[go: up one dir, main page]

WO2023216082A1 - 订阅处理方法、装置、介质和芯片 - Google Patents

订阅处理方法、装置、介质和芯片 Download PDF

Info

Publication number
WO2023216082A1
WO2023216082A1 PCT/CN2022/091814 CN2022091814W WO2023216082A1 WO 2023216082 A1 WO2023216082 A1 WO 2023216082A1 CN 2022091814 W CN2022091814 W CN 2022091814W WO 2023216082 A1 WO2023216082 A1 WO 2023216082A1
Authority
WO
WIPO (PCT)
Prior art keywords
entity
service
subscription
token
access token
Prior art date
Application number
PCT/CN2022/091814
Other languages
English (en)
French (fr)
Inventor
梁浩然
陆伟
Original Assignee
北京小米移动软件有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 北京小米移动软件有限公司 filed Critical 北京小米移动软件有限公司
Priority to PCT/CN2022/091814 priority Critical patent/WO2023216082A1/zh
Priority to CN202280001680.1A priority patent/CN117378171A/zh
Priority to EP22941049.3A priority patent/EP4525354A1/en
Publication of WO2023216082A1 publication Critical patent/WO2023216082A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H04W12/084—Access security using delegated authorisation, e.g. open authorisation [OAuth] protocol

