基于层次角色委托的服务网格授权执行模型

针对网格应用中对委托限制的多方面需求,提出了基于层次角色委托的服务网格授权执行模型.模型支持委托角色授予与撤销功能以及相应的关联性限制特性.通过加入信任度,细化了关联性限制的表达粒度.通过定义角色树作为委托授权的基本单位并对角色树进行剪枝,改善了部分委托实现的难度.通过定义带信任度的委托传播树,细化了对委托传播限制的控制.提出的委托凭证全面支持了角色委托的临时性、关联性、部分性、传播性限制需求.对模型中的委托授权执行规则作了形式化描述,并证明了执行规则能够细粒度地控制委托授权的执行过程.实例展示表明,模型能够满足网格应用对委托限制多方面的需求.     

基于委托的分布式动态授权策略

针对分布式协作环境中的授权问题,基于委托模型和RBAC模型,提出一种基于委托的分布式动态授权策略。通过扩展RBAC模型的元素集和静态授权操作,并由委托者动态创建临时委托角色和委托授权,支持“部分角色转授权”。系统授权采用三级层次结构实现,并给出了动态委托授权过程。系统实现及应用表明了其能够适应分布协作环境下的分布动态授权需求,遵循“最小特权”原则。     

基于RBAC的灵活集团委托模型

针对现有基于RBAC的委托模型不支持集团用户委托形式,提出一种基于角色的灵活集团委托模型,给出了委托关系、委托授权、委托撤销的形式化描述及委托实施过程。该模型提供了一种灵活的委托机制,实现了在分布式协同工作环境下从单个用户到集团用户的统一委托。     

基于角色-权限的普适计算受限委托方法

针对普适计算跨区域访问控制中的委托授权限制问题,在角色-权限分配中根据权限的重要程度关联信任阈值和访问时间限制,设计了一种基于角色的访问控制(RBAC)模型的以角色-权限为委托单位的受限委托方法。通过证明执行模型与委托条件的一致性,表明该方法能够满足普适计算权限委托限制的要求,可以灵活地支持基于角色-权限的临时性和可执行角色集的依赖性。     

一种改进的基于角色的授权委托模型

委托是访问控制模型中非常重要的组成部分,已成为分布式计算环境下重要的访问控制管理机制.提出了一种改进的基于角色的授权委托模型,此模型对用户的角色划分不仅仅基于用户的身份,还要考虑用户的信任度、能力等属性,通过综合多种因素对用户进行属性级别划分,不同的属性级别对应不同的角色从而对应不同的访问权限,以达到对用户进行访问控制的目的,是一种基于属性的角色授权委托模型.与传统基于身份划分的角色委托模型相比,此模型具有更细的访问控制粒度和更高的安全性.     

一种扩展的委托授权模型及其面向对象的建模

基于角色的委托授权模型旨在解决传统授权管理的集中性和复杂性问题，从而满足分布式计算环境的需求。本文在RBAC96模型的基础上，给出了一种扩展的基于访问许可和角色的两级委托授权模型——PRBDM及其面向对象的建模过程。该模型降低了委托授权的粒度，解决了分布式环境下多Agent授权管理的复杂性问题。     

P2P环境下基于信任度的可控委托信任管理模型

结合基于角色的访问控制和信任管理各自的优势,提出一个适用于开放式环境的基于信任度的可控委托授权模型,实现对角色中包含的本地和继承权限的委托控制。提出了为本地策略中的角色分配信任度阈值的方法,为角色授权增加信任度的考虑,给出在这种扩展后的信任管理系统中计算实体信任度的算法,并结合具体实例对模型的使用进行了说明。     

基于量化角色的细粒度授权委托方法

目前基于角色的访问控制模型大多数都不支持细粒度操作。为此,提出一种细粒度的授权委托方法。利用为权限元组分配量值的方法,实现对角色内任意部分权限的表达和控制。引入量化角色,将普通角色与权限量值组合,用于描述不同的权限范围。在胜利油田滨南采油厂物资供应系统中的应用结果表明,该方法能提供更细化的授权和委托粒度,减少过多临时角色的创建,降低系统的管理和维护 代价。     

基于映射机制及带信任度的灵活委托授权模型

针对现有RBAC委托模型在支持细致委托粒度和权限传播可控性上存在的不足,提出一种基于映射机制及带信任度的灵活角色委托授权模型FDMTPM。该模型基于坐标化与量化算子的复合运算,考虑角色成员关系的动态委托提出模式度量角色的概念,并以其为委托粒度充分考虑广度和深度上的部分委托限制需求;同时引入信任度实现了对角色中具有不同敏感度的权限传播的控制和灵活的委托需求。最后对委托约束机制和撤销机制进行讨论,确保其在多步委托过程中委托能力的收敛性。     

委托授权模型在协同设计中的应用

提出一种面向信任的角色委托授权模型(Trust-RBDM)。在基于角色的访问控制模型的基础上引入信任基,并在用户和信任基之间建立映射关系,依靠可信链的传递实现委托授权,有效解决了传统委托授权模型委托操作分散和安全性差的问题。将该模型应用于基于HOOPS的3D协同设计中,实验结果表明,该模型能够增强分布式协同设计环境中委托授权的灵活性和安全性。     

