(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111332682.2 (22)申请日 2021.11.11 (71)申请人 上海电气集团数字科技有限公司 地址 201303 上海市浦东 新区南汇新城镇 环湖西二路8 88号A楼329室 (72)发明人 江国宝　何成伟　陆毅　 (74)专利代理 机构 上海兆丰知识产权代理事务 所(有限合 伙) 31241 代理人 章蔚强 (51)Int.Cl. H04L 9/40(2022.01) (54)发明名称 一种基于零信任模型的工业互联网领域身 份访问控制方法 (57)摘要 本发明涉及一种基于零信任模型的工业互 联网领域身份访问控制方法， 包括注册、 审核、 管 理、 发布应用、 订阅和管理、 管理策略和集中授 权、 用户身份认证、 请求访问代理、 信任计算、 策 略执行、 判决、 应用网关 处理步骤。 本发 明将网络 安全技术领域的零信任模型应用到工业互联网 行业领域， 从而 解决客户、 工业设备、 应用系统和 服务之间数据访问时的身份验证、 权限控制和数 据防护的不足， 形成了一套高效完备的用户访问 控制系统。 权利要求书3页 说明书5页 附图1页 CN 114070600 A 2022.02.18 CN 114070600 A 1.一种基于零信任 模型的工业互联网领域身份访问控制方法， 包括如下步骤： 注册步骤， 工业互联网平台机构成员通过零信任平台注册， 提交企业资料申请为租户 管理员； 审核步骤， 工业互联网平台管理员审核机构成员提交的资料， 审核通过后创建租户信 息， 并发审核结果 通知给机构成员； 管理步骤， 租户管理员管理机构的组织和视图信息、 用户和用户组信 息、 角色和角色组 信息， 以及用户组和角色组的关联关系； 发布应用步骤， 第一机构成员的租户管理员通过应用市场发布自 己的应用， 平台管理 员审核通过后， 该应用信息对其 他租户可 见； 订阅和管理步骤， 第二机构成员的租户管理员订阅第一机构成员发布的应用后， 管理 应用和角色的关联关系， 并管理应用所属的资源； 管理策略和集中授权步骤， 第 二机构成员的租户管理员通过零信任平台管理集中授权 策略， 管理策略和资源的关联关系； 用户身份认证步骤， 第二机构成员的用户将身份请求与数字证书一起发送访 问代理， 访问代理通过零信任平台， 根据注册的设备、 身份和数字证书的有效性决定是否继续处理 数据访问请求， 并结合访问主体的上 下文、 操作风险、 行为分析多重因素进行多因子认证； 请求访问代理步骤， 第 二机构成员的用户将访问请求与认证通过后的令牌一起发送访 问代理； 信任计算步骤， 访 问代理经过零信任平台的访 问控制引擎， 访 问控制引擎获取用户信 息、 环境因素的实时、 动态信息进行信任计算； 策略执行步骤， 访 问控制引擎结合信任计算结果， 生成针对当前访 问请求的实例化访 问属性元组， 通过实施策略指定授权服 务器接受到请求时策略如何执 行； 判决步骤， 访 问控制引擎结合匹配的策略执行结果和决策策略进行判决， 以决定相应 的资源是否能获得授权； 应用网关处理步骤， 访 问控制引擎根据策略判决结果和策略实施结果进行资源访 问， 若信息为访问拒绝信息， 则告知访问代理终止与访问主体的本次连接； 若信息为访问允许 信息， 则对主体授权， 并将数据访问请求转 发至工业互联网平台应用网关， 工业互联网平台 应用网关收到数据访问请求， 执行请求中的应用访问指令， 并将指令执行结果经 由访问代 理返回至用户处。 2.根据权利要求1所述的一种基于零信任模型的工业互联网领域身份访问控制方法， 其特征在于： 在所述的管理步骤中， 关联关系如下: 1)一个机构有 多个组织视图， 一个组织视图由多个组织构成的组织 树组成； 2)一个用户组有 多个用户， 一个用户可以加入不同的用户组； 3)一个角色组有 多个角色组成， 一个角色可以属于不同的角色组； 4)一个用户组可以分配一个角色组， 一个角色组可以赋予不同用户组角色。 3.根据权利要求1所述的一种基于零信任模型的工业互联网领域身份访问控制方法， 其特征在于： 在所述的管理策略和集中授权步骤中， 具体操作如下:权　利　要　求　书 1/3 页 2 CN 114070600 A 21)定义不同类型的资源策略， 资源策略支持三种类型： 基于角色组、 时间段、 规则等策 略类型， 其中基于规则的资源策略支持访问主体上 下文属性以及信任度的配置； 2)定义应用以及应用所属的资源， 其中资源 包含不同的API和操作方法； 3)赋予资源不同的资源策略， 以控制资源能访问的权限。 4.根据权利要求1所述的一种基于零信任模型的工业互联网领域身份访问控制方法， 其特征在于： 在所述的信任计算步骤中， 在用户访 问资源时， 需要向系统提供用户的信息和环境的 信息， 所述信息会影响用户访问资源的信任度， 所述的信任度计算方式如下： 1)将用户访问系统 的评估属性分为用户属性和环境属性， 对这些属性分解为多个评估 因子； 每个评估因子依据系统安全相关度进行计算， 其值为负1到正1,负数是负面评估值, 正数是正面评估值； 2)并赋予计算权重， 所有评估因子的权重值事先由租户管理员在零信任平台配置,其 值为正1到正10的整数； 3)累计多个评估因子的计算总和为可信度结果值， 即： 信任度计算结果值＝{评估因子 得分*权重值}累计求和。 5.根据权利要求4所述的一种基于零信任模型的工业互联网领域身份访问控制方法， 其特征在于： 其中： 所述评估因子包括用户身份、 访问设备、 组织、 租户、 访问时间、 访问位置、 访问网络IP 地址、 数字证书、 威胁等级， 以下评估因子均支持配置： 用户身份： 最近一天新注 册用户0分， 已注 册一周以上 未登录负1分， 其 他正分； 访问设备： 未登记过的设备0分， 已登记 但与历史设备不同负1分， 其 他正1分； 组织： 安全要求相关部门0分， 其 他正1分； 租户： 核心企业0分， 其 他正1分； 访问时间： 非办公时间且非历史访问时间段负 1分， 非办公时间但属于历史访问时间段 0分， 其他正1分； 访问位置： 非办公地点且非历史访问位置负1分， 非办公地点但属于历史访问位置0分, 其他正1分； 访问网络IP地址： 非办公网络IP段0分， 其 他正1分； 数字证书： 已过期或无效证书负1分， 临过期1周内0分， 其 他正1分； 威胁等级： 高风险负1分， 中风险0分， 其 他正1分。 6.根据权利要求1所述的一种基于零信任模型的工业互联网领域身份访问控制方法， 其特征在于： 在所述的策略执 行步骤中， 实施策略支持以下配置： 1)当资源没有配置关联的访问控制策略时， 选择以下一种策略： 拒 绝用户访问、 允许用 户访问、 依据配置的应用角色确定是否允许用户访问； 否则执行访问控制策略配置的规则， 获取策略执行结果； 2)禁用所有资源的所有访 问策略， 禁用后拒绝用户访 问， 并且不再执行访 问控制策略 配置的规则； 3)设置信任度阈值， 当系统识别到风险时即信任度计算结果低于阈值， 策略引擎下发权　利　要　求　书 2/3 页 3 CN 114070600 A 3