【正文】 。這些內(nèi)部私人站點(diǎn)或使用基礎(chǔ)設(shè)施、因特網(wǎng)標(biāo)準(zhǔn)和萬維網(wǎng)的“內(nèi)部網(wǎng)”是通過防火墻來與公共網(wǎng)絡(luò)相封鎖的。萬維網(wǎng)能被當(dāng)作一種可供選擇的便宜而又強(qiáng)有力的通信形式。過剩的企業(yè)信息（,訓(xùn)練材料，目錄,表格）能經(jīng)由萬維網(wǎng)制作而被轉(zhuǎn)換為電子形式。借助此單一途徑，為這些材料維護(hù)的費(fèi)用顯著地減少了，這也確保了流通任務(wù)的簡化。如此一來，企業(yè)計(jì)算機(jī)的一個(gè)目的：創(chuàng)造一個(gè)公司的大型系統(tǒng)，在其下分布的信息科技系統(tǒng)內(nèi)的各部分是能被實(shí)現(xiàn)的。雖然互聯(lián)網(wǎng)和內(nèi)部網(wǎng)能為公司或政府機(jī)構(gòu)提供非常好的利益，但安全威脅依然殘留。熱心者們往往集中于人或生意上，而忽視了以使用網(wǎng)絡(luò)作為運(yùn)行和管理商業(yè)安全的方式。已經(jīng)存在的萬維網(wǎng)服務(wù)器能有效地提供所有的或不存在訪問給一個(gè)特別的網(wǎng)站，許多流行的萬維網(wǎng)伺候器甚至能更清楚而又細(xì)膩地提供訪問控制，他們提供非常原始的工具來管理這些單一企業(yè)的遠(yuǎn)程控制。本文描述了有關(guān)基于角色的訪問控制和基于角色的訪問控制在萬維網(wǎng)環(huán)境下執(zhí)行（RBAC/Web）的優(yōu)勢，而且在個(gè)別項(xiàng)目中基于角色的訪問控制適用于一個(gè)企業(yè)內(nèi)網(wǎng)絡(luò)計(jì)算環(huán)境。今天在此將會(huì)第一次提供給萬維網(wǎng)管理人一種核心管理能力和管理使用者訪問信息的方式，同時(shí)與法規(guī)流向保持一致并適應(yīng)他們的商務(wù)要求。雖然本文的焦點(diǎn)在于企業(yè)內(nèi)部網(wǎng)、利益、觀念和和基于角色的訪問控制在萬維網(wǎng)環(huán)境下的執(zhí)行，但對(duì)數(shù)據(jù)的限制訪問需要可以應(yīng)用在公司的因特網(wǎng)環(huán)境中。基于角色的訪問控制描述基于角色的訪問控制 (RBAC) 是傳統(tǒng)的隨意權(quán)限控制(DAC) 和強(qiáng)制性的訪問控制 (MAC) 的替代品，在商業(yè)申請(qǐng)后成為了一種正在不斷吸引人們注意的技術(shù) 。 在基于角色的訪問控制背后的主要推動(dòng)力是自然的對(duì)組織結(jié)構(gòu)進(jìn)行規(guī)定和加強(qiáng)企業(yè)專項(xiàng)安全性策略的渴望。傳統(tǒng)上來說, 安全管理需要把組織的安全政策放置到一個(gè)相對(duì)低水平的控制上去,傳統(tǒng)地存取控制目錄。藉由基于角色的訪問控制技術(shù)，安全在一個(gè)比較接近符合組織結(jié)構(gòu)的水平上被處理。 在角色以組織中的使用者其工作職責(zé)和能力為基礎(chǔ)的地方，每個(gè)使用者被分配一個(gè)或多個(gè)角色。每個(gè)角色又被分配一個(gè)或多個(gè)權(quán)限 (例如數(shù)據(jù)訪問，劃除,創(chuàng)造)。 只有進(jìn)入決定特權(quán)使用者的角色范圍之內(nèi)后，使用者的全體操作才被允許。