华 中 科 技 大 学 硕 士 学 位 论 文
基于角的访问控制策略在网络环境中，能够限制和控制通过通信链路对主机系统和应用的访问。为了达到这种控制，每个想获得访问的实体都必须经过鉴别或身份验证。它被认为是一种更普遍使用的访问控制模型，可以有效表达和巩固特定事物的安全策略，有效缓解传统安全管理处理瓶颈问题[]7,6。它具有减少授权管理复杂性，降低管理开销，并能提供与综合系统组织结构相一致的安全策略的优势，被公认是大型信息管理应用环境中实现授权管理的最佳方案[]9,8。 1.1.2课题目的
RBAC 模型虽然已逐渐成熟，但是仍有许多亟待研究解决的问题。在理论上，由于引入角作为主体和客体的中介，角的语义十分模糊，并没有在模型中给出解释；在应用上，如何将角理论模型应用于实际系统中并实现高效的访问控制，一直都是很难也是业界很关心的问题[]10。本文以RBAC 97模型为基本依据，根据电力通信资源管理系统的实际需求，构建完善的权限管理机制，依据不同的职责，授予用户完成任务的最小权限需求。 本研究的目的在于分析电力通信资源信息系统应用程序的共同特点，并且研究如何将ＲＢＡＣ策略运用到各类不同功能模块的综合通信资源信息系统之中，即通过采用ＲＢＡＣ策略，构建综合通信资源信息系统的安全访问控制机制，来发挥ＲＢＡＣ系统良好的安全访问控制功能与效用。它对限制用户访问关
键资源，防止非法用户的侵入，或合法用户的不慎操作所造成的破坏有着举足轻重的作用，将极大提高综合信息管理系统的安全性。
1.2 RBAC技术概况
1.2.1访问控制模型
计算机通信网络中，主要的安全保护措施被称作安全服务。
根据ＩＳＯ７４９８－２， 安全服务包括[]11：
ca3660１．鉴别（ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）
２．访问控制（Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）
３．数据机密性（Ｄａｔａ Ｃｏｎｆｉｄｅｎｔｉａｌｉｔｙ）
华 中 科 技 大 学 硕 士 学 位 论 文
４．数据完整性（Ｄａｔａ Ｉｎｔｅｇｒｉｔｙ） 精油加工设备
５．抗抵赖（Ｎｏｎ－ｒｅｐｕｄｉａｔｉｏｎ）
其中访问控制对机密性、完整性起直接的作用。他决定用户在获得系统访问权限后可进行那些操作。不同系统采用的访问控制方法和访问控制技术大相径庭。每个系统的访问控制方法设计都是由其独特的需求决定的。
现代操作系统如Ｗｉｎｄｏｗｓ系列[]12，Ｓｏｌａｒｉｓ[]13系列，ＵＮＩＸ 系列都实现了不同程度大数据日志分析
的访问控制；许多大型数据库产品如Ｏｒａｃｌｅ，Ｓｙｂａｓｅ，Ｉｎｆｏｒｍｉｘ等都支持访问控制
功能；Ｗｅｂ安全产品如ｇｅｔＡｃｃｅｓｓ[]14，ＴｒｕｓｔｅｄＷｅｂ[]15，Ｔｉｖｏｌｉ[]16都把访问控制模块作
为其核心模块之一。ＩＳＯ７４９８－２更把访问控制作为设计安全的信息系统的基础架构中
