CN104243453A - 基于属性和角色的访问控制方法及系统 - Google Patents

Abstract

本发明公开了一种基于属性和角色的访问控制方法及系统，该方法包括：对于提出访问资源请求的多个用户，根据所述多个用户特征信息设计属性策略，并对所述属性策略中有冲突的策略进行优化；获取所述用户的属性值，并根据预设的属性表达式判断该用户是否有权访问；若所述用户有权访问，则根据所述用户的属性分配角色，并根据所述角色，查询所述角色对应的权限，实现所述用户对资源信息的访问获取。该方法通过综合ABAC能够满足大规模动态访问的特点和RBAC权限分配和管理的灵活性而设计两者混杂的访问控制，并在此基础上解决了策略的冗余和冲突的问题。

Description

基于属性和角色的访问控制方法及系统

技术领域

本发明涉及信息资源的访问控制领域，具体涉及基于属性和角色的访问控制方法及系统。

背景技术

伴随着物联网的飞速发展，安全问题也日益显著。像打车系统中出租车信息的泄露，微信中位置隐私的泄露等比比皆是。但目前常用的访问控制主要还是互联网中的访问控制。比如：基于角色的访问控制(Role Based Access Control，简称RBAC)，基于属性的访问控制(Attribute Based Access Control，简称ABAC)等等。其中，RBAC是在用户和访问权限之间引入角色的概念，用户与特定的一个或多个角色相关联，角色同一个或多个访问权限相关联，角色可以根据实际的工作需要生成或取消，而且登录到系统中的用户可以根据自己的需要来动态激活自己拥有的角色。在RBAC中，通过分配和取消角色来完成用户权限的授予和取消，实现了用户与访问权限的逻辑分离，极大地简化了权限管理。ABAC则是将请求者、被访问资源、访问方法和条件这些元素统一使用属性来描述，而且各个元素所关联的属性可以根据系统需要定义。属性概念的引入将访问控制中对所有元素的描述统一起来提供一种统一描述的框架。但是，由于物联网拥有诸如实时性、动态性等一些有别于互联网的新特性，使得这些在互联网中广泛运用的访问控制并不完全适用。所以，所以我们需要对其进行改进以满足需求。

RBAC不能满足大规模用户动态变化的访问需求。RBAC是提起分配好用户和角色(权限)之间的关系，但当访问者的身份、时间、地点等在随时改变的时候，我们将不能预知附近访问者的权限从而提前分配；另外，现实中对某一信息的访问者往往数量巨大，这也增加了提前分配权限的工作量，使之不可能实现。而单纯的ABAC授权过程复杂，不灵活，不能满足实时性；同时规则的数量也会随着用户和属性的增加而急剧膨胀。

