基于組織的Web服務訪問控制模型

李懷明,王慧佳,符 林

(1.大連理工大學管理與經濟學部,遼寧大連116024;2.中國人民銀行大連市中心支行,遼寧大連116024)

基于組織的Web服務訪問控制模型

李懷明1,王慧佳1,符 林2

(1.大連理工大學管理與經濟學部,遼寧大連116024;2.中國人民銀行大連市中心支行,遼寧大連116024)

針對現有訪問控制策略難以保障面向Web服務的復雜電子政務系統授權的靈活性問題,在研究基于組織的四層訪問控制模型(OB4LAC)的基礎上,提出一種基于組織的Web服務訪問控制模型。以組織為核心,從管理的視角研究訪問控制與授權管理問題。通過引入崗位代理和授權單元,使授權隨著環境上下文信息的變化而調整,從而實現動態授權,同時利用授權單元的狀態遷移,對工作流模式提供支持。并且模型將權限分為服務權限和服務屬性權限2級,實現細粒度的資源保護。應用實例結果表明,該模型能夠契合電子政務系統中的復雜組織結構,在保護Web服務資源的同時,使得授權更加高效和靈活。

訪問控制;電子政務;組織結構;Web服務;崗位代理;動態授權

1 概述

近年來,Web服務技術已廣泛應用于電子政務的建設,特別是在電子政務遺留系統［1］集成領域,憑借其平臺獨立、松耦合和復用性高等特性,起到了很大作用。然而,Web服務的開放性給重構后的復雜電子政務系統帶來了新的安全隱患,因此,需要一種安全的訪問控制機制來識別用戶身份,使得合法用戶能夠訪問其請求的資源,而拒絕非法的訪問。

已有眾多學者對Web服務環境下的訪問控制進行了研究,并且提出了一些實用的模型,如許峰等人結合動態角色代理和基于工作流的模型［2］,提出了一個面向服務和工作流的基于角色的訪問控制模型,通過實際任務和服務狀態對授權進行動態控制,有效地加強了訪問控制系統的靈活性和安全性［3］;文獻［4］通過引入授權組概念和分級訪問控制機制,提出了一種面向服務的動態分級角色訪問控制模型,有效增強了Web服務訪問控制的獨立性、靈活性和擴展性,但缺少對實現方法的探索;文獻［5］提出了一種使用控制［6］支持的組合Web服務業務流程動態訪問控制模型,具備上下文感知、細粒度訪問管理等特性,并給出了模型的實施框架;文獻［7-8］針對Web資源訪問控制對訪問控制策略的動態性和靈活性等需求,提出了基于屬性和角色的訪問控制模型,給出相關定理和規則,并對模型的安全性進行了分析;文獻［9］提出了一種以RBAC模型為基礎的多域動態訪問控制模型,并給出了相應的授權框架,但未根據模型實現訪問控制系統。

這些模型分別從不同方面提出了改良的思路,但主要都建立在RBAC模型［10-11］的基礎之上,當系統角色和權限數目龐大時,基于RBAC模型的系統性能會顯著降低,同時管理復雜度也顯著增加,因此,這些模型都不能滿足多級、多部門、多應用的復雜信息系統的授權需要。

考慮到政府部門特殊的組織管理機制,以及應對基于Web服務的復雜電子政務系統的動態訪問安全需求,本文在基于組織的四層訪問控制模型［12］(OB4LAC)思想的指引下,提出一種基于組織的Web服務訪問控制模型,引入崗位代理、授權單元等概念,以較好地解決訪問控制安全和靈活性問題。

2 基于組織崗位的訪問控制模型

授權是組織正常運轉的基礎,甚至權限的分配還體現著組織的內部結構和運作方式,因此,電子政務系統中的授權管理應該契合組織的結構,才能實現清晰、高效的授權管理。

政府組織結構通常是相對穩定的,同時崗位對應的權限通常也是相對穩定的,而人員確是在不斷變化的。在某些政府部門中,人員的調整頻率比較大,例如存在輪崗機制,人員調整后,與之相關的權限也應該隨之改變,如果政務系統非常龐大、復雜時,授權工作就會變得十分繁重［12］。

