一个RBAC的改进模型

３ ＭＲＢＡＣ 模型 ３．１ 模型的基本结构
模型定义： ＭＲＢＡＣ 由以下部分组成： 用户 Ｕ， 角色 Ｒ， 会话 Ｓ， 客体操 作 权 限 Ｐ， 权 利 Ｒｉｇｈｔ， 义 务 Ｏｂｌｉｇａｔｉｏｎ ＵＡ!Ｕ×Ｐ， ＵＡ 是 Ｕ 到 Ｒ 的多对多关系。 ＰＡ!Ｒ×Ｐ， ＰＡ 是 Ｒ 到 Ｒ 的多对多关系。 ＲＡ!Ｒ×Ｒｉｇｈｔ， ＲＡ是 Ｒ 到 Ｒｉｇｈｔ 的多对多关系。 ＯＡ!Ｒ×Ｏｂｌｉｇａｔｉｏｎ， 其中 ＯＡ 是 Ｒ 到 Ｏｂｌｉｇａｔｉｏｎ 的 多 对 多 关系。 ｒｏｌｅｓ（ Ｓｉ） !｛ｒ｜（ ｕｓｅｒ（ Ｓｉ） ， ｒ） ∈ＵＡ｝， 其中 ｕｓｅｒ： Ｓ→Ｕ， 将各个会话映射到一个用户的函数 ｕｓｅｒ（ Ｓｉ） ； ｒｏｌｅｓ： Ｓ→２Ｒ， 将各个 会 话 映 射 到 一 个 角 色 集 合 联 系 起 来 的 映射。 且 ｒｏｌｅｓ（ Ｓｉ） !｛ｒ｜（ ｕｓｅｒ（ Ｓｉ） ， ｒ） ∈ＵＡ｝， Ｓｉ 拥有 权 限 Ｙ ｛ｐ｜ ｒ∈ｒｏｌｅｓ（ Ｓｉ ） （ ｒ， ｐ） ∈ＰＡ｝， 权 利 Ｙｒ∈ｒｏｌｅｓ（ Ｓｉ ） ｛ｒｉｇｈｔ｜（ ｒ， ｒｉｇｈｔ） ∈ＲＡ｝， 义 务 Ｙｒ∈ｒｏｌｅｓ（ Ｓｉ ） ｛ｏｂｌｉｇａｔｉｏｎ｜（ ｒ， ｏｂｌｉｇａｔｉｏｎ） ∈ＯＡ｝ ＭＲＢＡＣ 基本框架如图 １ 所示：
Ａｎ Ｉｍｐｒ ｏｖｅｄ Ｍｏｄｅｌ ｏｆ ＲＢＡＣ
Ｘｕ Ｒｅｎｙｉ Ｌｉ Ｙｉｆａ （ Ｉｎｆｏｒｍａｔｉｏｎ Ｅｎｇｉｎｅｅｒｉｎｇ Ｃｏｌｌｅｇｅ ｏｆ ＰＬＡ Ｉｎｆｏｒｍａｔｉｏｎ Ｅｎｇｉｎｅｅｒｉｎｇ Ｕｎｉｖｅｒｓｉｔｙ， Ｚｈｅｎｇｚｈｏｕ ４５０００２）
Ａｂｓｔｒ ａｃｔ： Ｔｈｉｓ ｐａｐｅｒ ｅｓｔａｂｌｉｓｈｅｓ ａｎ ｉｍｐｒｏｖｅｄ ｍｏｄｅｌ ｎａｍｅｄ ＭＲＢＡＣ， ｂａｓｉｎｇ ｏｎ ｓｏｍｅ ｐｒｏｂｌｅｍ ｏｆ ＲＢＡＣ．Ｔｈｉｓ ｍｏｄｅｌ ｍｏｄｉｆｉｅｓ ｔｈｅ ｄｅｆｉｎｉｔｉｏｎ ｏｆ ｒｏｌｅ ｔｏ ａｄｄ ｔｈｅ ｍａｎａｇｅｍｅｎｔ ｏｆ ｒｏｌｅｓ， ａｎｄ ｔｏ ｃｏｍｂｉｎｅ ｅｆｆｅｃｔｉｖｅｌｙ ｗｉｔｈ ｃｏｎｆｉｇｕｒａｔｉｏｎ ｏｆ ｏｒｇａｎｉｚａｔｉｏｎ．Ｔｈｉｓ ｍｏｄｅｌ ｒｅａｌｉｚｅｓ ｃｏｌｌａｂｏｒａｔｉｏｎ ａｎｄ ｒｅｓｔｒｉｃｔｉｏｎ ｏｆ ｒｏｌｅ， ｓｏ ａｖｏｉｄ ｕｓｉｎｇ ｉｎｈｅｒｉｔａｎｃｅ ｏｆ ｒｏｌｅ．Ｂａｓｉｎｇ ｏｎ ｖｉｅｗｐｏｉｎｔ ｏｆ ｔａｓｋ， ｔｈｉｓ ｍｏｄｅｌ ｆｏｒｍｓ ｔｈｅ ｒｕｎｎｉｎｇ ｍｅｃｈａｎｉｓｍ．Ａｎｄ ｔｈｉｓ ｍｏｄｅｌ ｍｏｄｉｆｉｅｓ ｔｈｅ ｄｅｆｉｎｉｔｉｏｎ ｏｆ ｏｐｅｒａｔｉｎｇ ａｄｍｉｓｓｉｏｎ ｏｆ ｏｂｊｅｃｔ ｔｏ ｐｒｏｖｉｄｅ ａｃｃｅｓｓ ｉｎ ｓｌｅｎｄｅｒ ｇｒａｎｕｌａｒｉｔｙ． Ｋｅｙｗｏｒ ｄｓ： ａｃｃｅｓｓｉｎｇ ｃｏｎｔｒｏｌ， ＲＢＡＣ， ｏｂｊｅｃｔ－ ｏｒｉｅｎｔｅｄ， ｔａｓｋ
