基于角色的访问控制系统
基于角色的访问控制技术研究与应用
基于角色的访问控制技术研究与应用角色是一个人或实体在一定范围内所扮演的角色或身份，而基于角色的访问控制技术则是指利用这些角色所包含的权限来限制用户或实体对特定资源的访问。
这类技术被广泛应用于企业、政府、医疗以及金融等各个领域，可以提高资源的安全性和管理效率，如今也成为信息安全领域中的一个重要研究议题。
一、基于角色的访问控制技术的原理与模型基于角色的访问控制技术的基本原理是以角色为中心，将用户分配到不同的角色，通过角色与权限之间的映射关系，控制用户对资源的访问。
该技术基于一个分层模型——“组织、角色、权限”，其中角色是核心。
在该模型中，不同的用户被分配到不同的角色，不同的角色对应不同的权限。
同时，在该模型中，还可以设置各种不同的访问控制策略，来对特定的资源进行访问控制。
这些策略可以是针对角色的，也可以是针对特定用户组合的。
二、基于角色的访问控制技术的发展与进展基于角色的访问控制技术最初是在20世纪90年代末期提出的。
当时，主要针对企业级应用进行研究和开发，旨在提高企业级系统的安全性。
随着时间的推移，其被逐渐应用于政府、金融、医疗等领域。
同时，随着互联网的快速发展，基于角色的访问控制技术也随之得到了加强和改进。
目前，一些国际性的企业所研究和开发的角色管理系统，都在不断地完善和更新，以适应不断变化的互联网应用环境。
三、基于角色的访问控制技术的应用案例1.金融领域：在金融领域，基于角色的访问控制技术被广泛应用，以保护金融交易的安全性，包括控制内部用户对敏感数据的访问。
在某些金融机构，针对不同职责的员工进行了分层的访问控制设置，并使用基于角色的访问控制技术来实现。
2.政府部门：政府机构也是使用基于角色的访问控制技术以确保政府数据的安全和保密性。
在政府级别的系统或数据库中，该系统通常设置了多个访问权限和审批流程，以确保在不同的访问层次中，可以与整个系统的安全性保持一致。
3.教育领域：在教育领域，角色管理技术被广泛应用于学生、教师和工作人员之间的管理，以确保整个教育系统的安全和管理效率。
tecsa八大标准
tecsa八大标准
TECSA的八大标准包括：
1. 自主访问控制：指在访问控制系统中，访问者根据自身拥有的权限，自主决定是否访问某个资源。
2. 强制访问控制：指在访问控制系统中，访问者必须遵循一定的规则和限制，才能访问某个资源。
3. 基于角色的访问控制：指在访问控制系统中，将访问权限与角色相关联，用户通过扮演不同的角色来获得相应的访问权限。
4. 基于属性的访问控制：指在访问控制系统中，将访问权限与属性相关联，用户通过具有特定的属性来获得相应的访问权限。
5. 基于任务的访问控制：指在访问控制系统中，将访问权限与任务相关联，用户在执行特定任务时才能获得相应的访问权限。
6. 基于时间/地点的访问控制：指在访问控制系统中，将访问权限与时间或地点相关联，用户在特定的时间段或地点才能获得相应的访问权限。
7. 基于策略的访问控制：指在访问控制系统中，将访问权限与策略相关联，用户根据系统定义的策略来获得相应的访问权限。
8. 基于行为的访问控制：指在访问控制系统中，将访问权限与用户的行为相关联，系统根据用户的行为来决定是否授予相应的访问权限。
基于角色的访问控制系统设计与实现
基于角色的访问控制系统设计与实现角色是访问控制系统中的重要概念之一，它用于定义用户、员工或其他实体在组织内的职责和权限。
基于角色的访问控制系统提供了一种有效管理和控制用户访问权限的方法，并且可以适应组织的变化和扩展。
本文将介绍基于角色的访问控制系统的设计和实现，并探讨其在不同场景中的应用。
首先，基于角色的访问控制系统设计需要明确定义角色的层次结构和权限。
角色的层次结构可以根据组织的结构和职责划分，例如高级管理人员、普通员工和访客等。
每个角色都有一组预定义的权限，这些权限指定了用户可以执行的操作。
在设计阶段，需要详细描述每个角色的职责和权限，以确保用户得到适当的访问权限。
其次，基于角色的访问控制系统的实现需要考虑身份验证和授权。
身份验证确保用户的身份得到验证，通常使用用户名和密码等凭据进行验证。
授权是根据用户的身份和角色来确定其访问权限的过程。
在实现阶段，需要选择合适的身份验证和授权机制，例如单一登录（SSO）和访问令牌等。
