當前位置:首頁 » 密碼管理 » 訪問控制矩陣模型

訪問控制矩陣模型

發布時間: 2022-08-05 20:00:46

訪問控制技術的類型機制

訪問控制可以分為兩個層次:物理訪問控制和邏輯訪問控制。物理訪問控制如符合標准規定的用戶、設備、門、鎖和安全環境等方面的要求,而邏輯訪問控制則是在數據、應用、系統、網路和許可權等層面進行實現的。對銀行、證券等重要金融機構的網站,信息安全重點關注的是二者兼顧,物理訪問控制則主要由其他類型的安全部門負責。 主要的訪問控制類型有3種模式:自主訪問控制(DAC)、強制訪問控制(MAC)和基於角色訪問控制(RBAC)。
1)自主訪問控制
自主訪問控制(Discretionary Access Control,DAC)是一種接入控制服務,通過執行基於系統實體身份及其到系統資源的接入授權。包括在文件,文件夾和共享資源中設置許可。用戶有權對自身所創建的文件、數據表等訪問對象進行訪問,並可將其訪問權授予其他用戶或收回其訪問許可權。允許訪問對象的屬主制定針對該對象訪問的控制策略,通常,可通過訪問控制列表來限定針對客體可執行的操作。
①每個客體有一個所有者,可按照各自意願將客體訪問控制許可權授予其他主體。
②各客體都擁有一個限定主體對其訪問許可權的訪問控制列表(ACL)。
③每次訪問時都以基於訪問控制列表檢查用戶標志,實現對其訪問許可權控制。
④DAC的有效性依賴於資源的所有者對安全政策的正確理解和有效落實。
DAC提供了適合多種系統環境的靈活方便的數據訪問方式,是應用最廣泛的訪問控制策略。然而,它所提供的安全性可被非法用戶繞過,授權用戶在獲得訪問某資源的許可權後,可能傳送給其他用戶。主要是在自由訪問策略中,用戶獲得文件訪問後,若不限制對該文件信息的操作,即沒有限制數據信息的分發。所以DAC提供的安全性相對較低,無法對系統資源提供嚴格保護。
2)強制訪問控制
強制訪問控制(MAC)是系統強制主體服從訪問控制策略。是由系統對用戶所創建的對象,按照規定的規則控制用戶許可權及操作對象的訪問。主要特徵是對所有主體及其所控制的進程、文件、段、設備等客體實施強制訪問控制。在MAC中,每個用戶及文件都被賦予一定的安全級別,只有系統管理員才可確定用戶和組的訪問許可權,用戶不能改變自身或任何客體的安全級別。系統通過比較用戶和訪問文件的安全級別,決定用戶是否可以訪問該文件。此外,MAC不允許通過進程生成共享文件,以通過共享文件將信息在進程中傳遞。MAC可通過使用敏感標簽對所有用戶和資源強制執行安全策略,一般採用3種方法:限制訪問控制、過程式控制制和系統限制。MAC常用於多級安全軍事系統,對專用或簡單系統較有效,但對通用或大型系統並不太有效。
MAC的安全級別有多種定義方式,常用的分為4級:絕密級(Top Secret)、秘密級(Secret)、機密級(Confidential)和無級別級(Unclas sified),其中T>S>C>U。所有系統中的主體(用戶,進程)和客體(文件,數據)都分配安全標簽,以標識安全等級。
通常MAC與DAC結合使用,並實施一些附加的、更強的訪問限制。一個主體只有通過自主與強制性訪問限制檢查後,才能訪問其客體。用戶可利用DAC來防範其他用戶對自己客體的攻擊,由於用戶不能直接改變強制訪問控制屬性,所以強制訪問控制提供了一個不可逾越的、更強的安全保護層,以防範偶然或故意地濫用DAC。
3)基於角色的訪問控制
角色(Role)是一定數量的許可權的集合。指完成一項任務必須訪問的資源及相應操作許可權的集合。角色作為一個用戶與許可權的代理層,表示為許可權和用戶的關系,所有的授權應該給予角色而不是直接給用戶或用戶組。
基於角色的訪問控制(Role-Based Access Control,RBAC)是通過對角色的訪問所進行的控制。使許可權與角色相關聯,用戶通過成為適當角色的成員而得到其角色的許可權。可極大地簡化許可權管理。為了完成某項工作創建角色,用戶可依其責任和資格分派相應的角色,角色可依新需求和系統合並賦予新許可權,而許可權也可根據需要從某角色中收回。減小了授權管理的復雜性,降低管理開銷,提高企業安全策略的靈活性。
RBAC模型的授權管理方法,主要有3種:
①根據任務需要定義具體不同的角色。
②為不同角色分配資源和操作許可權。
③給一個用戶組(Group,許可權分配的單位與載體)指定一個角色。
RBAC支持三個著名的安全原則:最小許可權原則、責任分離原則和數據抽象原則。前者可將其角色配置成完成任務所需要的最小許可權集。第二個原則可通過調用相互獨立互斥的角色共同完成特殊任務,如核對賬目等。後者可通過許可權的抽象控制一些操作,如財務操作可用借款、存款等抽象許可權,而不用操作系統提供的典型的讀、寫和執行許可權。這些原則需要通過RBAC各部件的具體配置才可實現。 訪問控制機制是檢測和防止系統未授權訪問,並對保護資源所採取的各種措施。是在文件系統中廣泛應用的安全防護方法,一般在操作系統的控制下,按照事先確定的規則決定是否允許主體訪問客體,貫穿於系統全過程。
訪問控制矩陣(Access Contro1 Matrix)是最初實現訪問控制機制的概念模型,以二維矩陣規定主體和客體間的訪問許可權。其行表示主體的訪問許可權屬性,列表示客體的訪問許可權屬性,矩陣格表示所在行的主體對所在列的客體的訪問授權,空格為未授權,Y為有操作授權。以確保系統操作按此矩陣授權進行訪問。通過引用監控器協調客體對主體訪問,實現認證與訪問控制的分離。在實際應用中,對於較大系統,由於訪問控制矩陣將變得非常大,其中許多空格,造成較大的存儲空間浪費,因此,較少利用矩陣方式,主要採用以下2種方法。
1)訪問控制列表
訪問控制列表(Access Control List,ACL)是應用在路由器介面的指令列表,用於路由器利用源地址、目的地址、埠號等的特定指示條件對數據包的抉擇。是以文件為中心建立訪問許可權表,表中記載了該文件的訪問用戶名和權隸屬關系。利用ACL,容易判斷出對特定客體的授權訪問,可訪問的主體和訪問許可權等。當將該客體的ACL置為空,可撤消特定客體的授權訪問。
基於ACL的訪問控制策略簡單實用。在查詢特定主體訪問客體時,雖然需要遍歷查詢所有客體的ACL,耗費較多資源,但仍是一種成熟且有效的訪問控制方法。許多通用的操作系統都使用ACL來提供該項服務。如Unix和VMS系統利用ACL的簡略方式,以少量工作組的形式,而不許單個個體出現,可極大地縮減列表大小,增加系統效率。
2)能力關系表
能力關系表(Capabilities List)是以用戶為中心建立訪問許可權表。與ACL相反,表中規定了該用戶可訪問的文件名及許可權,利用此表可方便地查詢一個主體的所有授權。相反,檢索具有授權訪問特定客體的所有主體,則需查遍所有主體的能力關系表。 通過介紹單點登入SSO的基本概念和優勢,主要優點是,可集中存儲用戶身份信息,用戶只需一次向伺服器驗證身份,即可使用多個系統的資源,無需再向各客戶機驗證身份,可提高網路用戶的效率,減少網路操作的成本,增強網路安全性。根據登入的應用類型不同,可將SSO分為3種類型。
1)對桌面資源的統一訪問管理
對桌面資源的訪問管理,包括兩個方面:
①登入Windows後統一訪問Microsoft應用資源。Windows本身就是一個「SSO」系統。隨著.NET技術的發展,「Microsoft SSO」將成為現實。通過Active Directory的用戶組策略並結合SMS工具,可實現桌面策略的統一制定和統一管理。
②登入Windows後訪問其他應用資源。根據Microsoft的軟體策略,Windows並不主動提供與其他系統的直接連接。現在,已經有第三方產品提供上述功能,利用Active Directory存儲其他應用的用戶信息,間接實現對這些應用的SSO服務。
2)Web單點登入
由於Web技術體系架構便捷,對Web資源的統一訪問管理易於實現。在目前的訪問管理產品中,Web訪問管理產品最為成熟。Web訪問管理系統一般與企業信息門戶結合使用,提供完整的Web SSO解決方案。
3)傳統C/S 結構應用的統一訪問管理
在傳統C/S 結構應用上,實現管理前台的統一或統一入口是關鍵。採用Web客戶端作為前台是企業最為常見的一種解決方案。
在後台集成方面,可以利用基於集成平台的安全服務組件或不基於集成平台的安全服務API,通過調用信息安全基礎設施提供的訪問管理服務,實現統一訪問管理。
在不同的應用系統之間,同時傳遞身份認證和授權信息是傳統C/S結構的統一訪問管理系統面臨的另一項任務。採用集成平台進行認證和授權信息的傳遞是當前發展的一種趨勢。可對C/S結構應用的統一訪問管理結合信息匯流排(EAI)平台建設一同進行。

