CN104217146A

CN104217146A - 一种基于abac和rbac的权限控制方法

Info

Publication number: CN104217146A
Application number: CN201410447978.2A
Authority: CN
Inventors: 刘建华
Original assignee: Inspur General Software Co Ltd
Current assignee: Inspur General Software Co Ltd
Priority date: 2014-09-04
Filing date: 2014-09-04
Publication date: 2014-12-17
Anticipated expiration: 2034-09-04
Also published as: CN104217146B

Abstract

本发明公开了一种基于ABAC和RBAC的权限控制方法，本方法基于ABAC和RBAC的权限控制，能够实现权限的动态控制和不同粒度的访问控制，尤其适用于业务较复杂的系统中对于资源的权限控制。该控制方法不仅能够更好的利用ABAC和RBAC的自身的优势，而且能够将两者结合起来，按照定义的控制信息，灵活的对资源进行不同粒度的控制，以满足用户对资源的不同粒度的权限控制。尤其适用于比较复杂的业务系统中对资源的访问控制，能够比较圆满的满足系统的权限控制需求。

Description

一种基于ABAC和RBAC的权限控制方法

技术领域

本发明公开了一种基于ABAC和RBAC的权限控制方法，涉及计算机资源访问控制领域，具体涉及复杂业务系统中对资源的访问相关控制。

背景技术

访问控制作为一种重要的安全措施在系统安全中得到广泛的用用，在针对访问控制的研究中产生了各种不同的访问控制模型，这些模型的目标是禁止未授权用户访问资源。访问控制核心是访问控制策略和基于策略的授权判定，访问控制策略描述了系统的安全需求，访问控制模型主要研究的是访问控制策略的表示，而访问控制策略自身是否安全以及其是否能够真实、及时的反应实际安全需求则直接影响整个系统的安全性和用户对系统的满意度，为了满足复杂系统对访问控制模型的需求。

传统的访问控制模型，如自主访问控制DAC(Discretionary Access Control)、强制访问控制MAC(Mandatory Access Control)、基于角色的访问控制RBAC(Role Based Access Control)和基于属性的访问控制模型ABAC(Attribute Based Access Control)等，并不能完全适用现今对资源的访问控制的要求，他们不能表示复杂的场景对资源的访问控制策略，对主体和资源的描述都比较片面，而且往往无法满足对访问资源控制的需求。

本文针对以上问题提出了一种有效的解决方法。

发明内容

本发明的目的是提供一种基于ABAC和RBAC的权限控制方法。

本发明的目的是按以下方式实现的，包括以下步骤和内容：

步骤一：权限模型的实体类定义，实体类的定义的信息包括基本信息、控制项信息、分配结果表信息和维度信息；

步骤二：权限模型控制触发点设置，基于步骤一定义的实体类，将该实体类与需要控制业务资源对象关联起来，即设置权限模型控制的触发点；

步骤三：权限模型控制条件设置，根据步骤一定义的模型实体类，获取定义的控制项信息，然后对定义的各个控制项，设置对应控制的条件，并将设置的条件持久化，以便后面步骤调用；

步骤四：权限模型访问控制的调用，当用户访问某个业务资源时，如果该业务资源对象经过步骤二的设置，则会根据步骤二设置的关联关系，获取定义的实体类信息，然后根据实体类信息，获取步骤三定义的模型控制的条件信息；

步骤五：权限模型控制条件的解析，将步骤四获取出来的控制条件，按照类型不同，调用不同的条件解析器进行解析，然后将结果返回；

步骤六：根据返回结果，访问资源。根据步骤五解析的模型控制条件结果，对资源进行控制访问。

所述基于ABAC和RBAC的权限控制方法，步骤一，定义权限模型的实体类，除了包括定义的基本信息之外，还需定义控制项信息，对于基于属性权限对象来说，则需定义属性控制项集合AttributeItemCollection，里面包括了定义的属性的项名称以及该项对应的属性资源的类型，包括主体属性和环境变量；对于基于角色的权限对象来说，则需定义对应的数据源信息DataSourceCollection，里面包括数据源的编号、类型以及分配时的设置信息。

所述基于ABAC和RBAC的权限控制方法，步骤二，设置权限模型控制触发点，选取待控制的业务资源对象，并将定义的模型与业务资源对象关联起来，对于基于属性权限对象，主要是将定义的模型信息与业务资源对象关联ResAttributeRelation；对于基于角色的权限对象，除了定义的模型信息与业务资源对象关联信息ResourceRelation之外，还需要定义相关对应的关联字段信息ElementMappingCollection。

