранение идентификаторов процессов и связанной с ними информации управления доступом в хранилище информации.
6. Способ по п. 1, включающий также отклонение запроса, если запрашивающему процессу не разрешен запрашиваемый тип доступа к вычислительному ресурсу.
7. Способ по п. 1, отличающийся тем, что
каждый идентификатор процесса и связанная с ним информация управления доступом описывают роль, соответствующую процессу, идентифицируемому идентификатором процесса;
запрашивающий процесс соответствует более чем одной роли;
информация управления доступом, связанная с запрашивающим процессом, соответствует первой роли запрашивающего процесса; и
способ также включает
если запрашивающему процессу не разрешен запрашиваемый тип доступа к вычислительному ресурсу в первой роли, определение, доступна ли вторая роль для запрашивающего процесса, которая разрешает запрашиваемый тип доступа к вычислительному ресурсу; и
если вторая роль, которая разрешает запрашиваемый тип доступа к вычислительному ресурсу, доступна для запрашивающего процесса, то
назначение второй роли запрашивающему процессу и
инициирование обработки запроса.
8. Способ по п. 7, включающий также возврат запрашивающего процесса из второй роли в первую роль после наступления заранее заданного события.
9. Способ по п. 8, отличающийся тем, что заранее заданное событие включает обработку запроса.
10. Способ по п. 7, включающий также возврат запрашивающего процесса из второй роли в первую роль по истечении заранее заданного периода времени.
11. Способ по п. 7, отличающийся тем, что вторая роль соответствует информации управления доступом, соответствующей первой роли, и дополнительной информации управления доступом, разрешающей запрашиваемый тип доступа к вычислительному ресурсу.
12. Способ по п. 7, отличающийся тем, что определение, доступна ли вторая роль для запрашивающего процесса, зависит от того, указана ли вторая роль в иерархии ролей, связанной с запрашивающим процессом.
13. Способ по п. 1, включающий также
перед приемом запроса, прием цифрового сертификата, соответствующего клиентскому устройству, и идентификатора процесса для запрашивающего процесса и,
перед приемом запроса, аутентификацию запрашивающего процесса на основе принятого цифрового сертификата и принятого идентификатора процесса.
14. Способ по п. 13, включающий также выполнение двусторонней аутентификации с клиентским устройством, при этом выполнение двусторонней аутентификации включает прием цифрового сертификата и аутентификацию запрашивающего процесса.
15. Способ по п. 1, отличающийся тем, что вычислительный ресурс включает услугу потоковой передачи данных.
16. Способ по п. 1, отличающийся тем, что вычислительный ресурс включает очередь передачи сообщений.
17. Способ по п. 1, отличающийся тем, что вычислительный ресурс включает базу данных.
18. Способ по п. 1, отличающийся тем, что вычислительный ресурс включает веб-сервер.
19. Система, содержащая
один или более аппаратных процессоров и
память, хранящую инструкции, при выполнении которых по меньшей мере одним процессором из одного или более аппаратных процессоров система осуществляет операции, включающие:
прием, по сети связи, от процесса, выполняющегося на клиентском устройстве, запроса на выполнение какого-либо типа доступа к вычислительному ресурсу;
идентификацию, с помощью хранилища информации, хранящего идентификаторы процессов и связанную с ними информацию управления доступом, информации управления доступом, связанной с запрашивающим процессом, на основе идентификатора запрашивающего процесса;
определение на основе информации управления доступом, связанной с запрашивающим процессом, разрешен ли запрашивающему процессу запрошенный тип доступа к вычислительному ресурсу; и
если запрашивающему процессу разрешен запрошенный тип доступа к вычислительному ресурсу, инициирование обработки запроса.
20. Машиночитаемый носитель информации, содержащий инструкции, при выполнении которых по меньшей мере одним аппаратным процессором машины она осуществляет операции, включающие
прием, по сети связи, от процесса, выполняющегося на клиентском устройстве, запроса на выполнение какого-либо типа доступа к вычислительному ресурсу;
идентификацию, с помощью хранилища информации, хранящего идентификаторы процессов и связанную с ними информацию управления доступом, информации управления доступом, связанной с запрашивающим процессом, на основе идентификатора запрашивающего процесса;
определение на основе информации управления доступом, связанной с запрашивающим процессом, разрешен ли запрашивающему процессу запрошенный тип доступа к вычислительному ресурсу; и
если запрашивающему процессу разрешен запрошенный тип доступа к вычислительному ресурсу, инициирование обработки запроса.