孫俊麗

摘 要： 本文基于角色的訪問(wèn)控制，簡(jiǎn)單介紹了核心思想，詳細(xì)分析了RBAC96模型，歸納了工作原理，為更深入研究奠定了理論基礎(chǔ)。

關(guān)鍵詞： 角色 訪問(wèn)控制 模型

20世紀(jì)90年代初期，美國(guó)國(guó)家標(biāo)準(zhǔn)和技術(shù)研究院[2]對(duì)一種新的訪問(wèn)控制技術(shù)著手組織——基于角色的訪問(wèn)控制技術(shù)（RBAC）。這種技術(shù)能優(yōu)化授權(quán)管理，通過(guò)弱化授權(quán)管理的復(fù)雜性、降低管理開(kāi)銷等提高各項(xiàng)特性[3]，還能提供一個(gè)比較好的安全環(huán)境給管理員。

1.RBAC總體描述

RBAC的核心思想就是將角色與訪問(wèn)權(quán)限聯(lián)系起來(lái)，通過(guò)對(duì)用戶分配合適的角色，讓用戶與訪問(wèn)權(quán)限相聯(lián)系。系統(tǒng)管理員可以根據(jù)職能或機(jī)構(gòu)的需求策略，創(chuàng)建角色、對(duì)角色分配權(quán)限和對(duì)用戶分配角色。用戶可以根據(jù)需要進(jìn)行角色轉(zhuǎn)換，系統(tǒng)可以添加、編輯和刪除角色，還可以對(duì)角色進(jìn)行權(quán)限的添加和刪除。

2.RBAC模型

RBAC96模型是1996年由Ravi Sandhu等人提出來(lái)的。該模型為開(kāi)發(fā)實(shí)際的應(yīng)用系統(tǒng)提供了一個(gè)總方針，并為RBAC用戶提供了評(píng)判系統(tǒng)的標(biāo)準(zhǔn)。

該模型分四個(gè)層次，具有如圖1所示的包含關(guān)系。

圖1 RBAC96模型間的關(guān)系

RBAC0是最基本的模型，包含了RBAC模型的核心部分，規(guī)定了任何RBAC系統(tǒng)所必需的最小需求。RBAC1在RBAC0基礎(chǔ)上定義了角色的繼承關(guān)系，在RBAC0的基礎(chǔ)上增加了角色等級(jí)。RBAC2在RBAC0基礎(chǔ)上定義了限制的概念。RBAC3是一個(gè)完整的RBAC模型，在包含了RBAC0的基礎(chǔ)上，也包含了RBAC1和RBAC2。

定義1：RBAC0（基本模型）包含如下元素：

（1）若干實(shí)體集U，R，P，S：用戶集，角色集，權(quán)限集，會(huì)話集。

（2）UA？哿U×R，用戶與角色分配，多對(duì)多的關(guān)系。

（3）PA？哿P×R，權(quán)限與角色分配，多對(duì)多的關(guān)系。

（4）user：S→U，映射每個(gè)會(huì)話到一個(gè)用戶。

（5）roles：S→2R，映射每個(gè)會(huì)話到一組角色roles（s）？哿{r|（user（s），r）∈UA}，并且會(huì)話s擁有權(quán)限） r∈roles（s）{p—（p，r）∈PA}。

RBAC0模型指明用戶、角色、訪問(wèn)權(quán)限和會(huì)話之間的關(guān)系。一個(gè)用戶可以同時(shí)擁有多個(gè)角色，一個(gè)角色也可同時(shí)被多個(gè)用戶擁有。用戶對(duì)資源進(jìn)行存取主要通過(guò)會(huì)話的建立。

定義2：RBAC1包含如下元素：

（1）U，R，P，S，UA，PA，user與RBAC0一致。

（2）RH？哿R×R是R上的偏序關(guān)系，記為≥，稱作角色繼承。

（3）roles：S→2R修改為roles（s）？哿{r|（？堝r′≥r）[（user（s），r′）∈UA]}，同時(shí)會(huì)話s擁有權(quán)限）r∈roles（s）{p—（？堝r′′≤r）[（p，r′′）∈PA]}。

有時(shí)由于某些因素，不希望全部的權(quán)力都被繼承者繼承，這時(shí)就可以創(chuàng)建一些新的角色，叫做私有角色，并對(duì)這些私有角色分配用戶。

定義3：RBAC2包含如下元素：

RBAC0中的所有元素都包含于RBAC2中，RBAC2中在RBAC0的基礎(chǔ)上加入限制。RBAC2除了繼承了RBAC0已有的特征外，還把限制集合引入，規(guī)定了是否可接受RBAC0各種部件的操作，只有可接受的操作才被允許。

定義4：RBAC3包含如下元素：

RBAC3是在RBAC0基礎(chǔ)上RBAC1和RBAC2二者的結(jié)合。角色層次和限制同時(shí)存在，限制也可以作用在角色層次上。RBAC3是一個(gè)完整的RBAC模型，包含一切模型元素，是最復(fù)雜的一種模型。

3.RBAC工作原理

基于角色的訪問(wèn)控制方式就是通過(guò)定義角色的權(quán)限，為系統(tǒng)中的主體分配角色實(shí)現(xiàn)訪問(wèn)控制，用戶先經(jīng)認(rèn)證后獲得一定角色，把一定的權(quán)限分派給角色，用戶以特定角色對(duì)系統(tǒng)資源進(jìn)行訪問(wèn)，訪問(wèn)控制機(jī)制對(duì)相關(guān)角色的權(quán)限進(jìn)行檢查，決定訪問(wèn)是否被允許。基于角色的訪問(wèn)控制，從控制主體的方向出發(fā)，通過(guò)管理中相對(duì)穩(wěn)定責(zé)任和職權(quán)把角色劃分；與傳統(tǒng)直接對(duì)用戶授權(quán)方式（MAC和DAC）不同的是，RBAC將訪問(wèn)權(quán)限與角色相關(guān)聯(lián)，其中，用戶是以一定的角色訪問(wèn)系統(tǒng)，而不是自始至終以同樣的注冊(cè)身份和權(quán)限。

4.結(jié)語(yǔ)

本文首先簡(jiǎn)單介紹了基于角色的訪問(wèn)控制，其次詳細(xì)分析了RBAC96模型，模型的元素，以及元素之間的關(guān)系，最后總結(jié)了基于角色訪問(wèn)控制的工作原理，為以后更深入研究奠定了理論基礎(chǔ)。

參考文獻(xiàn)：

[1]Park J S. Sandhu R S. Ghanta S. RBAC on the Secure Cookies，1999.

[2]李立新.強(qiáng)制訪問(wèn)控制在基于角色的安全系統(tǒng)中的實(shí)現(xiàn)[J].軟件學(xué)報(bào)，2000.

[3]陳新疆.基于RBAC的訪問(wèn)控制在信息系統(tǒng)中的應(yīng)用[J].臨沂師范學(xué)院學(xué)報(bào).

[4]杜萍.一種改進(jìn)的基于角色的訪問(wèn)控制模型[J].計(jì)算機(jī)工程與應(yīng)用，2006.

[5]李曉林.信息系統(tǒng)中基于角色的訪問(wèn)控制[J].微機(jī)發(fā)展，2004.