RBAC模型的權限管理子系統的設計

陽斌 劉青銀

引言：本文在對計算機管理系統進行概述的基礎上，對RBAC模型進行簡要分析，從而對RBAC模型的權限管理子系統的設計方式進行具體研究。

RBAC模型在信息化的權限管理中具有突出重要的作用，通過RBAC模型，能夠對系統使用者的訪問、操作等程序進行更加合理、安全的權限設定控制工作。

一、 計算機管理系統概述

計算機管理系統作為人機交互系統具有特殊復雜性，每一處系統環節均可能遭受安全威脅。因此，建立強化的權限管理體系，能夠合理保證系統管理的安全性。現階段，RBAC模型具備相對完善的理論根基，同時在權限管理方面也具有靈活快捷的特點，在提出后一直受到業內重視，并在權限管理中被大范圍使用。RBAC的核心理念即是將權限對角色進行分配，用戶被賦予身份角色后，即擁有相對應的權限。

二、 基于RBAC的模型

RBAC在1992年被正式提出，在1996年，喬治麻省大學的Sandhu教授設計出RBAC96模型，并被業內當作經典模型而廣泛利用。RBAC96作為模型族，其中的RBAC3具有綜合性，主要包括四個實體即role、user、permission、session，四種關系即Permission assignment、User assignment、Role hierarchy、Constraints，和兩種映射即用戶對用會話和會話對應角色[1]。

使用RBAC模型的最大優勢在于能夠將用戶與用戶擁有的權限進行分離，管理員需要把用戶授權和用戶權限進行合理劃分從而分別處理，把權限授予相應角色，并將授予的角色交給用戶，從而完成授權的相應操作。如圖1為RBAC訪問權限控制模型[2]。

圖1RBAC訪問權限控制模型

RBAC模型族中的RBAC0定義能夠構成RBAC權限控制系統的最小元素集合。在RBAC模型中，具有users、roles、objects、operations、permissions五個基本的數據元素，權限賦予在角色部分，而不是直接賦予用戶。而當角色制定給對應的使用者是，使用者將擁有角色所具有的權限。同時，一個使用者可以對應多個角色，而一個角色也可以由多個使用者共享，類似人類顯示生活中具有的多重身份角色。Sessions為激活角色和使用者集合間的映射，本質感念類似傳統意義中訪問控制機制中主體標記[3]。一個主體即為一個訪問控制的單位，相同道理，一個使用者能夠在同一時間內包含多個具有不同權限的主體。RBAC0相比于傳統的訪問控制，具有更加優異的間接靈活性，每一個角色至少能夠具有一個權限。其后的RBAC1、RBAC2以及RBAC3均是在RBAC0的基礎上擴展形成的。

RBAC模型中，使用者、角色與控制對象三個要素的關系能夠抽象出來，單個用戶和角色可以統一看待為主體，而所有資源則能夠統一看作為客體，同時再算上操作，這樣三種元素下，主體對客體就具有了相應的操作權限。這樣能夠相對容易地對許多問題進行解決，授權進程中，需要將使用者、角色等權限進行清晰的表述[4]。

三、 RBAC模型的權限管理子系統設計

1. 系統需求

權限管理旨在對使用者進行身份識別和相關權限的維護，也能夠完成使用者對資源操作的控制。此外，當用戶以某一個角色登陸系統時，系統需要對他在每個資源中的操作進行監控，從而判斷該使用者是否具備對應權限，如果使用者確實具備，那么允許施行，否則對其操作進行阻止。依據RBAC模型相關理論，權限管理子系統具有需求有：第一，權限管理的子系統需要對進行非系統資源訪問的使用者進行身份識別認證，切實對使用者的權限進行判斷，例如密碼輸入方面試行三次錯誤鎖定的設置；第二，權限管理子系統需要作為資源管理的核心控制系統，重點需要強化用戶使用模塊的配置工作；第三，權限管理的子系統需要保證操作的靈活簡潔，保證具有不同計算機操作水平的使用者均能夠較為熟練地進行操作；第四，權限管理的子系統應該具備相應的高效和安全性，保證系統資源的安全，防止惡意程序入侵，保證系統資源的完整性。

