基于WfS-RBAC的工作流系统研究与实现.pptVIP

* 执行业务逻辑 * 向客户发送响应 * 访问控制实现１ 中间层和流程约束层完成模型各要素定义 中间层完成动态判断， 表示层访问控制的具体表现 操作入口控制 不同任务的细粒度实现 * 访问控制实现２ 中间层： 静态结构设计 操作约束：每一个操作约束实现约束接口，用以各类实现 动态访问控制 流程定义层： 定义xpdl文档扩展元素实现各种约束 * 表示层：操作准入 操作准入：给用户合适的操作界面 不同用户不同时期查看的界面不同 只显示有效的操作入口 * 细粒度(1) 细粒度程度：在表示层，在一个原子操作内进一步的对被操作对象属性进行控制 比如一个网页的表单 Task中的表单有2属性 属性1只读，属性2可改 对另外一个操作者来说，属性1可写，属性2只读 * 细粒度(2)：举例 应用举例： 项目经理建立任务并指定任务组长，都可修改任务 项目经理修改预期完成时间 组长修改人员配置 开始时间都不可修改 细化权限EditTask: EditTask.Member EditTask.StartTime EditTask.Expect 流程定义中屏蔽Edit.StartTime（扩展ForbiddenSub) 指派不同子权限给不同角色 表示层根据设置可读或者可写 * 权限管理器界面 * 总结 提出了一个支持工作流系统的基于角色的访问控制模型WfS-RBAC： 扩展了流程约束以及特别授权 修改RBAC96模型中的约束为操作约束 增加了用户组和范围的概念 以职责分离和私有权限为例讨论该模型实现各种约束 实现了一个工作流系统WfTM 采用了WfS-RBAC访问控制模型 演示系统执行流程 三层实现方式，主要阐述了 表示层控制操作入口 表示层细粒度实现 权限管理器 * 工作展望 缺乏对所做工作的形式化描述。没有对所提出模型的严格性论证。 对约束模型的研究不够细致和深入 因为系统允许权限细化导致系统的权限有可能会大量增加，而单个角色的权限往往集中在某个模块内，可以考虑替代文中的角色权限列表表示方法，目前这种考虑不够成熟。 * 发表文章 熊云，白晓颖，一个工作流系统中的访问控制模型，计算机工程，已录用 * 谢谢！ * * １１１１１ * * * * * 基于WfS-RBAC的工作流系统的研究与实现 姓 名 熊 云 指导教师 张素琴 计算机科学与技术系软件所 2005年12月 * 内容提要 课题的背景与意义 访问控制模型WfS-RBAC WfTM的系统架构 WfTM系统访问控制实现 工作总结与展望 论文发表情况 * 课题背景 工作流：多个参与者之间按照某种预定义的规则传递文档、信息或任务的过程自动进行 工作流使用越来越广泛 缺点： 已经制定标准，标准尚不成熟 工作流中的访问控制不成熟 RBAC没有考虑上下文环境对执行活动的制约，不能很好的适应于工作流 TBAC模型缺乏易操作性 * 访问控制：RBAC主要特点 以角色作为访问控制的主体 角色继承 最小权限原则 职责分离（Separation of Duty）。 静态职责分离 动态职责分离 角色容量 * 访问控制：RBAC96模型 * 访问控制：TBAC模型 主动式访问控制 任务运行时动态指定执行者，与运行时环境相关 运行结束则收回权限 * 意义 通过加入工作流约束，提出WfS-RBAC模型，建立了一个适用于工作流管理系统的访问控制模型，并把工作流约束作为一个可选特征，使模型仍然适用于非工作流系统。 在实现上对权限能够动态的进行管理，符合工作流特征，并且提出了细粒度的解决方案。 模型中把RBAC96模型的约束特征修改为操作约束，在实现上把各种约束形成围绕操作的约束链，提供了一种可定制可扩展的约束实现方式。 扩展了XPDL中的属性，使得在XPDL中可以定义执行者的活动依赖性。 * WfS-RBAC:概念 支持工作流的基于角色的访问控制模型 Workflow-Supported Role-Based Access Control Model 扩展RBAC96模型 加入了工作流因素，提出了流程约束的概念。 在为用户指派角色的基础上加入了范围的概念，符合访问控制的最小权限原则。 把RBAC96中约束定位为操作约束 参照RBAC96模型族，提出了WfS-RBAC模型族，使得模型的三个独立特征(角色层次、流程约束和操作约束)可以根据不同的需求而决定是否实现。 * WfS-RBAC模型 * 权限 RBAC96策略中立，权限没有定义 WfS-RBAC模型给出了权限与系统操作对应关系 对系统内间的一个操作对应于一个权限 被操作对象的一部分也可以指定为一个权限 根据操作的不同可以指定不同权限 * 操作约束(1)－约束链 操作约束是在执行操作之前，当前环境必须满足的一