下载文档原格式
管理系统中的权限管理和访问控制在管理系统中，权限管理和访问控制是至关重要的组成部分。
通过合理设置权限和访问控制，可以确保系统的安全性和稳定性，防止未经授权的用户访问系统资源，同时也能够有效地管理用户的权限，保障信息的机密性和完整性。
本文将从权限管理和访问控制的概念、作用、实施方法以及最佳实践等方面进行探讨。
权限管理是指在系统中对用户进行身份验证和授权的过程，通过权限管理可以确定用户可以访问哪些资源以及对这些资源有哪些操作权限。
权限管理的核心在于对用户进行身份验证，确认用户的身份后再根据其权限级别来控制其对系统资源的访问。
权限管理的作用主要体现在以下几个方面：首先，权限管理可以保护系统的安全性。
通过对用户进行身份验证和授权，可以有效地防止未经授权的用户访问系统资源，避免系统遭受恶意攻击和非法访问。
其次，权限管理可以保障信息的机密性和完整性。
合理设置权限可以确保用户只能访问其需要的资源，避免用户获取无关信息或对系统资源进行未经授权的操作，从而保护信息的机密性和完整性。
再次，权限管理可以提高系统的管理效率。
通过权限管理，管理员可以根据用户的角色和职责来设置其权限，实现对用户权限的精细化管理，减少管理人员的工作量，提高管理效率。
最后，权限管理可以降低系统风险。
合理设置权限可以降低系统被攻击或滥用的风险，保障系统的稳定性和可靠性，为系统的正常运行提供保障。
在实施权限管理时，可以采取以下几种方法：1. 基于角色的权限管理：将用户按照其角色和职责划分为不同的角色，然后为每个角色分配相应的权限，用户通过角色来获取相应的权限，简化权限管理的复杂性。
2. 细粒度的权限控制：对系统资源进行细粒度的权限控制，可以实现对每个用户或每个角色的权限进行精细化管理，确保用户只能访问其需要的资源。
3. 权限审计和监控：对用户的权限操作进行审计和监控，及时发现并处理异常权限操作，保障系统的安全性和稳定性。
4. 多层次的权限管理：根据系统的安全需求，可以设置多层次的权限管理，对不同级别的用户或资源进行不同的权限控制，提高系统的安全性。
信息安全概论第六章访问控制理论目 录Contents Page01访问控制矩阵模型02 Bell-LaPadula模型03 RBAC模型04 授权与访问控制实现框架通过对访问控制矩阵模型的介绍引进一些基本概念；揭示访问控制的研究对象和方法。
访问控制理论本章主要内容6.1 访问控制矩阵模型访问控制模型是用来描述系统保护状态，以及描述安全状态的一种方法。
把所有受保护的实体（如数据、文件等）的集合称为客体（Object）集合，记为O ；而把能够发起行为的实体集合（如人、进程等）称为主体（Subject）集合，记为S 。
主体是行为的发起者，处于主动地位；而客体是行为承担者，处于被动地位。
在计算机系统中，常见的访问是r （只读）、w （读写）、a （只写）、e （执行）、c （控制）等，它们被称为权限（Right）集合，记为R 。
访问控制理论对于一个主体 和一个客体 ，用 来表示当前允许s对o 实施的所有访问权限集合。
这样可以得到以S 中元素为行指标，O 中元素为列指标，表值为 的一个矩阵A ，称为访问控制矩阵。
这时，系统的保护状态可以用三元组（S ,O ,A ）来表示。
访问控制理论表6.1表示了一个主体集合S ={张三,李四,进程1}，客体集合O ={文件1,文件2,进程1}的一个访问控制表（矩阵）。
访问权限集合为R ={r (只读),a (只写),ww (读写),e (执行),app (添加),o （拥有）}。
本示例中，一个用户对文件的读、写权限，对进程的执行权限比较容易理解。
李四对进程1的写权限可以定义为，李四给进程1发送数据，实现通信。
同样，张三对进程1的读权限可以定义为，张三接收进程1发来的数据，实现通信。
而进程1对自身没有任何操作权限，但对两个文件则有读权限。
值得注意的是，随着系统的不同，可能一个相同名字的权限会有不同的含义。
如在一些系统中张三对进程1的读权限有可能会表示复制这个进程。
访问控制理论访问控制理论表6.1访问控制矩阵示例一客体文件 1文件 2进程 1主体张三{w}{r}{e,r}李四{a,e}{w,o,app}{a}进程1{r}{r}Φ表6.2给出访问控制矩阵的又一示例。
