基于XACML的受限RBAC框架在GridSphere中的实现
- 格式：pdf
- 大小：163.46 KB
- 文档页数：3
些指 派的角色 。
Ｒ Ｃ进行 定义 ， ＢＡ 因此 很难在授 权过程 中体现最 小特权和 责
任分 离原则 。为此 ， 本文通 过对 Ｘ ＭＬ的 Ｒ Ａ ＡＣ Ｂ Ｃ框架 的补
（１ ４ 特权策 略集 （ Ｐ ） Ｈ Ｐ ＨａＰ ｉ ｌ ｅＯｆ ｏｅ Ｐ ｌ ｙ ｓｒ ｉ ｇ ｓ Ｒ ｌ＜ ｏｉ ＞表 示 一个 绑 定到 某角 色 的 ｖｅ ｃ 用户具 有某种特 权 。 ３ ．基 于 ＸＡＣ ＭＬ的受限 Ｒ ＡＣ框架 的实现 思路 Ｂ 受 限模 型 中的互斥角色 限制 ， 是指各 自权 限可 以互相制 约 的两 个角色 。对 于这类 角色 ， 一个用户 在某一次活 动中只 能被分 配其 中的一个角色 ，不能 同时获得两角色 的使用权 ，
个 Ｐ Ｓ可 能包含对 其他 角色 的对应 Ｐ Ｓ的引用 。通 过这 种 Ｐ Ｐ 方式 ， 以很方便 地实现一 个角色对 另一个角色 的继承 。 可 ｆ） ３ 角色指 派策略集 （ Ａ ） Ｒ Ｐ Ｒ ｌ ｓ ｎ ｍ＜ ｏｉ Ｓｔ ｏｅ ｉ ｍｅ Ｐ ｌ ｙ ｅ Ａｓ ｇ ｃ ＞定义 了对 指定 的用户 赋予某
Ｒ １＜ ｏｉ Ｓｔ ｏｅ Ｐ ｌ ｙ ｅ＞是一个 结合 了给 定角色 的策略集 ， ｃ 同时 它 也包含 了对相应角 色 的权 限策略集 （Ｐ ） Ｐ Ｓ 的引用 。 ｆ） 限策略集 （Ｐ ） ２权 Ｐ Ｓ
Ｐ ｒ ｓｉｎ Ｐ ｌ ｙ ｅ ｅ ｓ ＜ ｏｉ Ｓ ｔ 含 了绑 定 到 某 角 色 的权 限 。 一 ｍｉ ｏ ｃ ＞包
ＲＢ ９ 模 型族 中的受 限模 型 。通过 在该框 架 中增加 互斥 角 色、 色基数 限制 的 ＸＡ ＭＬ描 述 ， ＡＣ ６ 角 Ｃ 完善 了该框 架并最终 运用在 Ｇ ｉＳ ｈ ｒ ｒ ｐ ｅｅ门户 中， ｄ 体现 了在授 权过 程 中的责任分 离原则 。
［ 键 字 ］ ＸＡ Ｍ Ｌ 关 Ｃ ；受 限 ＲＢ Ｃ；Ｇ ｉＳ ｈｒ Ａ ｒ ｐ ｅｅ ｄ
基 于 Ｘ Ｃ Ｌ的 受限 Ｒ Ａ ＡＭ Ｂ Ｃ框 架在 Ｇ Ｓ ｈ ｉ ｐ ｅ ｒｄ ｒ ｅ中的实现
程
［ 摘
志 罗省 贤
（ 成都理 工大学信息科 学与技术学 院，四川 成都 ６ ０ ５ ） １ ０ ９
要 ］ 通过 分析 ＸＡＣ ＭＬ的 ＲＢ ＡＣ框 架并 结合 ＲＢ ９ 模 型 族的特 点 ，指 出 了该框 架 的缺 陷，即该框 架 不支持 ＡＣ ６
关系。
在用 Ｘ ＭＬ进行 受 限模 型描述 时， ＡＣ 将所有 的互斥 角色
