異構環境中可擴展策略模型構建

張高明 沈慶國 蔡錦浦

【摘要】 通過在具體網絡環境中對模型進行實例化，能夠描述異構網絡中不同領域中的策略。我們在可擴展策略模型的基礎上建立了一個圖形化的策略編輯器，簡化了策略的創建。

【關鍵詞】 基于策略的網絡管理 異構網絡 可擴展策略模型 策略創建

一、通信服務鏈概念和通信服務鏈中的策略

通信服務鏈中存在以下四種類型的策略。

安全策略：安全策略能夠用來規定一個用戶是否允許訪問特定的服務。同時也支持其它和安全相關的問題，例如授權和認證。例如：工作時間禁止用戶A使用VoD業務。

SLA/SLO（Service Level Agreement/Service Level Objective）：服務等級協定描述了用戶對會話質量的要求，如端到端通信的保障帶寬、丟包率要求、時延和同時接入的會話數量等。例如：VoIP業務的丟包率小于1%且單向延遲不超過150ms

呈現服務策略：呈現服務策略規定誰被允許查看和修改用戶的個人信息。這些信息不僅包括靜態的信息如地址和電話號碼，也包括用戶的動態數據如用戶的位置信息和用戶的狀態等。例如：禁止用戶A查看我的個人信息。

用戶個性化策略：用戶個性化服務策略允許終端用戶定制服務的功能。一個典型的例子就是呼叫轉移（電話、短消息或者電子郵件等）。在呼叫轉移中，用戶能夠規定在什么環境下進行呼叫轉移并且規定呼叫轉移到哪里。例如：工作時間將打往家里的電話轉接到辦公室。

在通信服務鏈環境下有多種設備和多種服務需要管理，為了方便使用策略管理通信服務鏈中的各種服務，必須有一種簡單的方法能夠創建各種類型的策略。為了解決這個問題，下文我們詳細描述了通用策略模型的建立，以及對模型的擴展。

二、策略模型的建立

我們的策略模型分為下面3個部分：

通用策略模型：通用策略模型對策略相關的概念如策略、策略規則、策略組件等進行了建模。

特定環境模型：為了使策略能夠應用于特定的環境如安全或者QoS管理，通過引入特定環境的概念，我們對通用策略模型進行了擴展。例如，QoS管理的相關策略定義了和QoS管理相關的概念RSVP、PHB、setMark、shape和路由器等概念。

服務模型：通過明確地描述服務模型，策略能夠應用于特定的服務。如果將服務模型中的概念映射到通用策略模型中去，策略管理員在創建策略的時候就能夠使用高層應用的概念，如VoIP業務需求、服務提供商和終端用戶以及他們的屬性。

通用策略模型描述了不同領域中策略的通用屬性，同時為策略的定義提供了統一的規范。通過將特定領域和應用的概念映射到通用策略模型中去，能夠描述不同類型的策略。下面給出了不同模型的詳細描述。

2.1通用策略模型

通用策略模型描述了策略中通用的概念，這些概念能夠被分成3類：

1、能夠用于策略中的信息；

2、策略的結構；

3、策略如何組成策略集。

如圖1所示的通用策略模型包含常見的策略概念，如主體、客體、動作、條件和事件等。通過引入更加具體的策略條件的構成對通用策略模型進行擴展，可滿足具體環境中策略表達要求，使得策略模型的擴展能夠比較簡單的實現。我們也能夠通過支持動作和策略的組合實現復雜策略的創建。

通用策略模型描述了策略的基本概念和相關結構，為策略描述提供了統一的定義規范，但是它并不能直接表達特定環境和應用中的策略。為了在特定應用環境下實現通用策略模型的擴展，下面給出了特定環境的模型的描述。

2.2特定環境模型

由于通用策略模型只描述了策略的通用概念和策略的結構，它并不適合用于特定的環境中，如QoS管理和安全。通用策略模型中并沒有QoS管理的相關概念，如路由器、Delay、LossRate和SetBandWidth等。為了方便策略在特定的環境中的創建，我們建立了特定環境的模型，如圖2所示。本文中我們主要關注QoS的管理。