信息系统访问控制权限管控模型研究摘要：江苏核电有限公司在信息安全管理体系建设过程中，推出了江苏核电独具特色的信息系统访问控制权限管理模型。
文章详细介绍了该模型的产生背景、设计原则和总体情况，并对组成模型的3个不同体系维度分别加以论述。
文章重点介绍了在信息系统访问控制权限管理模型的指导下，江苏核电具体开展的信息系统权限管理模式和开展的工作，并对实施效果进行了总结。
关键词：信息安全；权限管理；管控模型产生背景江苏核电有限公司（以下简称：江苏核电）自成立以来，长期重视信息化建设和信息安全保障工作，信息化程度越来越高，业务对信息系统的依赖程度越来越大，同时访问系统的用户账号和权限管理也变得越来越复杂。
江苏核电需要在授予用户信息系统访问权限的同时，准确、及时的管控用户权限。
但是公司在线的信息系统及设备权限管理的多样性，信息系统用户覆盖多个直属部门、合作伙伴的现实情况，共同导致系统访问控制管理工作复杂度激增。
这不仅提高了系统访问控制管理的成本，同时带来了相应的安全问题，主要体现在如下两个方面：系统缺少统一的、全寿期的权限管控规范，存在权限管控的短板，从而在实质上降低了信息系统的安全性。
系统上线后权限管控的接口不清晰，权限控制不准确，不及时。
业务用户对于权限了解的信息不对称。
为了规范系统访问控制管理工作。
需要构建一个统一的信息系统访问控制权限管控模型，才能系统深入的解决上述两个方面的现实问题。
因此，江苏核电开展了专题研究，并推出了江苏核电的信息系统权限管控模型。
设计原则江苏核电信息系统权限管理的模型涉及系统和承载信息的安全，因此在设计权限管控模型的时候应坚持如下几个基本原则，以保证模型的先进性和实用性。
标准性原则尽可能遵循现有的与信息安全相关的国际标准、国内标准、行业标准，充分参考行业内的最佳实践。
标准性原则从根本上保证了信息系统权限管控模型的的全面性、合规性和开放性。
整体性原则从宏观的、整体的角度出发，系统地设计江苏核电信息系统权限管理模型，覆盖系统的整个生命周期和管理维度的各个方面。
权限管理模型
权限管理模型是在计算机安全中，用于控制访问控制的一种抽象概念。
它描述了一个系统如何根据用户的身份、访问对象上存储的信息以及用户对操作的请求来确定用户是否具有访问某对象的权限。
它是一种静态访问控制机制，它负责处理访问资源时的权限检查。
常见的权限管理模型有角色权限模型、域权限模型、会话权限模型和动态权限模型等。
角色权限模型：将用户的角色作为访问控制的依据，根据用户所属的角色分配不同的权限，角色之间可以相互继承和覆盖，即一个用户可以有多个角色，每个角色都有自己的权限，而用户的权限就是他所拥有的角色的权限的总和。
域权限模型：是用户权限控制的一种方法，它将系统中的访问对象划分为不同的域，然后根据用户对某个域的权限，决定用户是否可以访问该域内的资源。
会话权限模型：是指在安全会话期间，服务器端存储用户的访问权限，并在用户登录时将其传送给客户端，用户只能在获得权限的情况下才能访问资源。
动态权限模型：是用户权限控制的一种方法，它根据用户的行为动态调整用户的权限，以便更好地控制用户的访问。
信息系统访问控制权限管控模型研究发表时间：2016-08-23T14:09:44.377Z 来源：《电力设备》2016年第11期作者：苏辉任增朋孟祥山[导读] 江苏核电有限公司（以下简称：江苏核电）自成立以来，长期重视信息化建设和信息安全保障工作。
苏辉任增朋孟祥山（江苏核电有限公司江苏连云港 222042）摘要：江苏核电有限公司在信息安全管理体系建设过程中，推出了江苏核电独具特色的信息系统访问控制权限管理模型。
文章详细介绍了该模型的产生背景、设计原则和总体情况，并对组成模型的3个不同体系维度分别加以论述。
文章重点介绍了在信息系统访问控制权限管理模型的指导下，江苏核电具体开展的信息系统权限管理模式和开展的工作，并对实施效果进行了总结。
关键词：信息安全；权限管理；管控模型产生背景江苏核电有限公司（以下简称：江苏核电）自成立以来，长期重视信息化建设和信息安全保障工作，信息化程度越来越高，业务对信息系统的依赖程度越来越大，同时访问系统的用户账号和权限管理也变得越来越复杂。
