下载文档原格式
基于角色的访问控制在教务系统中的应用摘要本文通过对rbac96的分析提出扩展的rbac模型（erbac），并且在高校教务系统中加以应用，验证了其有效性和实用性。
关键词 rbac；角色；访问控制中图分类号tp39 文献标识码a 文章编号 1674-6708（2011）54-0183-02传统的高校教务系统的访问控制模块通常将用户和权限直接关联，这样的授权模型不方便系统的扩展，也不够灵活，当组织规模不断扩大、结构变换频繁时，就出现了大量繁琐的授权变化，权限管理的复杂度呈现指数增长的态势，而基于角色的访问控制（role-based access control，以下简称rbac）模型能够较好的解决这个问题。
1 rbac概述rbac模型引入了“角色”的概念，使得操作权限不直接授予用户，而是通过建立“用户→角色→权限”的映射关系，来灵活的表征组织内部以及用户与权限间的关系。
现阶段rbac的研究均以rbac96为基础，rbac96[1]由ravi s.sandhu教授及其领导的乔治梅森大学信息安全技术实验室（list）提出，主要由rbac0、rbac1、rbac2和rbac3组成，如图1所示。
图 1 rbac96（包括rbac0、rbac1、rbac2和rbac3）rbac0是rbac96模型的核心，主要包括u（用户集）、r（角色集）、p（权限集）和s（会话集），p由ops（操作集）和obs（客体集）组成。
rbac1在rbac0的基础上增加了rh（角色分层）概念，使用偏序来描述这种角色继承的关系。
rbac2在rbac0的基础上引入c（约束集）来决定对rbac0各组件的操作是否被接受，只有被接受的操作才被允许。
rbac3综合了rbac1和rbac2，自然也包括了rbac0。
rbac96是一个基本模型，属于中性策略，这就决定了在应用中，可以根据实际情况对rbac96进行扩展。
2 扩展的rbac模型本文根据我院教务系统的访问控制的实际需求，对rbac96进行扩展，增加了“属性”的概念，形成了一个扩展的rbac模型，简称erbac模型。
基于组织结构的RBAC 扩展模型及应用摘要：针对传统的基于角色的访问控制模型所存在的问题，提出了一种基于组织结构的rbac扩展模型，该模型引入组织结构和用户组，有效地解决了目前rbac权限管理存在的问题，满足大型企业对权限管理的精细化管理要求。
关键词：基于角色的访问控制；组织结构；访问控制模型；角色；用户组中图分类号：tp311 文献标识码：a 文章编号：1009-3044（2013）03-0497-03在信息系统安全机制中，主流的访问控制策略有自主访问控制dac、强制访问控制mac和基于角色的访问控制rbac。
目前，基于rbac的访问控制策略一直是信息系统安全机制的研究热点[1]，也得到了很好的应用[2-3]。
rbac将用户与角色联系起来，简化了权限管理。
中国石油兰州石化公司是中国西部重要的炼化生产基地，近年来，兰州石化信息化建设和应用取得了良好的成效，随着企业规模的日益扩大和信息化建设水平的提高，信息系统和用户数量不断增长，对信息安全管理提出了新的挑战，现有的系统访问控制策略在部分功能上并不能完全满足公司对于信息安全的精细化管理要求。
传统的nist标准rbac模型由4个部件模型组成，其核心对象模型设计由用户、角色等构成，但在大型企业应用中存在角色授权复杂、授权工作量大等问题。
国内外学者对此都有相关的研究。
本文提出一种基于组织结构的rbac扩展模型，并介绍该模型在兰州石化公司信息系统中的应用情况。
1 相关研究1.1 pmi角色模型华中科技大学的徐兰芳研究了用权限管理基础设施pmi的角色模型实现基于角色的访问控制的相关问题，提出了一种改进pmi角色模型[4]。
pmi角色模型实质上仍然是基于rbac的思想，与传统的rbac模型相比，简化了对用户的管理，用xml文件表达策略，能够解决rbac中的约束问题，通过远程和本地证书库，提高了健壮性和证书查询效率。
1.2 基于角色和用户组的扩展访问控制模型中南大学邢汉发等人针对传统的rbac所存在的问题[5]，提出了基于角色和用户组的扩展访问控制模型，改进后的扩展模型e-rbac 应用在某信息管理系统中的访问控制模块，并使用模拟数据进行了验证。
１引言分布开放系统的安全是一个重要问题，对此也进行了许多研究，提出了一些重要的安全管理模型，特别是访问安全模型，如早期的ＭＡＣ和ＤＡＣ［１］，直到最近的ＲＢＡＣ模型［２］。
在ＲＢＡＣ中，操作访问权限被关联到角色，用户通过角色映射成为一定角色的成员，从而间接地获得一定的权力。
