GBT 47697-2026 网络安全技术 鉴别与授权 基于属性的访问控制模型与管理规范标准立项发展报告

网络安全技术鉴别与授权基于属性的访问控制模型与管理规范标准立项发展报告StandardizationDevelopmentReport:InformationSecurityTechnology—AuthenticationandAuthorization—Attribute-BasedAccessControlModelandManagementSpecification摘要随着数字化转型的深入推进，云计算、大数据、物联网等新一代信息技术广泛应用，传统基于身份的访问控制模式已难以满足动态、细粒度、跨域协同的安全管理需求。基于属性的访问控制（Attribute-BasedAccessControl，ABAC）作为一种新型访问控制范式，以其灵活性、可扩展性和策略与主体解耦的特性，已成为网络安全领域的研究热点和产业应用的重要方向。为规范ABAC模型设计、策略管理及系统实现，国家标准《网络安全技术鉴别与授权基于属性的访问控制模型与管理规范》（GB/T47697-2026）正式立项并发布。该标准确立了ABAC系统的基础模型框架、属性定义规则、策略描述语言及管理流程要求，规定了策略决策点与策略执行点之间的交互机制，明确了属性管理与策略管理的功能要求及安全审计机制。标准的实施将有效解决当前ABAC产品功能异构、接口不兼容、策略互操作困难等突出问题，为政务数据共享、工业互联网协同、医疗健康数据保护等典型场景提供标准化的技术支撑。本报告系统梳理了该标准的立项背景、研制历程、关键技术内容和预期效益，旨在为标准宣贯实施提供参考，推动我国网络安全标准化工作向体系化、精细化方向持续发展。关键词：网络安全；访问控制；基于属性；ABAC；标准化；鉴别与授权；策略管理Keywords:Cybersecurity;AccessControl;Attribute-Based;ABAC;Standardization;AuthenticationandAuthorization;PolicyManagement一、引言1.1立项背景访问控制技术是网络安全防护体系中的核心环节，其目标是确保信息资源仅被合法用户以合法方式访问。传统的自主访问控制（DAC）、强制访问控制（MAC）和基于角色的访问控制（RBAC）在不同历史阶段发挥了重要作用。然而，面对当前分布式计算环境的动态性、组织间协同的普遍性以及数据共享场景的复杂性，上述模型在授权粒度、跨域管理和动态策略调整等方面均不同程度地暴露了局限性。基于属性的访问控制（ABAC）将主体、资源、环境和操作均抽象为可计算的属性集合，通过策略引擎对属性条件进行逻辑判定，从而实现灵活的授权决策。ABAC不再依赖预先枚举的主体-权限映射关系，而是通过统一的策略规则实现动态、细粒度的访问管理。近年来，国际标准化组织（ISO/IEC）已发布ISO/IEC10181-3访问控制框架及ISO/IEC29003身份管理相关标准，美国国家标准与技术研究院（NIST）于2014年和2019年分别发布SP800-162《ABAC访问控制指南》及SP800-178《基于属性的访问控制的属性管理规范》等文档，对ABAC模型与工程实践进行了系统论述。在此背景下，制定适合中国国情的ABAC国家标准，既是完善网络安全国家标准体系的需要，也是促进产业健康发展的迫切要求。1.2标准基本信息本标准的国内标准编号为GB/T47697-2026，所属国家标准计划，标准名称为《网络安全技术鉴别与授权基于属性的访问控制模型与管理规范》，对应的英文名称为“InformationSecurityTechnology—AuthenticationandAuthorization—Attribute-BasedAccessControlModelandManagementSpecification”。