江苏核电需要在授予用户信息系统访问权限的同时，准确、及时的管控用户权限。
但是公司在线的信息系统及设备权限管理的多样性，信息系统用户覆盖多个直属部门、合作伙伴的现实情况，共同导致系统访问控制管理工作复杂度激增。
这不仅提高了系统访问控制管理的成本，同时带来了相应的安全问题，主要体现在如下两个方面：系统缺少统一的、全寿期的权限管控规范，存在权限管控的短板，从而在实质上降低了信息系统的安全性。
系统上线后权限管控的接口不清晰，权限控制不准确，不及时。
业务用户对于权限了解的信息不对称。
为了规范系统访问控制管理工作。
需要构建一个统一的信息系统访问控制权限管控模型，才能系统深入的解决上述两个方面的现实问题。
因此，江苏核电开展了专题研究，并推出了江苏核电的信息系统权限管控模型。
设计原则江苏核电信息系统权限管理的模型涉及系统和承载信息的安全，因此在设计权限管控模型的时候应坚持如下几个基本原则，以保证模型的先进性和实用性。
标准性原则尽可能遵循现有的与信息安全相关的国际标准、国内标准、行业标准，充分参考行业内的最佳实践。
标准性原则从根本上保证了信息系统权限管控模型的的全面性、合规性和开放性。
整体性原则从宏观的、整体的角度出发，系统地设计江苏核电信息系统权限管理模型，覆盖系统的整个生命周期和管理维度的各个方面。
从整体上管控信息系统的权限，保证系统的安全和信息的安全。
实用性原则建立信息系统权限管理模型，必须针对江苏核电信息系统的特点，避免简单照抄照搬其它的信息安全权限管控方案。
同时，信息系统权限管理模型中的所有内容，都被用来指导江苏核电信息系统权限管理的实际工作，因此必须坚持可操作性和实用性原则，避免空洞和歧义现象。
先进性原则信息系统权限管理模型中涉及的思路和机制，应该具有一定的先进性和前瞻性，既能够满足当前系统的安全要求，又能够满足未来3到5年时间内，江苏核电的信息系统建设和权限管理的需要，为系统和信息的安全提供保障。
2、权限管控模型介绍江苏核电信息系统权限管理模型包括信息系统生命周期、访问控制要素、业务需求三个维度，下面将从这三个维度来阐释权限管理的思路和措施。
图1 信息系统权限管控模型信息系统生命周期信息系统生命周期维度是把信息系统的全生命周期分为初始阶段、需求阶段、设计阶段、开发阶段、测试阶段、上线阶段、运维阶段、废弃阶段。
针对这八个阶段制定具体的访问控制管理的管控流程、规则。
初始阶段：依据信息系统的可用性要求、业务重要性对其进行定级。
需求阶段：结合业务需求，梳理、汇总访问控制管理的需求。
设计阶段：依据需求说明书对访问控制管理进行设计，确保系统满足功能和安全需求。
重点要关注访问控制管理流程梳理、角色权限与岗位对应关系、授权后能够访问的信息分级、认证方式选择、权限颗粒度定义、审计功能和范围等。
开发阶段：审核开发实现工作的成果，确保访问控制管理的功能需求和安全需求得到实现。
测试阶段：对系统开发的结果进行验证，确保访问控制管理部分的真实性、可用性。
上线阶段：对信息系统上线测试报告进行评审，确保访问控制管理在功能和安全方面符合预期要求。
另外，还要完成测试账号清理、初始账号部署、以及权限维护的交接工作。
运维阶段：根据实际业务场景，遵循运维管理规范，加强运行阶段用户权限的入场管理、变更管理、离场管理，并通过审计活动监督。
废弃阶段：在系统下线前按照管理要求对访问控制管理数据进行备份，和对信息系统自身及相关软硬件的剩余信息进行清除。
访问控制要素参考国际广泛应用的RBAC模型、4A模型，把访问控制要素分为账号管理、认证管理、授权管理、审计管理等四个要素。
账号管理：信息系统必须提供账号管理模块，用于管理其账号及属性信息。
需要包括以下内容：组织管理：提供账号按组织结构、业务流程进行层级管理的功能。
属性管理：提供账号及账号使用者、职位、描述、时间等属性管理。
操作管理：提供账号及其信息的创建（C）、查看（R）、更新（U）、删除（D）等操作管理外部接口：提供信息系统对账号同步、调用所需要的外部接口。
认证管理：信息系统必须提供认证管理模块，用于提供认证服务或者转发认证请求，并且要支持符合安全要求的认证方式。
需要包括以下内容：认证服务/认证枢纽服务：提供认证服务或者转发认证请求。
认证方式：提供符合安全要求的认证方式。