必须包含的五种安全服务之一[]11。
饱和攻击
访问控制（ａｃｃｅｓｓ ｃｏｎｔｒｏｌ）是实施允许被授权的主体对某些客体的访问，同时拒绝向非授权的主体提供服务的策略。这里主体（ｓｕｂｊｅｃｔ）可以是人，也可以是任何主动发出访问请求的智能体，包括程序、进程、服务等；客体（ｏｂｊｅｃｔ）包括所有受访问控制保护的资源，
在不同应用背景下可以有相当广泛的定义，比如在操作系统中可以是一段内存空间，在数据库里可以是一个表中的记录，在Ｗｅｂ上可以是一个页面。访问的方式取决于客体的类型，一般是对客体的一种操作，比如请求数据的浏览，修改表中记录，对系统特定资源的访问等。
根据应用背景的不同，访问控制可以有不同的实现策略。二十世纪七十年代以来，如下三种访问控制策略被依次提出，在现有的访问控制产品中应用较广。它们分别是：自主访问控制，强制访问控制，基于角的访问控制[]17。
1.2.2 基于角的访问控制模型
在基于角的访问控制模型RBAC 出现之前，自主访问控制DAC[]18和强制访问控制MAC[]20,19已经提出了二十年并且在诸多应用领域取得了巨大的成功。随着计算机网络的快速发展和应用系统规模的不断扩大，这两种传统的访问控制模型已经无法适应新的应用环境。MAC 模型太强，DAC 模型太弱，它们都存在的不足是将主体和客体直接绑定在一起，授权时需要对每对（主体，客体）指定访问许可。
华 中 科 技 大 学 硕 士 学 位 论 文
这样存在的问题是当主体和客体达到较高的数量级之后，授权工作将非常困难。二十世纪九十年代以
来，随着对在线的多用户、多系统的研究不断深入，角的概念逐渐形成，并逐步产生了以角为中心的访问控制模型（Role-Based Access Control）。
本节首先给出ＲＢＡＣ 模型中各种术语的基本定义，然后介绍目前比较成熟的电火花切割机床
ＲＢＡＣ９６ 和ＡＲＢＡＣ９７ 模型，作为后续研究的出发点。
１） ＲＢＡＣ模型术语[]22,21
１、Ｕｓｅｒ：与 Ｒｏｌｅ 相关，用户仅仅是纯粹的用户，权限是被分离出去了的。Ｕｓｅｒ是不能与权限Ｐｒｉｖｉｌｅｇｅ 直接相关的，Ｕｓｅｒ 要拥有对某种资源的权限，必须通过Ｒｏｌｅ去关联。解决 Ｗｈｏ 的问题。
２、Ｒｏｌｅ：是角，拥有一定数量的权限。
３、Ｇｒｏｕｐ：用户组，权限分配的单位与载体。权限不考虑分配给特定的用户而是分配给具体的角组。组可以包括组（以实现权限的继承），可以包含用户，组内用户继承组的权限。
４、Ｒｅｓｏｕｒｃｅ：就是系统的资源，比如告警数据，拓扑视图等各种可以被提供给用户访问的对象。
５、Ｏｐｅｒａｔｏｒ：操作。表明对Ｗｈａｔ的Ｈｏｗ 操作。
６、Ｐｒｉｖｉｌｅｇｅ（Ｏｐｅｒａｔｉｏｎ）：就是指，这个权限是绑定在特定的资源实例上的。比如说告警数据的删除，叫做＂告警数据删除权限＂。这就表明，该Ｐｒｉｖｉｌｅｇｅ是一个删除权限，而且是针对告警数据这种资源的一种删除权限。
