认证与访问控制（崔永泉）访问控制第六章-RBAC模型的角色层次分析.ppt

* 还是来看医院的例子，这家医院除了在市区医院提供核心医疗服务外，还在两个区域诊所提供儿科和化疗服务。当需要维护牵涉病人诊治、应收账款和现金收入等本地记录时，每个诊所都要访问医院病人的病历 下图说明了提供儿科和化疗服务的诊所的角色情况 地理区域划分与角色层次之间关系分析 * * 对于很多分布式企业，每个地点或行政部门都可能有同样角色的雇员，但是每个雇员访问的资源只与其所在地的那部分有关 比如银行各个分支机构的出纳员、主管或跨银行分支的财务顾问或跨部门的秘书。对于这些角色，存在一些与特定位置有关的办公室人员可以访问的文件服务器、打印机或客户数据。如果有某个普通角色（通常是跨地域的）与特定地点有关，那这就是所谓的角色类型 地理区域划分与角色层次——角色类型 * 为了避免出纳员获得分散的、与任务无关的角色权限，一种情况是，可以为角色加上修饰词 常见的修饰词就是地名、分支机构、行政部门或区域名称，冠以这样的名称的角色只须完成指定的功能 这一机制提供了一种依据用户特征而指派给角色的许可权限的定制方法，仅用于某些角色权限的指派（因为可能存在指派给指定类型所有角色的企业级权限-通用权限） 地理区域划分与角色层次——角色类型 * 图4.9给出了三种类型的信贷员角色-东北、东南和西 根据区域修饰词，每种角色类型被唯一地指派了相应的权限。Tom和John被指派到东区信贷员角色，获得其成员资格，具有读取东北区账务和执行东北事务 A、B 和 C 的权限 所有用户指派到信贷职员角色的，无论其角色类型，都有对国债账务进行写操作的权限。当为角色类型指派权限时，只需要指派对角色类型（由修饰词定义）来说是唯一的那些权限。对所有角色类型通用的那些权限直接指派给普通角色好了 地理区域划分与角色层次——角色类型举例分析 * 角色类型的概念可以由图4.9的角色修饰词来实现，但实际上，一个角色类型是角色层次的一种简单形式 * 图4.10是一个等价于图4.9的角色层次。对国债账务进行写操作的权限属于一般性权限，可以指派给国债信贷员角色，读东北区账务和执行东北事务 A、B 和 C 的权限属于东北信贷员的职责范围。将Tom和John指派给东北信贷员角色可实现与图4.9同样的访问控制策略 * * Page: * 提纲 角色层次结构优势分析 常规角色层次 组织结构与角色层次关系 地域与角色层次关系 受限继承与联合器角色 * ?普通和受限层次角色 在实际使用中，角色层次有两种，一种为普通角色层次，另一种为受限角色层次。普通角色层次支持任意的偏序关系，作为一种包含权限多重继承和角色中用户成员资格的概念的角色层次 普通角色层次允许一个角色拥有多个直接祖先（可从多种资源中继承用户成员资格），同时拥有一个或多个直接后代（可从多种资源中继承权限） 受限角色层次则受到一些限制，结果为一棵简单的树结构（例如，一个角色可以拥有一个或多个直接祖先，但只能有一个直接后代，反之亦然） * 形式化定义：如果 r1≥r2，且r1和r2之间没有角色。即在角色层次中不存在角色r3使得r1≥r3≥ r2，其中r1≠ r2且r2≠ r3，称r1是r2的直接祖先，记为：r1→r2 现在，为普通角色层次中的直接后代添加限制，以定义受限角色层次 受限角色层次： 在定义4.1上添加如下限制：任给r,r1,r2?ROLES，r≥r1∧ r≥r2推出r1 = r2 受限角色层次——定义 * Page: * 第六章 RBAC模型的角色层次分析 崔永泉 华中科技大学 计算机学院信息安全所 * Page: * 提纲 角色层次结构优势分析 常规角色层次 组织结构与角色层次关系 地域与角色层次关系 受限继承与联合器角色 * ?层次结构和继承形式 层次角色可以用来支持多种组织结构，如分级制度、功能图和地域分责 继承特点 二元关系 角色层次 ?直接继承 直接继承的自反-传递闭包（例如，直接和间接继承）被称作简单继承 直观的说，如果甲角色的所有权限都是乙角色的权限，并且所有乙角色的用户也都是甲角色的用户，那么就说乙角色继承甲角色 * ?层次角色帮助我们利用现有角色定义新角色，并且可以使权限指派更加可视化和逻辑化，避免角色权限和成员关系的冗余 层次角色使角色-权限指派工作效率提高 角色层次中，继承具有高级角色可执行低级角色权限的特点，所以，可使角色-权限指派工作最小化 角色层次结构优势分析 * 形式化定义：定义所有角色的集合为ROLE，直接继承关系用→来表示。（Role，→）是有向非循环图，其节点代表角色，弧代表关系q→r。 通常，用弧的方向来表示由顶向下的方向。这样，当且仅当q→r，我们就称q是r的直接上级（祖先），r是q的直接下级（后代） 角色层次结构——数学上的偏序关系