一種基于組織的rbac訪問控制模型的制作方法
【專利摘要】一種基于組織的RBAC訪問控制模型，包括用戶、組織、角色、對(duì)象、操作、會(huì)話和約束，引入了組織的概念，組織是模型的核心與基礎(chǔ)元素，所有的對(duì)象與角色都隸屬于某一個(gè)組織，都具有一個(gè)唯一的屬主；一個(gè)組織可以擁有多個(gè)用戶，擁有多個(gè)角色，擁有多個(gè)對(duì)象，組織具有層次關(guān)系，組織間可以通過授權(quán)將一個(gè)組織的角色賦給另外一個(gè)組織使用。本發(fā)明的有益效果是：能夠施加更加嚴(yán)格的安全策略，滿足了靈活而復(fù)雜的系統(tǒng)授權(quán)需求，有效的解決了分級(jí)授權(quán)問題與復(fù)雜系統(tǒng)中繁多對(duì)象組織管理的問題，能夠更方面的用以管理和組織對(duì)象，通過引入動(dòng)態(tài)對(duì)象，增強(qiáng)了其適應(yīng)性。
【專利說明】—種基于組織的RBAC訪問控制模型
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及軟件開發(fā)的權(quán)限管理【技術(shù)領(lǐng)域】，尤其涉及一種基于組織的RBAC訪問控制模型。
【背景技術(shù)】
[0002]隨著信息技術(shù)的飛速發(fā)展，特別是Internet的發(fā)展，企業(yè)信息化的不斷深入，企業(yè)內(nèi)的信息對(duì)象呈現(xiàn)指數(shù)級(jí)增長(zhǎng)，企業(yè)內(nèi)跨部門的共享和復(fù)用越來越廣泛，應(yīng)用安全和數(shù)據(jù)安全受到了極大的挑戰(zhàn)，IT的安全問題日益突出，日益受到相關(guān)人員的重視，解決系統(tǒng)安全問題雖然可以通過事后的審計(jì)等方式進(jìn)行發(fā)現(xiàn)彌補(bǔ)，但更好的方式是從源頭進(jìn)行控制，防患于未然。
[0003]早起的訪問控制主要存在兩個(gè)模型:自主訪問控制(DAC)和強(qiáng)制訪問控制(MAC)。
[0004]DAC是一種基于主體身份或主體所在的組織來控制對(duì)客體訪問的方法，自主訪問控制中主體對(duì)客體的訪問權(quán)限是由客體的屬主決定的，也就是說系統(tǒng)允許主體(客體的擁有者)可以按照自己的意愿去制定誰以何種訪問模式去訪問該客體，雖然DACD的權(quán)限傳播思想具有很好的靈活性和可伸縮性，但本身具有安全漏洞，滿意滿足高安全性的系統(tǒng)需求，
MAC是通過對(duì)比主體的安全級(jí)別與客體的安全級(jí)別來確定主體是否具有訪問客體的權(quán)限，其優(yōu)點(diǎn)是管理集中，安全性高，適合軍事等對(duì)安全性要求很高的系統(tǒng)使用，缺點(diǎn)是具體實(shí)現(xiàn)工作量太大，不便管理，缺乏靈活性。
[0005]目前，在訪問控制領(lǐng)域，最常見的模型是基于角色的訪問控制模型(RBAC)，RBAC通過引進(jìn)角色的概念實(shí)現(xiàn)了用戶和權(quán)限的邏輯分離，支撐了技術(shù)人員與業(yè)務(wù)人員職責(zé)的分離，用戶通過獲得角色得到權(quán)限來對(duì)客體進(jìn)行操作，從而實(shí)現(xiàn)權(quán)限管理與控制。這是一種策略獨(dú)立的，非自主型的訪問控制模型，用戶只能被動(dòng)接受權(quán)限，而不能主動(dòng)的將權(quán)限授予他人；目前RBAC參考模型是使用最為廣泛的一個(gè)模型，但這個(gè)模型在復(fù)雜組織機(jī)構(gòu)、大量用戶的應(yīng)用系統(tǒng)中存在不足，主要表現(xiàn)在:(I)傳統(tǒng)的RBAC模型在權(quán)限分配和角色分配中，不能很好的滿足權(quán)限跟組織機(jī)構(gòu)關(guān)聯(lián)的情況，不能滿足靈活而復(fù)雜的系統(tǒng)授權(quán)需求，存在系統(tǒng)管理員對(duì)其他組織部門越權(quán)授權(quán)問題，存在不能方便有效的支持分級(jí)授權(quán)問題；(2)對(duì)于復(fù)雜系統(tǒng)，具有繁多的對(duì)象時(shí)，對(duì)對(duì)象及相關(guān)操作的管理和組織不便；(3)是一個(gè)靜態(tài)模型，不能滿足特殊情況下的動(dòng)態(tài)需求。
