（计算机应用技术专业论文）基于soa的统一权限控制机制研究与应用.pdf

曲阜师范大学博士硕士学位论文原创性说明 ( 在口划“4 ) 本人郑重声明：此处所提交的博士口硕士日论文基于s o a 的统一权 限控制机制研究与应用，是本人在导师指导下，在曲阜师范大学攻读博士 口 硕士图学位期间独立进行研究工作所取得的成果。论文中除注明部分外 不包含他人已经发表或撰写的研究成果。对本文的研究工作做出重要贡献的 个人和集体，均已在文中已明确的方式注明。本声明的法律结果将完全由本 人承担。 作者签名：铂曼雨日期：a o , , 彳a 曲阜师范大学博士硕士学位论文使用授权书 ( 在口划“) 基于s o a 的统一权限控制机制研究与应用系本人在曲阜师范大学攻读 博士口硕士母学位期间，在导师指导下完成的博士口硕士目学位论文。 本论文的研究成果归曲阜师范大学所有，本论文的研究内容不得以其他单位 的名义发表。本人完全了解曲阜师范大学关于保存、使用学位论文的规定， 同意学校保留并向有关部门送交论文的复印件和电子版本，允许论文被查阅 和借阅。本人授权曲阜师范大学，可以采用影印或其他复制手段保存论文， 可以公开发表论文的全部或部分内容。 作者签名：村足帆 ， 日期：a o o 导师签名： 譬专。 日期：? ，沪f 了 基于s o a 的统一权限控制机制研究与应用 摘要 企业构建了一系列w e b 应用系统，但每个系统的权限管理是定制研发，与应用系统紧 密耦合，很难实现权限管理复用，也给企业统一用户和授权管理带来不便。基于角色的访 问控制模型r b a c 是目前应用最广的访问控制模型。现代企业的用户权限经常变化，仅调 整角色来改变用户授权，难以满足复杂情况变化的需要；同时传统r b a c 模型的授权冲突 解决策略有效性差。针对以上问题，本文对r b a c 模型进行进一步的扩展提出了继承和优 先约束驱动的用户和角色混合访问控制模型i p cu r b a c ，并基于s o a 的w r e bs e r v i c e 技 术设计实现了平台无关的、松耦合的、易扩展的统一权限控制机制。 文中首先分析了自主访问控制d a c 、强制访问控制m a c 和基于角色访问控制r b a c 的优缺点，验证了r b a c 模型更适合w e b 应用系统的安全管理需要。然后，通过分析r b a c 模型的不足，扩展r b a c 模型提出i p cu r b a c 模型，给出继承和优先约束的定义，提出 个体和优先冲突解决策略，并给出求解用户权限的算法。其次，基于s o a 思想和改进的 i p cu r b a c 模型设计实现了统一权限控制机制，分析了统一权限控制机制的特点，给出 与w e b 应用系统集成的方法。最后，结合作者参与开发的c r m 项目介绍了统一权限控制 机制的应用实现。 i p cu l m a c 模型加入继承约束来灵活控制用户授权的有效性，增强了模型授权灵活 性；设计继承和优先约束以及个体和优先解决策略很好的解决了用户和角色授权冲突问 题，增强了模型安全性。本文在约束和授权方面的扩展，对r b a c 模型的研究具有一定的 借鉴意义。基于s o a 架构思想将权限控制变为w e b 服务来实现，实现了安全模型最大粒 度的可重用性，将权限控制从w e b 应用系统中最大限度的独立出来，使权限控制升级与原 有系统分开，通过调用权限服务实现与不同w e b 应用系统集成，也为s o a 的成功实践提 供了一些新想法。 关键词：访问控制；角色；继承和优先约束；w e bs e r v i c e ；统一权限控制机 制 基于s o a 的统一权限控制机制研究与应用 a b s t r a c t e n t e r p r i s e sb u i l das e r i e so fw e ba p p l i c a t i o ns y s t e m s ，b u te a c hs y s t e m sr i g h tm a n a g e m e n t i sc u s t o m i z e dd e v e l o p m e n t ，a n dt i g h t l yc o u p l e s 、v i t l la p p l i c a t i o ns y s t e m s ，i ti sd i f f i c u l tt oa c h i e v e r e u s eo fr i g h tm a n a g e m e n t ，a n di tb r i n g si n c o n v e n i e n c et ot h ee n t e r p r i s e s u n i f i e du s