基於Based模型的權限管理系統的設計與實現簡介管理信息系統是壹個復雜的人機交互系統，其中的每壹個具體環節都可能受到安全威脅。建立壹個健壯的權限管理系統，保證管理信息系統的安全是非常重要的。權限管理系統是管理信息系統中最具可重用性的模塊之壹。任何多用戶系統都不可避免地涉及相同的權限需求，需要解決實體認證、數據機密性、數據完整性、不可否認性、訪問控制等安全服務(據ISO7498-2介紹)。例如，訪問控制服務要求系統控制操作員可以訪問哪些資源，並根據操作員設置的操作權限確定如何操作這些資源。目前權限管理系統也是重復開發率最高的模塊之壹。在企業中，不同的應用系統有獨立的權限管理系統。每套權限管理系統只滿足自己系統的權限管理需求，在數據存儲、權限訪問、權限控制機制等方面可能有所不同。這種不壹致有以下缺點:a .系統管理員需要維護多套權限管理系統，重復工作。b用戶管理、組織等數據重復維護，無法保證數據的壹致性和完整性。c .由於不同的權限管理系統設計、不同的概念和不同的技術，實現單點登錄非常困難，權限管理系統的集成也存在問題，這也給企業建設企業門戶帶來了困難。采用統壹的安全管理設計思想、標準化的設計和先進的技術架構體系，構建壹個通用、完善、安全、易管理、可移植、可擴展的權限管理系統，使權限管理系統真正成為權限控制的核心，在維護系統安全中發揮重要作用，是非常必要的。介紹了壹個基於RBAC(基於角色的策略訪問控制)模型的權限管理系統的設計與實現，該系統采用J2EE架構技術實現。並討論了如何訪問和控制應用系統的權限。1采用J2EE架構設計和J2EE企業平臺架構構建權限管理系統。J2EE體系結構集成了先進的軟件體系結構思想，具有多層分布式應用模型、構件化和可重用的構件、統壹完整的模型和靈活的事務控制等特點。系統在邏輯上分為四層:客戶層、Web層、業務層和資源層。a .客戶端層主要負責人機交互。可以由系統管理員通過Web瀏覽器訪問，也可以提供不同業務系統的API和Web服務調用。b . Web層封裝了用於為通過Web訪問系統的客戶端提供表示層邏輯的服務。c .業務層提供業務服務，包括業務數據和業務邏輯，集中系統業務處理。主要的業務管理模塊包括組織管理、用戶管理、資源管理、權限管理和訪問控制。d .資源層主要負責數據存儲、組織和管理。資源層提供了兩種實現:大型關系數據庫(如ORACLE)和LDAP(輕量級目錄訪問協議)目錄服務器(如Microsoft Active Directory)。2 RBAC模型訪問控制是防止未經授權使用資源的防禦措施。基本目標是限制訪問主體(用戶、流程、服務等)的訪問權限。)來訪問對象(文件、系統等。)，使計算機系統能在合法範圍內使用；決定用戶能做什麽，也決定代表某些用戶興趣的程序能做什麽[1]。企業環境中壹般有三種訪問控制策略:自主訪問控制方法、強制訪問控制方法和基於角色的訪問控制方法(RBAC)。其中自主性太弱，強制性太強，兩者工作量都很大，不方便管理[1]。基於角色的訪問控制方法是目前公認的解決大型企業統壹資源訪問控制的有效方法。它的兩個顯著特點是:1。降低授權管理的復雜度，減少管理開銷；2.靈活支持企業的安全策略，為企業的變化提供極大的靈活性。美國國家標準與技術研究院(NIST)標準RBAC模型由四個組件模型組成。這四個組件模型分別是基礎模型RBAC0(核心RBAC)、角色分類模型RBAC 1(分層RBAC)、角色限制模型RBAC2(約束RBAC)和統壹模型RBAC3(組合RBAC)[1]。