基于角色的訪問控制模型分析與實現(xiàn)

基于角色的訪問控制RBAC 是一項新的訪問控制技術(shù)。介紹了RBAC 的基本特征，對它的規(guī)則模型RBAC96 與管理模型ARBAC97 進(jìn)行了重點描述，最后，從應(yīng)用的角度，介紹了RBAC 的多種實現(xiàn)層次以及各層次實現(xiàn)時的特點。
關(guān)鍵詞：訪問控制；角色；RBAC；RBAC96；ARBAC97；實現(xiàn)層次
隨著計算機應(yīng)用的日益普及，特別是網(wǎng)絡(luò)與數(shù)據(jù)庫的迅速發(fā)展，信息系統(tǒng)的安全問題已日益突出，相關(guān)的安全技術(shù)也成為人們研究的熱點。訪問控制是實現(xiàn)既定安全策略的系統(tǒng)安全技術(shù)，它管理所有資源的訪問請求，即根據(jù)安全策略的要求，對每一個資源訪問請求做出是否許可的判斷，能有效防止非法用戶訪問系統(tǒng)資源和合法用戶非法使用資源。依據(jù)美國國防部的可信計算機系統(tǒng)評估標(biāo)準(zhǔn)（TESEC）的主要目標(biāo)，訪問控制被分為兩類：自主訪問控制（Discretionary Access Control）和強制訪問控制（Mandatory Access Control）。
DAC 是計算機系統(tǒng)中實現(xiàn)最多的訪問控制機制，它允許用戶把它對客體的訪問權(quán)授予其他用戶或從其他用戶那里收回他所授予的訪問權(quán)，它是基于客體-用戶的所屬關(guān)系的訪問控制；MAC 是一種多級訪問控制策略，它依據(jù)主體和客體的安全標(biāo)識來決定主體可否訪問客體，多用于軍用系統(tǒng)。
近年來，隨著計算機在商業(yè)和政府部門的廣泛應(yīng)用，尤其是Intranet 的興起，對訪問控制也提出了更高的要求，傳統(tǒng)的DAC 和MAC 已經(jīng)不能適應(yīng)這些要求。90 年代初出現(xiàn)的一種基于角色的訪問控制 RBAC（Role-Based Access Control）技術(shù)能有效地克服傳統(tǒng)訪問控制技術(shù)中存在的不足之處，可以減少授權(quán)管理的復(fù)雜性，降低管理開銷，而且還能為管理員提供一個比較好的實現(xiàn)安全政策的環(huán)境。