2025年信息系统安全专家基于角色的访问控制策略设计专题试卷及解析.pdf

2025年信息系统安全专家基于角色的访问控制策略设计专题试卷及解析1

2025年信息系统安全专家基于角色的访问控制策略设计专

题试卷及解析

2025年信息系统安全专家基于角色的访问控制策略设计专题试卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在基于角色的访问控制（RBAC）模型中，以下哪个核心概念用于定义用户可以

执行的操作集合？

A、用户（User）

B、角色（Role）

C、权限（Permission）

D、会话（Session）

【答案】C

【解析】正确答案是C。权限（Permission）在RBAC模型中定义了对系统资源执

行特定操作（如读取、写入、删除）的许可，是访问控制的最小粒度单元。A选项用户

是访问控制的主体；B选项角色是权限的集合，用于简化权限分配；D选项会话是用户

激活角色的动态过程。知识点：RBAC基本组件。易错点：容易混淆角色和权限的定义，

角色是权限的容器而非权限本身。

2、某企业HR系统采用RBAC模型，“薪酬管理员”角色可以查看所有员工薪资但

不能修改，这体现了RBAC的哪个特性？

A、职责分离

B、最小权限原则

C、权限继承

D、动态授权

【答案】B

【解析】正确答案是B。最小权限原则要求角色只被授予完成其工作所必需的最小

权限集，薪酬管理员只需查看权限而不需要修改权限。A选项职责分离通常指互斥角色

分配；C选项权限继承指角色间的层次关系；D选项动态授权指会话级别的权限激活。

知识点：RBAC设计原则。易错点：容易将最小权限与职责分离混淆，后者更关注冲突

权限的分离。

3、在RBAC96模型家族中，哪个模型引入了角色层次结构（RoleHierarchy）概

念？

A、RBAC0

B、RBAC1

C、RBAC2

D、RBAC3

2025年信息系统安全专家基于角色的访问控制策略设计专题试卷及解析2

【答案】B

【解析】正确答案是B。RBAC1在RBAC0基础上增加了角色层次结构，支持角色

间的继承关系。A选项RBAC0是基础模型；C选项RBAC2增加了约束条件；D选

项RBAC3综合了RBAC1和RBAC2。知识点：RBAC模型演进。易错点：容易混淆

RBAC1和RBAC2的新增特性，层次结构属于RBAC1。

4、以下哪种RBAC实现方式最适合大型跨国企业的分布式系统？

A、集中式RBAC

B、去中心化RBAC

C、联邦式RBAC

D、混合式RBAC

【答案】C

【解析】正确答案是C。联邦式RBAC支持跨域的角色映射和权限互认，适合分布

式环境。A选项集中式管理复杂度高；B选项去中心化缺乏统一标准；D选项混合式仍

需解决跨域问题。知识点：RBAC部署模式。易错点：容易忽视分布式环境下的跨域认

证需求。

5、RBAC中的”静态职责分离”（SSD）约束主要用于解决什么问题？

A、防止权限滥用

B、限制角色激活数量

C、避免冲突角色同时分配

D、控制会话持续时间

【答案】C

【解析】正确答案是C。静态职责分离约束防止用户被同时分配互斥角色（如”申请

者”和”审批者”）。A选项是RBAC通用目标；B选项属于动态职责分离；D选项属于会

话管理。知识点：RBAC约束机制。易错点：容易混淆SSD和DSD的作用场景。

6、在RBAC策略设计中，“角色工程”（RoleEngineering）的主要目标是？

A、定义角色层次结构

B、发现和构建角色集合

C、实施权限分配

D、审计访问行为

【答案】B

【解析】正确答案是B。角色工程通过自顶向下或自底向上方法从业务需求中提取

角色定义。A选项是角色工程的一部分；C选项是策略实施阶段；D选项属于审计范

畴。知识点：RBAC实施流程。易错点：容易将角色工程与具体实施步骤混淆。

7、以下哪个RBAC特性最符合”最小化管理开销”的