② acl是什麼意思

訪問控製表(Access Control List),又稱存取控制串列,是使用以訪問控制矩陣為基礎的訪問控製表,每一個(文件系統內的)對象對應一個串列主體。

訪問控製表由訪問控制條目(access control entries,ACE)組成。訪問控製表描述用戶或系統進程對每個對象的訪問控制許可權。訪問控製表的主要缺點是不可以有效迅速地枚舉一個對象的訪問許可權。因此,要確定一個對象的所有訪問許可權需要搜索整個訪問控製表來找出相對應的訪問許可權。

訪問控制列表具有許多作用:

1、如限制網路流量、提高網路性能;

2、通信流量的控制,例如ACL可以限定或簡化路由更新信息的長度,從而限制通過路由器某一網段的通信流量;

3、提供網路安全訪問的基本手段;

4、在路由器埠處決定哪種類型的通信流量被轉發或被阻塞,例如,用戶可以允許E-mail通信流量被路由,拒絕所有的 Telnet通信流量等;

5、訪問控制列表從概念上來講並不復雜,復雜的是對它的配置和使用,許多初學者往往在使用訪問控制列表時出現錯誤。

與 RBAC 比較

ACL 模型的主要替代方案是基於角色的訪問控制(RBAC) 模型。「最小 RBAC 模型」RBACm可以與 ACL 機制ACLg進行比較,其中僅允許組作為 ACL 中的條目。Barkley (1997)表明RBACm和ACLg是等效的。

在現代 SQL 實現中,ACL 還管理組層次結構中的組和繼承。因此,「現代 ACL」可以表達 RBAC 表達的所有內容,並且在根據管理員查看組織的方式表達訪問控制策略的能力方面非常強大(與「舊 ACL」相比)。

