1 RBAC模型
访问控制是针对越权使用资源的防御措施。基本目标是为了限制访问主体(用户、进程、服务等)对访问客体(文件、系统等)的访问权限,从而使计算机系统在合法范围内使用;决定用户能做什么,也决定代表一定用户利益的程序能做什么[1]。
企业环境中的访问控制策略一般有三种:自主型访问控制方法、强制型访问控制方法和基于角色的访问控制方法(RBAC)。其中,自主式太弱,强制式太强,二者工作量大,不便于管理[1]。基于角色的访问控制方法是目前公认的解决大型企业的统一资源访问控制的有效方法。其显著的两大特征是:1.减小授权管理的复杂性,降低管理开销;2.灵活地支持企业的安全策略,并对企业的变化有很大的伸缩性。
NIST(The National Institute of Standards and Technology,美国国家标准与技术研究院)标准RBAC模型由4个部件模型组成,这4个部件模型分别是基本模型RBAC0(Core RBAC)、角色分级模型RBAC1(Hierarchal RBAC)、角色限制模型RBAC2(Constraint RBAC)和统一模型RBAC3(Combines RBAC)[1]。RBAC0模型如图1所示。
a. RBAC0定义了能构成一个RBAC控制系统的最小的元素集合。在RBAC之中,包含用户users(USERS)、角色roles(ROLES)、目标objects(OBS)、操作operations(OPS)、许可权permissions(PRMS)五个基本数据元素,权限被赋予角色,而不是用户,当一个角色被指定给一个用户时,此用户就拥有了该角色所包含的权限。会话sessions是用户与激活的角色集合之间的映射。RBAC0与传统访问控制的差别在于增加一层间接性带来了灵活性,RBAC1、RBAC2、RBAC3都是先后在RBAC0上的扩展。
b. RBAC1引入角色间的继承关系,角色间的继承关系可分为一般继承关系和受限继承关系。一般继承关系仅要求角色继承关系是一个绝对偏序关系,允许角色间的多继承。而受限继承关系则进一步要求角色继承关系是一个树结构。
c. RBAC2模型中添加了责任分离关系。RBAC2的约束规定了权限被赋予角色时,或角色被赋予用户时,以及当用户在某一时刻激活一个角色时所应遵循的强制性规则。责任分离包括静态责任分离和动态责任分离。约束与用户-角色-权限关系一起决定了RBAC2模型中用户的访问许可。
d. RBAC3包含了RBAC1和RBAC2,既提供了角色间的继承关系,又提供了责任分离关系。
2核心对象模型设计
根据RBAC模型的权限设计思想,建立权限管理系统的核心对象模型.对象模型中包含的基本元素主要有:用户(Users)、用户组(Group)、角色(Role)、目标(Objects)、访问模式(Access Mode)、操作(Operator)。主要的关系有:分配角色权限PA(Permission Assignment)、分配用户角色UA(Users Assignmen描述如下:
a .控制对象:是系统所要保护的资源(Resource),可以被访问的对象。资源的定义需要注意以下两个问题:
1.资源具有层次关系和包含关系。例如,网页是资源,网页上的按钮、文本框等对象也是资源,是网页节点的子节点,如可以访问按钮,则必须能够访问页面。
2.这里提及的资源概念是指资源的类别(Resource Class),不是某个特定资源的实例(Resource Instance)。资源的类别和资源的实例的区分,以及资源的粒度的细分,有利于确定权限管理系统和应用系统之间的管理边界,权限管理系统需要对于资源的类别进行权限管理,而应用系统需要对特定资源的实例进行权限管理。两者的区分主要是基于以下两点考虑:
一方面,资源实例的权限常具有资源的相关性。即根据资源实例和访问资源的主体之间的关联关系,才可能进行资源的实例权限判断。 例如,在管理信息系统中,需要按照营业区域划分不同部门的客户,A区和B区都具有修改客户资料这一受控的资源,这里“客户档案资料”是属于资源的类别的范畴。如果规定A区只能修改A区管理的客户资料,就必须要区分出资料的归属,这里的资源是属于资源实例的范畴。客户档案(资源)本身应该有其使用者的信息(客户资料可能就含有营业区域这一属性),才能区分特定资源的实例操作,可以修改属于自己管辖的信息内容。
另一方面,资源的实例权限常具有相当大的业务逻辑相关性。对不同的业务逻辑,常常意味着完全不同的权限判定原则和策略。
b.权限:对受保护的资源操作的访问许可(Access Permission),是绑定在特定的资源实例上的。对应地,访问策略(Access Strategy)和资源类别相关,不同的资源类别可能采用不同的访问模式(Access Mode)。例如,页面具有能打开、不能打开的访问模式,按钮具有可用、不可用的访问模式,文本编辑框具有可编辑、不可编辑的访问模式。同一资源的访问策略可能存在排斥和包含关系。例如,某个数据集的可修改访问模式就包含了可查询访问模式。
c.用户:是权限的拥有者或主体。用户和权限实现分离,通过授权管理进行绑定。
d.用户组:一组用户的集合。在业务逻辑的判断中,可以实现基于个人身份或组的身份进行判断。系统弱化了用户组的概念,主要实现用户(个人的身份)的方式。
e.角色:权限分配的单位与载体。角色通过继承关系支持分级的权限实现。例如,科长角色同时具有科长角色、科内不同业务人员角色。
f.操作:完成资源的类别和访问策略之间的绑定。
g.分配角色权限PA:实现操作和角色之间的关联关系映射。
h.分配用户角色UA:实现用户和角色之间的关联关系映射。
该对象模型最终将访问控制模型转化为访问矩阵形式。访问矩阵中的行对应于用户,列对应于操作,每个矩阵元素规定了相应的角色,对应于相应的目标被准予的访问许可、实施行为。按访问矩阵中的行看,是访问能力表CL(Access Capabilities)的内容;按访问矩阵中的列看,是访问控制表ACL(Access Control Lists)的内容。
数据模型图如下:
分享到:
相关推荐
在IT行业中,权限管理系统是确保数据安全和操作合规性的重要组成部分。基于RBAC(Role-Based Access Control,基于角色的访问控制)的通用权限管理构件是一种广泛应用于企业级应用的解决方案,它通过角色来管理和...