角色是ＲＢＡＣ中的一个十分重要的概念，与组织管理的一般认知模型相一致，容易理解和应用。
角色的丰富多样性及角色的层次分类体系为角色的灵活管理提供了有效组织手段。
用户通过角色而间接获得授权，因而提供了访问控制管理的灵活性。
然而角色如何被配置到用户，却是与用户要承担的业务职责、与组织系统的管理政策和管理制度相关联，ＲＢＡＣ模型本身并不能够解决这一问题。
另外ＲＢＡＣ模型研究中，主要关注模型本身的一些元素及其关系特性，而对ＲＢＡＣ模型如何建立这一问题还缺乏比较明晰的研究成果。
对于这后一个问题，一些关于角色工程的研究为此提供了一些基本的成果。
文献［３］从ＲＢＡＣ模型中角色继承可能引起的问题出发，提出了一些角色的分类、聚类等措施，对角色层次体系与组织层次体系的融合或建立映射关系进行了分析。
文献［４］在关于ａｇｅｎｔ的研究中，从目标分解的角度，提出了ａｇｅｎｔ的角色定义框架。
但该框架里的角色定义完全是基于逻辑形式的，与ＲＢＡＣ模型中的操作性角色概念不同。
对于第一个问题，即如何把ＲＢＡＣ模型直接与组织的业务过程模型融合，从而建立安全可信的组织协同业务管理模型的研究尚未见报道。
本文从ＲＢＡＣ模型出发，通过义务的方式来描述角色之间的业务协同，从而扩展ＲＢＡＣ模型为ＲＢＡＯ（ＲｏｌｅＢａｓｅｄＡｃｃｅｓｓａｎｄＯｂｌｉｇａｔｉｏｎ）模型。
为促进角色的义务履行，进一步引入奖罚机制，为开放式组织业务系统的可信履行提供更好的保障。
另外，对如何分析建立ＲＢＡＯ模型的方法也进行了初步的探讨，并以具体实例来说明其应用。
本文其余内容组织如下：在第２章，对ＲＢＡＣ模型及其基本要素进行概述；第３章讨论ＲＢＡＣ模型的扩充模型ＲＢＡＯ；第４章介绍ＲＢＡＯ模型分析与建立的基本方法步骤；第５章以一个具体的实例来阐述基于ＲＢＡＯ模型的应用开发方法；最后是结束语。
2008年9月September 2008—183—计 算 机 工 程Computer Engineering 第34 第17期Vol 卷.34 No.17 ·安全技术·文章编号：1000—3428(2008)17—0183—03文献标识码：A中图分类号：TP309针对基于多父角色RBAC 模型的研究与应用史永昌，鲁书喜(平顶山学院计算机科学与技术学院，平顶山 467000)摘 要：针对基于角色的访问控制(RBAC)模型中由于继承关系产生的子角色不能拥有私有权限问题进行了研究。
当前的解决方案在表示同一机构或相同业务性质的角色共有特定权限方面存在不足，也不能满足多父角色权限继承的要求。
对RBAC 模型进行了扩展，给出一种基于域和域权限的解决方案，并结合实际项目具体分析系统实现权限管理的方法，提出多父角色权限继承的算法，解决了多父角色权限继承问题，在系统的安全管理中实现了基于角色和域的访问控制。
关键词：RBAC 模型；角色；权限；访问控制；域Research and Application on Multi Father Role Based RBAC ModelSHI Yong-chang, LU Shu-xi(Institute of Computer Science and Technology, Pingdingshan University, Pingdingshan 467000)【Abstract 】A problem that child role cannot obtain private permissions because of inherited relation in the Role-Based Access Control(RBAC)model is researched. The specific permission of the roles in same department or similar business, is not discussed in the past solutions, and the permission cannot be inherited by multi father role. Thus a new solution with domain and domain’s permission is presented. The method of permission management is analyzed, an algorithm to inherit permissions from one child for multi father roles is provided, and the question of inheritance is solved. The access control theory based on role and domain in the application system is realized. 【Key words 】Role-Based Access Control(RBAC) model; role; permission; access control; domain访问控制是安全技术的重要部分，而基于角色的访问控制(Role-Based Access Control, RBAC)作为目前主流的访问控制模型，成为研究的热点。
