（计算机应用技术专业论文）基于角色的权限控制研究及其在cad协同设计中的应用.pdf

浙江大学硕士学位论文摘要 摘要 c a d ( c o m p u t e ra i d e dd e s i 皿) 计算机辅助设计，是制造业企业产品设计时 非常重要的工具。本文以c a d 软件s o l i d w o r k s 的研究与开发为背景，通过分析 s o l i d w o r k s 系统对权限控制的需求，针对传统权限控制的不足，提出了一种新的 系统权限控制模型。 首先，本文简要介绍了c a d 系统权限控制的研究背景，分析了国内外研究存 在的不足。探讨了权限控制技术的相关理论，重点剖析了r b a c 技术，并在此基 础上提出了本文的研究方向，即基于r b a c ( r o l e b a s e da c c e s sc o n t r 0 1 ) 思想的 c a d 环境下的权限控制。 其次，分析和研究了c a d 系统对权限控制的需求以及c a d 系统权限控制的相 关对象，提出了属性约束委托模型。r b a c 模型是在集中式的背景下提出来的， 在协同环境下，系统的管理工作异常繁重，完全依赖系统管理者参与系统中的所 有授权行为，将严重加剧了系统的管理负担。本论文在模型中引入委托的机制， 并将属性引入到委托模型中，建立一个属性约束的用户用户委托模型。该模型对 现有的用户用户委托操作进行改进，将属性加入到委托过程中，实现委托约束的 扩展，保证了用户用户委托过程的安全性，从而使得委托过程更加安全和方便。 最后，采用面向对象的编程语言v i s u a lc + + 6 o 对s o l i d w o r k s 进行二次开发， 运用本文的研究成果，理论与实践相结合的研究方法，给出了所提模型的实际应 用案例和模型实现框架。通过对实际应用案例的详细分析，说明了属性在委托过 程中所起到的重要作用，也表明在委托过程中引入属性的必要性和可行性。经过 测试表明，该系统授权严格灵活，有效避免了越权操作，实现了对单个数据单元 的权限控制，增加了数据访问的粒度，保证了数据的安全，基本满足了实际的需 要。 关键词：c a d ，i m a c ，权限控制，委托，属性 浙江大学硕士学位论文 a b s t m c t a b s t r a c t c a d ( c o m p u t e r 加d e dd e s i 驴) i sat i e c l l l l o l o g ) ，t om 锄a g et 1 1 ep r o d u c t r e l a t e d i i l f o n n a d o na n dp r o c e s s b a s e do nt h es t u d y 甜l dr e s e a r c ho ft t l es 0 仔w a r es o l i d w o f i ( s f o rc a d ，t h j sp a p e rp r o p o s e sam wp e m l i s s i o nc o n t r o im o d e li 1 1t l l es o 小v a r eb y a n a l y z i i l gt l l ed e m 觚d s 锄dd e 6 c i e n c yo ft r a d i t i o n a lp e m i s s i o nc o n t r o li i ic a d f i r s u y ，m ep 印e ri i l 仃0 d u c e st h er e s e a r c hb a c k g r o u n do fp e m i s s i o nc o n n o l 洫 c a da n d 觚a l y z e st l l ed e f i c i e n c yo fh o m ea n da b r o a dr e s e a r c h t h e nm r o u 曲 d i s c u s s i n gr e l a t e dt l l e o 巧o fp e 肌i s s i o nc o n t r o l 锄di m a c ( r o l e b 2 l s e d a c c e s s c o n 们1 ) t e c h n o l o g y ，“p u l sf 0 例a r d 虹嫩i 出a c b a s e dp e m i s s i o nc o n 臼0 li i ic a d i s t h er e s e a r c hd i r e c t i o i l s e c o n d l y ，t ：h ep 印e ra n a l y z 鹧a n ds t u d i e sm ed e m a r i d a n dt h eo b j e c t so f p e r m i s s i o nc o n t r o l 证c a d ，b r i n g i i l gf o m ，a r dt h cc o n c 印to fa 删b u t er c s t r