基于云存储系统的数据访问控制方法及系统与流程

1.本公开实施例涉及计算机技术领域，特别涉及一种基于云存储系统的数据访问控制方法及系统。


背景技术：

2.随着企业业务的不断增长，数据大规模计算、模拟、分析的需求，也在跨数量级的增长。然而本地数据中心的计算存储资源，已经远远不能满足需求。在此背景下，业务上云逐渐成为了很多客户的首选项。随之而来的就是云上数据的安全问题。其中尤为突出的，是敏感数据流出(出云)的安全性问题。目前主流的数据出云，还是基于传统的it数据中心设计，缺少对云存储系统的整体支持，以及云基础设施(如云存储)的有效利用，并且无法解决数据流出(出云)所涉及的一系列安全问题。


技术实现要素：

3.本公开实施例的目的在于提供一种基于云存储系统的数据访问控制方法及系统，以利用云基础设施(如云存储)解决云上数据流出的问题。
4.根据本公开实施例的第一方面，提供一种基于云存储系统的数据访问控制方法，包括：
5.根据接收到的来自于数据消费者的数据申请获取所需数据，并将所需数据组织为至少一个待审核存储桶的对象；
6.响应于审核人员根据预先设定的审批策略对所述数据申请审核通过，将所述至少一个待审核存储桶中的对象复制到至少一个待下载存储桶中，以便所述数据消费者下载。
7.在一些实施例中，还包括：将过程中的操作日志记录为至少一个日志存储桶中的一个或多个对象。
8.在一些实施例中，还包括：通过所述云存储系统为所述至少一个待审核存储桶、所述至少一个待下载存储桶和所述至少一个日志存储桶的至少一个进行合规保留设置，并按照合规保留设置保留相应存储桶中的数据。
9.在一些实施例中，还包括：为每个待审核存储桶生成审批策略。
10.在一些实施例中，还包括：创建并配置存储桶访问凭证，所述存储桶访问凭证将存储桶与ip地址关联，以指示ip地址对应的客户机装置对相应存储桶有访问权限。
11.在一些实施例中，还包括：在所述响应于审核人员根据预先设定的审批策略对所述数据申请审核通过之前，从接收到的存储桶凭证获取ip地址并对ip地址进行校验。
12.在一些实施例中，还包括：在所述响应于审核人员根据预先设定的审批策略对所述数据申请审核通过之前，根据接收到的存储桶访问凭证，将所述存储桶访问凭证中的ip地址所对应的数据申请和待审核存储桶的信息发送到所述ip地址对应的客户机装置中。
13.在一些实施例中，对所述至少一个待审核存储桶、所述至少一个待下载存储桶和所述至少一个日志存储桶的至少一个中的对象启用版本控制。
14.在一些实施例中，通过权限管理限定各类用户对所述至少一个待审核存储桶、所述至少一个待下载存储桶和所述至少一个日志存储桶内的对象的操作。
15.在一些实施例中，所述日志存储桶包括审批记录存储桶，所述审批记录存储桶存储有审批策略的变动记录，所述审批策略的变动记录包括操作前后的审批策略。
16.在一些实施例中，还包括：创建软件隔离的云实例，每个云实例用于应答单个的客户机装置。
17.根据本公开实施例的第二方面，提供一种基于云存储的数据访问控制系统，包括：
18.访问处理装置，用于根据接收到的来自于数据消费者的数据申请获取所需数据，并将所需数据组织为至少一个待审核存储桶的对象；
19.数据审核装置，用于响应于审核人员根据预先设定的审批策略对所述数据申请审核通过，将所述至少一个待审核存储桶中的对象复制到至少一个待下载存储桶中，以便所述数据消费者下载。
20.在一些实施例中，所述数据审核装置还用于：根据接收到的存储桶访问凭证，将所述存储桶访问凭证中的ip地址所对应的数据申请和待审核存储桶的信息发送到所述ip地址对应的客户机装置中，以便审核人员审核。