基于组织结构的RBAC 扩展模型及应用作者：范志顾治波来源：《电脑知识与技术》2013年第03期摘要：针对传统的基于角色的访问控制模型所存在的问题，提出了一种基于组织结构的RBAC扩展模型，该模型引入组织结构和用户组，有效地解决了目前RBAC权限管理存在的问题，满足大型企业对权限管理的精细化管理要求。
关键词：基于角色的访问控制；组织结构；访问控制模型；角色；用户组中图分类号：TP311 文献标识码：A 文章编号：1009-3044（2013）03-0497-03在信息系统安全机制中，主流的访问控制策略有自主访问控制DAC、强制访问控制MAC 和基于角色的访问控制RBAC。
目前，基于RBAC的访问控制策略一直是信息系统安全机制的研究热点[1]，也得到了很好的应用[2-3]。
RBAC将用户与角色联系起来，简化了权限管理。
中国石油兰州石化公司是中国西部重要的炼化生产基地，近年来，兰州石化信息化建设和应用取得了良好的成效，随着企业规模的日益扩大和信息化建设水平的提高，信息系统和用户数量不断增长，对信息安全管理提出了新的挑战，现有的系统访问控制策略在部分功能上并不能完全满足公司对于信息安全的精细化管理要求。
传统的NIST标准RBAC模型由4个部件模型组成，其核心对象模型设计由用户、角色等构成，但在大型企业应用中存在角色授权复杂、授权工作量大等问题。
国内外学者对此都有相关的研究。
本文提出一种基于组织结构的RBAC扩展模型，并介绍该模型在兰州石化公司信息系统中的应用情况。
1 相关研究1.1 PMI角色模型华中科技大学的徐兰芳研究了用权限管理基础设施PMI的角色模型实现基于角色的访问控制的相关问题，提出了一种改进PMI角色模型[4]。
PMI角色模型实质上仍然是基于RBAC 的思想，与传统的RBAC模型相比，简化了对用户的管理，用XML文件表达策略，能够解决RBAC中的约束问题，通过远程和本地证书库，提高了健壮性和证书查询效率。
基于角色的访问控制技术研究随着互联网的不断发展，人们对数据安全的的要求也越来越高。
而在数据安全中，访问控制是保障数据安全的一种重要手段。
访问控制是指通过授权的方式，对资源的访问进行限制，确保只有得到授权的用户才能访问。
而基于角色的访问控制技术是访问控制中较为流行的一种实现方式。
一、什么是基于角色的访问控制技术？基于角色的访问控制技术（Role-Based Access Control，简称RBAC）是指以角色为基础，对用户访问权限进行管理的访问控制技术。
在这种技术中，用户和权限之间的关系被抽象成为角色和权限之间的关系。
而用户只有拥有该角色，才拥有相应的访问权限。
基于角色的访问控制技术主要包括以下三个要素：用户、角色和权限。
其中，用户是指需要进行访问控制的对象，角色是指用户的一个抽象，而权限则是指用户进行操作所需的权限。
在RBAC中，用户与角色之间的映射是一对多的关系。
即一个用户可以拥有多个角色，而一个角色也可以被多个用户拥有。
而角色与权限之间的映射是一对多的关系。
即一个角色可以拥有多个权限，但一个权限只能归属于一个角色。
基于角色的访问控制技术的优点是具有灵活性、安全性高、易于维护等特点。
通过角色的管理，可以在一定程度上降低用户与权限之间的耦合度，减少访问控制的管理成本。
而在多个用户和权限交错的情况下，基于角色的访问控制技术更能实现细粒度的访问控制。
二、基于角色的访问控制技术的实现方式基于角色的访问控制技术的实现方式主要包括两种：静态的和动态的。
静态实现方式指的是用户与角色之间的映射关系是在静态配置文件中进行配置的。
而动态实现方式则是通过动态的方式，根据不同的业务场景进行授权管理。
为了更好地实现基于角色的访问控制技术，在实施时需要注意以下几点：1. 角色的划分应当合理：角色的划分应该遵循“最小权限原则”，只赋予用户必要的权限，从而减少风险。
2. 用户的分配应当精准：在角色的分配过程中，应注意为用户分配正确的角色，避免出现权限过高或过低的情况。