### 通用权限管理系统文档资料——设计扩展RBAC用户角色 #### RBAC模型概述 RBAC(Role-Based Access Control,基于角色的访问控制)是一种广泛应用于软件系统中的权限管理方法。在这一模型中,用户不再直接与权限...
"通用权限管理系统设计篇"着重探讨了如何设计一个适用于多种场景、能够处理不同用户和角色权限的系统。在这个主题下,我们将深入理解权限管理的核心概念、设计原则以及实现策略。 一、权限管理基础 权限管理主要...
- RBAC模型的通用权限管理系统设计:通常包括角色创建、用户分配、权限设置、权限继承等功能,适用于各种规模的系统。 - RBAC扩展模型的Web系统权限控制:在Web环境中,RBAC模型可以结合会话管理、多租户、动态...
通用权限管理模型在RBAC的基础上进行了扩展,通过引入资源、操作类型、功能等实体,使得功能权限更加丰富。模型还增加了数据权限的管理,使得系统可以更精确地控制用户对数据的访问。这种模型不仅能够处理功能权限,...
该扩展RBAC模型已经在多个实际项目中得到应用,包括“长安集团聚合物销售系统”和“胜利油田‘协解’人员管理信息系统”。通过在这些项目中的实施,证明了该模型能够有效解决Web系统中的权限控制问题,提高了系统的...
在通用权限管理系统的设计中,通常会遵循RBAC(Role-Based Access Control)模型,通过角色来定义一组权限,用户通过加入角色来获得相应的访问权限。此外,系统还需要具备权限的动态调整能力,以便应对业务需求的...
本文将深入探讨一个基于传统MVC设计模式的"通用权限管理系统",为JavaWeb初学者提供详尽的指导。 一、MVC设计模式 MVC(Model-View-Controller)设计模式是一种广泛应用于Web应用开发的架构模式,主要分为三个部分...
本篇将深入探讨如何利用C#来设计和实现一个通用权限管理系统。 一、C#语言基础 C#(读作"C Sharp")是微软公司推出的一种面向对象的编程语言,基于.NET Framework运行环境。它吸收了C++和Java的优点,语法简洁明了...
《ZR.Admin.NET:一款强大的前后端分离RBAC权限管理系统》 ZR.Admin.NET 是一款专为现代企业级应用设计的跨平台、前后端分离的通用权限管理后台系统。它基于角色(Role-Based Access Control,简称RBAC)的权限管理...
【FineUI版AppBoxPro通用权限管理系统源码】是一个基于FineUI和Entity Framework(简称ef)开发的权限管理系统的源代码。这个系统的核心目标是提供一个高效、灵活且易于维护的解决方案,用于管理用户角色、操作权限...
在IT行业中,权限管理系统是企业信息化建设中的重要组成部分,它能有效地管理用户的访问权限,确保数据的安全性。本文将深入探讨一个基于“三层架构+MVC模式+EasyUI”的RBAC(Role-Based Access Control,基于角色的...
首先,"通用权限管理系统设计篇.doc"可能涵盖的是权限管理系统的整体架构和设计原则。一个通用的权限系统通常需要具备用户管理、角色管理、权限分配、权限检查以及权限审计等功能,适用于多种应用场景。 "使用XML....
综上所述,通用权限管理系统详细设计说明书涉及了权限模型、用户和角色管理、资源权限分配、权限控制、日志审计等多个方面的内容,这些知识点对于构建一个高效、安全的权限管理系统至关重要。在实际开发中,还需要...
【毕业论文jsp970通用权限管理系统mysql.doc】是一篇基于JavaEE技术的通用权限管理系统设计与实现的毕业论文。该论文涵盖了多个方面,旨在详细阐述如何构建一个灵活且安全的权限管理系统,以应对日益增长的信息安全...