（计算机应用技术专业论文）工作流任务授权模型研究.pdf

摘要 工作流技术的研究正日益受到人们的重视。然而，作为一个新兴 的研究领域，工作流还存在着很多问题有待进一步研究和解决，其中 之一就是系统的安全问题。本文的研究重点是工作流的安全问题之 一：流程中的安全任务授权。工作流的任务授权与访问控制紧密相关。 访问控制本身就是一门很深厚的学问，而工作流的任务授权问题研究 的是如何将访问控制模型更恰当、更简洁地应用到工作流系统中，使 得工作流的运转更好地和人的操作有序地结合起来。 首先介绍了工作流管理系统及工作流参考模型，分析了工作流环 境下任务授权的特点及特殊要求。随后，分析了经典的授权访问控制 模型r a b c ，探讨了它应用在工作流任务授权的可用性和局限性。随 后，基于r b a c 模型的基本原理，提出了一个适用于工作流环境的动 态任务授权模型t i a m 。使得流程任务能够根据工作流系统的执行上 下文，适时地授权给用户或者撤销用户的权限。在t i a m 模型中，授 权分为静态授权与动态授权两个阶段，以更进一步适于具体应用环 境。 论述了t i a m 模型的体系结构。t i a m 模型从功能分为定义期功能 与运行期功能。之后论述了t i a m 模型的设计和实现，并着重叙述了 其中的关键技术和难点。包括数据库、类结构设计、动态授权过程等。 本文还叙述了t i a m 模型的一个具体应用项目，湖南电信办公平台。 最后对t i a m 模型的特点、论文的工作进行了总结，并对未来的工作 进行展望。 关键词工作流，任务授权模型，访问控制，r b a c a b s t r a c t w o r k f l o wt e c h n o l o g yh a sb e e ng a i n i n gc o m p r e h e n s i v ea t t e n t i o n r e c e n t l y a san e wr e s e a r c hf i e l d ，h o w e v e r , t h e r ea r em a n yp r o b l e m st ob e r e s o l v e d o n eo fw h i c hi st h es e c u r i t yi s s u e t h et h e s i sf o c u s e so nt a s k a u t h o r i z a t i o ni nw o r k f l o we n v i r o n m e n t a sw ek n o w , t h et a s k a u t h o r i z a t i o ni st i g h t l yr e l e v a n tt oam a t t e ra c c e s sc o n t r 0 1 w h i l et h e a c c e s sc o n t r o li t s e l fi sq u i t ep r o f o u n d t h et a s ka u t h o r i z a t i o ni s s u ei n w o r k f l o ws y s t e m si ss t u d y i n gh o wt oi n c o r p o r a t ea c c e s sc o n t r o lm o d e l i n t ow o r k f l o wr u n t i m ec o n t e x ti nas i m p l ea n da p p r o p r i a t ew a yt om a k ea w o r k f l o wc o o p e r a t ew i t hm a n u a lo p e r a t i o n sc o h e r e n t l y t h ew o r k f l o wm a n a g e m e n ts y s t e ma n dt h ew o r k f l o wm a n a g e m e n t r e f e r e n c em o d e la lei n t r o d u c e d t h e n t h et h e s i s a n a l y z e st h e r e q u i r e m e n t sa n df e a t u r e so ft a s ka u t h o r i z a t i o ni nw o r k f l o we n v i r o n m e n t a sw e l la sac l a s s i ca c c e s sc o n t r o lm o d e ln a m e dr b a c a n di ta n a l y z e s t h ep o s s i b i l i t i e sa n dd r a w b a c k sw h e na p p l y i n gi 氇a cm o d e lt ow o r k f l o w e n v i r o n m e n t s b a s e do nt h eb a s i cp r i n c i p l eo fi 