[0006]基于以上的問題，針對(duì)實(shí)際項(xiàng)目的情況，對(duì)RBAC參考模型進(jìn)行了細(xì)化，增加了模型元素，增加了相關(guān)的靜態(tài)和動(dòng)態(tài)約束，以適應(yīng)復(fù)雜企業(yè)應(yīng)用下的復(fù)雜授權(quán)需求。

【發(fā)明內(nèi)容】

[0007]本發(fā)明所要解決的技術(shù)問題在于針對(duì)以上現(xiàn)有技術(shù)的不足而提供一種基于組織的RBAC訪問控制模型。
[0008]本發(fā)明是通過以下技術(shù)方案實(shí)現(xiàn)的:包括用戶、組織、角色、對(duì)象、操作、會(huì)話和約束，引入了組織的概念，組織是模型的核心與基礎(chǔ)元素，所有的對(duì)象與角色都隸屬于某一個(gè)組織，都具有一個(gè)唯一的屬主；一個(gè)組織可以擁有多個(gè)用戶，擁有多個(gè)角色，擁有多個(gè)對(duì)象，組織具有層次關(guān)系，組織間可以通過授權(quán)將一個(gè)組織的角色賦給另外一個(gè)組織使用。
[0009]作為優(yōu)選的，引入了對(duì)象層級(jí)的概念，用于解決系統(tǒng)對(duì)象過多或存在層次結(jié)構(gòu)時(shí)的對(duì)象組織管理題。
[0010]作為優(yōu)選的，將對(duì)象進(jìn)行分類處理，分為靜態(tài)對(duì)象和動(dòng)態(tài)對(duì)象，靜態(tài)對(duì)象是事先確定好的對(duì)象，動(dòng)態(tài)對(duì)象是在運(yùn)行中才能確定的對(duì)象，對(duì)象具有哪些操作事前不確定，只有在授權(quán)的過程中才能確定。
[0011]作為優(yōu)選的，引入了更多的約束:
I )SC1約束，對(duì)應(yīng)RBAC參考模型中UA的SSD，包括最小權(quán)限約束和靜態(tài)職責(zé)分離約束；
2)SC2約束，對(duì)應(yīng)RBAC參考模型中角色繼承時(shí)的SSD，包括最小權(quán)限約束和靜態(tài)職責(zé)分離約束，在角色繼承過程中，一個(gè)角色不能同時(shí)繼承具有分配互斥的兩個(gè)角色；
3 ) SC3:角色的使用范圍約束，約束角色在整體的組織中的適用范圍，其取值包括本級(jí)，本級(jí)及直屬組織，本級(jí)及下級(jí)組織(子孫組織)，不限制；
4)SC4約束，對(duì)應(yīng)RBAC標(biāo)準(zhǔn)中PA的SSD，在本模型中特化為“能夠建立關(guān)系的角色和對(duì)象必須隸屬于同一個(gè)組織”；
5)DC1約束，對(duì)應(yīng)RBAC規(guī)范中Session建立時(shí)的DSD，包括最小權(quán)限約束和靜態(tài)職責(zé)分離約束；
6)DC2:角色在組織間共享策略約束，可能的策略包括向上共享，同父下的同級(jí)共享。
[0012]本發(fā)明的有益效果是:
(1)模型中增加了組織元素，很好的滿足了權(quán)限跟組織機(jī)構(gòu)關(guān)聯(lián)的需求，能夠施加更加嚴(yán)格的安全策略，滿足了靈活而復(fù)雜的系統(tǒng)授權(quán)需求；
(2)有效的支持了分級(jí)授權(quán)問題。杜絕了系統(tǒng)管理員對(duì)其他組織部門越權(quán)授權(quán)問題。上級(jí)組織的系統(tǒng)管理員通過將權(quán)限管理權(quán)限賦予下級(jí)組織的系統(tǒng)管理員，下級(jí)組織的系統(tǒng)管理員就可以在本組織范圍內(nèi)執(zhí)行權(quán)限管理工作；
