身份认证方法、装置、电子设备及存储介质

文献发布时间：2023-06-19 09:29:07

技术领域

本发明涉及网络安全技术领域，尤其涉及一种身份认证方法、装置、电子设备及存储介质。

背景技术

随着计算机网络技术迅速发展，可以通过各种网络应用获取大量的信息资源和服务，但也伴随着信息安全问题。互联网的发展促使信息网络化的不断深入和扩展，这使得社会的开放程度进一步加大。利用信息安全技术来保护用户的信息、企业的信息、电子商务等应用的安全已经成为互联网发展的关键问题。

由于企业规模发展，导致企业人员结构、内部互联网技术(Internet Technology，以下简称“IT”)应用都会变得复杂。例如，有的应用来自总公司，有的来自分公司，而各应用的认证源来自不同的身份源。由此可见，企业应用的安全认证变得极其复杂。

然而，传统的认证方法无法很好地解决这个问题，针对不同的认证需求，传统的认证方法有时候需要做大量重复的认证策略设置，而且还有可能因为策略疏漏而导致安全问题。

发明内容

针对现有技术存在的问题，本发明实施例提供一种身份认证方法、装置、电子设备及存储介质。

具体地，本发明实施例提供了如下技术方案：

第一方面，本发明实施例提供一种身份认证方法，包括：

确定访问用户的用户标签、访问应用的应用标签和所述访问用户所处环境的访问环境标签中的一种或多种；

根据所述用户标签、所述应用标签和所述访问环境标签中的一种或多种，确定与所述访问用户匹配的认证策略；其中，所述认证策略包括是否进行主体认证以及在确定进行主体认证时的主体认证的类型，和/或，是否进行增强认证以及在确定进行增强认证时的增强认证的类型。

进一步地，所述用户标签包括用户属性信息，所述用户属性信息包括用户类别和/或用户角色；

和/或，

所述应用标签包括应用属性信息，所述应用属性信息包括应用类别和/或应用安全等级；

和/或，

所述访问环境标签包括访问环境信息，所述访问环境信息包括访问时间和/或访问地点。

进一步地，根据所述用户标签、所述应用标签和所述访问环境标签中的一种或多种，确定与所述访问用户匹配的认证策略，包括：

根据用户类别和/或用户角色、应用类别和/或应用安全等级，以及，访问时间和/或访问地点中的一种或多种，查询预设配置规则，确定是否进行主体认证以及在确定进行主体认证时的主体认证的类型，和/或，是否进行增强认证以及在确定进行增强认证时的增强认证的类型；

其中，所述预设配置规则中配置有各用户类别和/或用户角色，在各访问时间和/或访问地点，访问各应用类别和/或应用安全等级的应用时，对应的主体认证需求和/或增强认证需求，以及，对应的主体认证的类型和/或增强认证的类型。

进一步地，在根据用户类别和/或用户角色、应用类别和/或应用安全等级，以及，访问时间和/或访问地点中的一种或多种，查询预设配置规则，确定是否进行主体认证以及在确定进行主体认证时的主体认证的类型，和/或，是否进行增强认证以及在确定进行增强认证时的增强认证的类型之前，所述方法还包括：

生成和/或更新所述预设配置规则的步骤，具体包括：

根据预设安全认证规范中限定的各用户类别和/或用户角色，在各访问时间和/或访问地点，访问各应用类别和/或应用安全等级的应用时，对应的主体认证需求和/或增强认证需求，以及，对应的主体认证的类型和/或增强认证的类型，生成和/或更新所述预设配置规则。

