计算机网络安全技术讲义(PPT 48页).pptVIP

* 5.2.3 基于角色的访问控制模型 在上述两种访问控制模型中，用户的权限可以变更，但必须在系统管理员的授权下才能进行。然而在具体实现时，往往不能满足实际需求。主要问题在于： 同一用户在不同的场合需要以不同的权限访问系统，而变更权限必须经系统管理员授权修改，因此很不方便。 当用户量大量增加时，系统管理将变得复杂、工作量急剧增加，容易出错。 不容易实现系统的层次化分权管理，尤其是当同一用户在不同场合处在不同的权限层次时，系统管理很难实现。除非同一用户以多个用户名注册。 但是如果企业的组织结构或是系统的安全需求出于变化的过程中时，那么就需要进行大量繁琐的授权变动，系统管理员的工作将变得非常繁重，更主要的是容易发生错误造成一些意想不到的安全漏洞。 * 角色的概念 在基于角色的访问控制模型中，角色（role）定义为与一个特定活动相关联的一组动作和责任。系统中的主体担任角色，完成角色规定的责任，具有角色拥有的权限。一个主体可以同时担任多个角色，它的权限就是多个角色权限的总和。基于角色的访问控制就是通过各种角色的不同搭配授权来尽可能实现主体的最小权限。最小权限指主体在能够完成所有必需的访问工作基础上的最小权限。 * 基于角色的访问控制原理 基于角色的访问控制就是通过定义角色的权限，为系统中的主体分配角色来实现访问控制的，如图所示。 用户先经认证后获得一个角色，该角色被分派了一定的权限，