i c t e d d e l e g a t i i d e l 1 kr b a cm o d e lw a sm n gf o 刑a r d u i l d e rt h eb a c k 鲫d0 f c e n t m l i z e ，i td o e s n ta d e q u a t ei nl a r g e - s c a l ec o o p e r a t i v ed e s i 印s y s t e m t h e m 锄a g e m e n to ft l l es y s t e mp l a y sav e 巧i m p o r t a n tr o l ei i l 也ec o o p e r a t i v ee r 讯) i l n l e n t n 、v o u l di n c r e a t h em 锄a g e m e n tl o a do fm es y s t e mi fa l lt l l ea u t h o r i z a t i o nw e r e c o m p l e t e l yd e p e n do nt h es y s t e mm a n a g e r t h ep a p e rp r o p o s e 雒a n r i b u t er e s t r i c t e d d e l e g a t i o nm o d e l ，肌d 砷i r o d u c e 甜曲u t ei n t od e l e g a t i o nm o d e l ，t 1 1 u s m a k e 锄 a 嘶b u t er e s 仃i c t e du s e rt ou s e rd e l e g a t i o nm o d e l 1 1 1 em o d e lc 觚e n s u r en l es e c u r i t yo f u s e rt ou s e rd e l e g a t i o nb yi i l l p r o v i n go nt h ed e l e g a t i o no p e r a t i o n f i n a l l y ，w ep r o 铲锄m e db y 嘶e c 州e n t e dp r o 目砌l a n g u a g ev i s u a lc 抖6 o f o r s o l i d w 6 d ( ss o 胁a r e 印p l y i n gt h er e s e a r c ha n dt l l et l l e o 巧1 1 1 i sp a p e r 酉v e sar e a j 印p l i c a t i o nc a s e 锄dt h ei n l p l e m e n t a t i o n a r e rat h r o u g i l 鲫m y s i so ft h ec a s e ，i t a d d r e s s e st h ei i i l p o r t a i l c eo fa t t r i b u t ei nd e l e g a t i o nt os h o wt h ei m p o i r t a r l c eo f i n t r o d u c e sa t t r i b u t ei n 协d e l e g a t i o n b yt e s t i n g ，i ts h o w sm a tt i l i ss y s t e mi ss t r i c ta n d n e x i b l ei i la u t l l o r i z a t i o 玛a v o i d i r 喀e x c e e d i r 培t h ea u t h o r i t ye f l e c t i v e l y ，i m p i e m e n t i n g s e c u r i t ) ，c o m r o lt oo n ed a t ac e l l ，a d d i n gt h e 伊a n u l a r i t yo f a c c e s s ，e n s 埘n gd a t a s e c u r i t ) ra l l dc a n m e e tt 1 1 en e e d so f p r a c t i c ep e r l e c t l y 浙江大学硕：学位论文 a b s t r a c t k 叼唧o r d s ：c a d ，r b a c ，p e m i s s i o nc o r l 仃o l ，d e l e g a t i 吣从曲u t e 浙江大学硕士学位论文 图目录 图目录 图2 1 三层数据存储模式8 图2 2 访问控制原理1 0 图2 3r b a c 核心模型1 2 图2 4r b a c 授权模型l 3 图3 1 角色层次图示例17 图3 2 u m 模型2 4 图3 3 管理角色层次图2 6 图4 1 某c a d 公司角色设置3 5 图4 2 系统的s o l i d w b r l ! ( s 插件4 4 图4 3s o l i d w b r l ! ( s 启动插件后界面4 4 图4 4 用户委托界面4 5 图4 5 受委托用户职责界面。