科技通报 第２９卷第６期 Ｖｏ１．２９ Ｎｏ．６ ２Ｏｌ３年６月 ＢＵＬＬＥＴＩＮ ０Ｆ ＳＣＩＥＮＣＥ ＡＮＤ ＴＥＣＨＮ０Ｌ０ＧＹ Ｊｕｎ．２０１３ 一种企业级分层访问控制模型研究 谢 曼 喃京工业大学电子与信息工程学院，南京２１０００９） 摘要：针对企业级信息系统中用户多而分散、业务管理层级分明所引起的访问控制复杂这一问题，提 出一种企业级分层访问控制模型，结合用户组织建模和角色分层，实现用户与角色的动态管理，通过角 色任务授权实现权限的动态管理。通过实践验证，该模型可行、有效。 关键词：访问控制；角色分层；角色任务授权；企业级 中图分类号：ＴＰ３０９．２ 文献标识码：Ａ 文章编号：１００１—７１１９（２０１３）０６—０１９１—０３ Ｒｅｓｅａｒｃｈ ｏｎ Ａ Ｈｉｅｒａｒｃｈｙ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｍｏｄｅｌ ｆｏｒ Ｅｎｔｅｒｐｒｉｓｅ ｉｅ Ｍｉｎ （Ｃｏｌｌｅｇｅ ｏｆ Ｅｌｅｃｔｒｏｎｉｃｓ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｅｎｇｉｎｅｅｒｉｎｇ，Ｎａｍｉｎｇ Ｕｎｉｖｅｒｓｉｔｙ ｏｆ Ｔｅｃｈｎｏｌｏｇｙ，Ｎａｎｊｉｎｇ ２１０００９，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ：Ｗｉｔｈ ｔｈｅ ｐｒｏｂｌｅｍｓ ｏｆ ｃｏｎｔｒｏｌ ｃｏｍｐｌｅｘｉｔｙ ｃａｕｓｅｄ ｂｙ ｔｈｅ ｌａｒｇｅ ａｍｏｕｎｔ ｏｆ ｄｉｓｐｅｒｓｅｄ ｕｓｅｒｓ ａｎｄ ｃｌｅａｒ ｌａｙｅｒｓ ｏｆ ｍａｎａｇｅｍｅｎｔ，ａ ｄｙｎａｍｉｃ ｈｉｅｒａｒｃｈｙ ａｃｃｅｓｓ ｃｏｎｔｒｏｌ ｍｏｄｅｌ ｆｏｒ ｅｎｔｅｒｐｒｉｓｅ ｉｓ ｐｒｅｓｅｎｔ￣，ｄ，ｉｎ ｗｈｉｃｈ ｔｈｅ ｄｙｎａｍｉｃ ｍａｎａｇｅｍｅｎｔ ｏｆ ｕｓｅｒｓ ｏｆ ｒｏｌｅｓ ｉｓ ｒｅａｌｉｚｅｄ ｔｈｒｏｕｇｈ ｕｓｅｒ ｇｒｏｕｐｓ ａｎｄ ｒｏｌｅ ｈｉｅｒａｒｃｈｙ ｍｏｄｅｌｉｎｇ，ａｎｄ ｒｏｌｅ－ｔａｓｋ ｐｅｒｍｉｓｓｉｏｎ ｌｅａｄｓ ｔｏ ｔｈｅ ｄｙｎａｍｉｃ ｐｒｉｖｉｌｅｇｅ ｍａｎａｇｅｍｅｎｔ．Ｔｈｅ ｍｏｄｅｌ ｉｓ ｐｒｏｖｅｄ ｔｏ ｂｅ ｅｆｆｅｃｔｉｖｅ ｔｈｒｏｕｇｈ ｒｅａｌ ａｐｐｌｉｃａｔｉｏｎ． Ｋｅｙ ｗｏｒｄｓ：ａｃｃｅｓｓ ｃｏｎｔｒｏｌ；ｒｏｌｅ ｈｉｅｒａｒｃｈｙ；ｒｏｌｅ－ｔａｓｋ ｐｅｒｍｉｓｓｉｏｎ；ｅｎｔｅｒｐｒｉｓｅ ０ 引言 系统资源的访问权限和使用的功能无差别。因此，针对 这些问题，本文提出一种分层访问控制模型。 ．ＲＢＡＣ模型通过引入角色概念，将系统用户和操作 权限分离，提高权限管理的灵活性，被公认为适合于大 １模型描述 型企业级系统的访问控制应用【】＿卅。