资源描述：
《信息系统中基于RBAC模型的访问控制模块设计与实现》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。
1、第45卷增刊大连理工大学学报Vol.45,Suppl.2005年10月JournalofDalianUniversityofTechnologyOct12005校园信息化文章编号:100028608(2005)S2S284203Web信息系统中基于RBAC模型的访问控制模块设计与实现12王兴伟,王宇(1.东北大学CERNET东北地区网络中心,辽宁沈阳110004;2.东北大学网络中心,辽宁沈阳110004)摘要:介绍了各类访问控制技术,特别是基于角色的访问控制(role2basedaccesscontrol,
2、RBAC)模型,同时根据Web信息系统的特点提供了一个基于RBAC模型的访问控制模块的实现.RBAC访问控制实现了用户与访问权限的逻辑分离,减少了授权管理的复杂性,降低了管理开销.关键词:RBAC;权限;访问控制;web信息系统中图分类号:TP393文献标识码:A0引言统的安全问题,但会使系统的安全管理很复杂,应用系统的安全性也不足.随着信息技术的不断发展,用户可访问的数据为了解决传统访问控制技术的不足,出现了基资源的结构日益复杂,规模日益增大,各类信息系统于角色的访问控制(role2basedaccessc
3、ontrol,简称都面临着对数据资源进行有效安全管理的难题.资RBAC)和基于任务的访问控制(task2basedaccess源的访问控制在大型的专业数据库管理信息系统的[2]control,简称TBAC)等新的访问控制技术.设计与开发中占有越来越重要的地位;作为系统底RBAC将整个访问控制过程分成两部分,即访问权层的技术,访问控制需要满足不同用户对不同数据限与角色相关联,角色再与用户相关联,从而实现用的需求.户与访问权限的逻辑分离,减少了授权管理的复杂访问控制权限的构建主要是决定一个用户是否性,降低了管理开
4、销,为管理员提供了一个比较好的有权对某一特定的数据资源执行某种操作;其实质实现安全政策的环境.TBAC则是以任务为中心,是解决“who2what2how”这一问题公式,即建立用对访问权限控制不是静止不变的,而是随着执行任务户、角色、资源及资源的操作之间的映射关系集合,满足系统对资源控制的需求.传统的访问控制方法的上下文环境发生变化,在任务处理的过程中提供动主要分为自主型访问控制(discretionaryaccesscon2态、实时的安全管理,是动态授权的主动安全模型.trols,DAC)和强制型访问控制(m
5、andatoryaccess1RBAC访问控制技术[1]controls,MAC)两种.自主访问控制是访问控制技术中最常见的一种方法,允许资源的所有者自主RBAC的基本模型及概念结构对应关系包含了地在系统中决定可存取其资源客体的主体.而强制四类实体:用户(user)、角色(role)、权限(permis2[1]访问控制是主体的权限和客体的安全属性都是固定sion)、会话(session).RBAC的基本模型如图1的,由管理员通过授权决定一个主体对某个客体能所示.否进行访问.无论是DAC还是MAC都是主体和访(
6、1)用户集(users),表示可以独立访问信息系问权限直接发生关系,根据主体/客体的所属关系或统中的数据或用数据表示的其他资源的主体集合,主体/客体的安全级别来决定主体对客体的访问权.用户是对数据对象进行操作的主体,可以是人、计算两种访问控制技术虽然在一定程度上解决了应用系机等,反映在系统中的是一个账号.收稿日期:2005208220.作者简介:王兴伟(19682),男,博士,教授,博士生导师,E2mail:wangxw@mail.neu.edu.cn.;王宇(19782),男,助理工程师,E2mail:wa
7、ngy@mail.neu.edu.cn.增刊王兴伟等:Web信息系统中基于RBAC模型的访问控制模块设计与实现S285访问网络上的web服务器上的页面集合.对数据库的访问都是通过应用程序完成的,用户在客户端没有机会访问到后台的数据库服务器.因而访问控制大多是针对web服务器上的资源和数据库中的数据资源,并在web服务器上具体实现.web服务器上的资源,主要包括服务器上的文件资源和系统的服务资源.数据库中的数据资源,包括数据信息、数据图1RBAC访问控制基本模型访问日志等.Web信息系统中的访问控制也大多是Fi
8、g11Coremodelofrole2basedaccesscontrol针对这些资源而构建的.(2)权限集(permissions),表示能够对某个客2.2Web信息系统中基于RBAC的访问控制模型体进行访问的权限操作集合,权限是对某一资源对对资源的访问控制作为信息系统的底层功能,象的可操作权利,如对数据库数据的添加、修改、删需要根据系统的实际需求进行设计,因而在实际构除等操作,系统文件的创建与修