4 6 图4 6 委托撤销界面4 6 i i i 浙江大学硕士学位论文 表目录 表目录 表4 1 角色所拥有的权限3 6 表4 2 权限对用户的约束条件3 7 表4 3 用户基本信息表4 0 表4 4 角色信息表。4 l 表4 5 权限信息表4 2 表4 6 用户角色指派表4 2 表4 7 角色权限指派表4 2 表4 8 角色互斥关系表。4 3 表4 9 权限互斥关系表4 3 i v 浙江大学研究生学位论文独创性声明 本人声明所呈交的学位论文是本人在导师指导下进行的研究工作及取得的 研究成果。除了文中特别加以标注和致谢的地方外，论文中不包含其他人已经发 表或撰写过的研究成果，也不包含为获得盘鎏苤堂或其他教育机构的学位或 证书而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文 中作了明确的说明并表示谢意。 学位论文作者签名： 签字日期：7 帕g 年7 月k 日 学位论文版权使用授权书 本学位论文作者完全了解迸鎏盘堂有权保留并向国家有关部门或机构 送交本论文的复印件和磁盘，允许论文被查阅和借阅。本人授权堑江盘堂可 以将学位论文的全部或部分内容编入有关数据库进行检索和传播，可以采用影 印、缩印或扫描等复制手段保存、汇编学位论文。 ( 保密的学位论文在解密后适用本授权书) 学位论文作者签名： 签字日期：侧踌 囤忆 n 月f 土日 占 1 f 户 lyb仃1， 旋柞加 孙 期 蟹 咽 j l _ 广 蜊 导 刷 签 浙江大学硕士学位论文第l 章绪论 1 1 课题背景 第1 章绪论 计算机网络的发展和企业计算机应用的普及都使c a d 成为企业当前的应用 热点，因此，c a d 系统的安全性问题更应该得到高度的重视。但是，一方面c a d 系统的权限控制技术的研究仍落后于c a d 技术本身的发展，另一方面c a d 系统的 安全问题似乎还未引起人们足够的重视，商品化的c a d 软件仍存在令人担忧的访 问控制漏洞。主要表现在以下几个方面【1 2 1 ： ( 1 ) 权限控制技术的研究还未引起足够的重视 随着网络技术的发展和网上应用的日益增加，信息安全问题日益突出。当前 信息安全技术主要包括密码技术、身份认证、访问控制、入侵检测、风险分析与 评估等诸多方面。在实际应用中，这些安全技术相互支持与协作，各自解决安全 问题的某一方面。但目前人们关注的重点是密码技术、身份认证、防火墙技术等， 对c a d 系统的权限控制技术还没有给予应有的重视。事实上，权限控制是c a d 系 统不可缺少的安全措施，它对保护系统资源的安全具有非常重要的意义。 ( 2 ) 访问控制技术的研究与c a d 的研究缺乏有机结合 访问控制技术起源于7 0 年代，主要是为了满足管理大型主机系统上共享数据 授权访问的需要。但随着计算机技术和应用的发展，先后出现了多种重要的访问 控制技术，包括自主访问控制、强制访问控制和基于角色的访问控制，它们的基 本目标都是防止非法用户进入系统和避免合法用户对系统资源的非法使用【3 1 。尽 管访问控制技术本身得到了长足的发展，但在c a d 的工作环境中如何有效运用访 问控制技术，这方面的研究并不多见。 ( 3 ) c a d 技术本身的发展给c a d 环境中的访问控制提出了挑战 对于产品设计而言，通过网络化的手段可以帮助设计师及其企业改造传统的 设计流程，创造一种顺应人性的设计环境。同时，在基于网络协同完成设计任务 浙江大学硕士学位论文第l 章绪论 的同时，与制造、商务等的全面融合更带来了技术和应用两个领域革命性的进步。 随着w e b 技术的不断渗透，支持w e b 协同设计方案的c a d 软件已经出现并趋于成 熟。借助于互联网的跨地域、跨时空的沟通特性和近乎无限的接入能力，c a d 软 件的团队协作能力可以直接利用互联网进行【4 1 。从其发展可以看出，c a d 涉及到 的人员范围和工作环境在不断地扩大，不再只局限于一个企业或一个地区，分布 于全球不同企业的相关人员可能在同一个c a d 环境下工作，数据和过程变得异常 复杂，保证数据的安全性显得更加重要，这样就对c a d 环境中访问控制技术提出 了严峻的挑战。 ( 4 ) 访问控制技术在c a d 环境中应用效果不甚理想 基于角色的访问控制是一种先进的访问控制技术，在大多数商用软件系统中 也有较广泛的应用。但是，由于企业规模和工作方式的不同，基于角色的访问控 制会有多种不同的实现方式，有时为了解决企业中的某个实际问题，部门与角色、 角色之间可能建立一定关系，这方面的研究很多，但大多数都局限于某个细节， 而忽略了全局的考虑。在c a d 集成环境中，用户对特定数据的访问并不是一成不 变的，数据处于生命周期的不同阶段或流程的不同步骤时，用户对数据的访问权 限是动态变化的，这种动态权限的管理在现有c a d 系统访问控制中并没有得到很 好的解决。