Definitions

  • the present disclosure relates to the field of communication technology, and specifically, to a subscription processing method, device, medium and chip.
  • 3GPP 3rd Generation Partnership Project
  • 3GPP 3rd Generation Partnership Project
  • API Application Programming Interface
  • the application server (ServicesCapability Server/Application Server, SCS/AS) can be provided by the SCEF (ServiceCapability Exposure Function, business capability opening function) entity Interface (such as T8) to obtain 3GPP network capabilities.
  • SCEF ServiceCapability Exposure Function, business capability opening function
  • the AF (Application Function) entity can pass the interface provided by the NEF (Network Exposure Function) entity (such as Nnef or N33 ) to obtain 3GPP network information.
  • NEF Network Exposure Function
  • the AF entity or SCS/AS entity Before opening network information to the AF entity or SCS/AS entity, how to perform security verification on the AF entity or SCS/AS entity is a problem that currently needs to be solved.
  • the present disclosure provides a subscription processing method, device, medium and chip.
  • a subscription processing method is provided, applied to a first entity, and the method includes:
  • the access token is used to characterize the security verification information used by the first entity to request processing of the subscription service;
  • a subscription processing method is provided, applied to a second entity, and the method includes:
  • the first service request message includes an access token, and the access token is used to characterize the security verification information used by the first entity to request processing of the subscription service;
  • the first service response message includes the processing result of the subscription service.
  • a subscription processing method is provided, applied to a third entity, and the method includes:
  • the token request message is a message sent by the first entity according to the subscription service to be authorized
  • the access token is used to represent the security verification information used by the first entity to request processing of the subscription service ;
  • a token response message is sent to the first entity; the token response message is used to instruct the first entity to obtain the access token.
  • a subscription processing device applied to a first entity, and the device includes:
  • a token determination module configured to obtain an access token; the access token is used to characterize the security verification information used by the first entity to request processing of the subscription service;
  • a first sending module configured to send a first service request message to the second entity according to the subscription service to be requested and the access token; the first service request message includes the access token;
  • the first receiving module is configured to receive the first service response message sent by the second entity in order to obtain the processing result of the subscription service; the first service response message is the first service response message sent by the second entity according to the access order. The message is sent after the card performs security verification on the first entity.
  • a subscription processing device applied to a second entity, and the device includes:
  • the second receiving module is configured to receive a first service request message sent by the first entity; the first service request message includes an access token, and the access token is used to characterize the first entity's request to process subscription service usage. security verification information;
  • a security verification module configured to perform security verification on the first entity according to the access token
  • the second sending module is configured to send a first service response message to the first entity according to the security verification result; the first service response message includes the processing result of the subscription service.
  • a subscription processing device is provided, applied to a third entity, and the device includes:
  • the third receiving module is configured to receive a token request message; the token request message is a message sent by the first entity according to the subscription service to be authorized;
  • a policy verification module configured to determine whether the first entity satisfies the first preset access authorization policy according to the token request message
  • a token acquisition module configured to acquire an access token when it is determined that the first entity satisfies the first preset access authorization policy; the access token is used to characterize the first entity request processing Security verification information used by the subscription service;
  • the third sending module is configured to send a token response message to the first entity according to the access token; the token response message is used to instruct the first entity to obtain the access token.
  • a subscription processing device including:
  • Memory used to store instructions executable by the processor
  • the processor is configured to execute the steps of the subscription processing method provided by the first aspect of this disclosure.
  • a subscription processing device including:
  • Memory used to store instructions executable by the processor
  • the processor is configured to execute the steps of the subscription processing method provided in the second aspect of this disclosure.
  • a subscription processing device including:
  • Memory used to store instructions executable by the processor
  • the processor is configured to execute the steps of the subscription processing method provided in the third aspect of this disclosure.
  • a computer-readable storage medium on which computer program instructions are stored.
  • the steps of the subscription processing method provided by the first aspect of the present disclosure are implemented. .
  • a computer-readable storage medium on which computer program instructions are stored.
  • the subscription processing method provided by the second aspect of the present disclosure is implemented. step.
  • a computer-readable storage medium on which computer program instructions are stored.
  • the subscription processing method provided by the third aspect of the present disclosure is implemented. step.
  • a chip including: a processor and an interface; the processor is configured to read instructions to execute the steps of the subscription processing method provided in the first aspect of the present disclosure,
  • a chip including: a processor and an interface; the processor is configured to read instructions to execute the steps of the subscription processing method provided in the second aspect of the present disclosure.
  • a chip including: a processor and an interface; the processor is configured to read instructions to execute the steps of the subscription processing method provided in the third aspect of the present disclosure,
  • the technical solution provided by the embodiments of the present disclosure may include the following beneficial effects: obtaining an access token; sending a first service request message to the second entity according to the subscription service to be requested and the access token; receiving the first service request message sent by the second entity.
  • the service responds with messages to obtain the processing results of the subscription service.
  • the access token can be used to characterize the security verification information used by the first entity to request processing of the subscription service; the first service request message can include the access token; the first service response message is the second entity's request based on the access token.
  • the message is sent after the card performs security verification on the first entity. In this way, when the first entity makes a subscription request, security verification is performed on the first entity based on the access token, which can improve the reliability and security of the communication system.
  • FIG. 1 is a schematic diagram of a communication system applicable to embodiments of the present disclosure according to an exemplary embodiment.
  • Figure 2 is a schematic diagram of a 5G communication system according to an exemplary embodiment.
  • Figure 3 is a flow chart of a subscription processing method according to an exemplary embodiment.
  • Figure 4 is a flow chart of a subscription processing method according to an exemplary embodiment.
  • Figure 5 is a flow chart of a subscription processing method according to an exemplary embodiment.
  • Figure 6 is a flow chart of a subscription processing method according to an exemplary embodiment.
  • Figure 7 is a flow chart of a subscription processing method according to an exemplary embodiment.
  • Figure 8 is a flowchart of a subscription processing method according to an exemplary embodiment.
  • Figure 9 is a block diagram of a subscription processing device according to an exemplary embodiment.
  • Figure 10 is a block diagram of a subscription processing device according to an exemplary embodiment.
  • Figure 11 is a block diagram of a subscription processing device according to an exemplary embodiment.
  • Figure 12 is a block diagram of a subscription processing device according to an exemplary embodiment.
  • Figure 13 is a block diagram of a subscription processing device according to an exemplary embodiment.
  • plural refers to two or more than two, and other quantifiers are similar; "at least one of the following” or similar expressions refers to these Any combination of items, including any combination of single items (items) or plural items (items).
  • at least one of a, b, or c can mean: a, b, c, a-b, a-c, b-c, or a-b-c, where a, b, c can be single or multiple ;
  • “And/or” is an association relationship that describes related objects, indicating that there can be three kinds of relationships.
  • a and/or B can mean: A alone exists, A and B exist simultaneously, and B alone exists. situation, where A and B can be singular or plural.
  • the application server SCS/AS entity can obtain network information of the 4G network through the interface provided by the SCEF entity.
  • the AF entity can obtain the network information of the 5G network through the NEF entity by subscribing to the service.
  • the NEF entity can open the network information of the 5G network to the AF entity, and the AF can obtain the network information of the 5G network through NEF by subscribing to the service.
  • the network information can include each network slice (Network Slice). ) information such as the number of UE (User Equipment, user equipment) or the number of PDU (Protocol Data Unit, protocol data unit).
  • the present disclosure provides a subscription processing method, device, medium and chip.
  • Embodiments of the present disclosure may be applied to 4G (the 4th Generation, fourth generation) network systems, such as Long Term Evolution (LTE) systems, or may also be applied to 5G (the 5th Generation, fifth generation) Network systems, such as access networks using New Radio Access Technology (New RAT); Cloud Radio Access Network (CRAN) and other communication systems.
  • 4G the 4th Generation, fourth generation
  • 5G the 5th Generation, fifth generation
  • New RAT New Radio Access Technology
  • CRAN Cloud Radio Access Network
  • Figure 1 is a schematic diagram of a communication system applicable to the embodiment of the present disclosure according to an exemplary embodiment.
  • the communication system may include: a first entity 101, a second entity 102, and a third entity 103 , the fourth entity 104, wherein the first entity 101 may be an entity that provides application functions, the second entity 102 may be an entity that provides network opening functions, and the third entity 103 may be an entity that provides security verification functions and submits information to the first entity.
  • Entity 101 is the entity that provides the access token, and the fourth entity 104 may be the entity that provides network information.
  • the first entity may include: application function AF (Application Function) entity or application server SCS/AS (ServicesCapability Server/Application Server);
  • the second entity may include: network exposure function NEF (Network Exposure Function) entity or business capability Open function SCEF (ServiceCapability Exposure Function) entity;
  • the third entity can include: Common Application Programming Interface Open Framework CAPIF (Common API Framework) core function entity;
  • the fourth entity can include any network function entity in the 4G network or 5G network,
  • the network slice admission control function NSACF Network Slice Admission Control Function
  • SMF Access and Mobility Management Function
  • Session Management Function Session Management Function
  • Another example is the policy and charging rules function PCRF (Policy and Charging Rules Function) entity in the 4G network, the packet flow description function PFDF (Packet Flow Description Function) entity or the home user server HSS (Home Subscriber Server) entity, etc.
  • PCRF Policy and Charging Rules Function
  • the entities in Figure 1 can be hardware, functionally divided software, or a combination of the above two structures.
  • the entities in Figure 1 may be entities in the 4G communication network architecture or the 5G communication network architecture.
  • FIG 2 is a schematic diagram of a 5G communication system according to an exemplary embodiment.
  • the communication system is a specific application of the communication system shown in Figure 1 in the 5G network.
  • the communication system may include an AF entity. 1011, NEF entity 1021, CAPIF core function entity 1031 and NSACF entity 1041.
  • Figure 3 shows a subscription processing method according to an exemplary embodiment, which can be applied to the first entity in the above communication system. As shown in Figure 3, the method may include:
  • the first entity obtains the access token.
  • the access token may be used to represent the security verification information used by the first entity to request processing of the subscription service.
  • the first entity may be an entity that provides application functions, for example, an AF entity in a 5G network, or an SCS/AS entity in a 4G network.
  • the first entity may be an untrusted functional entity outside the 3GPP operator domain.
  • the first entity if the first entity has obtained the access token for the subscription service, for example, the first entity stores the access token locally, and the access token is currently within the token validity period, then the first entity can directly obtain the access token from Obtain the access token locally.
  • the first entity may also request to obtain the access token through message interaction with the third entity.
  • the first entity sends a first service request message to the second entity according to the subscription service to be requested and the access token.
  • the first service request message may include the above-mentioned access token.
  • the second entity may be an entity that provides network opening functions, such as an NEF entity in a 5G network or a SCEF entity in a 4G network.
  • the first entity may establish a second secure session with the second entity.
  • the first entity may authenticate according to the authentication policy of the second entity and establish the second security session.
  • the second security session may be a TLS (Transport Layer Security) session, through which confidentiality and data integrity can be achieved for communications between two entities.
  • TLS Transport Layer Security
  • the first entity may establish the second secure session based on obtaining the identity verification and authorization method corresponding to the second entity from the third entity.
  • the AF entity can obtain the authentication and authorization method (the authentication and authorization method) indicated by the CAPIF entity based on the CAPIF-2e interface.
  • the authentication and authorization method may include NEF certificate authentication or certificate-based mutual authentication (NEF side certificate authentication or certificate-based mutual authentication).
  • the first entity receives the first service response message sent by the second entity, so as to obtain the processing result of the subscription service.
  • the first service response message may be a message sent by the second entity after performing security verification on the first entity based on the access token.
  • the first entity if it receives the first service response message, it can determine that the processing result of the subscription service is successful, that is, the subscription service has been successfully completed, and can normally receive the service event notification corresponding to the subscription service.
  • the first service response message received by the first entity may include a security verification result parameter. If the security verification result parameter indicates that the verification is successful, it may be determined that the processing result of the subscription service is successful.
  • the security verification result parameter in the received first service response message is verification failure, or a rejection message sent by the second entity is received. If the first subscription rejection message of the subscription is received, it can be determined that the subscription request was rejected.
  • the first service response message may include a processing result of the subscription service. For example, if the security verification result is successful, the processing result may be to accept the service request; if the security verification result is failed, the processing result may be to reject the service request.
  • the access token can be used to characterize the security verification information used by the first entity to request processing of the subscription service; the first service request message can include the access token; the first service response message is the second entity's request based on the access token.
  • the message is sent after the card performs security verification on the first entity. In this way, when the first entity makes a subscription request, security verification is performed on the first entity based on the access token, which can improve the reliability and security of the communication system.
  • the security verification of the first entity outside the domain can be achieved through the above method.
  • Figure 4 shows a subscription processing method according to an exemplary embodiment, which can be applied to the first entity. As shown in Figure 4, the method may include:
  • the first entity sends a token request message to the third entity according to the subscription service to be authorized.
  • the subscription service to be authorized and the subscription service to be requested may be the same or different.
  • the third entity may be an entity that provides a security verification function and provides an access token to the first entity, for example, a common application programming interface open framework CAPIF core function entity (which may also be called a CAPIF entity).
  • CAPIF core Functional entities can be used in both 4G and 5G networks.
  • the first entity may send a token request message to the third entity based on security specifications.
  • the security specification may include an OAuth (Open Authorization, open authentication) specification
  • the OAuth specification may include the OAuth2.0 specification specified in RFC 6749 developed by the IETF (The Internet Engineering Task Force, the International Internet Engineering Task Force) .
  • the token request message can be an Access Token Request message based on OAuth2.0.
  • the first entity may establish a first secure session with the third entity.
  • the first entity may authenticate according to the authentication policy of the third entity and establish the first security session.
  • the AF entity can perform CAPIF-1e authentication and establish the first security session according to the 3GPP protocol specification.
  • the first secure session may be a TLS (Transport Layer Security) session, through which confidentiality and data integrity can be achieved for communications between two entities.
  • the first entity obtains the access token in the token response message.
  • the access token is a token determined by the third entity when it is determined that the first entity satisfies the first preset access authorization policy according to the token request message.
  • the first preset access authorization policy may be a locally preset access authorization policy of the third entity, and is used to represent the access rights of the first entity.
  • the third entity may verify the token request message according to the OAuth2.0 specification to determine whether the token request message satisfies the first preset access authorization policy.
  • the OAuth may include the OAuth2.0 specification specified in RFC 6749 developed by the Internet Engineering Task Force (IETF).
  • the above-mentioned token request message may include the service operation type corresponding to the subscription service to be authorized; the above-mentioned first preset access authorization policy may include the access permission of the first entity to the service operation type; the above-mentioned access token It is a token determined by the third entity when it is determined that the first entity satisfies the first preset access authorization policy according to the service operation type. For example, if the third entity determines that the first entity has access rights to the service operation type, then it can Generate the access token.
  • the access token may include the service operation type corresponding to the subscription service to be authorized.
  • the above service operation type may include the NEF event open subscription service Nnef_EventExposure_Subscribe service, and/or the event open unsubscribe service Nnef_EventExposure_Unsubscribe service.
  • the token request message may include the service operation type and subscription parameters corresponding to the subscription service to be authorized;
  • the first preset access authorization policy may include the service operation type and the subscription parameters of the first entity.
  • access rights the above-mentioned access token is a token determined by the third entity when it is determined that the first entity satisfies the first preset access authorization policy based on the subscription parameters and service operation type. For example, the third entity determines that the first entity has access to the service operation type and subscription parameters, you can generate the access token.
  • the access token may include the service operation type and subscription parameters corresponding to the subscription service to be authorized.
  • the subscription parameters can include one or more of the following:
  • Event Reporting information corresponding to the subscription service
  • the subscription parameters may include any one, any two, or all three of the above parameters.
  • the above subscription parameters may include the event ID corresponding to the subscription service and the event filter parameter Event Filter parameter.
  • the event identification Event ID may include: a first event identification used to represent the number of user equipment UEs (for example, Number of registered UEs), and/or a second event identification used to represent the number of protocol data unit PDU sessions (for example, Number of registered UEs) established PDU Sessions);
  • the event filter parameter Event Filter parameter can include external network slice information ENSI (External Network Slice Information) or application function service identification AF Service Identifier.
  • the first entity sends the first service request message to the second entity.
  • the first service request message may include the above-mentioned access token.
  • the second entity may be an entity that provides network opening functions, such as an NEF entity in a 5G network or a SCEF entity in a 4G network.
  • the first service request message may include the service operation type corresponding to the above-mentioned subscription service.
  • the service operation type includes the NEF event open subscription service Nnef_EventExposure_Subscribe service, and/or the event open unsubscribe service Nnef_EventExposure_Unsubscribe service.
  • the first service request message includes subscription parameters and service operation types corresponding to the subscription service.
  • the subscription parameters can include one or more of the following:
  • Event Reporting information corresponding to the subscription service
  • the subscription parameters may include any one, any two, or all three of the above parameters.
  • the subscription parameters may include the event ID corresponding to the subscription service and the event filter parameter Event Filter parameter.
  • the event ID Event ID may include: a first event ID used to characterize the number of subscribed user equipment UEs (for example, Number of registered UEs), and/or a second event ID used to characterize the number of subscription protocol data unit PDU sessions. (such as established PDU Sessions); the event filter parameter Event Filter parameter can include external network slice information ENSI or application function service identification AF Service Identifier.
  • the subscription parameters may also include event reporting information (Event Reporting information).
  • the first entity receives the first service response message sent by the second entity, so as to obtain the processing result of the subscription service.
  • the first service response message may be a message sent by the second entity after performing security verification on the first entity based on the access token.