写入到一个 互斥角色 策略集 中， 中一对互斥 角色为其策 略 其 集 中 的一个 策略 ； 将所有 的角色 以及 其基数 写入到一个角 色 基 数策 略集 中 ， 中一个 策略对应 一个角色和 其基数 。当用 其 户 请求激 活 一个 角色 时， 先访 问角 色基数 策 略集 ， 将 根据 角 色 匹配 到某 个 策略 上 ， 果返 回 的是 ｐ ｒ ｔ则 说 明该用 户 如 ｅｍｉ ， 激 活角色 成功 ， 时 ， 此 应将策 略 中的基 数减 ｌ 当用 户请求 激 ； 活 第二个 角色 时 ， 要先访 问角 色基数 策 略集 ， 果返 回的 也 如 是 ｐｒ ｔ ｅｍｉ ，则 还 需要 查找 互斥 角色策 略集 ，若返 回 结果 为 ｄｎ ， ｅ ｙ 则说 明用户 的两个角色 跟该策 略集 中的一个 策略相 匹 配， 第二个 角色激 活失败 。
Ｒ ＡＣ Ｂ ３四个概念性模 型【： １ ］ （１ 本模型 Ｒ Ｃ １基 ＢＡ ０ Ｒ Ａ ０ 即 核心 Ｒ ＡＣ， Ｂ Ｃ ， Ｂ 该模 型 中包 括 用 户 （ 、 色 ｕ） 角 （ ） 许可权 （） Ｒ 、 Ｐ 和会 话集合 （） ｓ ４类实 体集合 。 （） 色分级模 型 Ｒ ＡＣ ２角 Ｂ １ Ｒ ＡＣ１ 即层 次 Ｒ Ａ 该 模型 中的 角色 是 分 级 的 ， Ｂ ， Ｂ Ｃ， 不 同级别 的角色 有不 同的职责 与权利 ，角色 的级别 形成 偏序
通过该 限制可 以支持职责 分离原则 的实现 。 限模型 中的角 受
色基数 限制是指 一个角色 可分配 的最 大用户数 ， 一旦拥 有该 角色 的用 户数量超 过其角色 基数 ， 则不 能给 申请角色 的用 户 分配该角色 。
实验 室 （ＩＴ 提 出的 Ｒ ＡＣ ６模 型最 具有 系 统性 ， 到普 ＬＳ ） Ｂ ９ 得 遍 的 公 认 。Ｒ ＡＣ ６是 一 个 模 型 族 ，其 中 包 括 Ｒ现 Ｒ Ｃ ６模型族 的特 点， ＢＡ ９ 并最 终在
Ｇ ｉＳ ｈｒ ｒ ｐ ｅｅ门户 中实现 了受限 Ｒ ＡＣ模 型 。 ｄ Ｂ ２ Ｂ ．Ｒ ＡＣ模 型概述 ２ １ Ｒ ＡＣ ６模型族 ． Ｂ ９ ２ Ｏ世纪 ９ 代期 间 ， ０年 大量 的专家 学者和专 门研 究单 位 对 Ｒ ＡＣ的概念 进行 了深入研 究 ，先后提 出了许多 类型 的 Ｂ Ｒ ＡＣ模型 ，其 中 以美 国 Ｇ ｏｇ ｓｎ大 学信 息安 全技 术 Ｂ ｅ ｒｅＭａｏ
１ 引 言 ．
助 实现 Ｒ ＡＣ核心和层 次模型［： Ｂ ２ ］
（１ 色 策 略 集 （ Ｐ ） １角 Ｒ Ｓ
目前 大 多数 系 统 都 以专 有 的方 式 实 现 访 问控 制 和 授
权， 因此 不 同系统之 问很难做 到直接交 换安全控 制信息 。而 可 扩 展访 问控制 标 记语 言 （ ｃ ） ＸＡ ＭＬ 旨在提 供 一 种 统一 的 格 式来 描述访 问控 制信 息 ，能够很 好地 解 决不 同系统 之 间 的交互难题 。 ＸＡ ＭＬ是一项 由 ＯＡ Ｉ Ｃ ＳＳ指导制 定 的 ＸＭＬ规 范 ， 中 其 定义 了一 个基 于 Ｘ ＭＬ的 Ｒ ＡＣ框架 ，但 是该框 架 仅定 ＡＣ Ｂ 义 了核心 Ｒ ＡＣ和 层 次 Ｒ Ａ 的策 略 。 由于 没有 对 受 限 Ｂ Ｂ Ｃ