企业经过多年的发展，某些用户或角色对处于不同生命周期阶段的数 据访问权限可能具有某些规律性，如果不总结这些规律，完全依靠权限控制人员 手工授权，必然导致授权繁琐，效率低下。 对c a d 环境下的访问控制进行研究，保证数据的安全具有极其重要的意义。 现在c a d 产品数据及数据的关系越来越复杂，对数据的安全性要求也越来越高， c a d 系统要使这些不断变化的复杂数据从逻辑结构上保持一致，使整个企业所有 使用者都能按要求方便地存取、访问相关信息而不被非法用户窃取，就必须建立 一个完整的安全控制体系，把大量、复杂的产品数据按一定的关系组织起来，实 现对产品数据的有效组织和监控，保证产品数据的安全。 2 浙江大学硕士学位论文第l 章绪论 1 2 国内外研究的不足 随着企业信息化的不断推进，国内外已经有众多的企业在实施信息化管理， 这是企业提高竞争能力、降低产品开发成本和周期的一条有效途径，也是一个不 可阻挡的发展趋势，其中，数据的安全是企业关注的焦点问题。然而，国内外对 访问控制技术的研究在c a d 系统中的应用存在着些不足，特别是在这种复杂环 境下访问控制技术研究中更加突出： ( 1 ) 访问权限直接授予用户个体，这给安全管理带来代价大、复杂、易出错 和难以保持最新状态等问题。 ( 2 ) 从软件技术领域出发对访问控制进行了较多研究，如数据库、w e b 应用、 操作系统等，却很少深入地对c a d 环境中的实际访问控制需求进行系统的研究。 ( 3 ) 典型的i m a c ( r o l e b a s e da c c e s sc o n t r 0 1 ) 【5 删模型在用户和访问权限之 间引入了角色的概念，它的基本特征就是根据安全策略划分角色，对每个角色分 配操作许可，为用户指派角色，用户通过角色间接地对信息资源进行访剐9 以0 1 。 但r b a c 中的约束模型不够完善，实际上只是个框架，不同的应用系统约束模型 不同，对c a d 环境中访问控制约束模型相关的组织模型、资源模型和过程模型等 缺乏相应的研究。 ( 4 ) 在c a d 访问控制建模过程中缺乏对实现和性能的考虑，导致许多模型授 权繁琐，实现困难，性能较低，可扩展性差。 ( 5 ) 同一企业不同项目平台上的安全系统独自进行各自的安全管理，而且系 统中没有一个统一的用户访问模式，这些都给整个网络的安全管理在维护、协调、 跟踪和审计等方面带来很大的难度。 ( 6 ) 企业应用的c a d 系统中的权限控制还不够精细，一些权限的规定模糊、 不明确，容易导致权责不明。 就当前的c a d 系统而言，c a d 技术还需要不断完善，其适应性在某种程度上 还不太强，企业采用的c a d 系统还不能完全有效的解决企业中的诸多问题。在繁 琐的设计和管理工作中，合理的权限控制如果可以在企业中成功实施，对于企业 浙江大学硕上学位论文第l 章绪论 中c a d 数据文件的完整性、一致性和安全性都有极大的帮助。基于角色的访问控 制r b a c 是一种已经被公认为较适合在大型企业的计算机网络实施访问控制的访 问控制技术，它在用户和访问权限之间引入了角色的概念，避免了直接授权给用 户。 参照权限控制技术的研究背景和研究现状，本文在基于角色的访问控制 r b a c 的基础上，对c a d 用户增加了动态约束，使授权机制更加的严格灵活；对 角色权限授予和角色继承增加了优先级约束，即优先继承优先级别高的角色和权 限，从而可以实现角色继承同时又很好的避免了权限冲突；把对象进行了详细分 类，根据对象不同配置不同的权限，实现了对一个数据单元的权限控制，大大提 高了权限配置的粒度。通过本文这样的设计和改进，可以实现一种管理高效、授 权灵活、权责明确的权限控制，使授权粒度更加的精细，从而很好的解决权限控 制中出现的权限规定模糊、权责不明的问题。 1 3 课题来源及主要研究方法 本文针对c a d 系统中权限控制技术的研究现状及当前研究的不足，以开发软 件s o l i d w o r l ( s 系统的研究与开发为背景，基于s o l i d w o r l 【s 系统数据统一平台的构 建以及产品结构配置、图文档管理、物料编码和权限控制的研究。本文工作受国 家高技术研究发展计划( 8 6 3 计划) 项目“网络环境中共享c a d 模型的数据安全 技术”( 2 0 0 7 a a 0 4 2 1 a 5 ) 的支持。 随着企业信息化进程的不断深入，原有的c a d 系统的权限控制在功能上和性 能上都无法满足企业信息化发展的需要。企业对c a d 的权限控制f 1 1 1 3 j 提出了新的 需求，适应产业发展的需要。因此，本文的目标是希望建立具有扩展性和集成性 的c a d 权限控制系统，满足企业对权限控制系统功能和性能的要求，主要采用以 下几点研究方法： ( 1 ) 运用计算机理论中有关构建权限控制系统的原理和方法，结合产品数据 管理系统的数据特点，设计合理的权限控制模型。 ( 2 ) 采用组件化的设计思想，抽象系统功能组件的数据模型，构建系统的功 4 浙江大学硕士学位论文第l 章绪论 能组件的应用框架，满足系统扩展性的要求。 ( 3 ) 结合有效的编程技术，实现各种优化算法和设计模式，保证系统的高效 性。 1 4 本文主要工作 本文以s o l i d w o r k s 系统数据统一平台的构建，并以其产品结构配置、图文档 管理、物料编码和权限控制的开发为背景，进行了权限控制系统平台的设计和开 发，主要工作归纳总结如下： ( 1 ) 通过分析c a d 中权限控制技术的研究背景，明确c a d 系统中权限控制技 术研究的重要性，探讨基于c a d 系统权限控制技术的研究现状和相关理论，重点 分析了基于角色的访问控制技术。 ( 2 ) 在基于角色的访问控制技术基础上建立一种c a d 系统的权限控制模型， 分析和研究了c a d 系统权限控制的相关对象，提出在i m a c 模型中引入委托的机 制，提出了属性约束的用户用户委托模型。对现有的用户用户委托操作进行改 进，将属性加入到委托过程中，实现委托约束的扩展，从而保证了用户一用户委托 过程的安全性。针对受托者的选择，提出了两种受托者集合的概念，从而有助于 委托者对受托者的选择。同时，给出了属性约束的用户用户委托撤销的基本过程。 ( 3 ) 采用分层的思想对系统层次结构进行划分；使用面向对象的编程语言 v i s u a lc + + 6 0 为开发语言进行系统的开发和实现。 ( 4 ) 运用本文的研究成果，理论与实践相结合的研究方法，给出了所提模型 的实际应用案例和模型实现框架。 1 5 本章小结 本章分析了c a d 系统权限控制的研究背景，明确了c a d 系统权限控制技术 研究的重要性；分析了目前研究存在的不足，并在此基础上提出本文的研究方向， 即c a d 中基于i m a c 的权限控制的研究与实现；最后简要介绍了本文的课题来 源、研究方法及主要工作。 浙江大学硕士学位论文第2 章权限控制的相关理论 2 1 引言 第2 章权限控制的相关理论 权限控制系统主要是用来控制和管理系统用户对系统资源的访问。其目的是 更好地保护和使用系统的信息资源，提高系统信息数据的安全性。权限控制系统 是企业信息安全的重要组成部分，它负责对登录系统的用户进行身份认证以及对 用户所访问各种信息资源的操作进行控制。权限控制系统从企业信息系统出现地 那天起，就一直存在并发展至今。从最早的中央式集权管理模式下的权限系统， 到现在b s 下的基于角色访问控制系统，企业权限控制系统经历了不断的改进。 目前，由于企业信息系统的迅速普及以及各个企业内部信息管理的不同，企业信 息系统对权限控制系统在易用性、灵活性、安全性上的需求越来越高。因此，只 有一个数据访问性能高、使用简单、灵活的权限控制系统才能使产品项目管理得 以很好的实施。 一个完整的权限控制系统包括用户身份验证和数据访问控制两部分，而目前 身份验证的技术己经比较成熟，因此本文主要是针对权限控制系统中的访问控制 部分进入了深入的分析，并且设计出了一种结合项目特点的访问控制模型。 2 2 权限控制的基本要素 权限控制是指在某一项目中，根据人员( 组织、角色) 的不同，对处于不同 状态和位置的对象，分配不同的操作权利。在c a d 系统中，权限通常分为流程权 限和对象权限两种。所谓“流程权限 是指当数据在流程中时，根据流程步骤的 不同需要为该步骤的执行者动态的授予一些相应操作的权限，当该流程步骤结束 时，权限被自动收回。所谓“对象权限是指单纯根据数据对象和操作者的不同 而给出的权限。 根据以上给出的定义和分析，可将“权限控制”分为五个组成要素：人员、存 储位置、数据、状态和操作。以下分别对每个要素及其在权限控制中的作用进行 6 浙江大学硕士学位论文 第2 章权限控制的相关理论 详细的分析： ( 1 ) 人员 一个企业中人员组织的形式主要有以下三种：静态组织机构型、动态项目型 和混合型。静态组织机构型：在这种组织形式中人员是以相对固定的部门或专业 组划分的，每个部门或专业组的人员通常完成一种类似的工作。动态项目型：在 这种组织形式中人员是根据某一项目开发任务临时组织起来的，在一个项目组中 通常包括设计、工艺、标准化等多种工作性质不同的成员，各成员之间存在相互 的关联。混合型：这种组织形式是将前两者结合起来，即一方面每个人都属于特 定的部门或专业组，由部门或专业组的负责人对其进行管理，另一方面同一部门 或专业组的不同个人又会参与不同的项目，在项目的进行过程中，对该项目的负 责人负责，目前大多数的企业都采用这种混合型的组织形式。 对于静态组织机构型的企业，权限管理是依据组织机构的划分和行政级别来 确定操作权限的；对于动态项目型的企业，在权限控制中是依据用户在项目中的 不同角色来确定操作权限的；而对于混合型的企业而言，权限控制常常是以项目 角色作为主线，以行政级别和组织机构作为补充。 ( 2 ) 数据 在c a d 中存在多种不同类型的数据，如零件、部件、装配图等。在权限控制 的设计中，对于不同类型的产品数据通常有不同的访问权限。一般的零件图、装 配图与总装配图通常具有浏览、修改、复制等不同的访问权限；而对于某些特定 类型的文档，如与项目相关的文档等，一般不允许普通的设计或工艺人员浏览。 ( 3 ) 存储位置 在传统的纸制文档管理模式下，图纸和文档在打印为纸制版本后，由专门的 档案人员进行归档和管理，只有拥有相应权限的人员才能从档案部门获得图纸。 