策略作用域：指某類業務策略所作用于的網絡元素的集合，包含實現策略功能的全體被管對象。因此，策略作用域指的是對某個服務進行管控的，全體策略作用的網絡范圍，也就是說策略作用域是承載某個服務的網絡元素的集合[7]。需要注意的是，策略作用域并不是將若干被管對象封裝起來，而是類似于文件系統，只是存儲了被管對象的引用。

策略作用域和網絡自治域有如下的區別：（1）網絡自治域是依靠組網管理權限劃分的，指的是某個網絡路由區域或某個物理連接區域內的所有設備的集合，如某個局域網；策略作用域是依靠業務劃分的，指的是實現某個業務的所有設備的集合，如執行某個QoS業務的端到端的域；（2）網絡自治域可以包括一些網絡設備、服務器和主機，策略作用域可能與網絡自治域相同，或者包含多個網絡自治域，也可能包含多個屬于不同自治域的服務器和主機。

在基于角色的訪問控制（RBAC，Role-Based Access Control）中，權限與角色相關聯，用戶通過成為適當角色的成員而得到這些角色的權限。在一個組織中，角色是為了完成各種工作而創造，用戶則依據它的責任和資格來被指派相應的角色，用戶能夠很容易地從一個角色被指派到另一個角色。角色可依據新的需求和系統的合并而賦予新的權限，而權限也可以根據需要從某角色中回收。通過創建角色的概念，極大的簡化了訪問控制中權限的管理。通過建立域和角色的概念，極大的簡化了系統的管理。

2.3服務模型

為了能夠將策略應用于更多的服務中，我們需要對服務中和策略相關的概念進行建模。如圖3所示，我們將服務中和策略相關的概念分為服務行為、服務對象、服務變量、服務事件和服務描述。

圖3中只給出了服務模型的一般組成，并沒有給出特定服務的擴展，為了描述通信服務鏈中的各種服務，需要對服務模型進行擴展。圖2所示的通信服務鏈場景中，存在多種業務，如統一通信中能夠實現VoIP業務、視頻會話業務、電子郵件和短信等。為了描述這些業務，涉及到的服務的相關概念很復雜，需要根據具體的業務場景和業務需求進行建模。圖4只給出了通信服務鏈場景中服務模型的簡單擴展，并沒有畫出完整的模型。需要注意的是，在具體業務的管理中必須建立完備的服務模型。

通過將整個模型分為通用策略模型、特定環境模型和服務模型，不僅統一了策略的結構，同時詳細描述了目標管理系統和應用中的各種概念，這樣能夠很容易使用策略描述異構環境中的各種管理需求。然而這種形式的策略并不適合終端用戶的使用，為了方便終端用戶的使用，我們需要一種易用的、圖形化的策略編輯工具。

三、總結

為了解決復雜、異構網絡環境中難以使用策略管理的問題，我們創建了一種可擴展的策略模型，使用該模型能夠方便的描述復雜環境中各種類型的策略。同時我們給出了一種圖形化的策略編輯器。模型分為三部分：通用策略模型、系統環境模型和服務模型，這三個模型統一了策略、系統環境和各種服務的描述?；诓呗阅Ｐ?，結合圖形化的策略編輯器，極大的簡化了異構環境中策略的創建。雖然我們解決了策略表示的問題，但是使用策略進行管理的過程中出現的如策略沖突、策略精化和策略部署的問題仍需要進一步的研究。

參 考 文 獻

[1] IETF Policy Core Information Model（PCIM）. http：//www.ietf.org/rfc/rfc3060.txt

[2]OASIS eXtendible Access Control Markup Language（XACML）. http：//www.oasis-open.org/committees/tc_home.php？wg_abbrev=xacml

[3]N. Damianou， N. Dulay， E. Lupu and M. Sloman. The Ponder Policy Specification Language. Workshop on Policies for Distributed Systems and Networks（Policy2001）， Jan 2001.

[4]G. Maes and J. Marien. Service-Oriented Architecture： Orchestrating the OSDE. Jan 2006