这些机制可以提高系统的安全性和用户体验。
此外，基于角色的访问控制系统还需要定义访问策略和审计机制。
访问策略规定了用户在执行操作时必须满足的条件，例如时间、地点和设备等。
审计机制用于记录用户的访问和操作行为，以便进行安全审计和追踪。
在设计和实现过程中，需要仔细考虑访问策略和审计机制的需求和实际情况，以确保系统的安全性和合规性。
基于角色的访问控制系统在不同的场景中有着广泛的应用。
例如，企业可以使用基于角色的访问控制系统来管理内部员工的权限，确保只有具备相应角色的员工可以访问敏感信息和关键系统。
在医疗保健领域，基于角色的访问控制系统可以帮助医生和护士等医疗人员根据其职责和权限访问患者的电子健康记录。
此外，基于角色的访问控制系统还可以用于对外提供服务的组织，例如银行和电子商务网站，以确保用户只能访问其授权的内容和功能。
在实际应用中，基于角色的访问控制系统还可以与其他安全技术和机制结合使用，以提高系统的安全性和灵活性。
基于角色的访问控制技术(RBAC)
RBAC(Role Based Access Control)访问控制是通过某种途径显示的准许或限制访问能力及范围，从而限制对目标资源的访问，防止非法用户的侵入或合法用户的不慎操作所造成的破坏[2]。
目前流行的访问控制模型有自主访问控制模型(Discretionary Access Control,DAC)、强制访问控制模型(Mandatory Access Control, MAC)和基于角色的访问控制模型(Role-Based Access Control,RBAC)。
自主访问控制是访问控制技术中最常见的一种方法，允许资源的所有者自主地在系统中决定可存取其资源客体的主体，此模型灵活性很高，但安全级别相对较低；强制访问控制是主体的权限和客体的安全属性都是固定的，由管理员通过授权决定一个主体对某个客体能否进行访问。
无论是DAC 还是MAC 都是主体和访问权限直接发生关系，根据主体/客体的所属关系或主体/客体的安全级别来决定主体对客体的访问权，它的优点是管理集中，但其实现工作量大、不便于管理，不适用于主体或客体经常更新的应用环境。
RBAC是一种可扩展的访问控制模型，通过引入角色来对用户和权限进行解耦，简化了授权操作和安全管理，它是目前公认的解决大型企业的统一资源访问控制的有效访问方法，其 2 个特征是：(1) 由于角色/权限之间的变化比角色/用户关系之间的变化相对要慢得多，从而减小授权管理的复杂性，降低管理开销；(2)灵活地支持企业的安全策略，并对企业变化有很大的伸缩性。
2.2 RBAC 模型的基本思想在 RBAC 模型中，角色是实现访问控制策略的基本语义实体。
系统管理员可以根据职能或机构的需求策略来创建角色、给角色分配权限并给用户分配角色，用户能够访问的权限由该用户拥有的角色权限集合决定，即把整个访问控制过程分成2步：访问权限与角色相关联，角色再与用户关联，从而实现用户与访问权限的逻辑分离。
RBAC 模型引入了Role的概念,目的是为了隔离User(即动作主体，Subject)与Pr ivilege(权限，表示对Resource的一个操作，即Operation+Resource)，当一个角色被指定给一个用户时，此用户就拥有了该角色所包含的权限。
rbac岗位角色关系_解释说明以及概述
rbac岗位角色关系解释说明以及概述1. 引言1.1 概述RBAC（Role-Based Access Control）指的是一种基于角色的访问控制模型，它将权限分配给特定的角色，并将用户与这些角色关联起来。
通过RBAC，企业可以实现更加细粒度的权限管理，确保只有合适的人员可以访问特定的资源和执行特定的操作。
岗位角色关系是RBAC中非常重要且核心的概念，它描述了不同岗位与其所担任角色之间的对应关系。
1.2 文章结构本文将首先解释和说明RBAC的基本概念，并详细介绍岗位和角色之间的定义与区别。
然后，我们将探讨岗位角色关系在RBAC中扮演的作用以及其重要性。
接下来，文章将概述RBAC在企业中的应用背景，并介绍基本RBAC模型及其组成要素。
随后，我们将深入讨论岗位角色关系具体案例分析，并分享公司内部人力资源系统、银行系统和政府机构信息系统中涉及到RBAC岗位角色关系管理方面的经验和实践。