  • the security verification of the first entity can be implemented based on the access token and service operation type in the first service request message; or, the security verification of the first entity can be implemented based on the access token, service operation type and subscription parameters in the first service request message. Security verification of the first entity.
  • the method may further include:
  • the first entity receives the first event notification message sent by the second entity; the first event notification message is a message sent by the second entity to the first entity in response to the second event notification message sent by the fourth entity; according to the first event notification The message obtains the event notification information corresponding to the subscription service.
  • the fourth entity may be an entity that provides network information.
  • the fourth entity may include any network function entity in the 4G network or the 5G network, such as the network slice admission control function NSACF entity, the access and mobility management function SMF entity or the session management function AMF entity in the 5G network etc., for example, the policy and charging rule function PCRF entity, the packet flow description function PFDF entity or the home user server HSS entity in the 4G network.
  • the first event notification message may be an event notification message corresponding to the above subscription service.
  • the first event notification message may include the event ID corresponding to the subscription service and the event filter parameter Event Filter parameter.
  • the first event notification message may also be Event Reporting information.
  • the first event notification message Can include Nnef_EventExposure_Notify.
  • the subscription or unsubscription NSACF notification process based on CAPIF authorization can be implemented.
  • Figure 5 shows a subscription processing method according to an exemplary embodiment, which can be applied to the second entity in the above communication system. As shown in Figure 5, the method may include:
  • the second entity receives the first service request message sent by the first entity.
  • the first service request message includes an access token, and the access token is used to represent the security verification information used by the first entity to request processing of the subscription service.
  • the access token is a token obtained by the first entity from the third entity according to the subscription service.
  • the third entity includes: Common Application Programming Interface Open Framework CAPIF core functional entity.
  • the first service request message may also include information about the subscription service to be requested, such as the service operation type and/or subscription parameters corresponding to the subscription service to be requested.
  • the second entity may establish a second secure session with the first entity.
  • the first entity may authenticate according to the authentication policy of the second entity and establish the second security session.
  • the second security session may be a TLS (Transport Layer Security) session, through which confidentiality and data integrity can be achieved for communications between two entities.
  • TLS Transport Layer Security
  • the first entity may establish the second secure session based on obtaining the identity verification and authorization method corresponding to the second entity from the third entity.
  • the AF entity can obtain the authentication and authorization method (the authentication and authorization method) indicated by the CAPIF entity based on the CAPIF-2e interface.
  • the authentication and authorization method may include NEF certificate authentication or certificate-based mutual authentication (NEF side certificate authentication or certificate-based mutual authentication).
  • the second entity performs security verification on the first entity based on the access token.
  • the second entity may perform one or more security verifications of integrity verification, signature verification, and encryption verification on the access token. to make sure the access token is authentic.
  • the integrity of an access token can be verified through its signature information.
  • it may also be determined based on the content in the access token whether the first entity has authority.
  • the second entity sends a first service response message to the first entity according to the security verification result.
  • the first service response message may include a processing result of the subscription service.
  • the processing result may be to accept the service request; if the security verification result is failed, the processing result may be to reject the service request.
  • the NEF entity can check and determine based on the access token in the first service request message sent by the AF entity. Whether the AF entity is authorized to perform the requested subscription service. For example, NEF can verify the integrity of the access token by verifying the signature of the CAPIF entity. If the integrity verification of the access token is successful, NEF can verify AF's request against the authorization claim parameters in the access token (such as the service operation type and/or subscription parameters).
  • the authorization claim parameters in the access token match the Whether the request declaration parameters (such as service operation type and/or subscription parameters) in the first service request message match, if they match, the access token verification is successful, and the first service response indicating that the subscription processing is successful can be sent to the first entity. message; otherwise, if the verification fails, the subscription request can be rejected. For example, no message can be sent to the first entity, or a first subscription rejection message can be sent to the first entity, or a secure message can be sent to the first entity.
  • the verification result parameter is the first service response message that fails verification.
  • the access token includes a service operation type
  • the first service request message also includes a service operation type corresponding to the subscription service to be requested.
  • the security verification in step S502 may include the following methods:
  • the service operation type in the access token and the service operation type corresponding to the subscription service to be requested are obtained respectively.
  • the service operation type may include the NEF event open subscription service Nnef_EventExposure_Subscribe service, and/or the NEF event open unsubscribe service Nnef_EventExposure_Unsubscribe service.
  • the service operation type of the access token is the same as the service operation type corresponding to the subscription service to be requested, it is determined whether the subscription parameters corresponding to the subscription service to be requested satisfy the second preset access authorization policy.
  • the second preset access authorization policy includes the first entity's access rights to the subscription parameters.
  • the subscription parameters may include one or more of the following:
  • Event Reporting information corresponding to the subscription service
  • the subscription parameters may include the event ID corresponding to the subscription service and the event filter parameter Event Filter parameter.
  • the event identifier Event ID may include: a first event identifier (such as Number of registered UEs) used to characterize the number of subscribed user equipment UEs, and/or a second event identifier used to characterize the number of subscription protocol data unit PDU sessions. (such as established PDU Sessions); the event filter parameter Event Filter parameter can include external network slice information ENSI or application function service identifier AF Service Identifier.
  • the access token includes a service operation type and subscription parameters
  • the first service request message includes a service operation type and subscription parameters corresponding to the subscription service to be requested.
  • the security verification of the above S502 step can include the following methods:
  • the service operation type and subscription parameters in the access token are obtained respectively, as well as the service operation type and subscription parameters corresponding to the subscription service to be requested.
  • the service operation type includes the NEF event open subscription service Nnef_EventExposure_Subscribe service, and/or the event open unsubscribe service Nnef_EventExposure_Unsubscribe service.
  • the subscription parameters may include the event ID corresponding to the subscription service and the event filter parameter Event Filter parameter.
  • the event ID Event ID may include: a first event ID used to characterize the number of subscribed user equipment UEs (for example, Number of registered UEs), and/or a second event ID used to characterize the number of subscription protocol data unit PDU sessions. (such as established PDU Sessions); the event filter parameter Event Filter parameter can include external network slice information ENSI or application function service identification AF Service Identifier.
  • the subscription parameters may include one or more of the following:
  • Event Reporting information corresponding to the subscription service
  • the method may further include:
  • the second entity In response to receiving the second event notification message sent by the fourth entity, the second entity sends the first event notification message to the first entity.
  • the first event notification message is used to instruct the first entity to obtain the event notification information corresponding to the subscription service to be requested.
  • the fourth entity may be an entity providing network information.
  • the fourth entity may include any network function entity in the 4G network or the 5G network, such as the network slice admission control function NSACF entity, the access and mobility management function SMF entity or the session management function AMF entity in the 5G network etc., for example, the policy and charging rule function PCRF entity, the packet flow description function PFDF entity or the home user server HSS entity in the 4G network.
  • the second event notification message may be an event notification message corresponding to the subscription service to be requested.
  • the second event notification message may include the event ID corresponding to the subscription service and the event filter parameter Event Filter parameter.
  • the first event notification message may also include event reporting information.
  • the first event notification message may also be an event notification message corresponding to the subscription service to be requested.
  • the parameters of the first event notification message may be obtained according to the second event notification message.
  • the first event notification message may be obtained based on the second event notification message.
  • Some parameters in the second event notification message are used as parameters in the first event notification message.
  • the first event notification message may include the event identification Event ID and the event filter parameter Event Filter parameter corresponding to the subscription service, and the first event notification message may be event reporting information.
  • the event filtering parameters in the second event notification message include single network slice selection assistance information S-NSSAI (Single Network Slice Selection Assistance Information), and the second entity can map S-NSSAI to ENSI or application functions.
  • S-NSSAI Single Network Slice Selection Assistance Information
  • Service Identifier AF Service Identifier
  • the event filtering parameters in the first event notification message can include external network slice information ENSI or application function service identifier AF Service Identifier.
  • the service operation type corresponding to the subscription service to be requested includes the NEF event open subscription service Nnef_EventExposure_Subscribe service
  • the second event notification message may include Nnsacf_EventExposure_Notify
  • the first event notification message may include Nnef_EventExposure_Notify.
  • the event notification information corresponding to the subscription service can be sent to the first entity through the first event notification message.
  • Figure 6 shows a subscription processing method according to an exemplary embodiment, which can be applied to the third entity in the above communication system. As shown in Figure 6, the method may include:
  • the third entity receives the token request message sent by the first entity.
  • the token request message is a message sent by the first entity according to the subscription service to be authorized.
  • the subscription service to be authorized and the subscription service to be requested may be the same or different.
  • the third entity may be an entity that provides a security verification function and provides an access token to the first entity, for example, a common application programming interface open framework CAPIF core functional entity (which may also be referred to as a CAPIF entity).
  • the CAPIF core functional entity It can be used in both 4G and 5G networks.
  • the first entity may be an entity that provides application functions, for example, an AF entity in a 5G network, or an SCS/AS entity in a 4G network.
  • the first entity may be an untrusted functional entity outside the 3GPP operator domain.
  • the first entity may send a token request message to the third entity based on security specifications.
  • the security specification may include an OAuth specification
  • the OAuth specification may include the OAuth2.0 specification specified in RFC 6749 developed by the Internet Engineering Task Force (IETF).
  • the token request message can be an Access Token Request message based on OAuth2.0.
  • the first entity may establish a first secure session with the third entity.
  • the first entity may authenticate according to the authentication policy of the third entity and establish the first security session.
  • the AF entity can perform CAPIF-1e authentication and establish the first security session according to the 3GPP protocol specification.
  • the first secure session may be a TLS (Transport Layer Security) session, through which confidentiality and data integrity can be achieved for communications between two entities.
  • the third entity determines whether the first entity satisfies the first preset access authorization policy according to the token request message.
  • the third entity sends a token response message to the first entity according to the access token; the token response message is used to instruct the first entity to obtain the access token.
  • the access token can be sent to the first entity after it is determined that the first entity satisfies the first preset access authorization policy, thereby improving the reliability of the communication system. sex and safety.
  • the above-mentioned first preset access authorization policy may be an access authorization policy preset locally by the third entity, and is used to represent the access rights of the first entity.
  • the above-mentioned access token may be used to represent the security verification information used by the first entity to request processing of the subscription service.
  • the token request message may include the service operation type corresponding to the subscription service to be authorized; the first preset access authorization policy may include the first entity's access permission to the service operation type.
  • the third entity can determine whether the first entity has access rights to the service operation type. In the case where the first entity has access rights to the service operation type, it can be determined that the first entity satisfies the first preset access authorization. Strategy.
  • the third entity may generate an access token according to the service operation type corresponding to the subscription service to be authorized.
  • the service operation type corresponding to the subscription service to be authorized can be used as part of the access token, or as a parameter in the access token.
  • the above service operation type may include the NEF event open subscription service Nnef_EventExposure_Subscribe service, and/or the event open unsubscribe service Nnef_EventExposure_Unsubscribe service.
  • the token request message may include the service operation type and subscription parameters corresponding to the subscription service; the first preset access authorization policy may include the first entity's access to the service operation type and the subscription parameters. permissions.
  • the third entity can determine whether the first entity has access rights to the service operation type and subscription parameters. In the case where the first entity has access rights to the service operation type and subscription parameters, it can be determined that the first entity satisfies the third requirement. A default access authorization policy.
  • the third entity may generate an access token based on the service operation type and subscription parameters corresponding to the subscription service to be authorized.
  • the service operation type and subscription parameters corresponding to the subscription service to be authorized can be used as part of the access token, or as a parameter in the access token.
  • the above subscription parameters may include the event ID corresponding to the subscription service and the event filter parameter Event Filter parameter.
  • the event identification Event ID may include: a first event identification used to represent the number of user equipment UEs (for example, Number of registered UEs), and/or a second event identification used to represent the number of protocol data unit PDU sessions (for example, Number of registered UEs) established PDU Sessions);
  • the event filter parameter Event Filter parameter can include external network slice information ENSI (External Network Slice Information) or application function service identification AF Service Identifier.
  • Figure 7 shows a subscription processing method according to an exemplary embodiment.
  • the method may include:
  • the first entity obtains the access token.
  • the first entity sends a first service request message to the second entity according to the subscription service to be requested and the access token.
  • the first service request message may include the above-mentioned access token.
  • the second entity receives the first service request message, and performs security verification on the first entity according to the access token in the first service request message.
  • the second entity sends the first service response message to the first entity according to the security verification result.
  • the first entity receives the first service response message sent by the second entity.
  • the first entity may obtain the processing result of the subscription service to be requested according to the first service response message.
  • the first entity and the second entity may be entities in the communication system shown in Figure 1.
  • the first entity may include: an application function AF entity or an application server SCS/AS entity; and the second entity may include: a network opening function. NEF entity or business capability opening function SCEF entity.
  • Figure 8 shows a subscription processing method according to an exemplary embodiment.
  • the method may include:
  • the first entity sends a token request message to the third entity according to the subscription service to be authorized.
  • the first entity obtaining the access token from the third entity may be implemented based on the OAuth (Open Authorization, Open Authentication) specification.
  • OAuth Open Authorization, Open Authentication
  • the OAuth may include specifications formulated by the IETF (The Internet Engineering Task Force, the International Internet Engineering Task Force).
  • the token request message may be an Access Token Request message based on OAuth2.0.
  • the first entity may establish a first secure session with the third entity.
  • the first entity may authenticate according to the authentication policy of the third entity and establish the first security session.
  • the AF entity can perform CAPIF-1e authentication and establish the first security session according to the 3GPP protocol specification.
  • the first secure session may be a TLS (Transport Layer Security) session, through which confidentiality and data integrity can be achieved for communications between two entities.
  • the third entity determines whether the first entity satisfies the first preset access authorization policy according to the token request message, and obtains an access token if it is determined that the first entity satisfies the first preset access authorization policy.
  • the third entity may verify the token request message according to the OAuth2.0 specification to determine whether the token request message satisfies the first preset access authorization policy.
  • the OAuth may include the OAuth2.0 specification specified in RFC 6749 developed by the Internet Engineering Task Force (IETF).
  • the above-mentioned token request message may include the service operation type corresponding to the subscription service to be authorized; the above-mentioned first preset access authorization policy may include the access permission of the first entity to the service operation type; the above-mentioned access order
  • the token is a token determined by the third entity when it is determined that the first entity satisfies the first preset access authorization policy according to the service operation type. For example, if the third entity determines that the first entity has access rights to the service operation type, then This access token can be generated.
  • the access token may include the service operation type corresponding to the subscription service to be authorized.
  • the above service operation type may include the NEF event open subscription service Nnef_EventExposure_Subscribe service, and/or the event open unsubscribe service Nnef_EventExposure_Unsubscribe service.
  • the token request message may include the service operation type and subscription parameters corresponding to the subscription service to be authorized;
  • the first preset access authorization policy may include the first entity's service operation type and the subscription Parameter access rights;
  • the above-mentioned access token is a token determined by the third entity when it is determined that the first entity satisfies the first preset access authorization policy based on the subscription parameters and service operation type. For example, the third entity determines that the first entity This access token can be generated with access to the service operation type and subscription parameters.
  • the access token may include the service operation type and subscription parameters corresponding to the subscription service to be authorized.
  • the above subscription parameters may include the event ID corresponding to the subscription service and the event filter parameter Event Filter parameter.
  • the event identification Event ID may include: a first event identification used to represent the number of user equipment UEs (for example, Number of registered UEs), and/or a second event identification used to represent the number of protocol data unit PDU sessions (for example, Number of registered UEs) established PDU Sessions);
  • the event filter parameter Event Filter parameter can include external network slice information ENSI (External Network Slice Information) or application function service identification AF Service Identifier.
  • the third entity sends a token response message to the first entity.
  • the token response message may include the access token described above.
  • the first entity can obtain the security verification information (that is, the access token) used to process the subscription service.
  • step S805 starts to be executed.
  • the first entity establishes a second secure session with the second entity.
  • the second security session may include a TLS (Transport Layer Security) session.
  • the first entity can establish the second secure session according to obtaining the identity verification and authorization method corresponding to the second entity from the third entity.
  • TLS Transport Layer Security
  • the AF entity can obtain the authentication and authorization method (the authentication and authorization method) indicated by the CAPIF entity based on the CAPIF-2e interface. , and establish a TLS session with the NEF entity based on the authentication and authorization method.
  • the authentication and authorization method may include NEF certificate authentication or certificate-based mutual authentication (NEF side certificate authentication or certificate-based mutual authentication).
  • the first entity sends the first service request message to the second entity.
  • the first service request message may include the above-mentioned access token and the subscription service to be requested.
  • the first service request message may include a service operation type corresponding to the subscription service to be requested.
  • the service operation type includes the NEF event open subscription service Nnef_EventExposure_Subscribe service, and/or the event open unsubscribe service Nnef_EventExposure_Unsubscribe service.
  • the first service request message includes subscription parameters and service operation types corresponding to the subscription service to be requested.
  • the subscription parameters may include event ID and event filter parameters corresponding to the subscription service.