发明内容

针对现有技术中的缺陷，本发明提供基于属性和角色的访问控制方法及系统，解决了RBAC不能满足大规模用户动态变化的访问以及ABAC不能满足访问的实时性的问题。

第一方面，本发明提供了一种基于属性和角色的访问控制方法，包括：

对于提出访问资源请求的多个用户，根据所述多个用户特征信息设计属性策略；

对所述属性策略进行检测，并对所述属性策略中有冲突的策略进行优化；

获取所述用户的属性值，并根据预设的属性表达式判断该用户是否有权访问；

若所述用户有权访问，则根据所述用户的属性分配角色，并根据所述角色，查询所述角色对应的权限，实现所述用户对资源信息的访问获取。

可选的，所述对于提出访问资源请求的用户，根据用户信息设计属性策略，所述属性策略包括：

所述属性表达式与角色的对应关系，以及所述角色与所述对应的权限信息库。

可选的，所述属性表达式与所述角色的对应关系包括：一对一的对应关系或多对一的对应关系。

可选的，对所述属性策略中有冲突的策略进行优化，所述冲突的策略包括：

例外冲突、策略冗余、策略隐藏和关联冲突。

可选的，所述例外冲突、策略冗余、策略隐藏和关联冲突，通过设定优先级、更改优先级、和/或，删除策略进行优化。

第二方面，本发明还提供了一种基于属性和角色的访问控制系统，包括：

属性策略获取模块，用于对于提出访问资源请求的多个用户，根据所述多个用户特征信息设计属性策略；

属性策略优化模块，用于对所述属性策略进行检测，并对所述属性策略中有冲突的策略进行优化；

用户访问判断模块，用于获取所述用户的属性值，并根据预设的属性表达式判断该用户是否有权访问；

用户资源获取模块，用于当所述用户有权访问时，根据所述用户的属性分配角色，并根据所述角色，查询所述角色对应的权限，实现所述用户对资源信息的访问获取。

可选的，所述属性策略获取模块中的所述属性策略包括：

所述属性表达式与角色的对应关系，以及所述角色与所述对应的权限信息库。

可选的，所述属性策略中所述属性表达式与所述角色的对应关系包括：一对一的对应关系或多对一的对应关系。

可选的，所述属性策略优化模块中的所述冲突的策略包括：

例外冲突、策略冗余、策略隐藏和关联冲突。

可选的，所述属性策略优化模块还用于，所述例外冲突、策略冗余、策略隐藏和关联冲突，通过设定优先级、更改优先级、和/或，删除策略进行优化。

由上述技术方案可知，本发明提供了一种基于属性和角色的访问控制方法及系统，该方法通过综合ABAC能够满足大规模动态访问的特点和RBAC权限分配和管理的灵活性而设计两者混杂的访问控制，并在此基础上解决了策略的冗余和冲突的问题。

附图说明

图1为本发明一实施例提供的基于属性和角色的访问控制方法的流程图；

图2为本发明另一实施例提供的基于属性分配角色和基于角色分配权限的结构示意图；

图3为本发明另一实施例提供的基于属性和角色的访问控制系统的结构示意图。

具体实施方式

下面结合附图，对发明的具体实施方式作进一步描述。以下实施例仅用于更加清楚地说明本发明的技术方案，而不能以此来限制本发明的保护范围。

图1为本发明实施例提供的基于属性和角色的访问控制方法的流程图，如图1所示，该方法包括如下步骤：

S101、对于提出访问资源请求的多个用户，根据所述多个用户特征信息设计属性策略；

举例来说，上述提出访问资源请求的多个用户为用户群体；

上述属性策略包括：

所述属性表达式与角色的对应关系，以及所述角色与所述对应的权限信息库，其中，所述属性表达式与所述角色的对应关系包括：一对一的对应关系或多对一的对应关系。

S102、对所述属性策略进行检测，并对所述属性策略中有冲突的策略进行优化；

举例来说，上述冲突的策略包括：

例外冲突、策略冗余、策略隐藏和关联冲突。上述例外冲突、策略冗余、策略隐藏和关联冲突，通过设定优先级、更改优先级、和/或，删除策略进行优化。

S103、获取所述用户的属性值，并根据预设的属性表达式判断该用户是否有权访问；

S104、若所述用户有权访问，则根据所述用户的属性分配角色，并根据所述角色，查询所述角色对应的权限，实现所述用户对资源信息的访问获取。

上述方法通过综合ABAC能够满足大规模动态访问的特点和RBAC权限分配和管理的灵活性而设计两者混杂的访问控制，并在此基础上解决了策略的冗余和冲突的问题。该方法不仅仅适用于物联网中，凡是出现此类问题的网络本方法均适用。

在具体应用中，上述步骤S101的具体实施方式为：

根据下表1中的属性策略语言进行设计属性策略，例如网络影城规定大于11岁的人可以获得Juvenile角色(该角色可以观看1，2级片)，而大于18岁的可以获得Adult角色(该角色可以观看1，2，3，4级片)。策略就可以如下设计：

Rule1：age＞11-＞Juvenile；

Rule2：age＞18-＞Adult。

其中，属性表达式与角色设计成一对一或多对一的关系。假如这里出现了一对多的关系，通过如下方法消除。

冲突的角色可以通过策略设计拒绝访问；有包含关系的角色可以根据优先级赋予其高级角色；不相干角色可以合并成一个角色然后再分配。

注：角色所对应的权限之间的关系只有三种——冲突、包含和不相干。

根据表1中的属性策略语言进行设计属性策略，使得在提出访问资源请求的用户更换时，直接通过更改策略语言进行属性策略，便于在不同的场景设计不同的策略，该语言简单易懂，又不失可扩展性，该方法简化了属性策略设计，提高了效率。