e ra n d a u t h o r i z a t i o nm a n a g e m e n t r o l e - b a s e da c c e s sc o n t r o lm o d e lr b a ci st h em o s tw i d e l yu s e d a c c e s sc o n t r o lm o d e l b e c a u s eu s e rf i g h t so fm o d e me n t e r p r i s ea l w a y sc h a n g e ，i ti sd i f f i c u l tt o m e e tt h ec h a n g i n gn e e d so fc o m p l e xs i t u a t i o n sb ya d j u s t i n gr o l e st oc h a n g eu s e r s a u t h o r i z a t i o n ； a tt h es a m et i m e ，c o n f l i c tr e s o l u t i o ns t r a t e g yo ft h et r a d i t i o n a lr b a cm o d e li sb a da v a i l a b i l i t y i no r d e rt os o l v et h ea b o v ep r o b l e m s ，t h i sp a p e rf u r t h e re x t e n d sr b a cm o d e la n dp r o p o s e s a c c e s sc o n t r o lm o d e lb a s e do nu s e ra n dr o l ed r i v e nb yi n h e r i t a n c ea n dp r i o r i t yc o n s t r a i n t s i p c j j r b a c ，d e s i g n sa n di m p l e m e n t sap l a t f o r m - i n d e p e n d e n t , l o o s e l yc o u p l e da n de a s i l y e x t e n d e du n i f i e dr i g h tc o n t r o lm e c h a n i s mb a s e do ns o aa n dw e bs e r v i c et e c h n o l o g y f i r s t , t h i sp a p e ra n a l y z e st h ea d v a n t a g e sa n dd i s a d v a n t a g e so ft h ed i s c r e t i o n a r ya c c e s s c o n t r o ld a c ，m a n d a t o r ya c c e s sc o n t r o lm a ca n dr o l e - b a s e da c c e s sc o n t r o lr b a c ，v e r i f i e s t h er b a cm o d e li sm o r es u i t a b l ef o rw e b a p p l i c a t i o n sm a n a g e m e n t s e c o n d , a n a l y z e st h el a c k o fr b a cm o d e l ，e x t e n d sr b a cm o d e lt oi p c _ - u r b a cm o d e l ，g i v e st h ed e f i n i t i o no f i n h e r i t a n c ea n dp r i o r i t yc o n s t r a i n t s ，p r o p o s e si n d i v i d u a la n dp r i o r i t yc o n f l i c tr e s o l u t i o ns t r a t e g i e s ， a n dg i v e sc a l c u l a t i o na l g o r i t h mf o rc a l c u l a t i n gu s e rr i g h t s t h i r d ，d e s i g n sa n di m p l e m e n t su