CN108628879B - 一种带优先级策略的访问控制构造的检索方法 - Google Patents

Abstract

本发明公开的一种带优先级策略的访问控制构造的检索方法，包括以下步骤：步骤1，将所有的访问对象组织成一棵树；步骤2，遍历策略列表，初始化各访问对象关联的策略列表；步骤3，从步骤1生成的树的第二层节点开始到树的末梢节点，分别执行将父节点的策略列表合并到自身关联的策略列表中，同时保证每一策略列表的有序性；步骤4，匹配策略时，先匹配访问对象；步骤5，在步骤4得到的访问对象关联的策略表中匹配角色，并最终返回权限查询结果。本发明的检索方法采用空间换时间的优化原则，先将RBAC模型转化成类似访问控制列表的模型，有效地避免了权限查询过程中无用的策略匹配，提高了权限查询的效率。

Description

一种带优先级策略的访问控制构造的检索方法

技术领域

本发明涉及信息系统中基于RBAC的访问控制技术领域，尤其涉及一种带优先策略的访问控制构造的检索方法。

背景技术

访问控制技术在信息系统中的应用几乎无处不在，常见的如网络防火墙、安全应用网关、数据库系统以及各类管理系统。

在众多集中式访问控制模型中，基于角色的访问控制(Rolebased Access，RBAC)是实施面向企业的安全策略的一种有效的访问控制方式，具有灵活、方便和安全性的特点。

RBAC模型的要素包括用户、角色和许可等要素。其中，用户是一个可以独立访问计算机中的数据或用数据表示其它资源的主体。角色是指一个组织或任务中的工作或者位置，它代表一种权利、资格和责任。许可是允许对一个或多个客体执行的操作。一个用户可经授权而拥有多个角色，一个角色可由多个用户组成，每个角色拥有多种许可，每个许可也可以授权给多个不同的角色，每个操作可施加于多个客体，每个客体可接受多个操作。RBAC模型的基本思想是将访问许可权分配给一定的角色，用户通过饰演不同的角色获得角色所拥有的访问许可权限，角色可以看成是一组操作的集合。一个角色可以拥有多个用户成员，因此，RBAC提供了一种组织的职权和责任之间的多对多关系，这种关系具有反身性、传递性、非对称性特点。

访问控制列表(Access Control List)模型是为每个客体，附加一个可以访问它的主体的明细表。

由于现有的基于RBAC模型的访问控制检索方法在权限查询过程中存在一些无用的策略匹配，这样会影响到权限查询的效率。为此，本申请人在研究将基于RBAC模型的访问控制检索方法转化成类似访问控制列表的模型，尽可能地避免权限查询过程中无用的策略匹配，提高权限查询的效率。下面将要介绍的技术方案便是在这种背景下产生的。

发明内容

本发明所要解决的技术问题：针对现有的基于RBAC模型的访问控制检索方法存在在权限查询过程中存在无用的策略匹配，影响权限查询的效率的问题，而提供一种避免权限查询过程中无用的策略匹配、提高权限查询效率的带优先级策略的访问控制构造的检索方法。

本发明所解决的技术问题可以采用以下技术方案来实现：

一种带优先级策略的访问控制构造的检索方法，包括以下步骤：

步骤1，将所有的访问对象组织成一棵树，其中所述树的根为特定访问对象，所述特定访问对象由所有的访问对象构成；

步骤2，为每个访问对象附加一个空的带优先级的策略列表，每一策略列表的元素的类型为策略；

步骤3，遍历策略数据，逐一添加到相对应的访问对象的策略列表中，同时维持每一策略列表的列表项按照优先级进行有序排列；

步骤4，从所述步骤1生成的树的第二层节点开始到树的末梢节点，分别将各自父节点的策略列表合并到自身所关联的策略列表中，同时保证策略列表的有序性；

步骤5，匹配策略时，根据用户访问目标，检索对应的访问对象，若没有匹配到具体的访问对象，则指定匹配到默认所述特定访问对象；

步骤6，从所述步骤5得到的访问对象中的策略列表的表头开始，逐一检查用户是否匹配策略关联的角色，若匹配成功，则该策略关联的操作即为当前用户访问当前对象的最终权限，同时不再检查后续策略，完成匹配检索工作。

