浅议RBAC在管理信息系统中的应用.docVIP

浅议RBAC在管理信息系统中的应用摘要：在管理信息系统的应用中，通过用户界面来保障后台数据的安全是一个重要问题。本文对RBAC基本原理进行了介绍，然后结合某党务管理系统的开发实例，讨论了RBAC在信息管理系统中的设计和应用 关键词：RBAC；角色；权限；党务管理系统 中图分类号：TP319 文献标识码：A 1 引言 计算机系统中，数据的安全问题已经引起越来越多的关注。如何安全可靠地控制每个用户对各种数据的访问，即数据的访问控制是每一个计算机系统都会涉及到的问题。随着系统用户数量的增多，数据访问控制的设计和实现也越来越复杂。自XX年代各种访问控制策略被提出并得以应用，最有代表性的有三种：自主访问控制、强制访问控制、基于角色的访问控制 自主访问控制（Discretionary Access Control）是根据访问者和（或）它所属组的身份来控制对客体目标的授权访问。它的优点是具有相当的灵活性，但是访问许可的转移很容易产生安全漏洞，所以这种访问控制策略的安全级别较低 强制访问控制（Mandatory Access Control）常用于军队和国家重要机构这种安全级别高的计算机，例如将数据分为绝密、机密、秘密和一般等几类。用户的访问权限也类似定义，即拥有相应权限的用户可以访问对应安全级别的数据，从而避免了自主访问控制方法中出现的访问传递问题。这种策略具有层次性的特点，高级别的权限可以访问低级别的数据。但这种强制访问控制太严格，实现工作量太大，管理不方便，不适用于主体或者客体经常更新的应用环境 以上两种反问控制模型都存在的不足是将主体和客体直接绑定在一起，授权时需要对每对（主体、客体），指定访问许可。这样存在的问题是当主体和客体达到较高的数量级之后，授权工作将非常困难。2O世纪9O年代以来，随着对在线的多用户、多系统研究的不断深入，角色的概念逐渐形成，并产生了以角色为中心的访问控制模型（Role-Based Access Control），被广泛应用在各种计算机系统中 2 RBAC的原理简介 2.1 RBAC的基本概念 （1）用户（U-user）：是管理系统中对数据对象进行操作的主体，即系统的使用者，反应在软件中的是一个账户名称。可以是人、计算机、机器人等，主要指人 （2）角色（R-role）：对应于组织中的某一特定的职能岗位，代表特定的任务范畴。比如：实际工作中的“秘书”、“经理”、“班长”不是特指具体的哪一个人，而只是一种概念上的称谓，这些称谓所对应的权利与责任，间接地决定了拥有这一称谓的特定人员处理事务的权利与责任 （3）权限（P-permission）：对系统中的客体进行特定模式访问的操作许可。在面向对象技术中，权限是对某一数据对象的可操作权利，一般所讲的数据对象，对于关系型数据库系统而言，可以是表、视图、字段，甚至是一条记录。相应的操作有读、写、删除和修改等。一项权限就是可以对某一个特定数据对象进行某一种特定操作的权利 （4）用户分配（UA）：指根据用户在组织中的职责和能力被赋予对应各个角色的成员一用户、角色的分配是多对多的关系 （5）权限分配（PA）：指角色按其职责范围与一组操作权限相关联，用户通过被指派到角色间接访问资源。进行权限分配时，应遵循最小特权原则 2.2 RBAC基本思想 一个大型的管理信息系统会有许多功能和许多用户，这些用户处于不同的岗位，具有不同的级别，他们从信息系统获取信息和处理信息的权限也不同，并且用户的岗位还会根据实际情况而发生改变，则其对应的权限也会有所变化。而RBAC则很好地解决了这个问题 RBAC（角色访问控制）的基本思想可以简单地用图来表示，即把整个访问控制过程分两步：访问权限与角色相关联，角色再与用户关联，角色作为核心部分，从而实现了用户与访问权限的逻辑分离。用户与角色，角色与权限之间皆为多对多的关系。基于角色的基本特征是根据策略划分出不同的角色，对于每个角色分配不同的权限，并为用户指派不同的角色，用户通过角色间接地对信息资源进行许可的相应操作 这极大地方便了权限管理。例如，一个用户的职位发生变化，只要将用户与当前的角色分离，再为他加入代表新职务或是新任务的角色即可，角色/权限之间的变化比角色/用户关系之间的变化相对要慢得多，并且委派用户到角色不需要很多技术，可以由行政管理人员来执行，而配置权限到角色的工作比较复杂，需要一定的技术，可以由专门的技术人员来承担，但是不给他们委派用户的权限，这与现实中的情况正好一致 3 基于RBAC的权限控制在党务管理系统中的应用 本文的示例是研究开发的某个企业的党务管理信息系统。党内的各种业务及党员、申请人员的资料都需要存放在系统中央数据库中。系统允许许多员工使用，而