【正文】 點 ? 角色可以看作是一組操作的集合，不同的角色具有不同的操作集，這些操作集由系統(tǒng)管理員分配給角色。 ? 在下面的實例中，我們假設(shè) Tch1， Tch2， Tch3…… Tchi是對應(yīng)的教師， Stud1， Stud 2， Stud3 … Studj是相應(yīng)的學(xué)生， Mng1， Mng 2， Mng 3… Mngk是教務(wù)處管理人員， – 老師的權(quán)限為 TchMN={查詢成績、上傳所教課程的成績 }； – 學(xué)生的權(quán)限為 Stud MN={查詢成績、反映意見 }； – 教務(wù)管理人員的權(quán)限為 MngMN={查詢、修改成績、打印成績清單 }。 ? 那么，依據(jù)角色的不同，每個主體只能執(zhí)行自己所制定的訪問功能。 ? 用戶在一定的部門中具有一定的角色，其所執(zhí)行的操作與其所扮演的角色的職能相匹配，這正是基于角色的訪問控制（ RBAC）的根本特征，即：依據(jù) RBAC策略，系統(tǒng)定義了各種角色，每種角色可以完成一定的職能，不同的用戶根據(jù)其職能和責(zé)任被賦予相應(yīng)的角色，一旦某個用戶成為某角色的成員，則此用戶可以完成該角色所具有的職能。 角色的特點 ? 系統(tǒng)管理員負責(zé)授予用戶各種角色的成員資格或撤消某用戶具有的某個角色。 ? 例如學(xué)校新進一名教師 Tchx，那么系統(tǒng)管理員只需將 Tchx添加到教師這一角色的成員中即可，而無需對訪問控制列表做改動。 ? 同一個用戶可以是多個角色的成員，即同一個用戶可以扮演多種角色，比如一個用戶可以是老師，同時也可以作為進修的學(xué)生。同樣，一個角色可以擁有多個用戶成員，這與現(xiàn)實是一致的， ? 一個人可以在同一部門中擔(dān)任多種職務(wù)，而且擔(dān)任相同職務(wù)的可能不止一人。因此 RBAC提供了一種描述用戶和權(quán)限之間的多對多關(guān)系 角色的特點 ? 角色可以劃分成不同的等級，通過角色等級關(guān)系來反映一個組織的職權(quán)和責(zé)任關(guān)系，這種關(guān)系具有反身性、傳遞性和非對稱性特點，通過繼承行為形成了一個偏序關(guān)系，比如 MngMNTchMNStud MN。 ? RBAC中通常定義不同的約束規(guī)則來對模型中的各種關(guān)系進行限制，最基本的約束是 “ 相互排斥 ” 約束和 “ 基本限制 ” 約束，分別規(guī)定了模型中的互斥角色和一個角色可被分配的最大用戶數(shù)。 ? RBAC中引進了角色的概念，用角色表示訪問主體具有的職權(quán)和責(zé)任，靈活地表達和實現(xiàn)了企業(yè)的安全策略，使系統(tǒng)權(quán)限管理在企業(yè)的組織視圖這個較高的抽象集上進行，從而簡化了權(quán)限設(shè)置的管理，從這個角度看， RBAC很好地解決了企業(yè)管理信息系統(tǒng)中用戶數(shù)量多、變動頻繁的問題。 一個基于角色的訪問控制的實例 ? 在銀行環(huán)境中，用戶角色可以定義為 出納員、分行管理者、顧客、系統(tǒng)管理者和審計員 ? 訪問控制策略的一個例子如下： （ 1）允許一個出納員修改顧客的帳號記錄（包括存款和取款、轉(zhuǎn)帳等），并允許查詢所有帳號的注冊項 （ 2）允許一個分行管理者修改顧客的帳號記錄（包括存款和取款，但不包括規(guī)定的資金數(shù)目的范圍）并允許查詢所有帳號的注冊項，也允許創(chuàng)建和終止帳號 （ 3）允許一個顧客只詢問他自己的帳號的注冊項 （ 4）允許系統(tǒng)的管理者詢問系統(tǒng)的注冊項和開關(guān)系統(tǒng)，但不允許讀或修改用戶的帳號信息 （ 5）允許一個審計員讀系統(tǒng)中的任何數(shù)據(jù)，但不允許修改任何事情 RBAC與傳統(tǒng)訪問控制的差別 ? 