所述基于ABAC和RBAC的权限控制方法，步骤三，设置权限模型控制条件，对于基于属性的权限对象，主要根据定义的属性项信息，设置该属性项对应的条件表达式；对于基于角色的权限对象，则根据定义的控制信息，定义模型控制的条件信息，包括规则或者枚举。

所述基于ABAC和RBAC的权限控制方法，步骤四到步骤六所述的权限模型访问控制的调用、条件解析，其主要的步骤包括以下几步：

1) 用户请求对资源进行访问，触发了权限模型的控制；

2) 获取基于属性权限对象的控制信息ResAttributeRelation，如果该资源不控制属性权限，则直接跳过属性权限的控制；如果控制属性权限，则继续执行以下步骤；

3) 获取属性权限的定义信息AttributePermission，属性权限的定义信息，包括定义的属性项类型和属性项名称；

4) 获取属性权限的控制信息AttributeAssignment，首先获取上一步定义的属性项信息，然后根据获取的属性项，获取每个属性项设置的控制信息；

5) 解析属相权限的控制信息，根据上一步获取的控制信息，调用属性权限解析引擎，将控制信息进行解析，将结果返回；根据返回的布尔结果，如果是FALSE，则拒绝访问资源对象；如果是TRUE，则继续执行后面的步骤；

6) 获取基于角色权限对象控制信息ResourceRelation，如果不存在控制信息，则直接访问资源对象；如果存在控制信息，则继续下面的步骤；

7) 获取基于角色权限对象的定义信息PermissionObject，定义的信息主要包括承载的数据源以及分配结果表设置的信息；

8) 获取基于角色权限对象的控制信息DataAssignment，根据前面步骤定义的信息，获取对应的控制信息；

9) 解析基于角色权限对象的控制信息，交给基于角色权限模型解析引擎和数据访问引擎，对获取的数据进行条件过滤，然后根据过滤之后的结果，对资源进行访问。

本发明的优异效果：本发明公开了一种基于ABAC和RBAC的权限控制方法，能够实现权限的动态控制和不同粒度的访问控制，尤其适用于业务较复杂的系统中对于资源的权限控制。该控制方法不仅能够更好的利用ABAC和RBAC的自身的优势，而且能够将两者结合起来，按照定义的控制信息，灵活的对资源进行不同粒度的控制，以满足用户对资源的不同粒度的权限控制。

附图说明

图1是权限控制模型总体框架图；

图2是权限模型访问控制总体流程图；

图3是权限模型控制流程图。

具体实施方式

参照说明书附图对本发明的一种基于ABAC和RBAC的权限控制方法作以下详细地说明。

本发明的目的在于弥补现有的单个权限控制模型自身存在的缺憾，以满足复杂业务系统中对业务资源的控制。ABAC模型考虑主体、资源和访问所处环境的属性来描述策略，相比于传统的访问控制策略，能够解决复杂信息系统中的粗粒度访问控制，但是无法满足用户对于细微粒度权限的访问控制。而RBAC通过“角色”建立起用户和资源的关系，定义了细微粒度的权限控制信息，但是无法定义粗粒度的访问控制信息，存在着一定的局限性。

为此，本发明公开了一种基于ABAC和RBAC的权限控制方法，该方法主要由权限模型定义和权限模型控制两部分组成。所述基于ABAC和RBAC的权限控制方法的步骤如下：

步骤一：权限模型的实体类定义。实体类的定义的信息包括基本信息、控制项信息、分配结果表的信息和维度信息；

步骤二：权限模型控制触发点设置。基于步骤一定义的实体类，将该实体类与需要控制业务资源对象关联起来，即设置权限模型控制的触发点；

步骤三：权限模型控制条件设置。根据步骤一定义的模型实体类，获取定义的控制项信息，然后对定义的各个控制项，设置对应控制的条件，并将设置的条件持久化，以便后面步骤调用；

步骤四：权限模型访问控制的调用。当用户访问某个业务资源时，如果该业务资源对象经过步骤二的设置，则会根据步骤二设置的关联关系，获取步骤一定义的实体类信息，然后根据实体类信息，获取步骤三定义的模型控制的条件信息；

