(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211066828.8 (22)申请日 2022.09.01 (71)申请人 西安电子科技大 学 地址 710071 陕西省西安市太白南路2号 (72)发明人 覃伯君　习宁　曾辉祥　李雅洁　 刘瑾　程珂　穆旭彤　沈玉龙　 (74)专利代理 机构 西安智大知识产权代理事务 所 61215 专利代理师 王晶 (51)Int.Cl. H04L 9/40(2022.01) (54)发明名称 一种基于区块链的跨 域资源隔离共享系统 (57)摘要 本发明公开了一种基于区块链的跨域资源 隔离共享系统， 包括用户管理模块、 访问控制模 块和共识信任模块； 所述用户管 理模块用于管理 用户信息， 是该系统的前端， 负责系统用户的注 册、 审核、 授权、 注销， 并提供发起访问请求的功 能， 并为用户提供可视化的操作界面； 所述访问 控制模块包含多个后台服务器负责对访问请求 进行处理， 将请求包含的信息与访问策略进行匹 配与违规研判， 并将结果提交给用户管理模块； 所述共识信任模块包含多个区块链节 点， 用于建 立信任机制， 并初始化、 存储、 读取、 修改访问策 略。 本发明利用区块链来创建、 管理访问控制策 略， 以异构资源安全隔离共享的方式实现分布式 跨域协同计算与管控， 使 得海量云计算资源的能 够安全流 转。 权利要求书3页 说明书7页 附图6页 CN 115396229 A 2022.11.25 CN 115396229 A 1.一种基于区块链的跨域资源隔离共享系统， 其特征在于， 包括用户管理模块、 访问控 制模块和共识信任 模块； 所述用户管理模块用于管理用户信息， 是系统的前端， 负责系统用户的注册、 审核、 授 权、 注销， 并提供发起访问请求的功能， 以及为用户提供 可视化的操作界面； 所述访问控制模块包含多个后台服务器负责对访问请求进行处理， 将访问请求包含的 信息与访问策略进行匹配与违规研判， 并将结果提交给用户管理模块； 所述访问请求是指 用户需要 申请访问某个资源时， 将会向请求管理模块的后台服务器发起访问请求， 后台服 务器响应是否允许 该用户的访问； 所述请求包含的信息： 用户的身份(Pid)、 角色(Role)、 请求的服务类型(SvcType)、 服 务对象名称(SvcName)以及操作类型(Operate)； 所述访问策略是指访 问控制策略， 本系统采用基于身份识别的访 问控制、 基于角色的 访问控制、 基于属性的访问控制三种访问控制方法建立了可信的访问控制策略； 所述共识信任模块包含多个区块链节点， 用于建立信任机制， 并初始化、 存储、 读取、 修 改访问策略。 2.根据权利要求1所述的一种基于区块链的跨域资源 隔离共享系统， 其特征在于， 二者 匹配/违规的研判需要匹配的信息如下： 访问用户结构体(subInfo)， 内容包括： 用户的身份(Pid)、 角色(Role)、 请求 的服务类 型(SvcType)、 服务对象名称(S vcName)以及操作类型(Operate)， 由后台服务器从访问请求 中解析出来的； 访问对象结构体(objInfo)， 内容包括： 资源的身份(Pid)、 角色(Role)、 类型(Type)、 操 作类型(Operate)、 资源的url 地址(objURL)， 由后台服 务器访问资源数据库得到； 可信域名单(TrustedPl atforms)。 名单由后台服务器向共识信任模块中的区块链发起 获取访问策略的请求得到； 两者匹配需要满足下列条件： 访问用户的身份在可信域名单(TrustedPlatform s)中； 访问用户的角色权限要大于等于访 问对象的角色权限(共有三种角色， 以权限大小从 大到小排序分别是： 管理者(ADMI N)、 操作者(OPERATOR)、 访客(VIEWER) )。 访问用户的服 务类型、 操作类型要与访问对象的服 务类型、 操作类型一 致； 不满足以上 条件， 将会拒绝本次访问请求。 如果匹配， 将匹配成功的信息以及资源的url地址一起传输到用户管理模块。 