氇a c ，t h et h e s i sp r e s e n t s ad y n a m i ca c c e s sc o n t r o lm o d e l ，n a m e da st i a m ，t of u l f i l lt h es a f e t y r e q u i r e m e n t so ft a s ka u t h o r i z a t i o ni nw o r k f l o we n v i r o n m e n t s i nt i a m m o d e l ，w o r k f l o wt a s k sc a nb eg r a n t e do rr e v o k e dt o f r o mu s e r sa c c o r d i n g t ot h ec o n t e x to fw o r k f l o w t h ea u t h o r i z a t i o np r o c e s si sd i v i d e di n t ot w o p h a s e s o n ei ss t a t i ca u t h o r i z a t i o na n dt h eo t h e ri sd y n a m i ca u t h o r i z a t i o n t h i sm a k e st i a mm o d e lm o r ea p p l i c a b l ei nar e a la p p l i c a t i o n t h ef u n c t i o na r c h i t e c t u r eo ft h et i a mm o d e li sw e l ln a r r a t e d i t i n c l u d e st h ed e f i n i t i o np h a s ef u n c t i o na n dt h ee x e c u t i o np h a s ef u n c t i o n t h e n ，t h et h e s i sd e s c r i b e st h ed e s i g n i n ga n di m p l e m e n t a t i o no ft h e m o d e li nd e t a i l ，i n c l u d i n gt h ed e s i g no ft h ed a t a b a s e ，t h ec l a s s e sl i b r a r y , e t c a i t e rt h a t ，h u n a nt e l e c o mo 所c ea u t o m a t i o ns y s t e m ，as p e c i f i c a p p l i c a t i o ns y s t e m w i t ht i a mm o d e l ，i s i n t r o d u c e d f i n a l l y , t h e c o n c l u s i o ni sg i v e n ，a n dt h ef u t u r ew o r ki ss i m p l yd i s c u s s e d k e yw o r d sw o r k f l o w ，t a s ka u t h o r i z a t i o nm o d e l ，a c c e s sc o n t r o l ， r b a c 原创性声明 本人声明，所呈交的学位论文是本人在导师指导下进行的研究工 作及取得的研究成果。尽我所知，除了论文中特别加以标注和致谢的 地方外，论文中不包含其他人已经发表或撰写过的研究成果，也不包 含为获得中南大学或其他单位的学位或证书而使用过的材料。与我共 同工作的同志对本研究所作的贡献均己在论文中作了明确的说明。 作者签名：犀趁氐= = 物日期：望璺生年上月4 日 学位论文版权使用授权书 本人了解中南大学有关保留、使用学位论文的规定，即：学校有 权保留学位论文并根据国家或湖南省有关部门规定送交学位论文，允 许学位论文被查阅和借阅；学校可以公布学位论文的全部或部分内 容，可以采用复印、缩印或其它手段保存学位论文。同时授权中国科 学技术信息研究所将本学位论文收录到中国学位论文全文数据库， 并通过网络向社会公众提供信息服务。 作者签名：肚导师签名：妞日期：坦年上月坐日 硕士学位论文第一章绪论 第一章绪论弟一早珀t 匕 工作流技术是用来进行业务过程的设计、分析、优化和自动化运行的计算机 技术。工作流技术一经出现，立即得到了广泛的重视和关注，成为了当前国内外 的研究热点。随着工作流技术在越来越多的领域中得到应用，工作流管理系统中 的安全问题越发成为一个重要的研究课题，任务授权就是其中之一。本章将对工 作流安全任务授权的来源、研究现状和研究意义进行讨论。 。 1 1 选题背景 在以全球化为主导的市场经济的环境中，企业只有不断地提高办事效率，降 低生产成本，提高企业生产经营管理水平和企业竞争力，才能在激烈的市场竞争 中生存和发展。除此以外，企业还面临以下问题： ( 1 ) 企业的经营模式也发生了巨大变化，从“以产品为中心”的传统经营模 式向“以客户为中心”的新的经营模式转变。