步骤五：权限模型控制条件的解析。将步骤四获取出来的控制条件，按照类型不同，调用不同的条件解析器进行解析，然后将结果返回；

优选的是，所述的权限模型的实体类定义，除了包括定义的标识、编号等基本信息之外，还需定义控制项信息。对于基于属性权限对象来说，则需定义属性控制项集合(AttributeItemCollection)，里面包括了定义的属性的项名称以及该项对应的属性资源的类型（包括主体属性和环境变量）；对于基于角色的权限对象来说，则需定义对应的数据源信息(DataSourceCollection)，里面包括数据源的编号、类型以及分配时的一些相关设置信息。

优选的是，所述的权限模型控制触发点设置，选取待控制的业务资源对象，并将定义的模型与业务资源对象关联起来。对于基于属性权限对象，主要是将定义的模型信息与业务资源对象关联(ResAttributeRelation)；对于基于角色的权限对象，除了定义的模型信息与业务资源对象关联信息(ResourceRelation)之外，还需要定义相关对应的关联字段信息(ElementMappingCollection)。

优选的是，所述的权限模型控制条件设置，对于基于属性的权限对象，主要根据定义的属性项信息，设置该属性项对应的条件表达式；对于基于角色的权限对象，则根据定义的控制信息，定义模型控制的条件信息（规则或者枚举）。

优选的是，所述的权限模型访问控制的调用、条件解析，其主要的步骤包括以下几步：

1、用户请求对资源进行访问，触发了权限模型的控制；

2、获取基于属性权限对象的控制信息(ResAttributeRelation)。如果该资源不控制属性权限，则直接跳过属性权限的控制；如果控制属性权限，则继续执行以下步骤；

3、获取属性权限的定义信息(AttributePermission)。属性权限的定义信息，包括定义的属性项类型和属性项名称；

4、获取属性权限的控制信息(AttributeAssignment)。首先获取上一步定义的属性项信息，然后根据获取的属性项，获取每个属性项设置的控制信息；

5、解析属相权限的控制信息。根据上一步获取的控制信息，调用属性权限解析引擎，将控制信息进行解析，将结果返回；根据返回的布尔结果，如果是FALSE，则拒绝访问资源对象；如果是TRUE，则继续执行后面的步骤；

6、获取基于角色权限对象控制信息(ResourceRelation)。如果不存在控制信息，则直接访问资源对象；如果存在控制信息，则继续下面的步骤；

7、获取基于角色权限对象的定义信息(PermissionObject)。定义的信息主要包括承载的数据源以及分配结果表设置的信息；

8、获取基于角色权限对象的控制信息(DataAssignment)。根据前面步骤定义的信息，获取对应的控制信息；

9、解析基于角色权限对象的控制信息。根据上一步的控制解析，交给基于角色权限模型解析引擎和数据访问引擎，对获取的数据进行条件过滤，然后根据过滤之后的结果，对资源进行访问。

实施例

按照图1所示，具体实施步骤如下。

步骤一：权限模型的实体类定义。实体类包含基于属性权限实体类和基于角色的实体类。

（1）基于属性的权限实体类主要属性

/// 属性控制项集合

GSPAttributeItemCollection AttributeItemCollection { get; set; }

/// 属性权限分配结果表ID

string ResultTableID { get; set; }

（2）基于角色的权限实体类主要属性

/// 对应数据源集合。

GSPRowDataSourceCollection DataSourceCollection { get; set; }

/// 与其它数据权限对象之间的关系。

GSPRowAssociationCollection Associations { get; set; }

/// 权限分配设置。

GSPRowAssignSetting AssignSetting { get; set; }

/// 权限分配结果设置。

IPermissionResultSetting ResultSetting { get; set; }

步骤二：权限模型控制触发点设置。将业务资源和第一步定义的权限对象关联起来；

(1) 基于属性的权限对象与业务资源的关联关系主要属性

/// 业务资源对象ID

string BizObjID { get; set; }

/// 业务资源对象类型

GSPRacDataResourceType BizObjType { get; set; }

/// 权限对象ID[行权限对象ID或者列权限对象ID]

string PermissionObjID { get; set; }

/// 元素之间的映射关系集合[行权限]

GSPResRowElementMappingCollection ElementMappings { get; set; }

(2) 基于角色的权限对象与业务资源的关联关系主要属性

/// 业务资源对象ID

string BizObjID { get; set; }

/// 业务资源对象类型

GSPRacDataResourceType BizObjType { get; set; }

/// 属性权限对象ID

string AttributeObjID { get; set; }

步骤四：权限模型访问控制的调用。其主要的接口方法如下所示。

（1）基于属性的访问接口方法

/// <summary>

/// 根据业务对象、操作，获取字段权限的结果集合

/// </summary>

/// <param name="objID">业务资源对象ID</param>

/// <param name="opID">操作ID</param>

/// <returns>单元格权限分配结果</returns>

SPCellPermissionCollection GetCellPermissions(string objID, string opID);