(3)解決了復(fù)雜系統(tǒng)中繁多對(duì)象組織管理的問題，能夠更方面的用以管理和組織對(duì)
象；
(4)RBAC參考模型本身是一個(gè)靜態(tài)模型，具有一定的局限性，通過引入動(dòng)態(tài)對(duì)象，增強(qiáng)了其適應(yīng)性。
【專利附圖】

【附圖說明】
[0013]為了更清楚地說明本發(fā)明的技術(shù)方案，下面將對(duì)實(shí)施例描述中所需要使用的附圖作簡(jiǎn)單地介紹，顯而易見地，下面描述中的附圖僅僅是本發(fā)明的一些實(shí)施例，對(duì)于本領(lǐng)域普通技術(shù)人員來講，在不付出創(chuàng)造性勞動(dòng)的前提下，還可以根據(jù)這些附圖獲得其他的附圖。
[0014]圖1為本發(fā)明的RBAC模型示意圖。
[0015]圖2為模型實(shí)際用例示意圖。
[0016]圖3為訪問控制過程示意圖。
【具體實(shí)施方式】
[0017]下面將結(jié)合本發(fā)明的附圖，對(duì)本發(fā)明實(shí)施的技術(shù)方案進(jìn)行清楚、完整的描述。本描述的內(nèi)容僅僅是本發(fā)明的部分實(shí)例。為了更好的描述本發(fā)明實(shí)施例，下面將結(jié)合圖2進(jìn)行描述授權(quán)的過程。
[0018]圖2中假設(shè)某個(gè)組織下有兩個(gè)部門一部門A和部門B。部門A擁有一個(gè)用戶一用戶A，擁有兩個(gè)許可一許可A和B (分別對(duì)應(yīng)對(duì)象A的操作A和操作B)，擁有兩個(gè)角色一角色A和B (分別擁有許可A和許可B);部門B擁有一個(gè)用戶一用戶B，擁有兩個(gè)許可一許可C和D (分別對(duì)應(yīng)對(duì)象B的操作C和操作D)，擁有一個(gè)角色一角色C (擁有許可C和許可D);同時(shí)系統(tǒng)管理員通過組織間授權(quán)，將部門A中的角色B授權(quán)給了部門B中的用戶B。
[0019]假設(shè)整個(gè)系統(tǒng)有三個(gè)系統(tǒng)管理員:組織級(jí)的系統(tǒng)管理員，簡(jiǎn)稱SM，部門A的系統(tǒng)管理員，簡(jiǎn)稱MA，部門B的系統(tǒng)管理員，簡(jiǎn)稱MB。假設(shè)SM已經(jīng)將授權(quán)的角色已經(jīng)授予了 MA和MB，也就是說MA和MB已經(jīng)分別擁有了各個(gè)部門內(nèi)的權(quán)限管理職責(zé)，整個(gè)授權(quán)的過程如下:
1)MA創(chuàng)建用戶A、許可A (對(duì)象A,操作A)、許可B (對(duì)象A,操作B)、角色A、角色B,角色A和B的使用范圍是本組織內(nèi)；
2)MA將許可A和B賦予角色A，將許可A和B賦予角色B，建立起許可與角色間的關(guān)
系;
3)MA將角色A和B都賦予用戶A，建立起用戶與角色間的關(guān)系；
4)MB創(chuàng)建用戶B、許可C(對(duì)象B，操作C)、許可D (對(duì)象B，操作D)、角色C，角色C的使用范圍是本組織內(nèi)；
5)MB將許可C和D賦予角色C，建立起許可與角色間的關(guān)系；
6)MB將角色C賦予用戶B，建立起用戶與角色間的關(guān)系；
7)MA通過組織間授權(quán)將角色B授予部門B范圍內(nèi)可用；
8)MB將角色B授予用戶B;整個(gè)授權(quán)過程完成以后，用戶A擁有許可A、許可B (執(zhí)行了兩個(gè)角色許可的合并);用戶B擁有許可A、許可B、許可C和許可D (合并了本部門內(nèi)的許可和來自于部門A的許可)。
