基于CAD的访问控制方案设计.pdf

务I 勺 化 基于CA D 的访问控制方案设计 C A D b a s e d a c c e s s c o n tro I d e s i g n 李全文 L I Q u a n w e n 中兵光电科技股份有限公司 北京 100176 摘要 CA D产品模型是厂家和设计者智慧和心血的结晶 协同环境下产品模型的安全访问机制对于 保护产品模型的可用性 完整性 机密性和有效性起着关键作用 本文提出了一种针对网络 协同环境下CAD模型的基于任务角色的多层次动态访问控制模型 该模型利用多层次的权限 模型 简化了权限定义及其分配过程 丰富了权限表达能力 实现了产品模型的细粒度访问 控制 关键词 协同设计 CAD 访问控制 产品模型 中图分类号 T P 273 文献标识码 B 文章编号 1 009 01 34 201 1 1 下 一 0001 03 D o i 1 0 3969I J ssn 1 009 01 34 2011 1 下 01 0引言 随着产品知识产权保护意识的不断加强 用 户对于网络协 同设计环境下的产 品模型保护有了 更大的需求 虽然访问控制经过了几十年的发展 但是应用到 CA D 环境中的并不多 近年来随着很 多模型的图纸被修改或者窃取 使得人们对模型 的保护越来越重视 近些年来对 C A D 模型的研究 也越来越 多 本文将 T R BA C 模型 的理论应用 到 CA D 系统中 提出一个基于 T R BA C 的 C A D 模型 加密的访问控制模型 1 系统设计 1 1 系统安全需求 在 C AD 的网络协同设计环境中 数据处理模 式不同于传统的系统数据处理模式 内部数据控 制和管理 而是使用内部 一 外部数据信息交流的方 式 安全访 问控制方案 的设计必须适应这种数据 流动方式的改变 不同的设计单位 用户对框架 的访 问控制服务也有不同的要求 例如 在安全 级别要求较高 的部门中 往往需要采用严格 的设 计策略 用户需要利用访问控制来保护敏感项 目 或项 目中的敏感设计对 象 以及把关键的设计工 作保留给重要用户 而在安全级别要求较低的部 门中 访问控制不需要很严格 因此访问控制系 统必须是有弹性 可定制的 以便满足 不同设计 环境的需要 访问控制 系统还要管理记录访 问控 制的信息 并能够对这些记录信息进行访问控制 1 2 访问控制系统结构设计 根据系统设计需求 对访问控制 系统进行了 设计 服务器端 分两部分 访 问控制部分和应用 服务器部分 访 问控制部分主要 由身份验证服务 器 访 问控制服 务器组成 访问控制服务器是系 统 的核 心部分 为整个 系统 提供访问控制服务 也就是控制所有访问者 的访问请求 根据 已制定 的安全规则 决定访 问是否合法 各部分需要实 现如下功能 1 用户访问应用服务器时 首先必 须向身份 验证服务器 出示 自己的身份 经验证合法后方可 进入角色服务器 2 身份验证通过之后 通过用户角色服务器 方可获得该用户的角色身份 并向角色权限服务 器获得其权限结果 将角色权限和访 问请求发给 访问控制服务器 由其进行决策判断 根据决策 结果决定是否向应用服务器提交用户的访问请求 3 角色库存储 系统定义的角色集合 角色库 由系统管理员管理 收稿日期 2010 10 17 作者简介 李全文 1964一 男 山东安邱人 高级工程师 硕士研究生 研究方向为企业管理 第33卷第1期2011 1 下 1 学兔兔 w w w x u e t u t u c o m l 泣 訇 化 4 角色权限库存储每个角色可访问数据资源 的集合 该库由系统管理员负责管理维护 5 审计信息服务器负责处理用户访 问使用数 据的纪 录 系统管理员可 以浏览 修改系统访问 纪录 6 审计信息库存储用户的访问使用纪录 由系 统管理员通过审计信息服务器管理 维护和使用 系统的结构示意图如图 l 所示 图 1 系统 结 构 不 意 图 应用服务器是 C A D 模型数据的核心部分 主 要用来存储产品模型 是访问控制 系统保护的对 象 任何不通过访 问控制系统许可的对象不能对 其 内部数据进行访问 应用服务器的对外接 口部 分响应通过 了权限控制模块的客户端的数据请求 根据用户的角色身份所具有的权限 为其产生与 其权限对应 的产品简化模型视图 模型数据经过 传输加密后 发送到合法的客户端 2访问控制模型 结合基于任务的访 问控制技术 我们提 出了 基于任务角色的多层次动态访 问控制模型 相对 于传统的基 于角色的访问控制模型和基于任务的 访问控制模型 我们 引入 了角色分层和权限分层 管理 角色分层简化 了权限表示及角色授权过程 21 第33卷第1期2011 1 下 权限分层适应了 C A D 产品多层次结构的特点 模型相关定义如下 定义 1 对象 数据集 产品模型的所有数 据构成了协 同设计的操作数据集 用 D 表示 对 象是指产 品模型数据的一个子集 记为 0b 且对 ob ob D 在层次建模中 ob 可以是 C A D 产 品模型的拓扑面 体特征 零件体或装配体等 定义 2 操作集 操作子集 操作集 记为 O P 是一个有限集 其中的每个元素都表示一种 可 以对对象实施 的操作 op 如果 O O P 则称 O 为一个操作子集 定义 3 访 问权限 访 问权限集 访问权限 集是集合 D 2 的子集 记为 P P 中的每个元 素表示一种权限 记为 P ob O 每一个权限以 对象为单位进行授权 其直观含义是 若 O c