21.在一些实施例中，所述数据审核装置还用于：从接收到的存储桶凭证获取ip地址并对ip地址进行校验。
22.基于本公开实施例，利用云存储系统创建多个不同存储桶，并基于用户操作将数据消费者所申请的数据在不同存储桶中流转，从而实现利用云存储系统实现云上数据的流出。
23.进一步地，通过利用云存储系统给不同存储桶施加不同的合规保留，以将待审批数据、待下载数据和日志数据保留不同天数，从而满足不同类型数据存储合规要求，并且可审核数据和审批操作过程的日志的长期保存，也能够达到审核过程可朔源可审核的目的，从而缓解云上数据流出的安全问题。
附图说明
24.通过以下参照附图对本公开实施例的描述，本公开实施例的上述以及其他目的、特征和优点将更为清楚，在附图中：
25.图1是本公开实施例提供的基于云存储系统的数据访问控制系统的示意图；
26.图2和图3是本公开实施例提供的基于云存储系统的数据访问控制方法的流程图。
具体实施方式
27.以下将参照附图更详细地描述本公开实施例。在各个附图中，相同的元件采用类似的附图标记来表示。为了清楚起见，附图中的各个部分没有按比例绘制。此外，可能未示出某些公知的部分。
28.以下基于实施例对本公开实施例进行描述，但是本公开实施例并不仅仅限于这些实施例。在下文对本公开实施例的细节描述中，详尽描述了一些特定的细节部分。对本领域技术人员来说没有这些细节部分的描述也可以完全理解本公开实施例。为了避免混淆本公开实施例的实质，公知的方法、过程、流程、元件和电路并没有详细叙述。
29.除非上下文明确要求，否则整个说明书和权利要求书中的“包括”、“包含”等类似词语应当解释为包含的含义而不是排他或穷举的含义；也就是说，是“包括但不限于”的含义。在本公开实施例的描述中，需要理解的是，术语“第一”、“第二”等仅用于描述目的，而不能理解为指示或暗示相对重要性。此外，在本公开实施例的描述中，除非另有说明，“多个”的含义是两个或两个以上。
30.下面结合附图和实施例，对本公开实施例的各个实施例作进一步详细描述。
31.云存储(或云存储系统，也可称对象存储系统)是基于对象进行数据存储和管理的软硬件组合。常见的云上数据包括照片、视频、音频、电子邮件等等。云存储相对于传统存储方式(例如数据库存储)，通常具有较好持久性、可用性和可扩展性，同时有着更好的经济性，因此近年来云存储已逐步取代传统存储方式，并受到更多公司和个人的关注和认可。云存储系统提供两种数据类型：存储桶(bucket)和对象(object)，每个对象(object)都隶属于某个存储桶(bucket)，同一个存储桶(bucket)的内部是扁平的，其中的各个对象都直接隶属于该存储桶(bucket)，而不存在层级目录关系。云存储系统可采用多种数据访问控制方式来控制对云上数据的访问，例如访问控制列表、用户群组、基于角色的访问等，但这些访问控制手段大多为传统存储方式的控制手段，缺乏对云存储系统的有效应用。基于此，本公开实施例提供一种基于云存储系统的数据访问控制方法以及相应的系统。
32.图1是本公开实施例提供的基于云存储的数据访问控制系统的示意图。
33.参考图1，数据访问控制系统100在云存储系统基础上构建而成，因此可通过调用云存储系统的接口、启动服务(独立进程或任务等)等方式获得云存储系统所提供的功能。数据访问控制系统100将数据分为源数据102、待审核数据103、待下载数据104和日志数据101。源数据102是指由数据所有人提交并可由数据消费者申请下载的数据。待审核数据103是指根据数据消费者的数据申请从源数据102中提取、组织并等待审核人员审核的数据。待下载数据104是指经过审核人员审核通过并等待数据消费者下载的数据。日志数据101记录了从数据申请、审核到下载的一整个流程中的数据流转信息。在一些实施例中，源数据102、待审核数据103、待下载数据104和日志数据101存放在不同地理位置或同一地理位置的不同存储介质中。
