基于角色访问控制系统设计与实现

《基于角色访问控制系统设计与实现》由会员分享，可在线阅读，更多相关《基于角色访问控制系统设计与实现（14页珍藏版）》请在金锄头文库上搜索。

1、 目目 录录 摘要 7 关键词 7 第 1 章 绪论 7 1 1 研究背景 7 1 2 课题研究的意义 7 第 2 章 RBAC 访问控制技术发展状况 8 2 1 国内外发展状况 8 2 2 RBAC 在实际应用方面的意义和价值 8 第 3 章 基于角色的访问控制系统设计与实现 9 3 1 RBAC 的基本概念 9 3 2 权限树的设计与实现 10 3 3 用户管理模块 13 3 4 角色管理模块 14 3 5 权限管理模块 15 3 6 用户角色的授权模块 15 3 7 用户角色的激活模块 16 第 4 章 系统运行模型 17 4 1 用户认证 17 4 2 安全访问控制 18 4 3 测试

2、验证点 18 第 5 章 总结与展望 18 致谢 19 基于角色的访问控制系统的设计与实现基于角色的访问控制系统的设计与实现 摘要摘要 访问控制就是当系统资源受到未经授权的非法操作时 能够提供适当的保护措施 访问 控制实质上是对资源使用的限制 决定主体是否可以对客体执行某种操作 本访问控制系统 通 过引入角色的概念 将用户映射为在一个组织中的某种角色 把访问权限授权给相应的角色 根 据用户拥有的角色进行访问授权与控制 有效整合了传统访问控制技术的优势 又克服了它们的 不足 使得制订和执行保护策略的过程更加灵活 也简化了管理员的管理工作 本访问控制方面 采用了基于 RBAC97 的访问控制模型

3、提出了角色分级管理算法及授权增量设置原则 为电力通 信资源管理系统的用户 业务 底层数据提供授权 访问控制 及权限管理的功能 并提供了一 个图形化的角色管理工具来简化管理员的工作 由于本访问控制系统构建于 J2EE 的 MVC 模式之 上 并基于 RMI 通信技术 使得它能够作为客户 UI 层与其他各层的中间件 为业务功能层提供 授权与访问控制接口 以实现不同功能的业务视图 为底层数据层提供数据控制接口 以实现对 不同数据资源的安全访问功能 关键词关键词 RBAC 权限管理 角色 反射 自定义属性 第第 1 章章 绪论绪论 1 1 研究背景研究背景 电力通信资源管理系统是一面向多用户 面向多种

4、电力通信资源具有多个功能 模块的大型综合通信资源信息系统 在电力通信资源管理系统中 将会存在很多的 位于不同地理位置和不同层次的管理和操作人员 需要访问控制系统对各种用户的 登陆进行验证 对用户的所有操作进行授权 即要给他们赋予一定的访问和操作权 限 还要对各个应用区域中的敏感数据和信息进行保密处理 最明显的就是允许 不 允许管理员或用户访问并操作管理系统中的重要敏感数据和参数 这些都对访问控 制系统的设计和开发提出了很多新的要求 授权访问控制利用信息访问控制过程中的安全策略 基于此安全策略 在统一 的管理和控制策略支配下 对网络行为进行监测和控制 达到对通信资源信息进行 安全保护和管理的目的

5、 1 2 课题研究的意义课题研究的意义 基于角色的访问控制策略在网络环境中 能够限制和控制通过通信链路对主机 系统和应用的访问 为了达到这种控制 每个想获得访问的实体都必须经过鉴别或 身份验证 它被认为是一种更普遍使用的访问控制模型 可以有效表达和巩固特定 事物的安全策略 有效缓解传统安全管理处理瓶颈问题 它具有减少授权管理复杂 性 降低管理开销 并能提供与综合系统组织结构相一致的安全策略的优势 被公 认是大型信息管理应用环境中实现授权管理的最佳方案 第第 2 章章 RBAC 访问控制技术发展状况访问控制技术发展状况 2 1 国内外发展状况国内外发展状况 RBAC Role Based Acc

