基于角色访问控制模型探究.docVIP

基于角色访问控制模型探究摘 要：在传统RBAC模型的基础上，提出了一个扩展的RBAC模型。模型中提出管理组对系统角色进行分级授权和分层管理，满足了大型应用系统对访问控制的需求。在扩展模型中对传统模型当中的一些概念进行了补充和改进，采用角色授权和用户授权相结合的方式对权限进行管理，以避免系统角色增长过快；提出了私有权限的概念控制角色继承的数量，对继承过程中存在的冲突问题进行了处理，在传统模型中描述较模糊的约束问题方面也进行了一定的补充，使得模型更符合现实系统的需求。 关键词：访问控制；RBAC；信息系统 1 RBA模型的发展 自主访问控制和强制访问控制被提出了很长一段时间，它们都是访问控制领域的主要研究对象，直到1992年在美国国家标准技术局举行的全球计算机安全研讨会上，一种新的访问控制技术被正式提出。在这次会上，D.Ferraiolo与R.Kuhn发表了一篇关于访问控制的文章《Role?Based Access Control》，当中提到了角色（Role），这不是第一次角色这个概念在访问控制领域被提出，但是该篇文章却是第一次以RBAC命名的文章，从此RBAC访问控制模型被正式提出，后来出现了一系列关于该领域的研究、应用论文，RBAC模型从此受到了访问控制领域的广泛关注。在后来的基于角色的访问控制模型的研究过程中，一系列的RBAC模型标准由美国国家标准与技术研究院（The National Institute of Standards and Technology，简称NIST）和美国国家信息技术标准委员会（American National Standards Institute，简称ANSI）逐步制定出来。表1为RBAC标准的主要事件。 国外对访问控制技术的研究大部分都集中在操作系统、数据库，取得了一定的成就，一些访问控制技术在主要的操作系统以及数据库管理系统，如Linux、Unix、Oracle等系统中都得到了广泛应用，但是对于信息系统里面的访问控制的研究则相对较少。在Web应用方面，访问控制技术也取得了一定的成绩，提出了一些Web应用当中基于角色的访问控制机制，如User?Pull、Server?Pull等。 国内对访问控制技术也进行了广泛的研究，主要集中在高校及科研单位当中，大部分研究成果都是建立在传统的访问控制模型的基础之上，目前仍然没有成熟的商业化产品出现；模型的研究扩展也大多数建立在理论研究的基础之上，与实际的应用关联不大。但是随着研究的不断深入，RBAC模型将逐渐适应各种商业化需求，成为一种高效的访问控制模型。 2 RBAC模型 (1)用户(User)。指系统的主体，即系统各项功能的直接使用者，用户可以是人、进程、计算机等系统实体，在信息系统当中，系统的用户一般指的是人。 (2)权限(Permission)。指用户在使用系统某项功能的过程中必须获得某种许可，比如用户对于系统文件的查看、删除、修改，或者使用系统当中某个功能模块、引用某个实体对象等，如果用户拥有该项功能的操作许可，我们就称用户拥有该项功能的权限。 (3)角色(Role)。指系统当中的多个权限的集合体，这个权限集合可以满足用户实际职责当中的所有工作需求。角色对应于实际工作环境当中的某个职能岗位，如秘书、教导主任、会计、总经理等。 (4)权限分配(Permission Assignment)。指将权限按照角色需求与角色建立关联的过程，权限和角色之间存在多对多的关联关系，一个权限可以被系统当中的多个角色拥有，一个角色也可以拥有不同的权限，在权限分配时不能为角色分配超出其职能范围的操作权限，即必须满足最小特权原则。 (5)用户分配(User Assignment)。指将用户与系统角色建立关联的过程，对应于实际情况就是将一个用户分配到某个职能岗位上，用户一旦与某种角色建立了关联，就拥有了该角色所拥有的权限集合。 (6)会话(Session)。会话的创建使用户实现与系统的互动，会话当中可以保存用户的基本信息、角色信息等内容，当用户退出系统时会话也会随之关闭，一个用户可以打开多个会话，但一个会话一定只属于某个特定用户。 (7)活跃角色集 (Active Role Set)。在系统当中一个用户可能会同时拥有多个角色，在一次会话活动当中可能会激活当中的几个角色，这几个角色被称为活跃角色集，活跃角色集实际上是用户拥有角色集合的一个活动角色子集，该子集决定了用户在该次会话活动当中所拥有的权限集合。 (8)约束(Constrains)。指作用于模型中的限制条件，它对用户分配、权限分配作出具体的限制，约束主要是作用于角色，在访问控制模型当中的约束可以分为静态约束和动态约束两种约束形式。