如果將RBAC模型或者其拓展模型運用到復雜的電子政務系統,授權管理容易與組織結構脫節,上述問題并不能得到解決。因此,為了應對RBAC模型的管理復雜度隨著角色、權限的增加而顯著增加,以及更好地適應復雜電子政務系統的組織結構,文獻［12］在RBAC的基礎上提出了基于組織的四層訪問控制模型(OB4LAC)。

OB4LAC模型的核心思想是:認證、授權和責任認定都以組織為基礎,用戶被指派的是相應的崗位而不是角色;權限設定為對信息對象類型的操作而非對信息對象本身的操作,一個用戶擁有對某一信息對象的操作權限,當且僅當該用戶被指派了一個崗位,該崗位與某一角色關聯,而該角色擁有對該信息對象類型的操作權限,并且該信息對象與該崗位相關［12］。OB4LAC模型如圖1所示。

圖1 OB4LAC模型

基于OB4LAC模型的訪問授權體系已經成功地被應用到多套復雜電子政務應用系統中,如遼寧省交通廳省市縣三級協同辦公系統、山西省行政審批電子監察系統等,并且效果顯著,從而證明了OB4LAC模型的科學性和實用性。

3 WS-OBAC模型

如上文所述,將OB4LAC模型運用到傳統的電子政務系統建設中,確實頗有成效,因為該模型能夠把授權管理與政府組織管理緊密融合,從而更高效地進行授權管理工作。然而,隨著大數據時代的來臨和電子政務的推進,我國政府開始從管理型政府向管理服務性政府轉變,旨在通過電子政務系統集成和協作為公民提供更便捷、優質的服務。特別是基于Web服務的電子政務整合方案的提出,對訪問控制提出了新的要求和挑戰,因為提出請求的客體和提供服務的客體都具有較高的動態特性,同時組合Web服務業務需要工作流模式的支持。而OB4LAC模型無法滿足這種需求。因此,本文在OB4LAC模型的基礎上進一步擴展,并結合文獻［3］中的分級訪問概念,提出了基于組織的Web服務訪問控制模型(WS-OBAC),使其能夠根據系統環境上下文變化實現動態授權。

3.1 WS-OBAC的基本概念

在闡述WS-OBAC模型的具體定義之前,先介紹一下模型中要用到的一些基本概念。

定義1 崗位代理(Pagent)。Pagent是用戶激活角色、崗位對時,系統自動生成一個動態崗位代理對象。可以用一個四元組＜User,Organization,Roles,Lifetime＞表示,崗位代理集合記為A。其中,User表示激活角色、崗位對的實時用戶;Organization表示用戶的崗位;Roles表示用戶崗位所對應的角色集合; Lifetime表示Pagent的生命周期,用戶只有在生命周期內才能有效地執行訪問權限。

當用戶對應角色、崗位對被激活時,系統便會產生一個Pagent,并將該角色、崗位對的約束傳遞到Pagent中,使得用戶能夠通過Pagent間接獲得服務權限。系統調整Pagent的權限即調整實時用戶的可執行權限。

定義2 原操作(Unary Operation,UO)。是指對訪問對象的不可分解的基本操作,可以用一個二元組＜Object,Operation＞表示,記作uo,uo∈UO。

定義3 授權單元(Authorization Unit,AU)。是指用戶在工作流中對請求服務的訪問過程。一個授權單元由一個崗位代理和相關授權服務集合構成。其中,授權服務集合是指崗位代理能夠訪問的所有服務的集合。由于受到環境上下文約束,用戶能真正使用的可執行權限往往小于或者等于總共擁有的權限。在WS-OBAC模型中,AU有5種狀態:

