《大型网络MIS系统中基于角色的权限管理》由会员分享，可在线阅读，更多相关《大型网络MIS系统中基于角色的权限管理（7页珍藏版）》请在金锄头文库上搜索。
1、!“#$计算机工程与应用大型网络 !“# 系统中基于角色的权限管理欧阳星明张华哲华中理工大学计算机学院 （武汉$%“8*04 *04 ?;* *+,-./. ,0 +,1234.5 )67.86.9:3;87?.574A ,0 )67.86. ;8B C.6=8,-,/A9D3=;8 $%“5476-. ;8;-A. 4=. 25,2.547. ,0 -;5/. () F.4G,5H.B )A4.1，7845,B36. 4=. I,-.JK;.B L66.+,845,- 1,B.- 784, 4=. ;B178745;47,8 ,0 A4.1 257?7-./.94=.8 25.84 ; A4
2、.1 L66. +,845,- 1.4=,B M;.B ,84=. L22-76;47,8 -;A.5#C=7 1.4=,B ;225,257;4. 4=. 1;8;/.1.84 4536435. ,0 4=. 6,12;8A#C86%2,+B 5,-.，257?7-./.，I,-.NK;.B L66. +,845,- 1,B.-O引言访问控制决定了一个用户或程序是否有权对某一特定资源执行某种操作。传统的访问控制主要分为自主型访问控制 （PL+） 和强制型访问控制 （L+） 两种。随着网络的普及， 用户可访问的信息资源的结构日益复杂， 规模日益增大，使用这两种传统的访问控制方式对信息的存取权限
3、进行管理就显得十分复杂和不安全。 因此， 产生了基于角色的访问控 制 （I,-.NK;.B L66. +,845,-， 下 文 中 简 称 为IKL+） 。目前对IKL+模型的研究尚不完善，其中较为深入的为美国Q.,5/. ;,8大学的IKL+RS模型和LIKL+R.8? 1 !26.7 A需求与设计思路目前， 企业使用的大型联机BCD应用系统都有共享程序， 允许多个用户同时访问一个公用数据库。 这就要求对数据信息特别是共享数据库中的信息进行简单、 统一、 高效、安全的访问控制。大型BCD系统包含有许多不同部门使用的相对独立的应用子系统。 各个子系统使用不同的数据库， 每个子系统中又建有大量的
4、表和视图，这就使得对数据库资源的授权管理变得十分复杂。 一般而言， 各个应用子系统是由不同组的软件开发人员并行开发的， 而各子系统的开发进度不同。 如果各个子系统各自开发使用自己的权限管理系统，就会导致软件的重复开发， 并使权限管理分散， 不利于统一管理，降低了系统的安全性。 为了提高整个系统的开发效率， 实现整个BCD系统统一控制访问权限，可以考虑将系统访问权限管理从各个子系统中提取出来，形成独立于各应用子系统的安全管理系统。各子系统的访问权限都在该安全管理系统中进行集中管理。由于企业中人员的变动， 升迁是经常发生的， 特别是企业的规模越大， 部门越多， 对于企业用户和用户访问子系统权限的维
5、护就更复杂。 一般而言， 企业中人员管理机制是采用从上到下一层层地进行管理的方式。为确保较高的安全性，各子系统的用户身份和权限的管理应该交由使用该子系统的部门主管负责。然而一方面BCD用户不可能对应用程序和程序中用到的库表和视图有很深的了解，不可能直接维护与数据库有关的具体数据对象的访问控制。另一方面， 由于开发人员将本子系统的应用程序提交后， 不会再产生新的库表，这就使得在应用程序层实现访问控制具有了可能性。在对企业的运作机制和BCD系统的结构做以上分析后，笔者考虑采用一种符合企业业务运行习惯的权限管理方式， 也就是在应用程序层实现基于角色的授权机制。 基于角色的权限管理包括确定具有特定职务
