基于属性的多域策略合成机制的研究

《基于属性的多域策略合成机制的研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、DissertationSubmittedtoShanghaiJiaoTongUniversityfortheDegreeofMasterRESEARCHONMULTI-DOMAINPOLICYINTEGRATIONMECHANISMBASEDONATTRIBUTEAuthor:LiuChenyanSpecialty:InformationandCommunicationEngineeringAdvisor:PanLiSchoolofElectronicInformationandElectricalEngineeringShanghaiJiaoTongUniver

2、sityShanghai,P.R.ChinaDecember,2012万方数据万方数据万方数据上海交通大学工学硕士学位论文摘要基于属性的多域策略合成机制研究摘要随着互联网的发展，尤其是分布式系统、云计算等应用的兴起，单一的本地访问模型已无法满足新型应用的发展趋势，因此，出现了大量的域间互操作理论。在多域的协作环境里，任一个机构是一个单独的拥有独立的访问控制策略的域，所谓的域间互操作就是实现域间安全访问和资源共享。由于分布式场景的复杂性和多态性，并且随着可扩展策略标记语言（XACML）等技术的出现，基于属性的授权已经成为当下研究的热点。基于属性的访问控制（ABAC）是

3、直接以实体属性作为参数的细粒度地授权访问控制模型，提供了更加开放、灵活性更强的域间互操作机制。本文提出了一种基于属性的访问控制策略代数——二进制序列集合，通过定义集合元素及构造集合运算规则，将访问控制策略抽象成代数模型。随后推导基于二进制序列集合的合成语义算子，用代数表达式刻画策略合成方式，建立了一种基于二进制序列集合的策略合成代数模型，并对其性能进行了分析验证。该模型是从代数建模和实现机制相融合的角度出发，相比于传统代数模型，无需逻辑转换模块即可被程序所实现。然后，本文将二进制序列集合的策略合成代数应用于策略合成前的分析及策略合成后的冲突检测。针对策略合成评估前的

4、策略筛选，提出了基于属性查询的策略分析算法，同时对策略合成后的语义冲突/冗余进行检测，提出了基于语义分析的冲突检测算法，进而形成了一套更为完善的基于二进制序列集合的策略合成代数机制。与相关合成方法相比，本文的代数方法增加了策略预处理和冲突检测模块，显著提高了合成效率和安全性，具有良好的应用前景。在此基础上，本文给出了基于二进制序列集合的策略合成机制的实施框I万方数据上海交通大学工学硕士学位论文摘要架并设计了仿真系统。该系统选用XACML策略语言作为底层策略语言，然后对其进行代数抽象，实现基于二进制序列集合的策略建模、合成、相似性分析和语义冲突检测等算法。关键词：域间

5、安全互操作，基于属性的访问控制，策略合成，策略分析，策略冲突检测II万方数据上海交通大学工学硕士学位论文AbstractRESEARCHONMULTI-DOMAINPOLICYINTEGRATIONMECHANISMBASEDONATTRIBUTEABSTRACTWiththedevelopmentoftheInternet,especiallycloudcomputinganddistributedsystemsapplication,localsecurityaccessmodelhasnotbeenabletosatisfythenewtrendoftheap

6、plication,andthenalargenumberofdistributedcollaborativetheoriesareemerging.Inthemulti-domainenvironment,eachorganizationisequivalenttoanautonomousdomain,hasseparateaccesscontrolpolicyandtechnique,theso-calledinteroperabilityistointeroperatewithsecurityaccessbetweendomainsandresourcesha

7、ring.Duetothecomplexityandpolymorphismofthedistributedscene,attributebasedauthorizationhasbeentheresearchfocuswiththedevelopmentoftheextensibleaccesscontrolmarkuplanguage(XACML).Attributebasedaccesscontrolisafine-grainedaccesscontrolmechanismthatdirectlytaketheentityattributesasthepa