  • the event ID Event ID may include: a first event ID used to characterize the number of subscribed user equipment UEs (for example, Number of registered UEs), and/or a second event ID used to characterize the number of subscription protocol data unit PDU sessions. (For example, established PDU Sessions); the event filter parameter can include external network slice information ENSI (External Network Slice Information) or application function service identifier AF Service Identifier.
  • ENSI External Network Slice Information
  • application function service identifier AF Service Identifier.
  • the subscription parameters may also include event reporting information (Event Reporting information).
  • the second entity sends the first service response message to the first entity.
  • the second entity may perform security verification on the first entity based on the access token; send a first service response message to the first entity based on the security verification result; the first service response message may include the processing result of the subscription service.
  • the NEF entity can check whether the AF entity is authorized based on the access token in the first service request message sent by the AF entity.
  • the subscription service authorized to make the request For example, NEF can verify the integrity of the access token by verifying the signature of the CAPIF entity. If the integrity verification of the access token is successful, NEF can verify the AF request based on the authorization claim parameters in the access token (such as service operation type and/or subscription parameters).
  • the access token verification is successful, and the first service response message indicating that the subscription processing is successful can be sent to the first entity; otherwise, if the verification fails, the subscription request may be rejected. For example, no message may be sent to the first entity, or a first subscription rejection message may be sent to the first entity, or the security verification result parameter may be sent to the first entity.
  • the first service response message may be used to indicate that the authorization claim parameters in the access token match.
  • the access token may include service operation types, service operation types and subscription parameters.
  • the second entity may perform different security verification processes. Specifically, for implementation methods, reference may be made to the descriptions in the above embodiments, which will not be described again here.
  • the first entity can obtain the processing result of the subscription service based on the received first service response message.
  • the second entity discovers the fourth entity.
  • the second entity may determine a fourth entity in the network that provides the subscription service.
  • the NEF entity can be mapped to the S-NSSAI based on the ENSI of the AF entity. (Single Network Slice Selection Assistance Information, single network slice selection assistance information), and then query the NRF (Network Repository Function, network storage function) entity to find the NSACF entity responsible for the requested S-NSSAI.
  • NRF Network Repository Function, network storage function
  • the second entity sends a second service request message to the fourth entity.
  • the second entity may forward the service operation type and/or subscription parameters contained in the first service request message to the fourth entity through the second service request message.
  • the subscription parameters include event filtering parameters
  • the event filtering parameters include ENSI
  • the ENSI may be mapped to S-NSSAI. That is, the event filtering parameter included in the second service request message may be S-NSSAI.
  • the application function service identifier may be mapped to S-NSSAI. That is, the event filtering parameter included in the second service request message may be S-NSSAI.
  • the fourth entity sends a second service response message to the second entity.
  • the service operation type of the second service request message may be Nnsacf_SliceEventExposure_Subscribe Request, or Nnsacf_SliceEventExposure_Unsubscribe Request; the service of the above-mentioned second service response message
  • the operation type can include Nnsacf_SliceEventExposure_Subscribe Response, or Nnsacf_SliceEventExposure_Unsubscribe Response.
  • the fourth entity monitors the subscription service.
  • the fourth entity may send a second event notification message to the second entity.
  • the second entity sends the first event notification message to the first entity according to the received second event notification message.
  • the service operation type corresponding to the subscription service in the first service request message sent by the AF entity to the NEF entity is NEF event open Subscription service Nnef_EventExposure_Subscribe service
  • the service operation type of the second service request message sent by the NEF entity to the NSACF entity can be Nnsacf_SliceEventExposure_Subscribe Request
  • the service operation type of the above-mentioned second service response message can include Nnsacf_SliceEventExposure_Subscribe Response
  • the operation type can be Nnef_EventExposure_Subscribe Response.
  • the NSACF entity can monitor the subscription based on the above second service request message. For an event corresponding to the service (such as a change in the number of UEs), when the event is triggered, a second event notification message (such as Nnsacf_SliceEvent Exposure_Notify message) can be sent to the NEF entity.
  • the message can include the event identifier Event ID and event filtering parameters.
  • NEF sends the first event notification message (such as Nnef_SliceEvent Exposure_Notify message) to the first entity based on the received second event notification message, so that the first entity can obtain the event notify.
  • first event notification message such as Nnef_SliceEvent Exposure_Notify message
  • the first event notification message may be event notification information for a single network slice.
  • the first event notification message may be Nnef_SliceEvent Exposure_Notify (single NSACF).
  • the first event notification message may be event notification information for multiple network slices.
  • the first event notification message may be Nnef_SliceEvent Exposure_Notify (multiple NSACFs).
  • the subscription or unsubscription NSACF notification process based on CAPIF authorization can be implemented.
  • Figure 9 is a block diagram of a subscription processing device 900 according to an exemplary embodiment.
  • the device can be applied to the first entity.
  • the device 900 can include:
  • the token determination module 901 is configured to obtain an access token; the access token is used to represent the security verification information used by the first entity to request processing of the subscription service;
  • the first sending module 902 is configured to send a first service request message to the second entity according to the subscription service to be requested and the access token; the first service request message includes the access token;
  • the first receiving module 903 is configured to receive the first service response message sent by the second entity in order to obtain the processing result of the subscription service; the first service response message is the second entity's request for the third service based on the access token. A message sent by an entity after security verification.
  • the token determination module 901 is configured to send a token request message to a third entity according to the subscription service to be authorized; in response to receiving a token response message sent by the third entity, obtain the token The access token in the token response message; the access token is determined by the third entity when it is determined that the first entity satisfies the first preset access authorization policy according to the token request message.
  • the token request message includes the service operation type corresponding to the subscription service to be authorized; the first preset access authorization policy includes the first entity's access permission to the service operation type; the access token It is a token determined by the third entity when it is determined that the first entity satisfies the first preset access authorization policy according to the service operation type.
  • the access token includes a service operation type corresponding to the subscription service to be authorized.
  • the token request message includes the service operation type and subscription parameters corresponding to the subscription service to be authorized;
  • the first preset access authorization policy includes the first entity's request for the service operation type and the subscription parameters. Access permission;
  • the access token is a token determined by the third entity when it is determined that the first entity satisfies the first preset access authorization policy based on the subscription parameters and the service operation type.
  • the access token includes the service operation type corresponding to the subscription service to be authorized and the subscription parameters.
  • the third entity includes: Common Application Programming Interface Open Framework CAPIF core functional entity.
  • the first service request message includes a service operation type corresponding to the subscription service.
  • the service operation type includes: NEF event open subscription service Nnef_EventExposure_Subscribe service, and/or event open unsubscribe service Nnef_EventExposure_Unsubscribe service.
  • the first service request message also includes subscription parameters corresponding to the subscription service, and the subscription parameters include one or more of the following:
  • Event Reporting information corresponding to the subscription service .
  • the event identifier includes: a first event identifier used to characterize the number of subscribed user equipments UE, and/or a second event identifier used to characterize the number of subscription protocol data unit PDU sessions; the event filtering parameters include External network slice information ENSI or application function service identifier AF Service Identifier.
  • the first entity includes: an application function AF entity or an application server SCS/AS;
  • the second entity includes: a network opening function NEF entity or a service capability opening function SCEF entity.
  • Figure 10 is a block diagram of a subscription processing device 900 according to an exemplary embodiment. As shown in Figure 10, the device may also include:
  • the event information acquisition module 904 is configured to receive a first event notification message sent by the second entity; the first event notification message is sent by the second entity to the first entity in response to the second event notification message sent by the fourth entity. The message sent; obtain the event notification information corresponding to the subscription service to be requested according to the first event notification message.
  • the fourth entity includes a network slice admission control function NSACF entity.
  • FIG 11 is a block diagram of a subscription processing device 1100 according to an exemplary embodiment.
  • the device can be applied to a second entity.
  • the device 1100 can include:
  • the second receiving module 1101 is configured to receive a first service request message sent by the first entity; the first service request message includes an access token, and the access token is used to characterize the security of the first entity's request to process the subscription service. verify message;
  • the security verification module 1102 is configured to perform security verification on the first entity according to the access token
  • the second sending module 1103 is configured to send a first service response message to the first entity according to the security verification result; the first service response message includes the processing result of the subscription service.
  • the access token is a token obtained by the first entity from the third entity according to the subscription service.
  • the access token includes a service operation type
  • the security verification module 1102 is configured to, when the service operation type of the access token is the same as the service operation type corresponding to the subscription service to be requested, Determine that the subscription parameters corresponding to the subscription service satisfy the second preset access authorization policy; the second preset access authorization policy includes the first entity's access rights to the subscription parameters; when the subscription parameters satisfy the second preset access authorization In the case of the policy, it is determined that the security verification is successful.
  • the access token includes a service operation type and a subscription parameter; the security verification module 1102 is configured to: when the service operation type of the access token is the same as the service operation type corresponding to the subscription service to be requested, And when the subscription parameters of the access token are the same as the subscription parameters corresponding to the subscription service to be requested, it is determined that the security verification is successful.
  • the third entity includes: Common Application Programming Interface Open Framework CAPIF core functional entity.
  • the first service request message includes a service operation type corresponding to the subscription service.
  • the service operation type includes: NEF event open subscription service Nnef_EventExposure_Subscribe service, and/or NEF event open subscription cancellation service Nnef_EventExposure_Unsubscribe service.
  • the first service request message also includes subscription parameters corresponding to the subscription service.
  • the subscription parameters may include one or more of the following:
  • Event Reporting information corresponding to the subscription service
  • the event identifier includes: a first event identifier used to represent the number of user equipments UE, and/or a second event identifier used to characterize the number of protocol data unit PDU sessions; the event filtering parameters include external network Slice information ENSI or application function service identifier AF Service Identifier.
  • the first entity includes: an application function AF entity or an application server SCS/AS;
  • the second entity includes: a network opening function NEF entity or a service capability opening function SCEF entity.
  • Figure 12 is a block diagram of a subscription processing device 1100 according to an exemplary embodiment. As shown in Figure 12, the device may include:
  • the event information notification module 1104 is configured to send a first event notification message to the first entity in response to receiving the second event notification message sent by the fourth entity; the first event notification message is used to indicate to the first entity Get the event notification information corresponding to the subscription service to be requested.
  • the fourth entity includes a network slice admission control function NSACF entity.
  • Figure 13 is a block diagram of a subscription processing device 1300 according to an exemplary embodiment.
  • the device can be applied to a third entity.
  • the device 1300 can include:
  • the third receiving module 1301 is configured to receive a token request message; the token request message is a message sent by the first entity according to the subscription service to be authorized;
  • the policy verification module 1302 is configured to determine whether the first entity satisfies the first preset access authorization policy according to the token request message;
  • the token acquisition module 1303 is configured to obtain an access token when it is determined that the first entity satisfies the first preset access authorization policy; the access token is used to represent the first entity's request to process the use of the subscription service security verification information;
  • the third sending module 1304 is configured to send a token response message to the first entity according to the access token; the token response message is used to instruct the first entity to obtain the access token.
  • the token request message includes the service operation type corresponding to the subscription service to be authorized, and the first preset access authorization policy includes the first entity's access permission to the service operation type;
  • the policy verification module 1302 is configured to determine that the first entity satisfies the first preset access authorization policy when the first entity has access rights to the service operation type.
  • the token acquisition module 1303 is configured to generate the access token according to the service operation type.
  • the token request message includes the service operation type and the subscription parameters corresponding to the subscription service to be authorized;
  • the first preset access authorization policy includes the service operation type and the subscription by the first entity. Parameter access rights;
  • the policy verification module 1302 is configured to determine that the first entity satisfies the first preset access authorization policy when the first entity has access rights to the service operation type and the subscription parameters.
  • the token acquisition module 1303 is configured to generate the access token according to the service operation type and the subscription parameters.
  • the first entity includes: an application function AF entity or an application server SCS/AS; the third entity includes: a common application programming interface open framework CAPIF core function entity.
  • An embodiment of the present disclosure also provides a communication system, which includes: the above-mentioned first entity, second entity and third entity.
  • the first entity may include the subscription processing device 900
  • the second entity may include the subscription processing device 1100
  • the third entity may include the subscription processing device 1300 .
  • the first entity may include: an application function AF entity or an application server SCS/AS entity; the second entity may include: a network opening function NEF entity or a service capability opening function SCEF entity; and the third entity may include: a universal Application programming interface open framework CAPIF core functional entity.
  • the communication system may also include the above-mentioned fourth entity.
  • the fourth entity may include any network function entity in the 4G network or the 5G network, such as the network slice admission control function (NSACF) entity, the access and mobility management function SMF entity or the session management function AMF entity in the 5G network, etc.
  • NSACF network slice admission control function
  • PCRF policy and charging rule function
  • PFDF packet flow description function
  • HSS home user server
  • FIG 14 is a block diagram of a subscription processing device according to an exemplary embodiment.
  • the subscription processing device 2000 may be a terminal device, such as a mobile phone, a computer, a digital broadcast terminal, a messaging device, a game console, a tablet device, a medical device, a fitness device, a personal digital assistant, etc.; the subscription processing device 2000 It can also be a server, such as a local server or a cloud server; the subscription processing device 2000 can also be any of the above-mentioned network devices or network entities, such as the first entity, the second entity or the third entity in the communication system shown in Figure 1 .
  • the apparatus 2000 may include one or more of the following components: a processing component 2002, a memory 2004, and a communications component 2006.
  • Processing component 2002 generally controls the overall operations of device 2000, such as operations associated with display, phone calls, data communications, camera operations, and recording operations.
  • the processing component 2002 may include one or more processors 2020 to execute instructions to complete all or part of the steps of the above subscription processing method.
  • processing component 2002 may include one or more modules that facilitate interaction between processing component 2002 and other components.
  • processing component 2002 may include a multimedia module to facilitate interaction between the multimedia component and processing component 2002.
  • Memory 2004 is configured to store various types of data to support operations at device 2000. Examples of such data include instructions for any application or method operating on device 2000, contact data, phonebook data, messages, pictures, videos, etc.
  • Memory 2004 may be implemented by any type of volatile or non-volatile storage device, or a combination thereof, such as static random access memory (SRAM), electrically erasable programmable read-only memory (EEPROM), erasable programmable read-only memory (EEPROM), Programmable read-only memory (EPROM), programmable read-only memory (PROM), read-only memory (ROM), magnetic memory, flash memory, magnetic or optical disk.
  • SRAM static random access memory
  • EEPROM electrically erasable programmable read-only memory
  • EEPROM erasable programmable read-only memory
  • EPROM Programmable read-only memory
  • PROM programmable read-only memory
  • ROM read-only memory
  • magnetic memory flash memory, magnetic or optical disk.
  • Communication component 2006 is configured to facilitate wired or wireless communication between apparatus 2000 and other devices.
  • Device 2000 may access a wireless network based on a communication standard, such as WiFi, 2G or 3G, or a combination thereof.
  • the communication component 2006 receives broadcast signals or broadcast related information from an external broadcast management system via a broadcast channel.
  • the communications component 2006 also includes a near field communications (NFC) module to facilitate short-range communications.
  • NFC near field communications
  • the NFC module can be implemented based on radio frequency identification (RFID) technology, infrared data association (IrDA) technology, ultra-wideband (UWB) technology, Bluetooth (BT) technology and other technologies.
  • RFID radio frequency identification
  • IrDA infrared data association
  • UWB ultra-wideband
  • Bluetooth Bluetooth
  • apparatus 2000 may be configured by one or more application specific integrated circuits (ASICs), digital signal processors (DSPs), digital signal processing devices (DSPDs), programmable logic devices (PLDs), field programmable Gate array (FPGA), controller, microcontroller, microprocessor or other electronic components are implemented for executing the above subscription processing method.
  • ASICs application specific integrated circuits
  • DSPs digital signal processors
  • DSPDs digital signal processing devices
  • PLDs programmable logic devices
  • FPGA field programmable Gate array
  • controller microcontroller, microprocessor or other electronic components are implemented for executing the above subscription processing method.
  • the above device 2000 can also be a part of an independent electronic device.
  • the electronic device can be an integrated circuit (Integrated Circuit, IC) or a chip, where the integrated circuit can be It is an IC or a collection of multiple ICs; the chip can include but is not limited to the following types: GPU (Graphics Processing Unit, graphics processor), CPU (Central Processing Unit, central processing unit), FPGA (Field Programmable Gate) Array, programmable logic array), DSP (Digital Signal Processor, digital signal processor), ASIC (Application Specific Integrated Circuit, application-specific integrated circuit), SOC (System on Chip, SoC, system on a chip or system-level chip), etc.
  • GPU Graphics Processing Unit, graphics processor
  • CPU Central Processing Unit, central processing unit
  • FPGA Field Programmable Gate
  • DSP Digital Signal Processor
  • ASIC Application Specific Integrated Circuit
  • SOC System on Chip, SoC, system on a chip or system-level chip
  • the above integrated circuit or chip can be used to execute executable instructions (or codes) to implement the above subscription processing method.
  • the executable instructions can be stored in the integrated circuit or chip, or can be obtained from other devices or devices.
  • the integrated circuit or chip includes a processor, a memory, and an interface for communicating with other devices.
  • the executable instructions can be stored in the processor, and when the executable instructions are executed by the processor, the above subscription processing method is implemented; or, the integrated circuit or chip can receive the executable instructions through the interface and transmit them to the processor for execution. , to implement the above subscription processing method.
  • a non-transitory computer-readable storage medium including instructions such as a memory 2004 including instructions, is also provided, and the instructions can be executed by the processor 2020 of the device 2000 to complete the above subscription processing method.
  • the non-transitory computer-readable storage medium may be ROM, random access memory (RAM), CD-ROM, magnetic tape, floppy disk, optical data storage device, etc.
  • a computer program product comprising a computer program executable by a programmable device, the computer program having a function for performing the above when executed by the programmable device.
  • the code portion of the subscription handling method is also provided, the computer program product comprising a computer program executable by a programmable device, the computer program having a function for performing the above when executed by the programmable device.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本公开涉及一种订阅处理方法、装置、介质和芯片。该方法包括：第一实体获取访问令牌；根据待请求的订阅服务和该访问令牌向第二实体发送第一服务请求消息；接收第二实体发送的第一服务响应消息，以便获取订阅服务的处理结果。其中，该访问令牌可以用于表征第一实体请求处理订阅服务使用的安全验证信息；该第一服务请求消息可以包括该访问令牌；该第一服务响应消息为第二实体根据该访问令牌对第一实体进行安全验证后发送的消息。这样，在第一实体进行订阅请求的情况下，根据访问令牌对该第一实体进行安全验证，可以提高通信系统的可靠性和安全性。