基于角色的訪問控制的安全管理使得只有當(dāng)特定的操作者被判斷其動(dòng)作可以被運(yùn)行,然后分配職員到適當(dāng)?shù)慕巧蟛拍苓M(jìn)行。 基于角色的訪問控制結(jié)構(gòu)可以提供給互斥的角色和角色有交疊處理職責(zé)的特權(quán)。 舉例來說，一些一般的操作可能被所有的職員允許,當(dāng)其他的操作可能是對(duì)一個(gè)角色的特性時(shí)候。 角色層次是在一個(gè)組織里面組織角色而且定義關(guān)系和角色屬性的自然方法。 在基于角色的訪問控制軟件全部處理后，被互斥的角色或組織角色的復(fù)雜引入也調(diào)節(jié)了誰能運(yùn)行什么行動(dòng),何時(shí), 從哪里, 以什么次序, 和在某些情形之下表示關(guān)系的環(huán)境。 職責(zé)的分離基于角色的訪問控制機(jī)制可能被系統(tǒng)管理人用在執(zhí)行一種政策分立的職責(zé)。自從面臨在類似的工作或機(jī)會(huì)中詐騙能夠發(fā)生后，分立的職責(zé)被認(rèn)為在防止詐騙方面是有價(jià)值的。分立的職責(zé)必須是為了交易的特殊集合，沒有簡單單一的被允許去執(zhí)行所有在集合里的交易。最常用的例子是交易的分期付款和授權(quán)付款。沒有單個(gè)的個(gè)體能夠運(yùn)行兩個(gè)交易。系統(tǒng)管理人對(duì)企業(yè)傳統(tǒng)的處理生意的方式是一個(gè)自然而又抽象化的程度控制訪問。且由靜止又動(dòng)態(tài)地經(jīng)過角色，角色等級(jí)，關(guān)系和限制的建立和定義管理使用者的行動(dòng)被達(dá)成了。 我們定義靜態(tài)職責(zé)的分離意味著互斥的給定角色不能同時(shí)被包括在用戶的授權(quán)權(quán)限集合里。根據(jù)動(dòng)態(tài)的職責(zé)分離，用戶也許被授權(quán)了兩個(gè)互斥的角色，但是不能同時(shí)操控這兩個(gè)角色。換句話說，當(dāng)一位管理人建立角色授權(quán)的時(shí)候，靜態(tài)職責(zé)的分離迫使規(guī)則互斥；而當(dāng)一個(gè)用戶選擇角色的時(shí)候，動(dòng)態(tài)職責(zé)的分離迫使規(guī)則同樣互斥。管理和顯示角色使用基于角色的訪問控制/萬維網(wǎng)管理工具的角色被建立和操縱。管理工具允許系統(tǒng)管理員產(chǎn)生并且定義角色，角色層次，關(guān)系和限制。一旦基于角色的訪問控制結(jié)構(gòu)被確定是為了組織，首要的管理行動(dòng)是用戶進(jìn)入的許可和廢除并且缺乏對(duì)角色的分配指示。這些維護(hù)工作使用管理工具將被容易運(yùn)行。另外，管理工具正在被用以提高利用虛擬的真實(shí)靠模切語言（虛擬現(xiàn)實(shí)建模語言 ,發(fā)音 39。vermal39。）。虛擬現(xiàn)實(shí)建模語言 是交談式的、網(wǎng)際企業(yè)式的、同時(shí)也是用于萬維網(wǎng)的3D立體圖形語言。它用來表現(xiàn)圖形，測試，聲音和萬維網(wǎng)上任意靜態(tài)或動(dòng)態(tài)圖象的鏈接內(nèi)容。基于角色的訪問控制的虛擬現(xiàn)實(shí)建模語言 讓系統(tǒng)管理人使用一個(gè)交談式計(jì)算機(jī)模型檢查，而且使角色結(jié)構(gòu)，關(guān)系和特權(quán)有效。