该标准由全国网络安全标准化技术委员会（TC260）提出并归口，发布日期为2026年5月25日，实施日期为2026年12月1日，当前标准状态为“未生效”，处于发布后的实施准备期。二、标准研制背景与需求分析2.1ABAC技术发展现状与趋势ABAC核心理念是将授权判定所需的一切上下文信息统一视为“属性”，并通过策略语言描述属性之间的约束关系。一个完整ABAC系统通常包括策略决策点（PDP）、策略执行点（PEP）、策略信息点（PIP）和策略管理点（PAP）四个核心功能组件，分别承担策略判定、执行拦截、属性汇聚和策略管理职能。其运行流程为：PEP截获访问请求，向PDP发起决策查询；PDP依据PAP提供的策略规则，结合PIP汇聚的主体、资源、环境和操作属性进行计算，返回允许或拒绝的决策结果；PEP根据该结果执行或阻断访问操作。相较于传统访问控制模型，ABAC的技术优势主要体现在以下方面：第一，授权粒度精细灵活。ABAC可以基于任意属性组合（如用户所属部门、文件密级、访问时间和地理位置）进行判定，授权粒度可精确至数据字段级。第二，策略与主体解耦。策略以独立规则形式存在，新增用户或资源无需逐一修改授权关系，大幅降低了管理成本。第三，动态环境适应性强。ABAC支持属性值随上下文实时变化进行动态决策，如依据风险等级动态调整访问权限。第四，跨域协同支撑能力突出。ABAC通过统一属性语义可实现不同安全域之间的互信互操作。当前，ABAC技术已在我国政务数据共享、金融风控、医疗健康信息互通、工业互联网协同制造等敏感数据保护场景中获得了广泛应用探索。然而，由于长期缺乏统一的国内标准，各厂商对ABAC模型的定义理解不一致，策略语言表达各异、接口互不兼容，导致不同厂商ABAC产品之间策略迁移困难，用户的策略资产难以沉淀和复用。与此同时，业界在属性治理、策略生命周期管理和分布式策略决策机制方面所积累的经验方法也因缺乏统一指南而难以实现规范化推广。2.2标准化需求分析在上述现实问题驱动下，ABAC标准化工作呈现出以下迫切需求：-模型统一的需求。建立一个涵盖核心组件、数据流和控制流的ABAC参考模型，明确各组件功能边界，消除业界对“什么是ABAC”的基础性认知分歧。-策略规范化的需求。提供统一策略描述的基本结构和通用表达规则，为不同厂商策略引擎之间实现策略互认互换奠定技术基础，有效保护用户的策略投资。-管理流程标准化的需求。建立覆盖属性定义、策略编写、测试验证、运行监控、版本管理和废止归档等全生命周期环节的管理规范。-安全保障的需求。针对策略篡改风险，为策略文件完整性保护、策略决策过程抗抵赖性审计以及PDP运行安全防护提供规范指引。2.3国内外相关标准对比分析从国际情况来看，ISO/IECJTC1/SC27负责制定访问控制相关国际标准，其中ISO/IEC10181-3确立了访问控制通用框架；ISO/IEC29003提供了身份管理框架。在ABAC专门标准方面，国际标准化组织在ABAC专项标准化方面长期处于空白状态，目前尚未发布一项完整的ABAC国际标准。美国在国际上率先以NISTSP800-162形式系统定义了ABAC参考架构，并于2019年发布专门针对ABAC属性管理的NISTSP800-178专档，为工程实践提供了丰富参考。但在策略语言规范化、互操作性要求等方面，NIST仅以SP800-162所附录的XACML概述形式给出了较高层面的参考映射，尚未形成具有强制力的正式标准。在国内方面，全国网络安全标准化技术委员会此前已发布了GB/T30281-2013《信息安全技术鉴别与授权访问控制模型与框架》和GB/T31502-2015《信息安全技术电子文档加密技术规范》等既有标准。然而，专门针对ABAC模型与管理规范的系统性国家标准仍处于空白。本标准通过将ABAC领域长期积累的最佳实践方法与国际公认模型框架相结合，实现了国内专门标准的从无到有，是网络安全领域访问控制方向标准化建设的标志性突破。