７、会话（Ｓｅｓｓｉｏｎ），对应于一个用户和一组激活的角，表征用户进行角激 活的过程。一个用户可以进行几次会话，在每次会话中激活不同的角，这样用 户也将具有不同的访问权限。用户必须通过会话才能激活角。
Ｕｓｅｒ与Ｇｒｏｕｐ是多对多的关系。即一个Ｕｓｅｒ可以属于多个Ｇｒｏｕｐ之中，一个Ｇｒｏｕｐ可以包括多个Ｕｓｅｒ。子Ｇｒｏｕｐ与父Ｇｒｏｕｐ是多对一的关系。Ｏｐｅｒａｔｏｒ某种意义上类似于Ｒｅｓｏｕｒｃｅ ＋ Ｐｒｉｖｉｌｅｇｅ概念，但这里的Ｒｅｓｏｕｒｃｅ仅包括Ｒｅｓｏｕｒｃｅ Ｔｙｐｅ不表示Ｒｅｓｏｕｒｃｅ Ｉｎｓｔａｎｃｅ。Ｇｒｏｕｐ 可以直接映射组织结构，Ｒｏｌｅ 可以直接映射组织结构中的业务角，比较直观，而且也足够灵活。Ｒｏｌｅ对系统的贡献实质上就是提供了一个比较粗颗粒的分配单位。Ｇｒｏｕｐ与Ｏｐｅｒａｔｏｒ是多对多的关系。各概念的
auts华 中 科 技 大 学 硕 士 学 位 论 文
关系如图１．１所示：
图１．１ ＲＢＡＣ中各元素关系图
２） ＲＢＡＣ９６模型
ＲＢＡＣ９６ 模型为Ｒａｖｉ Ｓａｎｄｈｕ 等人于１９９６ 年提出来的[]24,23。模型分四个层次，并具有如图１．２所示的包含关系。
图１．２ ＲＢＡＣ９６各模型间的关系
ＲＢＡＣ模型由４个部件模型组成，这４个部件模型分别是[]25基本模型ＲＢＡＣ０（Ｃｏｒｅ ＲＢＡＣ）、角分级模型ＲＢＡＣ１（Ｈｉｅｒａｒｃｈａｌ ＲＢＡＣ）、角限制模型ＲＢＡＣ２（Ｃｏｎｓｔｒａｉｎｔ ＲＢＡＣ）和统一模型ＲＢＡＣ３（Ｃｏｍｂｉｎｅｓ ＲＢＡＣ）[]9。
图１．３ ＲＢＡＣ０模型
华 中 科 技 大 学 硕 士 学 位 论 文
●RBAC0[]26：基本RBAC模型
ＲＢＡＣ０包含ＲＢＡＣ模型的核心部分（Ｃｏｒｅ ＲＢＡＣ），是最基本的模型。ＲＢＡＣ０可形式化的定义如下。
定义１．１ ＲＢＡＣ０ 模型包含如下元素：
１） 若干实体集Ｕ（用户集），Ｒ（角集），Ｐ（权限集），Ｓ（会话集）；
２） ＵＡ ？Ｕ ×Ｒ ，为多对多的用户角指派关系；
３） ＰＡ？ Ｐ×Ｒ ，为多对多的权限角指派关系；
４） ｕｓｅｒ ： Ｓ →Ｕ ，映射每个会话到一个用户；
５） ｒｏｌｅｓ：Ｓ →２Ｒ ，映射每个会话到一组角ｒｏｌｅｓ （ｓ）？｛ｒ｜（ｕｓｅｒ（ｓ），ｒ ）∈ＵＡ｝，并且会话Ｓ拥有权限∪ｒｏｌｅｓ（ ｓ） ｛ ｐ ｜（ ｐ， ｒ） ｝∈ＰＡ
从定义１．１ 中可以看出，ＲＢＡＣ０ 只包含最基本的ＲＢＡＣ元素， 构成一个ＲＢＡＣ控制系统的最小的元素集合。所有的角都是平级的，没有指定角层次关系；所有的对象都没有附加约束，没有指定限制。
ＲＢＡＣ０与传统访问控制的差别在于增加一层间接性带来了灵活性，ＲＢＡＣ１、ＲＢＡＣ２、ＲＢＡＣ３都是先后在ＲＢＡＣ０上的扩展。
图１．４ ＲＢＡＣ与传统访问控制的差别
● RBAC1[]26：引入角间的继承关系
角间的继承关系可分为一般继承关系和受限继承关系。一般继承关系仅要求
豫公网安备41160202000603
站长QQ:729038198
关于我们
投诉建议