基于XACMLWeb服务访问控制模型.docVIP

基于XACMLWeb服务访问控制模型 　　摘 要：为克服基于身份授权的粗粒度缺点，增强系统的互操作性和适应Web服务的特性，提出了基于XACML并结合RBAC以及SAML的Web服务访问控制系统模型。采用基于用户、资源和环境属性而不是用户身份的授权机制，可提供更细粒度的访问控制和保护隐私；采用XACML、SAML标准，既可满足分布式环境下的互操作性，又特别适合于Web服务的动态性、异构性等特点。 　　关键词：Web服务； 可扩展访问控制标记语言； 安全声明标记语言； 基于角色的访问控制 　　中图分类号：TP393文献标志码：A 　　文章编号：1001-3695(2007)06-0087-04 　　 　　0 引言?? 　　Web服务是一种崭新的分布式计算模式，基于一系列开放的标准技术，如SOAP、UDDI和WSDL。其松散耦合、语言中立、平台无关性、开放性将使它成为下一代电子商务的框架。它通过利用现存的Web框架为不同平台之间建立了互操作；但同时，Web服务带来了传统的安全模型不能处理的许多新的安全挑战。最主要的挑战是发展访问控制模型，使之能提供基于内容、与上下文相关的访问，并能处理主体和客体的异构性、动态性，适合于分布式的动态变化环境。这意味着，访问控制模型应能捕获与安全相关的内容和上下文信息，如时间、位置、环境状态等，并将它们用于访问控制决策中。同时，还要能根据用户角色的动态变化，适时更新访问控制决策。?? 　　XACML（eXtensible Access Control Markup Language，可扩展访问控制标记语言）［1］定义了一种通用的用于保护资源的策略语言和一种访问决策语言，并且与基于角色（或基于属性）的授权机制相结合，提供对资源的细粒度访问控制，为建立Web服务的访问控制模型提供了技术支持。但当XACML的构件分布在不同地方时，XACML没有定义这些构件之间的通信协议。SAML（Security Assertion Markup Language，安全声明标记语言）［2］可用于在业务伙伴之间（不同管理域）交换认证、属性和授权信息，为在不同实体之间建立安全通信提供了通信协议。因此，XACML和SAML的结合能为Web服务提供一个完整的授权解决方案。?? 　　本文在分析和研究基于XACML的访问控制机制的基础上，提出了一种基于XACML和SAML，并结合了RBAC（Role??Based Access Control，基于角色的访问控制）［3］授权机制的访问控制系统模型，并详细说明其工作流程。?? 　　 　　1 基于XACML的访问控制机制分析 　　1.1 基于XACML的访问控制体系结构?? 　　XACML定义了一种通用的用于保护资源的策略语言和一种访问决策语言，并定义了基于PAP（Policy Administration Point，策略管理点）、PIP（Policy Information Point，策略信息点）、PDP（Policy Decision Point，策略决策点）和PEP（Policy Enforcement Point，策略执行点）等构件的体系结构，能够在分布式的环境中根据资源、请求者和环境属性（而不仅仅是局部身份）动态地评估访问请求，并进行授权决策。XACML 2.0已于2005年3月2日获得OASIS批准，正式成为OASIS标准。其体系结构如图1所示。?? 　　XACML定义的策略语言和访问决策语言主要包括三个高层的策略元素：rule（规则）、policy（策略）和policyset（策略集）。每条rule由condition（条件）、effect（结果）、target（目标）组成；policy由目标、规则、规则组合算法等组成；三个高层元素均包含target元素。target由subject（主体）、resource（资源）、action（动作）组成。XACML提供的策略语言允许管理员定义访问控制需求，以便获取所需的应用资源。语言和模式支持包括数据类型、函数和允许定义复杂(或简单)规则组合逻辑。XACML提供的访问决策语言，用于描述对资源运行时的请求。当确定了保护资源的策略后，函数会将请求中的属性与包含在策略规则中的属性进行比较；最终生成一个许可或拒绝决策。?? 　　图1 XACML访问控制系统构件和流程 　　另外，XACML还定义了问询策略系统的请求（XACML请求）和响应（XACML响应）格式，可构成一个问询（Query）来判断一个动作（Action）是否被允许执行，并对结果进行解释。请求和响应格式定义了PDP与PEP之间的接口。PEP发布请求和处理响应；PDP根据资源的访问策略、请求者的属性和环境属性等，评估请求并返回一个响应。??