最后，在文章结尾处，我们会总结并强调RBAC岗位角色关系对于企业信息安全管理的意义和价值，同时展望未来RBAC岗位角色关系的发展趋势并提出相关建议。
1.3 目的本文的目的是通过对RBAC岗位角色关系进行解释说明和概述，帮助读者深入理解RBAC模型中岗位和角色之间的关联，并认识到合理管理这种关系对于企业信息安全管理的重要性。
通过案例分析的介绍，我们将为读者提供实践经验和灵感，并为未来RBAC岗位角色关系的发展提供建议。
2. RBAC岗位角色关系解释说明2.1 什么是RBACRBAC（Role-Based Access Control），即基于角色的访问控制，是一种常用的访问控制机制。
它通过在系统中定义角色，并将权限与这些角色关联起来，实现对用户进行权限管理和访问控制。
在RBAC中，用户通过被分配一个或多个角色来获取相应的权限，而不是直接赋予用户单独的权限。
2.2 岗位和角色的定义与区别在RBAC中，岗位和角色都是组织结构中的概念。
基于角色的访问控制在网络安全中的应用
基于角色的访问控制在网络安全中的应用在当前时代，随着互联网技术的发展与普及，信息安全问题逐渐受到人们的关注。
为了保护对个人、公司甚至国家的信息安全，访问控制技术已经逐渐成为了网络安全领域中的重要技术之一。
基于角色的访问控制则是访问控制技术中的一种实现方式。
本文将从基于角色的访问控制的定义、特点及其在网络安全中的应用等方面详细介绍。
一、基于角色的访问控制的定义基于角色的访问控制是指在授权过程中，根据用户的职责和权限将用户分配到不同的角色中，每个角色再赋予一些相应的权限；当用户访问系统资源时，系统根据不同角色的权限来控制其访问对应的系统资源。
具体而言，将用户分配到角色中后，系统管理员可以根据角色的特定权限，来控制该角色能够访问的系统资源。
二、基于角色的访问控制的特点与其他访问控制技术相比，基于角色的访问控制具有以下几个特点：1. 管理方便：基于角色的访问控制将用户分配到角色中，用户的职责与权限与所在角色相对应，系统管理员可以通过管理角色来管理相应的用户。
2. 灵活可扩展：当系统中新增加一个角色时，只需在系统中增加该角色及其对应的权限，就可以在不中断系统正常运行的情况下进行扩展。
3. 安全性更高：基于角色的访问控制在用户层面上操作，使得系统管理者可以更好地控制用户对不同资源的访问权限，从而提高系统的安全性。
三、基于角色的访问控制在网络安全中的应用基于角色的访问控制技术已经在计算机网络中广泛应用。
在网络安全中，基于角色的访问控制可以有效地保护网络的安全性，减小网络风险。
1. 数据库安全管理基于角色的访问控制在数据库中的运用较为广泛。
访问控制的核心是对数据库中的安全性进行管理，不同的角色具有不同的访问权限。
对于敏感数据，可以设置更高的级别限制其访问。
2. 网络资源共享访问控制网络资源共享是当前网上操作中不可或缺的环节，而共享访问控制则成为实现共享的前提。
通过对不同角色用户资源的控制可以避免一些未授权的访问和安全问题。
《基于角色的授权与访问控制规范》
1资源
应用系统
访问控制
授权信息
属性证书系统
访问控制决策访问控制实施发起者访问控制策略
资源技术体系学习框架
基于角色的授权与访问控制框架定义了保障授权信息、访问控制策略的安全性、完整性和有效性的方法，及与具体应用无关的授权与访问控制的机制。
本框架主要由访问控制实施部件、访问控制决策部件和属性证书系统组成，其中接收发起者发起的访问请求，将请求按照访问控制协议封装后发送给，根据访问控制策略、授权信息等对访问请求作出判定，并将该判定结果返回给，根据判定结果决定是否允许发起者对资源进行访问。
对主体的授权信息应按授权策略描述语言进行描述，并按照属性证书管理协议封装后发送到HH，HH将授权信息编码并签名后形成属性证书。
可依据发起者身份标识取得该属性证书，解析后即可得到发起者的授权信息。
必须验证属性证书的有效性。
每一个应用都有一个特定的访问控制策略，该策略采用访问控制策略描述语言进行描述，并使用属性证书承载。
使用访问控制策略前必须验证其证书的有效性。
授权与访问控制框架如图所示
授权与访问控制框架
访问控制执行部件
接收访问请求，按照按照访问控制协议对访问请求进行封装，并依据判定结果控制对资源的访问。