（ ２） 基于组织的角色模型。文［６］提出组织角色和客体特定 角色的概念， 论述了许多可行的研究方向。文［７］也是一个基于 组织的角色模型， 它较好地研究了组织结构内 ＲＢＡＣ 各项元素 的相互关系。
（ ３） ＥＨＲＢＡＣ。文［８］提出一种改进的角色层次化关系模型。 该模型遵循按现实世界模型建模的思想， 定义了角色的公共权 限和私有权限， 引入一般继承和扩展继承机制， 形成了功能更 加完善和更易于扩充的角色层次化关系模型， 很好地解决了使 用私有角色所出现的问题。
Ｒ．Ｓａｎｄｈｕ 等提出的 ＲＢＡＣ９６ ［１］ 是 ＲＢＡＣ 模型中的基础框 架， 以后的 ＲＢＡＣ 模型均是在此９６ 模型包括 ４ 个不同层次： ＲＢＡＣ０ 模型规定了任何 ＲＢＡＣ 系 统 所 必 须 的 最 小 需 求 ； ＲＢＡＣ１ 模 型 在 ＲＢＡＣ０ 的 基 础 上加入了角色层次（ Ｒｏｌｅ Ｈｉｅｒａｒｃｈｉｅｓ） 的概念， 可以根据组织内 部 的 结 构 来 构 造 角 色 与 角 色 之 间 的 层 次 关 系 ； ＲＢＡＣ２ 模 型 在 ＲＢＡＣ０ 的 基 础 上 增 加 了 约 束 （ Ｃｏｎｓｔｒａｉｎｔｓ） 概 念 ； 而 ＲＢＡＣ３ 模 型 是 对 ＲＢＡＣ１ 和 ＲＢＡＣ２ 的 集 成 ， 它 不 仅 包 括 角 色 层 次 ， 还 包
支配关系， 一般记为“≥”。 ｒｏｌｅｓ（ Ｓｉ） !｛ｒ｜’（ ｒ′≥ｒ） ［（ ｕｓｅｒ（ Ｓｉ） ， ｒ′） ∈ＵＡ］｝ 其中 ｕｓｅｒ： Ｓ→Ｕ， 将各个会话映射到一个用户的函数 ｕｓｅｒ（ Ｓｉ） ； ｒｏｌｅｓ： Ｓ→２Ｒ， 将各个会话 Ｓｉ 与一个角色集合联结 起 来 的 映
射， 可以随时间变化而变化， 且会话 Ｓｉ 的权限 Ｙｒ∈ｒｏｌｅｓ（ Ｓｉ ） ｛ｐ｜（ ’ｒ″≤ｒ） ［（ ｐ， ｒ″） ∈ＰＡ］｝。 （ ３） ＲＢＡＣ２： 在 ＲＢＡＣ０ 的 基 础 上 引 入 了 约 束 集 合 ， 用 来 规
括约束关系。 （ １） ＲＢＡＣ０： 包括用户（ Ｕ） 、角色（ Ｒ） 、权限（ Ｐ） 、会话（ Ｓ） 。 ＰＡ!Ｐ×Ｒ， ＰＡ 是权限到角色的多对多关系。 ＵＡ!Ｕ×Ｒ， ＵＡ 是用户到角色的多对多关系。 ｒｏｌｅｓ（ Ｓｉ） !｛ｒ｜ｕｓｅｒ（ Ｓｉ） ， ｒ∈ＵＡ｝ 其中 ｕｓｅｒ： Ｓ→Ｕ， 将各个会话映射到一个用户的函数 ｕｓｅｒ（ Ｓｉ） ｒｏｌｅｓ： Ｓ→２Ｒ， 将各个会话 Ｓｉ 与一个角色集合联结 起 来 的 映
本文第 ２ 节提出和修改了几个模型元素的定义， 第 ３ 节提 出 ＭＲＢＡＣ 的形式化描述及相关说明， 第 ４ 节用一个实例 具 体 说明 ＭＲＢＡＣ， 第 ５ 节分析模型优缺点及下一步工作方向。
２ 几个新概念
角色 Ｒ： 是指具有一定客体资源访问权限和对其他角色管 理功能， 能够完成一定任务的对象。
说明： 根据角色间的管理功能， 很自然就提出权利和义务 这两个概念。
