CN110569652B - 一种基于用户角色调整的动态访问控制方法 - Google Patents

Abstract

本发明公开了一种基于用户角色调整的动态访问控制方法。首先对所有资源权限进行基于最小化权限原则的权限划分，形成权限的包容集合，系统管理员再通过编辑控制函数集将最小化的权限根据不同角色的具体权限需要进行打包控制，形成一个个权限集合，共同构成权限集。最后系统将权限集里对用户角色的权限集合赋予用户。管理员只需对控制函数集进行编辑，就可以对权限的分配进行动态控制。本发明能适应于用户角色身份的动态变化，保护用户角色与权限之间的正确对应关系，有效防止内网资源的非法访问，很好地满足系统不断变化的安全需求。

Description

一种基于用户角色调整的动态访问控制方法

技术领域

本发明属于信息安全技术领域，涉及一种访问控制方法，尤其涉及一种适用于内部网络资源的基于角色调整的访问控制方法。

背景技术

当前主流的访问控制方式主要有三种模式：自主访问控制、强制访问控制和基于角色的访问控制。

自主访问控制(DAC)，是指由用户有权对自身所创建的访问对象(文件、数据表等)进行访问，并可将对这些对象的访问权授予其他用户和从授予权限的用户收回其访问权限。属主可自行决定自己的客体的访问权限或部分访问权限授予其他主体。这种模式是自主进行的，在一定程度上可以实现不同用户的权限隔离和资源保护，实现高效简便。

强制访问控制(MAC)，是指由系统(通过专门设置的系统安全员)对用户所创建的对象进行统一的强制性控制，按照规定的规则决定哪些用户可以对哪些对象进行什么样操作系统类型的访问，即使是创建者用户，在创建一个对象后，也可能无权访问该对象。这种访问控制的信息流从低安全级向高安全级流动。

DAC或MAC模型的主要任务都是对系统中的访问主体和受控对象进行一维的权限管理。当用户数量多、处理的信息数据量巨大时，用户权限的管理任务将变得十分繁重且难以维护，这就降低了系统的安全性和可靠性。

基于角色的访问控制(RBAC)是目前国际上流行的安全访问控制方法。它从控制主体的角度出发，根据管理中相对稳定的职权和责任来划分角色，将访问权限与角色相联系，并且提供角色分配规则。基于角色访问控制可以很好地描述角色层次关系，实现最小特权原则和职责分离原则。

随着网络环境不断发展，系统结构持续优化，资源权限也在不断细化，用户自身的角色及其对应的资源访问权限往往会因为一些外在因素发生变化。同时，系统中的角色也会进行更新或增删，相应的访问权限也会随之变化，如果用户的角色身份地位被降低，而分配给用户的权限没有收回或降低，又或是资源访问权限等级被提升，而分配到相应角色的权限没有进行对应调整，则都会造成低等级角色用户非法访问高等级内部工作网络资源的严重后果。传统的面向封闭环境的静态访问控制策略在当前信息形势下，难以保证内部工作网络资源对终端的安全分配，针对以上问题，提出了一种基于用户角色调整的动态访问控制方法，基于最小权限原则，实现用户角色变更时对资源访问权限的动态调整。

发明内容

本发明旨在提供一种访问权限动态控制方法，提高访问控制灵活性。

为此，本发明的目的在于，通过设计基于用户角色调整的动态访问控制方法，能有效保障内网访问控制权限分配的安全性，能够根据用户角色变化和系统资源权限更新动态调整用户权限，具有安全性高、授权管理便捷、可以根据工作需要灵活调整终端度量内容、容易实现的优点。

为实现上述目的，本发明提供基于用户角色调整的动态访问控制方法，包括以下步骤：

一种基于用户角色调整的动态访问控制方法，其特征在于,基于用户定义:

用户ID生成唯一身份令牌(T_u)(如USBKey设备和密保卡等)，该令牌由用户身份标识(U_id)、身份有效开始时间(T_s)、身份有效时间(T_v)以及用户主机标识(Host)所组成，如式(1)所示：

