[发明专利]基于映射非传递性的多域间RBAC策略冲突解决方法

说明书

技术领域

本发明是一种网络访问控制领域的策略冲突解决方法，具体地说，是一种基于映射非传递性的多域间RBAC策略冲突解决方法。

背景技术

随着互联网和社会的发展，分布式系统间信息与资源共享的需求越来越紧迫和频繁，如何整合各个独立域的策略，从而提供并保证一套安全的多域间互操作机制至关重要。基于角色的访问控制（RBAC）是目前最为广泛接受的访问控制模型。基于RBAC的多域间策略合成方法主要是角色映射，即通过建立域间角色对等关系来互访资源，其方法包括基于权限和非基于权限两类。其中，基于权限的角色映射方法粒度较细，安全性较高。它又可以分为两类，静态映射与动态映射。其中，静态映射是有协调中心的，适合紧耦合系统的，基于全局的映射方式。这种方法基本特点包括：一是角色映射都是基于角色的权限进行，可以保证角色在策略合成后不会获得本来不具有的权限；二是静态映射方法没有动态映射方法所导致的域间访问的计算开销。本发明主要用于在基于权限的静态映射的RBAC策略合成过程中的冲突解决。

经对相关技术文献检索后发现，2005年Shafiq等人在《Knowledge and DataEngineering》上发表的《Secure Interoperation in a Multi-Domain Environment EmployingRBAC Policies》一文中提出了一种比较好的静态映射的RBAC策略合成框架，即先进行域间角色映射，再把冲突解决问题转换为整数规划的最优化问题。其主要思想是根据两个域间角色的公共权限和公共子角色创建新角色进行映射，可以解决在I角色层次下的多域间策略合成问题，同时支持静态SOD约束。但是这个方法有如下缺陷：①没能在A（激活）角色层次下，甚至混合角色层次下进行策略合成与冲突解决；②无法支持动态权限分离SOD约束；③不支持多域间存在两两禁止交互的情况；④算法整体复杂度为指数级，难以处理旧域离开、新域加入的变动情况。这些问题期待着一种更有效率的冲突解决算法。

根据RBAC模型的PI（高级角色继承低级角色的权限），UI（低级角色继承高级角色的用户）属性，本发明假设混合角色层次由A角色层次和I（继承）角色层次构成，其中，I层次为PI与UI特性的组合，并且子角色在一个会话session中自动激活，本文用表示r1为r2的I继承高级角色，若省略上标星号，则表示直接继承关系。A层次仅为UI特性，子角色在一个会话session中需要申请激活。本文用表示r1为r2的A继承高级角色，若省略上标星号，则表示直接继承关系。

发明内容

在多域合成过程中，策略的冲突解决是关键问题。ANSI所定义的RBAC标准明确了静态权限分离SSOD与动态权限分离DSOD约束的重要性，而混合角色层次是这两个约束的基础前提。针对需要紧密合作的多域间合作问题，目前多域间策略合成与冲突解决方法中，缺少对于混合角色层次的有效支持，而且现有的静态映射方法复杂度很高，同时不支持多域间可能存在的禁止某两域互访的情况。为了解决上述问题，本发明在上述研究的基础上，提出了一种基于映射非传递性的多域间RBAC策略冲突解决方法。它支持SSOD与DSOD约束，支持部分域禁止互访的多域间合作需求，可以求得最优的全局策略，同时算法复杂度较低，具有高效实用的应用前景。

本发明提出了一种基于映射非传递性的多域间RBAC策略冲突解决方法，框图如图1所示。它的应用场景：在N个RBAC域间，根据域间互访矩阵建立两两域间映射后，可能存在策略冲突的情况，应用本发明的冲突解决算法，可以定义一套最优性标准并从所有映射关系集合中选出满足该最优性的一套映射关系，从而化解域间的策略冲突，得到完全满足安全性和自治性的全局最优策略。

本发明的前提假设是：若不考虑域间映射的影响，在冲突解决之前，作为输入策略的各个域内部满足其自身的SSOD约束。

由于，DSOD约束冲突可以在系统正常运行过程中由系统中心动态检测与化解，而角色层次关系冲突可以被映射的非传递性消除，所以合成结果中仅违反SSOD约束冲突的情况，需要交由后续的冲突解决算法来去除不合理映射，得到最优的全局策略。在介绍具体发明算法前，首先把相关的概念定义和具体说明罗列如下。

定义1域间互访矩阵IDAM

对于N个域的策略合成问题，域间互访矩阵IDAM=(IDAM_ij)N，其中i=1,2…N，j=1,2…N，元素当为1时表示第j个域可以访问第i个域的资源，当为0时表示禁止访问。

说明1约束策略表示法