SQL Server中基于角色的访问控制应用.doc
文本预览下载声明
SQL Server中基于角色的访问控制应用
摘要:在数据库系统里面,有大量敏感信息并且被不同用户共享,需要对他们安全保护,防止未经授权的访问。访问控制作为一种强有力的保护系统的方式,能保证信息的完整性和机密性。此文先介绍基于角色的访问控制机制,然后在SQL Server平台上应用基于角色的访问控制策略,以保证数据库的安全。
关键词:数据库安全;基于角色的访问控制;角色
中图分类号:TP312文献标识码:A文章编号:1009-3044(2008)25-1375-03
Role-Based Access Control Application in SQL Server
CHEN Hong-mei, GE De-jiang
(Three Gorges Vocational College of Electric power,Yichang 443002, China)
Abstract: In database system,need for protecting information from unauthorized access has lead to more attention in the field of information security, since the system maintains sensitive information to be shared by multipule users. Access control mechanisms are powerful means to ensure information confidentiality and integrity. in this paper, Role-Based Access Control and its character is briefly present firstly,then in SQL SERVER apply Role-Based Access Control policy to ensure database security.
Key words: database security; Role-Based Access Control; role
1 引言
数据库安全的主要目的是通过各种安全控制机制来保证数据库的保密性、完整性和可用性。数据库的根本目标是确保只有授权的用户才能在授权范围内进行授权的操作[1]。访问控制技术应用最广泛并且最有效。访问控制策略一般有三种:自主型访问控制方法、强制型访问控制方法和基于角色的访问控制方法(RBAC)。其中,自主式太弱,强制式太强,二者工作量大,不便于管理。而基于角色的访问控制,可以有效克服前两种访问控制技术的不足,降低授权管理的复杂性,提高授权的灵活性。因此本文以SQL Server为平台,对基于角色的访问控制加以应用。
2 基于角色的访问控制
RBAC(Role-Based Access Control)是近年来在信息安全领域访问控制方面的研究热点和重点。基于角色的访问控制RBAC作为一种灵活和直观的访问控制技术在20世纪90年代迅速发展起来,RBAC通过引入角色的新概念来实施访问控制策略。不同的角色和它所应具有的权限许可互相联系,用户作为某些角色的成员,获得角色所拥有的权限。角色可以根据实际的单位或组织的不同工作职能和权限来划分,依据用户所承担的不同权利和义务来授权相应的角色,对于一个存在大量用户和权限的权限分配系统来说,从用户到角色的管理,简化了权限分配的复杂性,提高了安全管理的效率和质量。
美国国家标准与技术研究院标准RBAC模型由4个部件模型组成,这4个部件模型分别是基本模型RBAC0(Core RBAC)、角色分级模型RBAC1(Hierarchal RBAC)、角色限制模型RBAC2(Constraint RBAC)和统一模型RBAC3(Combines RBAC)[2]。RBAC0模型如图1所示。
■
图1 RBAC0
RBAC0定义了能构成一个RBAC控制系统的最小的元素集合。核心RBAC的核心概念包括五个基本的静态集合:用户集(Users),角色集(Roles),操作集(Operations,0PS),对象集(Objects,OBS),权限集(Permissions,PRMS)和一个运行过程中动态维护的会话集(sessions)。这些集合称为RBAC的组件。组件及其之间关系描述如图1所示。
在RBAC之中,权限被赋予角色,而不是用户,当一个角色被指定给一个用户时,此用户就拥有了该角色所包含的权限。会话sessions是用户与激活的角色集合
显示全部