复杂资源的小粒度分级授权机制的研究

分析了授权操作的运算规律,定义了授权算子集及其运算规则,提出了小粒度分级授权机制的三层架构;同时,基于定义的算子,对操作权限进行了分类,定义了小粒度分级授权模型的固有规则,建立了实际操作和算子组合之间的映射模型,完成了授权业务操作的同步,建立了资源可拓、分级授权的小粒度授权模型,实现了复杂资源的小粒度分级授权。最后以产品文档管理系统的小粒度授权模块为实例,证明了研究内容的有效性。     

继承和优先约束驱动的柔性授权机制研究

针对权限系统中存在角色授权策略单一和授权冲突的问题,设计IPC_URBAC模型,在RBAC模型的基础上增加继承约束的用户直接授权机制和优先约束的用户角色分配机制,提出基于个体和优先的授权冲突解决策略,并给出用户权限和角色权限的求解算法。运用IPC_URBAC,构造二进制授权掩码进行复杂权限设置,应用Web Service完成细粒度权限检查,达到权限与业务的剥离,实现一种与业务无关的柔性授权系统。     

基于角色的MIS系统授权机制的研究和应用

该文以某检察院业务管理信息系统的开发为背景,提出一种与以往授权机制不同的二维授权机制———基于角色的授权机制,使得不同的角色对系统拥有不同的操作权限,系统的用户不直接与操作权限相联系,而是与角色相联系,这样就在一定程度上提高了系统的可维护性,同时也使整个系统的管理得到了优化。     

网络教学平台安全机制的设计与实现

分析了Acegi安全框架,并构建了基于Acegi的网络教学平台安全机制;借助Acegi安全框架的认证与授权机制,方便地实现对平台上敏感性资源的保护;通过将需要保护的业务方法的权限配置信息保存到数据库中,满足用户动态调整业务方法授权的要求。     

面向产业链协同商务平台的权限控制模型研究*

分析了产业链企业间协作关系和支持产业链企业间业务协同商务平台的特点,建立了面向动态联盟的四级授权控制模型,对联盟授权管理、企业按联盟协作类别的权限继承管理、企业部门授权管理和部门内具体操作人员的授权管理进行了研究,提出了产业链协同商务平台权限控制算法,并在汽车产业链协同商务平台权限管理中进行了应用验证。     

基于授权管理基础设施的授权及访问控制机制

与传统的权限管理机制相比,基于授权管理基础设施实现的集中式访问控制机制,能够有效地实现权限的统一管理和权限信息的相对独立,使系统具有更高的安全性和灵活性。文章介绍了基于授权管理基础设施的集中式授权及访问控制机制,并重点探讨其不同的实现方式。     

多业务系统的统一认证授权研究与设计

针对多个业务系统的单一登录和统一认证授权的需求,提出了一种包含用户组和资源组的基于角色的访问控制策略,并利用Acegi构建安全系统和JASIG.CAS实现中央认证服务,设计实现了一个统一的认证授权系统.该认证授权系统对多个业务系统的用户的权限信息进行统一管理,实现了单一登录,并利用缓存机制,减少了在系统认证鉴权过程中时数据库的频繁访问,从而显著的改善了系统的性能.     

多权限信息系统授权机制的研究与实践

本文针对信息系统中出现的权限管理问题，结合信息系统开发的实践经验，对多权限信息系统中的授权机制问题进行了深入浅出的研究。针对传统授权机制的缺陷，提出了动态授权机制和增强的授权机制，最后遵循软件复用的思想，利用软件构件技术开发了权限管理构件，并在实际的信息系统开发中成功地应用了该技术。     

支持资源分类授权的通用权限管理模型研究

针对当前Web应用程序中存在的安全性问题.概要介绍了现有的权限管理模型;在详细分析Web应用程序自身权限管理的特点基础上,基于RBAC模型提出了一种支持资源分类授权的通用权限管理模型;在该模型中,管理员首先对WEB应用程序中的资源进行分类,然后定义每类资源的具体操作种类,随后定义每个角色对某一资源的操作权限,最后为用户分配合适的角色;基于.NET平台和SQL SERVER数据库设计和开发了一套支持资源分类授权的通用权限管理系统,并给出了一个具体应用实例;实践表明,该模型能够非常有效地解决Web应用程序中的权限授权和权限管理问题,增强了系统安全性.     

一种MIS对象和数据访问控制的解决方案

为保护资源免受非授权访问,并使开发人员从权限管理重复劳动的负担中解放出来,采用黑盒url系统访问地址,并为各用户配置自己的业务功能菜单,结合RBAC和独特权限编程来实现系统访问控制,进一步提高了管理信息系统对象和数据的访问安全.     

Role-based authorizations for workflow systems in support of task-based separation of duty

Role-based authorizations for assigning tasks of workflows to roles/users are crucial to security management in workflow management systems. The authorizations must enforce separation of duty (SoD) constraints to prevent fraud and errors. This work analyzes and defines several duty-conflict relationships among tasks, and designs authorization rules to enforce SoD constraints based on the analysis. A novel authorization model that incorporates authorization rules is then proposed to support the planning of assigning tasks to roles/users, and the run-time activation of tasks. Different from existing work, the proposed authorization model considers the AND/XOR split structures of workflows and execution dependency among tasks to enforce separation of duties in assigning tasks to roles/users. A prototype system is developed to realize the effectiveness of the proposed authorization model.     