Ｒ Ｃ进行 定义 ， ＢＡ 因此 很难在授 权过程 中体现最 小特权和 责
任分 离原则 。为此 ， 本文通 过对 Ｘ ＭＬ的 Ｒ Ａ ＡＣ Ｂ Ｃ框架 的补
（１ ４ 特权策 略集 （ Ｐ ） Ｈ Ｐ ＨａＰ ｉ ｌ ｅＯｆ ｏｅ Ｐ ｌ ｙ ｓｒ ｉ ｇ ｓ Ｒ ｌ＜ ｏｉ ＞表 示 一个 绑 定到 某角 色 的 ｖｅ ｃ 用户具 有某种特 权 。 ３ ．基 于 ＸＡＣ ＭＬ的受限 Ｒ ＡＣ框架 的实现 思路 Ｂ 受 限模 型 中的互斥角色 限制 ， 是指各 自权 限可 以互相制 约 的两 个角色 。对 于这类 角色 ， 一个用户 在某一次活 动中只 能被分 配其 中的一个角色 ，不能 同时获得两角色 的使用权 ，
个 Ｐ Ｓ可 能包含对 其他 角色 的对应 Ｐ Ｓ的引用 。通 过这 种 Ｐ Ｐ 方式 ， 以很方便 地实现一 个角色对 另一个角色 的继承 。 可 ｆ） ３ 角色指 派策略集 （ Ａ ） Ｒ Ｐ Ｒ ｌ ｓ ｎ ｍ＜ ｏｉ Ｓｔ ｏｅ ｉ ｍｅ Ｐ ｌ ｙ ｅ Ａｓ ｇ ｃ ＞定义 了对 指定 的用户 赋予某
Ｒ １＜ ｏｉ Ｓｔ ｏｅ Ｐ ｌ ｙ ｅ＞是一个 结合 了给 定角色 的策略集 ， ｃ 同时 它 也包含 了对相应角 色 的权 限策略集 （Ｐ ） Ｐ Ｓ 的引用 。 ｆ） 限策略集 （Ｐ ） ２权 Ｐ Ｓ
Ｐ ｒ ｓｉｎ Ｐ ｌ ｙ ｅ ｅ ｓ ＜ ｏｉ Ｓ ｔ 含 了绑 定 到 某 角 色 的权 限 。 一 ｍｉ ｏ ｃ ＞包
ＲＢ ９ 模 型族 中的受 限模 型 。通过 在该框 架 中增加 互斥 角 色、 色基数 限制 的 ＸＡ ＭＬ描 述 ， ＡＣ ６ 角 Ｃ 完善 了该框 架并最终 运用在 Ｇ ｉＳ ｈ ｒ ｒ ｐ ｅｅ门户 中， ｄ 体现 了在授 权过 程 中的责任分 离原则 。
［ 键 字 ］ ＸＡ Ｍ Ｌ 关 Ｃ ；受 限 ＲＢ Ｃ；Ｇ ｉＳ ｈｒ Ａ ｒ ｐ ｅｅ ｄ
基 于 Ｘ Ｃ Ｌ的 受限 Ｒ Ａ ＡＭ Ｂ Ｃ框 架在 Ｇ Ｓ ｈ ｉ ｐ ｅ ｒｄ ｒ ｅ中的实现
程
［ 摘
志 罗省 贤
（ 成都理 工大学信息科 学与技术学 院，四川 成都 ６ ０ ５ ） １ ０ ９
要 ］ 通过 分析 ＸＡＣ ＭＬ的 ＲＢ ＡＣ框 架并 结合 ＲＢ ９ 模 型 族的特 点 ，指 出 了该框 架 的缺 陷，即该框 架 不支持 ＡＣ ６
关系。
在用 Ｘ ＭＬ进行 受 限模 型描述 时， ＡＣ 将所有 的互斥 角色