③ 自主訪問控制存在哪些主要的安全性問題

從「震網」、「火焰」病毒的大規模爆發,到索尼在線被黑、CSDN數據泄露等信息安全事件的層出不窮,每一次大規模病毒、黑客攻擊行為的出現,都會對用戶信息系統造成嚴重的危害,引起了安全行業的集體反思。作為信息系統的重要組成部分,操作系統承擔著連接底層硬體和上層業務應用的重任,在諸多安全事件中首當其沖,面臨著巨大的安全壓力。而操作系統本身在安全防護上的脆弱性,特別是系統內自主訪問控制機制存在的安全隱患,使用戶在面對病毒、木馬及黑客攻擊時顯得力不從心,最終導致安全事件密集爆發的信息安全「危局」。
掀開自主訪問控制的面紗
為了增強信息系統安全、可靠運行的能力,操作系統內置了一些防護措施,例如身份鑒別、訪問控制、入侵防範等。其中,訪問控制是計算機安全防護體系中的重要環節,包含主體、客體、控制策略三個要素。其中,主體是指可以對其他實體施加動作的主動實體,例如用戶、進程等;客體包括數據、文件、程序等,是接受其他實體訪問的被動實體;控制策略則定義了主體與客體相互作用的途徑。簡而言之,訪問控制是一種通過控制策略授予、約束主體訪問客體行為的安全機制。
訪問控制分為三種模型,即自主訪問控制(DAC)、強制訪問控制(MAC)和基於角色的訪問控制(RBAC)。其中,自主訪問控制在C2級操作系統中應用廣泛,是根據自主訪問控制策略建立的一種模型,允許合法用戶以用戶或用戶組的身份訪問策略規定的客體,同時阻止非授權用戶訪問客體,某些用戶還可以自主地把自己所擁有的客體的訪問許可權授予其他用戶。
自主訪問控制的實現方式包括目錄式訪問控制模式、訪問控製表(ACL)、訪問控制矩陣、面向過程的訪問控制等,其中,訪問控製表是自主訪問控制機制通常採用的一種方式。訪問控製表是存放在計算機中的一張表,本質上是帶有訪問許可權的矩陣,其訪問許可權包括讀文件、寫文件、執行文件等等。在自主訪問控制機制下,每個客體都有一個特定的安全屬性,同時訪問控製表也授予或禁止主體對客體的訪問許可權。在實際工作中,安全管理員通過維護訪問控製表,控制用戶對文件、數據等IT系統資源的訪問行為,來達到安全防控的目的。
從安全性上看,現有操作系統中基於訪問控製表的自主訪問控制存在著明顯的缺陷:一方面,超級用戶(root/Administrator)權力過度集中,可以隨意修客體的訪問控製表,只要擁有超級管理員許可權就可以對伺服器所有的資源進行任意操作;另一方面,客體的屬主可以自主地將許可權轉授給別的主體,一旦把某個客體的ACL修改權轉授出去以後,擁有者便很難對自己的客體實施控制了。因此,在現有的這種訪問控制模型下,操作系統存在很多安全風險。
自主訪問控制下的安全風險
按照訪問許可機制的不同,自主訪問控制又分為三個類型,即自由型、等級型和宿主型。其中,在自由型自主訪問控制機制中,不同主體之間可以自由轉讓客體訪問控製表的修改許可權,意味著任何主體都有可能對某一客體進行操作,系統安全性很難得到保障;在等級型自主訪問控制機制中,用戶可以將擁有修改客體訪問控製表許可權的主體組織成等級型結構,例如按照等級將不同的主體排列成樹型結構,高等級主體自動獲得低等級客體的控制許可權。這種方案的優點是可以選擇值得信任的人擔任各級領導,從而實現對客體的分級控制,缺點是同時有多個主體有能力修改某一客體的訪問許可權。
從市場應用情況看,等級型自主訪問控制是使用范圍最為廣泛的安全機制,現有C2級大型商用伺服器操作系統(如AIX、HP-UX、Solaris、Windows Server、LinuxServer等)中的訪問控制機制均為等級型自主訪問控制,涉及金融、能源、軍工等國家命脈行業。在這些系統中,位於樹型結構頂端的超級用戶擁有無上的許可權,可以對其他用戶擁有的資源進行任意修改和訪問。許可權的高度集中,客觀上放大了系統的安全風險。針對等級型自主訪問控制,攻擊者可以通過暴力破解、系統漏洞利用、木馬攻擊等多種方式竊取管理員許可權,進而實現對目標系統的完全控制。事實證明確實如此,無論是曾經肆虐全國的「灰鴿子」木馬,還是震驚全球的「震網」、「火焰」等病毒,都將獲得管理許可權作為一種重要手段,在此基礎上成功入侵系統並實施破壞行為。
完善自主訪問控制機制
為了提升信息系統的安全防護能力,我國頒布了《信息安全等級保護管理辦法》,並制定了一系列國家標准,為用戶開展信息安全等級保護工作提供指導意義。其中,《GB/T 20272-2006信息安全技術-操作系統安全技術要求》是專門針對操作系統安全防護的國家標准,該標准在「自主訪問控制」部分提出了明確的要求:「客體的擁有者應是唯一有權修改客體訪問許可權的主體,擁有者對其擁有的客體應具有全部控制權,但是,不充許客體擁有者把該客體的控制權分配給其他主體。」
從技術要求的細節上看,滿足等級保護標準的自主訪問控制機制實質上是宿主型自主訪問控制。在這種機制下,用戶需要對客體設置一個擁有者,並使其成為唯一有權訪問該客體訪問控製表的主體,確保了受保護客體訪問控製表控制權的唯一性,有效規避由於系統管理員信息泄露而給系統帶來的巨大危害,同時也限制了病毒對系統的破壞行為,幫助用戶提升防病毒、防黑客攻擊的能力。
目前,國內已經出現滿足等級保護操作系統技術要求的安全產品,例如椒圖科技推出的JHSE椒圖主機安全環境系統(以下簡稱JHSE),就基於宿主型自主訪問控制機制保障操作系統的安全。此外,JHSE還採用了強制訪問控制模型,為訪問主體和受保護的客體分配不同的安全級別屬性,在實施訪問控制的過程中,系統將對主體和客體的安全級別屬性進行比較,之後再決定主體是否可以訪問受保護的客體,從而實現了細粒度的安全訪問控制機制。可以相信,隨著安全技術的持續進步和用戶安全意識的不斷增強,操作系統將會在面對病毒、木馬及黑客攻擊時扭轉不利局面,為整體信息系統的安全運行提供可靠支撐。