这使得企业需要不断地对其业务过 程进行优化，以及在客户业务过程发生变化时迅速地对业务过程进行重组来满足 客户的需求； ( 2 ) 随着企业业务规模的扩大、企业间合作的日益密切和市场竞争的日益剧 烈，企业内部、企业之间的协作活动日益膨胀，迫切需要计算机技术的支持，以 求提高协作效率，以增强企业自身的竞争能力。 如何满足这些需求成为许多企业函待解决的问题，随着计算机网络技术和分 布式数据库技术的迅速发展，工作流技术的出现正是为了实现这些企业需求。它 给企业的业务过程管理带来了很大的益处。 工作流技术是用来进行业务过程的设计、分析、优化和自动化运行的计算机 技术。它将业务过程逻辑同应用软件的过程运行分开，并管理过程参与者之间的 关系，集成内部与外部过程资源和监控过程的运行【1 1 。工作流技术综合了计算机 科学和管理科学中诸多研究领域的原理、方法和技术，如数据库管理、面向对象 技术、编程语言、图形化用户界面、系统集成、消息传递，文档管理等等。目前， 大学和研究机构正在对工作流技术开展广泛、深入的研究，工作流技术研究工作 主要体现在以下方面： ( 1 ) 工作流的理论基础，包括体系、模型、语言、接口等； ( 2 ) 工作流实现技术，包括性能、可靠性等方面的研究； 硕士学位论文第一章绪论 ( 3 ) 工作流技术的应用，包括实施方法、应用集成等。 除此之外，产品供应商也在不断地推出新的产品，不断地弥补实际应用中存 在的不足。在国外方面，产品供应商主要包括i b m 、f u j i t s u 、f i l e n e t 、j e t f o r m 、 a c t i o n 等公司，由其生产的商用工作流管理系统分别是i b mm q s e r i e sw o r k f l o w 、 t e a m w a r e 、v i s u a lw o r k f l o w 、i n t e m p o 、a c t i o nm e t r o 等：国内方面的研究机构 主要包括清华大学自动化系、华中科技大学计算机系、东北大学计算机系等【2 l 。 目前，工作流技术在一些行业中己获得了较好的应用，并取得了较好的经济 效益，如现代集成制造系统、银行金融系统、保险系统、电信系统以及电子商务 等。这些行业跨地区、跨部门，其业务流程规模大、业务逻辑复杂，工作流技术 对高效地执行这些业务流程起了十分重大的作用。工作流技术一经出现，立即得 到了广泛的重视和关注，成为了当前国内外的研究热点。根据国际咨询公司 d e l p h i 集团的调查，在未来的若干年中，很少能有软件领域比工作流软件受到更 多的关注【3 】。 然而，作为一个新兴的研究领域，工作流技术还存在着很多问题有待进一步 研究和解决。当前应用中的一些主流工作流管理系统所暴露出来的问题主要有： ( 1 ) 系统的通用性问题 当前的工作流管理系统软件产品种类繁多，它们之间缺乏统一的交换格式， 除了少数产品之间可以实现数据共享之外，大多数产品处理的信息，不能用在另 一种产品。 ( 2 ) 系统结构和能力上的不足 目前的商业工作流管理系统大都起源于办公自动化系统，因此工作流管理系 统一开始只是作为一种协同工具，为小群件而设计的，其解决的主要是共享和协 作问题。而将其运用到大型环境中时，存在的弊病就暴露出来了，如单个数据库、 通信支持的不足、不支持异构和分布式环境等。 ( 3 ) 系统的安全问题 工作流管理系统中不同的业务流程之间经常需要相互作用，以共享信息和资 源。资源的共享必然会引起一系列安全问题。由于工作流是通过计算机自动控制 的，通常情况下不需要人工干预，这使得人们很难设计出一种能够适应各种情况 的安全策略。如果任务授权的安全策略太过严谨就会失去实用性，而太松散则容 易造成权限失控的局面。 在以上问题中，第三个问题也就是工作流系统的安全问题严重制约了工作流 系统在企业中的广泛应用。随着工作流技术在越来越多的领域中得到应用，工作 流管理系统中的安全问题越发成为一个重要的研究课题。 2 硕士学位论文第一章绪论 1 2 研究意义 工作流管理联盟指定的工作流安全白皮书【4 】中将工作流安全服务分为认证、 授权、访问控制、审计、数据加密、数据完整性、防否认和安全管理八个方面， 对工作流系统应该具有的安全特性进行了统一定义。 认i 正( a u t h e n t i c a t i o n ) ：确认连接用户的合法性，是系统对用户身份进行 鉴别以证明其为合法用户的过程。 授权( a u t h o r i s a t i o n ) ：标识用户可能拥有的各种系统功能，是系统将特定 权限授予某个合法用户的过程。 访问控铝l j ( a c c e s sc o n t r 0 1 ) ：系统对用户身份进行认证，再将其访问请求 与用户授权信息进行比较以决定是否允许用户的访问请求的过程。 审计( a u d i t ) ：维护系统事件和操作的历史，用来鉴定感兴趣的事件和操 作，检查可能存在的安全隐患。 数据加密( d a t ap r i v a c y ) ：确保数据传输和存储时的安全性，使数据只能 由合适的用户访问，是指数据不能被非授权泄漏。 