CN102456103A

CN102456103A - 一种改进的rbac访问控制模型

Info

Publication number: CN102456103A
Application number: CN2010105196072A
Authority: CN
Inventors: 王芳
Original assignee: Individual
Current assignee: Individual
Priority date: 2010-10-26
Filing date: 2010-10-26
Publication date: 2012-05-16

Abstract

一种改进的RBAC访问控制模型，只需要添加相应的元素，并配置好元素间的关联关系即可，扩展性极强，同时，由于其灵活性减轻了管理人员的维护负担，基于角色的访问控制模型，通过引入“角色”的概念来实现用户与权限的逻辑分离；角色是RBAC模型的核心，是一个或一群用户在组织内可执行的操作的集合；系统根据职权和责任来划分角色，角色可以完成一定的职责；属于角色的用户获得该角色所拥有的权限；用户属于特定的一个或多个角色，角色拥有一个或多个权限，用户通过担任某些角色来获得访问权限，因此，角色成为了沟通主体和客体间联系的中介；角色与用户相比是稳定的，当权限改变时，只需重新分配即可。

Description

一种改进的RBAC访问控制模型

技术领域：

一种计算机系统重要和基础的安全技术。

背景技术：

在现代信息系统中，安全管理一直是设计的核心部分。而访问控制技术则是任何安全信息系统的重要环节，它的主要任务是保证资源不被非法使用和访问。访问控制规定了主体对客体访问的限制，并在身份识别的基础上，根据身份对提出资源访问的请求加以控制。访问控制决定了谁能够访问系统，能访问系统的何种资源以及如何使用这些资源。它是对信息系统资源进行保护的重要措施，也是计算机系统最重要和最基础的安全机制。对于访问控制模型的研究，最早产生于20世纪60年代。早期的访问控制模型有Harrison、Ruzzo和Ulman提出的URU模型，Jones等人提出的Take-Grant模型等。随后，出现了两种重要的访问控制方法：自主访问控制(Discretionary AccessControl，DAC)和强制访问控制MAC(Mandatory Access Control，MAC)。之后，又出现了一种新的访问控制方法：基于角色的访问控制(Role-Based AccessControl，RBAC)，但是由于在基于角色的访问控制模型中，系统建立时角的种类已经确定，角色和权限之间的关联关系也已经绑定完成，系统可扩展性差。

发明内容：

本发明就是针对上述问题，提供一种自定义子角色访问控制模型。

为实现以上目的，本发明采用如下技术方案，基于角色的访问控制模型，通过引入“角色”的概念来实现用户与权限的逻辑分离；角色是RBAC模型的核心，是一个或一群用户在组织内可执行的操作的集合；系统根据职权和责任来划分角色，角色可以完成一定的职责；属于角色的用户获得该角色所拥有的权限；用户属于特定的一个或多个角色，角色拥有一个或多个权限，用户通过担任某些角色来获得访问权限，因此，角色成为了沟通主体和客体间联系的中介；角色与用户相比是稳定的，当权限改变时，只需重新分配即可。

本发明有益效果：

不需对数据库表结构和现有程序进行任何改动，只需要添加相应的元素，并配置好元素间的关联关系即可，扩展性极强，同时，由于其灵活性减轻了管理人员的维护负担。

附图说明

下面结合附图对本发明进一步说明。

图1RBAC模型图。

具体实施方式

基于角色的访问控制模型，通过引入“角色”的概念来实现用户与权限的逻辑分离；角色是RBAC模型的核心，是一个或一群用户在组织内可执行的操作的集合；系统根据职权和责任来划分角色，角色可以完成一定的职责；属于角色的用户获得该角色所拥有的权限；用户属于特定的一个或多个角色，角色拥有一个或多个权限，用户通过担任某些角色来获得访问权限，因此，角色成为了沟通主体和客体间联系的中介；角色与用户相比是稳定的，当权限改变时，只需重新分配即可。