T_u＝{U_id,T_s,T_v,Host}

方法包括：

步骤1：系统管理员对内网资源进行最小化权限划分，形成各个资源对应的多种权限；

步骤2：用户使用身份标识认证，在系统管理员处查询分配角色；

步骤3：系统管理员编辑控制函数集；

步骤4：根据控制函数集对资源权限进行打包控制，将输入的资源权限输出为权限集，设置权限集有效时间,所述的资源权限打包控制，计算公式如下：

其中，Aij表示系统资源i对应的j权限，PSk表示角色k对应的权限集合；

步骤5：根据工作场景和资源更新等系统外界因素判断是否当前系统内角色对应的资源权限集合是否更新，若是转入步骤3，若否转入步骤6；

步骤6：系统管理员根据用户角色，查询用户对资源对象的访问权限；

步骤7：根据用户在当前工作场景的查询请求时间判断是否在权限集有效时间段内，若在转入步骤8，若不在转入步骤3；

步骤8：反馈授权结果信息至用户；

步骤9：结束。

通过本发明的技术方案，角色对应的权限集合具有灵活性，能够根据当前工作场景要求和权限集有效时间判断是否要重新计算权限集，实现动态调整角色对应的访问权限。

附图说明

图1：本发明实施例的基于用户角色调整的动态访问控制方法模型。

图2：本发明实施例的基于用户角色调整的动态访问控制方法流程图。

图3：本发明一较佳实施例的流程图。

具体实施方式

为了便于本领域普通技术人员理解和实施本发明，下面结合附图及实施例对本发明作进一步的详细描述，应当理解，此处所描述的实施示例仅用于说明和解释本发明，并不用于限定本发明。

本发明的拓展模型请见图1，本发明提供的基于用户角色调整的动态访问控制方法。本发明在内网系统中的运行步骤请见图2，包括以下步骤：

步骤1：资源管理服务器对内网资源进行最小化权限划分，形成各个资源对应的多种权限；

步骤2：用户使用身份标识认证，向服务器查询分配角色；

步骤3：服务器编辑控制函数集；

步骤4：根据控制函数集对资源权限进行打包控制，将输入的资源权限输出为权限集，设置权限集有效时间；

步骤5：根据工作场景和资源更新等系统外界因素判断是否当前系统内角色对应的资源权限集合是否更新，若是转入步骤3，若否转入步骤6；

步骤6：服务器根据用户角色，查询用户对资源对象的访问权限；

步骤7：根据用户在当前工作场景的查询请求时间判断是否在权限集有效时间段内，若在转入步骤8，若不在转入步骤3；

步骤8：反馈授权结果信息至用户；

步骤9：结束。

进一步，本发明提供的一种资源访问权限打包控制方法请见图3，它由资源权限(A_ij)、资源更新状态(Ri_update)、权限集有效时间段(T_valid)、权限打包控制函数(F)、资源更新匹配算法(Algo_map)、控制权限函数集(Algo_set＝{F1,F2,…,Fn})和权限集(PS_k)组成。

每一个内网用户在访问内网资源前需要验证用户身份，验证通过后再使用资源访问权限打包控制方法，返回对应角色当前的访问控制策略。系统认证服务器依据用户ID生成唯一身份令牌(T_u)(如USBKey设备和密保卡等)，该令牌由用户身份标识(U_id)、身份有效开始时间(T_s)、身份有效时间(T_v)以及用户主机标识(Host)所组成，如式(1)所示：

T_u＝{U_id,T_s，T_v,Host} (1)

用户使用该令牌向系统服务端验证身份标识，若验证通过，系统服务器继续向用户提出对令牌对应的用户名Un和口令Up的验证挑战，如式(2)所示：

假设用户验证口令通过后服务器查询到该用户对应角色k，资源管理服务器开始轮询Ri_update并保存为资源集合R_sc，如式(3)所示：

资源管理服务器将Rsc和T_valid作为参数，使用Algo_map算法映射出包含了当前请求访问权限状态更新资源的权限打包函数F并进行更新，如式(4)～(5)所示：

根据映射结果，服务端将Algo_set中对应的F_k进行更新，并重新计算角色k的PS_k，如式(6)所示：

其中，A_ij：是对某种资源的最小权限划分，它表示资源i的j权限状态。内网系统中的所有资源的访问权限划分都要遵照最小权限划分原则。

Ri_update：是资源i的权限更新状态表示，它表示了资源i的访问权限在当前权限集有效期内是否存在更新，作为资源更新匹配算法的输入参数。

T_valid：是权限集有效时间段标识，它标识了当前权限集是否在有效期内。当用户请求查询访问权限时在对应角色权限集的有效时间段内，系统将允许反馈授权结果给用户；一旦超过时间范围，权限集自动作废，查询权限就自动停止。

F：访问权限打包控制函数是系统管理员可自主调整的权限集计算函数，一个角色对应一种权限打包控制算法F。例如，角色k的权限打包控制算法如式(7)所示：

当系统资源需要修改资源访问权限时，资源更新匹配算法会对包含该资源的权限打包控制函数进行映射和更新。管理员只需对控制函数集中相应的F进行编辑，就可以对权限的分配进行动态控制。

