访问控制是信息安全保障机制的核心内容,着重于解决与数据机密性、完整性和可用性相关的问题。基于角色的访问控制模型RBAC是当前研究得较为深入的访问控制模型。RBAC模型中的用户-角色关系的分配工作依赖于管理员的手工操作。随着系统的规模和开放性的增加,用户规模也随之不断扩大,这项工作也变得十分复杂而难以完成。基于规则和角色的访问控制模型RB-RBAC在RBAC模型的基础上引入了用户属性和授权规则,使得用户-角色分配能够自动完成。不过,RB-RBAC模型也存在着以下两点不足:一、除用户-角色分配之外,角色-权限分配也非常重要,因为资源数量庞大且经常容易产生变化,这项工作也非常复杂,而这一点在RB-RBAC模型中没有得到改进。二、RB-RBAC模型中访问控制判决过程考虑的因素过于单一,无法适应更为复杂和安全性要求更高的系统安全策略要求。本文在研究RB-RBAC模型的基础上提出了改进后的RB-RBACex模型。该模型在资源属性表达式的基础上提出了权限表达式的概念,通过角色与权限表达式的关联实现了角色-权限关系的动态分配,大大降低了这项工作的复杂度,并能很好的适应资源的新增、删除、属性修改等变化情况。此外,在模型中通过引入角色激活条件实现了多元判决的思想,在访问判决的决策过程中不仅仅考虑用户被授予的角色,还全面地考虑用户属性、环境属性、系统整体安全状况等多种因素,有效地解决了RB-RBAC模型中访问控制判决因素过于单一的问题,使得其能够适应更为复杂的访问控制需要。权限管理基础设施PMI是一个通用的授权管理和授权服务平台,通过使用属性证书表示和容纳权限信息,实现访问控制。本文给出了基于RB-RBACex模型的PMI系统的设计。描述了该系统的组成,给出了授权规则和角色激活条件的表示方法,并详细介绍了属性证书管理和访问判决过程的具体流程。该系统具有通用性、可扩展性、实时性和高安全性的优点,可以很好的适应特殊访问控制场景下的业务安全需要。