进一步地，所述主体认证的类型包括：中央认证服务CAS、轻量目录访问协议LDAP、身份认证授权协议OIDC和授权开放网络协议OAuth中的一种或多种；

和/或，

所述增强认证的类型包括：短信验证、动态口令、人脸识别、虹膜识别、指纹识别和声纹认证中的一种或多种。

进一步地，所述应用安全等级包括普通安全等级和/或敏感安全等级。

第二方面，本发明实施例提供一种身份认证装置，包括：

获取单元，用于确定访问用户的用户标签、访问应用的应用标签和所述访问用户所处环境的访问环境标签中的一种或多种；

匹配单元，用于根据所述用户标签、所述应用标签和所述访问环境标签中的一种或多种，确定与所述访问用户匹配的认证策略；其中，所述认证策略包括是否进行主体认证以及在确定进行主体认证时的主体认证的类型，和/或，是否进行增强认证以及在确定进行增强认证时的增强认证的类型。

第三方面，本发明实施例提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如第一方面所述身份认证方法的步骤。

第四方面，本发明实施例提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如第一方面所述身份认证方法的步骤。

第五方面，本发明实施例提供一种计算机程序产品，其上存储有可执行指令，该指令被处理器执行时使处理器实现如第一方面所述身份认证方法的步骤。

本发明实施例提供的身份认证方法、装置、电子设备及存储介质，根据用户标签、应用标签和访问环境标签中的一种或多种，确定是否进行主体认证以及在确定进行主体认证时的主体认证的类型，和/或，是否进行增强认证以及在确定进行增强认证时的增强认证的类型。本发明实施例基于用户标签、应用标签和访问环境标签中的一种或多种进行访问用户主体认证和/或增强认证的确定，从而可以为不同用户在不同的访问环境下访问不同的应用匹配合适的认证策略。由此可见，本发明实施例能够提供一种统一的身份认证方式，使得复杂场景下的身份认证变得简单、准确和可靠，从而可以很好地解决传统认证模型面对多身份源场景时需要做大量重复的认证策略以及还有可能存在的因为策略疏漏而导致的安全问题。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明第一个实施例提供的身份认证方法的流程示意图；

图2是本发明一实施例提供的身份认证模型的结构示意图；

图3是本发明一实施例提供的访问CAS身份源应用根据不同的应用标签使用不同的认证策略示意图；

图4是本发明一实施例提供的访问LDAP身份源应用根据不同的应用标签使用不同的认证策略示意图；

图5是本发明第二个实施例提供的身份认证装置的结构示意图；

图6是本发明第三个实施例提供的电子设备的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1是本发明第一个实施例提供的身份认证方法的流程示意图，该身份认证方法可应用于零信任系统，如图1所示，本发明第一个实施例提供的身份认证方法，包括如下步骤：

步骤110、确定访问用户的用户标签、访问应用的应用标签和访问用户所处环境的访问环境标签中的一种或多种。

在本步骤中，需要说明的是，身份认证是证实实体对象的数字身份与物理身份是否一致的过程。例如，用户登录支付宝账户时，需要输入用户名和密码进行身份认证，才能访问对应的支付宝账户。因此，用户访问应用时通过身份认证能够有效防止应用的信息资源被非授权使用，保障信息资源的安全。然而，随着企业规模发展，企业人员结构、内部IT应用都会变得复杂，公司内部各个应用的认证源来自不同的身份源，因此访问不同应用时需要使用不同的方式。例如，总公司财务人员访问财务软件时只需通过中央认证服务(Central Authentication Service，以下简称“CAS认证”)，即可访问财务软件；然而分公司财务人员访问财务软件时除了需要通过CAS认证外，还需要输入短信动态码验证，才可访问财务软件。传统的身份认证方式需要针对总公司财务人员和分公司财务人员这两个不同的身份，对财务软件重复设置认证策略，此外，在这个过程中还有可能会因为认证策略的疏漏而导致非授权用户能够访问应用，进而造成信息资源的泄漏。为解决该问题，本实施例提供了一种身份认证方法，本实施例基于用户标签、应用标签和访问环境标签中的一种或多种进行访问用户主体认证和/或增强认证的确定，从而可以为不同用户在不同的访问环境下访问不同的应用匹配合适的认证策略。也即，本实施例提供了一种统一的身份认证方式，使得复杂场景下的身份认证变得简单、准确和可靠，从而可以很好地解决传统认证模型面对多身份源场景时需要做大量重复的认证策略以及还有可能存在的因为策略疏漏而导致的安全问题。