授权管理：信息系统必须提供授权管理模块，用于管理其权限资源、角色/组及属性信息、授权配置等，需要包括以下内容：创建权限：定义权限的分类、颗粒度。
分配权限：把权限分配给相应账号所需要的功能。
使用权限：使用权限时的动态约束机制。
审计管理：信息系统必须提供审计管理模块，用于对信息系统的登入登出、敏感数据访问和关键操作进行审计。
需要包括以下内容：审计范围：根据信息系统的重要性，确定审计范围。
审计预警：提供对违规事件的预警，及时发现。
审计分析：提供审计查询、报表等以便于实现审计分析。
业务需求要素根据组织提出的满足分级运维要求、权限不相容的要求，参考多行业案例，定义访问控制管理的组织架构、业务逻辑要求。
本专题要求角色、账号、授权都要支持组织架构的要求，授权要考虑静态约束、动态约束机制。
组织架构：依据江苏核电的分级管理规定，需要账号、角色可以按照实际组织结构或者业务流程进行层次管理。
具体要求如下：层次化的管理：应支持在每个层级的所有部门设置部门权限管理员，部门管理员可以对本部门的用户进行管理和授权。
层次化的授权：上级部门的管理员可是指定下级部门的管理员，可以启用或关闭上级部门管理员对下级部门用户的直接管理和授权。
业务逻辑按照江苏核电要求“工作必需、最小权限”原则，授权应该颗粒度越小越好，因此，信息系统应该按照实际业务需求，支持细粒度的资源控制。
为了让实际资源控制更容易实现，可以通过属性约束，降低开发成本。
按照江苏核电要求“责任分离”原则，既要考虑不相容权限要静态分离，又要考虑实际业务场景中工作交叉的带来的动态分离，所以，信息系统权限设计时应该考虑静态约束和动态约束机制，实现有效的访问控制。
3、权限管控模型在江苏核电的应用江苏核电信息系统权限管理模型在建成后，在该模型的指导下，针对现有的系统开展了一系列的信息系统权限管理的实施和部署工作，主要开展的工作如下：建立完善的管理制度根据模型的要求，江苏核电建立了完善的系统权限管理制度，覆盖系统建设和运维的各个阶段，对每个阶段在系统权限管控的各个方面应该完成的工作都做出了明确的规定。
将系统权限量化成清单权限管理模型建成之后，公司信息化部门联合业务归口部门针对新开发的系统在需求和设计阶段，依据业务实际全面分析系统的权限管理需求，并将需求细化，形成清晰的系统权限规则清单和权限设计说明，以此保证系统在建设阶段就落实权限管理的要求，为系统上线后的权限控制奠定坚实的基础。
对于已经在线运行的系统，由信息安全管理员组织系统管理员和业务接口人对已有的系统权限信息逐条进行梳理，形成系统业务权限规则清单（见图2）。
经过相关人员的共同努力，目前已经完成32个主要业务系统的80余份权限规则清单，包含业务权限1200余条。
权限申请流程电子化在责任部门梳理完权限规则清单后，为了优化用户申请权限的便捷性、规范性、实现系统权限可视化，提高权限申请工作的效率，同时完整记录权限申请流程的审核痕迹；减少原有的纸质权限申请表单流转的繁杂，易丢失，传递速度慢，难以审计等问题，江苏核电开发了信息系统权限申请流程（图3），实现了信息系统权限申请工作电子化，系统能够依据权限审批节点、权限获取信息敏感度等信息，动态构造流程，提高权限申请效率；公司用户可以随时在线申请所需系统的权限，并能够自助查询跟踪申请状态，对于个人已经拥有的系统权限，可以通过系统查询申请记录获取；同时归口审批部门也能够及时准确的掌握本领域业务授权用户的现状，为权限审计提供了基础条件。
该流程上线以来已完成申请记录1600余条，目前流程运行稳定，用户反馈良好。
4、结语江苏核电信息系统权限管控模型在设计和策划中参考了国内外多个与权限管理相关的标准要求和多家大公司、大企业的管理实践，可以保证管理思想的先进性和实用性。
该权限管控模型在公司多个正在开发系统的的权限规范化管理工作中进行了推广，实践证明，可操作性强、管理效果好。
同时，通过实施权限管理电子化流程，提高了用户申请系统权限的工作效率，减少了纸质申请的复杂性，节约了纸张、人力、时间等管理成本，实现了系统运维阶段的权限可控、在控的目标，有效的保障了信息系统安全可靠运行。
参考文献[1]王凤英, 《访问控制原理与实践》, 北京邮电大学出版社有限公司, 2010.12[2]陈泽茂,《信息系统安全》, 武汉大学出版社, 2014.4。
