基于角色的访问控制系统的设计与实现.doc
15页
目 录摘要 ....................................................................7关键词 ..................................................................7第 1 章 绪论 .............................................................71.1 研究背景 ...........................................................71.2 课题研究的意义 .....................................................7第 2 章 RBAC 访问控制技术发展状况 .........................................82.1 国内外发展状况 .....................................................82.2 RBAC 在实际应用方面的意义和价值 ....................................8第 3 章 基于角色的访问控制系统设计与实现 .................................93.1 RBAC 的基本概念 ....................................................93.2 权限树的设计与实现 ................................................103.3 用户管理模块 .....................................................133.4 角色管理模块 .....................................................143.5 权限管理模块 .....................................................153.6 用户角色的授权模块 ...............................................153.7 用户角色的激活模块 ...............................................16第 4 章 系统运行模型 ...................................................174.1 用户认证 .........................................................174.2 安全访问控制 .....................................................184.3 测试验证点 ........................................................18第 5 章 总结与展望 ....................................................18致谢 ...................................................................19基于角色的访问控制系统的设计与实现摘要：访问控制就是当系统资源受到未经授权的非法操作时，能够提供适当的保护措施。
访问控制实质上是对资源使用的限制，决定主体是否可以对客体 执行某种操作本 访问控制系统，通过引入角色的概念，将用户映射为 在一个组织中的某种角色，把访问权限授权给相应的角色，根据用户拥有的角色进行访问授权与控制，有效整合了 传统访问控制技 术的优势，又克服了它 们的不足，使得制订和执行保护策略的过程更加灵活，也 简化了管理员 的管理工作本 访问控制方面采用了基于 RBAC97 的访问控制模型，提出了角色分 级管理算法及授 权增量设置原则，为电力通信资源管理系统的用户、业务、底层数据提供授权、访问控制、及权限管理的功能并提供了一个图形化的角色管理工具来简化管理员的工作；由于本访问控制系统构建于 J2EE 的 MVC 模式之上，并基于RMI 通信技术，使得它能够作 为客户 UI 层与其他各层的中间件，为业务功能层提供授权与访问控制接口，以实现不同功能的业务视图 为底层数据层提供数据控制接口，以实现对不同数据资源的安全访问功能关键词：RBAC 权限管理；角色；反射；自定义属性第 1 章 绪论1.1 研究背景 电力通信资源管理系统是一面向多用户、面向多种电力通信资源具有多个功能模块的大型综合通信资源信息系统。
在电力通信资源管理系统中，将会存在很多的位于不同地理位置和不同层次的管理和操作人员，需要访问控制系统对各种用户的登陆进行验证，对用户的所有操作进行授权，即要给他们赋予一定的访问和操作权限，还要对各个应用区域中的敏感数据和信息进行保密处理，最明显的就是允许/不允许管理员或用户访问并操作管理系统中的重要敏感数据和参数这些都对访问控制系统的设计和开发提出了很多新的要求授权访问控制利用信息访问控制过程中的安全策略，基于此安全策略，在统一的管理和控制策略支配下，对网络行为进行监测和控制，达到对通信资源信息进行安全保护和管理的目的1.2 课题研究的意义基于角色的访问控制策略在网络环境中，能够限制和控制通过通信链路对主机系统和应用的访问为了达到这种控制，每个想获得访问的实体都必须经过鉴别或身份验证它被认为是一种更普遍使用的访问控制模型，可以有效表达和巩固特定事物的安全策略，有效缓解传统安全管理处理瓶颈问题它具有减少授权管理复杂性，降低管理开销，并能提供与综合系统组织结构相一致的安全策略的优势，被公认是大型信息管理应用环境中实现授权管理的最佳方案第 2 章 RBAC 访问控制技术发展状况2.1 国内外发展状况RBAC(Role-Based Access Control)是近年来在信息安全领域访问控制方面的研究热点和重点。
