RBAC模型在Web环境下的研究与应用

摘要

随着互联网的应用普及，人们对网络安全的需求日益增加，访问控制(AccessControl)成为了防止非授权访问的一种重要的网络安全手段。访问控制就是通过某种途径显式地准许或限制访问能力及范围的一种方法。通过访问控制服务，可以限制对关键资源的访问，防止非法用户的侵入或者因合法用户的不慎操作所造成的破坏。 自主型的访问控制(DAC)和强制型的访问控制(MAC)是两类传统的访问控制技术，但两种技术都存在着明显的不足。基于角色的访问控制(RBAC)引入了“角色”这一重要概念，有效地克服了传统访问控制技术中存在的不足，减少授权管理的复杂性，降低管理开销，使制定和执行特定企业保护策略的过程更加灵活，能为管理员提供一个比较好的实现安全政策的环境。但传统的RBAC模型仍存在缺乏动态角色验证、权限粒度细化不够和工作流没有任务分解等不足之处。 本课题在对传统RBAC模型研究的基础上，改进提出了一种任务一时间约束RBAC模型，引入了工作流中的任务单元概念和时间约束概念，弥补了传统RBAC模型的不足，很好的实现了为Web环境下的服务系统提供动态访问控制的能力。根据此模型完成了应用系统方案的设计开发。系统实现了可视化的角色编辑，工作流定义，任务分解，管理员可以快速直观地完成角色继承等级建立、权限关联和角色分派等操作；系统还实现了资源访问的动态权限验证和任务执行的时间约束机制，而且对用户访问完全透明，很好的解决了Web下的资源动念安全访问控制问题。

目录

文摘

英文文摘

声明

1.引言

1.1研究背景

1.2课题来源

1.3研究内容

1.4目前国内外研究的现状与趋势

2.访问控制技术综述

2.1访问控制技术

2.1.1访问控制的基本概念

2.1.2访问控制(Access Control)

2.2一般访问控制策略概述

2.2.1自主访问控制(DAC)

2.2.2强制访问控制(MAC)

2.2.3基于角色的访问控制(RBAC)

2.3 RBAC模型的研究

3.基于角色的访问控制模型研究与改进

3.1 RBAC模型

3.1.1核心RBAC(Core RBAC，RBAC0)

3.1.2等级(层次)RBAC(Hierarchical RBAC，RBAC1)

3.1.3约束RBAC(Constraint RBAC，RBAC2)

3.1.4综合RBAC(RBAC3)

3.1.5 RBAC96模型的不足

3.2 RBAC模型的研究与发展

3.3任务-时间约束RBAC模型

3.3.1工作流的基本概念

3.3.2任务-时间约束RBAC模型的基本思想

3.3.3任务-时间约束RBAC模型的形式化描述与建立

3.3.4任务-时间约束RBAC模型的特点与应用分析

4.基于角色访问控制的Web安全访问系统设计

4.1 RBAC技术的两种Web实现方式

4.1.1 User pull机制

4.1.2 Server pull机制

4.1.3两种实现机制的优缺点

4.2 基于角色访问控制的Web安全访问方案设计

4.2.1 RBAC在企业中的需求方案

4.2.2 WSS的角色层次设计

4.2.3 WSS的RBAC管理子系统功能设计

4.2.4 WSS的RBAC管理子系统数据库设计

5.基于角色访问控制的Web安全访问系统实现

5.1采用的开发技术与开发工具

5.1.1 JSP技术

5.1.2 Sping+Hibernate+WebWork框架

5.1.3应用服务器和数据库

5.1.4使用Eclipse作为应用开发工具

5.2基于角色访问控制的Web安全访问系统开发实现

5.2.1登录模块及登录成功后角色分派的实现

5.2.2用户管理模块实现

5.2.3角色管理模块实现

5.2.4权限管理模块实现

5.2.5工作流管理模块实现

5.2.6角色权限映射管理模块实现

5.2.7访问控制模块实现

5.3创新点与实现难点

5.3.1创新点-RBAC模型的改进

5.3.2系统开发实现过程中遇到难点与解决方案

结论

参考文献

攻读硕士学位论文期间发表的论文

致谢