n i f i e d r i g h tc o n t r o lm e c h a n i s mb a s e do ns o a a n di p c u r b a cm o d e l ，a n a l y z e st h ec h a r a c t e r i s t i c so f u n i f i e da c c e s sc o n t r o lm e c h a n i s m ，p u tf o r w a r dam e t h o dt oa c h i e v ei n t e g r a t i o n 、v i t l lw | e b a p p l i c a t i o n s l a s t ，i n t r o d u c e st h er e a l i z a t i o no fu n i f i e da c c e s sc o n t r o lm e c h a n i s mi nac r m p r o j e c tt h ea u t h o ri n v o l v e di nd e v e l o p i n g i p c u r b a cm o d e la d d s u s e ri n h e r i t a n c ec o n s t r a i n tt oc o n t r o la v a i l a b i l i t yo fu s e r a u t h o r i z a t i o n ，a n de n h a n c e sf l e x i b i l i t yo fa u t h o r i z a t i o n ；d e s i g n si n h e r i t a n c ea n dp r i o r i t y c o n s t r a i n t s ，a sw e l la si n d i v i d u a la n dp r i o r i t yc o n f l i c t s o l v i n gs t r a t e g i e st os o l v et h eu s e ra n dr o l e a u t h o r i z a t i o nc o n f l i c t , w h i c he n h a n c e ss e c u r i t yo fm o d e l e x p a n s i o no fc o n s t r a i n ta n d a u t h o r i z a t i o nc a ng i v er e s e a r c ho nr b a cm o d e ls o m er e f e r e n c ev a l u e m a k i n gu s eo fw e b s e r v i c et oi m p l e m e n tt h es e c u r i t ym o d e lb a s e do nt h et h o u g h to fs o ar e a l i z e st h el a r g e s tg r a i n e d r e u 跎o fs e c u r i t ym o d e l ，m a k e sa c c e s sc o n t r o li n d e p e n d e n to fw e ba p p l i c a t i o ns y s t e m ，r e a l i z e s i n t e g r a t i o no fd i f f e r e n tw e ba p p l i c a t i o ns y s t e m sb yc a l l i n gr i g h ts e r v i c e ，a n dp r o v i d e ss o m en e w i d e a sf o rs u c c e s s f u li m p l e m e n t a t i o no fs o a k e y w o r d s ：a c c e s sc o n t r o l ；r o l e ；i n h e r i t a n c ea n dp r i o r i t yc o n s t r a i n t ；w e bs e r v i c e ； u n i f i e dr i g h tc o n t r o lm e c h a n i s m 基于s o a 的统一权限控制机制研究与应用 目录 第一章绪论1 1 1 研究背景。1 1 2 研究现状2 1 2 1 访问控制研究现状。2 1 2 2 权限管理系统发展现状。