一种基于安全标记的电力二次系统访问控制方法及系统技术方案

本发明专利技术提出一种基于安全标记的电力二次系统访问控制方法，包括步骤：接收服务请求者输入的登陆指令，确定与服务请求者的角色对应的服务主体；获取与服务主体对应的服务客体；其中，服务客体为服务主体需要调用的其他服务或者其他服务中的方法；当服务主体与服务客体的身份验证通过时，获取服务主体的唯一的安全标记和服务客体的唯一的安全标记；当接收的操作命令满足根据服务主体的唯一的安全标记和服务客体的唯一的安全标记确定的服务主体的控制权限时，执行操作命令。本发明专利技术还提出一种基于安全标记的电力二次系统访问控制系统，提高了访问二次系统的安全性。

【技术实现步骤摘要】
一种基于安全标记的电力二次系统访问控制方法及系统
本专利技术涉及电力二次系统访问控制领域，特别是涉及一种基于安全标记的电力二次系统访问控制方法及系统。
技术介绍
电力二次系统是指对电力一次设备进行控制、监视和管理等的信息系统。主要包括电力监控系统、电力调度运行管理系统和电力通信及数据网络等。现有电力二次系统中的一种访问控制方式为：资源的创建者拥有对资源访问权限的控制和分配权，可将它创建资源的操作权限赋予其他用户，得到该资源访问权限的用户还可将它所拥有的资源的访问权限授予其他用户。但是，现有的电力二次系统访问控制方法中，将对该资源的访问权限赋予其他用户后，其他用户仍可将自己所获得的对该客体的操作权限继续赋予其他用户，这样就存在权限蔓延的问题，即每个用户都可进行权限赋值操作，存在巨大安全隐患。
技术实现思路
基于此，有必要针对电力二次系统访问控制存在安全隐患的问题，提供一种基于安全标记的电力二次系统访问控制方法及系统。采用的方案：一种基于安全标记的电力二次系统访问控制方法，包括步骤：接收服务请求者输入的登陆指令，确定与所述服务请求者的角色对应的服务主体；获取与所述服务主体对应的服务客体；其中，所述服务客体为所述服务主体需要调用的其他服务或者其他服务中的方法；当所述服务主体与所述服务客体的身份验证通过时，获取所述服务主体的唯一的安全标记和所述服务客体的唯一的安全标记；当接收的操作命令满足根据所述服务主体的唯一的安全标记和所述服务客体的唯一的安全标记确定的所述服务主体的控制权限时，执行所述操作命令；所述当接收的操作命令满足根据所述服务主体的唯一的安全标记和所述服务客体的唯一的安全标记确定的所述服务主体的控制权限时，执行所述操作命令的步骤包括：比较所述服务主体的唯一的安全标记和所述服务客体的唯一的安全标记；所述安全标记包括调度等级和调度范围；服务主体安全标记M和服务客体安全标记O之间定义四种关系确定控制权限：(1)M支配O：当且仅当M的调度等级高于O的调度等级，M的调度范围包含O的调度范围，即O的调度范围是M的调度范围的一个子集，且服务主体接收到获取数据的操作命令，此时服务主体从服务客体读取数据；(2)O支配M：当且仅当O的调度等级高于M的调度等级，O的调度范围包含M的调度范围，即M的调度范围是O的调度范围的一个子集，且服务主体接收到发送数据的操作命令，此时服务主体向服务客体发送数据；(3)O等于M：当且仅当M的调度等级等于O的调度等级，M的调度范围中的任何一项也是O的调度范围中的一项，反之也成立，此时服务主体与服务客体进行双向数据传输；(4)M与O无关：即上述(1)至(3)任一条均不满足，此时，则服务主体不能访问服务客体。