基于XACML的受限RBAC框架在GridSphere中的实现.pdf

《基于XACML的受限RBAC框架在GridSphere中的实现.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、1．引言目前大多数系统都以专有的方式实现访问控制和授权，因此不同系统之间很难做到直接交换安全控制信息。而可扩展访问控制标记语言(XACML)旨在提供一种统一的格式来描述访

2、’口J控制信息，能够很好地解决不同系统之间的交互难题。XACML是一项由OASIS指导制定的XML规范，其中定义了一个基于XACML的RBAC框架，但是该框架仅定义了核心RBAC和层次RBAC的策略。由于没有对受限RBAC进行定义，因此很难在授权过程中体现最小特权和责任分离原则。为此，本文通过对XACML的RBAC框架的补充，使之能够更好地体现RBAC96模型族的特点，并最终在GridSphcre门户中实现了受限RBAC

3、模型。2．Iu≥AC模型概述2．1RBAC96模型族20世纪90年代期间，大量的专家学者和专门研究单位对RBAC的概念进行了深入研究，先后提出了许多类型的RBAC模犁，其中以美国GeorgeMason大学信息安全技术实验室(LIST)提出的RBAC96模型最具有系统性，得到普遍的公认。RBAC96是一个模型族，其中包括RBAC0～RBAC3四个概念性模型【1】：(1)基本模型RBACORBAC0，即核心RBAC，该模型中包括用户(u)、角色CR)、许町权(P)和会话集合(s)4类实体集合。(2)角色分级模型RBAClRBACl，即层次RBAC，该模型中的角色是分级的，不同级别的角色有不同的

4、职责与权利，角色的级别形成偏序关系。(3)受限模型RBAC2RBAC2模型是在RBAC0模型增加限制后形成的，它与RBACl并不兼容。主要存在两种限制：互斥角色的限制和角色的基数限制。2．2基于XACML的RBAC框架最新的2．0版XACML标准通过定义4种策略集来帮作者简介：程志，男，四川成都人，硕士，研究方向：网格计算。(1)角色策略集(RPS)Rolc是一个结合了给定角色的策略集，同时它也包含了对相应角色的权限策略集(PPS)的引用。(2)权限策略集(PPS)Permission包含了绑定到某角色的权限。一个PPS可能包含对其他角色的对应P

5、PS的引用。通过这种方式，可以很方便地实现一个角色对另一个角色的继承。(3)角色指派策略集(RAP)RoleAssignment定义了对指定的用户赋予某些指派的角色。(4)特权策略集(HPP)HasPrivilegesOfRole表示一个绑定到某角色的用户具有某种特权。3．基于XACML的受限RBAC框架的实现思路受限模型中的互斥角色限制，是指各自权限可以互相制约的两个角色。对于这类角色，一个用户在某一次活动中只能被分配其中的一个角色，不能同时获得两角色的使用权，通过该限制可以支持职责分离原则的实现。受限模型中的角色基数限制是指一个角色可分配的最大用户

6、数，一旦拥有该角色的用户数量超过其角色基数，则不能给申请角色的用户分配该角色。在用XACML进行受限模犁描述时，将所有的互斥角色写入到一个互斥角色策略集中，其中一对互斥角色为其策略集中的一个策略；将所有的角色以及其基数写入到一个角色基数策略集中，其中一个策略对应一个角色和其基数。当用户请求激活一个角色时，将先访问角色基数策略集，根据角色匹配到某个策略上，如果返回的是permit，则说明该用户激活角色成功，此时，应将策略中的基数减1；当用户请求激活第二个角色时，也要先访问角色基数策略集，如果返回的是permit，则还需要查找．巨斥角色策略集，若返回结果为deny，则说明用户的两个角色跟该策略

7、集中的一个策略相匹配，第一二个角色激活失败。假设前两个角色都激活成功，当用户请求第三个角色时，访问角色基数策略集也返回的是permit，则需要将这个一55—l橇辅隳雳应用莰术与研究角色与前面两个角色分别组成一对访问互斥角色策略集，只要两次返回的都是permit才能激活该角色；后面的角色请求过程以此类推。4．受限RBAC框架的XACML描述以互斥角色策略集和角色基数策略集为例的XACML描述方法如下：(1)互斥角色策略集的XACML描述

8、e—combine：deny-overrides”>Rol