O P 且 ob D 则访问权限 P ob o c P 表示对对 象 ob 可以执行操作子集 O 中的各项操作 定义 4 用户 U ser 是指协 同环境中被赋 予一定 角色的集合 具有相应角色 并依据角色 的任务来行使权限 通常指从事协同活动的人员 记为 U 一个用户可以有多个角色 定义 5 角色集 角色 角色集是 由访问权 限集的一些子集构成 的集合 记为 R 即 R 2 角色集的每一个元素表示一种 角色 r r 是一组权 限的集合 即V r R 有 r P 定义 6 角色继承 V r r2 R 如果 r r2 则称 r 继承 r 即满足继承关系 用 r r2表 示 其 中 r 称为父角色 r 为子 角色 角色继承 关 系是一种 偏序关 系 具有 自反性 传递性 和反 对称 性 定义 7会话 Sessi ons 是一个动态概念 用户激 活角色集时建立会话 会话是一个用户与 多个角色 的映射 会话 和角色是 多对 多的关 系 用户在会话 中所具 有的权限是其所有的角色拥有 权限集合的并集 记为 S 定义 8任务 Task 工作流程中的一个逻 辑单元 完成某种特殊 功能 即工作流 的活动 或是若干个活动的组成 任务有静止 存在 失 败 运行 等待和完成 6 种基本状态 任务之间 存在着状态依 赖关系 状 态依赖包括顺 序依 赖 失败依赖 同步依赖 模型根据状 态依赖这个动 态约束进行动态授权 记为 T 定义 9约束 C onstrai nts 表示整个模型各 学兔兔 w w w x u e t u t u c o m 参l 匐 化 个元素之间的限制条件 记为 C 定义 10 角色分 层 R ol e H i erarch 角色到 角色之间的二元关系 具体 表现为在一个组 织内 部的角色等级关系 即关于角色的偏序关系 它 包括继承机制 记为 R H 定义 11 权限状态 perm i ssi on state 这是 权限在执行过程中可能经历的状态 令 P P 则 该权限的状态为 P state 在模型中定义如下 5 种 权限状态 睡眠状态 dorm ant 就绪状态 ready 挂起状态 hol d 运行状态 runni ng 完成状态 accom pl i shed 定义 12 权限关 系 perm i ssi on rel ati on 指 不同权 限之 间的依 赖关 系 根据权限执行的时间 顺序 可 以分为如下 3 类关 系 同步关系 顺序 关系 互斥关系 3模型的实施 3 1 角色划分 为更好的提高管理效率 在角色划分 中需要 重点考虑角色的层次性 在 系统中角色划分为三 个层次 分别为最高级 别系统管理员层 高级别 角色层以及普通角色层 系统管理 员层拥有最高 的权限 主要负责系统角色权限的初始化和系统 的管理维护 系统 管理员角色必须由两个及两个 以上的人共 同担任 同时系统管理 员不能具备行 使一般的设计工作的能力 高级别角色在系统中既 可以从事设计工作 完成产品开发中的设计功能 又可以进行权限授予 普通角色层为一般的设计人 员 只具备完成产品开发中的研发设计能力 角色划分根据任务需求来设定 角色在 系统 中必须执行一定的任务 用符号表示为 1 R rl r2 r3 rD 表示角色集合 rn表示具体的某个角色 2 T tl t2 t3 tTI 表示 任务集合 tIl 表示具体的某项任务 3 RT X 2T 表示角色的任务集合 3 2 权限分配 访问控制是对 系统权限的控制 也就是用户 对某一程序是否拥有执行权 权限必须是具体 的 可以被控制的 将权限进行合理 的划分 合理 的 分配给角色是基于角色的权限控制 系统实施 的关 键 权限的分配过程包括权限分层定义 角色权 限分配 用户角色分配 1 权限分层定义 主要是根据产品模型的功 能特点及设计者的协 同 El 的对产品模型进行划分 分别定义所需要 的部件层权限 零件层权限和特 征层权限 此过程可以映射为数据集 D 与操作集 O P 的关联 一般可以使用二元组 ob op 表示 但是为了实现动态权限管理 访问权限表示为三 元组 ob op state 2 角色权限分配 主要是根据不同用户的设 计任务及权限 问的相互关 系来定义 角色关联 的权 限集合 角色权限分配可以映射为角色集合 R 与 访问权限集合 P 的关 系 可用二元组 r p 来表 示 在权限的分配过程 中还必须考虑权限的互斥 关系 防止角色权限的冲突 3 用户角色分配 可以表示为用户集合 U 与 角色集合 R 的二元关系 可以使用二元组 u r 来表示 用户角色分配过程中必须考虑角色的冲 突关系 角色的任务集合决定了角色具体能够完 成的任务 系统必须具有具体 的功能模块 对功 能模块的使用对应 了角色的具体权限集合 3 3 C A D 模型的加密 C A D 模型的加密是指在协 同环境下将 自己所 做的模型保护起来 同时要满足访问控制的要求 即角色等级 高的用户能查看角色等级低的用户的 模型 同时 C AD 模型既要有加密的算法也要有解 密的算法 这里我们采用 D E S 算法 4结束语 本文分析了信息 系统的安全需 求及 目标 提 出了基于任 务角色的 多层次动 态访问控制模型 在此基础上构架 了系统 的总体结构 针对系统的 实施 详细对 系统 模型的角 色划分 权限分 配 任务划分以及约束管理进行 了分析 为基于 C AD 的访问控制方案的实施奠定了基础 参考文献 1 韩伟力 分 布式环境下的约束访 问控制技 术研 究 D 浙 江大学 2003