6、ess Control 是近年来在信息安全领域访问控制方面的研 究热点和重点 它和 DAC MAC 称为三大访问控制策略 第一次使用 RBAC 术语 是 David Ferraiolo 和 Rick Kuhn 于 1992 年在美国国 家标准技术局的第 15 届国家计算机安全会议提出来的 之后 出现了各个不同 RBAC 模型 其中 以 Ravi Sandhu 等人提出的 RBAC96 模型最为典型 从而掀起了一股研 究 RBAC 的浪潮 1995 年 11 月召开了第一次 ACM RBAC 大会清题为基于角色访问控制 的 ACM 大会 在这次大会中所有专家一致认为基于角色的访问控制和技术非常实

7、用 应该继续深入探讨 在 RBAC 研究历程中 1996 年美国 George Mansion Univ Ravi S Sandhu 教授在 IEEE computer 上发表的一篇学术论文 Role Based Access Control 在该文中 Sandhu 教授正式提出了 RBAC96 模型家族 它对 RBAC 进一步的 深入研究奠定了基础 此后国内外研究者在 RBAC96 模型家族的基础上提出了许多扩 展模型 目前国外 RBAC 研究机构主要是美国 NIST 和 George Mansion Univ LIST 实 验室 Prof Ravi Sandhu NIST 主要是进行 RB

8、AC 及其相关模型的标准化工作 LIST 侧重于对 RBAC RBDM 及其扩展模型的创建 形式化描述 评价分析 以及在 web 中的应用等 国内最早的相关学术论文是 1994 年华中理工大学马建平的硕士学位论文 一种 无干扰的访问控制模型 而国内与国外比较 国内主要是学术机构如中国科学院软 件研究所和华中科技大学计算机科学与工程系 他们正在对 RBAC 模型扩展和应用方 面进行深入的研究 尚无比较成熟基于角色的访问控制 RBAC 及应用研究的 RBAC 安 全访问控制产品 2 2 RBAC 在实际应用方面的意义和价值在实际应用方面的意义和价值 RBAC 模型不可能单一 可以从非常简单到非常复

9、杂 实际上 RBAC 是一个没 有边界的模型 同时 这方面的研究也才刚刚开始 如管理模型 授权和个性化和 跨组织分布式系统等等 因此 RBAC 还有非常丰富的研究领域 对于一个大型系 统 角色的数量成百上千 管理这些角色和它们之间的关系将会是一个可怕的任务 如何有效地管理 RBAC 则成为一个新的问题 RBAC 的最大优势在于它对授权管理 的支持 通常的访问控制实现万法 将用户与访问权限直接相联系 当组织内人员 新增或有人离开时 或者某个用户的职能发生变化时 需要进行大量授权更改工作 而在 RBAC 中 角色作为一个桥梁 沟通于用户和资源之间 对用户的访问授权转 变为对角色的授权 然后再将用户

10、与特定的角色联系起来 一个 RBAC 系统建立起 来以后 主要的管理工作即为授权或取消用户的角色 RBAC 的另一优势在于 系统 管理员在一种比较抽象且与企业通常的业务管理相类似的层次上 根据 NIST 在 2002 年一月份的一份调查报告 The Economic Impact ofRole Based Access Control 分析了 RBAC 的诸多优点以及实施 RBAC 所产生的经济效益统计 分析 得出如下结论 1 RBAC 从投入到公司 企业应用 到从 RBAC 带来的好处中获益 根据公 司的大小不同 需要 1 到 3 个季度 这段期间是 RBAC 与旧系统的合并与融合期 2 R