A. RBAC0定義了可以構成RBAC控制系統的最小元素集。在RBAC中，有五個基本的數據元素:用戶(users)、角色(roles)、對象(OBS)、操作(OPS)和權限(PRMS)。權限授予角色，而不是用戶。將角色分配給用戶後，該用戶將擁有該角色中包含的權限。會話是用戶和壹組激活的角色之間的映射。RBAC0與傳統訪問控制的區別在於增加了壹層間接性帶來的靈活性。RBAC1、RBAC2和RBAC3都是RBAC0的擴展。B. RBAC1介紹角色之間的繼承關系，可分為壹般繼承關系和限制繼承關系。壹般的繼承關系只要求角色繼承關系是絕對的偏序關系，允許角色之間的多重繼承。受限繼承關系進壹步要求角色繼承關系是樹形結構。C. RBAC2模型增加了職責分離。RBAC2的約束規定了將權限賦予角色時，或者將角色賦予用戶時，以及用戶在某個時刻激活角色時，應該遵循的強制規則。責任分離包括靜態責任分離和動態責任分離。約束和用戶-角色-權限關系共同決定了RBAC2模型中用戶的訪問權限。D. RBAC3包括RBAC1和RBAC2，不僅提供了角色之間的繼承關系，還提供了職責的分離。3核心對象模型設計根據RBAC模型的權限設計思想，建立了權限管理系統的核心對象模型。對象模型包含的基本元素主要包括:用戶、組、角色、對象、訪問模式和操作員。主要關系有:分配角色權限PA(權限分配)和分配用戶角色UA(用戶分配men描述如下:a .控制對象:是系統要保護的資源，是可以訪問的對象。資源的定義需要註意以下兩個問題:1。資源有層次關系和包含關系。比如網頁就是資源，網頁上的按鈕、文本框等對象也是資源，是網頁節點的子節點。如果您可以訪問按鈕，您就必須能夠訪問頁面。2.這裏提到的資源概念指的是資源類，而不是具體資源的實例。資源類別和資源實例的區分，以及資源粒度的細分，有利於確定權限管理系統和應用系統的管理邊界。權限管理系統需要管理資源類別的權限，而應用系統需要管理特定資源實例的權限。兩者的區分主要基於以下兩點考慮:壹方面，資源實例的權限往往具有資源的關聯性。也就是說，根據資源實例和訪問資源的主體之間的關系，可以判斷資源的實例權限。比如在管理信息系統中，不同部門的客戶需要按照業務領域進行劃分。A區和B區都有修改客戶資料的受控資源，其中“客戶檔案”屬於資源範疇。如果規定A區只能修改A區管理的客戶數據，就要區分數據的歸屬，這裏的資源屬於資源實例的範疇。客戶檔案(資源)本身應該有其用戶的信息(客戶數據可能包含業務領域的屬性)，以便區分具體資源的實例操作，修改其管轄的信息內容。另壹方面，資源的實例權限往往具有相當大的業務邏輯相關性。對於不同的業務邏輯，往往意味著完全不同的權限確定原則和策略。B. Permission:受保護資源操作的訪問權限被綁定到特定的資源實例。相應地，訪問策略與資源類別相關，不同的資源類別可能采用不同的訪問方式。例如，頁面有可打開和不可打開的訪問模式，按鈕有可用和不可用的訪問模式，文本編輯框有可編輯和不可編輯的訪問模式。同壹資源的訪問策略中可能存在排除和包含關系。例如，數據集的可修改訪問模式包括可查詢訪問模式。c .使用者:權利的所有人或主體。用戶和權限通過授權管理進行分離和綁定。d .用戶組:用戶的集合。在商業邏輯的判斷上，可以基於個體認同或者群體認同來判斷。系統弱化了用戶群體的概念，主要實現用戶的方式(個人身份)。e .角色:權力分配的單位和載體。角色通過繼承關系支持分級權限實現。比如科長這個角色，既有科長的角色，也有科室裏不同業務人員的角色。f .操作:完成資源類別與訪問策略的綁定。