[0020]下面將結(jié)合圖3對(duì)模型的動(dòng)態(tài)方面進(jìn)行描述，也就是鑒權(quán)過程。首先用戶提供自己的憑證，按照認(rèn)證策略通過認(rèn)證后建立Session, Session建立完成以后，按照上面所述的許可合并過程(在模型數(shù)據(jù)和動(dòng)靜態(tài)約束數(shù)據(jù)的支撐下)，形成針對(duì)當(dāng)前用戶的權(quán)限集合(許可集)，當(dāng)用戶訪問某個(gè)對(duì)象時(shí)，首先給訪問控制對(duì)象攔截，從存儲(chǔ)在Session中的用戶信息和要訪問的對(duì)象及操作傳遞給訪問控制決策對(duì)象，訪問控制決策對(duì)象根據(jù)各種動(dòng)態(tài)約束和許可集執(zhí)行權(quán)限驗(yàn)證，權(quán)限驗(yàn)證通過后才能執(zhí)行目標(biāo)對(duì)象上的操作。本模型建立以后，已經(jīng)在金融、稅務(wù)、政府、能源等行業(yè)得到了廣泛應(yīng)用，并取得了良好的效果。
[0021]以上所述者，僅為本發(fā)明的較佳實(shí)施例而已，并非用來限定本發(fā)明的實(shí)施范圍，SP凡依本發(fā)明所作的均等變化與修飾，皆為本發(fā)明權(quán)利要求范圍所涵蓋，這里不再一一舉例。
【權(quán)利要求】
1.一種基于組織的RBAC訪問控制模型，其特征在于:包括用戶、組織、角色、對(duì)象、操作、會(huì)話和約束，引入了組織的概念，組織是模型的核心與基礎(chǔ)元素，所有的對(duì)象與角色都隸屬于一個(gè)組織，都具有一個(gè)唯一的屬主；一個(gè)組織可以擁有多個(gè)用戶，擁有多個(gè)角色，擁有多個(gè)對(duì)象，組織具有層次關(guān)系，組織間可以通過授權(quán)將一個(gè)組織的角色賦給另外一個(gè)組織使用。
2.根據(jù)權(quán)利要求1所述的基于組織的RBAC訪問控制模型，其特征在于:引入了對(duì)象層級(jí)的概念，用于解決系統(tǒng)對(duì)象過多或存在層次結(jié)構(gòu)時(shí)的對(duì)象組織管理題。
3.根據(jù)權(quán)利要求1或2所述的基于組織的RBAC訪問控制模型，其特征在于:將對(duì)象進(jìn)行分類處理，分為靜態(tài)對(duì)象和動(dòng)態(tài)對(duì)象，靜態(tài)對(duì)象是事先確定好的對(duì)象，動(dòng)態(tài)對(duì)象是在運(yùn)行中才能確定的對(duì)象，對(duì)象具有哪些操作事前不確定，只有在授權(quán)的過程中才能確定。
4.根據(jù)權(quán)利要求1所述的基于組織的RBAC訪問控制模型，其特征在于:引入了更多的約束:. 1 )SC1約束，對(duì)應(yīng)RBAC參考模型中UA的SSD，包括最小權(quán)限約束和靜態(tài)職責(zé)分離約束；. 2)SC2約束，對(duì)應(yīng)RBAC參考模型中角色繼承時(shí)的SSD，包括最小權(quán)限約束和靜態(tài)職責(zé)分離約束，在角色繼承過程中，一個(gè)角色不能同時(shí)繼承具有分配互斥的兩個(gè)角色； . 3 ) SC3:角色的使用范圍約束，約束角色在整體的組織中的適用范圍，其取值包括本級(jí)，本級(jí)及直屬組織，本級(jí)及下級(jí)組織(子孫組織)，不限制；. 4)SC4約束，對(duì)應(yīng)RBAC標(biāo)準(zhǔn)中PA的SSD，在本模型中特化為“能夠建立關(guān)系的角色和對(duì)象必須隸屬于同一個(gè)組織”；. 5)DC1約束，對(duì)應(yīng)RBAC規(guī)范中Session建立時(shí)的DSD，包括最小權(quán)限約束和靜態(tài)職責(zé)分離約束； 6)DC2:角色在組織間共享策略約束，可能的策略包括向上共享，同父下的同級(jí)共享。
【文檔編號(hào)】G06F21/31GK103605916SQ201310649836
【公開日】2014年2月26日 申請(qǐng)日期:2013年12月6日 優(yōu)先權(quán)日:2013年12月6日
【發(fā)明者】常玉濤, 舒疆紅, 竇文斌 申請(qǐng)人:山東高速信息工程有限公司