以及，一种基于安全标记的电力二次系统访问控制系统，包括步骤：服务主体确定单元，用于接收服务请求者输入的登陆指令，确定与所述服务请求者的角色对应的服务主体；第一获取单元，用于获取与所述服务主体对应的服务客体；其中，所述服务客体为所述服务主体需要调用的其他服务或者其他服务中的系统；第二获取单元，用于当所述服务主体与所述服务客体的身份验证通过时，获取所述服务主体的唯一的安全标记和所述服务客体的唯一的安全标记；操作命令执行单元，用于当接收的操作命令满足根据所述服务主体的唯一的安全标记和所述服务客体的唯一的安全标记确定的所述服务主体的控制权限时，执行所述操作命令；所述操作命令执行单元包括：比较单元、第一执行单元和第二执行单元；其中，所述比较单元，用于比较所述服务主体的唯一的安全标记和所述服务客体的唯一的安全标记；所述安全标记包括调度等级和调度范围；服务主体安全标记M和服务客体安全标记O之间定义四种关系确定控制权限：(1)M支配O：当且仅当M的调度等级高于O的调度等级，M的调度范围包含O的调度范围，即O的调度范围是M的调度范围的一个子集，且服务主体接收到获取数据的操作命令，此时服务主体从服务客体读取数据；(2)O支配M：当且仅当O的调度等级高于M的调度等级，O的调度范围包含M的调度范围，即M的调度范围是O的调度范围的一个子集，且服务主体接收到发送数据的操作命令，此时服务主体向服务客体发送数据；(3)O等于M：当且仅当M的调度等级等于O的调度等级，M的调度范围中的任何一项也是O的调度范围中的一项，反之也成立，此时服务主体与服务客体进行双向数据传输；(4)M与O无关：即上述(1)至(3)任一条均不满足，此时，则服务主体不能访问服务客体。本专利技术中将服务请求者与相应的服务主体绑定，将该服务主体作为服务请求者访问系统中其他服务和方法(即服务客体)的入口，给服务主体和服务客体赋予唯一的安全标记；通过服务主体和服务客体的安全标记限定当前服务主体的权限，当服务主体输入的操作命令在其对应的权限内时，响应该操作命令；从而防止权限蔓延的问题，提高了访问二次系统的安全性。附图说明图1为本专利技术方法的一个实施例流程图；图2为本专利技术方法的另一个实施例流程图；图3为本专利技术装置的一个结构示意图；图4为本专利技术装置的另一个结构示意图；图5为本专利技术装置的另一个结构示意图；图6为本专利技术装置的另一个结构示意图。具体实施方式本专利技术提出一种基于安全标记的电力二次系统访问控制方法，其中一个实施流程请参考图1，包括步骤：S1、接收服务请求者输入的登陆指令，确定与服务请求者的角色对应的服务主体；其中，登陆指令包括：用户在输入框中输入用户名/口令，并辅以USB-Key等其他认证措施作为第二因子认证方式，登录进入系统。比如以省调自动化部专责的身份，并在终端上插入USB-Key登录进入业务系统。S2、获取与服务主体对应的服务客体；其中，服务客体为服务主体需要调用的其他服务或者其他服务中的方法；S3、当服务主体与服务客体的身份验证通过时，获取服务主体的唯一的安全标记和服务客体的唯一的安全标记；其中，进行身份认证时，可通过但不限于以下方式进行：调用服务主体服务(服务请求者)和服务客体(服务提供者)分别从证书管理器中获取自己的数字证书，并进行双向身份认证，确认彼此身份的合法性。服务主体安全标记、服务客体安全标记，以硬编码或加密文件的形式存放于系统中，只能经过审批确认后，由全网安全管理员会同系统设计开发人员进行配置更改。S4、当接收的操作命令满足根据服务主体的唯一的安全标记和服务客体的唯一的安全标记确定的服务主体的控制权限时，执行操作命令。本专利技术中将服务请求者与相应的服务主体绑定，将该服务主体作为服务请求者访问系统中其他服务和方法(即服务客体)的入口，给服务主体和服务客体赋予唯一的安全标记；通过服务主体和服务客体的安全标记限定当前服务主体的权限，当服务主体输入的操作命令在其对应的权限内时，响应该操作命令；从而防止权限蔓延的问题，提高了访问二次系统的安全性。在其中一个实施例中，请参考图2，上述步骤S4包括但不限于以下步骤：S201、比较服务主体的唯一的安全标记和服务客体的唯一的安全标记；安全标记包括调度等级和调度范围；S202、当服务主体的调度等级大于或者等于服务客体的调度等级，且当服务主体的调度范围大于或者等于服务客体的调度范围时，且接收到获取数据的操作命令，则从服务客体中获取数据；S203、当服务客体的调度等级大于或者等于服务主体的调度等级，且当服务客体的调度范本文档来自技高网...

