(19)国家知识产权局 (12)发明 专利 (10)授权公告 号 (45)授权公告日 (21)申请 号 202210133546.9 (22)申请日 2022.02.14 (65)同一申请的已公布的文献号 申请公布号 CN 114189483 A (43)申请公布日 2022.03.15 (73)专利权人 北京安盟信息技 术股份有限公司 地址 100085 北京市海淀区上地信息产业 基地开拓路7号先锋大厦1幢21 10室 (72)发明人 李宁　张大伟　 (74)专利代理 机构 北京冠榆知识产权代理事务 所(特殊普通 合伙) 11666 专利代理师 王道川 (51)Int.Cl. H04L 47/80(2022.01) H04L 9/40(2022.01)H04L 9/32(2006.01) G06F 21/31(2013.01) (56)对比文件 CN 112769735 A,2021.0 5.07 CN 107306396 A,2017.10.31 US 2019132 288 A1,2019.0 5.02 WO 2022001225 A1,202 2.01.06 CN 110868693 A,2020.0 3.06 CN 106332183 A,2017.01.1 1 CN 103490892 A,2014.01.01 CN 102200942 A,201 1.09.28 审查员 冯楠 (54)发明名称 一种云环境下多用户密码服务流量按需控 制方法及系统 (57)摘要 本发明公开一种云环境下多用户密码服务 流量按需控制方法及系统， 其中， 该方法基于 http协议头进行限流， 通过将鉴权流程和限流流 程关联起来， 解决了http头伪造的问题， 通过设 计http协议头内容和鉴权流程， 实现了多租户共 享带宽、 独享带宽切换的功能， 与现有技术相比， 本发明显著提高了密码服务按需流量控制的能 力。 权利要求书1页 说明书5页 附图5页 CN 114189483 B 2022.05.17 CN 114189483 B 1.一种云环境下多用户密码服 务流量按需控制方法， 其特 征在于， 包括如下步骤： 1)用户向服 务端为某应用提交应用凭证申请； 2)服务端根据用户发出的应用凭证申请生成与该应用关联的应用凭证并将生成的应 用凭证发送给用户， 应用凭证包含有应用身份认证信息和密码， 应用身份认证信息包含有 身份标识符， 身份标识符包括共享消费者标识符和私有消费者标识符； 3)在调用该应用服务 时， 用户经密码服务网关 向服务端发送调用该应用服务的调用请 求， 调用请求中包 含与该应用服 务对应的应用凭证； 4)密码服 务网关将接收到的调用请求发送至鉴权插 件； 5)在接收到调用请求后， 鉴权插件将调用请求中的应用凭证发送至鉴权服务器进行验 证， 验证通过， 则鉴权插件提取应用凭证中的身份标识符并将身份标识符发送至流量控制 插件， 反之， 则返回错 误提示； 在鉴权验证通过之后， 进行如下操作： 5‑1)鉴权插件向用户管理服务器发送查询该应用调用指定服务时的应用限流方式的 请求； 5‑2)在接收到鉴权插件发出的查询请求后， 用户管理服务器对该应用调用指定服务时 的应用限流方式进行确认并将查询结果反馈 至鉴权插 件； 5‑3)鉴权插件根据查询结果提取应用凭证中的身份标识符并将身份标识符发送至流 量控制插 件； 6)流量控制插件根据接收到的身份标识符 以及预设限流策略对该应用调用指定服务 时的流量进行控制同时将用户调用该应用服 务的调用请求发送至服 务端。 2.根据权利要求1所述的云环境下多用户密码服务流量按需控制方法， 其特征在于， 当 应用凭证中的身份标识符为共享消费者标识符或/私有消费者标识符时， 在对限流策略进 行变更或对应用凭证中的身份标识符进行变更时， 需管理员通过服务端进 行变更并将变更 后的应用凭证发送给用户， 且同步更新限流策略， 用户再次调用原有应用服务时， 应提交更 新后的应用凭证。 