基于角色的访问控制基础.ppt

组织机构模型 * 组织机构模型的业务视角 业务视角： 核心元素：机构（部门)、岗位、岗位权力、员工 组织机构树：任何组织机构的层级关系形成了一棵树，姑且叫组织机构树 岗位树：与组织机构的树对应，每一个树节点都设有相应的岗位。姑且叫岗位树 岗位权力：某个岗位具有相对的权责（权力、责任） 员工：员工定岗为某个岗位，因岗设人而非因人设岗 * 组织机构模型的系统视角 系统视角： 核心元素：组织机构、角色、权限、用户(操作员)、用户组 组织机构树：尤其是在处理集团、代理商等多层级关系结构 系统角色树：参考RBAC模型中的角色分层、继承关系 资源树：在系统中所要授权的资源 例子：一级菜单-二级菜单-按钮 * 功能权限 功能权限一般指操作权限 功能权限解决能做什么的问题 粗略说来，界面上用于功能操作的按钮的权限都可以归为功能权限，包括： 菜单项：系统管理菜单、账户管理菜单 功能操作按钮（与具体数据记录操作无关） ：增加、删除、修改、查询 * 数据权限 数据权限主要是对数据记录的操作权限 数据权限解决能够对什么样数据进行操作的问题 例如： 订单记录包括如下信息：订单号、客户名、商户名、订单金额、创建时间、代理商佣金、手续费、状态 销售只能够看见属于自己商户的所有数据 客服只能够看见所有订单的如下属性：订单号、客户名、订单金额、创建时间、状态 财务能够查看所有订单的所有信息 * 人员权限设计典型问题：性能 问题 在人员权限的角色、资源中涉及树的遍历，性能上存在较大瓶颈 解决方案 LDAP 缓存 key-value store 数据冗余 * 人员权限设计典型问题：数据权限 问题 目前系统实现的数据权限都写死在代码中，导致可维护性很差 解决方案 通过动态生成SQL来解决 ibastis配置文件方式 将数据权限作为细粒度的资源，在资源表、权限表中设定 使用单独的数据权限表来维护 脚本语言：OGNL、BeanShell、Groovy * 人员权限的一个设计实例 * 一个曾经的项目的设计实例 Kasai：RBAC的开源实现 What is Kasai? Kasai is a 100% Java based authentication and authorization framework. It allows you to integrate into your application a granular, complete and manageable permission scheme. The goal of the framework is to provide a simple-to-use-yet-powerful security environment for multi-user applications. * 开源项目 Kasai / Open Source Identity Management Solutions Written in Java /blog/stuff/single-sign-on-in-java Spring Security（aceig security） /spring-security/site/ * * 请提意见！ * 基于角色的访问控制基础 出家如初,成佛有余 议题 访问控制基础 RBAC模型 基于RBAC的系统实现 * 访问控制的概念和目标 一般概念: 是针对越权使用资源的防御措施 基本目标: 防止对任何资源（如计算资源、通信资源或信息资源）进行未授权的访问。从而使计算机系统在合法范围内使用；决定用户能做什么，也决定代表一定用户利益的程序能做什么 未授权的访问包括 未经授权的使用、泄露、修改、销毁信息以及颁发指令等 非法用户进入系统 合法用户对系统资源的非法使用 * 主体、客体和授权 客体（Object）：规定需要保护的资源又称作目标target) 主体（Subject）：或称为发起者(Initiator) 是一个主动的实体规定可以访问该资源的实体通常指用户或代表用户执行的程序 授权（Authorization)： 规定可对该资源执行的动作例如读写执行或拒绝访问 一个主体为了完成任务可以创建另外的主体这些子主体可以在网络上不同的计算机上运行并由父主体控制它们； 主客体的关系是相对的 * 访问控制策略与机制 访问控制策略(Access Control Policy):访问控制策略在系统安全策略级上表示授权。是对访问如何控制,如何作出访问决定的高层指南 访问控制机制（Access Control Mechanisms):是访问控制策略的软硬件低层实现 访问控制机制与策略独立可允许安全机制的重用 安全策略之间没有更好的说法,只是一种可以比一种提供更多的保护,应根据应