【正文】 。這些內(nèi)部私人站點或使用基礎(chǔ)設(shè)施、因特網(wǎng)標(biāo)準(zhǔn)和萬維網(wǎng)的“內(nèi)部網(wǎng)”是通過防火墻來與公共網(wǎng)絡(luò)相封鎖的。萬維網(wǎng)能被當(dāng)作一種可供選擇的便宜而又強有力的通信形式。過剩的企業(yè)信息（,訓(xùn)練材料，目錄,表格）能經(jīng)由萬維網(wǎng)制作而被轉(zhuǎn)換為電子形式。借助此單一途徑，為這些材料維護的費用顯著地減少了，這也確保了流通任務(wù)的簡化。如此一來，企業(yè)計算機的一個目的：創(chuàng)造一個公司的大型系統(tǒng)，在其下分布的信息科技系統(tǒng)內(nèi)的各部分是能被實現(xiàn)的。雖然互聯(lián)網(wǎng)和內(nèi)部網(wǎng)能為公司或政府機構(gòu)提供非常好的利益，但安全威脅依然殘留。熱心者們往往集中于人或生意上，而忽視了以使用網(wǎng)絡(luò)作為運行和管理商業(yè)安全的方式。已經(jīng)存在的萬維網(wǎng)服務(wù)器能有效地提供所有的或不存在訪問給一個特別的網(wǎng)站，許多流行的萬維網(wǎng)伺候器甚至能更清楚而又細膩地提供訪問控制，他們提供非常原始的工具來管理這些單一企業(yè)的遠程控制。本文描述了有關(guān)基于角色的訪問控制和基于角色的訪問控制在萬維網(wǎng)環(huán)境下執(zhí)行（RBAC/Web）的優(yōu)勢，而且在個別項目中基于角色的訪問控制適用于一個企業(yè)內(nèi)網(wǎng)絡(luò)計算環(huán)境。今天在此將會第一次提供給萬維網(wǎng)管理人一種核心管理能力和管理使用者訪問信息的方式，同時與法規(guī)流向保持一致并適應(yīng)他們的商務(wù)要求。雖然本文的焦點在于企業(yè)內(nèi)部網(wǎng)、利益、觀念和和基于角色的訪問控制在萬維網(wǎng)環(huán)境下的執(zhí)行，但對數(shù)據(jù)的限制訪問需要可以應(yīng)用在公司的因特網(wǎng)環(huán)境中。基于角色的訪問控制描述基于角色的訪問控制 (RBAC) 是傳統(tǒng)的隨意權(quán)限控制(DAC) 和強制性的訪問控制 (MAC) 的替代品，在商業(yè)申請后成為了一種正在不斷吸引人們注意的技術(shù) 。 在基于角色的訪問控制背后的主要推動力是自然的對組織結(jié)構(gòu)進行規(guī)定和加強企業(yè)專項安全性策略的渴望。傳統(tǒng)上來說, 安全管理需要把組織的安全政策放置到一個相對低水平的控制上去,傳統(tǒng)地存取控制目錄。藉由基于角色的訪問控制技術(shù)，安全在一個比較接近符合組織結(jié)構(gòu)的水平上被處理。 在角色以組織中的使用者其工作職責(zé)和能力為基礎(chǔ)的地方，每個使用者被分配一個或多個角色。每個角色又被分配一個或多個權(quán)限 (例如數(shù)據(jù)訪問，劃除,創(chuàng)造)。 只有進入決定特權(quán)使用者的角色范圍之內(nèi)后，使用者的全體操作才被允許?；诮巧脑L問控制的安全管理使得只有當(dāng)特定的操作者被判斷其動作可以被運行,然后分配職員到適當(dāng)?shù)慕巧蟛拍苓M行。 基于角色的訪問控制結(jié)構(gòu)可以提供給互斥的角色和角色有交疊處理職責(zé)的特權(quán)。 舉例來說，一些一般的操作可能被所有的職員允許,當(dāng)其他的操作可能是對一個角色的特性時候。 角色層次是在一個組織里面組織角色而且定義關(guān)系和角色屬性的自然方法。 在基于角色的訪問控制軟件全部處理后，被互斥的角色或組織角色的復(fù)雜引入也調(diào)節(jié)了誰能運行什么行動,何時, 從哪里, 以什么次序, 和在某些情形之下表示關(guān)系的環(huán)境。 職責(zé)的分離基于角色的訪問控制機制可能被系統(tǒng)管理人用在執(zhí)行一種政策分立的職責(zé)。自從面臨在類似的工作或機會中詐騙能夠發(fā)生后，分立的職責(zé)被認(rèn)為在防止詐騙方面是有價值的。