企业级信息系统访问控制研究与应用.docVIP

企业级信息系统访问控制研究与应用 　　摘要：针对企业级信息系统用户、角色多，权限关系和客体资源复杂等特点，在分析了多种访问控制技术的基础上，提出了一种新的基于角色的访问控制模型及其安全策略。此模型对传统的RBAC模型进行了优化处理，将分级授权、最小化授权、角色授权继承等策略相结合，以支持多种细粒度的访问控制。实验证明，能提高企业级信息系统的安全性和运行效率。 　　关键词：企业级信息系统；访问控制模型；角色；安全策略 　　中图分类号：TP391文献标识码：A文章编号：1006-4311（2012）05-0149-02 　　0引言 　　在企业级信息系统中，访问控制是针对越权使用企业信息资源的防御策略与技术。为了更好地保障企业信息系统的安全，目前，已有多种访问控制模型提出。如自主访问控制模型、强制访问控制模型和基于角色的访问控制模型[1]（RBAC）等，在这些访问控制模型中，RBAC模型由于避免了直接配置主体与客体的访问控制关系，具有易于实现和灵活性好等特点，已得到广泛采用。 　　但是，由于企业级信息系统的使用者众多，而且使用者需要访问的对象也不一样，在实际应用中，属于同一角色的不同用户对特定客体的访问权限往往存在差异。如：一个企业下属的不同分公司之间，销售人员只能查看本分公司的销售数据，而不能查看见其它分公司数据。也就是说，虽然其角色相同，但其访问权限也是有区别的。因此，系统中不仅需要对功能访问进行控制，还需对数据资源的访问也要进行控制。另外，即使属于同一部门、同一角色的特定用户在不同时段需求的权限可能不同。如：某员工原负责订单录入，现职务调整为部门经理，但其在一段时间内，这两项工作可能仍然要同时完成。这就要求角色定义需求更加灵活，即仅仅依靠RBAC建立的这种非一体化的访问控制容易引起安全漏洞，授权冲突等多种安全问题。故本文对RBAC模型进行了优化处理，提出了一种基于角色的企业级信息系统访问控制模型，同时建立了使用此模型的安全策略，并成功应用于某制造企业的原材料采购质量成本选优管理信息系统中，使其用户管理与授权变得更简单和高效，提高了企业级信息系统的安全性能和运行效率。 　　1基于角色的访问控制技术 　　RBAC模型的基本思想是在用户和权限之间引入角色，为角色分配权限，进而为用户指派角色，用户拥有的实际权限即为赋予用户的角色权限的并集，用户通过激活角色行使所赋予的访问权限。这减少了授权管理的复杂性，为管理员提供了一个易于实现的安全环境。它使用角色来管理用户访问权限，角色定义了一组访问权限并将其分配给用户，从而将用户和访问权限在逻辑上分开，可将应用资源的访问权限授予角色，并通过会话激活角色集合。这样，就使属于某角色的用户，也就获得了此角色的访问权限。也就是说，授权是对角色进行的，而不是直接对用户授权。其目的是为了适应大规模分布式应用环境，因为角色与组织结构相对应，角色的数目远比用户的数目少，而且，角色比用户稳定。这就避免了因为人员的变化而引起的授权变化，简化了权限的管理。同时RBAC模型还能够方便地实现各种安全管理策略，如权限分离，事务控制等[2]。 　　RBAC模型主要由用户集合、角色集合、权限集合、主体集合以及两个映射函数和两个二元关系组成。其中的一个映射函数是将主体映射到用户，另一个映射函数是在主体和一组角色之间建立联系。而两个二元关系则是分别用于表示权限和角色之间的关系以及用户和角色之间的关系。关于角色与用户的关系，可以是一个用户拥有多个角色，当然，一个角色也可以有多个用户。同时，一个角色也有多个权限，相同的权限同样可以给予多个的角色。而且，在角色之间是部分有序的[3]。也就是说，可以采用权限继承设计方式。将角色分为多个层次，上一级角色为父角色，下一级为子角色，子角色继承父角色的所有权限。这些有继承关系的角色，则称为是有序的。反之，其它无继承关系的角色，则称为无序的。这样，就可以针对用户的特殊需要，根据其用户信息、相关应用特性及数据范围合理地为其分配权限[4]。 　　 　　2基于角色的企业级信息系统访问控制模型 　　2.1 访问控制模型框架图1是基于角色的企业级信息系统访问控制模型框架。 　　2.2 模型分析在模型中，角色代表一组权限的集合。拥有某种角色的用户就享有这组权限。当用户经身份验证后，由发放角色标志为其分配某种角色，通过角色而得到系统的访问权限。也就是说，角色简化了访问控制，用户不是直接访问系统，而是通过角色进行访问。在一次访问过程中，用户被赋予不同的角色，角色被赋予不同的权限，从而完成相应权限下的操作。所谓操作，也就是这些与角色相关的访问活动，它可以是对共享资源对象的方法调用、或者是对访问活动的管理。调用方得到某种角色成员标志后，就使用这个标志对相关资源进行访问。具体地说，是调用方被映