基于扩展布尔矩阵分解的角色挖掘优化方法

《基于扩展布尔矩阵分解的角色挖掘优化方法》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、基于扩展布尔矩阵分解的角色挖掘优化方法　　摘要：现有使用布尔矩阵分解法挖掘的角色结果存在冗余、可解释性较差的情况。为优化角色结果，结合基本角色挖掘问题及扩展布尔矩阵分解问题的研究，将角色挖掘问题转化为扩展布尔矩阵分解问题，提出一种角色挖掘优化方法。该方法利用快速挖掘法与布尔矩阵分解法创建并优化候选角色集，并结合扩展布尔乘运算法则，运用“集合并”与“集合差”两种操作进一步优化候选角色集。应用实例结果表明，该方法挖掘的优化角色集可解释性更强、准确性更高。　　关键词：角色工程；角色挖掘；基本角色挖掘问题；扩展布尔矩阵分解　　DOIDO

2、I：10.11907/rjdk.161823　　中图分类号：TP301　　文献标识码：A文章编号：16727800（2016）010002003　　0引言6　　基于角色的访问控制（RBAC）通过角色实现用户与权限的逻辑分离，能够保证用户受限、合法地访问系统资源，具有简化系统管理、提高企业生产力、保证系统安全性与完整性等特点。RBAC已成为大规模企业等组织构建安全系统的首选机制，并被广泛用于构建中、大规模企业级应用系统。根据企业组织的功能性需求，RBAC系统通过为用户指派（或删除）角色，使其可以灵活、方便地获取（或撤销）资源的访问

3、权限[1]。Kuhlmann等[2]利用数据挖掘技术从原始系统配置中提取角色，用于构建RBAC系统。此方法又称为角色挖掘，因具有自动、快速的特点而备受研究者们关注[34]。为了充分体现RBAC机制灵活、方便的优势，作为系统构建的关键步骤，挖掘合理、完整的角色集对于成功构建RBAC系统至关重要。因此，在角色挖掘过程中如何设计简单优化、可解释性强的角色集非常具有挑战性，值得深入研究。　　1相关研究　　Molloy等[5]针对挖掘角色缺乏语义性，利用形式化概念格表示角色的语义特征，设计属性挖掘算法表征用户的相关属性信息，优化角色挖掘以

4、反映系统的功能需求；Zhang等[6]通过图优化算法减少图中用户与角色、权限与角色顶点之间边的数目，优化RBAC模型以减轻管理员进行角色分配的工作量，进而优化RBAC系统；Ene等[7]基于图论的思想并采用贪心算法，寻求反映用户―权限分配关系且含尽可能少数目的优化角色集合。伴随着数据采集和存储规模的剧增，如何对数据进行有效概括对于数据管理非常重要。布尔矩阵分解能够准确、有效地表示布尔数据集。基于此，Vaidya等[8]定义了基本角色挖掘问题，将角色挖掘转化为矩阵分解问题，以挖掘覆盖用户―权限分配关系的最优角色组合。随后，Vaid

5、ya等又提出了δ-角色挖掘问题，即在满足系统设定的冗余阈值情况下，挖掘允许一定冗余性的次优角色组合。角色挖掘目标是寻找满足用户―权限分配关系的最小角色集合，而在实际系统的构建与管理中存在以下问题：一方面，一般形式的布尔矩阵分解法只能进行“集合并”6操作，不能完全表示现实世界中的数据语义。以上方法很难提取可用的优化角色集，且挖掘角色的可解释性较差，不能合理反映系统功能的安全需求，存在安全隐患；另一方面，随着构建系统的推广应用，某些角色可能没有指派或只指派给了少数用户，未被频繁使用，即挖掘结果存在冗余。针对这些问题，本文将角色挖掘问

6、题转化为扩展布尔矩阵分解问题，提出一种角色挖掘优化方法，能够实现基本角色挖掘目标，且挖掘结果的可解释性更强、准确性更高。　　2预备知识与问题描述　　沿用标准化RBAC模型的用户集U、角色集R、权限集P、用户―角色关联UA、角色―权限关联PA，不考虑角色层次。ass_perms（r）、ass_roles（u）分别表示在RBAC系统中指派给角色r的权限集和指派给用户u的角色集；ass_perms（u）表示在非RBAC系统中直接指派给用户u的权限集。　　2.1基本角色挖掘问题　　定义1：基本角色挖掘问题（BasicRMP）[8]。对于

7、给定非RBAC系统中的用户集U′、权限集P′以及用户―权限分配关系UPA′，寻找角色集R′、用户―角色指派关系UA′及角色―权限指派关系PA′，以辅助构建RBAC系统，满足指派给任意用户的角色集恰好覆盖该用户的所有权限，同时挖掘的角色数

8、R′

9、应尽可能少，可形式化表示为：　　3基于扩展布尔矩阵分解的角色挖掘优化　　该优化方法的基本思想为：首先，基于聚类思想并使用快速挖掘法（FastMiner）创建候选角色集；其次，基于布尔矩阵分解思想，采用贪心算法将候选角色指派给不同用户，并不断优化候选角色集；最后，结合EBMD的运算法则，进一

10、步优化角色挖掘结果，以满足BasicRMP的挖掘要求。以下给出优化方法的描述。步骤1：使用快速挖掘算法（Fast6Miner）构造初始候选角色集。将拥有相同权限集的用户群聚成一类，并暂时去除该聚类的其他冗余用户；将分配给用户的不同权限集作为整体且视为角色，确立初