3 1 3 本文创新点3 1 4 本文主要工作4 1 5 论文的组织结构4 第二章访问控制理论和课题所需技术研究6 2 1 访问控制技术6 2 2 访问控制模型介绍6 2 2 1 自主访问控制( d a c ) 6 2 2 2 强制访问控制( m a c ) 。7 2 2 3 基于角色的访问控制模型r b a c 7 2 2 4 传统访问控制特性分析l o 2 3 面向服务体系架构( s o a ) 1 0 2 3 1s o a 的定义1 0 2 3 2s o a 的基本特征1 1 2 3 3s o a 的目标1 1 2 4s o a 的主要支撑技术- 、bs e r v i c e 1 l 2 4 1w 曲s e r v i c e 技术12 2 4 2w e b 服务体系结构1 2 2 4 3w 曲s e r v i c e s 的技术支持l3 2 4 4 基于w e b 服务的软件重用的优点1 4 2 5j 2 e ej e 弓s o a 14 2 5 1j 2 e e 分层体系结构1 4 2 5 2 基于j 2 e e 和s o a 的分层架构1 5 2 5 3j 2 e ew 曲s e r v i c e 开发- x f i r c 1 6 2 6 本章小结l8 第三章i p cu r b a c 模型设计19 3 1 扩展r b a c 模型( i p cu r b a c ) 1 9 3 2i p cu r b a c 模型的形式化定义2 0 i i i 基于s o a 的统一权限控制机制研究与应用 3 3 扩展模型的约束机制2 l 3 4 扩展模型的权限冲突解决策略2 1 3 5 基于角色的权限生成过程2 3 3 6 直接用户授权的模型扩展2 3 3 7 扩展模型的权限计算算法。2 4 3 8i p cu r b a c 模型的优势分析2 6 3 9 本章小结2 7 第四章基于s o a 的统一权限控制机制设计与实现2 8 4 1 统一的权限控制机制介绍2 8 4 1 1 统一权限控制机制定义2 8 4 1 2 统一权限控制机制的组成结构2 9 4 1 3 统一权限控制机制的意义3 0 4 2 系统的权限控制设计3 l 4 2 1 二进制权限掩码一31 4 2 2 系统数据库设计3 2 4 2 3 系统的功能模型3 3 4 3 统一访问控制系统的实现3 4 4 3 1 基于i p cu i m a c 的权限管理实现3 4 4 3 2 基于个体和优先的c r s 授权策略实现3 6 4 3 3 基于w 曲s e r v i c e 的权限控制服务设计3 8 4 4 统一权限控制机制与w e b 应用系统4 0 4 4 1 二者的关系4 0 4 4 2 统一权限控制机制的应用集成4 l 4 4 3 基于w e bs e r v i c e 的统一权限控制流程。4 l 4 5 本章小结4 2 第五章统一权限控制机制的应用4 3 5 1c r m 着统4 3 5 1 1c r m 介绍。4 3 5 1 2c r m 系统的开发架构“ 5 2c r m 系统中权限管理实现4 5 5 2 1 资源定义4 5 5 2 2 权限定义4 6 5 2 3 机构和角色定义。4 6 i v 基于s o a 的统一权限控制机制研究与应用 5 2 4 用户直接授权实现4 6 5 2 5 用户角色分配实现4 9 5 2 6 基于w e bs e r v i c e 的权限控制实现4 9 5 3 本章小结5 0 第六章总结和展望。51 6 1 总结5 l 6 2 展望5 2 参考文献5 3 在校期间的研究成果及发表的学术论文5 6 致 射5 7 v 基于s o a 的统一权限控制机制研究与应用 第一章绪论 1 1 研究背景 随着企业的信息化水平不断提升和i n t e m e t 技术的不断发展，越来越多的企业建设了 众多的w e b 应用系统并投入使用，这些应用系统已经成为企业管理的重要组成部分。企业 中现存的w e b 应用系统可能由不同的开发商在不同的时期采用不同的技术开发的。这些 w e b 应用系统，大多数具各自的授权及认证系统，不仅为用户的使用带来许多不便，更重 要的是降低了企业信息系统的可管理性和安全性。因此，在推进和发展企业信息化建设的 进程中，需要将每个应用系统的权限管理抽取出来，建设一套统一的授权控制机制，协调 企业信息化建设进程，规范企业信息化建设。 r b a c 模型具有管理简单、易于实现和灵活性好等优点，已被广泛应用于各个领域。 基于角色的访问控带s j ( r b a c ，r o l e b a s e da c c e s sc o n t r 0 1 ) 通过引入角色实现用户和权限的逻 辑分离，通过控制角色权限来间接地控制用户对系统资源的访问，方便了权限管理。