数据完整性( d a t ai n t e g r i t y ) ：确保数据传输和存储时的完整性，并能进行 数据恢复，是指不能对数据进行非授权修改。 防否认( n o nr e p u d i a t i o n ) ：防止用户身份的否认，是指系统必须防止用 户否认其做过的工作。 安全管理( s e c u r i t ym a n a g e m e n t & a d m i n i s t r a t i o n ) - 管理密码、密钥、安 - 全策略等。 工作流系统主要是对企业业务的处理进行尽可能的自动化管理，因此该系统 非常强调任务这个概念，处处以任务为中心：任务建模、任务分配、任务调度、 任务监控、任务日志等等。 任务分配也称任务授权，是将任务的相关权限指派给一个合法的操作用户的 过程。一个合适的任务授权机制应该保证了预先定义好的任务只能被合法的用户 来执行：还应该保证授权只有在任务开始执行时才进行授予，且一旦任务结束， 授权就要被收回，否则的话，一个用户拥有权限的时间就会长于他需要权限的时 间，这会导致安全泄露。 任务授权保证了任务的安全执行。如果工作流管理系统对任务权限的安全保 护不够，不可避免的就会出现一些人员利用工作之便进行非法操作的可能。所以， 在工作流安全白皮书列出的安全问题中，任务授权是一个很重要、也很困难的安 全问题。 当前的许多工作流产品虽然也提供一定的安全功能，但大多数仅限于用户的 验证、网络安全等方面，而对复杂应用环境下的任务授权控制则显得有些力不从 硕士学位论文第一章绪论 心。虽然现在有了众多的授权控制模型，但它们并不能完全满足工作流管理系统 的需要。工作流管理系统需要的授权控制应该是动态的，能自动实现，还需要是 安全、有效且简洁的。 在我国，中小企业占绝大多数，随着企业对业务处理自动化的需求的增长， 这意味着工作流管理系统的广阔市场应该是面向中小企业的。可以预见适合中小 企业的安全工作流系统的需要将不断增加。因此对工作流安全技术的研究，有利 于扩大工作流产品在企业中的应用，从而提高企业的生产经营管理水平，增强企 业的竞争力，对国民经济的发展有很大的影响。 1 3 国内外研究现状 安全任务授权是当前安全工作流研究的重要课题。目前，安全流程任务授权 的研究主要结合访问控制技术进行展开。 在访问控制技术中，传统的自主访问控i j ( d a c ) 和强制访问控i 茜i j ( m a c ) 是两 种著名的访问控制策略【5 1 。d a c 模型被定为商用、民用系统和甲级安全军用系 统中的访问控制标准，m a c 模型被定为多级安全军用系统的访问控制标准。这 两种访问控制模型是目前研究最充分、应用最广泛的模型。然而，由于d a c 模 型与m a c 模型都是将用户和权限自接联系，因而，其资源控制无法适应复杂多 变的应用系统中资源的变动、人员的变动以及系统任务之间相互协调和关联关 系的需要【6 】。在这种情况下，基于角色和基于任务的访问控制模型等一些较为主 动型的访问控制方式被广泛地采纳。基于角色的访问控制( r b a c ) 虽然在八十年 代就被提出并得到广泛的应用，但相关的抽象模型和理论模型架构却较为空缺。 直到九十年代，r a v is a n d h u 等人才提出了相关的抽象模型7 1 。s a n d h u 还提出了 基于任务的访问控制模型( t b a c ) i s , 9 】，但t b a c 模型还处在研究初期阶段。 由于r b a c 则在用户和存取权限之间加入角色作为沟通桥梁，实现了用户 与存取权限的逻辑分副1 0 】。r b a c 相对于d a c 与m a c 将用户和权限自接联系 的方法，减少了人事变动对系统产生的影响，增强了系统稳定性。同时r b a c 是策略中立的，根据应用系统的具体环境进行动态配置。在工作流环境中采用 r b a c 模型，可以方便授权管理。因而，相对m a c 及d a c 而言，r b a c 更适 用于工作流环境。 在r b a c 框架的基础上，s a v i t hk a n d a l a 和r a v is a n d h u 提出了一个基于角 色的安全工作流模型【i i 】。众所周知，r b a c 把权限处理成一个抽象的符号。权限 的本质在很大程度上依赖于是什么样的系统以及系统的实施细节。此文最主要的 贡献就是通过灵活地定义权限的本质，展示了r b a c 模型能扩展来建立基于角 色的安全工作流模型。它确保组成工作流的任务只能被属于特定角色的用户执 4 硕士学位论文 第一章绪论 行。虽然安全工作流模型有以上的种种优点的，但它也有很大的缺陷：它把抽象 权限解释为一个( 操作，任务) 偶对，经授权的用户拥有权限的时间可能长于他 需要权限的时间，从而可能导致安全泄露。 1 9 9 6 年，a l t l u r i 等人在文献【1 2 提出了一个工作流授权模型( w a m ) ，在他们 的模型中，他们提出了授权模板的概念。工作流的每个任务都和某个适当的授权 模板相联，这使得真正的授权只有在任务开始时才从授权模板导出来。在w a m 中，授权流与工作流是同步的。但是由于每个任务可能与很多个授权模板相联， 管理起来非常繁琐。从概念角度来看，w a m 中的授权是一个最基本的概念且表 示这样一个事实：在某个时间段内，一个主体拥有访问某个客体的某种权限，而 且，在一个授权模板中，一类角色是和某一类可被某个任务处理的对象是固定的， 这种方式不是很灵活。 