[发明专利]一种基于动态描述逻辑的角色访问控制方法

说明书

技术领域

本发明涉及企业及网络数据信息安全领域，特别涉及用户访问资源权限的控制方法,更具体的说是一种基于动态描述逻辑的角色访问控制方法。

背景技术

访问控制（Access Control）是在身份认证的基础上，依据授权对提出的资源访问请求加以控制。访问控制是企业和网络安全防范和保护的主要策略，它可以限制对关键资源的访问，防止非法用户的侵入或合法用户的不慎操作所造成的破坏。

随着企业信息化步伐的加快和计算机技术的发展，基于Web的信息管理系统成为信息管理系统开发的主流，安全问题也成为了关注的焦点，而对用户权限进行管理则是保障信息系统安全的一个重要手段。在很多提供服务的企业中，随着企业的发展壮大，用户数目成倍地增长，形成了多用户服务模式。大量增长的用户数目使用户角色的管理分配任务繁重。同时，访问资源的策略经常由多种不同类型的策略组成，更为复杂多样化。这些都对传统的访问控制模型提出了新的应用需求。

传统的访问控制方法主要分为自主型访问控制(DAC)和强制型访问控制(MAC)两种。自主访问控制具有较高的灵活性，思想简单，容易实现。它通过矩阵或列表的形式直接创建了主体对客体的访问权限，但是DAC的致命弱点是这种访问权限的授予是可以传递的，很难控制和管理。强制访问控制主要特点是管理比较集中，安全性较高。由于MAC对主体和客体都施加了更严格的访问权限，因而影响了系统的灵活性。

而且随着网络数据库应用系统的普及，用户可访问的数据资源的结构日益复杂，规模日益增大，使用这两种传统的访问控制方式对数据的存取权限进行管理就显得十分复杂和不安全。因此，便产生了基于角色的访问控制(Role Based Access Control，RBAC)、基于任务的访问控制(Task Based Access Control，TBAC)等。

基于角色的访问控制模型由于引入了角色，使得用户和权限得到了逻辑分离，授权变得简单而灵活，访问控制框架有了较强的扩展性。RBAC的核心思想就是系统根据需要定义不同角色，将资源的访问权限封装在角色中，通过给用户分配角色，让用户与访问权限相关联。角色对应于组织中的某一特定的职能岗位，拥有特定的权限。系统可以添加、删除角色，还可以在角色间进行转换。用户通过访问角色间接地获得权限以访问系统资源，并且只可以对系统资源进行权限范围内的操作。然而，由于RBAC在用户、角色、权利等的分配上都是静态的，不能处理工作流中的数据信息，被动的访问控制特点使其不能满足企业动态业务流程处理的需要。

基于任务的访问控制模型以任务和活动为中心。任务（Task ）是工作流程中的功能逻辑单元，与多个用户相关，可能包括几个子任务。而授权结构体是任务在计算机中进行控制的一个实例。任务中的子任务，对应于授权结构体中的授权步。在执行任务时，TBAC只给用户分配所需的权限，未执行任务或任务终止后，用户不再拥有所分配的权限，而且在任务执行过程中，当某一权限不再被使用时，授权步会自动将该权限收回。另外，对于敏感的任务若需要不同的用户来执行，可以通过授权步之间的依赖关系来实现。授权步的生命周期和授权步自我动态管理，是TBAC动态授权的具体体现。

TBAC是一种上下文相关的访问控制模型，适合处理工作流中有时效性和流动性的数据信息，权限随着数据的处理而被授予或取消。但这种主动的访问控制模型不能处理非工作流类的任务，如查询等，并且TBAC不支持角色的层级关系，不适合企业的组织结构层次和分布式管理。

综合以上两种模型的特点，于是就有人在其基础上将RBAC和TBAC结合在一起提出了基于任务和角色的访问控制模型TRBAC，即在静态角色授权的基础上加入了面向任务的工作流思想。在TRBAC模型中用户和权限之间是通过角色和任务来进行分配和管理的。图1给出了简单的TRBAC访问控制模型。

以上的TRBAC模型，在传统的RBAC的基础上增加了任务、任务实例和任务上下文这几个组件。用户和任务都被分别赋予角色，而权限则被赋予任务。任务上下文作用于任务，而运行过程中则作用于任务实例。