Linux通用访问控制框架的设计.pdfVIP

事璇辩≮ ^十十十*∥ Linux通用访问控制框架的设计 沈熙谢俊元 (南京大学计算机科学与技术系，南京210093) E～matl：xishen@263．net 摘要访问控制是用禾处理主体和客俸之间交互时限串6，是安奎操作系境最重要的功能之一。Unux系统中所采用的 访问控制是传统UNIX的基于访问模式住的单一的自主访问控制。在实现这一琦能时．系统的访问控制代码散列在核心 中．没有形成统一的访问控制模块和相应的接口，不支持幕略与机制的分离，缺乏相应的灵活性、扩充性以厦易维护性． 无法定制化系统的访问控制策略。而在当前以分布式计算作为主导计算模式的背景之下，LinUtX系统中原有的访问控制 是无法满足信．g-处理系统的日益多样化安奎需求。竹对上述Linllx系境中访问控糊机制的缺陷，该支引入了一种通用的 访问控帝l框架祢之为LiHUlK通用访问拉制框架。谊框架是一种与具体的访问控制策略无关的体系结构，支持系统的访问 控制策略和机制的分离，与传统的Linux访问控制相比，它借助于在Linux核心系统中得到广泛应用的框架式抽象数据 类型．提供了一个一致的、抽象的访问控制接口从而对多种访问控制幕略如强制访问控制、基于胄i色的访问控制等加以 曼持。在谊框架之下。用户喜至可以提供自己的访问控韵)策略模嵌，以获得具有更高的曼活性、扩充性和易堆护性的系统 访问控制机帝l。同时．由于谊框架的引入，系统的访问控制策略模块可以与系统其它部分相分离，从而有利于系统访问控 制的结袖化保护．使得系统的整体安全性得到很大的提升。 关键词Ijnllx安全操作系统主体客依访问控制 文章编号1002—8331一(2003)1l—0114-03文献标识码A 中圈分类号TP316 The ofLiIlUXGeneralFrameworkofAccessControl Design ShenⅪxie Junyuan (Dept．ofComputerSet．＆Tech．，NanjingUniversity，Nanjing210093) Abstraet：Accesshalldlestherestrictionsontheinteraetionbetweenthe andthe one control，whieh SUbiects objects，is ofthe of alsoan functionsasecurity and criteriaof evaluation．In significant operatingsystem important securitysystem traditionalUNIXaccess-mode—bitsbasedaccesscontrolmechanismis Linux，the currentlysupported．In implementation， thecodesof acces导cmatrolaremixed therestofthekeme|．nounifiedac．eesgcontrolmodulesarid system up,Nith are interfaces intheLinuxkemelandrio of andmechanismis abo