34.源数据102是数据流出的起点，对存储方式不作限制。例如，如图上所示，源数据102被组织为至少一个源数据存储桶110中的至少一个对象1101，但也可以按照诸如关系型数据库、文件系统等其他存储方式进行组织存储。待审核数据103被组织为至少一个待审核存储桶111中的至少一个对象1111。待下载数据104被组织为至少一个待下载存储桶112中的至少一个对象1121。日志数据101被组织到至少一个日志存储桶113中的至少一个对象1131。
35.可通过云存储系统对待审核存储桶、待下载存储桶和日志存储桶分别开启合规保留。合规保留是一种基于时间的配置策略，一旦为某个存储桶开启合规保留并设定具体的保留期限之后，在保留期限内，任何用户都不能覆盖或删除相应存储桶内的对象。保留期限可按需设定天数，设定后不可更改。合规保留有利于保护云存储中的敏感且受管制数据。可根据法律法规、行业规范、用户个人要求等信息为存储桶开启合规保留并设定适当的保留期限。例如，待审核存储桶可配置较长的保留期限，待下载存储桶则配置较短的保留期限。再例如，数据追踪和朔源需要日志存储桶中的日志数据，因此有必要为日志存储桶设置足
够长的保留期限。
36.还可对待审核存储桶、待下载存储桶和日志存储桶启用版本控制。通过版本控制使得待审核存储桶、待下载存储桶和日志存储桶的对象修改、删除和覆盖可以回溯。另外，还可以通过权限管理限定各类用户对待审核存储桶、待下载存储桶和日志存储桶的对象具有不同的操作权限。
37.如图上所示，数据访问控制系统100包括访问处理装置130和数据审核装置140。
38.访问处理装置130向数据消费者221的客户机装置220提供访问界面222，经过访问界面222，数据消费者221提交数据申请，数据申请需指明申请人，申请时间、申请原因以及所选择的数据列表等信息，访问处理装置130根据接收到的数据申请从源数据102中提取所需数据并将所需数据组织为待审核存储桶111中的对象。访问处理装置130会建立数据申请和待审核存储桶的对应关系。在一些实施例中，待审核存储桶和数据申请一一对应，如此当某个数据申请审核通过后，将对应的待审核存储桶中的对象拷贝/迁移到待下载存储桶中。
39.在一些实施例中，访问处理装置130包括预先设定的数据访问规则131，访问处理装置130可在上述处理之前，根据数据访问规则131确定拒绝、同意或者需要人工审核上述数据申请。只有需要人工审核的数据申请所针对的数据才会被组织到待审核存储桶中。数据访问规则131可分解为标准策略的访问规则和特殊设置的访问规则。一般地，访问处理装置130基于标准策略的访问规则即可决定拒绝、同意或者需要人工审核数据申请，仅在特殊情况下，访问处理装置130或绕过标准策略的访问规则，或基于标准策略的访问规则做出决定之后，继续使用特殊设置的访问规则进行判断。标准策略的访问规则例如可以是企业依据各种法律法规、行业规范和数据所有人指定的访问规则，特殊设置的访问规则例如基于各种法律法规、行业规范和数据所有人所做出的例外设置。
40.访问处理装置130为待审核存储桶生成审批策略，或者为待审核存储桶中的各个对象生成审批策略。可选地，同一个待审核存储桶可采用同一个审批策略，如此则需要访问处理装置130在将数据消费者申请的数据组织到待审核存储桶时，按照不同审批策略将所申请的数据分类到相应的待审核存储桶中，相应地，一个数据申请对应一个或多个待审核存储桶。审批策略例如为一票通过、一票拒绝、投票机制、两级审核等。