Delegation with supervision

Delegation certificates (e.g. SPKI) support the decentralized management of access rights in organizations without the need for a centralized server to mediate every delegation operation. However, it does not allow the access rights to be delegated in a flexible way. For instance, a user cannot be granted the authorization to perform delegation of permission without granting himself/herself the authorization to exercise the associated permission at the same time. In this paper, we propose an improved delegation model, where the various users in a delegation chain may perform supervision on the delegate to exercise the delegated permission. We describe the way to support the model using SPKI as an example. Also, we describe how to support efficient authorization in delegation with supervision using proxy signature techniques.     

带周期时间特性的自主访问控制委托树模型

传统自主访问控制（DAC）不具有时间敏感性,也不支持权限委托策略,这使得DAC很难满足对时间敏感的需求,而且对授出权限使用的不可控也可能造成权限滥用而带来安全隐患。提出了带周期时间特性的自主访问控制委托树模型（PDACDTM）。PDACDTM不仅在DAC中引入了周期时间、访问持续时间、访问次数和时序依赖来限制主体对客体的访问,而且在权限委托方面提出了委托树模型。该委托树模型通过委托深度和委托广度来限制委托权限的传播,同时还支持复合权限委托。PDACDTM以树形结构刻画了委托权限的传播,使得委托关系的处理更为明确、完备,也更加灵活且易维护。     

基于属性约束的权限委托机制及冲突检测方法

针对现有的委托方法中委托约束局限于用户角色的问题,提出了一种基于属性约束的权限委托机制ARPDM,使用先决条件、受托条件和撤销条件等对委托者和受托者的能力进行约束,能够增加权限委托的约束能力,从多个方面对委托者和受托者的委托行为进行控制。分析了委托过程中可能发生的委托约束冲突、冗余委托冲突和环状委托冲突等,设计了一种基于委托树的冲突检测算法,将冲突问题映射为树中结点的关系问题,能够通过一次遍历检测多种冲突,避免了传统方法需要多次检测的问题,具有较高的效率。     

基于授权步数和角色差度的转授权模型

转授权技术能解决分布式环境下的用户授权问题,但在多步转授过程中可能引发循环授权和权限扩散。研究任务-角色访问控制(TRBAC)模型,提出基于授权步数和角色差度的工作流转授权(DR-TRBAC)模型,根据同一任务的转授关系构建转授权树,通过限定授权步数和遍历转授权树解决循环授权问题,设置转授用户间最大角色差度防止权限的扩散。应用实例证明了DR-TRBAC模型的实用性。     

支持否定授权的基于子角色的授权代理模型

提出了一种支持否定授权的基于子角色的授权代理模型SRBDM(Sub-role based Delegation Model).该模型根据角色的继承和委托特性将角色分为若干个子角色,支持部分代理、权限级粒度代理和限制性继承,并对由于同时支持肯定和否定授权而产生的权限冲突问题提出了解决方法.     

基于属性的扩展委托模型

为提高委托过程的安全性，对现有委托模型进行了扩展，提出了一个更加安全的基于属性的扩展委托模型（ABDMA）．ABDMA中的委托约束不但包括委托先决条件（CR），还包含委托属性表达式（DAE）．受托者必须同时满足委托先决条件和委托属性表达式才能被委托权限或角色．为保证委托过程的灵活性，ABDMA将委托属性表达式进一步分为永久和临时委托属性表达式，使得委托者可临时而不是永久地将某些高级权限委托给不具备资格的用户．ABDMA提高了委托过程的安全性，减轻了委托者和系统管理员的负担．     

多域环境下基于属性的授权委托模型

传统的基于实体标识的授权模型会导致由于授权路径的不一致而引起权限传播的不一致,并可能导致不合法的实体进入授权路径获得不应有的权限.针对以上两方面的问题,提出一个基于属性的授权委托模型ABADM(attribute-based authorization delegation model),将授权模型中权限的传递与权力的委托均建立在实体所具有的属性集合的基础之上,以属性集合作为实体自身的代表进行授权,从而确保拥有相同属性凭证链的实体其权限是一致的.模型将属性与访问权限进行明确区分,提出了域内属性权限分配策略和域间属性计算模型,通过两者的结合给出了在ABADM模型中计算实体所拥有的跨域属性集合和访问权限的方法,并结合具体实例对模型的使用进行了说明.     

RBAC中基于角色的委托模型研究与构建

在委托服务器概念的基础上,加入了对冲突角色的限制,使基于角色的委托模型更加完善。文中将委托分为主动委托和被动委托,任何角色都可以发起委托请求,但委托能否进行,是由委托服务器根据委托信息来决定,突破了上层角色委托下层角色的单一委托模式。在委托过程中加入了更多限制条件,大大减少了委托过程中角色冲突的问题,并且通过建立临时委托角色,解决了委托粒度的问题。