能夠觀察和互相影響復(fù)雜的模型，允許管理人識(shí)別沖突，根除缺點(diǎn)而且早在基于角色的訪問控制安裝時(shí)就對(duì)安裝啟用進(jìn)行改良。虛擬現(xiàn)實(shí)建模語言 成份將會(huì)使經(jīng)認(rèn)可的使用者能夠執(zhí)行基于角色的訪問控制數(shù)據(jù)庫，發(fā)現(xiàn)而且鏈接角色，而且顯示屬性和被和那些角色整合的圖形。藉由一個(gè)確定角色的3D立體模型呈現(xiàn)，用戶能很容易地看出哪一個(gè)角色是互斥的和在角色之間的相關(guān)角色，以及沖突的階層結(jié)構(gòu)。虛擬現(xiàn)實(shí)置標(biāo)語言的導(dǎo)航控制允許使用者以交互式“初排”而且操縱 3D立體模型的視野遠(yuǎn)景,即一個(gè)場景曲線圖。舉例來說，當(dāng)看“平面” 或2 D 曲線圖的時(shí)候，角色關(guān)系可能已經(jīng)被隱藏的情況下場景曲線圖可能被旋轉(zhuǎn)來顯示曲線圖的“背部”。為了改善可讀性、清晰度和適應(yīng)性，角色層次被組織成層，而每個(gè)層又包含著其它級(jí)別的細(xì)節(jié)。通過一個(gè)角色，角色能開啟和展現(xiàn)相關(guān)的角色層或角色信息。例如，與特權(quán)相關(guān)的角色或一個(gè)用戶的從屬清單。基于角色的訪問控制舉例考慮銀行的分公司。 在這環(huán)境中,有角色 , 像是部門經(jīng)理，講話者和帳戶代表。曲線圖結(jié)構(gòu)展示了角色的層次，角色financial_advisor繼承了角色account_rep。單獨(dú)被授權(quán)的角色financial_advisor被允許進(jìn)行所有account_rep角色所能進(jìn)行的活動(dòng)。因此，被授權(quán)的角色financial_advisor能夠創(chuàng)建和修改帳戶。因?yàn)閹舸?，部門經(jīng)理，內(nèi)部的審計(jì)員和出納員都是銀行的職員,他們的對(duì)應(yīng)角色也繼承了職員的角色。 在圖2中，角色account_rep是突出的，為了顯示其他角色關(guān)系，account_rep的表現(xiàn)形式是一個(gè)暗球的形狀。出納員角色和account_holder以黃色矩形顯示是為了說明這些角色與account_rep有一個(gè)“動(dòng)態(tài)權(quán)責(zé)區(qū)分”（DSD）的關(guān)系。這個(gè)關(guān)系是一個(gè)抵觸的利益關(guān)系指標(biāo)，而account_rep 角色的個(gè)體權(quán)限不能在另一半的account_holder或teller角色上被給予權(quán)限。銀行的政策是帳戶代表或銀行職員能有銀行的帳戶，但是如此的個(gè)體在處理其它的帳戶時(shí)候不可能同時(shí)處理他們的個(gè)人帳戶。同樣的，因?yàn)橐粋€(gè)出納員有一個(gè)公開的現(xiàn)金抽屜且在關(guān)閉時(shí)一定結(jié)算了。一個(gè)坐在遠(yuǎn)離出納員桌子上的account_rep角色即使被授權(quán)了出納員的角色也不能同時(shí)被允許擁有出納員的個(gè)體行動(dòng)權(quán)限。角色internal_auditor的表現(xiàn)形式是一個(gè)紅色的六面體形狀是為了說明這些角色與account_rep有一個(gè)“靜態(tài)權(quán)責(zé)區(qū)分”（SSD） 的關(guān)系。