孫俊麗

摘 要： 本文基于角色的訪問控制，簡單介紹了核心思想，詳細分析了RBAC96模型，歸納了工作原理，為更深入研究奠定了理論基礎。

關鍵詞： 角色 訪問控制 模型

20世紀90年代初期，美國國家標準和技術研究院[2]對一種新的訪問控制技術著手組織——基于角色的訪問控制技術（RBAC）。這種技術能優化授權管理，通過弱化授權管理的復雜性、降低管理開銷等提高各項特性[3]，還能提供一個比較好的安全環境給管理員。

1.RBAC總體描述

RBAC的核心思想就是將角色與訪問權限聯系起來，通過對用戶分配合適的角色，讓用戶與訪問權限相聯系。系統管理員可以根據職能或機構的需求策略，創建角色、對角色分配權限和對用戶分配角色。用戶可以根據需要進行角色轉換，系統可以添加、編輯和刪除角色，還可以對角色進行權限的添加和刪除。

2.RBAC模型

RBAC96模型是1996年由Ravi Sandhu等人提出來的。該模型為開發實際的應用系統提供了一個總方針，并為RBAC用戶提供了評判系統的標準。

該模型分四個層次，具有如圖1所示的包含關系。

圖1 RBAC96模型間的關系

RBAC0是最基本的模型，包含了RBAC模型的核心部分，規定了任何RBAC系統所必需的最小需求。RBAC1在RBAC0基礎上定義了角色的繼承關系，在RBAC0的基礎上增加了角色等級。RBAC2在RBAC0基礎上定義了限制的概念。RBAC3是一個完整的RBAC模型，在包含了RBAC0的基礎上，也包含了RBAC1和RBAC2。

定義1：RBAC0（基本模型）包含如下元素：

（1）若干實體集U，R，P，S：用戶集，角色集，權限集，會話集。

（2）UA？哿U×R，用戶與角色分配，多對多的關系。

（3）PA？哿P×R，權限與角色分配，多對多的關系。

（4）user：S→U，映射每個會話到一個用戶。

（5）roles：S→2R，映射每個會話到一組角色roles（s）？哿{r|（user（s），r）∈UA}，并且會話s擁有權限） r∈roles（s）{p—（p，r）∈PA}。

RBAC0模型指明用戶、角色、訪問權限和會話之間的關系。一個用戶可以同時擁有多個角色，一個角色也可同時被多個用戶擁有。用戶對資源進行存取主要通過會話的建立。

定義2：RBAC1包含如下元素：

（1）U，R，P，S，UA，PA，user與RBAC0一致。

（2）RH？哿R×R是R上的偏序關系，記為≥，稱作角色繼承。

（3）roles：S→2R修改為roles（s）？哿{r|（？堝r′≥r）[（user（s），r′）∈UA]}，同時會話s擁有權限）r∈roles（s）{p—（？堝r′′≤r）[（p，r′′）∈PA]}。

有時由于某些因素，不希望全部的權力都被繼承者繼承，這時就可以創建一些新的角色，叫做私有角色，并對這些私有角色分配用戶。

定義3：RBAC2包含如下元素：

RBAC0中的所有元素都包含于RBAC2中，RBAC2中在RBAC0的基礎上加入限制。RBAC2除了繼承了RBAC0已有的特征外，還把限制集合引入，規定了是否可接受RBAC0各種部件的操作，只有可接受的操作才被允許。

定義4：RBAC3包含如下元素：

RBAC3是在RBAC0基礎上RBAC1和RBAC2二者的結合。角色層次和限制同時存在，限制也可以作用在角色層次上。RBAC3是一個完整的RBAC模型，包含一切模型元素，是最復雜的一種模型。

3.RBAC工作原理

基于角色的訪問控制方式就是通過定義角色的權限，為系統中的主體分配角色實現訪問控制，用戶先經認證后獲得一定角色，把一定的權限分派給角色，用戶以特定角色對系統資源進行訪問，訪問控制機制對相關角色的權限進行檢查，決定訪問是否被允許。基于角色的訪問控制，從控制主體的方向出發，通過管理中相對穩定責任和職權把角色劃分；與傳統直接對用戶授權方式（MAC和DAC）不同的是，RBAC將訪問權限與角色相關聯，其中，用戶是以一定的角色訪問系統，而不是自始至終以同樣的注冊身份和權限。

4.結語

本文首先簡單介紹了基于角色的訪問控制，其次詳細分析了RBAC96模型，模型的元素，以及元素之間的關系，最后總結了基于角色訪問控制的工作原理，為以后更深入研究奠定了理論基礎。

參考文獻：

[1]Park J S. Sandhu R S. Ghanta S. RBAC on the Secure Cookies，1999.

[2]李立新.強制訪問控制在基于角色的安全系統中的實現[J].軟件學報，2000.

[3]陳新疆.基于RBAC的訪問控制在信息系統中的應用[J].臨沂師范學院學報.

[4]杜萍.一種改進的基于角色的訪問控制模型[J].計算機工程與應用，2006.

[5]李曉林.信息系統中基于角色的訪問控制[J].微機發展，2004.