近年来，国内学者也展开了对流程任务授权模型的研究。邢光林等人在文献 1 3 1 4 1 提出了一个基于r b a c 的工作流授权模型r w a m ，该模型提出了时态权 限的概念，表示只能在某个时间段内，对某个任务执行某种操作。时态权限保证 组成工作流的任务只能被属于某个特定角色的用户执行，而且可以保证授权流与 工作流同步。然而，r w a m 模型对流程定义阶段的静态授权与流程执行阶段的 动态授权没有明确区分。r w a m 模型的角色比较简单，主要利用授权约束去解 决授权过程中的职责分离问题，而没有充分利用r a b c 的职责分离能力。将流 程执行过程中需要同一个用户执行的任务利用授权约束去保证，大大增加授权约 束的建模工作的工作量与复杂性，不适应于实际的工作流环境。以上办法简化了 问题，却不适合机构复杂的中大型企业，在实际的任务实例授权过程中使用有一 些待改进之处。 1 3 论文的研究内容与结构 本课题将在以上研究的基础上，结合r b a c 经典模型的基本原理，研究及 设计适合具体工作流环境的安全任务授权模型动态的面向流程任务实例授 权模型。 论文分为四大部分。第一部分为第一章，论述了安全工作流中的任务授权技 术的起源及其研究与应用现状。第二部分为第二、三、四章，首先介绍了工作流 技术及r b a c 模型的基本理论，然后提出一个适合流程环境的安全、动态的任 务授权模型任务实例授权模型( t i a m 模型) 。其中，第三章给出t i a m 模型 的数学描述，第四章给出t i a m 模型的具体实现以及应用实例。第三部分为第五 章，为本文结束语。具体情况如下： 第一章，绪论。本章分析了工作流中任务授权技术的起源及其发展现状，评 硕士学位论文 第一章绪论 述了对工作流中任务授权技术研究的意义，指出了现阶段工作流任务授权技术的 研究所存在的不足。 第二章，工作流与r b a c 简介。对工作流与r b a c 的理论基础、研究现状 进行详细的介绍。在此之上，对工作流环境下任务授权模型的特点与要求进行探 讨。 第三章，t i a m 模型数学描述。在r b a c 基本之上，从理论上设计了一个适 合流程环境的任务授权模型；用集合和关系的概念定义了该模型的基本性质、规 则、操作。 第四章，t i a m 模型设计与实现。本章介绍了t i a m 模型的体系结构、数据 库设计方案以及实现细节。实现细节包括：t i a m 模型的类结构设计、动态授权 过程、任务实例非法受权用户算法设计。在此之后，介绍了t i a m 模型在湖南电 信办公平台之中的应用。分析了湖南电信办公平台的体系结构，包括物理结构、 逻辑结构。并对湖南电信办公平台权限管理工具、任务列表进行了简要介绍。 第五章，总结与展望。分析t i a m 模型的的特点；对论文所作的工作进行了 总结：并对下一步的工作进行了展望。 1 4 本章小结 本章讨论了工作流中的安全任务授权技术的起源及其研究与应用现状。分析 了工作流中的安全任务授权技术发展的现实意义，并指出了其存在的问题。最后 概述了论文的研究内容和论文结构。 6 硕士学位论文第二章工作流与r b a c 简介 第二章工作流与r b a c 简介 工作流的概念起源于生产组织和办公自动化领域，是针对日常工作中具有固 定程序的活动而提出的一个概念。工作流技术为企业更好地实现经营目标提供了 先进的手段。与自主访问控南i j ( d a c ) 和强制访问控i j ( m a c ) 相比，基于角色访问 控制模型r b a c 是一种较为主动型的方式。在对工作流以及r b a c 的基本原理 进行介绍的基础上，本章讨论了工作流任务授权的特点与要求，并讨论r b a c 应用于流程任务授权的优点与不足。 2 1 工作流基础 工作流技术是实现企业业务过程建模、业务过程仿真分析、业务过程优化、 业务过程管理与集成，最终实现业务过程的自动化的核心技术。它将业务过程逻 辑同应用软件的过程运行分开，管理过程参与者之间的关系，集成内部与外部过 程资源和监控过程运行。工作流管理系统的核心是业务流程的表示，业务流程就 是为了完成一个共同的目标的一些任务的集合，这些任务是以偏序关系组织的， 能被人或其它资源调用完成，以达到事先定义需求。工作流技术使应用软件更具 有弹性和适应性，允许企业能适应商业环境的快速变化。 2 1 1 工作流管理系统 不同的研究者从不同的角度给出了工作流定义，下面给出比较有代表性的定 义。 w f m c ( 工作流管理协会，w o r k f l o wm a n a g e m e n tc o a l i t i o n ) 给出的定义剧”】： 工作流是一类能够完全或部分自动执行的经营过程，它根据一系列过程规则，文 档、信息或任务能够在不同的执行者之间传递与执行。 i b ma l m a d e n 研究中心的定义是【1 6 】：工作流是经营过程的一种计算机化的 表示模型，定义了完成整个过程所需的各种参数。 中国学者范玉顺等人给出的定义是【l7 】：工作流是一种反映业务过程的计算 机化的模型，是为了在先进计算机集成支持下实现经营过程集成与经营过程自动 化而建立的可由工作流管理系统执行的业务模型。 