[发明专利]一种带优先级策略的访问控制构造的检索方法

说明书

本发明公开的一种带优先级策略的访问控制构造的检索方法，包括以下步骤：步骤1，将所有的访问对象组织成一棵树；步骤2，遍历策略列表，初始化各访问对象关联的策略列表；步骤3，从步骤1生成的树的第二层节点开始到树的末梢节点，分别执行将父节点的策略列表合并到自身关联的策略列表中，同时保证每一策略列表的有序性；步骤4，匹配策略时，先匹配访问对象；步骤5，在步骤4得到的访问对象关联的策略表中匹配角色，并最终返回权限查询结果。本发明的检索方法采用空间换时间的优化原则，先将RBAC模型转化成类似访问控制列表的模型，有效地避免了权限查询过程中无用的策略匹配，提高了权限查询的效率。

技术领域

本发明涉及信息系统中基于RBAC的访问控制技术领域，尤其涉及一种带优先策略的访问控制构造的检索方法。

背景技术

访问控制技术在信息系统中的应用几乎无处不在，常见的如网络防火墙、安全应用网关、数据库系统以及各类管理系统。

在众多集中式访问控制模型中，基于角色的访问控制(Rolebased Access，RBAC)是实施面向企业的安全策略的一种有效的访问控制方式，具有灵活、方便和安全性的特点。

RBAC模型的要素包括用户、角色和许可等要素。其中，用户是一个可以独立访问计算机中的数据或用数据表示其它资源的主体。角色是指一个组织或任务中的工作或者位置，它代表一种权利、资格和责任。许可是允许对一个或多个客体执行的操作。一个用户可经授权而拥有多个角色，一个角色可由多个用户组成，每个角色拥有多种许可，每个许可也可以授权给多个不同的角色，每个操作可施加于多个客体，每个客体可接受多个操作。RBAC模型的基本思想是将访问许可权分配给一定的角色，用户通过饰演不同的角色获得角色所拥有的访问许可权限，角色可以看成是一组操作的集合。一个角色可以拥有多个用户成员，因此，RBAC提供了一种组织的职权和责任之间的多对多关系，这种关系具有反身性、传递性、非对称性特点。

访问控制列表(Access Control List)模型是为每个客体，附加一个可以访问它的主体的明细表。

由于现有的基于RBAC模型的访问控制检索方法在权限查询过程中存在一些无用的策略匹配，这样会影响到权限查询的效率。为此，本申请人在研究将基于RBAC模型的访问控制检索方法转化成类似访问控制列表的模型，尽可能地避免权限查询过程中无用的策略匹配，提高权限查询的效率。下面将要介绍的技术方案便是在这种背景下产生的。

发明内容

本发明所要解决的技术问题：针对现有的基于RBAC模型的访问控制检索方法存在在权限查询过程中存在无用的策略匹配，影响权限查询的效率的问题，而提供一种避免权限查询过程中无用的策略匹配、提高权限查询效率的带优先级策略的访问控制构造的检索方法。

本发明所解决的技术问题可以采用以下技术方案来实现：

一种带优先级策略的访问控制构造的检索方法，包括以下步骤：

步骤1，将所有的访问对象组织成一棵树，其中所述树的根为特定访问对象，所述特定访问对象由所有的访问对象构成；

步骤2，为每个访问对象附加一个空的带优先级的策略列表，每一策略列表的元素的类型为策略；

步骤3，遍历策略数据，逐一添加到相对应的访问对象的策略列表中，同时维持每一策略列表的列表项按照优先级进行有序排列；

步骤4，从所述步骤1生成的树的第二层节点开始到树的末梢节点，分别将各自父节点的策略列表合并到自身所关联的策略列表中，同时保证策略列表的有序性；

步骤5，匹配策略时，根据用户访问目标，检索对应的访问对象，若没有匹配到具体的访问对象，则指定匹配到默认所述特定访问对象；