這個(gè)靜態(tài)權(quán)責(zé)區(qū)分的關(guān)系同樣是一個(gè)和動(dòng)態(tài)權(quán)責(zé)區(qū)分關(guān)系一樣相互抵觸的利益關(guān)系，但是這個(gè)關(guān)系更強(qiáng)勁一些。如果兩個(gè)角色間有一個(gè)動(dòng)態(tài)權(quán)責(zé)區(qū)分的關(guān)系，那么他們可能同樣被一個(gè)個(gè)體所授權(quán)，但是那個(gè)個(gè)體不可能同時(shí)在兩個(gè)角色上被運(yùn)用。如果兩個(gè)角色間有一個(gè)靜態(tài)權(quán)責(zé)區(qū)分的關(guān)系，那么他們不可能同樣被一個(gè)個(gè)體所授權(quán)。在這一個(gè)例子中，銀行的政策是在internal_auditor 和 account_rep的角色之間有一個(gè)基本的利害沖突，這二個(gè)角色可能無法被相同的個(gè)體所授權(quán)。使用虛擬現(xiàn)實(shí)建模語言的管理工具的新版本將會(huì)允許我們以一種自然的方法表現(xiàn)相互抵觸的利益或是其它關(guān)系，而且是由無數(shù)的情況所組成的。虛擬現(xiàn)實(shí)建模語言允許復(fù)雜的3D立體物體為這一個(gè)目的而被產(chǎn)生。使用者能“進(jìn)入”一個(gè)被挑選出的角色而且探究一些和那個(gè)角色相互關(guān)聯(lián)的程度方面的細(xì)節(jié)（也就是數(shù)據(jù)）。除此之外，當(dāng)角色被應(yīng)用的時(shí)候，虛擬現(xiàn)實(shí)建模語言的聲音能力可能可能被利用上，在引起利害沖突、當(dāng)不合適的程序被用或其他問題的時(shí)候給予聲音的警告。 基于角色的訪問控制在萬維網(wǎng)中的應(yīng)用為萬維網(wǎng)(RBAC/Web)而設(shè)的基于角色的訪問控制(RBAC)是萬維網(wǎng)(Web)服務(wù)器對(duì)基于角色的訪問控制技術(shù)的具體執(zhí)行。因?yàn)镽BAC/Web點(diǎn)沒有瀏覽器上的需求, 任何瀏覽器都能被用于一個(gè)特殊的用以增強(qiáng)RBAC/Web服務(wù)器的Web服務(wù)器。RBAC/Web同時(shí)被UNIX（舉例來說，對(duì)網(wǎng)景，NCSA，CERN 或阿帕契伺候器）和Windows NT（舉例來說, 對(duì)英特網(wǎng)數(shù)據(jù)伺候器，網(wǎng)站或承辦商）環(huán)境所應(yīng)用RBAC/Web的組件在表1中被顯示?；赨NIX的RBAC/Web可以使用表1中的所有組件。因?yàn)閮?nèi)建的NT安全機(jī)制與基于角色的訪問控制非常適合，NT版本只使用數(shù)據(jù)庫，會(huì)話管理員，和管理工具組件。NT的RBAC/Web需要Web伺候器的無修正或原代碼的訪問。基于UNIX的RBAC/Web有兩種途徑以UNIX Web服務(wù)器來使用RBAC/Web。最簡單的方法是經(jīng)由RBAC/Web通用網(wǎng)關(guān)接口（CGI）。RBAC/Web CGI不修正它的原代碼，因而能被任何已存在的UNIX服務(wù)器用。RBAC URL被RBAC/Web CGI通過網(wǎng)絡(luò)服務(wù)器來處理。當(dāng)提供基于用戶的角色以訪問控制的時(shí)候，RBAC/Web配置文件名的網(wǎng)址文件圖，RBAC/Web CGI的安裝與Web的安裝類似。