判定结果为允许时，许可发起者可以对资源进行访问，判定结果为拒绝时，应阻止对资源的访问。
的使用方式包括共享和非共享两种。
共享方式下多个应用共同使用一个，非共享方式下每个应用各自使用各自的。
基于角色的访问控制
基于角色的访问控制(Role-Based Access Control) (Role Based Access Control)主讲人：张春华访问控制访问控制是实现既定安全策略的系统安全技术, 它管理所有资源的访问请求, 即根据安全策略的要求, 对每一个资源访问请求做出是否许可的判断, 能有效防止非法用户访问系统资源和合法用户非法使用资源。
DAC和MAC¾DAC是根据访问者和(或) 它所属组的身份来控制对客体目标的授权访问。
它的优点是具有相当的灵活性, 但是访问许可的转移很容易产生安全漏洞, 所以这种访问控制策略的安全级别较低。
¾MAC是基于主体和客体的安全标记来实现的一种访问控制策略。
它的优点是管理集中, 根据事先定义好的安全级别实现严格的权限管理, 因此适宜于对安全性要求较高的应用环境, 但这种强制访问控制太严格, 实现工作量太大, 管理不方便, 不适用于主体或者客体经常更新的应用环境。
RBAC的提出以上两种访问控制模型都存在的不足是将主体和客体直接绑定在起, 授权时需要主体和客体直接绑定在一起对每对(主体、客体)指定访问许可, 这样存在的问题是当体和客体到较高的数存在的问题是当主体和客体达到较高的数量级之后,授权工作将非常困难。
20 世纪90 年代以来, 随着对在线的多用户、多系统研究的不断深入, 角色的概念逐渐形成, 统究的断角色的概念渐并产生了以角色为中心的访问控制模型(R l B d A C t l)(Role-Based Access Control) , 被广泛应用在各种计算机系统中。
相关概念¾角色（Role）：指一个组织或任务中的工作或位置，代表了种资格权利和责任系统管员核代表了一种资格、权利和责任（系统管理员，核心）·¾用户(User) :一个可以独立访问计算机系统中的数据或数据表示的其他资源的主体。
.¾权限( Permission):表示对系统中的客体进行特定模式的访问操作, 与实现的机制密切相关。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
基于角色的访问控制系统Role-Based Access Con trol System北京航空航天大学计算机系(北京100083) 李伟琴 杨亚平 【摘要】 主要介绍基于角色的访问控制(RBA C),其中包括特点、优势等,并对其设计考虑以及如何具体实现作了阐述。
关键词:访问控制,计算机网络,计算机安全【Abstract】 Ro le-based access con tro l (RBA C)techno logy is p resen ted,including the featu res,advan tage,design schem e and sp ecific realizing m ethods.Key words:access con trol,co m puter net-work,co m puter safety近年来,随着全球网络化的热潮,网络技术正在日益广泛而深入地被应用到社会的各个领域中,并深刻地改变着社会的行为和面貌。
然而,与此同时,网络安全却成为困扰和阻挠网络技术进一步普及、应用的绊脚石。
尤其在商业、金融和国防等领域的网络应用中,能否保证网络具有足够的安全性是首先要考虑的问题。
安全问题如果不能有效地得到解决,必然会影响整个网络的发展。
为此,国际标准化组织ISO在网络安全体系的设计标准(ISO7498-2)中,提出了层次型的安全体系结构,并定义了五大安全服务功能:身份认证服务,访问控制服务,数据保密服务,数据完整性服务,不可否认服务。
一个可靠的网络,它的可信任程度依赖于所提供的安全服务质量。
1 访问控制研究的定义、内容和范围访问控制(access con tro l)就是通过某种途径显式地准许或限制访问能力及范围的一种方法。
通过访问控制服务,可以限制对关键资源的访问,防止非法用户的侵入或者因合法用户的不慎操作所造成的破坏。