表1

在具体应用中，上述步骤S102的具体实施方式为：

对设计好的策略进行优化和解决冲突。但在此之前，先进行以下定义：

I)R表示一个属性表达式，S表示属性关键字集合；

II)R[i]表示属性关键字为i的属性值(域)；

111)R1＝R2表示对于R1[i]＝R2[i]；

IV)表示使得或R1[i]＝R2[i]，且一定 $\∃1\∈S$ 使 $R1\left[i\right]\⋐R2\left[i\right];$

V)R1∞R2表示对于都有R1[i]∩R2[i]≠φ，且或R1[i]＝R2[i]与或R1[i]＝R2[i]不恒成立；

VI)表示使得R1[i]∩R2[i]＝φ。

根据以上的定义，可以将策略的优化和冲突问题分为四类。

(1)例外冲突

情况a：当或R1＝R2，R1-＞Rolel，R2-＞Role2，且Rolel≠Role2时，产生例外冲突。

(2)策略冗余

情况b：或R1＝R2，R1-＞Rolel，R2-＞Role2，且Rolel＝Role2时，产生策略冗余。

(3)策略隐藏

这种情况是在规定了优先级的情况下产生的。

情况c：当或R1＝R2，R1-＞Rolel，R2-＞Role2，Rolel≠Role2，且R2的优先级高于R1时，产生策略隐藏。

(4)关联冲突

情况d：当R1∞R2，R1-＞Role1，R2-＞Role2，且Role1≠Role2时，产生关联冲突。

上述任何策略的优化(仅针对冗余)与冲突必须满足上述四种情况a-d之一。此时，需要不断循环需要验证的策略是否出现了以上四种情况。如果出现，按以下方法消除：

先对上述情况进行编号：①R1＝R2；②③④R1∞R2；

(1)对于①②③在没有规定优先级的前提下出现的例外冲突，可以通过设定优先级来解决；

(2)对于②③在设定优先级后出现的策略隐藏，可根据需要更改优先级；

(3)对于①在设定优先级后出现的策略隐藏或策略冗余，可根据需要删除其中一条策略；

(4)在设定优先级后，对于②③，若Role1＝Role2则出现策略冗余。此时，删除被包含的那条策略即可；

(5)对于④，只可能出现关联冲突。采用下面两种方法去解决。第一种，规定角色的优先级，分配的角色优先级高的那条策略优先级高；第二种，很多时候无法确定角色的优先级，此时，需要根据生成新的策略R3[i]＝R1[i]∩R2[i]，再从R1或R2中任选一个策略剔除R3。这样，假设执行剔除R3的是R1，那么R1与R2，R3都是不相关的，所以一定不存在冗余和冲突。此时再对R2和R3执行(1)、(2)、(4)操作即可。

根据上述方法循环修正，直到没有出现任何一种冗余与冲突情况为止，说明策略优化和冲突检测完成。

上述方法通过将属性表达式与角色的对应关系设计成一对一或者多对一的关系，使得动态的角色冲突检测变为了静态的检测，有利于冲突检测的设计；上述方法还给出了解决策略冗余与冲突的方法，保证了策略的安全运行。

图2示出了本发明实施例提供的基于属性分配角色和基于角色分配权限的结构示意图，如图2所示，上述步骤S103和S104具体包括如下步骤：

策略执行点(PEP)接收原始的访问请求(NAR)。这个NAR是收集来的最原始的信息，它包括了用户的各个属性，比如年龄、地点、身份等等，以及需要以何种方式访问哪些资源。这些信息主要通过用户周边的传感器或手持设备获取。比如：手机上的定位系统就可以得到用户的位置信息。

在策略管理点(PAP)中，根据上述设计的属性策略看用户的属性是否匹配某条或某几条属性表达式。如果符合，则有权访问；否则，无权访问。如：

Rule1：age≥18and country in{EU，America，Japan，China}-＞Adult；

此时一个20岁的中国人来就有权得到Adult角色，从而继续访问；若17岁的人来则无权访问，从而被拒绝。

在基于属性分配角色的过程中，PEP提取用户提供的属性值并格式化成统一的形式。根据这些提取的属性值，我们构建一个基于属性的访问请求(AAR)。AAR可以表示为一个四元组(s，o，a，e)。其中，s表示主体属性，o表示客体属性，a表示动作属性，e表示环境属性。PEP将AAR传递给策略判定点(PDP)，PDP根据从PAP处获取的策略对AAR进行判定，并将判定结果传给PEP，PEP执行此访问判定结果。这里的PAP主要存储已经提前预设的访问策略，这些策略每次更新时需进行优化和冲突检测。

