基于XACML的访问控制策略

如何解决对Web服务的访问控制已成为当前Web服务应用研究中的一个重要课题。首先介绍了XACML标准的产生动机,然后结合Xpath来说明如何定义标准的访问控制策略。应用XACML策略来定义通用的访问控制需求,并且提出了一种机制来发现和解决策略间的冲突,达到对Web服务进行细粒度的访问控制。最后以一个应用实例来具体描述怎样创建一个XACML访问控制策略以及如何对实体的访问进行控制。     

基于XACML的Web服务访问控制研究

详细介绍了Web服务授权和访问控制机制中一个重要规范：可扩展访问控制标记语言（XACML）,给出了基于XACML的访问控制模型的执行流程,使用SUN公司提供的XACML工具包实现了一个具体应用。最后得出此模型更加灵活、安全的结论,特别适用于异构的Web服务环境,并对XACML的发展作了展望。     

基于SAML和XACML的Web服务访问控制模型

Web服务采用了通用的协议和技术,便于用户访问,已成为了分布式计算的研究热点,但这种方便也带来了安全性的隐患。提出了一个基于SAML和XACML的Web服务访问控制模型,利用SAML协议实现单点登录,采用XACML策略描述语言对用户进行访问控制。模型在扩展SAML协议的基础上,把XACML引入Web服务能够更好地对服务端受保护资源进行控制,从而实现Web服务的安全访问控制。     

基于XACML的策略冲突检测与消解方法

基于XACML(extensible access control markup language)的访问控制策略在云计算服务中得到广泛使用,其存在的问题也日益凸显,策略集的冲突检测与冲突消解问题就是其中之一。然而,目前学术界在冲突消解方面研究较少,现有的研究也仅能对冲突进行逐对消解,没有针对大量冲突的一次性消解方法,这在大规模云计算环境中是很难适用的。针对这个问题,从算法的角度出发,改进了原有的策略冲突检测方法,并设计了一种新的策略冲突一次性消解算法。该算法将安全规则映射到N维空间中,每一个维度表示一个属性,将定义复杂的安全策略在每一个属性上统一表示为几种基本数据类型的属性值集合,通过对简单集合的交集运算来进行冲突和冗余检测。在冲突消解时,将所有的冲突汇集到一起,运用有向无环图的拓扑排序来计算规则优先级,按优先级的顺序为每个规则构建一棵空间区域选择树,选取其对应的消解后的N维空间区域,完成大量冲突的一次性消解。实验表明,冲突检测和一次性消解算法是正确、高效和可行的。     

XACML Admin中的策略预处理研究

根据XACML Admin中访问策略和管理策略混合的特点,提出了一个在PDP中将策略树分割为访问策略树和管理策略树来提高在线判定性能的匹配方案.在此基础上,根据委托的逻辑含义,通过构造委托图,去除管理策略树和访问策略树中的无效节点,从而使在线判定时不考虑引起拒绝服务攻击的无效策略.同时根据目前XACML Admin中模式定义的缺陷,提出了一种改进的模式定义,此模式定义使Delegates能够与XACML核心规范中Subjects,Resources等元素的处理规则保持一致,并能够更加有效地定义管理策略.以上这些方式能够有效地改善在线判定性能和阻止针对请求判定过程的拒绝服务攻击.     

基于本体知识推理的QoS区分服务策略精化方法

策略精化过程的主要难点在于网络的不同层次之间缺少统一的知识表示,且在不同层次的知识之间,缺少必要的映射和推理机制。为此,研究一种通过本体知识推理实现策略自动精化的方法。将本体工程引入策略网络系统,利用本体对网络知识进行定义,利用语义Web规则描述语言对底层策略行为进行语义描述,建立不同层次间的自动化推理机制。以QoS区分服务应用场景为例,实现了策略的自动精化过程。     

基于XACML的策略评估优化技术的研究

为了提高XACML策略评估逐层匹配的效率, 在规则优化方面提出按规则的请求权重对规则进行排序的思想; 同时在策略评估方面提出XACML合并算法的优先级及主体的规则索引表, 优先选择符合匹配条件的策略和规则来提高匹配速度。仿真实验验证了采取这些措施后, 缩短了PDP 进行评估的时间, 提高了评估效率。     

使用控制支持的基于XACML的访问控制

针对网格环境下资源访问控制的特点,提出了一个基于使用控制模型UCON,结合XACML和SAML的访问控制模型.用可扩展访问标记语占XACML描述访问控制的授权策略,结合SAML声明和请求/响应机制,根据用户、资源、环境的属性进行访问控制决策,可动态地评估访问请求,提供细粒度的访问控制和良好的互操作性.     