④ 什麼算是信息系統整體訪問控制策略

信息系統整體的安全運行。
身份鑒別與訪問控制是信息安全領域的兩個十分重要的概念。然而,對這兩個概念的含義往往有不同的理解。希望通過本文所引發的討論能對統一這兩個概念的理解有所幫助。
在GB17859中.身份鑒別指的是用戶身份的鑒別,包括用戶標識和用戶鑒別。在這里.用戶標識解決注冊用戶在一個信息系統中的惟一性問題.用戶鑒別則解決用戶在登錄一個信息系統時的真實性問題。一般情況下.當用戶注冊到一個系統時,系統應給出其惟一性的標識.並確定對其進行鑒別使用的信息(該信息應是保密的、並且是難以仿造的.一方面以一定方式提供給用戶.另一方面由系統保存)。當用戶登錄到該系統時,用戶應提供鑒別信息,系統則根據注冊時所保留的鑒別信息對用戶所提供的鑒別信息的真實性進行鑒別。
其實.從更廣義的范圍來講.信息系統中的身份鑒別應包括用戶身份鑒別和設備身份鑒別.用戶身份鑒別又分為注冊用戶的身份鑒別和網上數據交換用戶的身份鑒別。上述GB17859中的身份鑒別主要指的是注冊用戶的身份鑒別。網上數據交換時用戶的身份鑒別是指非注冊用戶間進行數據交換時的身份鑒別。也就是通常所說的在相互不知道對方身份的情況下,又要確認對方身份的真實、可信.從而確認數據交換的可信賴性。這就需要通過所謂的可信第三方(如由CA系統提供的認證機制)實現數據交換雙方身份的真實性認證。關於設備的身份鑒別.其實與注冊用戶的身份鑒別沒有多大區別.只是鑒別的對象是接入系統的設備而已。對接入系統的設備進行身份鑒別.同樣要先對其進行注冊,並在注冊時確定鑒別信息(鑒別信息既與設備相關聯.又由系統保留)。當需要將設備接入系統時.被接入設備需提供鑒別信息,經系統確認其身份的真實性後方可接入。
訪問控制在GB17859中同樣有其特定的含義.並對自主訪問控制和強制訪問控制的策略做了具體的說明。其實.訪問控制在更廣的范圍有著更廣泛的含義。在許多情況下.人們往往把身份鑒別也稱作是一種訪問控制。如果我們把是否允許登錄系統看作是是否允許對系統進行訪問.把身份鑒別稱為訪問控制也未嘗不可。問題是需要對其具體含義做清晰的描述。這也是我們為什麼把身份鑒別與訪問控制這兩個概念一起進行討論的原因
談到訪問控制.首先必須對訪問控制的粒度有所了解。訪問控制講的是對主體訪問客體的控制。粒度顯然涉及主體和客體兩個方面。主體一般是以用戶為單位實施訪問控制(劃分用戶組只是對相同訪問許可權用戶的一種管理方法).網路用戶也有以IP地址為單位實施訪問控制的。客體的訪問控制粒度由粗到細可以是整個應用系統 某個網路系統.某個伺服器系統,某個操作系統.某個資料庫管理系統、某個文件 某個資料庫.資料庫中的某個表 甚至庫表中的某個記錄或欄位等。一般來講 對整個系統(包括信息系統、網路系統、伺服器系統、操作系統、資料庫管理系統、應用系統等)的訪問.通常是採用身份鑒別的方法進行控制.也就是相對的粗粒度訪問控制。細粒度的訪問控制,通常是指在操作系統、資料庫管理系統中所提供的用戶對文件或資料庫表、記錄/欄位的訪問所進行的控制.也就是GB17859中所描述的經典的訪問控制。這類訪問控制分為自主訪問控制和強制訪問控制兩種。當然也可以在網關等處設置以伺服器為對象的自主訪問控制或強制訪問控制機制,實現以伺服器為粒度的訪問控制。
所謂自主訪問控制是指由系統提供用戶有權對自身所創建的訪問對象(文件、資料庫表等)進行訪問.並有權將對這些對象的訪問權授予其他用戶和從授予許可權的用戶收回其訪問許可權。訪問對象的創建者還有權進行授權轉讓」 即將 授予其他用戶訪問許可權 的許可權轉
讓給別的用戶。需要特別指出的是,在一些系統中.往往是由系統管理員充當訪問對象的創建者角色 並進行訪問授權 而在其後通過」授權轉讓 將許可權轉讓給指定用戶.於是容易引起這種訪問控制不是由用戶自主決定訪問許可權的誤會。
所謂強制訪問控制是指由系統(通過專門設置的系統安全員)對用戶所創建的對象進行統一的強制性控制,按照確定的規則決定哪些用戶可以對哪些對象進行哪些操作類型的訪問,即使是創建者用戶,在創建一個對象後.也可能無權訪問該對象。強制訪問控制常見的安全模型是Bell—La pala模型(也稱多級安全模型)。該模
型的安全策略分為強制訪問和自主訪問兩部分。自主訪問控制允許用戶自行定義其所創建的數據.它以一個訪問矩陣表示包括讀、寫、執行、附加以及控制等訪問模式。由於它的自主訪問控制策略已廣為人們熟知。所以在提到多級安全模型時.往往重點探討其強制訪問控制策略。多級安全模型的強制訪問控制策略以等級和范疇
作為其主、客體的敏感標記,並施以」從下讀、向上寫」的簡單保密性規則。需要強調的是.作為敏感標記的等級和范疇.必須由專門設置的系統安全員,通過由系統提供的專門界面設置和維護.敏感標記的改變意味著訪問許可權的改變。因此可以說.所有用戶的訪問許可權完全是由安全員根據需要決定的。強制訪問控制還有其他安
全策略 比如 角色授權管理 。該安全策略將系統中的訪問操作按角色進行分組管理。一種角色執行一組操作.由系統安全員統一進行授權。當授予某個用戶某一角色時,該用戶就具有執行該角色所對應的一組操作的許可權。當安全員撤銷其授予用戶的某一角色時,相應的操作許可權也就被撤銷。這完全類似於現實社會中對領導職務的任命和撤銷。這一策略的訪問許可權也是通過安全員通過角色授權決定的。
與訪問控制相關聯的另一個十分重要的概念是 用戶一主體綁定 。這一概念的引入.對多用戶環境、進程動態運行所實施的訪問操作的控制提供了支持。作為動態運行的系統進程.它在不同時間段為不同的用戶服務 因而無法為其設置固定的敏感標記。通過用戶一主體綁定機制.可以將進程動態地與其所服務的用戶相關聯。於是.在任何時候.進程所實施的訪問操作都能夠通過這種關聯找到其所服務的用戶,也就能找到實施強制訪問控制的主體。操作是由進程實施的.而確定是否允許進行此次訪問的主體對象卻是進程為其服務的用戶