它和 DAC、MAC 称为三大访问控制策略第一次使用 RBAC 术语，是 David Ferraiolo 和 Rick Kuhn 于 1992 年在美国国家标准技术局的第 15 届国家计算机安全会议提出来的之后，出现了各个不同 RBAC模型，其中，以 Ravi Sandhu 等人提出的 RBAC96 模型最为典型，从而掀起了一股研究 RBAC 的浪潮1995 年 11 月召开了第一次 ACM-RBAC 大会清题为基于角色访问控制的 ACM 大会)，在这次大会中所有专家一致认为基于角色的访问控制和技术非常实用，应该继续深入探讨在 RBAC 研究历程中，1996 年美国 George Mansion Univ.Ravi S.Sandhu 教授在 IEEE computer 上发表的一篇学术论文《Role-Based Access Control》 在该文中 Sandhu 教授正式提出了 RBAC96 模型家族，它对 RBAC 进一步的深入研究奠定了基础此后国内外研究者在 RBAC96 模型家族的基础上提出了许多扩展模型目前国外 RBAC 研究机构主要是美国 NIST 和 George Mansion Univ.LIST 实验室（Prof.Ravi.Sandhu） 。
NIST 主要是进行 RBAC 及其相关模型的标准化工作，LIST 侧重于对 RBAC、RBDM 及其扩展模型的创建、形式化描述，评价分析，以及在web 中的应用等国内最早的相关学术论文是 1994 年华中理工大学马建平的硕士学位论文《一种无干扰的访问控制模型》 而国内与国外比较，国内主要是学术机构如中国科学院软件研究所和华中科技大学计算机科学与工程系，他们正在对 RBAC 模型扩展和应用方面进行深入的研究尚无比较成熟基于角色的访问控制(RBAC)及应用研究的 RBAC 安全访问控制产品2.2 RBAC 在实际应用方面的意义和价值RBAC 模型不可能单一，可以从非常简单到非常复杂，实际上 RBAC 是一个没有边界的模型同时，这方面的研究也才刚刚开始，如管理模型、授权和个性化和跨组织分布式系统等等因此，RBAC 还有非常丰富的研究领域对于一个大型系统，角色的数量成百上千，管理这些角色和它们之间的关系将会是一个可怕的任务，如何有效地管理 RBAC 则成为一个新的问题 RBAC 的最大优势在于它对授权管理的支持通常的访问控制实现万法，将用户与访问权限直接相联系，当组织内人员新增或有人离开时，或者某个用户的职能发生变化时，需要进行大量授权更改工作。
而在 RBAC 中，角色作为一个桥梁，沟通于用户和资源之间对用户的访问授权转变为对角色的授权，然后再将用户与特定的角色联系起来一个 RBAC 系统建立起来以后，主要的管理工作即为授权或取消用户的角色RBAC 的另一优势在于: 系统管理员在一种比较抽象且与企业通常的业务管理相类似的层次上 根据 NIST 在 2002 年一月份的一份调查报告 (The Economic Impact ofRole-Based Access Control)，分析了 RBAC 的诸多优点以及实施 RBAC 所产生的经济效益统计分析，得出如下结论:（1）RBAC 从投入到公司 /企业应用，到从 RBAC 带来的好处中获益，根据公司的大小不同，需要 1 到 3 个季度:这段期间是 RBAC 与旧系统的合并与融合期；（2）RBAC 的 NPV(net present value 净产值)是实施 RBAC 的成本的 69 倍到158 倍；RBAC 的 IRR(internal rate of return，内部收益率)是 39%到 90%从上可以看出，其中蕴藏的商机是巨大的尤其随着国家电子政务的推行，政府机构的办公自动化程度、企业信息化程度的提高，在政府、金融、信息资源管理等领域，RBAC 将有越来越广阔的应用发展前景。
第 3 章 基于角色的访问控制系统设计与实现3.1 RBAC 的基本概念RBAC 认 为 权 限 授 权 实 际 上 是 Who、 What、 How 的 问 题 在 RBAC 模 型中 ， who、 what、 how 构 成 了 访 问 权 限 三 元 组 ,也 就 是 “Who 对 What(Which)进行 How 的 操 作 ”Who： 权 限 的 拥 用 者 或 主 体 （ 如 Principal、 User、 Group、 Role、 Actor等 等 ）What： 权 限 针 对 的 对 象 或 资 源 （ Resource、 Class） How： 具 体 的 权 限 （ Privilege,正 向 授 权 与 负 向 授 权 ） Operator： 操 作 表 明 对 What 的 How 操 作 也 就 是 Privilege+ResourceRole： 角 色 ， 一 定 数 量 的 权 限 的 集 合 权 限 分 配 的 单 位 与 载 体 ,目 的 是 隔 离User 与 Privilege 的 逻 辑 关 系 .Group： 用 户 组 ， 权 限 分 配 的 单 位 与 载 体 。
权 限 不 考 虑 分 配 给 特 定 的 用 户 而给 组 组 可 以 包 括 组 (以 实 现 权 限 的 继 承 )， 也 可 以 包 含 用 户 ， 组 内 用 户 继 承 组 的权 限 User 与 Group 是 多 对 多 的 关 系 Group 可 以 层 次 化 ， 以 满 足 不 同 层 级 权限 控 制 的 要 求 RBAC 的 关 注 点 在 。