简单操作权限： 对单个客体进行操作的能力。 复杂操作权限： 对相关联的客体集合进行操作的能力。 操作权限： 包括简单操作权限和复杂操作权限。 说明： 在之后的研究中没有给出清晰的权限定义方法。单 个客体的操作权限不是孤立的， 而是彼此相关的。因此， 将客体 操作权限分为简单操作权限和复杂操作权限。同时， 操作权限 不单指存取操作权限， 还包括其他特殊操作权限， 如签名密钥 的使用权限（ 只能用于签名） 。 简单任务： 单个合适角色即可完成的任务。 复杂任务： 单个角色无法完成， 需要多个角色合作的任务 （ 可以分解为多个简单任务） 。 说明： 这两个概念的提出是为了使用基于任务的观点。复 杂任务可分解成多个简单任务， 交给不同的角色去完成， 从而 实现权利和义务的功能。
４０ ２００５．３４ 计算机工程与应用
说明： 相关的研究工作只将其理解为客体资源的管理者和 任务的执行者， 没有考虑角色间的管理功能， 之所以提出这一 概念是有必要的。
权利 Ｒｉｇｈｔ： 对其他角色进行管理的权限规定， 即命令其他 角色完成合法任务的权限。
义务 Ｏｂｌｉｇａｔｉｏｎ： 接受其他角色管理的范围规定， 即 保 证 完 成其他角色交给任务的合法性。
对于一个存在大量用户和权限分配的系统来说， 从大量的 用 户 管 理 转 而 管 理 、操 作 少 量 的 角 色 ， 简 化 了 权 限 的 分 配 和 管 理， 提高了安全管理的效率和质量。另外， 对用户而言， 角色在 组织中相对稳定， 从而增进了模型的伸缩性。同时， 角色是组织 中的实体， 描述组织的访问控制策略时易于理解和使用。
计算机工程与应用 ２００５．３４ ３９
! ! ! ! ＲＢＡＣ９６ 模型为ＲＢＡＣ 思想的具体实现提供了一个基本框 架， 具有非常重要的作用。但也存在一些问题： 没有管理员对角 色进行管理， 没有具体的权限分配方法， 没有完善的角色和权 限互斥机制， 以及角色继承机制不完善等。之后的模型在这些 方面进行了一些有效的改进。
ＲＢＡＣ 模型引入了中间实体—角色来实施访 问 控 制 策 略 。 它是位于主体和权限之间中间元素， 管理员将权限授予角色， 并 且 通 过 赋 予 用 户 角 色 来 为 其 授 权 。在 实 际 的 组 织 或 信 息 系 统 中， 可以根据不同的工作职责来划分角色和赋予角色权限， 并 根据用户的工作职责和任务来赋予相应的角色。
１．３ ＲＢＡＣ 的相关进展
ＲＢＡＣ９６ ［１］ 提 出 之 后 ， ＲＢＡＣ 得 到 了 长 足 的 发 展 。 在 ＲＢＡＣ９６ 的基础上又提出了以下一些有代表性的模型：
（ １） ＡＲＢＡＣ９７。文［４］首先提出 ＡＲＢＡＣ９７， 在 ＲＢＡＣ 中加入 管理员角色， 将管理和使用分开。文［５］提出 ＲＢＡＣ 模型的管理 模型—ＡＲＢＡＣ０２， 引入组织结构后解决了 ＡＲＢＡＣ９７ 模型的不 足。
总 之 ， 目 前 ＲＢＡＣ 缺 陷 的 本 质 是 进 行 了 过 多 的 抽 象 ， 对 现 实模拟得不够。为了解决这些问题， 本文提出了一个新的角色 控 制 模 型 ＭＲＢＡＣ（ Ｍｏｄｉｆｉｅｄ ＲＢＡＣ） 。 该 模 型 是 对 ＲＢＡＣ９６ 这 一基本框架提出的修改方案， 结合组织结构和基于任务观点的 访 问 方 式 ， 针 对 ＲＢＡＣ 的 上 述 缺 陷 对 角 色 ， 权 限 的 定 义 和 角 色 继承进行了一定的修改， 从而较好地解决了以上问题。