Description

订阅处理方法、装置、介质和芯片 技术领域
本公开涉及通信技术领域，具体地，涉及一种订阅处理方法、装置、介质和芯片。
背景技术
在无线通信系统中，3GPP(3rd Generation Partnership Project，第三代合作伙伴项目)定义了网络能力开放架构，该架构可以为第三方应用提供一系列的应用编程接口(ApplicationProgramming Interface，API)，可以用于第三方应用访问3GPP网络、订阅网络信息。
在4G(the 4th GenerationMobile Communication Technology，第四代移动通信系统)网络的架构中，应用服务器(ServicesCapability Server/Application Server，SCS/AS)可以通过SCEF(ServiceCapability Exposure Function，业务能力开放功能)实体提供的接口(例如T8)，获取3GPP网络能力。
在5G(the 5th GenerationMobile Communication Technology，第五代移动通信系统)网络的架构中，AF(ApplicationFunction，应用功能)实体可以通过NEF(Network Exposure Function，网络开放功能)实体提供的接口(例如Nnef或N33)，获取3GPP网络信息。在向AF实体或SCS/AS实体开放网络信息之前，如何对AF实体或SCS/AS实体进行安全验证是当前需要解决的问题。
发明内容
为克服相关技术中存在的上述问题，本公开提供一种订阅处理方法、装置、介质和芯片。
根据本公开实施例的第一方面，提供一种订阅处理方法，应用于第一实体，所述方法包括：
获取访问令牌；所述访问令牌用于表征所述第一实体请求处理订阅服务使用的安全验证信息；
根据待请求的订阅服务和所述访问令牌向第二实体发送第一服务请求消息；所述第一服务请求消息包括所述访问令牌；
接收所述第二实体发送的第一服务响应消息，以便获取所述订阅服务的处理结果；所述第一服务响应消息为所述第二实体根据所述访问令牌对所述第一实体进行安全验证后发送的消息。
根据本公开实施例的第二方面，提供一种订阅处理方法，应用于第二实体，所述方法包括：
接收第一实体发送的第一服务请求消息；所述第一服务请求消息包括访问令牌，所述访问令牌用于表征所述第一实体请求处理订阅服务使用的安全验证信息；
根据所述访问令牌对所述第一实体进行安全验证；
根据安全验证结果向所述第一实体发送第一服务响应消息；所述第一服务响应消息包括所述订阅服务的处理结果。
根据本公开实施例的第三方面，提供一种订阅处理方法，应用于第三实体，所述方法包括：
接收令牌请求消息；所述令牌请求消息为第一实体根据待授权的订阅服务发送的消息；
根据所述令牌请求消息确定所述第一实体是否满足第一预设访问授权策略；
在确定所述第一实体满足所述第一预设访问授权策略的情况下，获取访问令牌；所述访问令牌用于表征所述第一实体请求处理所述订阅服务使用的安全验证信息；
根据所述访问令牌，向所述第一实体发送令牌响应消息；所述令牌响应消息用于指示所述第一实体获取所述访问令牌。
根据本公开实施例的第四方面，提供一种订阅处理装置，应用于第一实体，所述装置包括：
令牌确定模块，被配置为获取访问令牌；所述访问令牌用于表征所述第一实体请求处理订阅服务使用的安全验证信息；
第一发送模块，被配置为根据待请求的订阅服务和所述访问令牌向第二实体发送第一服务请求消息；所述第一服务请求消息包括所述访问令牌；
第一接收模块，被配置为接收所述第二实体发送的第一服务响应消息，以便获取所述订阅服务的处理结果；所述第一服务响应消息为所述第二实体根据所述访问令牌对所述第一实体进行安全验证后发送的消息。
根据本公开实施例的第五方面，提供一种订阅处理装置，应用于第二实体，所述装置包括：
第二接收模块，被配置为接收第一实体发送的第一服务请求消息；所述第一服务请求消息包括访问令牌，所述访问令牌用于表征所述第一实体请求处理订阅服务使用的安全验证信息；
安全验证模块，被配置为根据所述访问令牌对所述第一实体进行安全验证；
第二发送模块，被配置为根据安全验证结果向所述第一实体发送第一服务响应消息；所述第一服务响应消息包括所述订阅服务的处理结果。
根据本公开实施例的第六方面，提供一种订阅处理装置，应用于第三实体，所述装置包括：
第三接收模块，被配置为接收令牌请求消息；所述令牌请求消息为第一实体根据待授权的订阅服务发送的消息；
策略验证模块，被配置为根据所述令牌请求消息确定所述第一实体是否满足第一预设访问授权策略；
令牌获取模块，被配置为在确定所述第一实体满足所述第一预设访问授权策略的情况下，获取访问令牌；所述访问令牌用于表征所述第一实体请求处理所述订阅服务使用的安全验证信息；
第三发送模块，被配置为根据所述访问令牌，向所述第一实体发送令牌响应消息；所述令牌响应消息用于指示所述第一实体获取所述访问令牌。
根据本公开实施例的第七方面，提供一种订阅处理装置，包括：
处理器；
用于存储处理器可执行指令的存储器；
其中，所述处理器被配置为执行本公开第一方面所提供的订阅处理方法的步骤。
根据本公开实施例的第八方面，提供一种订阅处理装置，包括：
处理器；
用于存储处理器可执行指令的存储器；
其中，所述处理器被配置为执行本公开第二方面所提供的订阅处理方法的步骤。
根据本公开实施例的第九方面，提供一种订阅处理装置，包括：
处理器；
用于存储处理器可执行指令的存储器；
其中，所述处理器被配置为执行本公开第三方面所提供的订阅处理方法的步骤。
根据本公开实施例的第十方面，提供一种计算机可读存储介质，其上存储有计算机程序指令，该计算机程序指令被处理器执行时实现本公开第一方面所提供的订阅处理方法的步骤。
根据本公开实施例的第十一方面，提供一种计算机可读存储介质，其上存储有计算机程序指令，该计算机程序指令被处理器执行时实现本公开第二方面所提供的订阅处理方法的步骤。
根据本公开实施例的第十二方面，提供一种计算机可读存储介质，其上存储有计算机程序指令，该计算机程序指令被处理器执行时实现本公开第三方面所提供的订阅处理方法的步骤。
根据本公开实施例的第十三方面，提供一种芯片，包括：处理器和接口；所述处理器用于读取指令以执行本公开第一方面所提供的订阅处理方法的步骤，
根据本公开实施例的第十四方面，提供一种芯片，包括：处理器和接口；所述处理器用于读取指令以执行本公开第二方面所提供的订阅处理方法的步骤。
根据本公开实施例的第十五方面，提供一种芯片，包括：处理器和接口；所述处理器用于读取指令以执行本公开第三方面所提供的订阅处理方法的步骤，
本公开的实施例提供的技术方案可以包括以下有益效果：获取访问令牌；根据待请求的订阅服务和该访问令牌向第二实体发送第一服务请求消息；接收第二实体发送的第一服务响应消息，以便获取订阅服务的处理结果。其中，该访问令牌可以用于表征第一实体请求处理订阅服务使用的安全验证信息；该第一服务请求消息可以包括该访问令牌；该第一服务响应消息为第二实体根据该访问令牌对第一实体进行安全验证后发送的消息。这样，在第一实体进行订阅请求的情况下，根据访问令牌对该第一实体进行安全验证，可以提高通信系统的可靠性和安全性。
应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。
附图说明
此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。
图1是根据一示例性实施例示出的一种本公开实施例适用的通信系统的示意图。
图2是根据一示例性实施例示出的一种5G通信系统的示意图。
图3是根据一示例性实施例示出的一种订阅处理方法的流程图。
图4是根据一示例性实施例示出的一种订阅处理方法的流程图。
图5是根据一示例性实施例示出的一种订阅处理方法的流程图。
图6是根据一示例性实施例示出的一种订阅处理方法的流程图。
图7是根据一示例性实施例示出的一种订阅处理方法的流程图。
图8是根据一示例性实施例示出的一种订阅处理方法的流程图。
图9是根据一示例性实施例示出的一种订阅处理装置的框图。
图10是根据一示例性实施例示出的一种订阅处理装置的框图。
图11是根据一示例性实施例示出的一种订阅处理装置的框图。
图12是根据一示例性实施例示出的一种订阅处理装置的框图。
图13是根据一示例性实施例示出的一种订阅处理装置的框图。
具体实施方式
这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本公开相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本公开的一些方面相一致的装置和方法的例子。
需要说明的是，本公开中所有获取信号、信息或数据的动作都是在遵照所在地国家相应的数据保护法规政策的前提下，并获得由相应装置所有者给予授权的情况下进行的。
在本公开中，使用的术语如“第一”、“第二”等是用于区别类似的对象，而不必理解为特定的顺序或先后次序。另外，在未作相反说明的情况下，在参考附图的描述中，不同附图中的同一标记表示相同的要素。
在本公开的描述中，除非另有说明，“多个”是指两个或多于两个，其它量词与之类似；“以下至少一项(个)”或其类似表达，是指的这些项中的任意组合，包括单项(个)或复数项(个)的任意组合。例如，a，b，或c中的至少一项(个)，可以表示：a，b，c，a-b，a-c，b-c，或a-b-c，其中a，b，c可以是单个，也可以是多个；“和/或”是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况，其中A，B可以是单数或者复数。
在本公开实施例中尽管在附图中以特定的顺序描述操作，但是不应将其理解为要求按照所示的特定顺序或是串行顺序来执行这些操作，或是要求执行全部所示的操作以得到期望的结果。在特定环境中，多任务和并行处理可能是有利的。
在3GPP定义的4G网络能力开放架构中，应用服务器SCS/AS实体可以通过SCEF实体提供的接口，获取4G网络的网络信息。同样的，5G网络能力开放架构中，AF实体可以通过订阅服务的方式通过NEF实体获取5G网络的网络信息。示例地，在5G网络中，NEF实体可以将5G网络的网络信息开放给AF实体，AF可以通过订阅服务的方式通过NEF获取5G网络的网络信息，该网络信息可以包括每个网络切片(Network Slice)的UE(User Equipment，用户设备)数量或PDU(Protocol Data Unit，协议数据单元)数量等信息。在向AF/SCEF实体开放网络信息之前，如何针对AF实体或SCS/AS实体进行安全验证，特别是对运营商域外的AF实体或SCS/AS实体进行安全验证，是当前需要解决的问题。
为了解决上述问题，本公开提供了一种订阅处理方法、装置、介质和芯片。
下面首先介绍本公开实施例的实施环境。
本公开的实施例可以应用于4G(the 4th Generation，第四代)网络系统，例如长期演进(Long Term Evolution，LTE)系统，或者，也可以应用于在5G(the 5th Generation，第五代)网络系统，如采用新型无线入技术(New Radio Access Technology，New RAT)的接入网；云无线接入网(Cloud Radio Access Network，CRAN)等通信系统。
图1是根据一示例性实施例示出的一种本公开实施例适用的通信系统的示意图，如图1所示，该通信系统可以包括：第一实体101、第二实体102、第三实体103、第四实体104，其中，该第一实体101可以是提供应用功能的实体，该第二实体102可以是提供网络开放功能的实体，该第三实体103可以是提供安全验证功能并向第一实体101提供访问令牌的实体，第四实体104可以是提供网络信息的实体。
示例地，第一实体可以包括：应用功能AF(Application Function)实体或应用服务器SCS/AS(ServicesCapability Server/Application Server)；第二实体可以包括：网络开放功能NEF(Network Exposure Function)实体或业务能力开放功能SCEF(ServiceCapability Exposure Function)实体；第三实体可以包括：通用应用程序编程接口开放框架CAPIF(Common API Framework)核心功能实体；第四实体可以包括4G网络或5G网络中的任 意网络功能实体，例如5G网络中的网络切片准入控制功能NSACF(Network Slice Admission Control Function)实体、接入与移动性管理功能SMF(Access and Mobility Management Function)实体或会话管理功能AMF(Session Management Function)实体等，再例如4G网络中的策略与计费规则功能PCRF(Policy and Charging Rules Function)实体、数据包流量描述功能PFDF(Packet Flow Description Function)实体或归属用户服务器HSS(Home SubscriberServer)实体等。
需要说明的是，本公开实施例并不限于图1所示的系统中，图1中的实体可以是硬件，也可以是从功能上划分的软件或者以上二者结合后的结构。图1中的实体可以是4G通信网络架构或5G通信网络架构中的实体。
图2是根据一示例性实施例示出的一种5G通信系统的示意图，如图2所示，该通信系统是图1所示通信系统在5G网络中的具体应用，该通信系统可以包括AF实体1011、NEF实体1021、CAPIF核心功能实体1031和NSACF实体1041。
图3是根据一示例性实施例示出的一种订阅处理方法，可以应用于上述通信系统中的第一实体。如图3所示，该方法可以包括：
S301、第一实体获取访问令牌。
其中，该访问令牌可以用于表征第一实体请求处理订阅服务使用的安全验证信息。
该第一实体可以是提供应用功能的实体，例如，5G网络中的AF实体，或者，4G网络中的SCS/AS实体。
在一些实施例中，该第一实体可以是3GPP运营商域外的非可信的功能实体。
在一些实施例中，若第一实体已经获取了该订阅服务的访问令牌，例如该第一实体本地存储了该访问令牌，且该访问令牌当前处于令牌有效期内，则可以直接从本地获取该访问令牌。
在另一些实施例中，第一实体也可以通过与第三实体进行消息交互，以请求获取该访问令牌。
S302、第一实体根据待请求的订阅服务和该访问令牌向第二实体发送第一服务请求消息。
其中，该第一服务请求消息可以包括上述访问令牌。
该第二实体可以是提供网络开放功能的实体，例如，5G网络中的NEF实体，或者，4G网络中的SCEF实体。
在一些实施例中，在本步骤之前，第一实体可以与第二实体建立第二安全会话。示例地，第一实体可以根据第二实体的认证策略进行认证，并建立第二安全会话。该第二安全会话可以是TLS(Transport Layer Security，传输层安全性)会话，通过TLS会话可以对两个实体之间的通信实现保密性和数据完整性。
示例地，第一实体可以根据从第三实体获取第二实体对应的身份验证和授权方法，建立该第二安全会话。以第一实体为AF实体，第二实体为NEF实体，第三实体为CAPIF实体为例，AF实体可以获取CAPIF实体基于CAPIF-2e接口指示的身份验证和授权方法(the authentication and authorization method)，并根据该身份验证和授权方法，与NEF实体的建立TLS会话。其中，该身份验证和授权方法可以包括NEF证书身份验证或基于证书的互相身份验证(NEF side certificate authentication or certificate-based mutual authentication)。
S303、第一实体接收第二实体发送的第一服务响应消息，以便获取该订阅服务的处理结果。
其中，该第一服务响应消息可以为第二实体根据访问令牌对第一实体进行安全验证后发送的消息。
在一些实施例中，若第一实体接收到该第一服务响应消息，可以确定该订阅服务的处理结果为成功，也就是已经成功完成订阅服务，可以正常接收该订阅服务对应的服务事件通知。
在另一些实施例中，第一实体接收到的该第一服务响应消息中可以安全验证结果参数，若该安全验证结果参数为验证成功，则可以确定该订阅服务的处理结果为成功。
在另一些实施例中，若未接收到该第一服务响应消息，或者，接收到的该第一服务响应消息中的安全验证结果参数为验证失败，或者，接收到第二实体发送的表征拒绝订阅的第一订阅拒绝消息，则可以确定该订阅请求被拒绝。
在另一些实施例中，该第一服务响应消息可以包括订阅服务的处理结果。示例地，在安全验证结果为成功的情况下，该处理结果可以是接受该服务请求，在安全验证结果为失败的情况下，该处理结果可以是拒绝该服务请求。
采用上述方法，获取访问令牌，并根据访问令牌和待请求的订阅服务向第二实体发送第一服务请求消息；接收第二实体发送的第一服务响应消息，以便获取订阅服务的处理结果。其中，该访问令牌可以用于表征第一实体请求处理订阅服务使用的安全验证信息；该第一服务请求消息可以包括该访问令牌；该第一服务响应消息为第二实体根据该访问令牌对第一实体进行安全验证后发送的消息。这样，在第一实体进行订阅请求的情况下，根据访问令牌对该第一实体进行安全验证，可以提高通信系统的可靠性和安全性。
特别是在该第一实体为3GPP运营商域外的非可信的功能实体的情况下，通过上述方法，可以实现对域外第一实体的安全验证。
图4是根据一示例性实施例示出的一种订阅处理方法，可以应用于第一实体。如图4所示，该方法可以包括：
S401、第一实体根据待授权的订阅服务向第三实体发送令牌请求消息。
需要说明的是，该待授权的订阅服务和待请求的订阅服务可以相同，也可以不同。
其中，该第三实体可以是提供安全验证功能并向第一实体提供访问令牌的实体，例如，通用应用程序编程接口开放框架CAPIF核心功能实体(也可以被称作CAPIF实体)，该CAPIF核心功能实体既可以用于4G网络，也可以用于5G网络。
第一实体可以基于安全规范向该第三实体发送令牌请求消息。示例地，该安全规范可以包括OAuth(Open Authorization，开放式验证)规范，该OAuth规范可以包括IETF(The Internet Engineering Task Force，国际互联网工程任务组)制定的RFC 6749中所规定的OAuth2.0规范。该令牌请求消息可以是基于OAuth2.0的Access Token Request message。
在一些实施例中，在本步骤之前，第一实体可以与第三实体建立第一安全会话。示例地，第一实体可以根据第三实体的认证策略进行认证，并建立第一安全会话。以第一实体为AF实体，第三实体为CAPIF实体为例，AF实体可以根据3GPP协议规范，执行CAPIF-1e认证，并建立第一安全会话。该第一安全会话可以是TLS(Transport Layer Security，传输层安全性)会话，通过TLS会话可以对两个实体之间的通信实现保密性和数据完整性。
S402、第一实体响应于接收到第三实体发送的令牌响应消息，获取令牌响应消息中的访问令牌。
其中，访问令牌为第三实体在根据令牌请求消息确定第一实体满足第一预设访问授权策略的情况下确定的令牌。
该第一预设访问授权策略可以为第三实体本地预先设置的访问授权策略，用于表征第一实体的访问权限。
示例地，该第三实体可以根据OAuth2.0规范对上述令牌请求消息进行验证，以确定上述令牌请求消息是否满足第一预设访问授权策略。该OAuth可以包括IETF(The Internet Engineering Task Force，国际互联网工程任务组)制定的RFC 6749中所规定的OAuth2.0 规范。
在一些实施例中，上述令牌请求消息可以包括待授权的订阅服务对应的服务操作类型；上述第一预设访问授权策略可以包括第一实体对该服务操作类型的访问权限；上述访问令牌为第三实体在根据该服务操作类型确定第一实体满足第一预设访问授权策略的情况下确定的令牌，例如，第三实体确定第一实体具有对服务操作类型的访问权限，则可以生成该访问令牌。该访问令牌可以包括待授权的订阅服务对应的服务操作类型。
示例地，上述服务操作类型可以包括NEF事件开放订阅服务Nnef_EventExposure_Subscribe service，和/或，事件开放取消订阅服务Nnef_EventExposure_Unsubscribe service。
在另一些实施例中，上述令牌请求消息可以包括待授权的订阅服务对应的服务操作类型和订阅参数；该第一预设访问授权策略可以包括第一实体对该服务操作类型和该订阅参数的访问权限；上述访问令牌为第三实体在根据订阅参数和服务操作类型确定第一实体满足第一预设访问授权策略的情况下确定的令牌，例如，第三实体确定第一实体具有对服务操作类型和订阅参数的访问权限，则可以生成该访问令牌。该访问令牌可以包括待授权的订阅服务对应的服务操作类型和订阅参数。
该订阅参数可以包括以下一项或多项：
订阅服务对应的事件标识Event ID；
订阅服务对应的事件过滤参数Event Filter parameter；
订阅服务对应的事件报告信息Event Reporting information。
示例地，该订阅参数包括可以包括上述参数中的任意一个、任意两个或全部三个。例如，上述订阅参数可以包括订阅服务对应的事件标识Event ID和事件过滤参数Event Filter parameter。其中，该事件标识Event ID可以包括：用于表示用户设备UE数量的第一事件标识(例如Number of registered UEs)，和/或，用于表征协议数据单元PDU会话数量的第二事件标识(例如established PDU Sessions)；该事件过滤参数Event Filter parameter可以包括外部网络切片信息ENSI(External Network Slice Information)或应用功能服务标识AF Service Identifier。
需要说明的是，若第一实体本地已经存在有效的访问令牌(例如，该访问令牌还在有效时间内)，则可以无需执行上述S401和S402的步骤，可以直接从下面的S403步骤开始执行。
S403、第一实体向第二实体发送第一服务请求消息。
其中，该第一服务请求消息可以包括上述访问令牌。该第二实体可以是提供网络开放功能的实体，例如，5G网络中的NEF实体，或者，4G网络中的SCEF实体。