（2）基于角色的访问接口方法

/// <summary>

/// 根据业务对象、操作，获取数据权限结果控制的过滤条件

/// </summary>

/// <param name="objID">业务资源对象ID</param>

/// <param name="opID">操作ID</param>

/// <returns>控制的过滤条件集合</returns>

GSPRacDataFilterCollection GetDataFilters(string objID, string opID);

/// <summary>

/// 根据业务对象、操作、数据授权对象，获取数据权限结果控制的过滤条件

/// </summary>

/// <param name="objID">业务资源对象ID</param>

/// <param name="opID">操作ID</param>

/// <param name="permissionID">数据权限对象ID</param>

/// <returns>控制的过滤条件</returns>

IRacDataFilter GetDataFilter(string objID, string opID, string permissionID);

除说明书所述的技术特征外，均为本专业技术人员的已知技术。

Claims

1.一种基于ABAC和RBAC的权限控制方法，其特征在于包括以下步骤和内容：

步骤六：根据返回结果，访问资源；

根据步骤五解析的模型控制条件结果，对资源进行控制访问。

2.根据权利要求1所述基于ABAC和RBAC的权限控制方法，其特征在于：步骤一，定义权限模型的实体类，除了包括定义的基本信息之外，还需定义控制项信息，对于基于属性权限对象来说，则需定义属性控制项集合AttributeItemCollection，里面包括了定义的属性的项名称以及该项对应的属性资源的类型，包括主体属性和环境变量；对于基于角色的权限对象来说，则需定义对应的数据源信息DataSourceCollection，里面包括数据源的编号、类型以及分配时的设置信息。

3.根据权利要求1所述基于ABAC和RBAC的权限控制方法，其特征在于：步骤二，设置权限模型控制触发点，选取待控制的业务资源对象，并将定义的模型与业务资源对象关联起来，对于基于属性权限对象，主要是将定义的模型信息与业务资源对象关联ResAttributeRelation；对于基于角色的权限对象，除了定义的模型信息与业务资源对象关联信息ResourceRelation之外，还需要定义相关对应的关联字段信息ElementMappingCollection。

4.根据权利要求1所述基于ABAC和RBAC的权限控制方法，其特征在于：步骤三，设置权限模型控制条件，对于基于属性的权限对象，主要根据定义的属性项信息，设置该属性项对应的条件表达式；对于基于角色的权限对象，则根据定义的控制信息，定义模型控制的条件信息，包括规则或者枚举。

5.根据权利要求1所述基于ABAC和RBAC的权限控制方法，其特征在于：步骤四到步骤六所述的权限模型访问控制的调用、条件解析，其主要的步骤包括以下几步：

（1）用户请求对资源进行访问，触发了权限模型的控制；

（2）获取基于属性权限对象的控制信息ResAttributeRelation，如果该资源不控制属性权限，则直接跳过属性权限的控制；如果控制属性权限，则继续执行以下步骤；

（3）获取属性权限的定义信息AttributePermission，属性权限的定义信息，包括定义的属性项类型和属性项名称；

（4）获取属性权限的控制信息AttributeAssignment，首先获取上一步定义的属性项信息，然后根据获取的属性项，获取每个属性项设置的控制信息；

（5）解析属相权限的控制信息，根据上一步获取的控制信息，调用属性权限解析引擎，将控制信息进行解析，将结果返回；根据返回的布尔结果，如果是FALSE，则拒绝访问资源对象；如果是TRUE，则继续执行后面的步骤；

（6）获取基于角色权限对象控制信息ResourceRelation，如果不存在控制信息，则直接访问资源对象；如果存在控制信息，则继续下面的步骤；

（7）获取基于角色权限对象的定义信息PermissionObject，定义的信息主要包括承载的数据源以及分配结果表设置的信息；

（8）获取基于角色权限对象的控制信息DataAssignment，根据前面步骤定义的信息，获取对应的控制信息；

（9）解析基于角色权限对象的控制信息，交给基于角色权限模型解析引擎和数据访问引擎，对获取的数据进行条件过滤，然后根据过滤之后的结果，对资源进行访问。