安全技術ch06身份認證與訪問控制電商-資料下載頁
2025-01-17 13:44本頁面
【正文】 2022/2/14 Ch6身份認證與訪問控制 44 例如，某單位部分行政機構如下圖： 校長人事處教務處職工科退休科檔案科財務處設備處教學行政科教學研究科財務一科財務二科進出口科實驗室管理科設備科工作人員工作人員2022/2/14 Ch6身份認證與訪問控制 45 假設計算機系統(tǒng)中的數(shù)據(jù)的密級為： 一般＜秘密＜機密＜絕密 定義校長的安全級 C校長 ＝ （ 絕密 ， {人事處 ,教務處 ,財務處 ,設備處 }） ， （ 即校長的密級為絕密 ， 部門屬性為所有的部門 ） 教務處長的安全級 C教 =(機密 ,{教務處 }) 財務處長的安全級 C財 =(機密 ,{財務處 }) 財務一科長的安全級 C一財 =(秘密 ,{財務處 }) 財務處工作人員的安全級 C工 =(一般 ,{財務處 }) 假設財務一科長產(chǎn)生了一份工作文件 A， 文件 A的安全級定義為與一科長的安全級相同 ， 即 CA=(秘密 ,{財務處 })， 那么 ， 對于文件 A， 只有校長和財務處長能看到 ， 而教務處長不能看 ， 盡管教務處長的密級是機密級 ， 可以看秘密級的文件 ， 但教務處長的部門屬性僅是 {教務處 },他無權看財務處的信息 。 2022/2/14 Ch6身份認證與訪問控制 46 強制訪問控制在自主訪問控制的基礎上 ， 增加了對網(wǎng)絡資源的屬性劃分 ， 規(guī)定不同屬性下的訪問權限 。 ? 優(yōu)點 :安全性比自主訪問控制的安全性有了提高 。 ? 缺點 :靈活性要差一些 。 (RBAC) 傳統(tǒng)的訪問控制方法中，都是由主體和訪問權限直接發(fā)生關系，主要針對用戶個人授予權限，主體始終是和特定的實體捆綁對應的。這樣會出現(xiàn)一些問題： ? 在用戶注冊到銷戶這期間，用戶的權限需要變更時必須在系統(tǒng)管理員的授權下才能進行，因此很不方便； ? 大型應用系統(tǒng)的訪問用戶往往種類繁多、數(shù)量巨大、并且動態(tài)變化，當用戶量大量增加時，按每個用戶分配一個注冊賬號的方式將使得系統(tǒng)管理變得復雜，工作量急劇增加，且容易出錯； ? 也很難實現(xiàn)系統(tǒng)的層次化分權管理，尤其是當同一用戶在不同場合處在不同的權限層次時，系統(tǒng)管理很難實現(xiàn)（除非同一用戶以多個用戶名注冊）。 2022/2/14 Ch6身份認證與訪問控制 48 在用戶和訪問權限之間引入角色的概念，將用戶和角色聯(lián)系起來，通過對角色的授權來控制用戶對系統(tǒng)資源的訪問。這種方法可根據(jù)用戶的工作職責設置若干角色，不同的用戶可以具有相同的角色，在系統(tǒng)中享有相同的權力，同一個用戶又可以同時具有多個不同的角色，在系統(tǒng)中行使多個角色的權力。 基于角色的訪問控制 （ Role Based Access Control） 方法 的基本思想 2022/2/14 Ch6身份認證與訪問控制 49 RBAC的基本模型 訪問控制 資 源 用 戶 角 色 權 限 1. 認證 6. 訪問 3. 請求 2. 分派 4. 分派 5. 訪問請求 圖 64 RBAC模型 RBAC的關注點在于角色與用戶及權限之間的關系。關系的左右兩邊都是 ManytoMany關系，就是user可以有多個 role， role可以包括多個 user。 2022/2/14 Ch6身份認證與訪問控制 50 例如在一個學校管理系統(tǒng)中 ， 可以定義校長 、 院長 、 系統(tǒng)管理員 、 學生 、 老師 、 處長 、 會計 、 出納員等角色 。 其中 ， 擔任系統(tǒng)管理員的用戶具有維護系統(tǒng)文件的責任和權限 ， 而不管這個用戶具體是誰 。 系統(tǒng)管理員也可能是由某個老師兼任 ，這樣他就具有兩種角色 。 但是出于責任分離 ， 需要對一些權利集中的角色組合進行限制 ， 比如規(guī)定會計和出納員不能由同一個用戶擔任 。 2022/2/14 Ch6身份認證與訪問控制 51 ?可設計如下的訪問策略： (1)允許系統(tǒng)管理員查詢系統(tǒng)信息和開關系統(tǒng) ， 但不允許讀或修改學生的信息； (2)允許一個學生查詢自己的信息 ， 但不能查詢其它任何信息或修改任何信息； (3)允許老師查詢所有學生的信息 ， 但只能在規(guī)定的時間和范圍內的修改學生信息； … 2022/2/14 Ch6身份認證與訪問控制 52 基于角色的訪問控制方法的特點 ? 由于基于角色的訪問控制不需要對用戶一個一個的進行授權，而是通過對某個角色授權，來實現(xiàn)對一組用戶的授權，因此簡化了系統(tǒng)的授權機制。 ? 可以很好的描述角色層次關系，能夠很自然地反映組織內部人員之間的職權、責任關系。 ? 利用基于角色的訪問控制可以實現(xiàn)最小特權原則。 ? RBAC機制可被系統(tǒng)管理員用于執(zhí)行職責分離的策略。 ? 基于角色的訪問控制可以靈活地支持企業(yè)的安全策略，并對企業(yè)的變化有很大的伸縮性。
試題試卷相關推薦
鄂ICP備17016276號-1