对于工作流管理系统，w f m c 给出的定义是：工作流管理系统( w f m s ) 是一 种特殊的计算机支持协同工作( c s c w ) 的软件，它可自动或者半自动地按预先设 7 硕士学位论文第二章工作流与r b a c 简介 计好的流程进行执行、自动分配资源、协调参与者，达到自动高度和电子化管理 等目标【l a j 9 l 。这种软件的最大的好处就在于：对某个具体的业务流程，只需要按 一定的模型建立业务的流程描述，这种描述好的业务流程可以在工作流平台软件 上自动或半自动地执行和被管理，而不需要对每个具体的业务流程重新开发一套 流程控制软件。这对解决电子商务系统、企业资源计划系统、供应链管理系统、 客户关系管理系统以及信息管理系统中的大量流业务流程的处理，提高软件系统 的资源整合、应用集成提供了一种有效的解决方法。 图2 - 1 工作流管理系统的主要功能 工作流系统是为解决企事业单位中无纸办公和业务处理的过程建立与管理 以及过程内部的自动处理而提出的一种分布、协作的软件系统，随着计算机的普 及，特别是计算机网络、i n t o n e t 、i n t r a n e t 的发展和普及，这种特殊的协同工作 方式已经扩展到企事业单位的设计流程、工艺流程、生产流程等各种工作流程， 极大地提高了企事业单位的管理能力和市场应变能力。工作流管理的一个主要目 标就是把流程逻辑从嵌入到每一个应用中的业务逻辑分离出来，通过这种分离使 得两种逻辑能够独立地修改，同时在业务逻辑实现过程中对不同的流程逻辑重 用，因而提升软件的重用，集成异种或孤立的应用系统的能力。 不同工作流管理系统可以有不同的实现方法，不同的底层通讯机制，应用的 硕士学位论文第二章工作流与r b a c 简介 范围也可能有很大的差距，但它们还是具有许多共同的特性，所有的工作流管理 系统从用户的应用层上来看，通用工作流管理系统应该能够提供以下两个方面的 功能支持： ( 1 ) 建立期功能，即对工作流的业务流程及组成这些业务流程的任务进行定 义和建模。 ( 2 ) 运行期功能。包括运行期控制功能与运行期交互功能两个小的方面。运 行期控制功能即在一定的运行环境下，负责创建、执行和控制工作流实例，激活 相应的资源和应用，并完成过程中从一个任务到另一个任务的控制转移。运行期 交互功能是在工作流实例的运行中，工作流管理系统与工作流参与者( 业务工作 的参与者或控制者) 及外部应用程序进行交互的功能。其中，运行期控制功能是 整个工作流管理系统的核心部分。 工作流管理系统的主要功能及它们之间的关系如图2 1 所示。 2 1 2 工作流管理系统参考模型 为了实现不同工作流系统之间的信息交换和协作，w f m c 综合了目前国际市 场上工作流产品的主要特点，提出的工作流管理系统参考模型【2 0 2 1 1 ，该模型由五 个部件和五个接口组成，五个接口分别实现各个部件与工作流运行服务的协同工 作，如图2 2 所示。 工作流管理系统参考模型的五个部件及其主要功能是： ( 1 ) 过程定义工具( p r o c e s sd e f i n i t i o nt o o l s ) 。用来定义工作过程，使之成为 系统可执行的工作流。 ( 2 ) 工作流执行服务( w o r k f l o we n a c t m e n ts e r v i c e ) 。系统的核心部分，负责 管理工作流的创建、运行，任务的分配、工作表的管理等等。 ( 3 ) 工作流客户端应用( w o r k f l o wc l i e n ta p p l i c a t i o n s ) 。工作流参与者用来 察看、管理自己的工作表，同工作流运行服务协同工作，从而处理分配的任务。 ( 4 ) 供调用的应用( i n v o k e da p p l i c a t i o n s ) 。它是一些功能应用的集合，每一 个应用可能负责完成工作流的某一个子过程的执行或完成某项( 些) 活动。工作流 引擎根据工作流的运行情况，调用它们来完成工作流的执行。 ( 5 ) 监督管理工具( a d m i n i s t r a t i o n & m o n i t o r i n gt o o l s ) 。用来监督、管理工作 流的执行及其状态。 工作流管理系统参考模型的五个接口的主要功能是： ( 1 ) 接口l 定义了过程模型在不同建模工具之间的交换形式和操作函数( 即 a p i ) 等方面的标准。理想情况下，过程定义应该可以在多个建模工具之间无缝地 交换，遗憾的是日前还很少或几乎没有达到这一水平，导致这种状况的原因主要 9 硕士学位论文第二章工作流与r b a c 简介 是软件商的利益竞争。但几乎所有工作流管理系统都提供过程定义的导a ( i m p o r 0 和导出( e x p o r t ) 。接口l 还负责获取过程定义，创建和存储一个过程定义。 ( 2 ) 接口2 定义了工作流任务表处理器和工作流引擎之间的交互。主要负责 打开和关闭一个回话( s e s s i o n ) ，生成实例和工作项的简要信息，创建过程实例并 负责任务实例的启动、挂起、恢复、完成。 ( 3 ) 接口3 定义了工作流管理系统对外部应用程序的调用方法。