在基于角色分配权限的过程中，基于传统RBAC的方法，根据现实需求定义多个角色，并将相应的权限对应到这些角色上。所以说，一个用户得到了某个角色，也就获得了该角色对应的权限。此时，用户便可以执行权限内的操作了。

图3示出了本发明实施例提供的基于属性和角色的访问控制系统的结构示意图，如图3所示，该系统包括：

属性策略获取模块31，对于提出访问资源请求的多个用户，根据所述多个用户特征信息设计属性策略；

举例来说，所述属性策略获取模块中的所述属性策略包括：

所述属性表达式与角色的对应关系，以及所述角色与所述对应的权限信息库；其中，所述属性策略中所述属性表达式与所述角色的对应关系包括：一对一的对应关系或多对一的对应关系。

属性策略优化模块32，用于对所述属性策略进行检测，并对所述属性策略中有冲突的策略进行优化；

举例来说，上述属性策略优化模块中的所述冲突的策略包括：

例外冲突、策略冗余、策略隐藏和关联冲突。所述例外冲突、策略冗余、策略隐藏和关联冲突，通过设定优先级、更改优先级、和/或，删除策略进行优化。

用户访问判断模块33，用于获取所述用户的属性值，并根据预设的属性表达式判断该用户是否有权访问；

用户资源获取模块34，用于当所述用户有权访问时，根据所述用户的属性分配角色，并根据所述角色，查询所述角色对应的权限，实现所述用户对资源信息的访问获取。

上述系统通过综合ABAC能够满足大规模动态访问的特点和RBAC权限分配和管理的灵活性而设计两者混杂的访问控制，并在此基础上解决了策略的冗余和冲突的问题。该系统不仅仅适用于物联网中，凡是出现此类问题的网络本方法均适用。

下面将举例说明上述方法及系统的具体应用：

实施例1

本方法在微信中的应用

将微信里面“附近的人”中所有的访问者分为五类：手机中的人脉(已存的电话号码)，微信好友，QQ好友，微信中的学校或工作单位与被访者相同，陌生人。这样得到四个角色：friends，known，colleague，unknown。优先级顺序如下表2为微信中角色的优先级与权限的分配：

(注：Read表示查看照片日志等，TimeSeen表示发表的时间可见，PlaceSeen表示发表的地点可见，Forwarding表示转发评论)

表2

按照上面的策略语言构建策略如下：

Rule1：phone-number in Phone-Contacts-＞friends；

Rule2：WeChat-number in WeChat-friends-＞known；

Rule3：QQ-number in QQ-friends-＞known；

Rule4：place＝my place-＞colleague；

Rule5：Identity＝interviewer-＞unknown；

根据发明方案中的定义：

(1)Rule1，Rule2，Rule3，Rule4相互之间构成关联冲突；

(2)Rule5与Rule1～Rule4构成例外冲突；

此时定义策略优先级为：Rule1-Rule5优先级从高到低。那么，所有的冲突都解决了。

此时，若某个人A搜索到附近的人B，他点击照片进行访问，上述的策略就会执行，A只能获得一个角色，如果是一个不认识的人他是不可能知道你当前的位置。

实施例2

本方法在打车系统中的应用

目前，打车系统广泛应用，但是系统简单，一般只能联系客服呼叫空车司机，灵活度很低，不方便。但如果将出租车信息放到网上可查，又会带来安全问题。现在设计如下：司机的亲戚可以查看所有的司机信息；司机的朋友可以查看当前的位置以便联系你；运营公司可以查看司机的历史行程，以便统一调度；而普通的打车用户只能在其空车时查看其手机号码，以便联系。如下表3为打车系统中角色的优先级与权限的分配，

(注：Real-time-location表示司机实时位置，History-track表示历史踪迹，Licence-plate表示车牌照，car-owner表示司机个人信息，phone-number表示司机联系方式，If-empty表示是否为空车)