6、的用户所能执行的操作和给用户分配合适的角色。一般的?AB )CDCE=:=D *AFAGFGA= CDH 9H=D9I9FC9D I :CDCE=:=D 9DIA:C9DIA J5*K-*LMCN=H 9D=AD=N#%00“#1,#8DHA=? OJCD=DMCG:#5:;G=A (=?ABN /P9AH =H99D2#%007K K?#9NN=#E:G#=LHGKICFGC，RC+9H 4 4=AAC9 CAP= A9DC9G= I CDHCAHN CDH J=FPD9DE 3A J=FPDE#(-J .!通过引入角色代理树,支持多步权限代理,并给出了权限代理的一致性判定方法.基于该模型,
7、给出了相应的权限代理算法和撤销 算法.最后通过一个应用实例,详细演示了该权限代理模型的工作过程和角色代理树的构造.2.期刊论文 吴莉玮.陈性元.任志宇.WU LIWEI.CHEN XINGYUAN.REN ZHIYU RBAC中关于角色权限继承问题的研究 -微计算机信息2007,23(36)本文分析了经典的RBAC96模型中角色的继承及私有权限问题.借助面向对象中的访问限定符public、private和protected的概念,将角色的权限划分为:私 有权限、保护权限和公有权限.并明确:私有权限不能被任何子角色继承,公有权限能被所有子角色不限制地继承,而保护权限则可以被部分子角色继承.然后
8、,提出了两条角色权限的继承规则.最后给出了一个求角色权限集的算法.在该算法中,通过定义的两务角色权限的继承规则,可以实现子角色对父角色中非私有 权限的不同形式的继承.3.学位论文 李黎 基于角色的权限代理审计模型及其设计 2005基于角色的权限代理是访问控制模型十分重要的组成部分，已成为分布式计算环境下重要的访问控制实施机制。一个完备的访问控制系统应该支持权限 代理机制，也应该支持确保系统安全可靠的审计机制。因此，本文拟构建一个新的基于角色的权限代理审计模型RBDAM(Role-based DelegationAuditModel)，并对RBDAM模型的体系结构进行分析研究，在此基础上设计实现
9、RBDAM模型的原型系统。本文首先简单介绍了基于角色的访问控制 RBAC模型，总结分析了现有的几种具有代表性的基于角色的权限代理模型；其次在对现有的权限代理模型进行深入分析的基础上，提出了一种新的相对完善 的基于角色的用户-用户代理和角色-角色代理统一的权限代理模型IRBDM(Integrated Role-Based Delegation Model)；然后为确保权限代理模型的安全和可 靠，充分考虑系统审计的目的和意义，提出了基于角色的权限代理审计模型RBDAM。最后为验证本文提出的代理审计模型RBDAM的有效性和可用性，以 RBDAM2模型为研究对象，在力求该模型的实现与具体应用项目无关的
10、前提下，提供了一种通用的有很大参考价值的实现基于角色的权限代理审计模型的设计 思路和范式。4.期刊论文 鞠成东.廖明宏.JU Cheng-dong.LIAO Ming-hong 基于RBAC模型的角色权限及层次关系研究 -哈尔滨理工大学学报2005,10(4)针对经典的RBAC96模型及相关模型中角色私有权限处理方法的不足之处,提出了一个改进的角色层次关系模型IHRBAC.该模型通过在角色权限委派关系中 引入角色权限继承极限值和最大继承极限值,划分角色权限为私有权限和公有权限,定义私有化继承和公有化继承二种继承方式,形成了一个支持安全管理员宏 观控制下的角色权限委派分级管理的改进模型,克服了多
11、数模型集中式管理模式的局限性,并能够灵活地反映复杂的角色层次关系.5.学位论文 李兴唐 基于角色的权限管理系统 2004随着网络技术的迅速发展信息安全问题日益突出。电子商务、电子政务等系统的发展不但需要保护系统资源不受侵犯，更需要给适当的访问者提供最大 化的服务，这就要求系统必须要能够控制：那些访问者能够访问系统的信息，访问者访问的是“什么信息”，访问者对他所访问的数据拥有什么样的“权限 ”。这涉及到网络安全的重要内容：权限管理与访问控制。本文提出并实现了基于角色的PMI权限管理系统JITPMS。该系统用于向用户和应用程序提供授权管理服务与实际应用处理模式相应的、与具体应用系统开 发管理无关的