随着 w e b 应用的普及，权限管理模型和管理对象越来越复杂；随着企业业务的频繁变化，系统 功能也在不断改变，要求权限管理系统具有较强的自适应性；目前的权限管理系统在设计 没有考虑到各种可变因素，很难实现权限系统的复用。考虑权限管理的复杂和多变性，因 此需要实现一个自适应和通用的、与应用系统无关、易于维护和升级的柔性权限控制机制。 面向服务的体系结构( s o a ) 作为一种软件架构理念，基于s o a 的分布式松散耦合 应用发展成为软件复用技术的主流。基于s o a 的w e bs e r v i c e 技术解决了软件重用的三个 原则问题，将复杂的业务逻辑封装为可编程的网络组件，有效完成了异构系统的互操作和 松耦合问题，通过集成可以快速实现粗粒度软件重用和快速系统集成。 从软件重用角度来说，如果能够将存在不同系统但功能相似的身份认证或权限控制模 块独立出来，实现对应用系统的统一权限管理，那么对每个企业的不同应用系统开发具有 重要意义。因此论文研究一种统一的权限控制机制，将设计者从繁琐的权限管理中解放出 来，专心致力于业务系统的主要功能模块设计，减少系统的开发工作量，加快开发进程。 本文从w e b 应用系统的安全问题展开讨论，对原有的角色访问控制模型进行改进，设 计了i p cu r b a c 模型，并基于s o a 架构思想将权限控制变为w e b 服务来实现，提高安 全模型的可重用性。设计和实现一个基于s o a 和i p cr b a c 的统一权限控制机制。通过 友好的图形化界面实现对企业中的应用系统的统一权限管理，将权限控制从传统的应用系 统中最大限度的独立出来，使得权限控制技术的改进和升级与原有系统分开，通过调用权 限服务实现与不同网络应用系统集成。实现权限管理系统跨平台、跨语言的互操作，使权 基于s o a 的统一权限控制机制研究与应用 限系统可以被任意的应用系统，在任何平台下、基于任意语言进行访问。此方法不仅实现 权限系统最大粒度的重用，而且提高了企业管理水平，同时为s o a 的成功实践提供了一 些新的想法。 1 2 研究现状 1 2 1 访问控制研究现状 近些年，国内外认证和访问控制方法的理论研究很多【i 2 l ，研究主要集中于授权策略以 及访问控制模型的建立和应用等方面。首先了自主访问控制d a c 和强制访问控制m a c ， 但自主访问控制的权限传递性给系统带来了安全隐患，而强制访问控制对访问控制的要求 又过于严格。随着企业用户和资源的增加，系统的授权工作变的更加复杂，上述模型已经 不能很好的工作。从w e b 信息系统发展的前景看，基于角色的访问控制模型r b a c 比其 他模型更加简单，更加容易扩展，更加适合分布式多用户和多资源的系统安全管理。 1 9 9 6 年r a v is a n d h u 提出了基于角色的访问控制模型r b a c ( r o l eb a s e da c c e s s c o n t r 0 1 ) ，通过引入角色实现了用户和权限的逻辑分离，简化了授权操作1 3 j 。2 0 0 1 美国国家 技术标准局( n i s t ) 发布了r b a c 的全面统一的规范化标准【4 】。后来，r a v i s a n d h u 增加管理 角色的定义，对r b a c 9 6 进行扩展，建立了r b a c 管理模型a r b a c 5 1 ，使得管理角色可 以在规定范围进行管理操作。传统的r b a c 的不足是针对主体进行权限划分，没有考虑客 体和环境等要素，无法满足灵活授权控制的要求，m i e h a e lj c o v i n g t o n 等人改进了r b a c ， 提出g r b a c 模型【6 】，扩展角色定义增加了客体角色和环境角色。国内也先后出现了大量 的r b a c 扩展模型，包括n e wr b a c 模型( n r b a c ) 【丌，基于角色和任务的访问控制模 型( t r b a c ) 瞪j ，以及基于角色和用户组的扩展访问控制模型( e - r b a c ) 9 l 等。随着w e b s e r v i c e 的应用普及，出现了一系列保证服务安全的角色访问控制模型【l 州2 1 ，文献【1 0 】 1 1 】 设计了基于角色的w e b 服务访问控制模型，实现w e b 服务的安全管理。 r b a c 9 6 模型并没有给出约束机制得详细说明，无法解决现实权限管理中的一些授权 问题，如授权冲突问题。近年来，出现了一系列的r b a c 模型的约束机制【1 3 。1 6 1 。