2. 系統架構設計

權限管理的子系統可分為表現層、業務層、持續層、數據層。其中表現層選取穩定框架，使用穩定的框架對系統進行處理工作從而切實減少工作運轉的數量[5]。同時，基于方便擴展的原則，需要設計工作形式的基礎形式以及工作基類的基礎活動。基礎形式類繼承工作形式，基礎活動類繼承處理活動類，與其相關的活動類則要繼承基礎形式類從而完成業務相關功能。

業務層使用Fa?ade方式，對所有的業務邏輯相關操作進行封裝，從而為調用表現層提供便利。持續層則使用應用范圍較廣的ORM框架Hibernate，從而合理將對象與關系的一系列數據進行轉換。可以使用封裝所通用的泛用性Dao接口中的Dao形式，保證數據操作的持久化。Hibernate可以有效進行Dao接口的實現工作。數據層則使用關系類數據庫，并通過Hibernate框架形成對象相互管理的映射機制。

3. 業務設計

系統業務的實體在內存當中能夠變現成實體域的對象，而在數據庫中則表現成關系數據。業務實體的有效實現需要做到設計、創建與模型的實體和設計關系的數據模型兩大方面的具體內容。其中，實體域模型中實體間的相應關系如表1所示：

表1實體域模型中實體間關系

實體 關系

用戶與角色 雙向多對多

用戶組與角色 雙向多對多

角色與權限 雙向多對多

權限與資源 單向多對一

權限與操作 單向多對一

關系模型中，描述對象的屬性與方式的JAVA類如表2所示：

描述對象 JAVA類

詳用戶信息 User

詳細用戶組信息 User Group

詳細角色信息 Role

詳細資源信息 Resources

詳細操作信息 Operation

詳細權限信息 Permissions

4. 功能設計

權限管理子系統中，登錄認證與角色管理兩個模塊具有提出作用。其中，登錄認證的模塊能夠允許用戶進入管理系統的通道，運用頁面與服務器交互作用完成健全的認證工作。與一般的Web管理系統的設計方案類似，前端需要使用HTML等模式，服務器方賣弄需要控制業務的邏輯性，數據庫需要對使用者以及登錄信息進行儲存[6]。

角色管理的模塊主要包括角色信息以及角色信息的相關操作。針對RBAC模型的具體特點和權限管理子系統的具體要求，在角色管理模塊的設計中，應該重點考慮角色的分層、互斥、繼承等方面。分層方面，將角色依照層級記性管理，能夠切實對應實際的崗位級別，從而滿足系統的相關需求；互斥方面，互斥的兩個角色必須分開授予兩個使用者，從而抱著個系統的安全資源的完整；繼承方面，擁有子角色的使用者，在父角色所有權方面，不支持相應的角色繼承。

結束語

RBAC模型的權限管理子系統能夠對系統內的資源數據進行各家合理高效的權限管理工作，通過具體的系統設計工作，能夠使權限管理的子系統更加安全可靠地進行數據信息的管理工作。

參考文獻

[1]金鑫.RBAC權限管理模型在營業廳聯播系統中的應用研究[D].北京:北京郵電大學，2012.

[2]張瑞卿，舒堅，蔡柯等.改進的基于組織結構的 RBAC 模型[J].計算機工程與設計, 2011（23）.

[3]王振江，劉強.基于 RBAC 的擴展訪問控制模型[J].計算機工程與應用，2011（07）.

[4]周志烽，王晶.基于 RBAC 的安全管理模塊的設計和實現[J].典型工程技術與標準化. 2011（10）.

[5]陳丹丹.基于 RBAC 的權限管理組件的設計與實現[D].武漢: 武漢理工大學，2013.

[6]任中方，張華，閆明松.MVC 模式研究的綜述[J].計算機應用研究，2013.