访问控制系统一般包括:1)主体(sub ject):发出访问操作、存取要求的主动方,通常指用户或用户的某个进程;2)客体(ob ject):被调用的程序或欲存取的数据访问;3)安全访问政策:一套规则,用以确定一个主体是否对客体拥有访问能力。
2 传统的访问控制技术2.1 自主型的访问控制DACDA C是目前计算机系统中实现最多的访问控制机制,它是在确认主体身份以及(或)它们所属组的基础上对访问进行限定的一种方法。
其基本思想是:允许某个主体显式地指定其他主体对该主体所拥有的信息资源是否可以访问以及可执行的访问类型。
我们所熟悉的U N I X系统就是采用了自主型的访问控制技术。
2.2 强制型的访问控制M AC强制型的访问控制是“强加”给访问主体的,即系统强制主体服从访问控制政策。
它预先定义主体的可信任级别及客体(信息)的敏感程度(安全级别)。
用户的访问必须遵守安全政策划分的安全级别的设定以及有关访问权限的设定。
这种访问控制方式主要适合于多层次安全级别的军事应用。
3 基于角色的访问控制技术随着网络的迅速发展,尤其是In tranet的兴起,对访问控制服务的质量也提出了更高的要求,以上两种访问控制技术已很难满足这些要求。
DA C 将赋予或取消访问权限的一部分权力留给用户个人,这使得管理员难以确定哪些用户对哪些资源有访问权限,不利于实现统一的全局访问控制。
而M A C由于过于偏重保密性,对其他方面如系统连续工作能力、授权的可管理性等考虑不足。
90年代以来出现的一种基于角色的访问控制RBA C(Ro le -B ased A ccess Con tro l)技术有效地克服了传统・61・访问控制技术中存在的不足之处,可以减少授权管理的复杂性,降低管理开销,而且还能为管理员提供一个比较好的实现安全政策的环境。
在RBA C 中,引入了角色这一重要概念。
所谓“角色”,就是一个或一群用户在组织内可执行的操作的集合。
RBA C 的基本思想是:授权给用户的访问权限,通常由用户在一个组织中担当的角色来确定。
例如,一个银行包含的角色可以有出纳员、会计师和贷款员等。
由于他们的职能不同,所拥有的访问权限显然也各不相同。
RBA C 根据用户在组织内所处的角色进行访问授权与控制。
也就是说,传统的访问控制直接将访问主体(发出访问操作、存取要求的主动方)和客体(被调用的程序或欲存取的数据访问)相联系,而RBA C 在中间加入了角色,通过角色沟通主体与客体。
在RBA C 中,用户标识对于身份认证以及审计记录是十分有用的,但真正决定访问权限的是用户对应的角色标识。
RBAC 对访问权限的授权由管理员统一管理,而且授权规定是强加给用户的,用户只能被动接受,不能自主地决定。
用户也不能自主地将访问权限传给他人。
这是一种非自主型访问控制。
RBA C 中,主体、客体、角色、操作、用户之间的关系如图1所示,其中双箭头表示多对多关系。
图1 RBA C 中各元素相互关系示意图3.1 RBAC 的特点3.1.1 以角色作为访问控制的主体用户以什么样的角色对资源进行访问,决定了用户拥有的权限以及可执行何种操作。
3.1.2 角色继承为了提高效率,避免相同权限的重复设置,RBA C 采用了“角色继承”的概念,定义了这样的一些角色,它们有自己的属性,但可能还继承其他角色的属性和权限。
角色继承把角色组织起来,能够很自然地反映组织内部人员之间的职权、责任关系。
角色继承可以用祖先关系来表示。
如图2所示,角色2是角色1的“父亲”,它包含角色1的属性与权限。
在角色继承关系图中,处于最上面的角色拥有最大的访问权限,越下端的角色拥有的权限越小。
3.1.3 最小权限原则图2 角色继承 所谓最小权限原则是指:用户所拥有的权力不能超过他执行工作时所需的权限。
实现最小权限原则,需分清用户的工作内容,确定执行该项工作的最小权限集,然后将用户限制在这些权限范围之内。
在RBA C 中,可以根据组织内的规章制度、职员的分工等设计拥有不同权限的角色,只有角色需要执行的操作才授权给角色。
当一个主体预访问某资源时,如果该操作不在主体当前活跃角色的授权操作之内,该访问将被拒绝。
3.1.4 职责分离对于某些特定的操作集,某一个角色或用户不可能同时独立地完成所有这些操作。
“职责分离”可以有静态和动态两种实现方式。
静态职责分离:只有当一个角色与用户所属的其他角色彼此不互斥时,这个角色才能授权给该用户。