三、标准主要技术内容与研究方法3.1标准适用范围与定位本标准规定了基于属性的访问控制（ABAC）的基础模型、属性定义规则、策略描述与决策机制、策略管理流程以及相关安全保障要求，为用户组织规划建设ABAC系统、指导产品研发选型和实现跨系统互操作提供标准化依据。本标准面向政务信息共享交换、企业内部精细化授权、第三方协同场景下的资源受控开放、以及云计算和大数据平台数据安全管控等各类应用场景。值得强调的是，本标准的定位并非一套详尽完整的新型策略语言规范，其策略层级描述遵循与主流标准化策略语言（如XACML）的语法和语义兼容原则，所定义的通用策略结构已涵盖主流策略引擎的基本构成要素，因此可适配国内外主流ABAC产品。在需要应用于特定行业场景时，可通过扩展属性的方式在标准框架内引入行业特有属性维度，而无需破坏标准的通用性。3.2ABAC参考模型框架标准提出了完整ABAC参考模型，全面覆盖策略决策点、策略执行点、策略信息点和策略管理点的功能定义和职责划分。标准明确规定PDP负责依据策略文件和属性信息执行访问决策计算，PEP负责截获主体访问请求并执行PDP的决策结果，PIP负责按需获取并返回主体、资源、环境和操作属性的可信属性值，PAP负责策略的创建、修改、存储和版本管理。标准明确了ABAC参考模型的全流程运行机制。在一次完整的访问控制流程中，主体登录系统向PEP发起资源访问申请，PEP将包含主体属性摘要的原始请求格式化为标准化访问请求，并调用PDP决策接口；PDP汇集来自PIP的属性值与PAP下发的策略规则集，执行策略匹配和判定逻辑，输出“允许（Permit）”“拒绝（Deny）”或“不适用（NotApplicable）”等明确决策结果；PEP依据决策结果执行相应允许或阻断动作。当PDP返回“不适用”决策时，本标准还为PEP提供了依据本地预定义缺省规则进行兜底决策的标准处理方式。标准进一步明确了PDP与PEP之间的标准化决策接口。标准规定在ABAC系统中，若存在多种可能的执行和决策响应协议（如RESTfulAPI、XACML上下文协议等），产品实现均可依据本标准所定义的接口语义进行适配和映射，从而保证不同实现之间的互操作一致性。标准规定PDP与PEP之间的决策请求采用标准化属性元组结构，其中涵盖必选属性（如主体唯一标识、资源标识和操作类型）与可选属性（如环境条件、上下文指示和风险标记），决策响应消息需包含决策结果、状态码、策略标识符及可选义务指令，该设计为跨厂商产品部署时的接口互认提供了必要的通用数据格式基础。此外，标准建立了ABAC模型与传统RBAC模型的映射关系，为既已部署RBAC系统的组织向ABAC平滑演进提供了一套完整的迁移路径方法指引。标准对多个策略决策点协同决策的场景提供了分布式策略决策的基本模式，包括策略分发、决策汇聚和冲突消解机制，以及对策略决策过程进行日志记录和安全审计的要求。3.3属性定义与属性管理属性是ABAC体系中的基础概念。本标准将属性划分为主体属性、资源属性、环境属性和操作属性四个类型，并针对每个类型明确了属性值的基本表示方法和推荐属性组合。标准要求组织机构在引入ABAC前需先完成属性梳理与规范化定义工作，构建属性字典，明确属性的数据来源、权威属性权威源（AuthoritativeAttributeSource）、更新频率和值域约束。标准对属性管理功能提出具体规范，包括属性权威源的接入认证、属性缓存策略的时效性控制、属性值变更的实时通知机制以及属性映射的命名空间统一规则。为保障属性源安全接入，标准进一步明确要求属性权威源采用双向传输层安全（TLS）保护，防止属性值在传输和汇聚环节被恶意篡改或伪造，并对PIP实施动态属性缓存时长上限控制，对策略不允许时缓存属性可用的场景设置了安全豁免条件。3.4策略描述与策略管理策略是ABAC的决策依据。标准规定了策略的基本结构、规则组合逻辑和策略集的组织方式。策略结构包含目标（Target）、规则集合、组合算法（CombiningAlgorithm）以及义务（Obligation）等要素。标准推荐采用“拒绝优先”的原则处理策略冲突，即当不同策略对同一访问请求产生相互矛盾的决策结果时，默认以“拒绝”为安全决断。