j o s h i 等 人提出的带时间特性的角色访问控制模型t r b a c 1 4 l ，韩伟力等人提出权限约束支持的基 于角色的约束访问控制模型【1 6 1 ，增加了权限约束来实现r b a c 的约束管理。所有这些基于 角色的约束访问控制模型，针对具体应用增加约束机制来增强r b a c 模型的授权安全性， 但随着企业需求的不断变化，需要提出更加灵活的约束机制满足授权要求。 目前信息安全领域的研究人员对w e b 环境下的r b a c 模型展开了大量的研究，但扩 展的r b a c 模型大多停留在理论研究上，应用范围受到限制。尤其随着w e b 服务的出现， 目前的r b a c 应用存在大量的不足，许多问题只是理论的讨论而没有对应的解决方案，因 此对r b a c 的应用仍然需要进行深入研究。 2 基丁：s o a 的统一权限控制机制研究与应用 1 2 2 权限管理系统发展现状 目前的权限控制实现一般是基于代码复用和数据库结构复用的方式将权限管理模块 集成到业务系统中。传统权限管理架构如图1 1 所示。 论甲甲甲 耋秀昆 吾，统囟囟崮 图1 1 传统的企业权限管理架构 传统权限管理架构存在如下缺点： ( 1 ) 权限管理与应用系统紧密耦合，一旦权限系统作了修改，就需要更新应用系统代 码或数据库，并需要保证原有数据一致性，给开发和管理人员都带来了很大的负 担。 ( 2 ) 缺乏有效的信息共享，每个系统都有自己的权限数据库，导致数据库保存相同的 用户信息，造成大量的数据冗余，增加了数据的安全隐患。 ( 3 ) 管理员不方便管理权限数据，需要分别进入各个业务系统的权限模块进行授权操 作，因此授权管理重复且复杂。 基于传统权限系统架构存在的不足，需要设计一种更加柔性化和通用的权限管理架 构，能够做到以下两点： ( 1 ) 改变基于代码和数据库复用的模式，使权限系统和业务系统解耦，权限系统的升 级和修改尽量不影响应用系统。 ( 2 ) 方便企业统一管理所有应用系统的用户和权限，提高企业信息管理系统的开发和 管理效率。 鉴于s o a 的服务复用思想，需要将权限控制从应用系统解耦出来，封装成独立的模 块，设计实现一种通用的、易扩展和跨平台的、与应用系统解耦的权限控制方法。 1 3 本文创新点 ( 1 ) 针对目前权限管理系统和角色授权存在的缺陷，设计了i p c u r b a c 模型，在 r b a c 模型的基础上增加继承约束的用户直接授权机制和优先约束的用户角色分 配机制，提出基于个体和优先的授权冲突解决策略，并给出了用户权限和角色权 3 基于s o a 的统一权限控制机制研究与应用 限的求解算法。 ( 2 ) 运用i p c - - u r b a c 模型，设计二进制授权掩码机制解决复杂权限设置问题。 ( 3 ) 基于s o a 架构的服务复用思想和改进的i p cu r b a c 模型，提出统一权限控制机 制。给出统一权限控制机制的设计和实现方法，基于w e b 服务的软件重用开发方 法，抽取权限控制服务供不同应用系统调用，实现权限管理与应用系统的解耦。 ( 4 ) 采用软件工程思想和j 2 e e 开发平台，使用j 2 e e s o a 分层架构，将统一权限控制 机制应用到开发c r m 系统的权限管理中。 1 4 本文主要工作 本文主要目的是设计一种更加通用的权限控制机制，并构造一个基于s o a 的统一权 限管理系统达到对企业不同业务系统的统一授权管理。 主要研究工作包括理论和实践两个方面。理论研究方面：对比分析d a c 、m a c 和 r b a c 访问控制模型，指出传统访问控制技术的不足之处和r b a c 的优势所在：提出继承 和优先约束驱动的用户和角色访问控制模型i p cu r b a c ，扩展模型使得访问控制的粒度 更细，更能适应企业应用的需求。具体实践方面：设计了二进制权限掩码，实现复杂权限 设置问题。提出基于s o a 和i p cu r b a c 的统一权限控制机制实现对企业不同业务系统 有效的统一权限管理，提高权限管理的重用性，并给出统一权限控制机制的设计和实现方 法。用j 2 e e 分层体系结构和s o a 思想来搭建系统平台，将统一权限控制机制应用到为中 泰阳光电气科技有限公司开发的c r m 系统中。 1 5 论文的组织结构 论文的章节组织如下： 第一章绪论介绍课题的研究背景、国内外研究现状、研究的创新点以及主要工作， 强调研究基于s o a 的统一权限控制机制的必要性。 第二章访问控制理论和课题所需技术研究首先，分析传统的访问控制技术d a c 、 m a c 和r b a c ，详细介绍了r b a c 模型思想，并分析了r b a c 模型存在的问题，为扩展 r b a c 模型奠定基础。