一种易扩展可管理访问控制模型的研究.pdfVIP

35№．4B 计算机科学2008VoL 一种易扩展可管理访问控制模型的研究*) 欧晓鸥王志立邵发森 (南京人口管理干部学院信息科学系 南京210042) 摘要针对RBAC模型在应用中存在的不足，提出了一种基于角色和GFAC架构的访问控制模型。阐述了模型的 构成、特点、访问控制策略，引入了类、约束、特殊权限、访问模式等新概念，将分级授权、最小化授权、角色继承授权等 策略相结合，实现对资源访问的控制，并通过对访问模式及客体资源的抽象分类处理来降低管理开销，提高效率。最 后，基于此模型，实现了一个档案文件信息管理系统。 关键词信息安全，RBAC，GFAC，访问控帝j，角色管理 型的表达能力。例如，设置了特殊权限，它是用于细化用户通 1 引言 过角色得到的基本权限，即可为一个用户分配某个角色对应 访问控制是指通过对访问主体的授权来允许或拒绝其对 的权限中的一部分权限，也是权限原子，可直接分配给某类用 资源的访问，来实现按服务策略对各类资源进行有效保护的 户或者某个用户，而不局限于仅仅只通过角色及其运算来分 方法。目前，有多种访问控制模型提出，文献[1，2]给出了以 配权限，从而使权限的分配得到一定程度的简化。三是采用 R气C(Role-BasedAce．s Contr01)管理为基础的访问控制模 了将客体资源进一步划分为客体资源角色和客体资源实例的 型，文献[3]则给出了一种通用访问控制框架的扩展。这些研 方法，目的是在此基础上构造出一系列的基础访问操作类型 究表明，RBAC解决了传统的强制访问控制及自主访问控制来实现对客体资源访问操作的抽象，并将此抽象定义为：基本 管理难度大的问题，降低了安全管理成本。但是，针对某些信 访问模式。四是建立新的权限约束条件。这里引入的权限约 息系统中工作人员职责划分灵活，同一部门人员职责范围有 束主要是对原约束条件的补充，用于完善继承机制，细化权限 细微差别，分配权限要求有所不同的情况，若直接采用RBAC粒度，以满足哪些对权限控制要求非常精细的业务需求。2．2 模型，将会使权限角色分配变得较为繁杂，增加授权管理的负 GFRBAC模型组件描述 担因此，研究更加灵活的访问控制模型。是当前访问控制技术 研究的一个热点。故本文在对RBAC模型进行优化处理基简图。 础上，将原用于操作系统领域的通用访问控制框架GFAC (GeneralizedFrameworkforAce．s Contr01)与RBAC模型进 行融合，提出了一种可管理的基于GFAC与RBAC架构的访(基本访问模式)，OP(操作集)，P(权限集)，DR(客体资源角 frameworkrole-basedac- 问控制模型GFRBAC(generalized 色集)，0f(客体资源实例集)。 cess contr01)，在GFRBAC模型中，对客体资源与访问模式进(2)用户集U、角色集R、会话集S以及主体角色分配与 行了进一步的抽象，采用了将访问控制的决策与执行部分相 主体角色继承与RBAC模型定义基本一致。但这里的主体， 分离的设计模式，建立了相应的控制策略及其约束条件，并通 除了可用用户、角色等实体来描述外，还可使用角色类来描述 过模型的实现，说明了GFRBAC模型能满足系统授权活动的 主体的身份。 各种复杂要求，各种安全控制策略非常容易扩展，可提高系统 (3)角色：是对主体身份的扩展或者说是对主体的另外一 的通用性和安全性能。 种形式的描述，权限分配给角色。角色之间存在类别、层次、 继承、约束和限