oa權(quán)限管理(已修改)
2025-09-17 12:16 本頁面
【正文】 1 1 RBAC模型 訪問控制是針對越權(quán)使用資源的防御措施?；灸繕?biāo)是為了限制訪問主體（用戶、進(jìn)程、服務(wù)等）對訪問客體（文件、系統(tǒng)等）的訪問權(quán)限，從而使計(jì)算機(jī)系統(tǒng)在合法范圍內(nèi)使用；決定用戶能做什么，也決定代表一定用戶利益的程序能做什么 [1]。 企業(yè)環(huán)境中的訪問控制策略一般有三種：自主型訪問控制方法、強(qiáng)制型訪問控制方法和基于角色的訪問控制方法（ RBAC）。其中，自主式太弱，強(qiáng)制式太強(qiáng)，二者工作量大，不便于管理 [1]?；诮巧脑L問控制方法是目前公認(rèn)的解決大型企業(yè)的統(tǒng)一資源訪問控制的 有效方法。其顯著的兩大特征是： ，降低管理開銷； ，并對企業(yè)的變化有很大的伸縮性。 NIST（ The National Institute of Standards and Technology，美國國家標(biāo)準(zhǔn)與技術(shù)研究院）標(biāo)準(zhǔn) RBAC模型由 4個(gè)部件模型組成，這 4個(gè)部件模型分別是基本模型 RBAC0（ Core RBAC）、角色分級模型 RBAC1（ Hierarchal RBAC）、角色限制模型 RBAC2（ Constraint RBAC）和統(tǒng)一模型 RBAC3（ Combines RBAC） [1]。 RBAC0模型如圖 1 所示。 a. RBAC0定義了能構(gòu)成一個(gè) RBAC控制系統(tǒng)的最小的元素集合。在 RBAC之中 ,包含用戶 users(USERS)、角色 roles(ROLES)、目標(biāo) objects(OBS)、操作 operations(OPS)、許可權(quán) permissions(PRMS)五個(gè)基本數(shù)據(jù)元素，權(quán)限被賦予角色 ,而不是用戶，當(dāng)一個(gè)角色被指定給一個(gè)用戶時(shí)，此用戶就擁有了該角色所包含的權(quán)限。會(huì)話 sessions是用戶與激活的角色集合之間的映射。 RBAC0與傳統(tǒng)訪問控制的差別在于增加一層間接性帶來了靈活性， RBACRBAC RBAC3 都是先后在 RBAC0上的擴(kuò)展。 b. RBAC1引入角色間的繼承關(guān)系，角色間的繼承關(guān)系可分為一般繼承關(guān)系和受限繼承關(guān)系。一般繼承關(guān)系僅要求角色繼承關(guān)系是一個(gè)絕對偏序關(guān)系，允許角色間的多繼承。而受限繼承關(guān)系則進(jìn)一步要求角色繼承關(guān)系是一個(gè)樹結(jié)構(gòu)。 c. RBAC2 模型中添加了責(zé)任分離關(guān)系。 RBAC2 的約束規(guī)定了權(quán)限被賦予角色時(shí) ,或角色被賦予用戶時(shí) ,以及當(dāng)用戶在某一時(shí)刻激活一個(gè)角色時(shí)所應(yīng) 遵循的強(qiáng)制性規(guī)則。責(zé)任分離包括靜態(tài)責(zé)任分離和動(dòng)態(tài)責(zé)任分離。約束與用戶 角色 權(quán)限關(guān)系一起決定了 RBAC2 模型中用戶的訪問許可。 d. RBAC3包含了 RBAC1和 RBAC2，既提供了角色間的繼承關(guān)系，又提供了責(zé)任分離關(guān)系。 2核心對象模型設(shè)計(jì) 2 根據(jù) RBAC模型的權(quán)限設(shè)計(jì)思想，建立權(quán)限管理系統(tǒng)的核心對象模型 .對象模型中包含的基本元素主要有：用戶（ Users）、用戶組（ Group）、角色（ Role）、目標(biāo)（ Objects）、訪問模式（ Access Mode）、操作（ Operator）。主要的關(guān)系有：分配角色權(quán)限 PA（ Permission Assignment）、分配用戶角色 UA（ Users Assignmen描述如下： a .控制對象：是系統(tǒng)所要保護(hù)的資源（ Resource），可以被訪問的對象。資源的定義需要注意以下兩個(gè)問題： 。例如，網(wǎng)頁是資源，網(wǎng)頁上的按鈕、文本框等對象也是資源，是網(wǎng)頁節(jié)點(diǎn)的子節(jié)點(diǎn)，如可以訪問按鈕，則必須能夠訪問頁面。 （ Resource Class），不是某個(gè)特定資源的實(shí)例（ Resource Instance）。資源的類別和資源的實(shí)例的區(qū)分，以及資源的粒度的細(xì)分，有利于確定權(quán)限管理系統(tǒng)和應(yīng)用系統(tǒng)之間的管理邊界，權(quán)限管理系統(tǒng)需要對于資源的類別進(jìn)行權(quán)限管理，而應(yīng)用系統(tǒng)需要對特定資源的實(shí)例進(jìn)行權(quán)限管理。兩者的區(qū)
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1