在另一些实施例中，该第一服务请求消息可以包括上述订阅服务对应的服务操作类型，该服务操作类型包括NEF事件开放订阅服务Nnef_EventExposure_Subscribe service，和/或，事件开放取消订阅服务Nnef_EventExposure_Unsubscribe service。
在另一些实施例中，该第一服务请求消息包括该订阅服务对应的订阅参数和服务操作类型。该订阅参数可以包括以下一项或多项：
订阅服务对应的事件标识Event ID；
订阅服务对应的事件过滤参数Event Filter parameter；
订阅服务对应的事件报告信息Event Reporting information。
示例地，该订阅参数包括可以包括上述参数中的任意一个、任意两个或全部三个。例如，该订阅参数可以包括该订阅服务对应的事件标识Event ID和事件过滤参数Event Filter parameter。其中，该事件标识Event ID可以包括：用于表征订阅用户设备UE数量的第一事件标识(例如Number of registered UEs)，和/或，用于表征订阅协议数据单元PDU会 话数量的第二事件标识(例如established PDU Sessions)；该事件过滤参数Event Filter parameter可以包括外部网络切片信息ENSI或应用功能服务标识AF Service Identifier。
在另一些实施例中，该订阅参数还可以包括事件报告信息(Event Reporting information)。
S404、第一实体接收第二实体发送的第一服务响应消息，以便获取该订阅服务的处理结果。
其中，该第一服务响应消息可以为第二实体根据访问令牌对第一实体进行安全验证后发送的消息。
这样，可以根据第一服务请求消息中的访问令牌和服务操作类型实现对第一实体的安全验证；或者，可以根据第一服务请求消息中的访问令牌、服务操作类型和订阅参数实现对第一实体的安全验证。
在本公开的另外一些实施例中，该方法还可以包括：
第一实体接收第二实体发送的第一事件通知消息；该第一事件通知消息为第二实体响应于第四实体发送的第二事件通知消息向第一实体发送的消息；根据第一事件通知消息获取订阅服务对应的事件通知信息。
其中，该第四实体可以是提供网络信息的实体。示例地，该第四实体可以包括4G网络或5G网络中的任意网络功能实体，例如5G网络中的网络切片准入控制功能NSACF实体、接入与移动性管理功能SMF实体或会话管理功能AMF实体等，再例如4G网络中的策略与计费规则功能PCRF实体、数据包流量描述功能PFDF实体或归属用户服务器HSS实体等。
该第一事件通知消息可以是与上述订阅服务对应的事件通知消息。示例地，该第一事件通知消息中可以包括该订阅服务对应的事件标识Event ID和事件过滤参数Event Filter parameter。该第一事件通知消息还可以事件报告信息Event Reporting information。
在一些实施例中，以第一实体为AF实体、第二实体为NEF实体为例，在上述订阅服务对应的服务操作类型包括NEF事件开放订阅服务Nnef_EventExposure_Subscribe service的情况下，该第一事件通知消息可以包括Nnef_EventExposure_Notify。
采用上述方法，可以实现基于CAPIF授权的订阅或取消订阅NSACF通知流程。
图5是根据一示例性实施例示出的一种订阅处理方法，可以应用于上述通信系统中的第二实体。如图5所示，该方法可以包括：
S501、第二实体接收第一实体发送的第一服务请求消息。
第一服务请求消息包括访问令牌，访问令牌用于表征第一实体请求处理订阅服务使用的安全验证信息。
在一些实施例中，访问令牌为第一实体根据订阅服务从第三实体获取的令牌。第三实体包括：通用应用程序编程接口开放框架CAPIF核心功能实体。
在一些实施例中，该第一服务请求消息还可以包括待请求的订阅服务的信息，例如该待请求的订阅服务对应的服务操作类型和/或订阅参数。
在一些实施例中，在本步骤之前，第二实体可以与第一实体建立第二安全会话。示例地，第一实体可以根据第二实体的认证策略进行认证，并建立第二安全会话。该第二安全会话可以是TLS(Transport Layer Security，传输层安全性)会话，通过TLS会话可以对两个实体之间的通信实现保密性和数据完整性。
示例地，第一实体可以根据从第三实体获取第二实体对应的身份验证和授权方法，建立该第二安全会话。以第一实体为AF实体，第二实体为NEF实体，第三实体为CAPIF实体为例，AF实体可以获取CAPIF实体基于CAPIF-2e接口指示的身份验证和授权方法(the authentication and authorization method)，并根据该身份验证和授权方法，与NEF实 体的建立TLS会话。其中，该身份验证和授权方法可以包括NEF证书身份验证或基于证书的互相身份验证(NEF side certificate authentication or certificate-based mutual authentication)。
S502、第二实体根据访问令牌对第一实体进行安全验证。
示例地，第二实体可以对访问令牌进行完整性校验、签名验证和加密验证中的一种或多种安全验证。以确定访问令牌是可信的。例如，可以通过访问令牌的签名信息验证该访问令牌的完整性。在确定访问令牌的完整性验证成功的情况下，还可以根据访问令牌中的内容确定第一实体是否具有权限。
S503、第二实体根据安全验证结果向第一实体发送第一服务响应消息。
该第一服务响应消息可以包括订阅服务的处理结果。
示例地，在安全验证结果为成功的情况下，该处理结果可以是接受该服务请求，在安全验证结果为失败的情况下，该处理结果可以是拒绝该服务请求。
在一些实施例中，以第一实体为AF实体，第二实体为NEF实体，第三实体为CAPIF实体为例，NEF实体可以根据AF实体发送的第一服务请求消息中的访问令牌检查确定该AF实体是否被授权进行请求的订阅服务。示例地，NEF可以通过验证CAPIF实体的签名来验证该访问令牌的完整性。如果访问令牌的完整性验证成功，NEF可以根据访问令牌中的授权声明参数(例如服务操作类型和/或订阅参数)验证AF的请求，例如，可以检查访问令牌中的授权声明参数与第一服务请求消息中的请求声明参数(例如服务操作类型和/或订阅参数)是否匹配，若匹配，则访问令牌验证成功，则可以向第一实体发送表征订阅处理成功的第一服务响应消息；否则，若验证失败，则可以拒绝该订阅请求，例如，可以不向第一实体发送任何消息，或者，可以向第一实体发送第一订阅拒绝消息，或者，可以向第一实体发送安全验证结果参数为验证失败的第一服务响应消息。
这样，在第一实体进行订阅请求的情况下，根据访问令牌对该第一实体进行安全验证，可以提高通信系统的可靠性和安全性。
在一些实施例中，上述访问令牌中包括服务操作类型，上述第一服务请求消息还包括待请求的订阅服务对应的服务操作类型；这样，上述S502步骤的安全验证可以包括以下方式：
首先，根据第一服务请求消息，分别获取访问令牌中的服务操作类型、以及待请求的订阅服务对应的服务操作类型。
示例地，该服务操作类型可以包括NEF事件开放订阅服务Nnef_EventExposure_Subscribe service，和/或，NEF事件开放取消订阅服务Nnef_EventExposure_Unsubscribe service。
其次，确定访问令牌的服务操作类型与待请求的订阅服务对应的服务操作类型是否相同。
再次，在访问令牌的服务操作类型与待请求的订阅服务对应的服务操作类型相同的情况下，确定待请求的订阅服务对应的订阅参数是否满足第二预设访问授权策略。
最后，在该订阅参数满足第二预设访问授权策略的情况下，确定安全验证成功。
其中，该第二预设访问授权策略包括第一实体对订阅参数的访问权限。
在一些实施例中，该订阅参数可以包括以下一项或多项：
订阅服务对应的事件标识Event ID；
订阅服务对应的事件过滤参数Event Filter parameter；
订阅服务对应的事件报告信息Event Reporting information。
示例地，该订阅参数可以包括该订阅服务对应的事件标识Event ID和事件过滤参数Event Filter parameter。其中，该事件标识Event ID可以包括：用于表征订阅用户设备UE 数量的第一事件标识(例如Number of registered UEs)，和/或，用于表征订阅协议数据单元PDU会话数量的第二事件标识(例如established PDU Sessions)；该事件过滤参数Event Filter parameter可以包括外部网络切片信息ENSI或应用功能服务标识AF Service Identifier。
在另一些实施例中，上述访问令牌包括服务操作类型和订阅参数；上述第一服务请求消息包括待请求的订阅服务对应的服务操作类型和订阅参数
这样，上述S502步骤的安全验证可以包括以下方式：
首先，根据第一服务请求消息，分别获取访问令牌中的服务操作类型和订阅参数、以及待请求的订阅服务对应的服务操作类型和订阅参数。
其次，确定访问令牌的服务操作类型与待请求的订阅服务对应的服务操作类型是否相同，以及，访问令牌的订阅参数与订阅服务对应的订阅参数是否相同。
最后，在访问令牌的服务操作类型与待请求的订阅服务对应的服务操作类型相同，且访问令牌的订阅参数与待请求的订阅服务对应的订阅参数相同的情况下，确定安全验证成功。
示例地，该服务操作类型包括NEF事件开放订阅服务Nnef_EventExposure_Subscribe service，和/或，事件开放取消订阅服务Nnef_EventExposure_Unsubscribe service。该订阅参数可以包括该订阅服务对应的事件标识Event ID和事件过滤参数Event Filter parameter。其中，该事件标识Event ID可以包括：用于表征订阅用户设备UE数量的第一事件标识(例如Number of registered UEs)，和/或，用于表征订阅协议数据单元PDU会话数量的第二事件标识(例如established PDU Sessions)；该事件过滤参数Event Filter parameter可以包括外部网络切片信息ENSI或应用功能服务标识AF Service Identifier。
在一些实施例中，该订阅参数可以包括以下一项或多项：
订阅服务对应的事件标识Event ID；
订阅服务对应的事件过滤参数Event Filter parameter；
订阅服务对应的事件报告信息Event Reporting information。
在本公开的另外一些实施例中，该方法还可以包括：
第二实体响应于接收到第四实体发送的第二事件通知消息，向第一实体发送的第一事件通知消息。
其中，该第一事件通知消息用于指示第一实体获取上述待请求的订阅服务对应的事件通知信息。
该第四实体可以是提供网络信息的实体。示例地，该第四实体可以包括4G网络或5G网络中的任意网络功能实体，例如5G网络中的网络切片准入控制功能NSACF实体、接入与移动性管理功能SMF实体或会话管理功能AMF实体等，再例如4G网络中的策略与计费规则功能PCRF实体、数据包流量描述功能PFDF实体或归属用户服务器HSS实体等。
该第二事件通知消息可以是与上述待请求的订阅服务对应的事件通知消息。示例地，该第二事件通知消息中可以包括该订阅服务对应的事件标识Event ID和事件过滤参数Event Filter parameter，该第一事件通知消息还可以包括事件报告信息Event Reporting information。
同样地，该第一事件通知消息也可以是与上述待请求的订阅服务对应的事件通知消息，该第一事件通知消息种的参数可以是根据该第二事件通知消息获取的，例如，将第二事件通知消息中的部分参数作为第一事件通知消息中的参数。示例地，该第一事件通知消息中可以包括该订阅服务对应的事件标识Event ID和事件过滤参数Event Filter parameter，该第一事件通知消息可以事件报告信息Event Reporting information。
在一些实施例中，第二事件通知消息中的事件过滤参数包括单个网络切片选择辅助信息S-NSSAI(Single Network Slice Selection Assistance Information)，该第二实体可以将 S-NSSAI映射为ENSI或应用功能服务标识AF Service Identifier，这样，第一事件通知消息中的事件过滤参数可以包括外部网络切片信息ENSI或应用功能服务标识AF Service Identifier。
在一些实施例中，以第一实体为AF实体、第二实体为NEF实体、第四实体为NSACF实体为例，在上述待请求的订阅服务对应的服务操作类型包括NEF事件开放订阅服务Nnef_EventExposure_Subscribe service的情况下，该第二事件通知消息可以包括Nnsacf_EventExposure_Notify，该第一事件通知消息可以包括Nnef_EventExposure_Notify。
这样，可以通过第一事件通知消息，向第一实体发送订阅服务对应的事件通知信息。
图6是根据一示例性实施例示出的一种订阅处理方法，可以应用于上述通信系统中的第三实体。如图6所示，该方法可以包括：
S601、第三实体接收第一实体发送的令牌请求消息。
其中，该令牌请求消息为第一实体根据待授权的订阅服务发送的消息。
需要说明的是，该待授权的订阅服务和待请求的订阅服务可以相同，也可以不同。
该第三实体可以是提供安全验证功能并向第一实体提供访问令牌的实体，例如，通用应用程序编程接口开放框架CAPIF核心功能实体(也可以被称作CAPIF实体)，该CAPIF核心功能实体既可以用于4G网络，也可以用于5G网络。该第一实体可以是提供应用功能的实体，例如，5G网络中的AF实体，或者，4G网络中的SCS/AS实体。
在一些实施例中，该第一实体可以是3GPP运营商域外的非可信的功能实体。
第一实体可以基于安全规范向该第三实体发送令牌请求消息。示例地，该安全规范可以包括OAuth规范，该OAuth规范可以包括IETF(The Internet Engineering Task Force，国际互联网工程任务组)制定的RFC 6749中所规定的OAuth2.0规范。该令牌请求消息可以是基于OAuth2.0的Access Token Request message。
在一些实施例中，在本步骤之前，第一实体可以与第三实体建立第一安全会话。示例地，第一实体可以根据第三实体的认证策略进行认证，并建立第一安全会话。以第一实体为AF实体，第三实体为CAPIF实体为例，AF实体可以根据3GPP协议规范，执行CAPIF-1e认证，并建立第一安全会话。该第一安全会话可以是TLS(Transport Layer Security，传输层安全性)会话，通过TLS会话可以对两个实体之间的通信实现保密性和数据完整性。
S602、第三实体根据令牌请求消息确定第一实体是否满足第一预设访问授权策略。
S603、第三实体在确定第一实体满足第一预设访问授权策略的情况下，获取访问令牌。
S604、第三实体根据访问令牌，向第一实体发送令牌响应消息；令牌响应消息用于指示第一实体获取访问令牌。
这样，在第一实体为了订阅服务而请求令牌的情况下，可以在确定第一实体满足第一预设访问授权策略的情况下，向第一实体发送访问令牌，从而提高通信系统的可靠性和安全性。
其中，上述第一预设访问授权策略可以为第三实体本地预先设置的访问授权策略，用于表征第一实体的访问权限。上述访问令牌可以用于表征第一实体请求处理订阅服务使用的安全验证信息。
在一些实施例中，上述令牌请求消息可以包括该待授权的订阅服务对应的服务操作类型；上述第一预设访问授权策略可以包括第一实体对该服务操作类型的访问权限。在上述S602步骤，第三实体可以确定第一实体对该服务操作类型是否具有访问权限，在第一实体对服务操作类型具有访问权限的情况下，可以确定第一实体满足第一预设访问授权策略。
第三实体可以根据该待授权的订阅服务对应的服务操作类型生成访问令牌。例如，可以将该待授权的订阅服务对应的服务操作类型作为访问令牌的一部分，或者作为访问令牌中的一个参数。
示例地，上述服务操作类型可以包括NEF事件开放订阅服务Nnef_EventExposure_Subscribe service，和/或，事件开放取消订阅服务Nnef_EventExposure_Unsubscribe service。
在另一些实施例中，上述令牌请求消息可以包括该订阅服务对应的服务操作类型和订阅参数；该第一预设访问授权策略可以包括第一实体对该服务操作类型和该订阅参数的访问权限。在上述S602步骤，第三实体可以确定第一实体对服务操作类型和订阅参数是否具有访问权限，在第一实体对服务操作类型和订阅参数具有访问权限的情况下，可以确定第一实体满足第一预设访问授权策略。
第三实体可以根据该待授权的订阅服务对应的服务操作类型和订阅参数生成访问令牌。例如，可以将该待授权的订阅服务对应的服务操作类型和订阅参数作为访问令牌的一部分，或者作为访问令牌中的一个参数。
示例地，上述订阅参数可以包括订阅服务对应的事件标识Event ID和事件过滤参数Event Filter parameter。其中，该事件标识Event ID可以包括：用于表示用户设备UE数量的第一事件标识(例如Number of registered UEs)，和/或，用于表征协议数据单元PDU会话数量的第二事件标识(例如established PDU Sessions)；该事件过滤参数Event Filter parameter可以包括外部网络切片信息ENSI(External Network Slice Information)或应用功能服务标识AF Service Identifier。
图7是根据一示例性实施例示出的一种订阅处理方法，该方法可以包括：
S701、第一实体获取访问令牌。
S702、第一实体根据待请求的订阅服务和访问令牌向第二实体发送第一服务请求消息。
其中，该第一服务请求消息可以包括上述访问令牌。
S703、第二实体接收该第一服务请求消息，并根据该第一服务请求消息中的访问令牌对第一实体进行安全验证。
S704、第二实体根据安全验证结果向第一实体发送第一服务响应消息。
S705、第一实体接收第二实体发送的第一服务响应消息。
第一实体可以根据第一服务响应消息获取待请求的订阅服务的处理结果。
其中，其第一实体和第二实体可以是图1所示通信系统中的实体，例如第一实体可以包括：应用功能AF实体或应用服务器SCS/AS实体；第二实体可以包括：网络开放功能NEF实体或业务能力开放功能SCEF实体。
这样，在第一实体进行订阅请求的情况下，根据访问令牌对该第一实体进行安全验证，可以提高通信系统的可靠性和安全性。
图8是根据一示例性实施例示出的一种订阅处理方法，该方法可以包括：
S801、第一实体根据待授权的订阅服务向第三实体发送令牌请求消息。
在一些实施例中，第一实体从第三实体获取访问令牌可以基于OAuth(Open Authorization，开放式验证)规范实现，该OAuth可以包括IETF(The Internet Engineering Task Force，国际互联网工程任务组)制定的RFC 6749中所规定的OAuth2.0规范。示例地，该令牌请求消息可以是基于OAuth2.0的Access Token Request message。
在一些实施例中，在本步骤之前，第一实体可以与第三实体建立第一安全会话。示例地，第一实体可以根据第三实体的认证策略进行认证，并建立第一安全会话。以第一实体为AF实体，第三实体为CAPIF实体为例，AF实体可以根据3GPP协议规范，执行CAPIF-1e认证，并建立第一安全会话。该第一安全会话可以是TLS(Transport Layer Security，传输层安全性)会话，通过TLS会话可以对两个实体之间的通信实现保密性和数据完整性。
S802、第三实体根据该令牌请求消息确定第一实体是否满足第一预设访问授权策略，在确定该第一实体满足第一预设访问授权策略的情况下，获取访问令牌。
示例地，该第三实体可以根据OAuth2.0规范对上述令牌请求消息进行验证，以确定上述令牌请求消息是否满足第一预设访问授权策略。该OAuth可以包括IETF(The Internet Engineering Task Force，国际互联网工程任务组)制定的RFC 6749中所规定的OAuth2.0规范。
在一些实施例中，上述令牌请求消息可以包括该待授权的订阅服务对应的服务操作类型；上述第一预设访问授权策略可以包括第一实体对该服务操作类型的访问权限；上述访问令牌为第三实体在根据该服务操作类型确定第一实体满足第一预设访问授权策略的情况下确定的令牌，例如，第三实体确定第一实体具有对服务操作类型的访问权限，则可以生成该访问令牌。该访问令牌可以包括待授权的订阅服务对应的服务操作类型。
示例地，上述服务操作类型可以包括NEF事件开放订阅服务Nnef_EventExposure_Subscribe service，和/或，事件开放取消订阅服务Nnef_EventExposure_Unsubscribe service。
在另一些实施例中，上述令牌请求消息可以包括该待授权的订阅服务对应的服务操作类型和订阅参数；该第一预设访问授权策略可以包括第一实体对该服务操作类型和该订阅参数的访问权限；上述访问令牌为第三实体在根据订阅参数和服务操作类型确定第一实体满足第一预设访问授权策略的情况下确定的令牌，例如，第三实体确定第一实体具有对服务操作类型和订阅参数的访问权限，则可以生成该访问令牌。该访问令牌可以包括待授权的订阅服务对应的服务操作类型和订阅参数。
示例地，上述订阅参数可以包括订阅服务对应的事件标识Event ID和事件过滤参数Event Filter parameter。其中，该事件标识Event ID可以包括：用于表示用户设备UE数量的第一事件标识(例如Number of registered UEs)，和/或，用于表征协议数据单元PDU会话数量的第二事件标识(例如established PDU Sessions)；该事件过滤参数Event Filter parameter可以包括外部网络切片信息ENSI(External Network Slice Information)或应用功能服务标识AF Service Identifier。
S803、第三实体向第一实体发送令牌响应消息。
该令牌响应消息可以包括上述访问令牌。这样，第一实体可以获取处理该订阅服务使用的安全验证信息(也就是该访问令牌)。