但实际应用中，大型 企业级信息系统跨地域、跨平台、实行企业分层分级管 大型企业级信息系统具有规模大，复杂性高，用户 理模式，其用户众多且分散，使用ＲＢＡＣ模型需要设置 数量多，分布广的特点。鉴于此，模型引入用户组概念， 的大量角色，角色分配和管理工作庞大且繁琐，模型缺 首先将系统用户按组织层次、用户职能等因素划分用 乏良好的自我管理能力；另一方面，对系统中受访问资 户组，然后对系统角色进行层次划分，通过定义角色层 源，ＲＢＡＣ模型缺乏具体的访问控制策略，也未对其安 次的访问权限来实现对系统资源的访问控制。在此基 全性特征进行抽象描述，在一定程度上不能满足实际 础上，建立用户组与角色的对应关系，以实现大型系统 访问控制中的要求。 中用户与角色的动态管理。为实现职责分离、最小权限 已有资料进行了一些有针对性的研究，然而，现有 原则和权限的动态管理，模型在角色与权限之间引入 研究大多是基于ＲＢＡＣ模型对访问控制中某方面问题 任务（任务点）概念，先将所定义的业务流进一步细分 的改进或拓展，对于企业级信息系统的访问控制，缺乏 为任务和任务点，再将任务与用户、角色、权限相关联， 对用户组织层次［５１、角色的细分，以及对客体粒度的划 用户以某种角色进入系统后，只有在执行具体任务或 分与访问控制策略，造成不同用户获得某一角色后，对 任务点时才能获得相应的权限。 收稿日期：２０１２—０１—１４ 基金项目：江苏省高校自然科学基金（０９ Ｂ５２００Ｏ６）；东南大学计算机网络和信息集成教育部重点实验室项目（Ｋ９３—９— ２ｏｌｏ－ｏ４）。 作者简介：谢曼（１９８０一），女，南京人，硕士，讲师，研究方向：计算机应用技术。 １９２ 科技通报 第２９卷 图１企业级分层访问控制模型 Ｆｉｇ．１ Ｅｎｔｅｒｐｒｉｓｅ ｔｉｅｒｅｄ ａｃｃｅｓｓ ｃｏｎｔｒｏｌ ｍｏｄｅｌ 顶层 第１层 第２层 图２用户组织层次模型 Ｆｉｇ．２ Ｕｓｅｒ ｇｒｏｕｐｓ ｈｉｅｒａｒｃｈｙ ｍｏｄｅｌ 图３任务状态与执行权限示意 ‘ Ｆｉｇ．３ Ｔｈｅ ｔａｓｋ ｓｔａｔｕｓ ａｎｄ ｐｅｒｍｉｓｓｉｏｎ ｔｏ ｅｘｅｃｕｔｅ ｓｃｈｅｍａｔｉｃ ２模型定义 定义１用户（Ｕｓｅｒ）：用户是访问系统资源的主体。 ｕ表示一个用户，Ｕｓｅｒｓ表示所有用户的集合。 定义２用户组（ｕＧ）：一组特定用户的集合。“ 示用户组，ｕｇ＝ ， …，Ｍ ｝，“ （ ｌ ２－．，ｎ）是其中一个用 户。 表示用户组集合，￣ｌｕｃ＝｛ｕｇ ，“ ，…， ｝，其中 （ｉ＝１，２，…， 是一个用户组（图１所示）。 定义３角色（Ｒｏｌｅ）：角色是指业务流环境中具有 特定职能或工作的活动主体。 为一个角色，Ｒｏｌｅｓ表示 系统中所有角色的集合。 定义４角色层次（ＲＬ）：角色层次表述为一个树结 构，树的根节点为最高角色层次 ，拥有最大访问权 限的角色ｒｏ；根节点的下一层次为 ，拥有第二级别访 问权限角色 以此类推。 