12、授权和访问控制机制，有效地简化具体应用系统的开发与维护，提高系统整体安全级别。在权限管理系统中，引入了一个重要的概念RBAC。为了解决大型系统中权限管理的复杂性和安全性问题，人们提出了基于角色的控制模式 (RBAC)，它的特点通过将一组权限赋予角色，然后对不同的用户分配不同的角色。通过用户所拥有的角色和系统所制定的访问控制策略来对用户的访问做出 决策。对于大型应用系统，基于角色的控制模式可以有效减小授权管理的复杂性，降低管理开销，灵活地支持各种不同的安全策略，并对企业的变化有很大 的伸缩性；同时权限管理形式与现实世界相近，将授权过程与具体的应用分离，适合分工合作的分权制度。在权限管理系统中系统
13、引入的另一个重要就是属性证书。属性证书是一种轻量级的数字证书，这种数字证书不包含公钥信息，只包含证书所有人ID、发 行证书ID、签名算法、有效期、属性等信息。一般的属性证书的有效期都比较短，到了有效期的日期，证书将会自动失效，从而避免了公钥证书在撤销时的 种种弊端。属性证书是标志实体属性信息的一系列数据的集合，它通过一种非常简单的方式支持角色的访问控制(RBAC)。通常的过程是：预先颁发一些定义 角色的X.509属性证书，它定义角色的权限；然后再为最终用户颁发一个属性证书，该属性证书里为用户指定一个或多个角色。基于属性所表征的权限、角色 及约束等相关语意，属性证书不但可以安全地实现权限的分配和
14、验证，而且还可以方便地实现基于角色的访问控制和代理授权，这使得权限的管理和分配更 加高效和灵活。权限管理基础设施(PMI)是由属性证书、属性权威、属性证书库等部件构成的综合系统，用来实现属性证书的产生、管理、存储、分发和撤销等功能。 PMI使用属性证书保存权限信息，简洁清晰的实现了基于角色的访问控制。通过对属性证书的生命周期的管理实现对权限生命周期的管理。JITPMS权限管理系统主要由四个子系统组成：JITPMS属性证书签发系统；JITPMS签发业务管理系统；JITPMS属性证书注册系统；JITPMS注册业务管理系 统。JITPMS属性证书签发系统对权限管理系统的属性权威及证书模板进行管理，是
15、整个属性权威管理系统的主要管理系统。它由属性权威签发服务管理端和 属性证书发布服务器组成。AA服务器(属性证书发布服务器)，负责所有属性证书的签发和注销。属性证书发布服务器组成JITPMS属性证书发布服务负责发布 由属性权威签发的属性证书及属性证书撤销列表。JITPMS签发业务管理系统由属性权威管理终端和属性权威审计终端组成。属性权威管理终端对权限管理系统的属性权威及证书模板进行管理，是整个属 性权威管理系统的主要管理系统。该子系统的开发基于B/S模式，签发系统管理员可以在IE浏览器中执行管理操作。属性权威审计终端是属性权威服务器的客 户端，对签发系统的日志进行审计。负责对签发系统的操作历史和
16、现状进行及时监查和审计。JITPMS注册业务管理系统由属性注册权威管理终端和属性注册权威审计终端组成。属性注册权威管理终端属性注册权威管理终端对权限管理系统的属性 注册权威及系统的官员进行管理，是权限管理系统面对应用的主要管理系统。该子系统的开发基于B/S模式，用户可以在IE浏览器中执行管理操作。属性注册 权威审计终端，对日志进行审计。负责对属性注册权威服务器的操作历史和现状进行及时监查和审计。JITPMS属性证书注册系统由属性注册权威服务和权限管理系统组成。属性注册权威服务是属性证书注册系统中的核心服务，通过该服务能够将有效的申 请加入到系统中并经审核确认后向属性签发服务提出签发申请，由属性签发服务为用户签发属性证并发布到公共介质服务上。权限管理系统负责管理用户信 息，为用户分配权限形成申请信息。该子系统的开发基于B/S模式，用户可以在IE浏览器中执行管理操作。JITPMS系统除了基于PMI，RBAC