⑤ 如何在應用系統中實現數據許可權的控制功能

基於RBAC模型的許可權管理系統的設計和實現 0 引言 管理信息系統是一個復雜的人機交互系統,其中每個具體環節都可能受到安全威脅。構建強健的許可權管理系統,保證管理信息系統的安全性是十分重要的。許可權管理系統是管理信息系統中可代碼重用性最高的模塊之一。任何多用戶的系統都不可避免的涉及到相同的許可權需求,都需要解決實體鑒別、數據保密性、數據完整性、防抵賴和訪問控制等安全服務(據ISO7498-2)。例如,訪問控制服務要求系統根據操作者已經設定的操作許可權,控制操作者可以訪問哪些資源,以及確定對資源如何進行操作。 目前,許可權管理系統也是重復開發率最高的模塊之一。在企業中,不同的應用系統都擁有一套獨立的許可權管理系統。每套許可權管理系統只滿足自身系統的許可權管理需要,無論在數據存儲、許可權訪問和許可權控制機制等方面都可能不一樣,這種不一致性存在如下弊端: a.系統管理員需要維護多套許可權管理系統,重復勞動。 b.用戶管理、組織機構等數據重復維護,數據一致性、完整性得不到保證。 c.由於許可權管理系統的設計不同,概念解釋不同,採用的技術有差異,許可權管理系統之間的集成存在問題,實現單點登錄難度十分大,也給企業構建企業門戶帶來困難。 採用統一的安全管理設計思想,規范化設計和先進的技術架構體系,構建一個通用的、完善的、安全的、易於管理的、有良好的可移植性和擴展性的許可權管理系統,使得許可權管理系統真正成為許可權控制的核心,在維護系統安全方面發揮重要的作用,是十分必要的。 本文介紹一種基於角色的訪問控制RBAC(Role-Based policies Access Control)模型的許可權管理系統的設計和實現,系統採用基於J2EE架構技術實現。並以討論了應用系統如何進行許可權的訪問和控制。 1 採用J2EE架構設計 採用J2EE企業平台架構構建許可權管理系統。J2EE架構集成了先進的軟體體系架構思想,具有採用多層分布式應用模型、基於組件並能重用組件、統一完全模型和靈活的事務處理控制等特點。 系統邏輯上分為四層:客戶層、Web層、業務層和資源層。 a. 客戶層主要負責人機交互。可以使系統管理員通過Web瀏覽器訪問,也可以提供不同業務系統的API、Web Service調用。 b. Web層封裝了用來提供通過Web訪問本系統的客戶端的表示層邏輯的服務。 c. 業務層提供業務服務,包括業務數據和業務邏輯,集中了系統業務處理。主要的業務管理模塊包括組織機構管理、用戶管理、資源管理、許可權管理和訪問控制幾個部分。 d. 資源層主要負責數據的存儲、組織和管理等。資源層提供了兩種實現方式:大型關系型資料庫(如ORACLE)和LDAP(Light Directory Access Protocol,輕量級目錄訪問協議)目錄伺服器(如微軟的活動目錄)。 2 RBAC模型 訪問控制是針對越權使用資源的防禦措施。基本目標是為了限制訪問主體(用戶、進程、服務等)對訪問客體(文件、系統等)的訪問許可權,從而使計算機系統在合法范圍內使用;決定用戶能做什麼,也決定代表一定用戶利益的程序能做什麼[1]。 企業環境中的訪問控制策略一般有三種:自主型訪問控制方法、強制型訪問控制方法和基於角色的訪問控制方法(RBAC)。其中,自主式太弱,強制式太強,二者工作量大,不便於管理[1]。基於角色的訪問控制方法是目前公認的解決大型企業的統一資源訪問控制的有效方法。其顯著的兩大特徵是:1.減小授權管理的復雜性,降低管理開銷;2.靈活地支持企業的安全策略,並對企業的變化有很大的伸縮性。 NIST(The National Institute of Standards and Technology,美國國家標准與技術研究院)標准RBAC模型由4個部件模型組成,這4個部件模型分別是基本模型RBAC0(Core RBAC)、角色分級模型RBAC1(Hierarchal RBAC)、角色限制模型RBAC2(Constraint RBAC)和統一模型RBAC3(Combines RBAC)[1]。 a. RBAC0定義了能構成一個RBAC控制系統的最小的元素集合。在RBAC之中,包含用戶users(USERS)、角色roles(ROLES)、目標objects(OBS)、操作operations(OPS)、許可權permissions(PRMS)五個基本數據元素,許可權被賦予角色,而不是用戶,當一個角色被指定給一個用戶時,此用戶就擁有了該角色所包含的許可權。會話sessions是用戶與激活的角色集合之間的映射。RBAC0與傳統訪問控制的差別在於增加一層間接性帶來了靈活性,RBAC1、RBAC2、RBAC3都是先後在RBAC0上的擴展。 b. RBAC1引入角色間的繼承關系,角色間的繼承關系可分為一般繼承關系和受限繼承關系。一般繼承關系僅要求角色繼承關系是一個絕對偏序關系,允許角色間的多繼承。而受限繼承關系則進一步要求角色繼承關系是一個樹結構。 c. RBAC2模型中添加了責任分離關系。RBAC2的約束規定了許可權被賦予角色時,或角色被賦予用戶時,以及當用戶在某一時刻激活一個角色時所應遵循的強制性規則。責任分離包括靜態責任分離和動態責任分離。約束與用戶-角色-許可權關系一起決定了RBAC2模型中用戶的訪問許可。 d. RBAC3包含了RBAC1和RBAC2,既提供了角色間的繼承關系,又提供了責任分離關系。 3核心對象模型設計 根據RBAC模型的許可權設計思想,建立許可權管理系統的核心對象模型。 對象模型中包含的基本元素主要有:用戶(Users)、用戶組(Group)、角色(Role)、目標(Objects)、訪問模式(Access Mode)、操作(Operator)。主要的關系有:分配角色許可權PA(Permission Assignment)、分配用戶角色UA(Users Assignmen描述如下: a .控制對象:是系統所要保護的資源(Resource),可以被訪問的對象。資源的定義需要注意以下兩個問題: 1.資源具有層次關系和包含關系。例如,網頁是資源,網頁上的按鈕、文本框等對象也是資源,是網頁節點的子節點,如可以訪問按鈕,則必須能夠訪問頁面。 2.