需要说明的是，若第一实体本地已经存在有效的访问令牌(例如，该访问令牌还在有效时间内)，则该方法可以不包括上述S801至S803的步骤，直接从下面的S804步骤或S805步骤开始执行。
S804、第一实体与第二实体建立第二安全会话。
其中，该第二安全会话可以包括TLS(Transport Layer Security，传输层安全性)会话。第一实体可以根据从第三实体获取第二实体对应的身份验证和授权方法，建立该第二安全会话。
同样以第一实体为AF实体，第二实体为NEF实体，第三实体为CAPIF实体为例，AF实体可以获取CAPIF实体基于CAPIF-2e接口指示的身份验证和授权方法(the authentication and authorization method)，并根据该身份验证和授权方法，与NEF实体的建立TLS会话。其中，该身份验证和授权方法可以包括NEF证书身份验证或基于证书的互相身份验证(NEF side certificate authentication or certificate-based mutual authentication)。
S805、第一实体向第二实体发送第一服务请求消息。
在一些实施例中，该第一服务请求消息可以包括上述访问令牌和待请求的订阅服务。
在另一些实施例中，该第一服务请求消息可以包括待请求的订阅服务对应的服务操作类型，该服务操作类型包括NEF事件开放订阅服务Nnef_EventExposure_Subscribe service，和/或，事件开放取消订阅服务Nnef_EventExposure_Unsubscribe service
在另一些实施例中，该第一服务请求消息包括待请求的订阅服务对应的订阅参数和服务操作类型，该订阅参数可以包括该订阅服务对应的事件标识Event ID和事件过滤参数Event Filter parameter。其中，该事件标识Event ID可以包括：用于表征订阅用户设备UE数量的第一事件标识(例如Number of registered UEs)，和/或，用于表征订阅协议数据单元PDU会话数量的第二事件标识(例如established PDU Sessions)；该事件过滤参数Event Filter parameter可以包括外部网络切片信息ENSI(External Network Slice Information)或应用功能服务标识AF Service Identifier。
在另一些实施例中，该订阅参数还可以包括事件报告信息(Event Reporting information)。
S806、第二实体向第一实体发送第一服务响应消息。
在本步骤中，第二实体可以根据访问令牌对第一实体进行安全验证；根据安全验证结果向第一实体发送第一服务响应消息；该第一服务响应消息可以包括订阅服务的处理结果。
同样以第一实体为AF实体，第二实体为NEF实体，第三实体为CAPIF实体为例，NEF实体可以根据AF实体发送的第一服务请求消息中的访问令牌检查确定该AF实体是否被授权进行请求的订阅服务。示例地，NEF可以通过验证CAPIF实体的签名来验证该访问令牌的完整性。如果访问令牌的完整性验证成功，NEF可以根据访问令牌中的授权声明参数(例如服务操作类型和/或订阅参数)验证AF的请求，需要检查访问令牌中的授权声明参数与第一服务请求消息中的请求声明参数(例如服务操作类型和/或订阅参数)匹配，则访问令牌验证成功，则可以向第一实体发送表征订阅处理成功的第一服务响应消息；否则，若验证失败，则可以拒绝该订阅请求，例如，可以不向第一实体发送任何消息，或者，可以向第一实体发送第一订阅拒绝消息，或者，可以向第一实体发送安全验证结果参数为验证失败的第一服务响应消息。
需要说明的是，该访问令牌中可以包括服务操作类型，也可以包括服务操作类型和订阅参数，在访问令牌的内容不同情况下，该第二实体可以进行不同的安全验证处理，具体的实现方式可以参考上述实施例中的说明，此处不再赘述。
这样，第一实体根据接收到的该第一服务响应消息，可以获取该订阅服务的处理结果。
S807、第二实体发现第四实体。
第二实体可以在网络中确定提供该订阅服务的第四实体。
以第一实体为AF实体，第二实体为NEF实体，第四实体为NSACF实体为例，若AF实体部署在3GPP运营商域之外，NEF实体可以基于该AF实体的ENSI映射到S-NSSAI(Single Network Slice Selection Assistance Information，单个网络切片选择辅助信息)，然后查询NRF(Network Repository Function，网络存储功能)实体以找到负责所请求的S-NSSAI的NSACF实体。
S808、第二实体向第四实体发送第二服务请求消息。
示例地，第二实体(NEF)可以将第一服务请求消息中包含的服务操作类型和/或订阅参数，通过第二服务请求消息转发至第四实体。
在一些实施例中，在订阅参数包括事件过滤参数，且该事件过滤参数包括ENSI的情况下，可以将该ENSI映射为S-NSSAI。也就是说，在第二服务请求消息中包括的事件过滤参数可以为S-NSSAI。
在一些实施例中，在订阅参数包括事件过滤参数，且该事件过滤参数包括应用功能服务标识AF Service Identifier的情况下，可以将该应用功能服务标识映射为S-NSSAI。也就是说，在第二服务请求消息中包括的事件过滤参数可以为S-NSSAI。
S809、第四实体向第二实体发送第二服务响应消息。
在一些实施例中，以第二实体为NEF实体、第四实体为NSACF实体为例，第二服务 请求消息的服务操作类型可以为Nnsacf_SliceEventExposure_Subscribe Request，或者，Nnsacf_SliceEventExposure_Unsubscribe Request；上述第二服务响应消息的服务操作类型可以包括Nnsacf_SliceEventExposure_Subscribe Response，或者，Nnsacf_SliceEventExposure_Unsubscribe Response。
S810、第四实体监控该订阅服务。
S811、在若该订阅服务对应的事件被触发的情况下，第四实体可以向第二实体发送第二事件通知消息。
S812、第二实体根据接收到的第二事件通知消息，向第一实体发送第一事件通知消息。
以第一实体为AF实体、第二实体为NEF实体、第四实体为NSACF实体为例，若AF实体向NEF实体发送的第一服务请求消息中的订阅服务对应的服务操作类型为NEF事件开放订阅服务Nnef_EventExposure_Subscribe service；则NEF实体向NSACF实体发送的第二服务请求消息的服务操作类型可以为Nnsacf_SliceEventExposure_Subscribe Request；上述第二服务响应消息的服务操作类型可以包括Nnsacf_SliceEventExposure_Subscribe Response，上述第一服务响应消息的服务操作类型可以为Nnef_EventExposure_Subscribe Response。
若上述订阅服务的订阅参数中的事件标识Event ID为用于表征订阅用户设备UE数量的第一事件标识(例如Number of registered UEs)，则NSACF实体可以根据上述第二服务请求消息，监控该订阅服务对应的事件(例如UE数目变化)，在该事件被触发的情况下，可以向NEF实体发送第二事件通知消息(例如Nnsacf_SliceEvent Exposure_Notify消息)，该消息中可以包括事件标识Event ID、事件过滤参数Event Filter parameter、以及事件报告信息(Event Reporting information)，NEF根据接收到的该第二事件通知消息，向第一实体发送第一事件通知消息(例如Nnef_SliceEvent Exposure_Notify消息)，以便第一实体获取该事件通知。
在一些实施例中，该第一事件通知消息可以是针对单个网络切片的事件通知信息，例如，该第一事件通知消息可以是Nnef_SliceEvent Exposure_Notify(single NSACF)。
在另一些实施例中，该第一事件通知消息可以是针对多个网络切片的事件通知信息，例如，该第一事件通知消息可以是Nnef_SliceEvent Exposure_Notify(multiple NSACFs)。
采用上述方法，可以实现基于CAPIF授权的订阅或取消订阅NSACF通知流程。
图9是根据一示例性实施例示出的一种订阅处理装置900的框图，该装置可以应用于第一实体，如图9所示，该装置900可以包括：
令牌确定模块901，被配置为获取访问令牌；该访问令牌用于表征该第一实体请求处理订阅服务使用的安全验证信息；
第一发送模块902，被配置为根据待请求的订阅服务和所述访问令牌向第二实体发送第一服务请求消息；该第一服务请求消息包括该访问令牌；
第一接收模块903，被配置为接收该第二实体发送的第一服务响应消息，以便获取该订阅服务的处理结果；该第一服务响应消息为该第二实体根据该访问令牌对该第一实体进行安全验证后发送的消息。
在一些实施例中，该令牌确定模块901，被配置为根据待授权的订阅服务向第三实体发送令牌请求消息；响应于接收到该第三实体发送的令牌响应消息，获取该令牌响应消息中的访问令牌；该访问令牌为该第三实体在根据该令牌请求消息确定该第一实体满足第一预设访问授权策略的情况下确定的令牌。
在一些实施例中，该令牌请求消息包括该待授权的订阅服务对应的服务操作类型；该第一预设访问授权策略包括该第一实体对该服务操作类型的访问权限；该访问令牌为该第三实体在根据该服务操作类型确定该第一实体满足第一预设访问授权策略的情况下确定 的令牌。
在一些实施例中，该访问令牌包括该待授权的订阅服务对应的服务操作类型。
在一些实施例中，该令牌请求消息包括该待授权的订阅服务对应的服务操作类型和订阅参数；该第一预设访问授权策略包括该第一实体对该服务操作类型和该订阅参数的访问权限；该访问令牌为该第三实体在根据该订阅参数和该服务操作类型确定该第一实体满足第一预设访问授权策略的情况下确定的令牌。
在一些实施例中，该访问令牌包括该待授权的订阅服务对应的服务操作类型和该订阅参数。
在一些实施例中，该第三实体包括：通用应用程序编程接口开放框架CAPIF核心功能实体。
在一些实施例中，该第一服务请求消息包括该订阅服务对应的服务操作类型，该服务操作类型包括：NEF事件开放订阅服务Nnef_EventExposure_Subscribe service，和/或，事件开放取消订阅服务Nnef_EventExposure_Unsubscribe service。
在一些实施例中，该第一服务请求消息还包括该订阅服务对应的订阅参数，该订阅参数包括以下一项或多项：
订阅服务对应的事件标识Event ID；
订阅服务对应的事件过滤参数Event Filter parameter；
订阅服务对应的事件报告信息Event Reporting information。。
在一些实施例中，该事件标识包括：用于表征订阅用户设备UE数量的第一事件标识，和/或，用于表征订阅协议数据单元PDU会话数量的第二事件标识；该事件过滤参数包括外部网络切片信息ENSI或应用功能服务标识AF Service Identifier。
在一些实施例中，该第一实体包括：应用功能AF实体或应用服务器SCS/AS；该第二实体包括：网络开放功能NEF实体或业务能力开放功能SCEF实体。
图10是根据一示例性实施例示出的一种订阅处理装置900的框图，如图10所示，该装置还可以包括：
事件信息获取模块904，被配置为接收该第二实体发送的第一事件通知消息；该第一事件通知消息为该第二实体响应于第四实体发送的第二事件通知消息向该第一实体发送的消息；根据该第一事件通知消息获取待请求的订阅服务对应的事件通知信息。
在一些实施例中，该第四实体包括网络切片准入控制功能NSACF实体。
图11是根据一示例性实施例示出的一种订阅处理装置1100的框图，该装置可以应用于第二实体，如图11所示，该装置1100可以包括：
第二接收模块1101，被配置为接收第一实体发送的第一服务请求消息；该第一服务请求消息包括访问令牌，该访问令牌用于表征该第一实体请求处理订阅服务使用的安全验证信息；
安全验证模块1102，被配置为根据该访问令牌对该第一实体进行安全验证；
第二发送模块1103，被配置为根据安全验证结果向该第一实体发送第一服务响应消息；该第一服务响应消息包括该订阅服务的处理结果。
在一些实施例中，该访问令牌为该第一实体根据该订阅服务从第三实体获取的令牌。
在一些实施例中，该访问令牌包括服务操作类型；该安全验证模块1102，被配置为在该访问令牌的服务操作类型与该待请求的订阅服务对应的服务操作类型相同的情况下，确定该订阅服务对应的订阅参数满足第二预设访问授权策略；该第二预设访问授权策略包括该第一实体对该订阅参数的访问权限；在该订阅参数满足该第二预设访问授权策略的情况下，确定安全验证成功。
在一些实施例中，该访问令牌包括服务操作类型和订阅参数；该安全验证模块1102， 被配置为在该访问令牌的服务操作类型与该待请求的订阅服务对应的服务操作类型相同，且该访问令牌的订阅参数与该待请求的订阅服务对应的订阅参数相同的情况下，确定安全验证成功。
在一些实施例中，该第三实体包括：通用应用程序编程接口开放框架CAPIF核心功能实体。
在一些实施例中，该第一服务请求消息包括该订阅服务对应的服务操作类型，该服务操作类型包括：NEF事件开放订阅服务Nnef_EventExposure_Subscribe service，和/或，NEF事件开放订阅取消服务Nnef_EventExposure_Unsubscribe service。
在一些实施例中，该第一服务请求消息还包括该订阅服务对应的订阅参数，该订阅参数可以包括以下一项或多项：
订阅服务对应的事件标识Event ID；
订阅服务对应的事件过滤参数Event Filter parameter；
订阅服务对应的事件报告信息Event Reporting information。
在一些实施例中，该事件标识包括：用于表示用户设备UE数量的第一事件标识，和/或，用于表征协议数据单元PDU会话数量的第二事件标识；该事件过滤参数包括外部网络切片信息ENSI或应用功能服务标识AF Service Identifier。
在一些实施例中，该第一实体包括：应用功能AF实体或应用服务器SCS/AS；该第二实体包括：网络开放功能NEF实体或业务能力开放功能SCEF实体。
图12是根据一示例性实施例示出的一种订阅处理装置1100的框图，如图12所示，该装置可以包括：
事件信息通知模块1104，被配置为响应于接收到第四实体发送的第二事件通知消息，向该第一实体发送的第一事件通知消息；该第一事件通知消息用于指示该第一实体获取该待请求的订阅服务对应的事件通知信息。
在一些实施例中，该第四实体包括网络切片准入控制功能NSACF实体。
图13是根据一示例性实施例示出的一种订阅处理装置1300的框图，该装置可以应用于第三实体，如图13所示，该装置1300可以包括：
第三接收模块1301，被配置为接收令牌请求消息；该令牌请求消息为第一实体根据待授权的订阅服务发送的消息；
策略验证模块1302，被配置为根据该令牌请求消息确定该第一实体是否满足第一预设访问授权策略；
令牌获取模块1303，被配置为在确定该第一实体满足该第一预设访问授权策略的情况下，获取访问令牌；该访问令牌用于表征该第一实体请求处理该订阅服务使用的安全验证信息；
第三发送模块1304，被配置为根据该访问令牌，向该第一实体发送令牌响应消息；该令牌响应消息用于指示该第一实体获取该访问令牌。
在一些实施例中，该令牌请求消息包括该待授权的订阅服务对应的服务操作类型，该第一预设访问授权策略包括该第一实体对该服务操作类型的访问权限；
该策略验证模块1302，被配置为该第一实体对该服务操作类型具有访问权限的情况下，确定该第一实体满足该第一预设访问授权策略。
在一些实施例中，该令牌获取模块1303，被配置为根据该服务操作类型生成该访问令牌。
在一些实施例中，该令牌请求消息包括该待授权的订阅服务对应的该服务操作类型和该订阅参数；该第一预设访问授权策略包括该第一实体对该服务操作类型和该订阅参数的访问权限；
该策略验证模块1302，被配置为该第一实体对该服务操作类型和该订阅参数具有访问权限的情况下，确定该第一实体满足该第一预设访问授权策略。
在一些实施例中，该令牌获取模块1303，被配置为根据该服务操作类型和该订阅参数生成该访问令牌。
在一些实施例中，该第一实体包括：应用功能AF实体或应用服务器SCS/AS；该第三实体包括：通用应用程序编程接口开放框架CAPIF核心功能实体。
关于上述实施例中的装置，其中各个模块执行操作的具体方式已经在有关该方法的实施例中进行了详细描述，此处将不做详细阐述说明。
本公开实施例还提供一种通信系统，该通信系统包括：上述的第一实体、第二实体和第三实体。
其中，在一些实施例中，上述第一实体可以包括上述订阅处理装置900，上述第二实体可以包括上述订阅处理装置1100，上述第三实体可以包括上述订阅处理装置1300。
在一些实施例中，第一实体可以包括：应用功能AF实体或应用服务器SCS/AS实体；第二实体可以包括：网络开放功能NEF实体或业务能力开放功能SCEF实体；第三实体可以包括：通用应用程序编程接口开放框架CAPIF核心功能实体。
在另一些实施例中，该通信系统还可以包括上述第四实体。该第四实体可以包括4G网络或5G网络中的任意网络功能实体，例如5G网络中的网络切片准入控制功能NSACF)实体、接入与移动性管理功能SMF实体或会话管理功能AMF实体等，再例如4G网络中的策略与计费规则功能PCRF实体、数据包流量描述功能PFDF实体或归属用户服务器HSS实体等。
图14是根据一示例性实施例示出的一种订阅处理装置的框图。示例地，该订阅处理装置2000可以是终端设备，例如移动电话，计算机，数字广播终端，消息收发设备，游戏控制台，平板设备，医疗设备，健身设备，个人数字助理等；该订阅处理装置2000也可以是服务器，例如本地服务器或云服务器；该订阅处理装置2000也可以是上述的任一网络设备或网络实体，例如图1所示通信系统中的第一实体、第二实体或第三实体。
参照图14，该装置2000可以包括以下一个或多个组件：处理组件2002，存储器2004，以及通信组件2006。
处理组件2002通常控制装置2000的整体操作，诸如与显示，电话呼叫，数据通信，相机操作和记录操作相关联的操作。处理组件2002可以包括一个或多个处理器2020来执行指令，以完成上述的订阅处理方法的全部或部分步骤。此外，处理组件2002可以包括一个或多个模块，便于处理组件2002和其他组件之间的交互。例如，处理组件2002可以包括多媒体模块，以方便多媒体组件和处理组件2002之间的交互。
存储器2004被配置为存储各种类型的数据以支持在装置2000的操作。这些数据的示例包括用于在装置2000上操作的任何应用程序或方法的指令，联系人数据，电话簿数据，消息，图片，视频等。存储器2004可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(SRAM)，电可擦除可编程只读存储器(EEPROM)，可擦除可编程只读存储器(EPROM)，可编程只读存储器(PROM)，只读存储器(ROM)，磁存储器，快闪存储器，磁盘或光盘。
通信组件2006被配置为便于装置2000和其他设备之间有线或无线方式的通信。装置2000可以接入基于通信标准的无线网络，如WiFi，2G或3G，或它们的组合。在一个示例性实施例中，通信组件2006经由广播信道接收来自外部广播管理系统的广播信号或广播相关信息。在一个示例性实施例中，所述通信组件2006还包括近场通信(NFC)模块，以促进短程通信。例如，在NFC模块可基于射频识别(RFID)技术，红外数据协会(IrDA)技术，超宽带(UWB)技术，蓝牙(BT)技术和其他技术来实现。
在示例性实施例中，装置2000可以被一个或多个应用专用集成电路(ASIC)、数字信号处理器(DSP)、数字信号处理设备(DSPD)、可编程逻辑器件(PLD)、现场可编程门阵列(FPGA)、控制器、微控制器、微处理器或其他电子元件实现，用于执行上述订阅处理方法。
上述装置2000除了可以是独立的电子设备外，也可以是独立电子设备的一部分，例如在一种实施例中，该电子设备可以是集成电路(Integrated Circuit，IC)或芯片，其中该集成电路可以是一个IC，也可以是多个IC的集合；该芯片可以包括但不限于以下种类：GPU(Graphics Processing Unit，图形处理器)、CPU(Central Processing Unit，中央处理器)、FPGA(Field Programmable Gate Array，可编程逻辑阵列)、DSP(Digital Signal Processor，数字信号处理器)、ASIC(Application Specific Integrated Circuit，专用集成电路)、SOC(System on Chip，SoC，片上系统或系统级芯片)等。上述的集成电路或芯片中可以用于执行可执行指令(或代码)，以实现上述订阅处理方法。其中该可执行指令可以存储在该集成电路或芯片中，也可以从其他的装置或设备获取，例如该集成电路或芯片中包括处理器、存储器，以及用于与其他的装置通信的接口。该可执行指令可以存储于该处理器中，当该可执行指令被处理器执行时实现上述订阅处理方法；或者，该集成电路或芯片可以通过该接口接收可执行指令并传输给该处理器执行，以实现上述订阅处理方法。
在示例性实施例中，还提供了一种包括指令的非临时性计算机可读存储介质，例如包括指令的存储器2004，上述指令可由装置2000的处理器2020执行以完成上述订阅处理方法。例如，所述非临时性计算机可读存储介质可以是ROM、随机存取存储器(RAM)、CD-ROM、磁带、软盘和光数据存储设备等。
在另一示例性实施例中，还提供一种计算机程序产品，该计算机程序产品包含能够由可编程的装置执行的计算机程序，该计算机程序具有当由该可编程的装置执行时用于执行上述订阅处理方法的代码部分。
本领域技术人员在考虑说明书及实践本公开后，将容易想到本公开的其它实施方案。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由下面的权利要求指出。
应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限制。

