基于RBAC的业务支撑云平台访问控制方法研究.pdfVIP

四、数据通信 原书为空白页，不缺内 基于RBAC的业务支撑云平台访问控制方法研究 刘 程 秦培玉 中国移动通信集团辽宁有限公司 110179 摘 要 业务支撑云平台基于云计算技术实现了对传统的业务支撑系统、经营分析 系统、增值业务运行系统等多个系统的统一管理与资源调度。鉴于业务支撑云平台支持 多组织、可配置等诸多特点，现有的访问控制方法直接应用云平台中会出现以下问题: (1)角色命名冲突；(2)越级管理；(3)不支持多组织访问控制的异构。本文提出了适 用于云应用平台的Cloud-RBAC访问控制模型，采用分层结构分别实现了系统级和组织级 访问控制，并在此基础上对Cloud-RBAC模型的应用方案进行了阐述，有效解决了业务支 撑云平台中的访问控制问题。 关键词 业务支撑;云平台;访问控制;RBAC 多个角色相联系，角色与一个或多个访问许可权相联系，角色可以根据实际的工作需要 Sandhu教授和他的同事提出了最著名的 Mason大学的Ravi 生成或取消。1994年，George RBAC2、RBAC3这四种概念模型，四种模型分别面向不同应用场景，定义了角色继承、 做了改进，增加了组织结构的概念。 在云应用平台中，RBAC模型体系是依然适用的，但对于现有的RBAC模型而言如果 直接应用于云应用平台中都无法很好地解决多组织环境中的权限管理问题。虽然近几年 很多学者和研究机构已经提出了多种基于基本RBAC模型的改进模型，但是，基于云应用 平台面向多组织、高可配置、高安全性等特性，现有的模型都无法直接应用于平台中， 具体会引发如下的问题。 (1)角色命名冲突。 在云应用平台中，在同一时刻往往会有大量不同组织用户同时使用系统提供的服 务。而每个组织通常需要非常多的角色设置，这意味着角色继承结构上节点众多。同 时，这些节点是不能重名的，只能通过修改角色名称的方式来避免命名冲突，如给角色 名称加入前缀。如此看来，角色的继承关系越复杂，角色的命名也会越来越冗长。 (2)越级管理。 根据RBAC97中的继承定义，整个系统的管理员继承了其下面所有组织管理员角色的 权限。这就意味着系统管理员可以直接操作每个组织内部的权限管理，即可以绕过 URA97的can ngissa_是上际实织组户用个每而。色角他其到派指员成色角意任将接直束约 一个自治的分支，不应允许组织外的其他成员对组织内部的成员角色进行修改。 (3)不支持多组织访问控制的异构。 业务支撑云平台是基于网络的支持多组织的系统，虽然在理论上各个用户组织应该 隶属于同一领域，但是从实际情况来看，各个组织发展情况参差不齐，因而在访问控制 上各个组织之间有很大不同。主要表现为： a)角色关系异构。由于不同组织内部的部门设置、岗位设置情况不尽相同，因而每 个组织所需要的角色、角色与权限对应关系都有所不同。如果采用传统RBAC模型，则所 有角色都将被定义在全局范围内，对任何组织都可见。不仅会引发命名冲突的问题，而 且不方便组织内部的角色管理。 b)指派约束异构。每个组织在业务支撑云平台中是一个高度自治的实体，因而不同 的组织内部的角色指派约束也有所差异，如果将角色的指派约束关系定义在全局范围 内，就会引发指派约束冲突的情况，进而导致角色关系管理混乱。 3 Cloud—RBAC模型 本文提出了一种基于层次结构的RBAC模型，从主体和客体两个方面定义RBAC的管 理范围。在平台中，每个组织有各自的用户，有着区别于其他组织的功能和管理模式， 因而，每个组织有自己的授权访问控制策略。因此，不仅需要对系统提供面向组织的访 问控制，而且需要提供组织内部对用户的访问控制。在系统层面上，访问控制的模型要 针对的对象不应该为用户，而应该为组织，系统管理员要根据组织的提交信息，进行审 核、功能发放、辅助设置、基本角色和基本权限的分配等一系列系统层次的管理功能。 所以，从系统的角度来看云应用的访问控制，其应该为若干个子访问控制的总体访问控 制，即系统的访问控制包含组织的访问控制，组织的访问控制是以系统的访问控制为基 础的。Cloud—RBAC模型如图1所示。 图1 Cloud-RBAC模型 该模