這里提及的資源概念是指資源的類別(Resource Class),不是某個特定資源的實例(Resource Instance)。資源的類別和資源的實例的區分,以及資源的粒度的細分,有利於確定許可權管理系統和應用系統之間的管理邊界,許可權管理系統需要對於資源的類別進行許可權管理,而應用系統需要對特定資源的實例進行許可權管理。兩者的區分主要是基於以下兩點考慮: 一方面,資源實例的許可權常具有資源的相關性。即根據資源實例和訪問資源的主體之間的關聯關系,才可能進行資源的實例許可權判斷。 例如,在管理信息系統中,需要按照營業區域劃分不同部門的客戶,A區和B區都具有修改客戶資料這一受控的資源,這里「客戶檔案資料」是屬於資源的類別的范疇。如果規定A區只能修改A區管理的客戶資料,就必須要區分出資料的歸屬,這里的資源是屬於資源實例的范疇。客戶檔案(資源)本身應該有其使用者的信息(客戶資料可能就含有營業區域這一屬性),才能區分特定資源的實例操作,可以修改屬於自己管轄的信息內容。 另一方面,資源的實例許可權常具有相當大的業務邏輯相關性。對不同的業務邏輯,常常意味著完全不同的許可權判定原則和策略。 b.許可權:對受保護的資源操作的訪問許可(Access Permission),是綁定在特定的資源實例上的。對應地,訪問策略(Access Strategy)和資源類別相關,不同的資源類別可能採用不同的訪問模式(Access Mode)。例如,頁面具有能打開、不能打開的訪問模式,按鈕具有可用、不可用的訪問模式,文本編輯框具有可編輯、不可編輯的訪問模式。同一資源的訪問策略可能存在排斥和包含關系。例如,某個數據集的可修改訪問模式就包含了可查詢訪問模式。 c.用戶:是許可權的擁有者或主體。用戶和許可權實現分離,通過授權管理進行綁定。 d.用戶組:一組用戶的集合。在業務邏輯的判斷中,可以實現基於個人身份或組的身份進行判斷。系統弱化了用戶組的概念,主要實現用戶(個人的身份)的方式。 e.角色:許可權分配的單位與載體。角色通過繼承關系支持分級的許可權實現。例如,科長角色同時具有科長角色、科內不同業務人員角色。 f.操作:完成資源的類別和訪問策略之間的綁定。 g.分配角色許可權PA:實現操作和角色之間的關聯關系映射。 h.分配用戶角色UA:實現用戶和角色之間的關聯關系映射。 該對象模型最終將訪問控制模型轉化為訪問矩陣形式。訪問矩陣中的行對應於用戶,列對應於操作,每個矩陣元素規定了相應的角色,對應於相應的目標被准予的訪問許可、實施行為。按訪問矩陣中的行看,是訪問能力表CL(Access Capabilities)的內容;按訪問矩陣中的列看,是訪問控製表ACL(Access Control Lists)的內容。 4 許可權訪問機制 許可權管理系統端:提供集中管理許可權的服務,負責提供用戶的鑒別、用戶信息、組織結構信息,以及許可權關系表的計算。 系統根據用戶,角色、操作、訪問策略和控制對象之間的關聯關系,同時考慮許可權的正負向授予,計算出用戶的最小許可權。在業務邏輯層採用Session Bean實現此服務,也可以發布成Web Service。採用代理Proxy模式,集中控制來自應用系統的所要訪問的許可權計算服務,並返回許可權關系表,即二元組{ObjectId,OperatorId}。 應用系統端:可以通過訪問能力表CL和訪問控製表ACL兩種可選的訪問方式訪問許可權管理系統。 以基於J2EE框架的應用系統為例,說明訪問過程: a.首先採用基於表單的驗證,利用Servlet方式集中處理登錄請求[2]。考慮到需要鑒別的實體是用戶,採用基於ACL訪問方式。用戶登錄時調用許可權管理系統的用戶鑒別服務,如果驗證成功,調用許可權計算服務,並返回許可權關系表,以HashMap的方式存放到登錄用戶的全局Session中;如果沒有全局的Session或者過期,則被導向到登錄頁面,重新獲取許可權。 b.直接URL資源採用基於CL訪問方式進行的訪問控制。如果用戶直接輸入URL地址訪問頁面,有兩種方法控制訪問:1.通過許可權標簽讀取CL進行控制;2.採取Filter模式,進行許可權控制,如果沒有許可權,則重定向到登錄頁面。 5 許可權控制機制 許可權所要控制的資源類別是根據應用系統的需要而定義的,具有的語義和控制規則也是應用系統提供的,對於許可權管理系統來說是透明的,許可權將不同應用系統的資源和操作統一對待。應用系統調用許可權管理系統所獲得的許可權關系表,也是需要應用系統來解釋的。按此設計,許可權管理系統的通用性較強,許可權的控制機制則由應用系統負責處理。 由於應用系統的許可權控制與特定的技術環境有關,以基於J2EE架構的應用系統為例來說明,系統主要的展示組件是JSP頁面,採用標記庫和許可權控制組件共同來實現。 a. 許可權標識:利用標簽來標識不同級別資源,頁面許可權標簽將標識頁面對象。 b. 許可權注冊:遍歷JSP頁面上的許可權控制標簽,讀取JSP的控制許可權。通過許可權注冊組件將JSP頁面上的許可權控制對象以及規則注冊到許可權管理信息系統中。 c. 許可權控制:應用系統用戶登錄系統時,從許可權管理系統獲得許可權關系表之後,一方面,許可權標簽控制頁面展示;另一方面,利用許可權控制組件在業務邏輯中進行相應的許可權控制,尤其是和業務邏輯緊密聯系的控制對象實例的許可權控制。 6 許可權存儲機制 許可權管理系統採用了兩種可選的存儲機制:LDAP(Lightweight Directory Access Protocol)目錄服務資料庫和關系型資料庫。存儲用戶信息、組織結構、角色、操作、訪問模式等信息。 其中,目錄服務系統基於LDAP標准,具有廣泛的數據整合和共享能力。元目錄(Meta-Directory)功能允許快速、簡潔的與企業現存基礎結構進行集成,解決基於傳統RDBMS等用戶資料庫與LDAP用戶資料庫的同步問題。 7 結語 本文論述了一種基於RBAC模型的許可權管理系統的實現技術方案。該許可權管理系統已成功應用於系統的設計和開發實踐,與應用系統具有很好的集成。實踐表明,採用基於RBAC模型的許可權具有以下優勢:許可權分配直觀、容易理解,便於使用;擴展性好,支持崗位、許可權多變的需求;分級許可權適合分層的組織結構形式;重用性強。