定义５任务（Ｔａｓｋ）：在业务流程中的一项具体工 作称为任务。任务分为若干操作步骤，具有完整语义的 步骤称为任务点，用ｔ表示，ｔ∈Ｔａｓｋ。每个任务点有４种 状态：等待态，任务等待被执行；执行态，任务正在被执 行；完成态，任务已执行完成；锁定态，特定情况下，任 务终止执行并被管理员锁定。ＴＧ（Ｔａｓｋ Ｇｒｏｕｐ）表示任务 集，ＶＴａｓｋ（Ｔａｓｋ∈ＴＧ）Ｔａｓｋ＝｛ｔ１，ｔ２，…，ｔ ｌ ｔ ∈ｔｌ。 定义６客体集（Ｏｓ）：客体是系统中对一组受访资 源的抽象，客体集则是多个抽象的集合。 定义７客体实例（ｏｉ）：客体实例是系统中实际受 访的资源，根据受访问资源的不同属性可以对其分类 抽象。 定义８操作权限（ＯＰ１：允许系统用户对访问客体 可施加动作的权限。用ＯＰＧ表示操作权限的集合。 Ｖｔ（ｔ∈Ｔａｓｋ）拄｛ＤＰ１，０Ｐ２…ＯＰ．１ ０ ∈ＯＰ｝。 定义９会话（Ｓｅｓｓｉｏｎ）：一个会话是一个用户到多 个角色的映射，设ＳＥＳＳＩＯＮ为会话集，则用户“发起的 会话集表示为：ｕ＿ｓｅｓｓｉｏｎ（ｕ：ｕｓｅｒ） ２ ，ｓｅｓｓｉｏｎ—ＵＧ（ｓ： ＳＥＳＳＩＯＮ）－－－￣２ 。是从ｓ到ｕＧ的映射，表示会话实例ｓ所激 活的用户组实例集［６１。 ３授权管理 为进行授权，首先建立用户组织层次ｔＴｌ，如图２。应 用中，可按实际需求建立用户组织层次，如可按行政结 构、用户职能、工程特性等要素来建立。 根据组织层次，结合工作流中各类用户的访问控 制需要，建立角色层次模型，将具体的角色类型对应到 特定的角色层次，并为每个角色层分配可视任务项，将 整个组织按层次结构划分为不同角色层次，生成对应 的角色树。 系统通过用户一用户组指派将用户指派到相应用 户组，通过用户组一角色指派为用户分配角色，通过操 作权限一任务点指派将任务点与执行该任务点需要的 操作权限关联。当具有某个角色的系统用户进入业务 流程，首先通过其所属角色层次判断该角色的任务访 问权限，系统加载该角色的可视任务视图，当该角色调 度执行其可视任务项中的某个任务（任务点）时，系统 再通过任务点一角色指派授权关系为其授予实际的执 行权限。应用中，可按实际访问控制需求，对某些环节 进行裁剪，如任务点可归并到特定任务。 权限指派关系定义如下： 定义１０用户组一角色指派（ＵＧＲ），用户组与角色 第６期 谢曼．一种企业级分层访问控制模型研究 １９３ 之间多对多的关系：ＵＧＲ（ｒ，ｕｇ）＝ｆ（ｒ， ）Ｉｒ∈Ｒ，ｕｇ∈ 了该集团旗下９家子公司的人力资源管理功能，根据不 ＵＧ，ＵＧＲ（ｕｇ） ＵＧＲ｝。用户组 派角色ｒ，即用户组 同层级部门用户对系统功能和业务信息的各类访问权 具有角色ｒ。ＵＧＲ（ｇ）表示用户组 支指派的角色集合。 限要求，采用本模型，建立了三级共９类角色层次，１２个 定义１ １ ＵＵＧ：用户一用户组指派用户与用户组 用户组，有效的实现了分级分层权限管理控制和权限 之间多对多的关系ＵＵＧ＿ＣＵＲ ｘＵｓｅｒ。 