11、BAC 的 NPV net present value 净产值 是实施 RBAC 的成本的 69 倍到 158 倍 RBAC 的 IRR internal rate of return 内部收益率 是 39 到 90 从上可以看出 其中蕴藏的商机是巨大的 尤其随着国家电子政务的推行 政 府机构的办公自动化程度 企业信息化程度的提高 在政府 金融 信息资源管理 等领域 RBAC 将有越来越广阔的应用发展前景 第第 3 章章 基于角色的访问控制系统设计与实现基于角色的访问控制系统设计与实现 3 1 RBAC 的基本概念的基本概念 RBAC 认为权限授权实际上是 Who What How 的问题 在

12、 RBAC 模型 中 who what how 构成了访问权限三元组 也就是 Who 对 What Which 进 行 How 的操作 Who 权限的拥用者或主体 如 Principal User Group Role Actor 等等 What 权限针对的对象或资源 Resource Class How 具体的权限 Privilege 正向授权与负向授权 Operator 操作 表明对 What 的 How 操作 也就是 Privilege Resource Role 角色 一定数量的权限的集合 权限分配的单位与载体 目的是隔离 User 与 Privilege 的逻辑关系 Group 用户

13、组 权限分配的单位与载体 权限不考虑分配给特定的用户而 给组 组可以包括组 以实现权限的继承 也可以包含用户 组内用户继承组的 权限 User 与 Group 是多对多的关系 Group 可以层次化 以满足不同层级权 限控制的要求 RBAC 的关注点在于 Role 和 User Permission 的关系 称为 User assig nment UA 和 Permission assignment PA 关系的左右两边都是 Many to Man y 关系 就是 user 可以有多个 role role 可以包括多个 user 凡是用过 RDBMS 都知道 n m 的关系需要一个中间表来保存

14、两个表的关 系 这 UA 和 PA 就相当于中间表 事实上 整个 RBAC 都是基于关系模型 Session 在 RBAC 中是比较隐晦的一个元素 标准上说 每个Session 是 一个映射 一个用户到多个 role 的映射 当一个用户激活他所有角色的一个子集 的时候 建立一个 session 每个 Session 和单个的 user 关联 并且每个 User 可以关联到一或多个 Session 在 RBAC 系统中 User 实际上是在扮演角色 Role 可以用 Actor 来取代 User 这个想法来自于 Business Modeling With UML 一书 Actor Role 模

15、式 考虑到多人可以有相同权限 RBAC 引入了 Group 的概念 Group 同样也看作 是 Actor 而 User 的概念就具象到一个人 这里的 Group 和 GBAC Group Based Access Control 中的 Group 组 不同 GBAC 多用于操作系统中 其中的 Group 直接和权限相关联 实际 上 RBAC 也借鉴了一些 GBAC 的概念 Group 和 User 都和组织机构有关 但 不是组织机构 二 者在概念上是不同的 组织机构是物理存在的公司结构的抽象 模型 包括部门 人 职位等等 而权限模型是对抽象概念描述 组织结构一般 用 Martin fowle

16、r 的 Party 或责任模式来建模 Party 模式中的 Person 和 User 的关系 是每个 Person 可以对应到一个 User 但可能不是所有的 User 都有对 应的 Person Party 中的部门 Department 或组织 Organization 都可以对应到 Group 反之 Group 未必对应一个实际的机构 例如 可以有副经理这个Grou p 这是多人有相同职责 引入 Group 这个概念 除了用来解决多人相同角色问 题外 还用以解决组织机构的另一种授权问题 例如 A 部门的新闻我希望所 有的 A 部门的人都能看 有了这样一个 A 部门对应的 Group 就可直接授权给 这个 Group 3 2 权限树的设计与实现权限树的设计与实现 一 权限树设计思想 在我们的系统中 主要的权限区别来源于不同的业务模块 如告警处理 拓扑 处理 数据备份处理 系统安全处理 等 基于此 因此我们采用基于业务流的树 形结构设计权限 使所有权限构成一颗具有隶属关系的多叉树 每一个权限既可以 是树的一个叶子也可以是某叶子的父节点 这样的业务流权限多叉树 共 100 个权 限椰