RBAC模型转载.doc

RBAC模型 转载 ? source：unknow 访问控制策略一般有以下几种方式： 自主型访问控制(Discretionary Access Control-DAC)：用户/对象来决定访问权限。信息的所有者来设定谁有权限来访问信息以及操作类型(读、写、执行。)。是一种基于身份的访问控制。例如UNIX权限管理。 强制性访问控制(Mandatory Access Control-MAC)：系统来决定访问权限。安全属性是强制型的规定，它由安全管理员或操作系统根据限定的规则确定的，是一种规则的访问控制。 基于角色的访问控制(格/角色/任务)：角色决定访问权限。用组织角色来同意或拒绝访问。比MAC、DAC更灵活，适合作为大多数公司的安全策略，但对一些机密性高的政府系统部适用。 规则驱动的基于角色的访问控制：提供了一种基于约束的访问控制，用一种灵活的规则描述语言和一种ixn的信任规则执行机制来实现。 基于属性证书的访问控制：访问权限信息存放在用户属性证书的权限属性中，每个权限属性描述了一个或多个用户的访问权限。但用户对某一资源提出访问请求时，系统根据用户的属性证书中的权限来判断是否允许或句句 模型的主要元素 可视化授权策略生成器 授权语言控制台 用户、组、角色管理模块 API接口 授权决策引擎 授权语言解释器 H.1.RBAC模型介绍 RBAC(Role-Based Access Control-基于角色的访问控制)模型是20世纪90年代研究出来的一种新模型，但从本质上讲，这种模型是对前面描述的访问矩阵模型的扩展。这种模型的基本概念是把许可权(Permission)与角色(Role)联系在一起，用户通过充当合适角色的成员而获得该角色的许可权。 这种思想世纪上早在20世纪70年代的多用户计算时期就被提出来了，但直到20世纪90年代中后期，RBAC才在研究团体中得到一些重视。本章将重点介绍美国George Mason大学的RBAC96模型。 H.2.有关概念 在实际的组织中，为了完成组织的业务工作，需要在组织内部设置不同的职位，职位既表示一种业务分工，又表示一种责任与权利。根据业务分工的需要，支援被划分为不同群体，各个群体的人根据其工作任务的需要被赋予不同的职责和权利，每个人有权了解与使用与自己任务相关的信息与资源，对于那些不应该被知道的信息则应该限制他们访问。这就产生了访问控制的需求。 例如，在一个大学中，有校长、副校长、训练部长、组织处长、科研处长、教保处长等不同的职位，在通常情况下，职位所赋予的权利是不变的，但在某个职位上工作的人可以根据需要调整。RBAC模型对组织内部的这些关系与访问控制要求给出了非常恰当的描述。 H.2.1.什么是角色 在RBAC模型中，工作职位被描述为角色，职位所具有的权利称为许可权。角色是RBAC模型中的核心概念，围绕这一概念实现了访问控制策略的形式化。特殊的用户集合和许可权的集合通过角色这一媒介在某个特定的时间内联系在一起。而角色确实相对稳定的，因为任何组织的分工、活动或功能一般是很少经常改变的。 可以有不同的动机去构造一个角色。角色可以表示完成特殊任务的资格，例如，是一个医师还是一个药师；橘色也可以表示一种权利与责任，如工程监理。权利与责任不同于资格，例如，Alice可能有资格领导几个部门，但他只能被分配负责一个部门的领导。通过多个用户的轮转，角色可以映射特殊责任的分配，例如，医师可以转换为管理者。RBAC的模式及其实现可以方便的适应这种角色概念的多种表现。 在实际的计算机信息系统中，角色由系统管理员定义，角色的增加与删除、角色权利的增加与减少等uanli工作都是由系统管理员完成的。根据RBAC的要求，用户被分配为某个特定角色后，就被赋予了该角色所拥有的权利和责任，这种授权方式是强制性的，用户只能被动的接受，不能自主的决定为角色增加或减少权力，也不能把自己角色的权利转首给用户，显然，这是一种非自主型的访问控制模式。 H.2.2.角色与用户组 角色与用户组有何区别? 两者的主要区别是：用户组是用户的集合，但不可许可权的集合；而角色却同时具有用户集合和许可权集合的概念，角色的作用是把这两个集合联系在一起的中间媒介。 在一个系统中，如果用户组的许可权和成员仅可以被系统安全员修改的话，在这种机制下，用户组的机制是非常接近于角色的概念的。角色也可以在用户组的基础上实现，这有利于保持原有系统中的控制关系。在这种情况下，角色相当于一个策略不见，与用户组的授权及责任关系相联系，而用户组是实现角色的机制，因此，两者之间是策略与实现机制之间的关系。 虽然RBAC是一种无确定性质策略的模型，但它支持公认的安全原则：最小特权原则、责任分离原则和数据抽象原则。最小特权原则得到支持，是因为在RBAC模型中可以通过限制分配给角色权限的多