分立的職責(zé)必須是為了交易的特殊集合，沒有簡單單一的被允許去執(zhí)行所有在集合里的交易。最常用的例子是交易的分期付款和授權(quán)付款。沒有單個的個體能夠運行兩個交易。系統(tǒng)管理人對企業(yè)傳統(tǒng)的處理生意的方式是一個自然而又抽象化的程度控制訪問。且由靜止又動態(tài)地經(jīng)過角色，角色等級，關(guān)系和限制的建立和定義管理使用者的行動被達成了。 我們定義靜態(tài)職責(zé)的分離意味著互斥的給定角色不能同時被包括在用戶的授權(quán)權(quán)限集合里。根據(jù)動態(tài)的職責(zé)分離，用戶也許被授權(quán)了兩個互斥的角色，但是不能同時操控這兩個角色。換句話說，當(dāng)一位管理人建立角色授權(quán)的時候，靜態(tài)職責(zé)的分離迫使規(guī)則互斥；而當(dāng)一個用戶選擇角色的時候，動態(tài)職責(zé)的分離迫使規(guī)則同樣互斥。管理和顯示角色使用基于角色的訪問控制/萬維網(wǎng)管理工具的角色被建立和操縱。管理工具允許系統(tǒng)管理員產(chǎn)生并且定義角色，角色層次，關(guān)系和限制。一旦基于角色的訪問控制結(jié)構(gòu)被確定是為了組織，首要的管理行動是用戶進入的許可和廢除并且缺乏對角色的分配指示。這些維護工作使用管理工具將被容易運行。另外，管理工具正在被用以提高利用虛擬的真實靠模切語言（虛擬現(xiàn)實建模語言 ,發(fā)音 39。vermal39。）。虛擬現(xiàn)實建模語言 是交談式的、網(wǎng)際企業(yè)式的、同時也是用于萬維網(wǎng)的3D立體圖形語言。它用來表現(xiàn)圖形，測試，聲音和萬維網(wǎng)上任意靜態(tài)或動態(tài)圖象的鏈接內(nèi)容?；诮巧脑L問控制的虛擬現(xiàn)實建模語言 讓系統(tǒng)管理人使用一個交談式計算機模型檢查，而且使角色結(jié)構(gòu)，關(guān)系和特權(quán)有效。能夠觀察和互相影響復(fù)雜的模型，允許管理人識別沖突，根除缺點而且早在基于角色的訪問控制安裝時就對安裝啟用進行改良。虛擬現(xiàn)實建模語言 成份將會使經(jīng)認(rèn)可的使用者能夠執(zhí)行基于角色的訪問控制數(shù)據(jù)庫，發(fā)現(xiàn)而且鏈接角色，而且顯示屬性和被和那些角色整合的圖形。藉由一個確定角色的3D立體模型呈現(xiàn)，用戶能很容易地看出哪一個角色是互斥的和在角色之間的相關(guān)角色，以及沖突的階層結(jié)構(gòu)。虛擬現(xiàn)實置標(biāo)語言的導(dǎo)航控制允許使用者以交互式“初排”而且操縱 3D立體模型的視野遠景,即一個場景曲線圖。舉例來說，當(dāng)看“平面” 或2 D 曲線圖的時候，角色關(guān)系可能已經(jīng)被隱藏的情況下場景曲線圖可能被旋轉(zhuǎn)來顯示曲線圖的“背部”。為了改善可讀性、清晰度和適應(yīng)性，角色層次被組織成層，而每個層又包含著其它級別的細節(jié)。通過一個角色，角色能開啟和展現(xiàn)相關(guān)的角色層或角色信息。例如，與特權(quán)相關(guān)的角色或一個用戶的從屬清單。基于角色的訪問控制舉例考慮銀行的分公司。 在這環(huán)境中,有角色 , 像是部門經(jīng)理，講話者和帳戶代表。曲線圖結(jié)構(gòu)展示了角色的層次，角色financial_advisor繼承了角色account_rep。單獨被授權(quán)的角色financial_advisor被允許進行所有account_rep角色所能進行的活動。因此，被授權(quán)的角色financial_advisor能夠創(chuàng)建和修改帳戶。因為帳戶代表，部門經(jīng)理，內(nèi)部的審計員和出納員都是銀行的職員,他們的對應(yīng)角色也繼承了職員的角色。 在圖2中，角色account_rep是突出的，為了顯示其他角色關(guān)系，account_rep的表現(xiàn)形式是一個暗球的形狀。