Claims (36)

  1. 一种订阅处理方法，其特征在于，应用于第一实体，所述方法包括：
    获取访问令牌；所述访问令牌用于表征所述第一实体请求处理订阅服务使用的安全验证信息；
    根据待请求的订阅服务和所述访问令牌向第二实体发送第一服务请求消息；所述第一服务请求消息包括所述访问令牌；
    接收所述第二实体发送的第一服务响应消息，以便获取所述订阅服务的处理结果；所述第一服务响应消息为所述第二实体根据所述访问令牌对所述第一实体进行安全验证后发送的消息。
  2. 根据权利要求1所述的方法，其特征在于，所述获取访问令牌包括：
    根据待授权的订阅服务向第三实体发送令牌请求消息；
    响应于接收到所述第三实体发送的令牌响应消息，获取所述令牌响应消息中的访问令牌；所述访问令牌为所述第三实体在根据所述令牌请求消息确定所述第一实体满足第一预设访问授权策略的情况下确定的令牌。
  3. 根据权利要求2所述的方法，其特征在于，
    所述令牌请求消息包括所述待授权的订阅服务对应的服务操作类型；所述第一预设访问授权策略包括所述第一实体对所述服务操作类型的访问权限；
    所述访问令牌为所述第三实体在根据所述服务操作类型确定所述第一实体满足第一预设访问授权策略的情况下确定的令牌。
  4. 根据权利要求3所述的方法，其特征在于，所述访问令牌包括所述待授权的订阅服务对应的服务操作类型。
  5. 根据权利要求2所述的方法，其特征在于，
    所述令牌请求消息包括所述待授权的订阅服务对应的服务操作类型和订阅参数；所述第一预设访问授权策略包括所述第一实体对所述服务操作类型和所述订阅参数的访问权限；
    所述访问令牌为所述第三实体在根据所述订阅参数和所述服务操作类型确定所述第一实体满足第一预设访问授权策略的情况下确定的令牌。
  6. 根据权利要求5所述的方法，其特征在于，所述访问令牌包括所述待授权的订阅服务对应的服务操作类型和订阅参数。
  7. 根据权利要求2所述的方法，其特征在于，所述第三实体包括：通用应用程序编程接口开放框架CAPIF核心功能实体。
  8. 根据权利要求1至7中任一项所述的方法，其特征在于，所述第一服务请求消息包括所述待请求的订阅服务对应的服务操作类型，所述服务操作类型包括：NEF事件开放订阅服务Nnef_EventExposure_Subscribe service，和/或，NEF事件开放取消订阅服务Nnef_EventExposure_Unsubscribe service。
  9. 根据权利要求8所述的方法，其特征在于，所述第一服务请求消息还包括所述待 请求的订阅服务对应的订阅参数，所述订阅参数包括以下一项或多项：
    订阅服务对应的事件标识Event ID；
    订阅服务对应的事件过滤参数Event Filter parameter；
    订阅服务对应的事件报告信息Event Reporting information。
  10. 根据权利要求9所述的方法，其特征在于，所述事件标识包括：用于表征订阅用户设备UE数量的第一事件标识，和/或，用于表征订阅协议数据单元PDU会话数量的第二事件标识；所述事件过滤参数包括外部网络切片信息ENSI或应用功能服务标识AF Service Identifier。
  11. 根据权利要求1至7中任一项所述的方法，其特征在于，所述第一实体包括：应用功能AF实体或应用服务器SCS/AS；所述第二实体包括：网络开放功能NEF实体或业务能力开放功能SCEF实体。
  12. 根据权利要求1至7中任一项所述的方法，其特征在于，所述方法还包括：
    接收所述第二实体发送的第一事件通知消息；所述第一事件通知消息为所述第二实体响应于第四实体发送的第二事件通知消息向所述第一实体发送的消息；
    根据所述第一事件通知消息获取所述待请求的订阅服务对应的事件通知信息。
  13. 根据权利要求12所述的方法，其特征在于，所述第四实体包括网络切片准入控制功能NSACF实体。
  14. 一种订阅处理方法，其特征在于，应用于第二实体，所述方法包括：
    接收第一实体发送的第一服务请求消息；所述第一服务请求消息包括访问令牌，所述访问令牌用于表征所述第一实体请求处理订阅服务使用的安全验证信息；
    根据所述访问令牌对所述第一实体进行安全验证；
    根据安全验证结果向所述第一实体发送第一服务响应消息；所述第一服务响应消息包括所述订阅服务的处理结果。
  15. 根据权利要求14所述的方法，其特征在于，所述访问令牌为所述第一实体根据所述订阅服务从第三实体获取的令牌。
  16. 根据权利要求15所述的方法，其特征在于，所述访问令牌包括服务操作类型；所述根据所述访问令牌对所述第一实体进行安全验证包括：
    在所述访问令牌的服务操作类型与所述待请求的订阅服务对应的服务操作类型相同的情况下，确定所述订阅服务对应的订阅参数满足第二预设访问授权策略；所述第二预设访问授权策略包括所述第一实体对所述订阅参数的访问权限；
    在所述订阅参数满足所述第二预设访问授权策略的情况下，确定所述安全验证成功。
  17. 根据权利要求15所述的方法，其特征在于，所述访问令牌包括服务操作类型和订阅参数；所述根据所述访问令牌对所述第一实体进行安全验证包括：
    在所述访问令牌的服务操作类型与所述待请求的订阅服务对应的服务操作类型相同，且所述访问令牌的订阅参数与所述待请求的订阅服务对应的订阅参数相同的情况下，确定所述安全验证成功。
  18. 根据权利要求15所述的方法，其特征在于，所述第三实体包括：通用应用程序编程接口开放框架CAPIF核心功能实体。
  19. 根据权利要求14至18中任一项所述的方法，其特征在于，所述第一服务请求消息包括所述订阅服务对应的服务操作类型，所述服务操作类型包括：NEF事件开放订阅服务Nnef_EventExposure_Subscribe service，和/或，NEF事件开放订阅取消服务Nnef_EventExposure_Unsubscribe service。
  20. 根据权利要求19所述的方法，其特征在于，所述第一服务请求消息还包括所述订阅服务对应的订阅参数，所述订阅参数包括以下一项或多项：
    订阅服务对应的事件标识Event ID；
    订阅服务对应的事件过滤参数Event Filter parameter；
    订阅服务对应的事件报告信息Event Reporting information。
  21. 根据权利要求20所述的方法，其特征在于，所述事件标识包括：用于表示用户设备UE数量的第一事件标识，和/或，用于表征协议数据单元PDU会话数量的第二事件标识；所述事件过滤参数包括外部网络切片信息ENSI或应用功能服务标识AF Service Identifier。
  22. 根据权利要求14至18中任一项所述的方法，其特征在于，所述第一实体包括：应用功能AF实体或应用服务器SCS/AS；所述第二实体包括：网络开放功能NEF实体或业务能力开放功能SCEF实体。
  23. 根据权利要求14至18中任一项所述的方法，其特征在于，所述方法还包括：
    响应于接收到第四实体发送的第二事件通知消息，向所述第一实体发送的第一事件通知消息；所述第一事件通知消息用于指示所述第一实体获取所述待请求的订阅服务对应的事件通知信息。
  24. 根据权利要求23所述的方法，其特征在于，所述第四实体包括网络切片准入控制功能NSACF实体。
  25. 一种事件订阅方法，其特征在于，应用于第三实体，所述方法包括：
    接收令牌请求消息；所述令牌请求消息为第一实体根据待授权的订阅服务发送的消息；
    根据所述令牌请求消息确定所述第一实体是否满足第一预设访问授权策略；
    在确定所述第一实体满足所述第一预设访问授权策略的情况下，获取访问令牌；所述访问令牌用于表征所述第一实体请求处理所述订阅服务使用的安全验证信息；
    根据所述访问令牌，向所述第一实体发送令牌响应消息；所述令牌响应消息用于指示所述第一实体获取所述访问令牌。
  26. 根据权利要求25所述的方法，其特征在于，所述令牌请求消息包括所述待授权的订阅服务对应的服务操作类型，所述第一预设访问授权策略包括所述第一实体对所述服务操作类型的访问权限；
    所述根据所述令牌请求消息确定所述第一实体是否满足第一预设访问授权策略包括：
    所述第一实体对所述服务操作类型具有访问权限的情况下，确定所述第一实体满足所述第一预设访问授权策略。
  27. 根据权利要求26所述的方法，其特征在于，所述获取访问令牌包括：
    根据所述待授权的订阅服务对应的服务操作类型生成所述访问令牌。
  28. 根据权利要求25所述的方法，其特征在于，所述令牌请求消息包括所述待授权的订阅服务对应的所述服务操作类型和所述订阅参数；所述第一预设访问授权策略包括所述第一实体对所述服务操作类型和所述订阅参数的访问权限；
    所述根据所述令牌请求消息确定所述第一实体是否满足第一预设访问授权策略包括：
    所述第一实体对所述服务操作类型和所述订阅参数具有访问权限的情况下，确定所述第一实体满足所述第一预设访问授权策略。
  29. 根据权利要求28所述的方法，其特征在于，所述获取访问令牌包括：
    根据所述待授权的订阅服务对应的服务操作类型和所述订阅参数生成所述访问令牌。
  30. 根据权利要求25至29中任一项所述的方法，其特征在于，所述第一实体包括：应用功能AF实体或应用服务器SCS/AS；所述第三实体包括：通用应用程序编程接口开放框架CAPIF核心功能实体。
  31. 一种订阅处理装置，其特征在于，应用于第一实体，所述装置包括：
    令牌确定模块，被配置为获取访问令牌；所述访问令牌用于表征所述第一实体请求处理订阅服务使用的安全验证信息；
    第一发送模块，被配置为根据待请求的订阅服务和所述访问令牌向第二实体发送第一服务请求消息；所述第一服务请求消息包括所述访问令牌；
    第一接收模块，被配置为接收所述第二实体发送的第一服务响应消息，以便获取所述订阅服务的处理结果；所述第一服务响应消息为所述第二实体根据所述访问令牌对所述第一实体进行安全验证后发送的消息。
  32. 一种订阅处理装置，其特征在于，应用于第二实体，所述装置包括：
    第二接收模块，被配置为接收第一实体发送的第一服务请求消息；所述第一服务请求消息包括访问令牌，所述访问令牌用于表征所述第一实体请求处理订阅服务使用的安全验证信息；
    安全验证模块，被配置为根据所述访问令牌对所述第一实体进行安全验证；
    第二发送模块，被配置为根据安全验证结果向所述第一实体发送第一服务响应消息；所述第一服务响应消息包括所述订阅服务的处理结果。
  33. 一种事件订阅装置，其特征在于，应用于第三实体，所述装置包括：
    第三接收模块，被配置为接收令牌请求消息；所述令牌请求消息为第一实体根据待授权的订阅服务发送的消息；
    策略验证模块，被配置为根据所述令牌请求消息确定所述第一实体是否满足第一预设访问授权策略；
    令牌获取模块，被配置为在确定所述第一实体满足所述第一预设访问授权策略的情况下，获取访问令牌；所述访问令牌用于表征所述第一实体请求处理所述订阅服务使用 的安全验证信息；
    第三发送模块，被配置为根据所述访问令牌，向所述第一实体发送令牌响应消息；所述令牌响应消息用于指示所述第一实体获取所述访问令牌。
  34. 一种订阅处理装置，其特征在于，所述装置包括：
    处理器；
    用于存储处理器可执行指令的存储器；
    其中，所述处理器被配置为执行权利要求1至13中任一项所述方法的步骤，或者，所述处理器被配置为执行权利要求14至24中任一项所述方法的步骤，或者，所述处理器被配置为执行权利要求25至30中任一项所述方法的步骤。
  35. 一种计算机可读存储介质，其上存储有计算机程序指令，其特征在于，所述计算机程序指令被处理器执行时实现权利要求1至13中任一项所述方法的步骤，或者，所述计算机程序指令被处理器执行时实现权利要求14至24中任一项所述方法的步骤，或者，所述计算机程序指令被处理器执行时实现权利要求25至30中任一项所述方法的步骤。
  36. 一种芯片，其特征在于，包括处理器和接口；所述处理器用于读取指令以执行权利要求1至13中任一项所述方法的步骤，或者，所述处理器用于读取指令以执行权利要求14至24中任一项所述方法的步骤，或者，所述处理器用于读取指令以执行权利要求25至30中任一项所述方法的步骤。
PCT/CN2022/091814 2022-05-09 2022-05-09 订阅处理方法、装置、介质和芯片 WO2023216082A1 (zh)

Priority Applications (3)

Application Number Priority Date Filing Date Title
PCT/CN2022/091814 WO2023216082A1 (zh) 2022-05-09 2022-05-09 订阅处理方法、装置、介质和芯片
CN202280001680.1A CN117378171A (zh) 2022-05-09 2022-05-09 订阅处理方法、装置、介质和芯片
EP22941049.3A EP4525354A1 (en) 2022-05-09 2022-05-09 Subscription processing method and apparatus, and medium and chip

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2022/091814 WO2023216082A1 (zh) 2022-05-09 2022-05-09 订阅处理方法、装置、介质和芯片

Publications (1)

Publication Number Publication Date
WO2023216082A1 true WO2023216082A1 (zh) 2023-11-16

Family

ID=88729444

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2022/091814 WO2023216082A1 (zh) 2022-05-09 2022-05-09 订阅处理方法、装置、介质和芯片

Country Status (3)

Country Link
EP (1) EP4525354A1 (zh)
CN (1) CN117378171A (zh)
WO (1) WO2023216082A1 (zh)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111373712A (zh) * 2017-11-16 2020-07-03 三星电子株式会社 用于认证应用程序接口(api)调用者的方法和系统
CN112470444A (zh) * 2018-11-15 2021-03-09 瑞典爱立信有限公司 用于撤销对api调用者的授权的方法和装置
CN114143185A (zh) * 2020-08-13 2022-03-04 阿里巴巴集团控股有限公司 一种网络通信的方法及装置、电子设备、存储介质

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111373712A (zh) * 2017-11-16 2020-07-03 三星电子株式会社 用于认证应用程序接口(api)调用者的方法和系统
CN112470444A (zh) * 2018-11-15 2021-03-09 瑞典爱立信有限公司 用于撤销对api调用者的授权的方法和装置
CN114143185A (zh) * 2020-08-13 2022-03-04 阿里巴巴集团控股有限公司 一种网络通信的方法及装置、电子设备、存储介质

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
HUAWEI, HISILICON: "Update to Solution #1", 3GPP TSG-SA3 MEETING #104-E AD-HOC E-MEETING S3-213363, 20 September 2021 (2021-09-20), XP052060200 *

Also Published As

Publication number Publication date
CN117378171A (zh) 2024-01-09
EP4525354A1 (en) 2025-03-19

Similar Documents

Publication Publication Date Title
US11829774B2 (en) Machine-to-machine bootstrapping
EP3342125B1 (en) Service layer dynamic authorization
CN107005571B (zh) 基于权限的资源和服务发现
WO2021169880A1 (zh) 一种安全认证方法、装置及电子设备
US20210034779A1 (en) User-controlled access to data in a communication network
TW201644236A (zh) 使用用於服務ｃ平面方法的網路符記的高效策略實施
CN113709729B (zh) 数据处理方法、装置、网络设备及终端
CN112512045B (zh) 一种通信系统、方法及装置
US12192359B2 (en) Authorization of network request
WO2019024744A1 (zh) 获取终端设备的身份标识的方法及装置
US20160285843A1 (en) System and method for scoping a user identity assertion to collaborative devices
WO2018196705A1 (zh) 网络安全保护方法、设备及系统
WO2019112923A1 (en) Improving security via automated sideband communication for m2m/iot
WO2023216082A1 (zh) 订阅处理方法、装置、介质和芯片
US20250071102A1 (en) Authentication method and apparatus, medium and chip
WO2021079023A1 (en) Inter-mobile network communication security
WO2024061207A1 (zh) 用户级数据的管理方法、装置、通信设备及可读存储介质
EP4525496A1 (en) Authentication method and apparatus, and medium and chip
WO2024145948A1 (zh) 授权方法、装置、通信设备及存储介质
WO2023240661A1 (zh) 认证与授权方法、装置、通信设备及存储介质
WO2023202412A1 (zh) 一种通信方法及装置

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 202280001680.1

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22941049

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 202447096033

Country of ref document: IN

WWE Wipo information: entry into national phase

Ref document number: 2022941049

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2022941049

Country of ref document: EP

Effective date: 20241209