4 基于角色的访问控制.pptVIP

第四讲 基于角色的访问控制(Role-Based Access Control) 80年代末90年代初，NIST（美国国家标准技术研究所）的安全专家（David.F Ferraiolo等)对质疑TCSEC(可信计算机系统评估准则)和MAC/DAC能否适应日益增长的安全需求，并提出了新的访问控制技术－RBAC。一些安全专家开始转向这个领域的研究如George Mason U的Ravi Sandhu。 1995年Ravi Sandhu等人对NIST的成员于92年提出的RBAC模型和理论进行了扩展，提出了RBAC0，并构造了RBAC96模型族。 第四讲 基于角色的访问控制(Role-Based Access Control) 一 什么是基于角色的访问控制 在一个组织机构里系统为不同的工作岗位创造对应的角色,对每一个角色分配不同的操作权限,根据用户在组织机构中的职责或任务为其指派相应的角色,用户通过所分配的角色获得相应的权限,实现对信息资源的访问. 用户－角色－ 权限 用户、角色、权限的关系 如下2个图所示： 图1 图2 由此：用户与角色－多对多 角色与权限－多对多 ? 用户与权限－多对多 RBAC的特点 1.是一种中性的策略 2.具有灵活性以适应变化的需求 3.可以用来描述自主访问控制和强制访问控制 RBAC支持3个原则: 1.最小特权原则 2.责任分离原则 3.数据抽象原则 二 RBAC96模型 RBAC0:反应了RBAC的基本需求 RBAC1:在RBAC0的基础上加上了 角色层次，反应了多级安全需求 RBAC2:在RBAC0的基础上加上了 约束集合 RBAC3: RBAC1 的功能和RBAC2的功能的集合 1. RBAC0的定义 (1) U：表示用户集 R：表示角色集 P：表示权限集 S：表示会话集 (2) PA?P×R,是权限到角色的多对多的指派 (3) UA ? U×R,是用户到角色的多对多的指派 (4) user: S→U,会话和用户的单一映射， user(si)表示创建会话si的用户； （5）roles: S→2R，会话和角色子集的映射， roles(si)表示会话si对应的角色集合； roles(si)?{r| (user(si), r )∈UA} （6）会话si具有的权限集 例:设U={u1,u2,u3}={张，王，李} R={r1,r2} ={外科医生, 内科医生} P={p1,p2,p3}={开外科药,做手术,开内科药} P×R={(p1,r1),(p1,r2),(p2,r1),(p2,r2),(p3,r1),(p3,r2)} PA ={(p1,r1),(p2,r1),(p3,r2)} UA={(u1,r1),(u1,r2),(u2,r1),(u3,r2)} u1?{r1,r2} ? {p1,p2,p3} u2? {r1} ? {p1,p2} u3? {r2} ? {p3} 假设 u1建立了一个会话 user(si)=u1 则 u1激活的角色为 roles(si)?{r1,r2} ①若病人挂外科号,则roles(si)={r1} ,Psi={p1,p2} ②若病人挂内科号,则roles(si)={r2} ,Psi={p3} ③若病人挂内外科,则roles(si)={r1 ,r2} , Psi={p1,p2,p3} 2．RBAC1模型定义 （1）U、R、P、S、PA、UA和user: S→U 的定义与RBAC0相同； （2）RH?R×R，是集合R上的偏序关系， 称为角色层次关系； （3）roles: S→2R，会话和角色子集的映射函数， 但和RBAC0略有不同， roles(si)?{r| ?r≤r且(user(si), r )∈UA} 即:会话si对应的角色集可以由建立该会话的用户所属的任何角色或低级角色组成 （4）会话si所具有的权限 例: U={u1,u2,u3}={张，王，李} R={r1,r2} ={外科医生,