41.审核人员231通过数据审核装置140提交存储桶凭证。存储桶凭证用于指示对一个或多个待审核存储桶具有访问权限，访问权限例如为在线查看和/或下载到本地的权限。在一些实施例，存储桶凭证将一个或多个待审核存储桶与一个ip地址关联，该ip地址对应于审核人员所使用的审核机器。审核机器内置了审核所需的工具集，审批人员不需访问外网即可完成数据审核。数据审核装置140根据接收到的存储桶访问凭证将对应的待审核存储桶和对应的数据申请的信息提供给客户机装置230。在一些实施例中，数据审核装置140为每个独立的审核机器建立一个云实例，以应答从该审核机器上发出的所有请求，从而实现审核机器的审核过程的软件隔离。
42.在一些实施例中，数据审核装置140将与接收到的存储桶访问凭证对应的待审核存储桶和数据申请的信息显示在对应的客户机装置230的访问界面232上。审查人员231由此进行审核，审查人员231在审核过程中可查看待审核存储桶中的各个对象。审查人员231可通过客户机装置230的访问界面232提交对数据申请的审核结果，数据审核装置140将审核通过的待审核存储桶111中的对象复制为待下载存储桶112内的对象，以供数据消费者下
载。
43.在一些实施例中，不同存储桶凭证所针对的待审核存储桶或待审核对象没有重合。但在另一实施例中，不同存储桶凭证所针对的待审核存储桶或待审核对象有重合，在此情况下，数据审核装置140在收集到足够数量的审核结果之后，根据预先指定的审批策略，确定最后审核结果，如果最终审核结果是通过，才执行上述的将审核通过的待审核存储桶111中的对象复制为待下载存储桶112内的对象的操作。
44.在一些实施例中，日志存储桶包括审核日志存储桶和下载记录存储桶。和审核相关的日志数据放在审核日志存储桶中，包括但不限于操作的发起者、客户端地址、时间，以及操作前后的审批策略等信息。和用户下载相关的日志数据放在下载记录存储桶中，包括但不限于操作发起者、客户端地址、时间等等信息。审核日志存储桶和下载记录存储桶均可以开启合规保留，通常，为审核日志存储桶指定的保留期限是长期的，为下载记录存储桶指定的保留期限是短期的。
45.图2和图3是本公开实施例提供的基于云存储系统的数据访问控制方法的流程图。图2描述了基于云存储系统的数据访问控制方法的大体流程，而图3则描绘更多细节。
46.参考图2所示，在步骤s110中，根据接收到的来自于数据消费者的数据申请，并决定是否通过申请，将通过申请的数据组织到待下载存储桶中，将需要人工审核的数据组织到待审核存储桶中。
47.在步骤s120中，响应于审核人员根据预先设定的审批策略对数据申请审核通过，将至少一个待审核存储桶中的对象复制到至少一个待下载存储桶中，以便数据消费者下载。
48.参考图3所示，在步骤s210中，根据接收到的来自于数据消费者的数据申请，并决定是否通过申请，将通过申请的数据组织到待下载存储桶中，将需要人工审核的数据组织到待审核存储桶中。
49.在步骤s220中，为每个待审核存储桶生成审批策略。具体地，管理员可以事先针对每种数据类型配置审批权限，因而，在将所需数据组织为对象时即可生成每个待审核存储桶或每个待审查存储桶中的对象的审批权限。管理员也可在将所需数据组织到待审核存储桶之后，为每个待审核存储桶或每个待审查存储桶中的每个对象配置审批权限。
50.在步骤s230中，创建并配置存储桶访问凭证，所述存储桶访问凭证将存储桶与ip地址关联。存储桶凭证用于指示对一个或多个待审核存储桶具有访问权限，访问权限例如包括在线查看和/或下载到本地的权限。