增加一層間接性帶來了靈活性 RBAC的優(yōu)勢 ? 便于授權(quán)管理 ， 如系統(tǒng)管理員需要修改系統(tǒng)設(shè)置等內(nèi)容時 ， 必須有幾個不同角色的用戶到場方能操作 ， 從而保證了安全性 。 ? 便于根據(jù)工作需要分級 ， 如企業(yè)財務(wù)部門與非財力部門的員工對企業(yè)財務(wù)的訪問權(quán)就可由財務(wù)人員這個角色來區(qū)分 。 ? 便于賦于最小特權(quán) ， 如即使用戶被賦于高級身份時也未必一定要使用 ， 以便減少損失 。 只有必要時方能擁有特權(quán) 。 ? 便于任務(wù)分擔(dān) ， 不同的角色完成不同的任務(wù) 。 ? 便于文件分級管理 ， 文件本身也可分為不同的角色 ，如信件 、 賬單等 ， 由不同角色的用戶擁有 。 授權(quán)的管理 ? 授權(quán)的管理決定誰能被授權(quán)修改允許的訪問 ? 強制訪問控制的授權(quán)管理 ? 自主訪問控制的授權(quán)管理 ? 角色訪問控制的授權(quán)管理 強制訪問控制的授權(quán)管理 ? 在強制訪問控制中，允許的訪問控制完全是根據(jù)主體和客體的安全級別決定。 – 其中主體（用戶、進程）的安全級別是由系統(tǒng)安全管理員賦予用戶， – 而客體的安全級別則由系統(tǒng)根據(jù)創(chuàng)建它們的用戶的安全級別決定。 – 因此，強制訪問控制的管理策略是比較簡單的，只有安全管理員能夠改變主體和客體的安全級別。 自主訪問控制的授權(quán)管理 ? 集中式管理：只單個的管理者或組對用戶進行訪問控制授權(quán)和授權(quán)撤消 。 ? 分級式管理：一個中心管理者把管理責(zé)任分配給其它管理員 ， 這些管理員再對用戶進行訪問授權(quán)和授權(quán)撤消 。 分級式管理可以根據(jù)組織結(jié)構(gòu)而實行 。 ? 所屬權(quán)管理 ：如果一個用戶是一個客體的所有者 ， 則該用戶可以對其它用戶訪問該客體進行授權(quán)訪問和授權(quán)撤消 。 ? 協(xié)作式管理：對于特定系統(tǒng)資源的訪問不能有單個用戶授權(quán)決定 ， 而必須要其它用戶的協(xié)作授權(quán)決定 。 ? 分散式管理：在分散管理中，客體所有者可以把管理權(quán)限授權(quán)給其他用戶。 角色訪問控制的授權(quán)管理 ? 角色訪問控制提供了類似自由訪問控制的許多管理策略。而且，管理權(quán)限的委托代理是角色訪問控制管理的重要特點，在以上的兩種訪問控制的管理策略中都不存在。 安全策略的實施原則 ? 安全策略的制定實施也是圍繞主體、客體和安全控制規(guī)則集三者之間的關(guān)系展開的。 （ 1） 最小特權(quán)原則 ：最小特權(quán)原則是指主體執(zhí)行操作時，按照主體所需權(quán)利的最小化原則分配給主體權(quán)力。最小特權(quán)原則的優(yōu)點是最大限度地限制了主體實施授權(quán)行為，可以避免來自突發(fā)事件、錯誤和未授權(quán)用主體的危險。也就是說，為了達到一定目的，主體必須執(zhí)行一定操作，但他只能做他所被允許做的，其它除外。 （ 2） 最小泄漏原則 ：最小泄漏原則是指主體執(zhí)行任務(wù)時，按照主體所需要知道的信息最小化的原則分配給主體權(quán)力。 （ 3） 多級安全策略 ：多級安全策略是指主體和客體間的數(shù)據(jù)流向和權(quán)限控制按照安全級別的絕密（ TS）、秘密（ S）、機密（ C）、限制（ RS）和無級別（ U）五級來劃分。多級安全策略的優(yōu)點是避免敏感信息的擴散。具有安全級別的信息資源，只有安全級別比他高的主體才能夠訪問。 重點 ?訪問控制模型及相關(guān)概念：訪問控制矩陣，能力表，訪問控制表 ?三種常見的訪問控制政策