引入属性和分组概念简便实用的ARBAC扩展模型.pdfVIP

AC扩展模型 机科学与技术学院徐兰芳 王飞 摘要通过考察基于角色的访问控削髓Ac模型，提出了一个实用的扩展模型。扩展模型主要引入属性和分组的概 念，将具有相同角色的用户定义是一个组，按用户组指派相应的角色。并对权限和属性分组，按组为角色糟派相摩的 属性和权限，解决了原模型在用户糖派时本西表述对用户特征的限制。实体分为拜l户组、权限组、属性组等，简化了 对髓Ac系统中大量实体的管理，减轻了安全管理员进行用户指派、权限栏派和属性指派时的工作量，增强了实用性。 扩展模型中的实体与面向对象的鳊程方法ooP中的概念存在对应关系，软件开发人员很容易理解和赛现。 关键字基于角色的访耀控削属性属性嚣派分组 访问控制是信息安全领域的一项重要研究课题，它为资源 的访问提供安全保障。目前常见的访问控制策略是强制访问控 制、自主访问控制或基于角色的访问控制。其中基于角色的访 Access 问控制RBAc(Role—basedContr01)技术以其简单、 9 9 限到角色的指派PRA7和角色到角色的指派RRA7。 安全的管理思路得到了广大用户的认可。RBAC为每一个用户 AR×CR 指派相应角色，为每一个角色指派相应权限，使用户通过指派 的角色获得访问权限，实现了用户与访问许可的逻辑分离，极 分别为：先决条件是由x、i、^、V操作组成的布尔表达式， 大地方便了权限管理，被认为是一种比传统的自主访问控制和 强制访问控制更普遍适用的访问控制技术。 (jx’≥x)，(u，x GeorgeMason大学的RaviSandhu在RBAC方面做出了 大量的研究工作，并提出了具有代表性的理论模型RBAC96[1】 CR表示所有可能的在R中使用角色形成的先决条件的集合。 及其后续理论。针对RBAC的管理问题，又提出了ARBAC【2】 模型。ARBAC模型给出了一种用RBAC管理自身的方法，然 而此模型实际应用时存在具体问题。本文针对ARBAC模型实的当前成员资格或者非成员资格满足先决条件y，则管理角色 际应用问题给出了一种解决方案。 x或高于x的管理角色的成员能够指派该用户成为常规角色a、 b或c的一个成员。 ARBAC模型 图2(a)给出了一个工程部门中的常规角色层次图，图中E 表示最低级的角色，部门中所有的职员属于E，ED表示次低 RBAC96定义了基本要素，其中包括：用户集U、角色集 工程组中的角色，每个工程组各有一个高级工程领导角色PLl R、权限集P、会话集S、约束集C、角色层次RH以及用户指 派、权限指派、会话到用户的映射User：S—U和会话到角色 的映射Roles：S一2R等，它们之间的关系如图l所示。 和QE2。 分别负责管理(a)中的两个工程组，部门安全管理员角色DS0 可以管理所有的工程组。 图1 RBAc96基本模型 2006_2 计算觚安茔 i22