w f m c 建议 每个外部应用程序都应由工作流引擎直接调用，但实际情况不总是如此，如文字 处理器就可以由工作表处理器调用。 ( 4 ) 接口4 定义了工作流数据在各个工作流管理系统中的交换方法，使异种 工作流执行服务能够互操作。 ( 5 ) 接口5 定义了监控工具与工作流引擎的交互方法，负责管理工作流管理 系统，并对工作流的执行进行记录和追踪。 2 2r b a c 基本理论 2 - 2 工作流参考模型的组件与接口 在信息安全访问控制领域，学术界进行了许多研究，普遍认为基于角色的访 问控锘o ( r o l eb a s e da c c e s sc o n t r o l ，r b a c ) 在数据安全控制方面是代替传统自主 访问控制( d a c ) 和强制访问控制( m a c ) 的理想候选。自主访问控$ 1 ( d i s e r e t i o n a r y 1 0 硕士学位论文第二章工作流与r b a c 简介 a c c e s sc o n t r o l s ) 和强制访问控$ 1 ( m a n d a t o r ya c c e s sc o n t r o l s ) 方法都是由主体和 访问权限直接发生关系 2 2 , 2 3 1 ，根据主体客体的安全级别来决定对客体的访问权 限。但是处于全球网络环境中的计算机或软件系统的访问用户往往种类繁多，数 量巨大，并且动态变化，使得用传统的访问控制方法来进行安全管理变得非常困 难。 r b a c 方法引入角色这个中介，根据需要定义各种各样的角色，并设置合适 的访问权限，而用户根据其责任和权利被指派为不同的角色。这样整个访问控制 过程就被分成了两部分，即访问权限与角色相关联，角色再与用户相关联，从而 实现了用户与访问权限的逻辑分离【2 4 1 。 由于r b a c 在与传统访问控制方法相比有很大的优越性，关于r b a c 的研 究己经取得了不少进展。1 9 9 4 年j o m c h e r 等针对面向对象的数据模型提出了基 于角色的访问控制方案【2 5 1 。1 9 9 6 年，美国g e o r g em a s o n 大学的r a v is a n d h u 教 授提出了基于角色的访问控制理论的主体框架，并解决具有大量用户、数据客体 和访问权限的系统中的授权管理问题，提出了r b a c 9 6 t 2 6 】模型和及其后的 r b a c 9 7 模型【27 1 。2 0 0 1 年，n i s t ( n a t i o n a li n s t i t u t eo fs t a n d a r d sa n dt e c h n o l o g y ) 的以j o h neb a r k l e y 为首的r b a c 研究组依托r b a c 经典模型，提出r b a c 2 0 0 1 标型2 8 1 。n i s t 的r b a c 参考模型包括核心r b a c 、层次r b a c 、静态职责分离 和动态职责分离四个模型，静态职责分离和动态职责分离又统称为约束r b a c 。 分别描述r b a c 系统某一方面的特征。在构造实际r b a c 系统时，除了核心 r b a c 构件是必选的，其它构件都是可选的。 除了r b a c 模型以外，f e r r a i l o 等人则讨论了r b a c 的功能及其使用r b a c 的原因，见文献 2 9 】；文献 3 0 给出了r b a c 主要特征的统一定义；文献 3 1 】 3 2 】 将角色加入到面向对象系统中去；文献 3 3 】在不同环境中应用r b a c ；文献 3 4 】 引入其它因素来对r b a c 模型进行扩展。 国内对r b a c 模型的研究也很多，如：文献 3 5 3 6 1 1 3 7 等从总体把握r b a c 模型；文献【3 8 】【3 9 】结合具体实践介绍了应用经验；文献 4 0 】 4 l 】对r b a c 模型的 不同方面进行了深入的研究等等。 2 2 1 核心r b a c 核心r b a c 构件是任何r b a c 系统都必须具备的基本需求，包括五个基本 要素集：用户、角色、对象、操作和访问权限。在r b a c 系统中，用户被指派 给角色，角色拥有权限，用户如果需要进行某项操作，必须先成为拥有该操作权 限的角色的成员。r b a c 的核心是“角色关系”的概念，而角色又是核心的核心 【4 2 1 。核心r b a c 的结构如图2 3 所示。 硕士学位论文第二章工作流与r b a c 简介 用户与角色、角色与访问权限之间是一种多对多的关系，这与实际组织中的 成员、岗位与责权结构关系是一致的。核心r b a c 还引入会话的概念，会话即 一个用户与个角色子集间的映射关系。一个用户可以建立多个会话，一个会话 只有一个用户参与。核心r b a c 的结构如图2 2 所示。 用户( u s e r ) ：是一个访问计算机系统中的资料或者用资料表示的其它资源的 主体。字母u 表示全体用户的集合。用户一般情况下是指人，也可为a g e n t 等 智能程序。 图2 - 3 核心r b a c 结构 权限( p e r m i s s i o n ) ：是对计算机系统中的资料或者用资料表示的其它资源进 行访问的许可。