基于RBAC权限管理模型

《基于RBAC权限管理模型》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、基于RBAC模型的权限管理系统的设计和实现裴辉东梁云风(1.山东省烟台海颐软件股份有限公司；2山东省烟台东方电子信息产业股份有限公司)摘要：提岀了基于RBAC模型的权限管理系统的设计和实现方案。介绍了采用的J2EE架构的多层体系结构设计，阐述了基于角色的访问控制RBAC模型的设计思想，并讨论了权限管理系统的核心而向对彖设计模型，以及权限访问、权限控制和权限存储机制等关键技术。关键词:权限管理系统;角色；访问控制；RBAC模型;J2EE；LDAP0引言管理信息系统是一个复杂的人机交互系统，其中每个具体环节都可能受到安金威胁。构建强健的

2、权限管理系统，保证管理信息系统的安金性是十分重要的。权限管理系统是管理信息系统中可代码重用性最高的模块之一。任何多用户的系统都不可避免的涉及到相同的权限需求，都需要解决实体鉴别、数据保密性、数据完整性、防抵赖和访问控制等安全服务(据TS07498-2)o例如，访问控制服务要求系统根据操作者已经设定的操作权限，控制操作者可以访问哪些资源，以及确定对资源如何进行操作。目前，权限管理系统也是重复开发率最高的模块之一。在企业中，不同的应用系统都拥有一套独立的权限管理系统。每套权限管理系统只满足自身系统的权限管理需要，无论在数据存储、权限访问

3、和权限控制机制等方面都口J能不一样，这种不一致性存在如下弊端：乩系统管理员需要维护多套权限管理系统，重复劳动。b・用户管理、组织机构等数据重复维护，数据一致性、完整性得不到保证。c•由于权限管理系统的设计不同，概念解释不同，采用的技术有差异，权限管理系统之间的集成存在问题，实现单点登录难度十分大，也给企业构建企业门户带来困难。采用统一的安全管理设计思想，规范化设计和先进的技术架构体系，构建一个通用的、完善的、安全的、易于管理的、有良好的可移植性和扩展性的权限管理系统，使得权限管理系统真正成为权限控制的核心，在维护系统安全方面发挥重要

4、的作用，是十分必要的。木文介绍一种基于角色的访问控制RBAC(Role-BasedpoliciesAccessControl)模型的权限管理系统的设计和实现，系统釆用基于J2EE架构技术实现。并以讨论了应用系统如何进行权限的访问和控制。1采用J2EE架构设计采用J2EE企业平台架构构建权限管理系统。J2EE架构集成了先进的软件体系架构思想，具有采用多层分布式应用模型、基于组件并能重用组件、统一完全模型和灵活的事务处理控制等特点。系统逻辑上分为四层：客户层、Web层、业务层和资源层。a.客户层主要负责人机交互。可以使系统管理员通过We

5、b浏览器访问，也可以提供不同业务系统的API、WebService调用。b.Web层封装了用來提供通过Web访问本系统的客户端的表示层逻辑的服务。C.业务层提供业务服务，包括业务数据和业务逻辑，集中了系统业务处理。主耍的业务管理模块包括组织机构管理、用户管理、资源管理、权限管理和访问控制儿个部分。d.资源层主要负责数据的存储、组织和管理等。资源层提供了两种实现方式:大型关系型数据库(如ORACLE)和LDAP(LightDirectoryAccessProtocol,轻量级目录访问协议)目录服务器(如微软的活动目录)。2RBAC模型

6、访问控制是针对越权使用资源的防御措施。基本目标是为了限制访问主体(用户、进程、服务等)对访问客体(文件、系统等)的访问权限，从而使计算机系统在合法范围内使用；决定用户能做什么，也决定代表一定用户利益的程序能做什么⑴。企业环境屮的访问控制策略一般冇三种：自主型访问控制方法、强制型访问控制方法和基于角色的访问控制方法(RBAC)o其中，口主式太弱，强制式太强,二者工作量大，不便于管理⑴。基于角色的访问控制方法是口前公认的解决大型企业的统一资源访问控制的有效方法。其显著的两犬特征是：1.减小授权管理的复朵性，降低管理开销；2•灵活地支持企

7、业的安全策峪，并对企业的变化有很大的仲缩性。__NIST(TheNationalInstituteofStandardsandTechnology,美国国家标准与技术研究院)标准RBAC模型由4个部件模型组成，这4个部件模型分别是基本模型RBACO(CoreRBAC)、角色分级模型RBAC1(HierarchalRBAC)、角色限制模型RBAC2(ConstraintRBAC)和统一模型RBAC3(CombinesRBAC)[l]oRBACO模型如图1所示。图1RBACO模型a.RBACO定义了能构成一个RBAC控制系统的最小的元素

8、集合。在RBACZ中,包含用户users(USERS)>角色roles(ROLES)>目标objects(OBS)>操作operations(OPS)、许可权permissions(PRMS)五个基本数据元素，权限被赋予角色,而不是用