课件15：第64~5节自主与强制访问控制.pptVIP

6.4 自主访问控制 与 强制访问控制 主体与客体 主体：通常指用户，或代表用户意图运行进程或设备。主体是访问操作的主动发起者，它是系统中信息流的启动者，可以使信息流在实体之间流动。 客体：通常是指信息的载体或从其他主体或客体接收信息的实体。 主体有时也会成为访问或受控的对象，如一个主体可以向另一个主体授权，一个进程可能控制几个子进程等情况，这时受控的主体或子进程也是一种客体。 客体不受它们所依存的系统的限制，可以包括记录、数据块、存储页、存储段、文件、目录、目录树、库表、邮箱、消息、程序等，还可以包括比特位、字节、字、字段、变量、处理器、通信信道、时钟、网络结点等。 对客体的管理与控制策略 管理的方式不同就形成不同的访问控制方式。一种方式是由客体的属主对自己的客体进行管理，由属主自己决定是否将自己客体的访问权或部分访问权授予其他主体，这种控制方式是自主的，我们把它称为自主访问控制（Discretionary Access Control——DAC）。在自主访问控制下，一个用户可以自主选择哪些用户可以共享他的文件。 另一种方式是强制访问控制（Mandatory Access Control——MAC），在强制访问控制下，用户（或其他主体）与文件（或其他客体）都被标记了固定的安全属性（如安全级、访问权限等），在每次访问发生时，