最小化原则，降低了系统访问控制的复杂度，满足了 用户指派到用户组所具有的角色：ＵＧ（ｕ）＝｛ｕＲ（ 集团用户的需求。 ）ｌｕｇ∈ＵＵＧ（Ｍ）｝，其中“∈Ｕｓｅｒ。 定义１２操作权限一任务点指派（ＴＯＰＬ），操作权限 ６结束语 与任务点之间多对多关系ＴＯＰＬＣ＿ｔｘＯＰ。 权限指派函数ａｓｓｉｇｎｅｄ＿ｐｅｒｍｉｓｓｉｏｎｓ：（ｔ：ｔ∈Ｔａｓｋ）－－－￣２衄 本文针对现有ＲＢＡＣ模型应用于大型企业级系统 为一个从ｔ￣ＩＪＴＯＰＬ的映射：ａｓｓｉｇｎｅｄ＿ｐｅｒｍｉｓｓｉｏｎｓ（ｔ）－｛ｐ∈ 访问控制中角色分配、权限管理上的局限性，结合用户 ＯＰｌ（ｐ，ｔ）∈ＴＯＰＬ｝。 组织建模和角色层次建模的思想，提出了一种基于用 定义１ ３任务点一角色指派授权关系：ＵＲＴ ｆ Ｍ，ｔ， 户组的企业级动态分层访问控制模型，详细说明了模 Ｐ）＝｛（ｒ，ｕ，ｔ，ｐ）ｌｒ∈Ｒ，“∈Ｕｓｅｒ，ｔ∈Ｔａｓｋ，Ｒ ｕＲ（Ｍ），ＰＵ（ｕ 型要素，通过用户角色授权实现系统角色的动态管理， ）Ｃ＿ＰＲ（ｒ）ｎＰＲ（ｔ）｝，表示用户“，以角色ｒ进人系统后，在任 通过角色任务授权实现权限最小化原则和动态管理， 务 ４ｔ，获得权限ｐ。 降低了系统访问控制的复杂度。经实践检验，该模型切 实、有效。 ４ 约束 参考文献： 约束１：不存在两个具有相同用户的用户组，且不 ［１】 王悦，高虎明．扩展式基于角色的访问控制模型的研究 存在两个具有相同角色的用户。 ［Ｊ】．计算机工程与设计，２００８，０２． 约束２：不存在两个具有角色交集的角色层次。 【２］ 鞠成东，廖明宏．基于ＲＢＡＣ模型的角色权限及层次关系 约束３：同一个任务只能指派一互斥角色集中的一 研究［Ｊ】．哈尔滨理工大学学报，２００５，０４． 个角色。 【３】 李铮，李端明．ＲＢＡＣ模型在企业信息系统架构中的应用 约束４：一个任务可以指派的角色数目为ｎ，则ｎ＜Ｌ 与实现『Ｊ１．图书情报工作，２００９，１４． ｆＬ为一个阈值）。 ［４】 胡迎松，陈网０．一种基于角色和部门的访问控制模型［Ｊ１． 约束５：同一个角色只能指派一互斥操作权限集中 计算机工程与科学，２００６，２８（７）． 的一个操作权限。 ［５】Ｘｉｎｇ Ｈａｎ—ｆａ，ｅｔ ａｌ Ｅｘｔｅｎｄｅｄ ａｃｃｅｓｓ ｃｏｎｔｒｏｌ ａｐｐｒｏａｃｈ ｂａｓｅｄ ｏｎ ｒｏｌｅ ａｎｄ ｇｒｏｕｐ［Ｊ］．Ａｐｐｌｉｃａｔｉｏｎ Ｒｅｓｅａｒｃｈ ｏｆ Ｃｏｒｎ— ５实验及结果分析 ｐｕｔｅｒｓ，２００９，２６（３）：１０９８－１ １００． ［６ ６］陆淑娟，徐新艳．基于组织建模的企业级信息系统访问 控制模型［Ｊ】．计算机工程与设计，２０１ １，３２． 本文提出的访问控制模型在某大型钢铁集团人力 ［７】 姚国林，唐慧刚．工作流管理系统中的信息安全研究［Ｊ］． 资源一体化管理信息系统（Ｅ—ＨＲ）中的到了应用，整合 科技通报，２０１２，２８（２）．