職責(zé)分離sodseparationofduty(完整版)
【正文】 權(quán)限級別判斷 RBAC系統(tǒng)狀態(tài)是否執(zhí)行SSoD是 NP完全問題 ? 執(zhí)行 SMER是 P問題 ? ssod執(zhí)行方法： ① 設(shè)計(jì)先決條件，不滿足先決條件的 UA， RR（包括角色映射）， PA關(guān)聯(lián)將被撤銷。 SoD分類 ssodobjectbased ? 保護(hù)對象為客體 object。 嚴(yán)厲抽象形式： smeu{u1 ,…,um}, k (1≤k ≤m) SoD分類 ssodrolebased ? 限定對象 也是 UA， 即限定角色與用戶之間的指派關(guān)系 。 ? 最簡單形式： {r1， r2},{u1},u1不能同時(shí)被賦予角色 r1和 r2. ? 四種類型： ① 一個(gè) role一個(gè) user ： {r1},{u1} ② 一個(gè) role多個(gè) user ： {r1},{u1,…,un} ③ 多個(gè) role一個(gè) user： {r1 ,…, rm},{u1} ④ 多個(gè) role多個(gè) user： {r1 ,…, rm},{u1,…,un} ， k 一般抽象形式： smeru{r1,…, rm},{u1 ,…,un} ， k (1≤k ≤m, 1 ≤n) 表示任意 {u1,…,un} 中的用戶不能指派給 {r1 ,…, rm}中超過 k個(gè)角色。 ? 類型 1：限定 objectuser smeou{o1 ,…, om},{u1,…,un} ， k (1≤k ≤m, 1 ≤n) 任何來自 {u1,…,un} 中的用戶不能訪問超過 k個(gè)來自 {o1 ,…, om}的客體。 可以將 ssod作為 dsod的先決條件 ssod = dsod SoD分類 : hsod ? 與具體的執(zhí)行步驟有關(guān)：如 order（訂貨）的用戶必須得payment（結(jié)帳），但是不能 goods（提貨）和 invoice（開發(fā)票）。 SoD分類 ssodpermissionbased ? 限定對象是 PA，即限定角色與權(quán)限之間的指派關(guān)系。 consequently, it is unclear whether the higherlevel objectives are met by the constraints or not. ② Another danger with equating SMER constraints with SoD policies is that eve
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1