Algo_map：资源更新匹配算法是对更新了访问权限的资源i和其对应的控制权限函数的匹配。例如，角色k的资源更新匹配算法(8)所示：

当控制权限函数集中的访问权限打包控制函数F包含更改了访问权限的资源i时，系统管理员将通过该算法映射出F并对其进行更新。

Algo_set：控制权限函数集是根据不同角色设置的访问权限打包控制算法的集合，系统根据用户请求通过的角色k在函数集中来选择对应的访问权限打包控制函数F_k，计算得到角色k相应的访问权限集PS_k并更新T_valid。

PS_k：表示角色k对应的权限集合，是用户对应角色请求的访问权限集合。

应当理解的是，本说明书未详细阐述的部分均属于现有技术。

应当理解的是，上述针对较佳实施例的描述较为详细，并不能因此而认为是对本发明专利保护范围的限制，本领域的普通技术人员在本发明的启示下，在不脱离本发明权利要求所保护的范围情况下，还可以做出替换或变形，均落入本发明的保护范围之内，本发明的请求保护范围应以所附权利要求为准。

Claims (1)

1.一种基于用户角色调整的动态访问控制方法，其特征在于,基于用户定义:

步骤1：资源管理服务器对内网资源进行最小化权限划分，形成各个资源对应的多种权限；

步骤2：用户使用身份标识认证，向服务器查询分配角色；

步骤3：服务器编辑控制函数集；

步骤4：根据控制函数集对资源权限进行打包控制，将输入的资源权限输出为权限集，设置权限集有效时间；

步骤5：根据工作场景和资源更新等系统外界因素判断是否当前系统内角色对应的资源权限集合是否更新，若是转入步骤3，若否转入步骤6；

步骤6：服务器根据用户角色，查询用户对资源对象的访问权限；

步骤7：根据用户在当前工作场景的查询请求时间判断是否在权限集有效时间段内，若在转入步骤8，若不在转入步骤3；

步骤8：反馈授权结果信息至用户；

步骤9：结束；

多种权限由资源权限A_ij、资源更新状态Ri_update、权限集有效时间段T_valid权限打包控制函数F、资源更新匹配算法Algo_map、控制权限函数集Algo_set＝{F1,F2,…,Fn}和权限集PS_k组成；

每一个内网用户在访问内网资源前需要验证用户身份，验证通过后再使用资源访问权限打包控制方法，返回对应角色当前的访问控制策略；系统认证服务器依据用户ID生成唯一身份令牌T_u，该令牌由用户身份标识U_id、身份有效开始时间T_s、身份有效时间T_v以及用户主机标识Host所组成，如式(1)所示：

T_u＝{U_id ,T_s,T_v,Host } (1)

用户使用该令牌向系统服务端验证身份标识，若验证通过，系统服务器继续向用户提出对令牌对应的用户名U_n和口令U_p的验证挑战，如式(2)所示：

假设用户验证口令通过后服务器查询到该用户对应角色k，资源管理服务器开始轮询Ri_update并保存为资源集合R_sc，如式(3)所示：

资源管理服务器将Rsc和T_valid作为参数，使用Algo_map算法映射出包含了当前请求访问权限状态更新资源的权限打包函数F并进行更新，如式(4)～(5)所示：

根据映射结果，服务端将Algo_set中对应的Fk进行更新，并重新计算角色k的PS_k，如式(6)所示：

其中，A_ij：是对某种资源的最小权限划分，它表示资源i的j权限状态；内网系统中的所有资源的访问权限划分都要遵照最小权限划分原则；

Ri_update：是资源i的权限更新状态表示，它表示了资源i的访问权限在当前权限集有效期内是否存在更新，作为资源更新匹配算法的输入参数；

T_valid：是权限集有效时间段标识，它标识了当前权限集是否在有效期内；当用户请求查询访问权限时在对应角色权限集的有效时间段内，系统将允许反馈授权结果给用户；一旦超过时间范围，权限集自动作废，查询权限就自动停止；

F：访问权限打包控制函数是系统管理员可自主调整的权限集计算函数，一个角色对应一种权限打包控制算法F；角色k的权限打包控制算法如式(7)所示：

当系统资源需要修改资源访问权限时，资源更新匹配算法会对包含该资源的权限打包控制函数进行映射和更新；管理员只需对控制函数集中相应的F进行编辑，就可以对权限的分配进行动态控制；

Algo_map：资源更新匹配算法是对更新了访问权限的资源i和其对应的控制权限函数的匹配；角色k的资源更新匹配算法(8)所示：

当控制权限函数集中的访问权限打包控制函数F包含更改了访问权限的资源i时，系统管理员将通过该算法映射出F并对其进行更新；

Algo_set：控制权限函数集是根据不同角色设置的访问权限打包控制算法的集合，系统根据用户请求通过的角色k在函数集中来选择对应的访问权限打包控制函数FK，计算得到角色k相应的访问权限集PS_k并更新T_valid；

PS_k：表示角色k对应的权限集合，是用户对应角色请求的访问权限集合。