基于角色的访问控制技术RBAC.docVIP

RBAC(Role Based Access Control) 访问控制是通过某种途径显示的准许或限制访问能力及范围，从而限制对目标资源的访问，防止非法用户的侵入或合法用户的不慎操作所造成的破坏[2]。目前流行的访问控制模型有自主访问控制模型(Discretionary Access Control,DAC)、强制访问控制模型(Mandatory Access Control, MAC)和基于角色的访问控制模型(Role-Based Access Control,RBAC)。自主访问控制是访问控制技术中最常见的一种方法，允许资源的所有者自主地在系统中决定可存取其资源客体的主体，此模型灵活性很高，但安全级别相对较低；强制访问控制是主体的权限和客体的安全属性都是固定的，由管理员通过授权决定一个主体对某个客体能否进行访问。无论是DAC 还是MAC 都是主体和访问权限直接发生关系，根据主体/客体的所属关系或主体/客体的安全级别来决定主体对客体的访问权，它的优点是管理集中，但其实现工作量大、不便于管理，不适用于主体或客体经常更新的应用环境。RBAC是一种可扩展的访问控制模型，通过引入角色来对用户和权限进行解耦，简化了授权操作和安全管理，它是目前公认的解决大型企业的统一资源访问控制的有效访问方法，其 2 个特征是：(1) 由于角色/权限之间的变化比角色/用户关系之间的变化相对要慢得多，(2)灵活地支持企业的安全策略，并对企业变化有很大的伸缩性。 2.2 RBAC 模型的基本思想 在 RBAC 模型中，角色是实现访问控制策略的基本语义实体。系统管理员可以根据职能或机构的需求策略来创建角色、给角色分配权限并给用户分配角色，用户能够访问的权限由该用户拥有的角色权限集合决定，即把整个访问控制过程分成2步：访问权限与角色相关联，角色再与用户关联，从而实现用户与访问权限的逻辑分离。 RBAC 模型引入了Role的概念,目的是为了隔离User(即动作主体，Subject)与Privilege(权限，表示对Resource的一个操作，即Operation+Resource)Role作为一个用户(User)与权限(Privilege)的代理层，解耦了权限和用户的关系，所有的授权应该给予Role而不是直接给User或Group。 2.3 RBAC 标准RBAC模型由4个部件模型组成，分别是基本模型RBAC0（Core RBAC）、角色分级模型RBAC1（Hierarchal RBAC）、角色限制模型RBAC2（Constraint RBAC）和统一模型RBAC3（Combines RBAC）。RBAC 基本模型（RBAC0）包含了RBAC 标准最基本的内容，该模型的定义如图1 所示。 RBAC 基本模型包括5 个基本数据元素：用户，角色，资源，控制，授权。它们之间的关系如下：用户被分配一定角色，角色被分配一定许可权，会话是用户与激活的角色集合之间的映射，用户与角色间的关系定义和角色与权限间的关系定义无关。 控制对象（Resource）：系统的管理功能，如栏目管理、方案管理、新闻管理等； 操作（Operation）：对管理功能的操作，主要是增、删、改、查。 3 访问控制实现 采用 RBAC 模型最大的好处是分离了用户和权限，使管理员可以分别处理用户的授权和权限的划分。这种面向对象的权限分离思想使开发出来的访问控制模块的通用性和可复用性更强，最大限度地避免了开发人员的重复性工作[3]。在开发系统时，可以将访问控制作为一个独立的模块进行开发。 3.1 访问控制模块系统设计 上面的分析表明 RBAC 基本模型模型能满足可扩展的动态自定制信息系统中的访问控制，由此可将访问控制模块分为以下2 个模块：(1)系统管理模块：包括用户管理模块和角色及权限管理模块2 个部分，主要完成用户增减、角色增减及其权限分配。(2)身份认证模块：通过用户名、密码确认用户身份并对其访问某一资源的某一功能进行认证。 3.2 访问控制模块体系结构设计 访问控制模块的体系结构设计采用前面介绍的 J2EE 架构下的SSH 框架，划分为表示层，业务逻辑层，数据持久层和数据源层，结构如图2 所示。 3.3 访问控制模块数据库设计 具体设计内容见（:8082/irp_manager）中的设计实现 为了实现基于 RBAC 的访问控制模型，将角色、用户、角色和用户的关系、角色和权限的关系以及可控资源信息等保存到数据库中，数据库设计上采用下面4 个权限控制相关的表，如表1~表4 所示，各表说明如下：(1)角色信息表：存储系统角色集，随角色的添加与删除动态变化。(2)用户信息表：存储系统中的个体用户集及用户与角色的关系，随用户的添加与删除动态变化。(3)角色权限信息表：存储角色对应的权限信息，随角色及对应权限的