写入到一个 互斥角色 策略集 中， 中一对互斥 角色为其策 略 其 集 中 的一个 策略 ； 将所有 的角色 以及 其基数 写入到一个角 色 基 数策 略集 中 ， 中一个 策略对应 一个角色和 其基数 。当用 其 户 请求激 活 一个 角色 时， 先访 问角 色基数 策 略集 ， 将 根据 角 色 匹配 到某 个 策略 上 ， 果返 回 的是 ｐ ｒ ｔ则 说 明该用 户 如 ｅｍｉ ， 激 活角色 成功 ， 时 ， 此 应将策 略 中的基 数减 ｌ 当用 户请求 激 ； 活 第二个 角色 时 ， 要先访 问角 色基数 策 略集 ， 果返 回的 也 如 是 ｐｒ ｔ ｅｍｉ ，则 还 需要 查找 互斥 角色策 略集 ，若返 回 结果 为 ｄｎ ， ｅ ｙ 则说 明用户 的两个角色 跟该策 略集 中的一个 策略相 匹 配， 第二个 角色激 活失败 。
Ｒ ＡＣ Ｂ ３四个概念性模 型【： １ ］ （１ 本模型 Ｒ Ｃ １基 ＢＡ ０ Ｒ Ａ ０ 即 核心 Ｒ ＡＣ， Ｂ Ｃ ， Ｂ 该模 型 中包 括 用 户 （ 、 色 ｕ） 角 （ ） 许可权 （） Ｒ 、 Ｐ 和会 话集合 （） ｓ ４类实 体集合 。 （） 色分级模 型 Ｒ ＡＣ ２角 Ｂ １ Ｒ ＡＣ１ 即层 次 Ｒ Ａ 该 模型 中的 角色 是 分 级 的 ， Ｂ ， Ｂ Ｃ， 不 同级别 的角色 有不 同的职责 与权利 ，角色 的级别 形成 偏序
通过该 限制可 以支持职责 分离原则 的实现 。 限模型 中的角 受
色基数 限制是指 一个角色 可分配 的最 大用户数 ， 一旦拥 有该 角色 的用 户数量超 过其角色 基数 ， 则不 能给 申请角色 的用 户 分配该角色 。
实验 室 （ＩＴ 提 出的 Ｒ ＡＣ ６模 型最 具有 系 统性 ， 到普 ＬＳ ） Ｂ ９ 得 遍 的 公 认 。Ｒ ＡＣ ６是 一 个 模 型 族 ，其 中 包 括 Ｒ现 Ｒ Ｃ ６模型族 的特 点， ＢＡ ９ 并最 终在
Ｇ ｉＳ ｈｒ ｒ ｐ ｅｅ门户 中实现 了受限 Ｒ ＡＣ模 型 。 ｄ Ｂ ２ Ｂ ．Ｒ ＡＣ模 型概述 ２ １ Ｒ ＡＣ ６模型族 ． Ｂ ９ ２ Ｏ世纪 ９ 代期 间 ， ０年 大量 的专家 学者和专 门研 究单 位 对 Ｒ ＡＣ的概念 进行 了深入研 究 ，先后提 出了许多 类型 的 Ｂ Ｒ ＡＣ模型 ，其 中 以美 国 Ｇ ｏｇ ｓｎ大 学信 息安 全技 术 Ｂ ｅ ｒｅＭａｏ
１ 引 言 ．
助 实现 Ｒ ＡＣ核心和层 次模型［： Ｂ ２ ］
（１ 色 策 略 集 （ Ｐ ） １角 Ｒ Ｓ
目前 大 多数 系 统 都 以专 有 的方 式 实 现 访 问控 制 和 授
权， 因此 不 同系统之 问很难做 到直接交 换安全控 制信息 。而 可 扩 展访 问控制 标 记语 言 （ ｃ ） ＸＡ ＭＬ 旨在提 供 一 种 统一 的 格 式来 描述访 问控 制信 息 ，能够很 好地 解 决不 同系统 之 间 的交互难题 。 ＸＡ ＭＬ是一项 由 ＯＡ Ｉ Ｃ ＳＳ指导制 定 的 ＸＭＬ规 范 ， 中 其 定义 了一 个基 于 Ｘ ＭＬ的 Ｒ ＡＣ框架 ，但 是该框 架 仅定 ＡＣ Ｂ 义 了核心 Ｒ ＡＣ和 层 次 Ｒ Ａ 的策 略 。 由于 没有 对 受 限 Ｂ Ｂ Ｃ