51.在步骤s240中，响应于审核人员通过客户机装置发送存储桶凭证，从接收到的存储桶凭证获取ip地址并对ip地址进行校验。本步骤中的校验是校验发出存储桶凭证的审核机器的ip地址是否与存储桶凭证中的ip地址一致，只有在一致的情况下，才能够继续以下步骤。
52.在步骤s250中，根据接收到的存储桶访问凭证，将存储桶访问凭证中的ip地址所对应的数据申请和待审核存储桶的信息发送到ip地址对应的客户机装置中。
53.在步骤s260中，响应于审核人员根据预先设定的审批策略对数据申请审核通过，将至少一个待审核存储桶中的对象复制到至少一个待下载存储桶中，以便数据消费者下载。
54.基于本公开实施例，利用云存储系统创建多个不同存储桶，并基于用户操作将数据消费者所申请的数据在多个不同存储桶下流转，从而实现基于云存储系统的数据访问控制。
55.在进一步操作中，通过利用云存储系统给不同存储桶施加不同的合规保留，以将待审批数据、待下载数据和日志数据保留不同天数，从而满足不同类型数据存储合规要求，并且可审核数据和审批操作过程的日志的长期保存，也能够达到审核过程可朔源可审核的目的。
56.在进一步的操作中，还可以为上述存储桶中的数据进行冷热分层。例如将审批结束的数据，逐渐移入非频繁访问区域(ia)，以进一步降低成本。再例如，将超过一定时限的数据，定期移到冷存储区域，通过离线存储将成本降至最低。冷存储的访问成本较高，但对于归档的待审核数据来说，访问概率非常低，因此整体访问成本可以维持在一个较低水平。
57.本领域技术人员可以理解，本公开实施例可以实现为系统，方法或计算机程序产品。因而，本公开实施例可以采用完全软件实施例(包含固件、驻留软件、微代码等)或组合软件和硬件方面的实施例实现，其包含的功能单元可以被称为“电路”、“模块”、“部件”、“功能单元”、等等，并且实施为计算机程序产品可以以计算机可读存储介质中的计算机程序产品的形式呈现。计算机可读介质可以是计算机可读信号介质或计算机可读存储介质。
58.计算机可读存储介质例如为但不限于电子、磁、光学、电磁、红外或半导体系统、装置或设备或以上的任意适当的组合。计算机可读存储介质的更具体的例子(非详尽的列表)会包含以下方面：具有一个或更多个导线的电连接、便携式计算机盘、硬盘、随机存取存储器(ram)、只读存储器(rom)、可擦可编程只读存储器(eprom或闪存)、光纤、便携式光盘只读存储器(cd rom)、光学存储设备、磁存储设备或以上的任意适当的组合。在本文件的上下文中，计算机可读存储介质可以是可包含或存储供指令执行系统、装置或设备使用或与其组合的程序的任何有形介质。
59.可通过使用包含但不限于无线、有线、光纤电缆、rf等或以上的任意适当的组合的任意适当的介质传送在计算机可读介质上实施的程序代码。可以以包括诸如java、small talk,c++等的面向对象的编程语言和诸如“c”编程语言或类似的编程语言的常规的过程编程语言的一个或更多个编程语言的任意组合编写用于实施本发明的方面的操作的计算机程序代码。程序代码可完全在用户的计算机上、部分地在用户的计算机上、作为独立软件包、部分地在用户的计算机上并且部分地在远程计算机上、或者完全在远程计算机或服务器上执行。在后一种方案中，远程计算机可通过包含局域网络(lan)或广域网络(wan)的任意类型的网络与用户的计算机连接，或者，可与外部计算机连接(例如，使用互连网服务商通过互连网)。
60.依照本公开实施例的实施例如上文所述，这些实施例并没有详尽叙述所有的细节，也不限制该发明仅为所述的具体实施例。显然，根据以上描述，可作很多的修改和变化。本说明书选取并具体描述这些实施例，是为了更好地解释本公开实施例的原理和实际应用，从而使所属技术领域技术人员能很好地利用本公开实施例以及在本公开实施例基础上的修改使用。本公开实施例仅受权利要求书及其全部范围和等效物的限制。