g .分配角色權限PA:實現操作和角色之間關聯的映射。h .分配用戶角色UA:實現用戶與角色的關聯映射。對象模型最終將訪問控制模型轉換成訪問矩陣。訪問矩陣中的行對應用戶，列對應操作，每個矩陣元素指定壹個對應的角色，對應授予對應目標的訪問權限和實現行為。根據訪問矩陣中的行，是CL(訪問能力)的內容；根據訪問矩陣中的列，它是ACL(訪問控制列表)的內容。4.權限訪問機制權限管理系統端:提供集中的權限管理服務，負責提供用戶標識、用戶信息、組織結構信息、權限關系表的計算。系統根據用戶、角色、操作、訪問策略和控制對象之間的關系，並考慮權限的正負授予，計算用戶的最小權限。在業務邏輯層，使用Session Bean實現該服務，也可以發布為Web服務。采用代理方式集中控制應用系統訪問權限計算服務，返回權限關系表，即二進制組{ObjectId，operated}。應用系統端:可以通過兩種可選的訪問方式訪問權限管理系統:訪問能力表CL和訪問控制表ACL。以基於J2EE框架的應用系統為例，說明訪問過程:a .首先采用基於表單的驗證，登錄請求由Servlet集中處理[2]。考慮到待認證的實體是用戶，采用基於ACL的訪問模式。當用戶登錄時，調用權限管理系統的用戶認證服務。如果驗證成功，則調用權限計算服務，返回權限關系表，並以HashMap的形式存儲在登錄用戶的全局會話中。如果沒有全局會話或會話過期，它將被定向到登錄頁面以重新獲得權限。b .直接URL資源的訪問控制基於CL訪問。如果用戶直接輸入URL地址訪問頁面，有兩種方式控制訪問:1。通過從權限標記中讀取CL來控制；2.采取過濾模式控制權限，如果沒有權限，重定向到登錄頁面。5權限控制機制根據應用系統的需求定義權限要控制的資源類別，應用系統提供的語義和控制規則對權限管理系統透明，權限統壹對待不同應用系統的資源和操作。應用系統調用權限管理系統得到的權限關系表也需要應用系統解釋。根據這種設計，權限管理系統是通用的，並且權限的控制機制由應用系統來處理。由於應用系統的訪問控制與具體的技術環境有關，以基於J2EE架構的應用系統為例，系統的主要展示組件是JSP頁面，通過標簽庫和訪問控制組件* * *，來實現。a .權限標識:用標簽標識不同級別的資源，頁面權限標簽會標識頁面對象。b .權限註冊:遍歷JSP頁面上的權限控制標簽，讀取JSP的控制權限。通過權限註冊組件將JSP頁面上的權限控制對象和規則註冊到權限管理信息系統中。c .權限控制:應用系統用戶登錄系統時，壹方面從權限管理系統獲取權限關系表後，權限標簽控制頁面顯示；另壹方面，權限控制組件用於控制業務邏輯中相應的權限，尤其是與業務邏輯密切相關的控制對象實例的權限控制。6權限存儲機制權限管理系統采用兩種可選的存儲機制:LDAP(輕量級目錄訪問協議)目錄服務數據庫和關系數據庫。存儲用戶信息、組織結構、角色、操作、訪問方式等信息。其中，目錄服務系統基於LDAP標準，具有廣泛的數據集成和* * *共享能力。元目錄功能允許快速簡潔地與企業現有基礎設施集成，解決了傳統RDBMS和LDAP用戶數據庫等用戶數據庫之間的同步問題。7結論本文討論了基於RBAC模型實現權限管理系統的技術方案。該權限管理系統已成功應用於系統的設計和開發實踐中，並與應用系統有很好的集成。實踐表明，采用基於RBAC模型的權限具有以下優點:權限分配直觀、易懂、易用；良好的可擴展性，支持崗位和權限的變化需求；層級權威適用於層級組織結構；復用性強。
上一篇:有哪些好看的小說？下一篇:如何構建高中英語生態課堂