然后，阐述课题研究所需的技术和知识：阐述s o a 的定义和特点， 着重讨论了实现s o a 所需的技术w e bs e r v i c e ，突出“w e b 服务复用是s o a 的核心，设 计j 2 e e s o a 开发架构，以及在j 2 e e 环境使用x f i r e 开发w e b 服务。 第三章i p cu r b a c 模型的设计改进r b a c 模型提出了继承和优先约束驱动的用 户和角色的柔性访问控制模型i p c，给出了模型的形式化定义，并分析其可行性。 第四章基于的统一权限_u控r制aa机csoa制设计与实现基于i p cu r b a c 模型和s o a 思想提出统一权限控制机制，并给出统一权限控制机制的设计和实现方法。 第五章统一权限控制机制的应用将统一权限控制机制应用到c r m 平台的权限管 4 基于s o a 的统一权限控制机制研究与应用 理中，验证机制的可行性。 第六章结束语对全文进行了总结，提出下一步要做的工作。 基于s o a 的统一权限控制机制研究与应用 第二章访问控制理论和课题所需技术研究 2 1 访问控制技术 访问控制是在访问主体和客体介入的一种安全机制，目的是来验证访问主体的权限， 并管理受保护的客体对象。换句话说，访问控制即：“通过某种策略明确规定哪些用户可 以使用哪些资源”。如图2 1 ，访问控制包括3 个主要部分：主体、客体和访问控制决策。 图2 1 访问控制模型 主体( s u b j e c t ) ：对其他实体施加动作的主动实体，称为用户( u s e r ) 或访问者。包括用户、 终端、主机或一个应用，主体可以访问客体。 客体( o b j e c t ) ：是能够以某种方式对其进行操作的任何资源对象，是需要保护的对象。 包括信息、文件、记录等的集合体，或者网络设施等。 访问控制决策：是主体对客体进行访问的约束条件集，通过制定一组相关规则来管理 主体对客体的访问。它决定访问主体能够做什么和做到什么程度，体现了一种授权行为。 访问控制流程：主体提出对客体的访问请求，首先被访问控制执行功能( 实现访问控 制的一段代码或监听器) 截获，然后将请求的主体和客体对象都提交给访问控制决策功能， 决策功能根据制定的访问控制规则返回决策结果( “允许 或“拒绝 ) ，访问控制执行功 能根据返回结果决定是否执行对客体的访问。 2 2 访问控制模型介绍 2 2 1 自主访问控制( d a c ) 自主访问控制( d i s c r e t i o n a r ya c c e s sc o n t r 0 1 ) 1 1 7 l ，又称任意访问控制，允许对象的拥 有者制定针对该对象的保护策略。自主是指允许拥有访问权限的主体任意转让访问权限。 d a c 中，主体的拥有者可以自己设置访问权限。 自主访问控制的特点是授权主体自己负责赋予和回收其他主体对客体资源的访问权 6 基于s o a 的统一权限控制机制研究与应用 限。d a c 模型一般采用访问控制矩阵和访问控制列表存放不同主体的访问控制信息，实现 对主体访问权限的限制目的。 d a c 的优点是为用户提供灵活和易行的数据访问方式，表述直观、易于理解，并且比 较容易查出对一特定资源拥有访问权限的所有用户，容易实施有效的授权管理，能够适用 于许多的系统环境。但是，d a c 的最大缺陷是主体的权限太大，资源的拥有者可以自行决 定资源的访问权限，提供的安全性还相对较低，不能够对信息资源提供充分的保护，容易 造成信息的泄露。 2 2 2 强制访问控制( m a c ) 强制访问控制( m a n d a t o r ya c c e s sc o n t r 0 1 ) i s 】是为了实现比d a c 更严格的访问控制， 根据客体和主体的安全级别来限制主体对客体的访问。系统根据主体和客体的安全等级分 配一个安全级别，访问控制执行时对主体和客体的安全级别进行比较。m a c 独立于用户 行为来强制执行访问控制，用户不能改变他们的安全级别或对象的安全属性。 m a c 通过安全标识实现信息流只能从低安全级流向高安全级，可以防止出现自主访 问控制方法中出现的访问传递问题。m a c 具有层次性，级别高的权限可以访问级别低的 权限。 m a c 的优点是管理集中，具有很强的等级划分，根据定义的安全级别实现严格的权 限管理，经常用于军事管理中。美国政府和军方一直使用此种访问控制模型。但m a c 太 严格，并且实现起来工作量太大，管理不便，不适用于主体或客体经常更新的应用环境。 m a c 对于防止因用户无意造成的信息泄露以及在防止木马盗窃信息上有所帮助，但m a c 的控制机制缺少完整性，过于强调系统保密性，对授权的可管理性也考虑不足。 