基于属性访问控制方法中的策略定义研究

《基于属性访问控制方法中的策略定义研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、葛琨，郎波：基于属性访问控制方法中的策略定义研究基于属性访问控制方法中的策略定义研究葛琨,郎波（北京航空航天大学北京100083）摘要：基于属性的访问控制（ABAC）是面向WebService应用的一种新的访问控制方法。可扩展访问控制标记语言XACML是一种支持该方法的重要规范，它给出了ABAC策略执行框架以及ABAC策略的定义语言。但XACML中策略定义非常繁琐复杂，对用户提出了很高要求。本文在对ABAC模型进行分析研究的基础上，分析了XACML的策略定义语言，提出了基于XACML的ABAC策

2、略模版，并给出了基于策略模版编写ABAC策略的方法，从而在保证策略正确定义的基础上，有效简化了策略定义过程。关键词：基于属性的访问控制，XACML，策略模版，策略定义方法ResearchonthepolicydefinitionintheAttributebasedAccessControlABSTRACT：AttributeBasedAccessControl(ABAC)isanewaccesscontrolmethodintheapplicationofWebService.eXtensib

3、leAccessControlMarkupLanguage(XACML)isanimportantstandardsupportingABAC;itbringsupanABACpolicyenforcingarchitectureandanABACpolicydefinitionmethod.ButitisverycomplicatedtodefineABACpolicyusingXACML,andItisdifficultforcommonusertomasterit.Inthispaper,

4、weanalyzethedefinitionmethodinXACMLbasedontheABACmodel,bringupaXACMLbasedpolicydefinitiontemplateandthepolicydefinitionmethodbasedonit.Inthisway,wecanbothassuretheaccurateofthepolicyandsimplifythepolicydefinitionprocedure.Keyword:AttributeBasedAccess

5、Control,XACML,Policytemplate,Policydefinitionmethod中图分类号：TP393.08文献标志码：A基金项目:网格计算中基于属性的访问控制的方法与实现国家863资助项目(NO.2006AA01Z441),动态性访问控制方法研究总装预研基金资助项目(NO.9140A15030206HK01)引言SOA(Service-OrientedArchitecture)和网格环境的出现打破了传统的封闭式的信息系统，使得平台独立的系统之间以松耦合，可相互合作的接口实

6、现互联[1,2]。在这种环境中，要求访问控制模型能够提供基于上下文的访问，处理主体和客体的异构性和变化性。传统的基于用户身份或角色的访问控制模型[1,2]已经不适用于这样的环境。基于属性的访问控制(AttributeBasedAccessControl,ABAC)在理论上给出了上述问题的一种解决思路。ABAC策略可以表达任意基于属性的逻辑语义。OASIS的XACML(eXtensibleAccessControlMarkupLanguage，可扩展访问控制标记语言)标准对ABAC策略定义提供了很

7、好的建议与技术支持。本文的组织结构如下：首先分析ABAC模型，给出ABAC策略形式化定义，然后结合基于XACML的ABAC策略执行框架对XACML的策略定义语言进行分析，提出基于XACML的ABAC策略模版，简化使用XACML定义策略的复杂度。在上述分析的基础上，讨论应用策略模版定义策略时的一般原则。最后在结论中对未来的工作进行了展望。2.基于属性的访问控制模型2.1基于属性的访问控制基本思想基于属性的访问控制是以决策过程中涉及的相关实体的属性(而不仅仅是标识)为基础进行授权的一种访问控制机制。

8、它能够根据相关实体属性的动态变化，适时更新访问控制决策，从而提供了一种细粒度，更加灵活的访问控制方法。我们考虑如下三种实体的属性：PDF文件使用"pdfFactoryPro"试用版本创建www.fineprint.cn葛琨，郎波：基于属性访问控制方法中的策略定义研究2主体属性：主体是对资源采取某种行动的实体（能够发出访问请求或者对某些资源执行许可动作的所有实体的集合，一个主体可能被另外的主体所访问，所以，某些主体也可以被看作资源）。如用户，进程。每一个主体都有定义其身份或标识其特征的属性。这些属