传统基于角色访问控制(Role-Based Access Control,RBAC)系统的授权管理工作主要在于安全管理员为用户分配和撤销角色。当系统的用户数量不断增加时,用户-角色分配和维护的工作量也将随之增加,需要扩大安全管理员的队伍才能完成授权管理工作,这将增加授权管理的复杂性和系统的不安全性。 另外,传统RBAC适用于封闭的企业环境,没有为企业外部用户(如客户、合作伙伴等)提供灵活的授权机制。日益增长的服务企业通过Internet对外提供服务,很多企业系统除了内部员工外,还拥有几十、几百万的外部用户。面对大量的企业外部用户,不可能由管理员一一为他们指定角色,也不可能让用户自己选择在系统中的角色,因为这将增加用户的不方便性和系统的不安全性。 为了解决上面两个问题,一种较好的方法是实现用户-角色分配的自动化,即依据用户个人信息和企业安全策略,动态分配用户到角色,无需安全管理员对用户-角色分配进行维护和管理。本文描述了一种基于规则的动态分配用户到角色的模型,称为RB-RBAC(Rule-based RBAC)。RB-RBAC主要扩展了传统RBAC模型中的用户-角色分配关系,与传统RBAC中用户-角色分配被明确指定相比,RB-RBAC模型中用户-角色分配是隐式的,是通过企业授权规则自动实现的。这些授权规则考虑了用户属性和企业安全策略。这个模型同样基于企业安全策略中的具体条件,允许动态撤销用户的角色。 在RB-RBAC模型中,由于授权规则间存在着层次关系,导致它们推导出的角色间也存在着层次关系,这与传统RBAC中的角色层次不同,本文对此做了详细讨论;由于将用户相对于一个具体角色的状态区分为会话前后两种状态,因此可以根据不同的用户状态对RB-RBAC模型中的约束进一步讨论,提出更全面、更灵活的约束机制。 传统RBAC模型的web实现结构并不能完全满足RB-RBAC模型在web环境下实施的要求。本文在RBAC/web的Server-pull结构基础上借用User-pull结构的特点,提出了RB-RBAC/web结构。该结构在用户被正确鉴别后,根据标识用户属性在上次会话中是否发生改变的标识符确定用户的角色来源。RB-RBAC/web结构提高了web服务器的效率、角色的可重复使用性,并保证了