2 2 3 基于角色的访问控制模型r b a c d a c 是用户自主赋予或撤销访问权限，不是管理员确定哪些用户对资源有访问权限， 不利于全局授权管理。m a c 过于强调保密性，对授权的可管理性考虑不足。2 0 世纪9 0 年 代n i s t 提出的基于角色的访问控制r b a c ( r o l cb a s e d a c c e s sc o n t r 0 1 ) 被认为有效地克服了 传统访问控制的不足。 基于角色访问控制( r b a c ) 模型是目前世界上使用最广泛的访问控制方法1 3 - 6 , 1 9 】。r b a c 的核心思想是通过分配和取消角色来完成用户权限的授予和取消，并且提供角色分配规 则。图2 2 描述了r b a c 的基本思想，系统管理员根据需要定义各种角色，并分配合适的 访问权限，而用户根据其工作职责被分派不同的角色。因此，整个过程可分为两部分：首 先将访问权限与角色相关联；然后根据工作职责将角色与用户关联，实现用户与访问权限 的逻辑分离。r b a c 支持最小特权、责任分离以及数据抽象三个基本的安全原则。 7 基- ps o a 的统一权限控制机制研究与应用 图2 2r b a c 模型的基本思想 l 、r b a c 中的相关定义： 主体( s u b j e c t ) ：能够向应用系统发出请求的任何实体，包括用户、其它与本系统 有接口的应用程序、非法访问者。 用户( u s e r ) ：用户是可以独立访问系统中的数据的访问主体，用户通常指人。 资源( r e s o u r c e ) ：在访问控制中称为客体或受控对象，是系统中受到保护的对象。 操作( o p e r a t i o n ) ：对资源的各种执行动作，如增加、删除等。 角色( r o l e s ) ：角色是指一个组织或任务中的工作或位置，它代表了一种资格、权 利或者责任。 权限( p e r m i s s i o n ) ：是对系统中的数据或者受控资源进行访问的许可。权限是资 源和操作的一个二元关系。 角色权限分配( p e r m i s s i o na s s i g n m e n tp a ) ：又称角色授权，是角色与权限之间的 一个二元关系，我们用( r p ) 来表示角色r 拥有一个权限p 。 用户角色分配( r o l ea s s i g n m e n tr a ) ：是用户和角色之间的一个二元关系，我们用 ( ur ) 表示用户u 拥有一个角色r 。 会话( s e s s i o n ) ：是用户到角色之间的一种映射关系，用户必须通过会话来激 活角色来获取相应的权限。 约束( c o n s t r a i n t ) ：是一组强制性的规则集合，是r b a c 的重要组成部分。模型中 定义了职责分离关系( s e p a r a t i o no fd u t y ) 来控制权限冲突问题，包含静态职责分 离和动态职责分离。 2 、r b a c 模型 如图2 3 ，r b a c 包含用户o r ) 、角色( r ) 、客体( o b s ) 、操作( o p s ) 、权限( p ) 五个 基本数据元素。权限被赋予角色，而不是用户，当一个角色被指定给一个用户时，此用户 就拥有了该角色所包含的权限。会话s 是用户与激活的角色集合之间的映射。r b a c 与传 统访问控制的差别在于增加一个角色中间层来增加授权灵活性。 l m a c 的形式化定义： 1 u 、r 、p 和s 分别表示用户、角色、权限和会话的集合 2 p a c p x r ，p a 是多对多的权限和角色指派关系。 3 u a g u x r ，u a 是多对多的用户和角色指派关系。 4 角色继承：如果角色x 继承了角色y ，则称x 是y 的父角色，y 是x 的子角色， 记为x y 5 r h r x r ，r h 是关于r 的偏序集，称为角色继承或角色支配关系。记作。 8 基于s o a 的统一权限控制机制研究与应用 6 r o l e s ：s 专2 r ，r o l e s ( s ) 是- - 个映射函数，每个会话s 对应一个角色集。 7 r o l e s ( s ) r l 皿r t 【( u ，r ) u a 】) ，会话s 拥有权限集u ，e 砌( ，) 扫l j ，【( p ，) 尸川) 8 u s e r s ：s 寸u ，u s e r s ( s ) 是一个映射函数，将每个s 映射到唯一的用户。 角色继承 图2 3r b a c 模型 在r b a c 中，为了避免相同权限的重复设置和减少定义角色的数目来方便授权，增加 了角色的继承关系，即进行了角色分层，一个角色可以通过继承一个或多个角色来定义 1 9 2 0 1 。通过继承，角色不仅拥有自身的权限，同