在电子化文档管理模式下，采用个人工作区、共享数据区( 共享数据仓库) 、归 档数据区( 归档数据仓库) 三层的如图2 1 所示的数据存储模式，对数据进行管 理。个人工作区中的数据为用户个人所有，通常是正在设计或编制中的对象，用 户对自己个人工作区中的对象具有全部的权限合共享数据区中的数据通常是在 7 浙江大学硕士学位论文第2 章权限控制的相关理论 流程中的数据或尚未经过批准正式发布的数据；归档数据区中则是经过审签正式 发布的数据。采用三层数据存储模式，一方面保证已经审签过的数据进行归档保 管，同时又限制了其访问权限：另一方面，充分发挥方便信息共享的优势，对共 享数据区中的对象，允许流程中的相应人员对数据进行浏览、修改、检入( c h e c k i 1 1 ) 、检出( c h e c ko u t ) 等操作。 图2 1 三层数据存储模式 ( 4 ) 状态 对数据的访问权限是与该数据所处的状态密切相关的，数据的状态决定了该 数据在其生命周期中所处的不同阶段。当数据刚刚被创建时，通常其创建者可以 对其进行所有的操作，但当该对象进入流程后，删除、修改等权限都将受到相应 的限制。同时，在数据的审签过程中，对应每一个不同的审签阶段，相应的审签 人员对数据进行相应的操作。 ( 5 ) 操作 在c a d 系统中相关的基本操作通常有：创建、修改、浏览圈阅、查询、删除、 复制、打印等。由于不同的操作对数据会产生不同的影响，所以对其权限限制的 严格程度也不同。通常对于查询这种对数据基本不会产生影响、且不会出现安全 问题的操作，权限的限制相对比较宽松，这在另一方面也是为了提高数据的共享 8 区 区 区 作 据 据 工 数 数 臣氐一 浙江大学硕士学位论文第2 章权限控制的相关理论 程度；但对于删除、复制、打印等会对数据产生重大影响或出现安全隐患的操作， 权限的限制相对严格，以保证企业知识产权的安全。 权限控制中的各要素不是孤立的，而是相互紧密联系、互相影响的。通常系 统中的一个人员可以对种或多种数据，完成一种或多种操作；而系统中的一个 数据通常对应着一个或多个存储位置，在不同的存储位置又对应了一种或多种状 态。权限控制的过程就是充分考虑各种要素合理协调其相互关系的过程。 2 3 权限控制的原则 权限控制是用来控制用户对数据的操作能力，对用户访问数据的控制要考虑 到信息的安全性和用户使用的方便性。合理的规定用户对数据可执行的操作，可 以支持业务流程的顺利进行和保证数据的完整性，同时通过权限控制还可以过滤 用户不感兴趣或不需要的信息和操作，可以简化操作界面，方便用户的使用。结 合以上对权限控制基本要素的分析，提出如下的权限控制原则： ( 1 ) 方便用户共享和使用 提高c a d 数据的共享程度，方便数据的查找和访问，从而提高工作的效率和 质量。因而在设计权限控制时需要把握的原则是要在保证数据安全性的前提下， 尽量方便用户的使用和数据的共享。 ( 2 ) 支持使用动态授权 本文一个很重要的目的是要在权限控制中要兼顾权限原则的权威性和使用 的方便性，允许用户在满足一定的条件下或经过特定审批流程后，为其他用户授 予临时的权限，使设计能够顺利的进行。 ( 3 ) 支持多种人员组织结构 如前文所述，目前大多数企业中都是采用混合型的人员组织形式，因此就要 求权限的设计要能够同时满足不同组织形式下对数据的访问要求。 2 4 访问控制技术 访问控制【1 乒1 5 】( a c c e s sc o n 们1 ) 就是通过某种途径显示的准许或限制访问能 9 浙江大学硕士学位论文第2 章权限控制的相关理论 力及范围的一种方法，其基本目标是防止非法用户进入和合法用户对系统资源的 非法使用【1 6 1 。其实质是通过安全访问规则限制访问主体( 用户、进程、服务等) 对客体( 程序、文件等) 的访问权限，从而使计算机系统在合法范围内使用。只 有经过授权的用户向系统正确提交并验证通过了自己的身份后，才允许访问特定 的系统资源。常见的访问控制策略有：自主访问控制【1 7 _ 1 8 j 、强制访问控制1 9 之o 】等。 访问控制包括三个要素，即：主体、客体和控制策略f 2 1 捌。主体( s u b i e c t ) ：是指 一个提出请求或要求的实体，是动作的发起者，但不一定是动作的执行者；客体 ( o b i e c t ) ：是接受其他实体访问的被动实体；控制策略：是主体对客体的操作 行为集和约束条件集。简单讲，控制策略是主体对客体的访问规则集，这个规则 集直接定义了主体对客体的作用行为和客体对主体的条件约束。访问策略体现了 一种授权行为，即客体对主体的权限允许。 访问控制规定了哪些主体能够访问哪些客体，以及访问权限的大小，它的一 般原理如图2 2 所示。在主体和客体之间加入了一个访问控制系统，由它来负责控 制主体对客体的访问。访问控制系统是访问控制中最主要的部分，它依据访问控 制信息来判断主体对客体的访问操作权限。 访问控制决策功能 图2 2 访问控制原理 访问控制的实现首先要考虑对合法用户进行验证，然后是对控制策略的选用 与管理，最后要对非法用户或是越权操作进行管理。