基于策略的Web服务访问控制研究

资源的访问控制是开放、异构Web服务环境必须满足的重要安全需求之一。提出了基于策略的访问控制（PBAC）模型,比较了PBAC与基于角色的访问控制（RBAC）,分析了PBAC对策略语言和策略管理架构的需求;基于扩展访问控制语言（XAC№）和基于属性的访问控制（舢五地）模型,提出了一种基于策略的访问控制方法。这种方法满足了Web服务对互操作性、管理灵活性和系统规模性的需求。最后,对语义策略语言进行了展望。     

基于多层次优化技术的XACML 策略评估引擎

给出一种采用多层次优化技术的XACML(extensible access control markup language)策略评估引擎实现方案MLOBEE(multi-level optimization based evaluation engine).策略判定评估前,对原始策略库实施规则精化,缩减策略规模并调整规则顺序;判定评估过程中,在引擎内部采用多种缓存机制,分别建立判定结果缓存、属性缓存和策略缓存,有效降低判定引擎和其他功能部件的通信损耗.通过两阶段索引实现的策略缓存,可显著降低匹配运算量并提高策略匹配准确率.仿真实验验证了MLOBEE所采用的多层次优化技术的有效性,其整体评估性能明显优于大多数同类系统.     

基于XACML流媒体服务器的Web访问控制模型

互联网的迅猛发展和普及为流媒体业务发展提供了强大的市场动力,流媒体业务正变得日益流行。通过分析可扩展访问控制标记语言（XACML）和授权基础设施（PMI）,提出了一种基于XACML安全策略的流媒体服务的访问控制模型,并给出了一个XACML访问控制策略实例,另外还分析了采用XACML作为描述访问控制准则的语言来对这个模型进行描述。这个模型可以实现流媒体服务在策略机制上的灵活性,扩展能力强,从而使流媒体服务具有更加细粒度化和良好的操作性等特点。     

基于AC的XACML访问控制模型的设计及实现

通过分析传统访问控制模型及其实现机制的优缺点,提出了一种基于AC证书的XACML访问控制模型及其实现方法,并对模型的安全性进行了分析。     

基于XACML的分布式系统访问控制

分析了传统访问控制中的授权管理策略:强制访问控制,自主访问控制和基于角色的访问控制。然后提出分布式环境下访问控制的特点,并详细介绍了XACML,得出XACML适合于分布式系统的结论。结合XACML研究实现分布式系统的访问控制模型,并通过Sun提供的XACML2.0工具包实现访问控制。     

基于XACML的Web服务访问控制模型*

为克服基于身份授权的粗粒度缺点,增强系统的互操作性和适应Web服务的特性,提出了基于XACML并结合RBAC以及SAML的Web服务访问控制系统模型.采用基于用户、资源和环境属性而不是用户身份的授权机制,可提供更细粒度的访问控制和保护隐私;采用XACML、SAML标准,既可满足分布式环境下的互操作性,又特别适合于Web服务的动态性、异构性等特点.     

基于冗余消除和属性数值化的XACML策略优化方法

可扩展的访问控制标记语言(eXtensible Access Control Markup Language,XACML)逐渐成为访问控制的标准之一。为了确保系统可用性,访问控制系统需要高效的XACML策略评估引擎。针对这一问题,从XACML策略本身潜在的不足出发,从冗余消除和属性数值化两个方面对XACML策略进行了优化。冗余消除在不影响策略评估结果的前提下去除策略库中的冗余规则,同时结合规则压缩消除规则间的冗余状态。属性数值化将文本的XACML策略属性转化为数值属性,使评估引擎匹配使用高效的数值匹配方式而不是低效的字符串匹配方式,同时使用Hash表结构存储数值属性与文本属性的映射关系有利于策略维护。仿真实验结果表明,提出的策略优化方法的性能与原始Sun XACML 相比有较大提升。     

一种XACML规则冲突及冗余分析方法

基于属性的声明式策略语言XACML表达能力丰富,满足开放式环境下资源访问管理的复杂安全需求,但其自身缺乏对规则冲突检测、规则冗余分析的支持.文中利用规则状态思想描述分析了属性层次操作关联带来的多种冲突类型,在资源语义树策略索引基础上利用状态相关性给出规则冲突榆测算法;利用状态覆盖思想分析造成规则冗余的原因,给出在不同规则评估合并算法下的冗余判定定理.仿真实验首先分析了冲突检测算法的运行效率;然后针对多种策略判定系统,验证了基于语义树的策略索引和冗余规则处理可以显著提高判定性能.     

基于描述逻辑的XACML策略研究

针对XACML策略间的语义表示、冲突等问题,提出基于描述逻辑的形式化方法,对XACML策略的目标、规则、规则组合算法和策略冲突消解算法进行形式化处理,并给出基于描述逻辑的规则间冲突检测方案.分析结果表明,该形式化方法便于XACML策略的扩展,并且增强了XACML的语义表达能力和推理能力.     

基于XACML的Web服务访问控制模型

Web服务的一个显著特点是在于它们能够被互联网上的用户方便地访问。但这种方便带来了安全性的隐患。该文提出了一个适合Web服务的访问控制系统模型。基于属性证书的使用,采用XACML作为描述访问控制准则的语言。系统充分利用了Web服务支持XML和XACML的特点,集成了权限管理基础设施和XACML,使自身适合各种异构的Web服务。