基于安全域信息系统访问控制模型研究.docVIP

基于安全域信息系统访问控制模型研究 　　摘要:本文通过对企业信息系统中基于角色的访问控制模型(RBAC ,Role BasedAccess Control)的原理及优劣势分析,阐述一种新型的、基于安全域的访问控制模型。该模型在继承了RBAC模型通过角色简化权限访问控制过程的方法基础上,进一步细分操作对象和操作方式,将角色和操作方式封装为可被操作对象复用的安全域,以进一步降低权限管理复杂度。 　　关键词:访问控制;RBAC;角色;安全域 　　 　　1 引言 　　 　　随着企业信息化程度的不断提高,越来越多的关键性数据和业务被纳入企业信息系统进行管理。为能有效控制不同用户对不同数据和业务的处理权限,从而界定用户职责、划分工作范围,增强信息系统的安全性及协同工作效率,信息系统必须具有完备、灵活的权限控制方法。本文主要论述了一种基于安全域的、高复用性的信息系统访问权限控制策略,以及其在企业信息系统中的典型应用方案。 　　 　　2 基于角色的访问控制模型 　　 　　基于RBAC模型进行信息系统安全访问控制是目前业界信息系统的常见实现方法。RBAC模型中的核心概念包括访问权限(Privilige)、角色(Role)和用户(User)。访问权限是对信息系统中某种业务数据或操作的执行权限的概括性描述,其本身并不直接体现哪些用户可以拥有该权限。访问权限的常见命名方式有两种:一、名词结构,以“权”作为名称结尾,如“请假单审批权”;二、动宾结构,如“审批请假单”。上述两种方式均表示一种具有审批请假单的业务权限。角色是对信息系统中一组访问权限集合的抽象描述,一个角色可以包含一个或多个访问权限。角色均以名词命名,并通常与岗位名称相同,如“部门经理”。用户是对信息系统操作人员的一种表述形式,即通常所说的系统帐号,其命名只需遵循唯一性原则即可。 　　在基于RBAC模型构建的信息系统中,用户、角色和访问权限间的关系如图表1所示。角色与用户间存在多对多关系,即一个角色可以包含多个用户,且一个用户可以拥有多个角色;访问权限不直接与用户绑定,而是与角色进行绑定,即用户是通过角色间接与访问权限建立关联。当用户登录信息系统时,用户拥有的角色集合已被事先定义,在其访问指定数据或业务前,信息系统会判定该用户拥有的角色集合中是否有角色具备当前数据或业务所需要的访问权限,若具备则允许用户访问,否则则禁止。比如,用户张三拥有部门经理角色,而部门经理角色关联了请假单审批权,因此,张三有权进行请假单审批。 　　 　　3 基于安全域的访问控制模型 　　 　　3.1 基于RBAC的访问控制模型的优缺点分析 　　基于RBAC模型的访问权限控制模型实现了用户与访问权限的逻辑分离,极大的方便了权限管理。例如,一个用户的岗位发生变化,其处理数据和业务的访问权限也随之发生变化,此时,只要将该用户原先岗位关联的角色去除,并关联新岗位所对应的角色,即可实现访问权限的变更。若某岗位的访问权限发生变化,需要该岗位的用户不仅有权处理表单A,还增加了对表单B和表单C的访问权限。在用户直接关联访问权限的方式下,该岗位所有有权处理表单A的用户(假设为N个)均需增加对表单B和表单C的处理权限,修改权限策略数量为2*N;而在角色关联访问权限的方式下,通常只需将岗位中有权处理表单A的唯一角色与表单B和表单C的访问权限关联即可,修改权限策略数量为2。综上所述,基于RBAC模型进行权限管理,比直接基于用户进行权限管理要便捷很多。深入分析RBAC模型可以发现,RBAC中的访问控制(Privilige)包含了操作对象和操作方式两种元素,如前文所述的“请假单审批权”是由“请假单”和“审批”组成,“请假单”即操作对象,“审批”即操作方式。一种操作对象可对应多种操作方式,如“请假单”除“审批”外,还可能有“申请”、“归档”等操作方式;而一种操作方式又可对应多种操作对象,如“审批”除针对“请假单”外,还可能针对“报销单”、“采购单”等操作对象。针对上述情况,基于RBAC模型进行角色授权时,势必要将角色与各种可能的操作对象和操作方式组合而成的访问权限进行关联。假设操作对象的数量是M,操作方式的数量是N,则针对角色进行访问控制授权的策略数量为M*N,当M、N较大时,基于角色的访问权限管理工作的复杂度将显著增加。 　　3.2 基于安全域的访问控制模型 　　上述问题的根本原因在于RBAC模型未能细分访问权限中的操作对象和操作方式。从易变性角度分析,信息系统中的操作对象会随着业务规模的变化而频繁变化,且数量较大,从100至10000不等,甚至更多;而操作方式较为稳定,常见的有增、删、改、查、归档等,数量有限,且能在不同操作对象间复用。针对此分析结果,本文提出一种新的基于安全域的访问控制模型。基于安全域的访