所以，访问控制包括认证、 控制策略实现和审计三方面的内容： i o 浙江大学硕：上学位论文第2 章权限控制的相关理论 ( 1 ) 认证：主体对客体的识别认证和客体对主体检验认证。主体和客体的认 证关系是相互的，当一个主体受到另外一个客体的访问时，这个主体也就变成了 客体。一个实体可以在某一时刻是主体，而在另一时刻是客体，这取决于当前实 体的功能是动作的执行者还是动作的被执行者。 ( 2 ) 控制策略的具体实现：设定规则集合从而确保正常用户对信息资源的合 法使用，既要防止非法用户，也要防范敏感资源的泄漏。对于合法用户而言，更 不能越权行使控制策略所赋予其权力以外的权力。 ( 3 ) 审计：审计的重要意义在于，记录用户的相关权限操作，防止职权滥用 和越权行为。比如管理员有操作赋予权，在策略中无法对他的这些权限操作进行 约束，必须对他的这些操作进行记录，从而达到威慑其权限实施和保证访问控制 正常实现的目的。 2 5 基于角色的访问控制i 出a c 技术 2 5 1r b a c 基本思想 基于角色的访问控制的基本思想就是根据安全策略划分出不同的角色，资源 访问许可被封装在角色中，用户被指派到角色，用户通过角色间接地访问资源【2 3 1 。 其核心思想就是将访问权限与角色相联系，通过给用户分配合适的角色，让用户 再与访问权限相联系。角色是根据企业或项目中完成各种不同的任务需要而设置 的，根据用户中的职权和责任来设定他们的角色。基于角色的策略实现了用户权 限和访问权限的逻辑分离，极大的方便了权限管理。 2 5 2r b a c 基本概念 i m a c 核心模型1 2 4 】是最基本的r b a c 模型( 如图2 3 ) ，它定义了i m a c 模型 的基本元素和各元素之间的关系，该模型支持角色访问控制的最小特权原则，体 现了最基本的角色控制思想。它也是一个完整的严格的数学模型，其中术语定义如 下【2 5 1 - 用户( u s e r ) ：指企业或项目中具有用户名和密码的员工个体。 浙江大学硕士学位论文 第2 章权限控制的相关理论 角色( r o l e ) ：用一般业务系统中的术语来说，就是业务系统中的岗位、职 位或者分工。如：项目经理、设计人员、工艺人员、系统管理员等。 权限( p e n n i s s i o n ) ：就是对某些对象如图文档、订单、产品对象、零部件对 象等的具体的操作，一般包括浏览、读取、写入、修改、删除、添加、打印等。 会话( s e s s i o n ) ：表示一个用户和一个角色子集的映射关系，用户是一个静 态概念，话则是一个动态概念，一次会话是用户的一个活跃进程，它代表用户与 系统进行交互。一个用户可建立多个会话，但一个会话只允许一个用户参与。 操作( o p e r a t i o n ) ；一个程序的可执行动作，是程序激发用户需要执行的动 作。r b a c 的操作类型依赖于其实现的系统的类型。在文件系统中，操作可能包 括浏览、复制、打印等；在数据库系统中，操作可能包括插入、删除、更新等。 用户分配( u s e r a s s i g m n e 咄u a ) ：根据用户在组织中的责任和能力被赋予 对应各个角色的成员。它是用户集u 到角色集r 的一种多对多的关系，即有 u a c u r ，也称为角色授权( r - o l e 姚r i z a t i o n ) 。( u ，r ) u a 表示用户u 拥有角 色r 。从语义上来讲就表示用户u 拥有角色r 所具有的权限。 权限分配( p e 珊i s s i o na s s i 卸m e n t ，p a ) ：指角色按其职责范围与一组操作权 限相关联，用户通过被指派的角色间接访问资源。进行权限分配时，应遵循最小 特权原则。权限分配是权限集p 到角色集r 的一种多对多的关系，即有p a 互p x r ， ( p ，r ) p a 表示权限p 被赋予角色r ，从语义上来讲就表示拥有角色r 的用户拥有权限p 。 图2 3r b a c 核心模型 1 2 浙江大学硕士学位论文第2 章权限控制的相关理论 2 5 3r b a c 授权模型 由图2 4 可知，i m a c 授权模型主要由三部分组成，即用户、角色和权限。 通常情况下，一个角色应被赋予一定的操作权限，这就使得角色和权限之间是多 对多的关系。系统的合法用户应被赋予一定的角色，一个用户可以同时被赋予多 个角色，不同的用户也可以拥有相同的角色，这就使得用户和角色之间也是多对 多的关系。为了有效地控制角色冲突，r b a c 授权模型利用了会话功能，即当一 个用户被赋予多个角色且这些角色又分属于不同会话组时，可以通过激活某一个 会话，使用户只能扮演该激活会话组中包含的角色，其它会话组包含的角色暂时 禁用。限制机制是角色授权与用户赋予角色等的约束【2 6 1 。 角色继承( r h ) 管理角色继承 ( a r h ) 图2 4r b a c 授权模型 浙江大学硕士学位论文第2 章权限控制的相关理论 2 5 4i m a c 基本原则 r b a c 技术主要遵循以下原则【2 7 2 9 】： ( 1 ) 角色继承原则 砌a c 模型为了提高效率，避免权限的重复设置，引入“角色继承 的概念， 即角色在拥有自己的权限和属性时还可以继承其他角色的权限和属性。