技术特征：
1.一种基于云存储系统的数据访问控制方法，包括：根据接收到的来自于数据消费者的数据申请获取所需数据，并将所需数据组织为至少一个待审核存储桶的对象；响应于审核人员根据预先设定的审批策略对所述数据申请审核通过，将所述至少一个待审核存储桶中的对象复制到至少一个待下载存储桶中，以便所述数据消费者下载。2.根据权利要求1所述的数据访问控制方法，还包括：将过程中的操作日志记录为至少一个日志存储桶中的一个或多个对象。3.根据权利要求2所述的数据访问控制方法，还包括：通过所述云存储系统为所述至少一个待审核存储桶、所述至少一个待下载存储桶和所述至少一个日志存储桶的至少一个进行合规保留设置，并按照合规保留期限保留每个存储桶中的对象。4.根据权利要求1所述的数据访问控制方法，还包括：为每个待审核存储桶生成审批策略。5.根据权利要求1所述的数据访问控制方法，还包括：创建并配置存储桶访问凭证，所述存储桶访问凭证将存储桶与ip地址关联，以指示ip地址对应的客户机装置对相应存储桶有访问权限。6.根据权利要求5所述的数据访问控制方法，还包括：在所述响应于审核人员根据预先设定的审批策略对所述数据申请审核通过之前，从接收到的存储桶凭证获取ip地址并对ip地址进行校验。7.根据权利要求5所述的数据访问控制方法，还包括：在所述响应于审核人员根据预先设定的审批策略对所述数据申请审核通过之前，根据接收到的存储桶访问凭证，将所述存储桶访问凭证中的ip地址所对应的数据申请和待审核存储桶的信息发送到所述ip地址对应的客户机装置中。8.根据权利要求1所述的数据访问控制方法，其中，对所述至少一个待审核存储桶、所述至少一个待下载存储桶和所述至少一个日志存储桶的至少一个中的对象启用版本控制。9.根据权利要求2所述的数据访问控制方法，其中，所述日志存储桶包括审批记录存储桶，所述审批记录存储桶存储有审批策略的变动记录，所述审批策略的变动记录包括操作前后的审批策略。10.根据权利要求1所述的数据访问控制方法，还包括：创建软件隔离的云实例，每个云实例用于应答单个的客户机装置。11.一种基于云存储的数据访问控制系统，包括：访问处理装置，用于根据接收到的来自于数据消费者的数据申请获取所需数据，并将所需数据组织为至少一个待审核存储桶的对象；数据审核装置，用于响应于审核人员根据预先设定的审批策略对所述数据申请审核通过，将所述至少一个待审核存储桶中的对象复制到至少一个待下载存储桶中，以便所述数据消费者下载。12.根据权利要求11所述的数据访问控制系统，所述数据审核装置还用于：根据接收到的存储桶访问凭证，将所述存储桶访问凭证中的ip地址所对应的数据申请和待审核存储桶的信息发送到所述ip地址对应的客户机装置中，以便审核人员审核。13.根据权利要求11所述的数据访问控制系统，所述数据审核装置还用于：从接收到的
存储桶凭证获取ip地址并对ip地址进行校验。

技术总结
公开一种基于云存储系统的数据访问控制方法及系统。所述方法包括：根据接收到的来自于数据消费者的数据申请获取所需数据，并将所需数据组织为至少一个待审核存储桶的对象；响应于审核人员根据预先设定的审批策略对数据申请审核通过，将至少一个待审核存储桶中的对象复制到至少一个待下载存储桶中，以便数据消费者下载。本公开实施例通过创建不同存储桶并将数据消费者所申请的数据在不同存储桶中流转，从而实现利用云存储系统实现数据访问控制。制。制。


技术研发人员：范晨辉 陈熹 辛佳 张先军
受保护的技术使用者：上海速石信息科技有限公司
技术研发日：2023.07.04
技术公布日：2023/10/19