RBAC在企业管理信息系统中应用.docVIP

RBAC在企业管理信息系统中应用 　　[摘 要] 本文主要采用NIST建议的静态职责分离的有限层次的RBAC模型做参考，设计企业管理信息系统访问控制机制。既在信息系统安全上能够满足用户要求，又能够适应MIS系统易变的特性。 　　[关键词] RBAC；管理信息系统；角色 　　doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2017. 17. 036 　　[中图分类号] TP393.07；TP389 [文献标识码] A [文章编号] 1673 - 0194（2017）17- 0072- 03 　　1 前 言 　　随着计算机的普及和网络信息技术的应用，尤其是互联网技术及其开发工具的成熟，各种基于互联网的应用蓬勃发展，电子贸易、电子政务、数字城市等新型的应用都在不同行业展现出了强大的生命力。基于公共网络的信息系统由于其开放性和资源的共享性极大地方便了使用者，从而大大提高了企业和政府机关的工作效率及工作质量。信息系统本身具备多用户性、广泛的适用性，以及数据存取的网络运行，这些特点都对系统的安全性提出了更高的要求。 　　为此，除了采用相应的加密技术外，人们也设计出了多种安全模型，其中基于角色的数据访问权限控制（RBAC）应用最为广泛。采用RBAC模型设计的信息系统通过对不同角色的用户访问权限的控制，更能有效地保证一些重要和敏感数据的安全性。 　　中国五矿集团公司信息化工作在公司战略的指导下坚持“统一规划、分步实施、统一部署、分级管理”的总体原则，建设了包括战略、人力、财务、投资、风险、审计等在内的管理决策平台，建成了集团集中部署的财务业务一体化的运营管控平台，搭建了包括门户、协同办公、知识管理、数据管控等在内的基础应用支撑平台。三大平台的应用体系建设涵盖了集团经营管理的方方面面，用户上至集团公司领导，下至普通一线员工。一套既严谨又灵活、既先进又实用并且便于维护的用户权限管理体系的建立对于集团公司信息化建设工作的推进至关重要。 　　2 背景知识 　　2.1 访问控制简介 　　访问控制模型是一种从访问控制的角度出发，描述安全系统，建立安全模型的方法。常用的有：自主访问控制模型，强制访问控制模型，基于角色的访问控制模型。 　　自主访问控制模型。自主访问控制模型（DAC Model：Discretionary Access Control Model）是根据自主访问控制策略建立的一种模型，允许合法用户以用户或用户组的身份访问策略规定的客体，同时阻止非授权用户访问客体，某些用户还可以自主地把自己所拥有的客体的访问权限授予其他用户。 　　自主访问控制对用户提供的这种灵活的数据访问方式，使得DAC广泛应用在商业和工业环境中。由于用户可以任意传递权限，DAC模型提供的安全防护还是相对比较低的，不能给系统提供充分的数据保护。 　　强制访问控制模型。??制访问控制模型（MAC Model：Mandatory Access Control Model）最开始为了实现比DAC更为严格的访问控制策略，美国政府和军方开发了各种各样的控制模型，这些方案或模型都有比较完善和详尽的定义。随后，逐渐形成强制访问的模型，并得到广泛的商业关注和应用。在MAC访问控制中，用户和客体资源都被赋予一定的安全级别，用户不能改变自身和客体的安全级别，只有管理员才能够确定用户和组的访问权限。和DAC模型不同的是，MAC是一种多级访问控制策略，它的主要特点是系统对访问主体和受控对象实行强制访问控制，系统事先给访问主体和受控对象分配不同的安全级别属性，在实施访问控制时，系统先是对访问主体和受控对象的安全级别属性进行比较，再决定访问主体能否访问该受控对象。 　　基于角色的访问控制模型。基于角色的访问控制模型（RBAC Model：Role-Based Access Control Model）：RBAC模型的基本思想是将访问许可权分配给一定的角色，用户通过担任不同的角色获得角色所拥有的访问许可权。这是因为在很多实际应用中，用户并不是可以访问的信息资源的所有者（这些信息属于企业），因此，访问控制应该基于员工的职务而不是基于员工在哪个组或者谁是信息的所有者，即访问控制是由各个用户在部门中所担任的角色来确定的，例如，一个公司可以有总经理、部门经理、业务员等角色。 　　RBAC从控制主体的角度出发，根据管理中相对稳定的职权和责任来划分角色，将访问权限与角色相联系，这点与传统的MAC和DAC将权限直接授予用户的方式不同；通过给用户分配合适的角色，让用户与访问权限相联系。角色成为访问控制中访问主体和受控对象之间的一座桥梁。 　　角色可以看作是一组操作的集合，不同的角色具有不同的操作集，这些操作集由系统管理员分配给角色。在下面的实例中，