在当前的信息安全领域中,基于公钥基础设施(PKI)建立起来的身份认证技术已经非常成熟。但是对于安全要求越来越高,系统复杂程度越来越大的现代信息安全体系,单独的身份认证技术已经不能完全满足要求。信息安全的保证不仅要求用户提供合法的身份证书用于身份认证,而且要求提供相应的授权管理机制,用于控制用户在系统中的行为和动作。授权管理基础设施(Privilege Management Infrastructure,简称PMI)是信息安全基础设施的一个重要组成部分,是公钥基础设施(PKI)的重要完善和补充。PMI的目标是向用户和应用程序提供授权管理服务,提供用户身份到应用授权的映射功能,提供与实际应用处理模式相对应的、与具体应用系统开发和管理无关的授权和访问控制机制。在仔细研究PMI以及相关协议的基础上,本文提出了一种PMI的完整实现方案。本文的PMI系统在设计和实现上严格遵从X.509(03/2000)规范,并且采用了访问控制、权限管理等安全机制,保证了权威、公正和可信赖的特性。 具体来说,本文的主要贡献有:提供完备的功能特性。提供了构架集中式权限管理系统的整体解决方案。遵从国际标准同时拥有自主的知识产权。本系统的体系结构、对外服务及其系统管理严格遵从X.509(03/2000)规范,并且从设计到实现具有完全的自主知识产权,符合国家安全部门的有关规定。构建功能完备的AA子系统。AA子系统提供生成属性证书、发布属性证书、撤销属性证书、发布属性证书撤消列表等服务。构建功能完备的访问决策子系统。访问决策子系统负责解析用户属性证<WP=3>书和提取用户属性,并根据访问策略信息和用户属性实现对资源的访问控制。采用Corba over SSL的分布式模型。本系统具有良好的数据传输保密性和系统可扩展性。采用严格的访问控制方式与权限管理机制。本系统充分保证了用户数据访问的合法性与有效性。提供方便的系统管理方式。本系统提供管理员友好、方便的Web操作界面。管理员可以轻松地管理整个系统。总之,本系统的实现具有完全的自主知识产权,可广泛应用于金融、证券、电信、军队、政府、教育等行业,以及网站(ISP/ICP/ASP)、企业上网等应用环境,是构建集中式授权管理机制的理想方案。