一个基于改进RBAC模型的自适应权限构件.pdfVIP

计 算 机 应 用 《自动化技术与应用 2011年第 30卷第 3期 Com puterApplications 2．1RBAC模型 的部分权限不能授予用户 U。此时若新建一个角色R2 RBAC[](role—basedaccesscontro1)~基于角色的 赋予用户u，也显得繁琐且没有必要。因此有必要改进 访 问控制 ，是于上 世纪九十年代初 由NIST 组织 的 仅仅通过角色来对权限进行访问控制的RBAC模型，使 Ferraiolo等提出的。RBAC的基本思想[-4】是把整个访 权 限管理更加灵活 ，更易满足复杂变化情况的需要。 问控制过程分成访 问权限与角色相关联 ，角色再与用户 针对这些问题 ，本文提出了一种改进的RBAC模 相关联，用角色来充当用户行使权限的中介。一个用户 型，增加 了对用户直接的权限授予 ，既可 以将权限授予 可被赋予多个角色 ，一个角色也可被赋予给多个用户 ， 角色 ，也可以授予用户。用户可以全部继承角色 ，也可 用户与角色之间是多对多的关系 ；一个角色可具有多个 以根据需求继承部分角色的权限，即屏蔽角色的某些权 权限，一个权限也可被赋予给多个角色 ，角色与权限之 限。此外 ，对于用户与角色的约束关系 ，提供了根据角 间也是多对多的关系。1996年，乔治麻省大学的Sandhu 色优先级的解决方法。改进的RBAC模型如图2所示。 教授提出了RBAC96模型，它是一个完全体现RBAC思 想的4层参考模型 ，层次依次为 RBAC0、RBACl、 RBAC2和 RBAC3。其中，RBAC0是基本模型 ，RBAC3 是对前三个模型的综合l5】。在RBAC中，包含用户、角 色、资源、操作、许可、会话、约束7个基本元素I J， RBAC基本模型结构图如 图1所示。 图2 改进的RBAC模型 其 中，约束是指用户与角色之 间建立的约束关系 ， 例如角色 A不允许访问权 限P，而角色B允许访问权限 P，则A和B是两个具有互斥关系的角色。在传统RBAC 模型中，A和B是不允许被授予同一个用户的。为了解 决具有互斥关系的两个角色不能同时赋予同一个用户 图1 RBAC基本模型结构图 的问题 ，提出了在对用户分配角色的同时 ，定义角色的 优先级 ，若角色间存在互斥关系 ，则根据优先级高的来 2．2 改进的RBAC模型 决定是允许还是不允许，其余不互斥的权限根据并集来 但在实际应用中，系统中的用户 由于工作职责的需 提供其权限集合。对于用户直接授权 ，用户可根据实际 要 ，各 自权限可能随之发生变化 ，且用户 由于业务需求 的需求 ，临时增加一些权限，也可屏蔽其被分配角色的 的灵活多变 ，系统功能可能不断增加或更新 ，权 限也会 某些权限。在不需要时，只需在用户授权界面中取消对 发生相应变化。角色通常随业务和时间而调整 ，而且多 应的不继承角色权限的选项 ，即可恢复用户原有的权限 个角色的权限往往互相重叠 。若某个用户 U 由于业务 分配 ，不仅不用造成角色的频繁增加 、修改 、删除 ，降 要求只需暂时拥有某个权限P，假如根据角色而增加角 低了系统角色的冗余度 ，在实际应中中而且大大提高权 色的权限，则必然会