工作流系统带权角色与周期时间访问控制模型

带权角色激活任务和周期时间授权是工作流系统访问控制研究尚未解决的核心问题.以基于角色的访问控制模型为基础,提出了一种新的工作流系统带权角色与周期时间访问控制模型WRPTAC(weighted role and periodic time access control).讨论了周期时间表示方法,定义了工作流系统授权新概念和时态授权推导规则,给出了时间复杂度为O(n²)的时态授权推导规则一致性验证图论算法,并定义了任务激活约束规则.它能够表达复杂的工作流系统访问控制约束.     

ASP模式下的多视图系统权限管理实现*

针对目前企业应用ASP模式进行信息化建设中系统固化的问题,提出了ASP模式下多视图系统的结构模型,分析了该模型的实现机制。提出了基于授权算子的分级授权权限管理方式,归纳出应用于授权过程中的授权算子,以实现对系统用户复杂权限控制的简化,在企业ASP模式信息化改造的实施中具有突出应用效果。分析了分级授权方式实现的关键技术以及系统中权限管理的业务流程。     

一种基于中间件的授权管理体系结构

近年来,授权策略的研究取得诸多进展。但是,在应用系统中实施这些策略还需大量具有共性和挑战性的工作。本文将对象中间件技术同信任管理技术有机地结合起来,定义了面向中间件的授权策略框架MPF,然后提出一种通用中间件授权管理体系结构StarNumen。StarNumen将授权同应用组件分离,以策略驱动或透明的方式为应用系统提供授权策略描述、策略存储、会话管理等多种具有通用性的授权机制。模拟测试结果说明了StarNumen的可行性和有效性。     

Semantic-based authorization architecture for Grid

There are a few issues that still need to be covered regarding security in the Grid area. One of them is authorization where there exist good solutions to define, manage and enforce authorization policies in Grid scenarios. However, these solutions usually do not provide Grid administrators with semantic-aware components closer to the particular Grid domain and easing different administration tasks such as conflict detection or resolution. This paper defines a proposal based on Semantic Web to define, manage and enforce security policies in a Grid scenario. These policies are defined by means of semantic-aware rules which help the administrator to create higher-level definitions with more expressiveness. These rules also permit performing added-value tasks such as conflict detection and resolution, which can be of interest in medium and large scale scenarios where different administrators define the authorization rules that should be followed before accessing a resource in the Grid. The proposed solution has been also tested providing some reasonable response times in the authorization decision process.     

一个基于逻辑的存取控制模型

在任何一个安全系统中,存取控制都是一个极为重要的问题。本文提出一个基于逻辑程序设计的方法来管理非集中式的授权及其代理。在这个系统中,允许用户代理管理权限、授权或禁止其他用户使用某些存取权限。给出一组独立于论域的规则来实现代理正确性、解决冲突和沿着主体、客体及存取权限层次结构的授权传递,其基本思想是将这些一般规则与用户定义的一组与论域相关的特殊规则结合起来,以推导出系统中成立的所有授权。此外,还给出一些语义性质。     

基于规则推导的特权隐式授权分析

介绍了一种研究系统特权安全问题的方法.由于其特有的迁移系统安全状态的能力,使得分析及保护系统特权都很困难,因此,传统访问控制研究中所采用的技术无法复制到该领域.在访问控制空间理论下,检查了系统特权的来源问题及其特点,从而将系统规则划分为约束规则与执行规则两类,分别描述授权的限制与效果.进一步对规则逻辑形式进行推导,发现特权操作问的特殊授权关系以及相关属性,并设计了一种快速构造授权推导图的算法.在此基础上,分析隐式授权安全问题可能存在的滥用特权威胁.最后对POSIX(portable operating system interface)标准的权能机制进行形式化描述,计算并构造其授权推导图.对标准设计中存在的滥用威胁提供了对策,有效地实现了与最小特权原则的一致性.     

基于Struts-Hibernate架构的权限管理系统的设计与实现

介绍了Struts-Hibernate整合架构,剖析了Struts-Hibernate整合原理和关键技术,针对当前权限管理在维护性、灵活性和完整性等方面的不足,设计并实现了一个基于Struts-Hibernate架构的面向RBAC的权限管理系统（PMS）,实现了用户、角色、权限、资源和操作等管理功能,降低了系统的耦合度,提高了系统的可移植性、可扩展性和安全性,在可扩展的企业级应用开发中有很好的前景。实验结果表明,PMS降低了授权管理的复杂性,减少了管理开销,提高了系统的灵活性和安全性。     

PBAC: Provision-based access control model

Over the years a wide variety of access control models and policies have been proposed, and almost all the models have assumed “grant the access request or deny it.” They do not provide any mechanism that enables us to bind authorization rules with required operations such as logging and encryption. We propose the notion of a “provisional action” that tells the user that his request will be authorized provided he (and/or the system) takes certain actions. The major advantage of our approach is that arbitrary actions such as cryptographic operations can all coexist in the access control policy rules. We define a fundamental authorization mechanism and then formalize a provision-based access control model. We also present algorithms and describe their algorithmic complexity. Finally, we illustrate how provisional access control policy rules can be specified effectively in practical usage scenarios. Published online: 22 January 2002