系统在初始情况下，无法预知角色与其所拥有的权限之间的关联关系。因此，只确定角色R和相应的操作集合OS，并不绑定角色和权限的映射关系。当需要创建角色时，将操作集合OS中的操作O(O∈OS)和资源绑定后，将该权限分配给新创建的子角色，动态建立角色/权限分配关系；将新创建的角色称为角色R的子角色，子角色动态获得的权限是角色权限的子集，子角色是实际使用权限的角色。

系统初始化时，roles表中已经记录了角色信息，即系统管理员角色记录：ID:1、PARENT_ID:null、ROLE_NAME：系统管理员；公司操作员角色记录：ID:2、PARENT_ID:null、ROLE_NAME：公司操作员；funcion表中已经记录了操作集合，即系统管理员和公司操作员的操作；role_function表中已经记录了角色和操作集合的关系，即系统管理员角色和“客户公司管理、客户公司操作员配置、客户公司功能配置”操作的关联关系，公司操作员角色和“财务管理、员工管理、考勤管理、产品管理、电话营销”的关联关系。系统管理员新创建子角色时，在roles表中记录该子角色的名称并将其PARENT_ID设置为父角色的ID，表明新创建角色为ID的子角色；系统管理员在为新创建的子角色分配操作时，根据PARENT_ID在role_function表中获得父角色的操作集合，然后，在这些操作中选择所需操作，在role_function表中绑定创建的子角色和操作的关系。同时，在role_company表中绑定创建的子角色和资源的关系即可。；当用户登录时，根据用户输入的LOGIN_ID和PASSWD可以获得用户ID。然后根据user_role中USER_ID和ROLE_ID获得角色ID，然后根据角色ID在role_function和role_company获得该角色所具有的权限即可。

Claims

1.一种改进的RBAC访问控制模型，基于角色的访问控制模型，通过引入“角色”的概念来实现用户与权限的逻辑分离；其特征在于角色是RBAC模型的核心，是一个或一群用户在组织内可执行的操作的集合；系统根据职权和责任来划分角色，角色可以完成一定的职责；属于角色的用户获得该角色所拥有的权限；用户属于特定的一个或多个角色，角色拥有一个或多个权限，用户通过担任某些角色来获得访问权限，因此，角色成为了沟通主体和客体间联系的中介；角色与用户相比是稳定的，当权限改变时，只需重新分配即可。

2.根据权利要求1所述一种改进的RBAC访问控制模型，其特征在于系统在初始情况下，无法预知角色与其所拥有的权限之间的关联关系，只确定角色R和相应的操作集合OS，并不绑定角色和权限的映射关系，当需要创建角色时，将操作集合OS中的操作O(O∈OS)和资源绑定后，将该权限分配给新创建的子角色，动态建立角色/权限分配关系；将新创建的角色称为角色R的子角色，子角色动态获得的权限是角色权限的子集，子角色是实际使用权限的角色。

3.根据权利要求1所述一种改进的RBAC访问控制模型，其特征在于系统初始化时，roles表中已经记录了角色信息，即系统管理员角色记录：ID:1、PARENT_ID:null、ROLE_NAME：系统管理员；公司操作员角色记录：ID:2、PARENT_ID:null、ROLE_NAME：公司操作员；funcion表中已经记录了操作集合，即系统管理员和公司操作员的操作；role_function表中已经记录了角色和操作集合的关系，即系统管理员角色和“客户公司管理、客户公司操作员配置、客户公司功能配置”操作的关联关系，公司操作员角色和“财务管理、员工管理、考勤管理、产品管理、电话营销”的关联关系；系统管理员新创建子角色时，在roles表中记录该子角色的名称并将其PARENT_ID设置为父角色的ID，表明新创建角色为ID的子角色；系统管理员在为新创建的子角色分配操作时，根据PARENT_ID在role_function表中获得父角色的操作集合，然后，在这些操作中选择所需操作，在role_function表中绑定创建的子角色和操作的关系；同时，在role_company表中绑定创建的子角色和资源的关系即可；当用户登录时，根据用户输入的LOGIN_ID和PASSWD可以获得用户ID，然后根据user_role中USER_ID和ROLE_ID获得角色ID，然后根据角色ID在role_function和role_company获得该角色所具有的权限即可。