字母p 表示全体权限的集合。权限一般是一种抽象概念，表示对 于某种客体资源的某种操作许可。因此有的模型中将权限细化为二元组( 操作， 对象) ，其中对象是访问控制系统中的真正客体，操作是作用在该对象上的一种 访问方式。由于该二元组中操作一般是与具体的对象相关的，我们在本文中认为 权限是一个语义统一体。 角色( r o l e ) ：是指一个组织或任务中的工作或职位，代表了一种资格、权利 和责任。字母r 表示全体角色的集合。角色是一种语义综合体，可以是一种抽 象概念，也可以对应于具体应用领域内的职位和权利。 用户指派( u s e r a s s i g n m e n t1 ：是用户集u 到角色集r 的一种多对多的关系。 形式化描述为：u a u r ，用户指派也称为角色授权( r o l e a u t h o r i z a t i o n ) 。( u ，0 u a 表示用户u 拥有角色r ，从语义上来说就表示u 拥有r 所具有的权限。 权限指派( p e r m i s s i o na s s i g n m e n t ) ：是权限集p 到角色集r 的一种多对多的 关系，形式化描述为：p a p r 。( p ，r ) p a 表示权限p 被赋予角色r ，从语 义上来说就表示拥有角色r 的用户拥有权限p 。 会话( s e s s i o n ) ：会话即一个用户与一个角色问的映射关系1 4 孔。一个用户可以 拥有多个会话，一个会话只有一个用户参与。在任务授权中，用户与流程角色之 1 2 硕士学位论文第二章工作流与r b a c 简介 间的会话表现为一个任务实例的授权过程。 2 2 2 约束r b a c 约束的r b a c 规定在r b a c 模型上实施职责分离机制。职责分离是一个根 本技巧，职责分离的主要目的是通过把责任和权限分配给不同的多个用户，要求 这些用户合作完成敏感任务以减少欺诈行为或重要错误的可能性。 职责分离是实际组织中用于防止其成员获得超越自身职责范围的权限的一 种利益冲突策略。实际组织中的岗位职责有可以是互相排斥的，解决这种利益冲 突的办法是让不同的角色用户承担互斥的职责以阻止非法操作。图2 4 表示有约 束的r b a c 的结构。 图2 - 3 有约束的r b a c 的结构图 在r b a c 2 0 0 1 标准中，建议引入两种职责分离机制：静态职责分离和动态 职责分离。 ( 1 ) 静态职责分离r b a c 在一个基于角色的系统中，如果一个用户被委派到几个互相冲突的角色上， 就会产生利益冲突问题，预防的策略之一就是进行静态职责分离。静态职责分离 要求在用户角色委派时实施约束。这种静态约束的形式灵活多样，r b a c 2 0 0 1 建议标准规定的静态约束机制仅限于角色集上的约束关系，特别是用户角色分 配。它要求用户角色分配上的静态职责分离关系带有两个参数：一是包含两个或 两个以上的角色子集，一是大于1 的基数，任何用户在此角色集中被委派的角色 数不得超过基数。 ( 2 ) 动态职责分离r b a c 静态职责分离是在为用户委派角色时施加约束机制，从而减少了可以提供给 某一用户的可能的访问权限。 动态职责分离也是用于限制可提供给用户的访问权限，但作用的机制不同， 1 3 硕士学位论文 第二章工作流与r b a c 简介 静态职责分离定义和限制用户的整体权限空间，而动态职责分离对用户会话中可 激活的角色进行约束，也就是说动态职责分离限制用户权限空间中访问权限的可 用性。 动态职责分离扩充了最小权限原则，在动态职责分离中，一个用户在不同环 境下具有不同的权限级别，动态职责分离确保进行某种操作时所必需的权限不会 在这种操作结束之后继承存在，这种机制称作“信任的实时撤销”( t i m e l y r e v o c a t i o no ft r u s t ) 。 静态职责分离解决的是用户角色委派时潜在的利益冲突问题。尽管静态职责 分离足以解决权限的利益冲突，但是在某些组织中静态职责分离可能过于严格。 例如：在有些公司的有些部门，由于人员较少，允许用户的角色集中存在互斥角 色，但必须限制用户在某一时刻只能使用其中的一个角色。因而，在机构的员工 数量较少的情况下，静态职责分离职责使简单的问题变复杂；相对而言，动态职 责分离就可以灵活解决职责冲突问题。 在动态职责分离中用户可以被委派两个或更多的角色，而且这些角色可以是 潜在互斥的，动态职责分离r b a c 在工作流管理系统中的应用离可以限制这些 角色不能在同一个会话中被激活，因此不会发生利益冲突。 2 3 流程任务授权的特点 在典型的工作流环境中，流程任务的安全授权需要考虑一系列复杂的问题， 这些问题包括以下几个方面：授权过程与任务执行过程同步，支持权限的授予与 委托，授权用户需要动态确定，某些权限需要授权同一授权用户，过程授权需要 满足最小特权原则和职责分离原则。对流程任务的安全授权需要考虑的问题详细 介绍如下。 问题l授权过程需要与任务执行过程同步 在工作流的执行过程中，流程任务权限必须在一定的任务执行完后才能赋给 用户，任务权限的授权过程与流程执行过程紧密联系，需要与之同步。 在业务流程中的实例如：一张超过1 0 0 0 0 元的订单由采购经理批准之前，不 能送到供应商那里；