同时，在策略决策过程中，标准要求对于策略匹配中所需属性值缺失的情况遵循“失败关闭（Fail-SafeClosed）”的默认拒绝原则，确保因属性缺失导致无法明确判定时不出现越权放行。为便于策略描述的结构化、一致化和可机器处理，标准在附录中推荐了策略语言的通用规则模板——策略以主体属性条件、资源属性条件、环境条件与操作条件四要素组成规则前置条件，并配置显式效果（允许或拒绝）。标准同时为策略提供者区分了“组织级策略”和“技术实现级策略”两个抽象层次，两者在策略管理层面遵循相同的基础管理要求，但在描述抽象层级和适用对象上有所区分，从而有助于兼顾业务语义清晰性与技术执行精确性。在策略管理方面，标准确立了策略全生命周期管理的流程框架，覆盖策略需求分析、策略编写与形式化描述、策略测试与仿真验证、策略审批发布、策略运行监控、策略版本管理和策略废止归档等管理环节，并对策略变更申请、安全影响分析和变更审批流程提出了制度性管理要求。3.5安全要求与审计策略和属性是ABAC系统中最关键的安全资产。标准明确要求对策略文件实施完整性保护，防止策略内容被非法篡改。具体而言，标准要求策略的存储应采用数字签名手段，当PDP加载策略时须验证签名完整性，并拒绝加载未通过验证的策略文件。生产环境中在线更改策略时，应优先通过策略管理点（PAP）发起受控的策略变更流程，严格限制绕过PAP直接修改底层策略存储的非受控操作。在属性管理安全方面，本标准针对PIP的安全措施给出了明确要求：属性权威源接入方面应使用双向传输层安全（TLS）保护，防止属性值在传输与汇聚环节被窃听或篡改；在属性缓存方面要求PIP结合属性权威源特征设置动态合理的缓存时长，并为策略不允许时缓存属性可用的例外场景设置了安全条件，以避免因长时间缓存导致属性陈旧而引发授权决策偏差。标准要求ABAC系统须具备全面的审计日志记录能力，审计事件应涵盖策略变更操作、属性更新操作、PDP决策日志、PEP执行结果以及管理操作等。审计日志需记录操作时间、操作者、操作对象、操作类型以及操作结果等关键字段信息，并要求对审计日志本身采取防篡改和定期备份的安全措施。此外，标准明确规定策略决策响应中若包含义务指令，PEP必须将执行结果回传PDP进行记录，防止因义务动作执行失败而被静默忽略形成安全缺口。四、标准创新点与应用实施路径4.1与现行标准体系的关系与衔接本标准在制定过程中与TC260归口管理的多项现行标准进行了充分的协调，以确保标准体系的整体一致性与兼容性。在术语定义方面，本标准与本领域的核心基础标准GB/T25069-2022《信息安全技术术语》保持统一；在总体框架方面，与GB/T30281-2013所确立的鉴别与授权基础框架形成细化关系，本标准进一步聚焦于ABAC单一模型展开延伸细化；在与产品检测标准的衔接方面，本标准的模型和功能要求为未来制定ABAC产品安全技术要求及测试评价方法类标准预留了充分接口。4.2主要技术创新点本标准在充分吸收国际经验的基础上，结合我国实际国情形成了多项技术创新特色：第一，提出面向互操作的通用策略结构表述。标准对策略条件中出现的各类比较运算符和逻辑连接词建议了通用语义界定，并推荐策略文件采用可扩展标记语言（XML）格式，给出了包含策略标识、目标规则、效果声明和属性引用四要素的结构化描述示例。同时规定策略标识符应采用全局唯一标识，以支撑策略追溯与审计需求。这一举措为不同厂商的实现之间策略资产的可移植性和互认互读奠定了统一技术底座。第二，系统性提出策略管理系统功能框架。标准不局限于技术模型层面，还将管理规范纳入标准范围，对属性治理、策略全生命周期管理和安全审计等管理维度提出了规范化要求，凸显技术与管理并重的特色。第三，建立多域协同与分布式决策模式。标准针对多云、跨域协同场景，给出了策略集中管理与分布式执行相结合的决策模式指引，填补了现有国际标准在分布式ABAC决策模式方面指导不足的现状。第四，将风险管理理念融入授权决策。标准