在本步骤中，访问用户的用户标签可以指：访问用户的属性信息，例如，访问用户所在的组织机构(例如，财务部人员、事业部人员，分公司人员等)，访问用户的角色(例如，总裁、监管人员、实习生、管培生)等。

在本步骤中，访问应用的应用标签可以指：应用类型(例如，财务应用、OA应用、开发应用A1、开发应用A2、运维应用B1、运维应用B2等)、应用安全等级(例如，普通安全等级(1级、II级、III级等)和敏感安全等级(例如，敏感I级、敏感II级、敏感III级等))等。

在本步骤中，访问用户所处环境的访问环境标签可以指：访问时间(例如，工作时间、非工作时间、预设指定时间段例如上午9:00-12：00等)、访问地点(工作地点、非工作地点、预设指定地点例如上海等)等。

在本实施例中，需要说明的是，通过确定访问用户的用户标签、访问应用的应用标签和访问用户所处环境的访问环境标签一种或多种，以便于后续基于用户标签、应用标签和访问环境标签中的一种或多种，确定与访问用户精确匹配的认证策略。

步骤120、根据用户标签、应用标签和访问环境标签中的一种或多种，确定与访问用户匹配的认证策略；其中，认证策略包括是否进行主体认证以及在确定进行主体认证时的主体认证的类型，和/或，是否进行增强认证以及在确定进行增强认证时的增强认证的类型。

在本步骤中，需要说明的是，步骤101获取的是用户的访问信息，该访问信息中包括用户标签、应用标签和访问环境标签中的一种或多种，在步骤101成功获取用户的访问信息后，本步骤可以基于这些访问信息，确定与访问用户匹配的认证策略。

此外，本实施例提供的的身份认证方法可应用于零信任系统，零信任就是不相信任何人，除非网络明确知道访问的身份信息，否则不允许进入。本实施例通过对用户标签、应用标签和访问环境标签中的一种或多种进行识别、访问控制、跟踪实现全面的身份化，因而尤其适用于零信任系统。

具体来说，在本实施例中，根据用户标签、应用标签和访问环境标签中的一种或多种，确定与访问用户匹配的认证策略，至少包括下面七种可选择方案，下面分别一一进行介绍：

①当用户的访问信息中只包括用户标签时，此时可以根据用户标签，确定与访问用户匹配的第一认证策略。

在本实现方案中，在根据用户标签，确定与访问用户匹配的第一认证策略时，可以通过查询第一预设配置规则的方式确定与访问用户匹配的第一认证策略。

举例来说，所述第一预设配置规则中可以配置有各用户类别和/或用户角色，访问各应用时，对应的主体认证需求和/或增强认证需求，以及，对应的主体认证的类型和/或增强认证的类型。例如，所述第一预设配置规则中配置有财务人员访问财务应用时只对应有主体认证需求，但没有增强认证需求，且对应的主体认证的类型为CAS认证。同时，所述第一预设配置规则中配置有财务人员访问除财务应用以外的其他第一类应用(例如为软件安全类应用)时同时对应有主体认证需求和增强认证需求，且对应的主体认证的类型为CAS认证，增强认证的类型为动态口令。同时，所述第一预设配置规则中配置有财务人员访问除财务应用以外的其他第二类应用(例如为资料查询类应用)时只对应有增强认证需求，且对应的增强认证的类型为人脸识别认证。需要说明的是，上述只是以举例的方式对第一预设配置规则中包含的内容进行了说明。可以理解的是，实际上，第一预设配置规则中不仅仅包含有与财务人员匹配的认证策略，其还包含了与其他用户类别和/或用户角色匹配的认证策略。例如，还包含有与IT部人员对应的认证策略，以及与分公司人员时对应的认证策略，以及与实习生对应的认证策略等等。