表3

按照上面的策略语言构建策略如下：

Rule1：place＝home-＞family；

Rule2：phone-number in Phone-Contacts-＞friends；

Rule3：place＝company-＞operator；

Rule4：place＝anyplace-＞colleague；

根据发明方案中的定义：

(1)Rule1，Rule2，Rule3和Rule4构成例外冲突；

(2)Rule1，Rule3和Rule2构成关联冲突；

此时定义策略优先级为：Rule1-Rule4优先级从高到低。那么，所有的冲突都解决了。

这样就可以尽可能的避免司机信息的外露。

实施例3

本方法在在线影城中的应用

一个在线影城目前向欧盟、美国、日本和中国开放(不考虑其他国家因为有宗教问题)。由于中国不允许青少年儿童独自上网，影城所以规定，如下表4在线影城的角色分配

表4

按照上面的策略语言构建策略如下：

Rule1：age≥3and country in{EU，America，Japan}-＞Child；

Rule2：age≥11and country in{EU，America，Japan}-＞Juvenile；

Rule3：age≥16and country in{EU，America，Japan，China}-＞Adolescent；

Rule4：age≥18and country in{EU，America，Japan，China}-＞Adult；

根据发明方案中的定义：

(1)Rule1和Rule2，Rule3和Rule4构成例外冲突；

(2)Rule1，Rule2和Rule3，Rule4构成关联冲突；

此时定义策略优先级为：Rule1-Rule4优先级从低到高。那么，所有的冲突都解决了。

此例，便是在物联网外的应用。

以上所述各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (10)

1.一种基于属性和角色的访问控制方法，其特征在于，包括：

对于提出访问资源请求的多个用户，根据所述多个用户特征信息设计属性策略；

对所述属性策略进行检测，并对所述属性策略中有冲突的策略进行优化；

获取所述用户的属性值，并根据预设的属性表达式判断该用户是否有权访问；

若所述用户有权访问，则根据所述用户的属性分配角色，并根据所述角色，查询所述角色对应的权限，实现所述用户对资源信息的访问获取。

2.根据权利要求1所述的方法，其特征在于，所述对于提出访问资源请求的用户，根据用户信息设计属性策略，所述属性策略包括：

所述属性表达式与角色的对应关系，以及所述角色与所述对应的权限信息库。

3.根据权利要求2所述的方法，其特征在于，所述属性表达式与所述角色的对应关系包括：一对一的对应关系或多对一的对应关系。

4.根据权利要求1所述的方法，其特征在于，对所述属性策略中有冲突的策略进行优化，所述冲突的策略包括：

例外冲突、策略冗余、策略隐藏和关联冲突。

5.根据权利要求4所述的方法，其特征在于，所述例外冲突、策略冗余、策略隐藏和关联冲突，通过设定优先级、更改优先级、和/或，删除策略进行优化。

6.一种基于属性和角色的访问控制系统，其特征在于，包括：

属性策略获取模块，用于对于提出访问资源请求的多个用户，根据所述多个用户特征信息设计属性策略；

属性策略优化模块，用于对所述属性策略进行检测，并对所述属性策略中有冲突的策略进行优化；

用户访问判断模块，用于获取所述用户的属性值，并根据预设的属性表达式判断该用户是否有权访问；

用户资源获取模块，用于当所述用户有权访问时，根据所述用户的属性分配角色，并根据所述角色，查询所述角色对应的权限，实现所述用户对资源信息的访问获取。

7.根据权利要求6所述的系统，其特征在于，所述属性策略获取模块中的所述属性策略包括：

所述属性表达式与角色的对应关系，以及所述角色与所述对应的权限信息库。

8.根据权利要求7所述的系统，其特征在于，所述属性策略中所述属性表达式与所述角色的对应关系包括：一对一的对应关系或多对一的对应关系。

9.根据权利要求6所述的系统，其特征在于，所述属性策略优化模块中的所述冲突的策略包括：

例外冲突、策略冗余、策略隐藏和关联冲突。

10.根据权利要求9所述的系统，其特征在于，所述属性策略优化模块还用于，所述例外冲突、策略冗余、策略隐藏和关联冲突，通过设定优先级、更改优先级、和/或，删除策略进行优化。