基于云数据的应用访问安全控制云计算的基础设施之一是提供可靠、安全的数据存储中心。因此，存储安全是云计算领域的安全课题之一。云存储应用中的存储安全包括数据加密存储、安全策略管理、安全日志和审计等。安全日志和审计为监控系统和活动用户提供了必要的审计信息。特别是对数据访问实施安全控制非常重要。在安全性和用户共享便利性之间取得平衡，数据的访问控制机制是一个需要研究的课题。AmazonS3的S3、EMCAtmosOnline等都提供云存储服务。它们都通过访问控制列表ACL来控制数据访问。只有授权用户或应用程序才能访问，但共享数据将受到ACLs***数量限制。HassanTakabi等人提出了一种基于属性加密的访问控制策略。在为用户提供实时、离线、友好、安全、便捷的云计算服务的情况下，参考DannyHarnik等人的数据安全访问机制，提出了本文的数据访问控制机制。1.方案设计应用程序对用户数据的授权访问方式有两种：应用程序访问用户空间的特定目录；应用程序访问用户空间中的非特定目录或文件。1.1应用程序访问特定目录应用程序访问特定目录。此特定目录由某些应用程序访问。该特定目录访问权限的生命周期是从用户选择使用该应用到用户取消使用该应用的一段时间。这种授权访问机制主要用于用户不在线时使用应用程序。图1应用程序访问具体目录流程当用户选择使用该应用程序时，在用户空间中就会有对应的应用程序目录。该目录可以是新创建的，也可以与应用程序共享。相当于用户授权应用程序使用这个目录，让应用程序可以方便的访问该目录。(1)用户选择订购应用后，应用与访问目录的对应关系将保存在安全/策略管理中，即访问控制列表(ACL)中。(2)用户在应用中发起使用请求后，用户可以退出应用或下线。(3)应用会发起访问安全/策略管理系统，获取访问目录的权限信息。安全/策略管理系统将访问信息和其他属性通过AES-256进行对称加密，并通过HMACSHA1算法对部分属性进行签名，完成加密。然后返回到应用程序。(4)应用程序向存储数据系统发起访问请求，将加密后的属性信息和签名传输给存储数据系统。系统通过HMAC-SHA1算法对属性信息进行签名，并与传输的签名进行比对。看是否达到要求。(5)验证成功后，应用程序可以对对象数据进行操作。1.2应用程序访问非特定目录或文件应用程序访问用户存储空间下的所有文件或目录。文件或目录访问权限的生命周期很短，从用户授权到数据请求需要几分钟或几十秒。这种授权访问机制主要用于用户在线时使用某些应用程序。授权访问机制不需要事先在ACL中有申请权限。当用户临时需要应用程序处理某个文件时，发起的临时授权只会保存发起访问授权的日志记录。图2应用程序访问非特定目录或文件的流程(1)用户发起使用应用程序处理某个文件，需要将用户的访问信息发送给安全管理系统。(2)安全管理系统将接收到的访问信息等属性通过AES-256进行对称加密，通过HMACSHA1算法对部分属性进行签名，加密完成后返回给客户端。安全管理系统记录本次授权的日志信息。(3)客户端将加密后的访问信息、签名等通过重定向或再次调用应用的接口发送给应用。(4)应用向云存储数据系统发送访问信息、签名等，系统通过HMAC-SHA1算法对属性信息进行签名，并与传输的签名进行比对，判断是否符合要求。(5)验证成功后，应用程序可以对数据进行操作。2结论与展望本文提出的数据访问控制机制可以使用户在保证安全的情况下，能够快速方便地使用应用程序对存储空间中的数据进行实时处理。数据访问安全控制方面还存在很多问题，后续工作将继续研究，确保数据安全，方便其他应用使用数据。