１ 引言 １．１ ＲＢＡＣ 模型简介
从 ２０ 世 纪 ９０ 年 代 以 来 ， 在 信 息 安 全 的 研 究 过 程 中 ， 访 问 控制模型的研究越来越重要。其中， ＲＢＡＣ 模型受到 越 来 越 多 的 关 注 。它 在 操 作 系 统 及 数 据 库 管 理 系 统 等 方 面 都 得 到 了 很 好 的应用。
定各种操作是否可被接受。 ＲＢＡＣ３： 是 对 ＲＢＡＣ１ 和 ＲＢＡＣ２ 的 集 成 ， 它 不 仅 包 括 角 色
层次， 还包括约束关系。
基金项目： 国家 ８６３ 高技术研究发展计划项目（ 编号： ２００２ＡＡ１４４０２０） ； 国家 ９７３ 重点基础研究发展规划项目（ 编号： ０３５８０１） 基金资助 作者简介： 徐仁义（ １９８１－ ） ， 男， 硕士研究生， 主要研究方向为信息安全。李益发， 男， 硕导， 主要研究方向为密码学与信息安全。
（ ４） 基于任务的工作流访问控制模型。文［９］根据工作流的 具体要求， 对任务分配相应的权限， 角色执行任务， 权限则传递 给角色， 实现了权限的按需分配。
１．４ ＲＢＡＣ 的不足之处
以上研究对 ＲＢＡＣ９６ 进行了一些有效的改进， 但是仍存在 一些不足。
首先， 对角色的定义过于简化， 与实际不符。ＲＢＡＣ９６ 中未 给出清晰的定义， 而后的研究工作大都只将其理解为客体资源 的管理者和任务的执行者。实际上， 角色不仅是客体资源的管 理者、任务的执行者， 而且是其他角色的管理者。即角色之间存 在着管理与被管理的关系。
一个 ＲＢＡＣ 的改进模型
徐仁义 李益发 （ 郑州信息工程大学信息工程学院， 郑州 ４５０００２）
Ｅ－ ｍａｉｌ： ｘｒｙ４３６３＠１２６．ｃｏｍ
摘 要 该文针对 ＲＢＡＣ 存在的若干问题， 建立了一个改进的模型 ＭＲＢＡＣ。根据角色间的管理功能修改角色的定义， 同时与组织结构相结合。实现了角色间的协作与制约， 从而避免了使用角色继承。采用基于任务的观点， 有效形成了 ＭＲＢＡＣ 的运行机制。另外， 修改了客体操作权限的定义， 提供了细粒度的访问。 关键词 访问控制 ＲＢＡＣ 面向对象 任务 文章编号 １００２－ ８３３１－ （ ２００５） ３４－ ００３９－ ０３ 文献标识码 Ａ 中图分类号 ＴＰ３０９
射， 可以随时间变化而变化， 且会话 Ｓｉ 的权限为 Ｙｒ∈ｒｏｌｅｓ（ Ｓｉ ） ｛ｐ｜（ ｐ， ｒ） ∈ＰＡ｝ ＲＢＡＣ０ 中隐含如下约束： 每个用户至少有一个 角 色 ， 每 个
角色至少有一个授权。 （ ２） ＲＢＡＣ１： 除了包含 ＲＢＡＣ０ 外， 还包含以下部分： ＲＨ!Ｒ×Ｒ， ＲＨ 是角色上一个偏序， 称为角色层次关系或
其次， 没有给出清晰的权限定义方法。在之后的研究中， 文 ［２］把权限定义为针对一个客体集合可以进行的操作集合 ， 还是 不够清晰。由于单个客体的操作权限不是孤立的， 而是彼此相 关的， 以上研究均未对此给出清晰的定义。
另外， 角色继承机制有缺陷。ＲＢＡＣ９６ 之后的 很 多 研 究 工 作试图使用角色继承来体现组织结构， 可能导出经理是程序员 的结论， 这使得经理权限过大， 违反了最小特权原则［３］。