角色的继 承关系构成了角色的偏序层次关系结构，能够很自然的反映结构内部成员之间的 权力责任问题。 ( 2 ) 最小特权原则 在r b a c 中，根据最小特权原则的要求，依据企业组织内的规章制度、岗位 权责来设计拥有不同权限的角色，使其权限不超过它执行所需的权限。当一个主 体访问某个资源时，若该操作不在主体当前活跃角色的授权内时，该访问将被拒 绝。 ( 3 ) 职责分离原则 职责分离分为静态和动态两种，在；a c 中，职责分离是通过角色互斥机制 实现的。静态职责分离原则：只有当一个角色与用户所属的其他角色彼此不互斥 时，该角色才能授权给该用户，即管理员给用户授予角色时，互斥的角色不能同 时包含在某个用户的角色集中。动态职责分离原则：只有当一个角色与一个主体 的任何一个当前活跃角色都不互斥时，该角色才能成为该主体的另一个活跃角 色。即动态互斥的角色可以同时包含在某个用户的角色集中，但用户为某此会话 选择角色时不能同时激活一个以上的角色。 2 5 5r b a c 模型的优点 r b a c 模型的访问控制策略主要体现在三种关系上：用户和角色问的关系， 角色和权限间的关系以及角色间的关系，这三种关系决定了某个用户是否有权访 问某个资源。精确定义这些关系，可以实现复杂的访问控制策略。 首先，i 璐a c 是一种与策略无关的访问控制技术，它不局限于特定的安全策 略，几乎可以描述任何的安全策略，从而在不同的安全域之间进行安全操作。 1 4 浙江大学硕士学位论文第2 章权限控制的相关理论 其次，r b a c 实现了用户与访问资源的逻辑分离，具有较高的安全策略灵活 性和较低的管理负担。在安全管理方面的优势有以下两个方面： ( 1 ) 对权限控制的支持 在r b a c 模型中，整个访问控制分为两个部分：用户与角色相关联、角色与 权限相关联，从而实现了用户与权限的分离。在企业实际中，人员流动相对于岗 位职责的变化要频繁的多，采用传统的访问控制需要做大量的修改工作，而采用 r b a c 模型只要将用户当前分配的角色取消，重新分配代表新职务的角色即可。 ( 2 ) 管理员的职责分离 一旦r b a c 模型角色权限结构建立后，安全管理员日常工作只需要给用户赋 予、修改、撤销角色，不需要太多的技术支持，可由一般行政管理员来执行。而 配置角色权限的工作比较复杂，需要一定的技术，需由专门的安全管理员来完成， 但不需要去处理日常事务。除了方便权限控制、操作简单外，r b a c 控制方法还 可以很好的描述角色间层次关系，实现最小权限原则和职责分离原则，从而有效 降低系统的安全隐患。 再次，简化了系统的权限控制。采用用户一角色一权限模型的授权管理机制， 将角色与用户的岗位责任对应起来，方便了用户的使用。基于角色的访问控制极 大地减少了权限控制的负担和代价。不妨做一个简单的计算：假设m 个权限及n 个用户，如果把每个权限直接授予每个用户，那么需要进行m x n 次授权。如果把 每个权限授予某个角色，再把该角色授予每个用户，那么只需要进行m + n 次授权。 若有l o o 个权限及5 0 个用户，那么将减少5 0 0 0 1 5 0 = 4 8 5 0 次授权，当m ，n 数量增加 时差距将更加显著。 最后，r b a c 模型较好地解决了分布式数据的授权管理，授权方式灵活。 2 6 本章小结 本章介绍了权限控制的相关理论，重点介绍了r b a c 技术，分析了r b a c 技术的基本思想、基本概念、授权模型、基本原则及优点。 浙江大学硕士学位论文第3 章基于属性约束委托的r b a c 模型 第3 章基于属性约束委托的i 强a c 模型 前文已阐述了基于角色的访问控制及管理角色模型。该模型描述了适用于不 同需求，范围的访问控制的需求。i m a c 模型中说明了模型的组成，角色继承关 系，角色限制关系，也描述了管理角色如何进行用户角色分配，角色角色继承， 角色权限分配等问题。由于r b a c 模型描述的全面性，受到了广泛的关注。 但是r b a c 模型只描述了基于一个管理域中的角色管理问题。随着计算技术， 通信技术的发展，网络的应用范围更加广发，网络需求更加复杂，企业内部或者 企业之问原来形成的很多的信息孤岛需要互联，而他们都有自己的角色管理域。 如何在连同这些信息孤岛的时候实现他们之间的角色管理，这一问题在r b a c 模 型中实现是比较困难。 下面提出一种委托机制，该机制是建立在r b a c 模型基础上，通过委托实现 跨管理域的角色管理问题。 3 1 委托机制的提出 在一个大的企业中可能在不同的地域分布很多子公司，每个子公司在业务上 是相对独立的，只是在管理上受到上级子公司或者总公司的管理，对于这样的一 种关系，利用i m a c 模型我们可以完全管理。但是现在随着网络的普及、技术的 发展，公司之间或者公司的内部，不再是只在管理层上是分布的，不同的职能部 门之间也存在一种协作关系，他们之间必须获得资源的共享，信息的及时交流。 比如在医