【技术保护点】
一种基于安全标记的电力二次系统访问控制方法，其特征在于，包括步骤：接收服务请求者输入的登陆指令，确定与所述服务请求者的角色对应的服务主体；获取与所述服务主体对应的服务客体；其中，所述服务客体为所述服务主体需要调用的其他服务或者其他服务中的方法；当所述服务主体与所述服务客体的身份验证通过时，获取所述服务主体的唯一的安全标记和所述服务客体的唯一的安全标记；当接收的操作命令满足根据所述服务主体的唯一的安全标记和所述服务客体的唯一的安全标记确定的所述服务主体的控制权限时，执行所述操作命令。

【技术特征摘要】
1.一种基于安全标记的电力二次系统访问控制方法，其特征在于，包括步骤：接收服务请求者输入的登陆指令，确定与所述服务请求者的角色对应的服务主体；获取与所述服务主体对应的服务客体；其中，所述服务客体为所述服务主体需要调用的其他服务或者其他服务中的方法；当所述服务主体与所述服务客体的身份验证通过时，获取所述服务主体的唯一的安全标记和所述服务客体的唯一的安全标记；当接收的操作命令满足根据所述服务主体的唯一的安全标记和所述服务客体的唯一的安全标记确定的所述服务主体的控制权限时，执行所述操作命令；所述当接收的操作命令满足根据所述服务主体的唯一的安全标记和所述服务客体的唯一的安全标记确定的所述服务主体的控制权限时，执行所述操作命令的步骤包括：比较所述服务主体的唯一的安全标记和所述服务客体的唯一的安全标记；所述安全标记包括调度等级和调度范围；服务主体安全标记M和服务客体安全标记O之间定义四种关系确定控制权限：(1)M支配O：当且仅当M的调度等级高于O的调度等级，M的调度范围包含O的调度范围，即O的调度范围是M的调度范围的一个子集，且服务主体接收到获取数据的操作命令，此时服务主体从服务客体读取数据；(2)O支配M：当且仅当O的调度等级高于M的调度等级，O的调度范围包含M的调度范围，即M的调度范围是O的调度范围的一个子集，且服务主体接收到发送数据的操作命令，此时服务主体向服务客体发送数据；(3)O等于M：当且仅当M的调度等级等于O的调度等级，M的调度范围中的任何一项也是O的调度范围中的一项，反之也成立，此时服务主体与服务客体进行双向数据传输；(4)M与O无关：即上述(1)至(3)任一条均不满足，此时，则服务主体不能访问服务客体。2.根据权利要求1所述的基于安全标记的电力二次系统访问控制方法，其特征在于，根据预存的服务请求调用关系表，进行所述获取与所述服务主体对应的服务客体的步骤；其中，所述服务请求调用关系表用于确定服务主体与服务客体的对应关系。3.根据权利要求1所述的基于安全标记的电力二次系统访问控制方法，其特征在于，当接收的操作命令不满足所述控制权限时，发出不执行所述操作命令的第一报警提示。4.根据权利要求1至3任一项所述的基于安全标记的电力二次系统访问控制方法，其特征在于，当所述服务主体与所述服务客体的身份验证不通过时，发出不允许通过所述服务主体访问所述服务客体的第二报警提示。5.一种基于安全标记的电力二次系统访问控制系统，其特征在于，包括步骤：服务主体确定单元，用于接...

【专利技术属性】
技术研发人员：周鹏，胡荣，麦绍辉，郑志千，樊腾飞，梁志宏，胡朝辉，江泽鑫，周强峰，
申请(专利权)人：中国南方电网有限责任公司，广东电网公司电力科学研究院，
类型：发明
国别省市：