⑥ 計算機信息安全中 訪問控制矩陣的行、列分別代表什麼

按訪問控制矩陣行建立的是 訪問許可權表 ,按列建立的是 訪問控製表 。

⑦ 訪問控制矩陣,ACL和capabilities是什麼

訪問控制列表(Access Control Lists,ACL)是一種由一條或多條指令的集合,指令裡面可以是報文的源地址、目標地址、協議類型、埠號等,根據這些指令設備來判斷哪些數據接收,哪些數據需要拒絕接收。它類似於一種數據包過濾器。
從而可以實現對網路訪問行為的控制、限制網路流量、提高網路性能、防止網路攻擊等等。
理解了訪問控制矩陣之後,就簡單了。訪問控制矩陣的每一列都是一個訪問控制列表ACL, 表的每一行都是功能列表(也叫能力表)。ACL和能力表就是訪問控制矩陣的特殊形式,
訪問控制列表,就是只有一列的訪問控制矩陣。例如,針對一個文件X的,然後表裡有所有用戶對X的訪問許可權。注意:此時表裡只有關於X的訪問許可權,如果要查文件Y的相關許可權,就不應該查這個表了。
能力表,就是只有一行的訪問控制矩陣。例如,就是針對主體-用戶Bob的,表裡列出了Bob擁有的對所有客體的許可權。注意這里沒法查其他用戶Tom的任何許可權,你得到其他表去查了。

都是用於訪問控制的,大同小異。用在不同的情境中。能力表一般和主體關聯,根據主體可以很快知道是否有權訪問。ACL一般和客體關聯,有訪問需求給到這個客體了,查下是否這個主體有許可權。 詳見第8章。

安卓系統的自主訪問控制和強制訪問控制是怎麼操作的

自主訪問控制
自主訪問的含義是有訪問許可的主體能夠直接或間接地向其他主體轉讓訪問權。自主訪問控制是在確認主體身份以及(或)它們所屬的組的基礎上,控制主體的活動,實施用戶許可權管理、訪問屬性(讀、寫、執行)管理等,是一種最為普遍的訪問控制手段。自主訪問控制的主體可以按自己的意願決定哪些用戶可以訪問他們的資源,亦即主體有自主的決定權,一個主體可以有選擇地與其它主體共享他的資源。
基於訪問控制矩陣的訪問控製表(ACL)是DAC中通常採用一種的安全機制。ACL是帶有訪問許可權的矩陣,這些訪問權是授予主體訪問某一客體的。安全管理員通過維護ACL控制用戶訪問企業數據。對每一個受保護的資源,ACL對應一個個人用戶列表或由個人用戶構成的組列表,表中規定了相應的訪問模式。當用戶數量多、管理數據量大時,由於訪問控制的粒度是單個用
戶,ACL會很龐大。當組織內的人員發生能變化(升遷、換崗、招聘、離職)、工作職能發生變化(新增業務)時,ACL的修改變得異常困難。採用ACL機制管理授權處於一個較低級的層次,管理復雜、代價高以至易於出錯。
DAC的主要特徵體現在主體可以自主地把自己所擁有客體的訪問許可權授予其它主體或者從其它主體收回所授予的許可權,訪問通常基於訪問控製表(ACL)。訪問控制的粒度是單個用戶。沒有存取權的用戶只允許由授權用戶指定對客體的訪問權。DAC的缺點是信息在移動過程中其訪問許可權關系會被改變。如用戶A可將其對目標O的訪問許可權傳遞給用戶B,從而使不具備對O訪問許可權的B可訪問O。
強制訪問控制
為了實現完備的自主訪問控制系統,由訪問控制矩陣提供的信息必須以某種形式存放在系統中。訪問矩陣中的每行表示一個主體,每一列則表示一個受保護的客體,而矩陣中的元素,則表示主體可以對客體的訪問模式。目前,在系統中訪問控制矩陣本身,都不是完整地存儲起來,因為矩陣中的許多元素常常為空。空元素將會造成存儲空間的浪費,而且查找某個元素會耗費很多時間。實際上常常是基於矩陣的行或列來表達訪問控制信息。
強制訪問控制是「強加」給訪問主體的,即系統強制主體服從訪問控制政策。強制訪問控制(MAC)的主要特徵是對所有主體及其所控制的客體(例如:進程、文件、段、設備)實施強制訪問控制。
為這些主體及客體指定敏感標記,這些標記是等級分類和非等級類別的組合,它們是實施強制訪問控制的依據。系統通過比較主體和客體的敏感標記來決定一個主體是否能夠訪問某個客體。用戶的程序不能改變他自己及任何其它客體的敏感標記,從而系統可以防止特洛伊木馬的攻擊。
Top Secret),秘密級(Secret),機密級(Confidential)及無級別級(Unclassified)。其級別為T>S>C>U,系統根據主體和客體的敏感標記來決定訪問模式。訪問模式包括:
read down):用戶級別大於文件級別的讀操作;
Write up):用戶級別小於文件級別的寫操作;
Write down):用戶級別等於文件級別的寫操作;
read up):用戶級別小於文件級別的讀操作;
自主訪問控制不能抵禦「特洛伊木馬」攻擊,而強制訪問控制能夠有效的防禦「特洛伊木馬」攻擊。MAC最主要的優勢是它阻止特洛伊木馬的能力 一個特洛伊木馬是在一個執行某些合法功能的程序中隱藏的代碼,它利用運行此程序的主體的許可權違反安全策略 通過偽裝成有用的程序在進程中泄露信息 一個特洛伊木馬能夠以兩種方式泄露信息: 直接與非直接泄露 前者, 特洛伊木馬以這樣一種方式工作, 使信息的安全標示不正確並泄露給非授權用戶; 後者特洛伊木馬通過以下方式非直接地泄露信息: 在返回給一個主體的合法信息中編制 例如: 可能表面上某些提問需要回答, 而實際上用戶回答的內容被傳送給特洛伊木馬。