动态职责分离:只有当一个角色与一主体的任何一个当前活跃角色都不互斥时,该角色才能成为该主体的另一个活跃角色。
3.1.5 角色容量在创建新的角色时,要指定角色的容量。
在一个特定的时间段内,有一些角色只能由一定人数的用户占用。
3.2 RBAC 的优势RBA C 的最大优势在于它对授权管理的支持。
通常的访问控制实现方法,将用户与访问权限直接相联系,当组织内人员新增或有人离开时,或者某个用户的职能发生变化时,需要进行大量授权更改工作。
而在RBA C 中,角色作为一个桥梁,沟通于用户和资源之间。
对用户的访问授权转变为对角色的授权,然后再将用户与特定的角色联系起来。
一旦一个RBA C 系统建立起来以后,主要的管理工作即为授权或取消用户的角色,如图3所示。
・71・图3 角色的桥梁作用RBA C 的另一优势在于:系统管理员在一种比较抽象且与企业通常的业务管理相类似的层次上控制访问。
这种授仅使管理员从访问控制底层的具体实现机制中脱离出来,十分接近日常的组织管理规则。
3.3 访问控制系统的设计方案与实现本访问控制系统实施应用层的访问控制。
系统由以下几部分构成:访问控制服务器A CS (A ccess Con tro l Server )、访问请求过滤服务器A FS(A ccess F ilter Server )、角色及授权管理器RA S (Ro le &A u tho rizati on m anagem en t Server )等安全服务器,以及用户 角色信息库、角色访问权限库等访问控制信息库。
各部分的功能简述如下:图4 访问控制系统流程图 (1)客户方在访问应用服务器之前,首先向身份认证服务器证实自己的身份和角色。
(2)认证之后,客户方向A FS 提出访问请求的具体内容。
A FS 从用户请求中提取有关访问控制信息,如用户的活跃角色、用户所请求的服务等,送访问控制服务器A CS 。
A CS 参照访问权限的授权,分析请求方提交的访问是否合法,以决定接受或拒绝用户的访问请求,然后将决策结果通知A FS 。
如果接受的话,A FS 就将用户的请求定位至某台具体的应用服务器并向该应用服务器提交用户请求,之后将应用服务器的处理结果返回给用户。
(3)用户 角色信息库存储管理员定义角色集和每个用户所属的角色。
角色访问权限库存储每个角色对可访问资源的权限,包括是否可以访问及可执行的访问操作。
(4)角色及授权管理器RA S 与管理界面组成安全管理系统,为网络安全管理员提供一个简单、便捷的角色及其授权管理工具。
3.4 系统设计的几点考虑3.4.1 访问控制信息量的压缩从数学上来讲,访问控制实际上是一个矩阵,列表示资源,行表示用户,行和列的交叉点表示某个用户对某个资源的访问权限。
采用RABC 技术,将用户按照一个组织内部的职责分工,设定有限的一些角色:然后再针对这些角色进行授权,这种方法大大减少了对应的访问控制矩阵的行数。
另外,我们采用授权继承技术来减少对应访问控制矩阵的列数。
根据资源的安全级别,将其按树型结构合理地进行组织,并借鉴M S -W indow s 的资源管理器“共享设置”方法,角色一旦对某个资源树中的某点具有某种访问权限,就对该点以下的资源・81・点也具有同样的访问权限。
权限大的角色能访问的节点多,对一些结点所能执行的访问操作也多:权限小的角色只能访问有限的一些节点,而且能执行的访问操作也有限。
压缩访问控制授权信息,不但简化了授权管理工作,而且有利于提高执行访问控制的效率。
3.4.2 “策略 机制”分离原则通俗地讲,“策略”就象一个决策者,“机制”是执行者。
决策者根据安全政策作出决策,通知执行者“执行”或者“拒绝执行”。
执行者不关心安全政策的具体内容,只关心决策者回答的结果。
无论安全政策简单还是复杂,都不会影响执行者的效率。
在本系统中,首先,访问控制合法性的决策与执行决策结果相分离,分别由访问控制服务器A CS和访问请求过滤器A FS执行。
其次,将角色及对其的授权政策的设置与根据政策作出决定分离开来。
这两部分的工作分别由角色授权管理器RA S和访问控制服务器A CS来完成。
3.4.3 网络安全管理在本访问控制系统中有大量管理信息,需要由安全管理服务来对局部安全网络内的安全访问控制策略进行集中管理,以及为管理员提供方便、简捷的管理工具。