基于RBAC的访问控制机制研究.doc

《基于RBAC的访问控制机制研究.doc》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、基于RBAC的访问控制机制研究•科技创新论文基于RBAC的访问控制机制研究（国网技术学院，山东济南250002）【摘要】基于角色的访问控制（RBAC）是一种可以解决统一资源访问控制的方法，能够更好地适应不同信息系统特定的安全策略，简化对信息系统访问控制的授权与管理。本文通过对RBAC模型构件分析，对其特点及应用优势进行了总结和研究。关键词RBAC;角色；授权;信息系统；用户权限；访问控制在一般管理信息系统中,访问控制方法一般有三种形式：一、自主型，这种访问控制方法主要借助于访问控制列表实现访问控制；二、强制型，这种访问控制方法用于军事应用等对安全级别要求较高的系统；三、基

2、于角色的访问控制方法（Role-BasedAccessControl）z下文主要对这种方法进行介绍和研究。作为目前公认的可以解决统一资源访问控制的方法,RBAC的设计理念是:权限与角色相关联，用户通过成为适当角色的成员而得到这些角色的权限。这就极大地简化了信息系统权限的管理。这里所说的角色与现实生活中角色的概念有所不同，它是一组操作的集合，不同的角色具有不同的操作集,这些操作由系统管理员分配给角色。用户的授权是指系统管理员赋予用户一个角色，只要用户属于某个角色那么他就具备这个角色的所有操作许可，即该角色所拥有的权限。系统中的某一个用户可以被赋予不同的角色，也就是说用户与角

3、色是多对多的关系，即一个用户可以有多个角色，一个角色可以被赋予多个用户。应用RBAC机制的信息系统中授权管理的灵活性得到很好的体现：1）减少授权管理的复杂操作，降低系统管理开销;2）可以灵活地适应信息系统特定安全策略的制定与修改。1RBAC模型构件分析我们对该模型定义如下:U,R,P,S:用户，角色，权限，会话;PA?聞P*R:权限分配,多对多的关系；UA?爹LTR:用户分配，多对多关系；User:S・U,每一个会话S对应单一用户user⑸的映射;Roles:会话S到角色集合role(s)?W{r

4、(user(s)/r)GPA}易见：该模型由三个实体组成，分别是：用户（U

5、L角色（R）、权限（P）。其中用户指自然人，角色就是组织内部一件工作的功能或工作的头衔，表示该角色成员所授予的职责的许可，系统中拥有权限的用户可以执行相应的操作。角色权限分配PA和用户角色分配UA是多对多的关系，即一个用户可以拥有多个角色，一个角色也可被多个用户所拥有。同样的，一个角色拥有多个权限,—个权限能被多个角色所拥有。用户建立会话从而对资源进行存取，每个会话S将一个用户与他所对应的角色集中的一部分建立映射关系,这个角色会话子集称为会话激活的角色集。于是，在这次会话中，用户可以执行的操作就是该会话激活的角色集对应的权限所允许的操作。2RBAC特点2.1信息系统访问权

6、限与角色相关联，不同的角色有不同的权限用户以什么样的角色对信息系统进行访问，决定了用户拥有的权限以及可执行何种操作。在RBAC中,用户就是一个可以独立访问信息系统资源的主体。角色是指信息系统中的任务或者位置，它代表了一种权利、资格和责任。许可（特权）就是允许对一个或多个客体执行的操作。一个用户可经授权而拥有多个角色,一个角色可由多个用户构成；每个角色可拥有多种许可，每个许可也可授权给多个不同的角色。每个操作可施加于多个客体（受控对象）,每个客体也可以接受多个操作。系统中主要设计如下表格记录相关信息：用户表（USERS）包括用户标识、用户姓名、用户登录密码。用户表是系统中的

7、个体用户集，随用户的添加与删除动态变化。角色表（ROLES）包括角色标识、角色名称、角色基数、角色可用标识。角色表是系统角色集，由系统管理员定义角色。客体表（OBJECTS）包括对象标识、对象名称。客体表是系统中所有受控对象的集合。操作算子表（OPERATIONS）包括操作标识、操作算子名称。系统中所有受控对象的操作算子构成操作算子表。许可表（PERMISSIONS）包括许可标识、许可名称、受控对象、操作标识。许可表给出了受控对象与操作算子的对应关系。角色/许可授权表包括角色标识、许可标识。系统管理员通过为角色分配或取消许可管理角色/许可授权表。用户/角色分配表包括用户标

8、识、角色标识。系统管理员通过为用户分配角色、取消用户的某个角色等操作管理用户/角色分配表。用户/角色授权表包括用户标识、角色标识、可用性。2.2角色与角色之间存在继承关系为了提高系统工作效率,避免相同权限的重复设置,RBAC采用了〃角色继承〃的概念。角色继承把角色组织起来，能够很自然地反映系统内部人员之间的职权、责任关系。角色之间可能有互相重叠的职责和权力,属于不同角色的用户可能需要执行一些相同的操作。2.3角色限制角色限制包括角色互斥与角色基数限制。对于某些特定的操作集，某一个用户不可能同时独立地完成所有这些操作。角色互斥可