关于角色的细粒度访问控制分析与实现

《关于角色的细粒度访问控制分析与实现》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、第一章绪论ORBAC，所谓细粒度的访问控制模型，也称与用户实例相关的访问控制。在这种访问控制模型中，不同的用户在使用同一种权限时，能够访问的资源和使用的功能是有差别的，即与用户相关的。本文的研究内容如下：(1)首先对访问控制模型进行研究，总结RBAC96模型的不足，在RBAC96模型的基础上进行扩展，将具有共同属性的用户和具有关联关系的权限分组，通过用户组和权限组授权，提高授权效率；增加角色“是否是超级管理员"属性将角色分为超级管理员角色和一般管理员角色，并增加机构元素实现对用户和资源的划分，实现细粒度的访问控制，构建分级的树形用户管理关系，减少集中式管理中管理员的工作负担，提高授权的效率。通

2、过扩展制定一个ORBAC扩展模型。(2)对ORBAC扩展模型的管理方式进行研究，给出了ORBAC模型管理的形式化定义和模型的控制策略，保证该模型应用到大型系统时各授权管理系统协调运行，提高系统的安全性。(3)结合实际案例，基于SSH技术，对ORBAC模型进行了实现，并对系统进行单元测试和功能测试，对测试结果进行分析。结果表明ORBAC模型在授权方面比RBAC传统模型效率更高，并且可以实现细粒度的访问控制，进一步验证了ORBAC模型形式化定义和控制策略的有效性，以及模型的实用性。1．4论文结构论文分为六章，各章的内容安排如下：第一章为绪论，简要介绍立题意义，国内外研究现状，研究内容和结构安排。第

3、二章介绍了几种常见的访问控制技术，并详细介绍了RBAC96模型，分析了RBAC96模型的不足。第三章提出一种扩展的细粒度访问控制模型ORBAC，给出了该模型管理的形式化定义，制定了ORBAC模型的控制策略。第四章结合实际案例，对ORBAC模型进行实现。首先对应用架构进行总体功能架构的设计，然后从逻辑上将系统分割成若干个独立的模块，模块内实现高内聚，模块间实现低耦合，对各个模块分别分析，进行服务组件设计，数据结构和数据库的设计和编码实现，然后将各个模块整合在一起，实现系统的总体功能。第五章对实现系统进行单元测试和功能测试，并对测试结果进行分析总结。3基于角色的细粒度访问控制研究与实现第六章是结束

4、语，对论文的工作进行总结，指出进一步研究的问题。4第二章访问控制的相关研究2．1访问控制技术访问控制就是通过某种途径准许或者限制访问主体访问能力以及范围的一种方法，是信息得到安全保护的核心技术和有效手段【l射。访问控制的目的是防止对任何资源进行非授权的访问。通过访问控制，可以限制对关键资源的访问，防止非法用户的侵入或者因非法用户的不慎操作所造成的破坏。访问控制模型一般包括三部分【l】：主体(Subject)，客体(Object)和访问控制策略。主体一般是发出访问控制的实体，一般指用户，客体是被访问的资源，访问控制策略是判断主体是否有权限访问客体的规则。计算机信息系统中出现较早的两种访问控制模型

5、【11【21阴是强制访问控制(MandatoryAccessControl，MAC)模型和自主访问控制(DiscretionaryAccessControl，DAC)模型。MACl2]是一种多级访问控制策略，系统事先给访问主体和受控对象分配不同的安全级别属性，在实施访问控制时系统先对访问主体和受控对象的安全级别属性进行比较，再决定访问主体能否访问该受控对象。它的缺点在于如果企业的组织机构或者体系的安全需求出现变化时，就需要进行大量繁琐的授权变动，系统管理员的工作将变得非常繁重，更重要的是容易发生错误，造成一些意想不到的安全漏洞。DAC[3】是根据自主访问控制策略建立的一种模型，允许合法用户以用

6、户或者用户组的身份访问策略规定的客体，同时阻止非授权用户访问客体，某些用户还可以自主地把自己所拥有的客体的访问权限授予其它用户。但是，它的缺点在于用户可以任意传递权限，因此安全性比较低，不能给系统提供充分的数据保护。基于角色的访问控制模型RBAC的提出，极大地方便了授权的管理。RBAC被誉为“为多域数字政府机构中提供安全性保证最具吸引力的解决方案’’[61，并且在基于Web的应用中显示了巨大的优势和潜力l¨。通过使用角色来组织访问权限大大简化了授权管理的复杂度。例如，如果一个用户在组织中换了一个新的岗位，用户可以被指派为一个新的角色，而把原来的角色去掉即可。然而，在先前的非RBAC模型中，用户

7、旧的权限必须被全部废除，新的权限需要被重新定义，然后授权。职责分离(SoD，SeparationofDuties)是一种被广泛接受的授权限制方法，降低了因为允许个体在系统中拥有足够的5基于角色的细粒度访问控制研究与实现权限而行使诈骗和违法行为的危险。在RBAC模型中，当需要施加限制来阻止信息的误用和违法行为时，通过将SoD限制作用于角色、用户．角色指派、角色．权限指派，可以很容易实现这一需求。基于