由于采用了如上的技术方案，本发明的有益效果在于：本发明的检索方法采用空间换时间的优化原则，先将RBAC模型转化成类似访问控制列表的模型，有效地避免了权限查询过程中无用的策略匹配，提高了权限查询的效率。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明的一个带优先级的策略表的一个具体实施例的示意图。

图2是图1所示的所有访问对象的组织成一棵树的示意图。

图3是本发明的遍历策略数据的示意图。

图4是本发明进行关联策略列表的示意图。

图5是本发明进行匹配策略时的示意图

具体实施方式

为了使本发明实现的技术手段、创作特征、达成目的与功效易于明白了解，下面结合具体图示，进一步阐述本发明。

参见图1，图1为一个带优先级的策略列表的一个具体实施例的示意图，在本实施例中，OA系统的功能，包含了自身独有的OA功能外，还包含了“邮件系统”和“CRM系统”两个子系统。“所有的访问对象”作为一个特殊的访问对象，通常用于指定默认的初始策略，例如默认所有主体不能访问“所有的访问对象”，超级管理员允许访问“所有的访问对象”。

本发明的一种带优先级策略的访问控制构造的检索方法，包括以下步骤：

步骤1，将所有的访问对象(客体)组织成一棵树，其中树的根为特定对象，特定访问对象由所有的访问对象构成，即特定访问对象表示包含所有的访问的客体，如图2所示；

步骤2，为每个访问对象附加一个空的带优先级的策略列表，每一策略列表的元素的类型为策略；

步骤3，遍历策略数据，逐一添加到相对应对象的策略列表中，同时维持每一策略列表的列表项按照优先级进行有序排列，如图3所示；

步骤4，从步骤1生成的树的第二层节点开始到树的末梢节点，分别将各自父节点的策略列表合并到自身关联的策略列表中，同时保证策略列表的有序性，如图4所示；

步骤5，权限匹配的输入条件是主体信息(如用户系统账号，用户身份证号等)和访问对象信息(如url地址等)；在匹配策略时，先根据用户的访问目标信息，匹配访问对象；若没有匹配到具体的访问对象，则指定匹配到默认特定访问对象，即为所有的访问对象，如图5所示；

步骤6，从步骤5得到的访问对象中的策略列表的表头开始，逐一检查用户是否匹配策略关联的角色，若匹配成功，则该策略关联的操作即为当前用户访问当前对象的最终权限，不再检查后续策略，完成匹配检索工作，如图5所示。

以上显示和描述了本发明的基本原理和主要特征和本发明的优点。本行业的技术人员应该了解，本发明不受上述实施例的限制，上述实施例和说明书中描述的只是说明本发明的原理，在不脱离本发明精神和范围的前提下，本发明还会有各种变化和改进，这些变化和改进都落入要求保护的本发明范围内。本发明要求保护范围由所附的权利要求书及其等效物界定。

Claims (1)

1.一种带优先级策略的访问控制构造的检索方法，其特征在于，包括以下步骤：

步骤1，将所有的访问对象组织成一棵树，其中所述树的根为特定访问对象，所述特定访问对象由所有的访问对象构成；

步骤2，为每个访问对象附加一个空的带优先级的策略列表，每一策略列表的元素的类型为策略；

步骤3，遍历策略数据，逐一添加到相对应的访问对象的策略列表中，同时维持每一策略列表的列表项按照优先级进行有序排列；

步骤4，从所述步骤1生成的树的第二层节点开始到树的末梢节点，分别将各自父节点的策略列表合并到自身所关联的策略列表中，同时保证策略列表的有序性；

步骤5，匹配策略时，根据用户访问目标，检索对应的访问对象，若没有匹配到具体的访问对象，则指定匹配到默认所述特定访问对象；

步骤6，从所述步骤5得到的访问对象中的策略列表的表头开始，逐一检查用户是否匹配策略关联的角色，若匹配成功，则该策略关联的操作即为当前用户访问当前对象的最终权限，同时不再检查后续策略，完成匹配检索工作。

Images