RBAC权限控制介绍.ppt

RBAC模型介绍 RBAC（Role-Based Access Control——基于角色的访问控制）模型是20世纪90年代研究出来的一种新模型，这种模型的基本概念是把许可权（Permissions）与角色（Role）联系在一起，用户通过充当合适角色的成员而获得该角色的许可权。 RBAC发展历程 RBAC?RBAC96( )?RBAC97 这种思想实际上早在20世纪70年代的多用户计算时期就被提出来了，但直到20世纪90年代中后期，RBAC才在研究团体中得到一些重视。本节将重点介绍美国George Mason大学的RBAC96模型 有关概念 在实际的组织中，为了完成组织的业务工作，需要在组织内部设置不同的职位，职位既表示一种业务分工，又表示一种责任与权利。根据业务分工的需要，职员被划分为不同群体，各个群体的人根据其工作任务的需要被赋予不同的职责和权利，每个人有权了解与使用与自己任务有关的信息与资源，对于那些不应该被知道的信息则应该限制他们访问。这就产生了访问控制的需求。 1、 什么叫角色？ 在RBAC模型中，工作职位被描述“角色”，职位所具有的权利称为许可权。角色是RBAC模型中的核心概念，围绕这一概念实现了访问控制策略的形式化。特殊的用户集合和许可权的集合通过角色这一媒介在某个特定的时间内联系在一起。而角色却是相对稳定的，因为任何组织的分工、活动或功能一般是很少经常改变的。 在实际的计算机信息系统中，角色由系统管理员定义，角色的增加与删除、角色权利的增加与减少等管理工作都是由系统管理员完成的。根据RBAC的要求，用户被分配为某个角色后，就被赋予了该角色所拥有的权利与责任，这种授权方式是强制性的，用户只能被动地接受，不能自主地决定为角色增加或减少权利，也不能把自己角色的权利转授给用户，显然，这是一种非自主型的访问控制模式。 2、角色与用户组 角色与用户组有何区别？ 两者的主要差别是：用户组是用户的集合，但不是许可权的集合；而角色却同时具有用户集合和许可权集合的概念，角色的作用把这两个集合联系在一起的中间媒介。 在一个系统中，如果用户组的许可权和成员仅可以被系统安全员修改的话，在这种机制下，用户组的机制是非常接近于角色的概念的。角色也可以在用户组的基础上实现，这有利于保持原有系统中的控制关系。在这种情况下，角色相当于一个策略部件，与用户组的授权及责任关系相联系，而用户组是实现角色的机制，因此，两者之间是策略与实现机制之间的关系。 3、RBAC的策略能力 虽然RBAC是一种无确定性质策略的模型，但它支持公认的安全原则：最小特权原则、责任分离原则和数据抽象原则。 最小特权原则得到支持，是因为在RBAC模型中可以通过限制分配给角色权限的多少和大小来实现，分配给与某用户对应的角色的权限只要不超过该用户完成其任务的需要就可以了。 责任分离原则的实现，是因为在RBAC模型中可以通过在完成敏感任务过程中分配两个责任上互相约束的两个角色来实现，例如在清查账目时，只需要设置财务管理员和会计两个角色参加就可以了。 数据抽象是借助于抽象许可权这样的概念实现的，如在账目管理活动中，可以使用信用、借方等抽象许可权，而不是使用操作系统提供的读、写、执行等具体的许可权。但RBAC并不强迫实现这些原则，安全管理员可以允许配置RBAC模型使它不支持这些原则。因此，RBAC支持数据抽象的程度与RBAC模型的实现细节有关。 RBAC96模型族 在20世纪90年代期间，大量的专家学者和专门研究单位对RBAC的概念进行了深入研究，先后提出了许多类型的RBAC模型，其中以美国George Mason大学信息安全技术实验室（LIST）提出的RBAC96模型最具有系统性，得到普遍的公认。 RBAC96是一个模型族，其中包括RBAC0~RBAC3四个概念性模型。 1、基本模型RBAC0定义了完全支持RBAC概念的任何系统的最低需求。 2、RBAC1和RBAC2两者都包含RBAC0，但各自都增加了独立的特点，它们被称为高级模型。 在RBAC1中增加了角色分级的概念，一个角色可以从另一个角色继承许可权。 RBAC2增加了一些限制，强调在RBAC的不同组件中在配置方面的一些限制。 3、RBAC3称为统一模型，它包含了RBAC1和RBAC2，利用传递性，也把RBAC0包括在内。这些模型构成了RBAC96模型族。 RBAC96内各模型间的关系 一、基本模型RBAC0 RBAC0的模型中包括用户（U）、角色（R）和许可权（P）等3类实体集合。 二、角色分级模型RBAC1 RBAC1模型的特色是模型中的角色是分级的，不同级别的角色有不同的职责与权利，角色的级别形成偏序关系。图3-