出納員角色和account_holder以黃色矩形顯示是為了說明這些角色與account_rep有一個“動態(tài)權(quán)責(zé)區(qū)分”（DSD）的關(guān)系。這個關(guān)系是一個抵觸的利益關(guān)系指標(biāo)，而account_rep 角色的個體權(quán)限不能在另一半的account_holder或teller角色上被給予權(quán)限。銀行的政策是帳戶代表或銀行職員能有銀行的帳戶，但是如此的個體在處理其它的帳戶時候不可能同時處理他們的個人帳戶。同樣的，因為一個出納員有一個公開的現(xiàn)金抽屜且在關(guān)閉時一定結(jié)算了。一個坐在遠離出納員桌子上的account_rep角色即使被授權(quán)了出納員的角色也不能同時被允許擁有出納員的個體行動權(quán)限。角色internal_auditor的表現(xiàn)形式是一個紅色的六面體形狀是為了說明這些角色與account_rep有一個“靜態(tài)權(quán)責(zé)區(qū)分”（SSD） 的關(guān)系。這個靜態(tài)權(quán)責(zé)區(qū)分的關(guān)系同樣是一個和動態(tài)權(quán)責(zé)區(qū)分關(guān)系一樣相互抵觸的利益關(guān)系，但是這個關(guān)系更強勁一些。如果兩個角色間有一個動態(tài)權(quán)責(zé)區(qū)分的關(guān)系，那么他們可能同樣被一個個體所授權(quán)，但是那個個體不可能同時在兩個角色上被運用。如果兩個角色間有一個靜態(tài)權(quán)責(zé)區(qū)分的關(guān)系，那么他們不可能同樣被一個個體所授權(quán)。在這一個例子中，銀行的政策是在internal_auditor 和 account_rep的角色之間有一個基本的利害沖突，這二個角色可能無法被相同的個體所授權(quán)。使用虛擬現(xiàn)實建模語言的管理工具的新版本將會允許我們以一種自然的方法表現(xiàn)相互抵觸的利益或是其它關(guān)系，而且是由無數(shù)的情況所組成的。虛擬現(xiàn)實建模語言允許復(fù)雜的3D立體物體為這一個目的而被產(chǎn)生。使用者能“進入”一個被挑選出的角色而且探究一些和那個角色相互關(guān)聯(lián)的程度方面的細節(jié)（也就是數(shù)據(jù)）。除此之外，當(dāng)角色被應(yīng)用的時候，虛擬現(xiàn)實建模語言的聲音能力可能可能被利用上，在引起利害沖突、當(dāng)不合適的程序被用或其他問題的時候給予聲音的警告。 基于角色的訪問控制在萬維網(wǎng)中的應(yīng)用為萬維網(wǎng)(RBAC/Web)而設(shè)的基于角色的訪問控制(RBAC)是萬維網(wǎng)(Web)服務(wù)器對基于角色的訪問控制技術(shù)的具體執(zhí)行。因為RBAC/Web點沒有瀏覽器上的需求, 任何瀏覽器都能被用于一個特殊的用以增強RBAC/Web服務(wù)器的Web服務(wù)器。RBAC/Web同時被UNIX（舉例來說，對網(wǎng)景，NCSA，CERN 或阿帕契伺候器）和Windows NT（舉例來說, 對英特網(wǎng)數(shù)據(jù)伺候器，網(wǎng)站或承辦商）環(huán)境所應(yīng)用RBAC/Web的組件在表1中被顯示。基于UNIX的RBAC/Web可以使用表1中的所有組件。因為內(nèi)建的NT安全機制與基于角色的訪問控制非常適合，NT版本只使用數(shù)據(jù)庫，會話管理員，和管理工具組件。NT的RBAC/Web需要Web伺候器的無修正或原代碼的訪問?；赨NIX的RBAC/Web有兩種途徑以UNIX Web服務(wù)器來使用RBAC/Web。最簡單的方法是經(jīng)由RBAC/Web通用網(wǎng)關(guān)接口（CGI）。RBAC/Web CGI不修正它的原代碼，因而能被任何已存在的UNIX服務(wù)器用。RBAC URL被RBAC/Web CGI通過網(wǎng)絡(luò)服務(wù)器來處理。當(dāng)提供基于用戶的角色以訪問控制的時候，RBAC/Web配置文件名的網(wǎng)址文件圖，RBAC/Web CGI的安裝與Web的安裝類似。