rbac权限管理解决方案

《rbac权限管理解决方案》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、基于RBAC模型的权限管理解决方案创建时间：2009-04-294RBAC模型的优势在许多的实际应用中，不只是要求用户简单地进行注册登录，还要求不同类别的用户对资源有不同的操作权限。目前，权限管理系统也是重复开发率最高的模块之一。在企业中，不同的应用系统都拥冇一套独立的权限管理系统。每套权限管理系统只满足自身系统的权限管理需耍，无论在数据存储、权限访问和权限控制机制等方面都对能不一样，这种不一致性存在如下弊端：(1)系统管理员需要维护多套权限管理系统，重复劳动；(2)用户管理、组织机构等数据重复维护，数据一致性、完整性得不到保

2、证；(3)由于权限管理系统的设计不同，概念解释不同，采用的技术有差异，权限管理系统之间的集成存在问题，实现单点登录难度十分大，也给企业构建企业门户带来困难。采用统一的安全管理设计思想，规范化设计和先进的技术架构体系，构建一个通用的、完善的、安全的、易于管理的、有良好的可移植性和扩展性的权限管理系统，使得权限管理系统真正成为权限控制的核心，在维护系统安全方面发挥重要的作用，是十分必要的。丄RBAC模型概述RBAC(角色访问控制)是目前应用最为广泛的权限模型。NIST(TheNationalInstituteofStandards

3、andTechnology,美国国家标准与技术研究院)标准RBAC模型由4个部件模型组成，这4个部件模型分别是基本模型RBACO(CoreRBAC)、角色分级模型RBAC1(HierarchalRBAC)、角色限制模型RBAC2(ConstraintRBAC)和统一模型RBAC3(CombinesRBAC)[1]oRBACO模型女口图1所示。>RBACO定义了能构成一个RBAC控制系统的最小的元素集合。在RBAC之中,包含用户users(USERS)、角色roles(ROLES)^目标objects(OBS)>操作operat

4、ions(OPS)>许可权permissions(PRMS)五个基本数据元素，权限被赋予角色，而不是用户，当一个角色被指定给一个用户时，此用户就拥有了该角色所包含的权限。会话sessions是用户与激活的角色集合之间的映射oRBAC0与传统访问控制的差别在于增加一层间接性带来了灵活性,RBAC1、RBAC2、RBAC3都是先后在RBAC0上的扩展。>RBAC1引入角色间的继承关系，角色间的继承关系可分为一般继承关系和受限继承关系。一般继承关系仅要求角色继承关系是一个绝对偏序关系，允许角色间的多继承。而受限继承关系则进一步要求角

5、色继承关系是一个树结构。>RBAC2模型屮添加了责任分离关系。RBAC2的约束规定了权限被赋予角色时,或角色被赋予用户时，以及当用户在某一时刻激活一个角色时所应遵循的强制性规则。责任分离包括静态责任分离和动态责任分离。约朿与用户■角色•权限关系一起决定了RBAC2模型中用户的访问许可。>RBAC3包含了RBAC1和RBAC2,既提供了角色间的继承关系，又提供了责任分离关系。丄RBAC模型的各个组成部分RBAC引入了Role的概念，冃的是为了隔离User（即动作主体，Subject）与Privilege（权限，表示对Resour

6、ce的一个操作，即0peration+Resource）<>Role作为一个用户（User）与权限（Privilege）的代理层，解耦了权限和用户的关系，所有的授权应该给了Role而不是直接给User或Group。Privilege是权限颗粒，rtlOperation和Resource组成，表示对Resource的一个0perationo例如，对于信息栏目的删除操作。Role-Privilege是many・to・many的关系，这就是权限的核心。基于角色的访问控制方法（RBAC）的显著的两大特征是：1。由于角色/权限之间的变化

7、比角色/用户关系之间的变化相对要慢得多，减小了授权管理的复杂性，降低管理开销。20灵活地支持企业的安全策略，并对企业的变化有很大的伸缩性。RBAC基本概念：RBAC认为权限授权实际上是Who、What、How的问题。在RBAC模型中，who、what、how构成了访问权限三元组，也就是“Who对What（Which）进行How的操作”。Who：权限的拥用者或主体（如Principal、User、Group、Role、Actor等等）What：权限针对的对象或资源（Resource、Class）oHow：具体的权限（Privil

8、ege,正向授权与负向授权）。说明：User：与Role相关，用户仅仅是纯粹的用户，权限是被分离出去了的。User是不能与Privilege直接相关的，User要拥有对某种资源的权限，必须通过Role去关联。解决Who的问题。Resource：就是系统的资源，比如部门新闻，文