⑨ 訪問控制的訪問控制的類型

訪問控制可分為自主訪問控制和強制訪問控制兩大類。
自主訪問控制,是指由用戶有權對自身所創建的訪問對象(文件、數據表等)進行訪問,並可將對這些對象的訪問權授予其他用戶和從授予許可權的用戶收回其訪問許可權。
強制訪問控制,是指由系統(通過專門設置的系統安全員)對用戶所創建的對象進行統一的強制性控制,按照規定的規則決定哪些用戶可以對哪些對象進行什麼樣操作系統類型的訪問,即使是創建者用戶,在創建一個對象後,也可能無權訪問該對象。 基於對象的訪問控制(OBAC Model:Object-based Access Control Model):DAC或MAC模型的主要任務都是對系統中的訪問主體和受控對象進行一維的許可權管理。當用戶數量多、處理的信息數據量巨大時,用戶許可權的管理任務將變得十分繁重且難以維護,這就降低了系統的安全性和可靠性。
對於海量的數據和差異較大的數據類型,需要用專門的系統和專門的人員加以處理,要是採用RBAC模型的話,安全管理員除了維護用戶和角色的關聯關系外,還需要將龐大的信息資源訪問許可權賦予有限個角色。
當信息資源的種類增加或減少時,安全管理員必須更新所有角色的訪問許可權設置,如果受控對象的屬性發生變化,和需要將受控對象不同屬性的數據分配給不同的訪問主體處理時,安全管理員將不得不增加新的角色,並且還必須更新原來所有角色的訪問許可權設置以及訪問主體的角色分配設置。
這樣的訪問控制需求變化往往是不可預知的,造成訪問控制管理的難度和工作量巨大。所以在這種情況下,有必要引入基於受控對象的訪問控制模型。
控制策略和控制規則是OBAC訪問控制系統的核心所在,在基於受控對象的訪問控制模型中,將訪問控制列表與受控對象或受控對象的屬性相關聯,並將訪問控制選項設計成為用戶、組或角色及其對應許可權的集合;同時允許對策略和規則進行重用、繼承和派生操作。
這樣,不僅可以對受控對象本身進行訪問控制,受控對象的屬性也可以進行訪問控制,而且派生對象可以繼承父對象的訪問控制設置,這對於信息量巨大、信息內容更新變化頻繁的管理信息系統非常有益,可以減輕由於信息資源的派生、演化和重組等帶來的分配、設定角色許可權等的工作量。
OBAC訪問控制系統是從信息系統的數據差異變化和用戶需求出發,有效地解決了信息數據量大、數據種類繁多、數據更新變化頻繁的大型管理信息系統的安全管理。並從受控對象的角度出發,將訪問主體的訪問許可權直接與受控對象相關聯,一方面定義對象的訪問控制列表,增、刪、修改訪問控制項易於操作,另一方面,當受控對象的屬性發生改變,或者受控對象發生繼承和派生行為時,無須更新訪問主體的許可權,只需要修改受控對象的相應訪問控制項即可,從而減少了訪問主體的許可權管理,降低了授權數據管理的復雜性。 基於任務的訪問控制模型(TBAC Model,Task-based Access Control Model)是從應用和企業層角度來解決安全問題,以面向任務的觀點,從任務(活動)的角度來建立安全模型和實現安全機制,在任務處理的過程中提供動態實時的安全管理。
在TBAC中,對象的訪問許可權控制並不是靜止不變的,而是隨著執行任務的上下文環境發生變化。TBAC首要考慮的是在工作流的環境中對信息的保護問題:在工作流環境中,數據的處理與上一次的處理相關聯,相應的訪問控制也如此,因而TBAC是一種上下文相關的訪問控制模型。其次,TBAC不僅能對不同工作流實行不同的訪問控制策略,而且還能對同一工作流的不同任務實例實行不同的訪問控制策略。從這個意義上說,TBAC是基於任務的,這也表明,TBAC是一種基於實例(instance-based)的訪問控制模型。
TBAC模型由工作流、授權結構體、受託人集、許可集四部分組成。
任務(task)是工作流程中的一個邏輯單元,是一個可區分的動作,與多個用戶相關,也可能包括幾個子任務。授權結構體是任務在計算機中進行控制的一個實例。任務中的子任務,對應於授權結構體中的授權步。
授權結構體(authorization unit):是由一個或多個授權步組成的結構體,它們在邏輯上是聯系在一起的。授權結構體分為一般授權結構體和原子授權結構體。一般授權結構體內的授權步依次執行,原子授權結構體內部的每個授權步緊密聯系,其中任何一個授權步失敗都會導致整個結構體的失敗。
授權步(authorization step)表示一個原始授權處理步,是指在一個工作流程中對處理對象的一次處理過程。授權步是訪問控制所能控制的最小單元,由受託人集(trustee-set)和多個許可集(permissions set)組成。
受託人集是可被授予執行授權步的用戶的集合,許可集則是受託集的成員被授予授權步時擁有的訪問許可。當授權步初始化以後,一個來自受託人集中的成員將被授予授權步,我們稱這個受託人為授權步的執行委託者,該受託人執行授權步過程中所需許可的集合稱為執行者許可集。授權步之間或授權結構體之間的相互關系稱為依賴(dependency),依賴反映了基於任務的訪問控制的原則。授權步的狀態變化一般自我管理,依據執行的條件而自動變遷狀態,但有時也可以由管理員進行調配。
一個工作流的業務流程由多個任務構成。而一個任務對應於一個授權結構體,每個授權結構體由特定的授權步組成。授權結構體之間以及授權步之間通過依賴關系聯系在一起。在TBAC中,一個授權步的處理可以決定後續授權步對處理對象的操作許可,上述許可集合稱為激活許可集。執行者許可集和激活許可集一起稱為授權步的保護態。
TBAC模型一般用五元組(S,O,P,L,AS)來表示,其中S表示主體,O表示客體,P表示許可,L表示生命期(lifecycle),AS表示授權步。由於任務都是有時效性的,所以在基於任務的訪問控制中,用戶對於授予他的許可權的使用也是有時效性的。
因此,若P是授權步AS所激活的許可權,那麼L則是授權步AS的存活期限。在授權步AS被激活之前,它的保護態是無效的,其中包含的許可不可使用。當授權步AS被觸發時,它的委託執行者開始擁有執行者許可集中的許可權,同時它的生命期開始倒記時。在生命期期間,五元組(S,O,P,L,AS)有效。生命期終止時,五元組(S,O,P,L,AS)無效,委託執行者所擁有的許可權被回收。
TBAC的訪問政策及其內部組件關系一般由系統管理員直接配置。通過授權步的動態許可權管理,TBAC支持最小特權原則和最小泄漏原則,在執行任務時只給用戶分配所需的許可權,未執行任務或任務終止後用戶不再擁有所分配的許可權;而且在執行任務過程中,當某一許可權不再使用時,授權步自動將該許可權回收;另外,對於敏感的任務需要不同的用戶執行,這可通過授權步之間的分權依賴實現。
TBAC從工作流中的任務角度建模,可以依據任務和任務狀態的不同,對許可權進行動態管理。因此,TBAC非常適合分布式計算和多點訪問控制的信息處理控制以及在工作流、分布式處理和事務管理系統中的決策制定。 基於角色的訪問控制模型(RBAC Model,Role-based Access Model):RBAC模型的基本思想是將訪問許可權分配給一定的角色,用戶通過飾演不同的角色獲得角色所擁有的訪問許可權。這是因為在很多實際應用中,用戶並不是可以訪問的客體信息資源的所有者(這些信息屬於企業或公司),這樣的話,訪問控制應該基於員工的職務而不是基於員工在哪個組或是誰信息的所有者,即訪問控制是由各個用戶在部門中所擔任的角色來確定的,例如,一個學校可以有教工、老師、學生和其他管理人員等角色。
RBAC從控制主體的角度出發,根據管理中相對穩定的職權和責任來劃分角色,將訪問許可權與角色相聯系,這點與傳統的MAC和DAC將許可權直接授予用戶的方式不同;通過給用戶分配合適的角色,讓用戶與訪問許可權相聯系。角色成為訪問控制中訪問主體和受控對象之間的一座橋梁。
角色可以看作是一組操作的集合,不同的角色具有不同的操作集,這些操作集由系統管理員分配給角色。在下面的實例中,我們假設Tch1,Tch2,Tch3……Tchi是對應的教師,Stud1,Stud 2,Stud3 …Studj是相應的學生,Mng1,Mng 2,Mng 3…Mngk是教務處管理人員,那麼老師的許可權為TchMN={查詢成績、上傳所教課程的成績};學生的許可權為Stud MN={查詢成績、反映意見};教務管理人員的許可權為MngMN={查詢、修改成績、列印成績清單}。
那麼,依據角色的不同,每個主體只能執行自己所制定的訪問功能。用戶在一定的部門中具有一定的角色,其所執行的操作與其所扮演的角色的職能相匹配,這正是基於角色的訪問控制(RBAC)的根本特徵,即:依據RBAC策略,系統定義了各種角色,每種角色可以完成一定的職能,不同的用戶根據其職能和責任被賦予相應的角色,一旦某個用戶成為某角色的成員,則此用戶可以完成該角色所具有的職能。
如今數據安全成疾,蠕蟲和病毒橫行,如何提高網路安全?選擇網路訪問控制(NAC)成為必然,它能夠幫助企業網路免於多種網路安全威脅。
許多企業往往不願意實施基於角色的訪問控制。因為企業擔心冗長而復雜的實施過程,並且由於雇員訪問權要發生變化,也會對工作效率帶來副作用。完成基於角色的矩陣可能是一個需要花費企業幾年時間的復雜過程。有一些新方法可以縮短這個過程,並當即帶來好處。企業可以採用人力資源系統作為數據源,收集所有雇員的部門、職位、位置以及企業的層次結構等信息,並將這些信息用於創建每個訪問級別的角色。下一步就是從活動目錄等位置獲得當前的權利,以及與不同角色的雇員有關的數據共享。下一步,使數據標准化,確保相同角色的雇員擁有相同的訪問權。可以通過從人力資源和活動目錄、修正報告以及雇員的管理者那裡收集數據,用於檢查和糾正。基於角色的訪問控制應用與身份管理系統結合使用,可以實施管理員在自動模式中做出的變化。此過程可以在包含敏感信息的企業網路的其它應用中多次反復實施,確保訪問權的正確性。

⑩ 如何採用訪問控制矩陣方法實現rbac

基於角色的訪問控制(Role-Based Access Control)作為傳統訪問控制(自主訪問,強制訪問)的有前景的代替受到廣泛的關注。在RBAC中,許可權與角色相關聯,用戶通過成為適當角色的成員而得到這些角色的許可權。這就極大地簡化了許可權的管理。在一個組織中,角色是為了完成各種工作而創造,用戶則依據它的責任和資格來被指派相應的角色,用戶可以很容易地從一個角色被指派到另一個角色。角色可依新的需求和系統的合並而賦予新的許可權,而許可權也可根據需要而從某角色中回收。角色與角色的關系可以建立起來以囊括更廣泛的客觀情況。

熱點內容
電腦ftp服務如何禁用 發布:2024-03-29 13:24:48 瀏覽:331
驅動精靈驅動解壓 發布:2024-03-29 13:07:49 瀏覽:564
學編程好學嗎 發布:2024-03-29 13:07:34 瀏覽:439
python保存mp3文件 發布:2024-03-29 12:47:10 瀏覽:150
win10怎麼配置jdk8 發布:2024-03-29 12:47:09 瀏覽:535
解壓軟體java 發布:2024-03-29 12:40:32 瀏覽:282
長安cs35壓縮比 發布:2024-03-29 12:39:58 瀏覽:176
java中編譯器默認導入jdk包 發布:2024-03-29 12:23:26 瀏覽:365
中山大學資料庫 發布:2024-03-29 12:20:44 瀏覽:695
創造與魔法哪個腳本不要錢 發布:2024-03-29 12:20:38 瀏覽:441