3.根据权利要求1所述的云环境下多用户密码服务流量按需控制方法， 其特征在于， 在 步骤5)中， 鉴权服务器对应用凭证进行鉴权时， 通过对应用凭证中所包含有的身份标识符 进行识别认证完成对应用凭证的鉴权 。 4.根据权利要求1所述的云环境下多用户密码服务流量按需控制方法， 其特征在于， 当 用户为新应用提交应用凭证申请时， 服务端将新应用的应用凭证发送给用户， 然后在用户 管理服务器端对预设限流策略进行调整。 5.利用权利要求1～4任一所述的云环境下多用户密码服务流量按需控制方法进行密 码流量控制的系统， 其特征在于， 包括鉴权插件、 鉴权服务器、 用户管理服务器、 流量控制插 件和服务端， 客户端与鉴权插件通信连接， 鉴权插件分别与鉴权服务器、 用户管理服务器和 流量控制插 件通信连接， 流 量控制插 件与服务端通信连接 。权　利　要　求　书 1/1 页 2 CN 114189483 B 2一种云环境下多用户密码服务流量按需控制方 法及系统 技术领域 [0001]本发明涉及密码服务技术领域。 具体地说是一种云环境下多用户密码服务流量按 需控制方法及系统。 背景技术 [0002]流量控制是指监控当前系统的流量， 如果超过预设的值或者当前系统的最大承受 能力， 则需要拒绝掉部分请求， 以实现对系统的保护。 预设值来源于服务器资源分配的策 略， 最大承受能力值 来源于性能测试 结果。 [0003]云密码服务， 是指将传统密码服务 （如服务器密码机、 签名验签服务器、 密钥管理） 等迁移到 云环境， 并供租户付费使用。 在云环境下， 密码服务的自定义流协 议均转换为http 协议。 目前的反向代理软件， 通常可依据URL、 客户端IP、  http头进行流 量控制。 [0004]在云密码服务场景中， 服务器资源可以提供给多个用户使用， 用户付费购买一定 的服务器资源， 并在其基础上创建密码应用， 因此用户需要对密码应用使用资源的能力进 行细粒度的流 量控制。 其需求包括： [0005]1.每个应用都能独立配置流 量控制策略 [0006]2.可以配置为应用独享带宽， 确保应用服 务质量 [0007]3.可以配置为应用共享带宽， 提供资源利用率 [0008]4.可直接通过服 务端控制应用共享或独享， 客户端不需要更改配置 [0009]例如， 某租户购买了100Mbps的服务带宽， 为了确保重要应用的服务质量， 某应用 独占60Mbps带宽， 为了确保资源最大化利用， 其他应用共同占用剩余的40Mbps带宽， 当某个 应用需要从共享带宽切换到独立带宽， 或从独立带宽切换到共享带宽， 只需要在服务端进 行控制， 不需要更改客户端配置并重启应用。 [0010]传统的反向代理软件提供的流量控制粒度较大， 通常限流的依据有URI、 客户端、 http头三种。 其中， http头限流控制粒度最细， 最适合云环境下密码服务流量控制， 但却容 易遭到攻击， 其原因在于 http头很容易伪造。 发明内容 [0011]为此， 本发明所要解决的技术问题在于提供一种云环境下多用户密码服务流量按 需控制方法及系统， 通过引入身份标识符， 并将鉴权流程和限流流程关联起来， 即解决了限 流控制， 又解决了 http头伪造的问题。 [0012]为解决上述 技术问题， 本发明提供如下技 术方案： [0013]一种云环境下多用户密码服 务流量按需控制方法， 包括如下步骤： [0014] 1） 用户向服 务端为某应用提交应用凭证申请； [0015] 2） 服务端根据用户发出的应用凭证申请生成与该应用关联的应用凭证并将生成 的应用凭证发送给用户， 应用凭证包含有应用身份认证信息和密码， 应用身份认证信息包 含有身份标识符， 身份标识符为共享消费者标识符或/和私有消费者标识符；说　明　书 1/5 页 3 CN 114189483 B 3