如果违 规， 拒绝用户的访问请求， 将拒绝访问信息传输 到用户管理模块； 在“跨域资源隔离共享 ”中： “域”指的就是同一个单位中形成了信息孤岛的不同地 域； 跨域是指提供安全的方式， 使不同域间的封闭资源可以进行共享； “隔离”是预先假设的条件， 是指各个域对云计算资源进行封闭式的管理， 只有拥有正 确url地址的用户才能对特定资源进行访问； “共享”的实现： 当用户想对 隔离资源进行访问时， 通过用户管理模块发起访问请求。 访 问控制模块结合访问控制策略(访问控制策略在区块链模块进 行初始化、 存储、 读取、 修改) 判断是否允许本次访问， 若允许本次访问， 访问控制模块将资源的url传输到用户管理模权　利　要　求　书 1/3 页 2 CN 115396229 A 2块， 通过url， 对资源进行访问， 由此达成 “共享”的目的。 3.根据权利要求1所述的一种基于区块链的跨域资源 隔离共享系统， 其特征在于， 所述 用户管理模块包括用户授权 子模块、 用户登录 子模块、 请求发起子模块； 1)用户授权子模块： 管理员注册新的用户， 并在注册时定义新用户的身份、 角色信息， 以达到授权的目的， 相 应的用户信息会存储到用户信息数据库当中， 此外管理员审核当前 已有的用户， 注销一些用户， 以达 到权限回收的目的； 2)用户登录子模块： 用户使用已注册的账号与密码进行登录， 后台从用户信息数据库 读取当中当前用户的身份、 角色以及所属的域相关信息； 3)请求发起子模块： 用户申请访 问某个资源时， 将会向请求管理模块的后台服务器发 起访问请求， 并等待服务器响应。 资源 是云计算资源， 在本系统中特指由云计算机对外提供 的服务， 以url地址的方式展示。 资源的相关信息， 包括身份(Pid)、 角色(Role)、 类型 (Type)、 操作类型(Operate)、 url地址(objURL)均存储在访问控制模块的资源数据库中， 请 求管理模块的后台服务器读取资源数据库可以获得资源相关信息， 资源本身 是不处于系统 中的其他云计算机对外提供的服 务， 本系统只提供其url 地址。 4.根据权利要求1所述的一种基于区块链的跨域资源 隔离共享系统， 其特征在于， 所述 访问控制模块包括访问策略获取子模块、 访问决策子模块、 访问策略修改子模块； 访问策略获取子模块、 访 问决策子模块实现跨域共享策略的匹配与违规研判功能， 访 问策略修改子模块实现跨 域共享策略的修改功能， 具体功能如下： 1)访问策略获取子模块： 当后台服务器接收到访问请求时， 首先会解析请求内容， 接着 根据请求的内容， 获取请求对象的信息与访问策略； 2)访问决策子模块： 综合判断请求用户的身份、 角色与请求对象的属性是否满足访问 策略的要求； 3)访问策略修改子模块： 在后台服务器输入相关数据， 向共识信任模块 发起访 问策略修改请求， 等待共识信任 模块的响应。 5.根据权利要求4所述的一种基于区块链的跨域资源 隔离共享系统， 其特征在于， 修改 访问策略所需要的参数包括用户的身份(Pid)、 角色(Role)， 需要修改域(newStrat _Pid)与 新的可信域名单(newSt rat_TrustedPlatform s)； 共识信任 模块， 满足以下 条件才会允许本次修改操作： 1)用户的身份与需要修改域 一致； 2)用户角色为管理者； 不满足以上 条件将会拒绝本次访问策略的修改， 并进行提 示。 6.根据权利要求1所述的一种基于区块链的跨域资源 隔离共享系统， 其特征在于， 所述 共识信任 模块包括区块链子模块、 访问策略管理子模块； 具体功能如下： 1)区块链子模块： 信任机制由超级账本结构(Hyperledger  Fabric)节点构造的私有区 块链建立， 依靠区块链上数据不可篡改的特性， 保证数据的安全， 并且在区块链中的每一个 节点都安装同一套智能合约， 节点间通过区块链网络达成共识， 允许外部调用智能合约中 提供的接口； 2)访问策略管理子模块： 此模块通过调用区块链中智能合约提供的接口， 完成访问策 略的初始 化、 存储、 读取、 修改操作； 智能合约是指 部署在区块链节 点中， 能够自动运行的代权　利　要　求　书 2/3 页 3 CN 115396229 A 3