(1)睡眠狀態。表示AU尚未被激活。

(2)就緒狀態。表示AU已完成運行前的所有準備工作。

(3)運行狀態。表示AU已被激活,正在運行。

(4)掛起狀態。表示AU運行中斷,可能由多種原因引起。

(5)終止狀態。表示AU終止運行,其擁有的權限失效。

AU的5種狀態遷移如圖2所示。當用戶試圖訪問某個服務時,系統會根據用戶請求以及環境上下文約束條件判斷是否合法,如果條件滿足,則AU進入就緒狀態,如果此時被請求的服務可用,那么AU將被激活進入運行狀態;如果服務不可用則進入掛起狀態;運行過程中如果出現異常或者任務完成, AU將進入終止狀態。

圖2 授權單元狀態遷移

定義4 用戶約束集(User Constraints,UC)。是指用戶的先決約束條件集合,記為uc,uc∈UC。

定義5 權限(permission)。是指角色被賦予的可以訪問的對象集合。本文將權限分為2種:服務權限和服務屬性權限。權限集合記為P。

定義6 會話集(Sessions)。用來存儲用戶與系統交互所需的信息,記為SS。

定義7 服務(Service)。是指政府部門根據業務需求包裝好的一組獨立的功能單元,對外提供接口,可以被用戶調用以實現其功能。服務可分為單個服務和組合服務2種,組合服務由若干服務有機結合而成,旨在實現復雜的業務流程,例如跨部門的一站式文件審批業務。所有服務構成的集合記為S。

定義8 服務權限約束集(Service Permission Constraints,SPC)。是指服務權限的先決約束條件集合,記為spc,spc∈SPC。

定義9 動態授權(Dynamic Authorization,DA)。是指系統根據用戶所擁有的角色、崗位對的服務權限集以及授權單元的具體狀態,動態決定用戶所擁有的實際可執行權限,記為DA。

定義10 訪問模式(Access Pattern)。是指角色被賦予服務屬性的權限類型。屬性的訪問模式可以不止一種,記為AP。

定義11 服務屬性(Service Attribute,SA)。是指服務能夠為用戶提供的實際交互信息,可以是輸入/輸出參數,或者是細粒度的操作,如特定表單的插入和刪除權限等。用戶想使用服務屬性所攜帶的信息,就必須同時擁有服務權限和服務屬性權限。服務屬性集合記為SA。

定義12 授權遷移(Authorization Transition, AT)。是指用戶在執行工作流中不同任務時,授權單元AU的狀態隨任務和授權環境上下文而動態變化的過程,記為AT。

3.2 WS-OBAC模型定義

WS-OBAC模型在OB4LAC的基礎上引入了崗位代理、授權單元和動態授權等概念,實現權限的動態管理。當用戶執行工作流中具體任務時,系統可以通過崗位代理和授權單元的狀態遷移來動態監控和調整用戶的實際可執行權限以及權限的生命周期等信息。同時,WS-OBAC模型將權限具體劃分成服務權限和服務屬性權限2種,更加符合Web服務的應用特征。用戶擁有服務權限只能保證其可以調用服務,當且僅當用戶同時擁有服務屬性權限,其才能夠調用該服務的屬性,實現信息交換。WS-OBAC模型如圖3所示。

圖3 WS-OBAC模型

WS-OBAC模型可用單元組＜U,O,R,A,P,SS,AU,DA,S,AP,SA,AT＞表示。該模型中還定義了如下關系:

(1)角色-崗位分配關系。是指角色到崗位的指派關系集合,簡記為RO?R×O。

(2)角色-權限分配關系。是指角色到權限的指派關系集合,簡記為PR?P×R。需要說明的是,本文存在服務訪問權限和服務屬性訪問權限2種權限。

(3)用戶-角色、崗位對分配關系。是指角色、崗位對到用戶的指派關系集合,簡記為:UA?U×RO。

(4)崗位關系。是崗位之間的相互關系,表現為集合O上的一種偏序關系,記為OH。

(5)角色關系。是指角色之間的相互關系,該模型中角色分為普通角色(Regular Role,RR)和管理角色(Managerial Role,MR)2種,普通角色之間的偏序關系記為RRH,管理角色之前的偏序關系記為MRH,則有角色關系集合RH=RRH∪MRH,且RR∩MR=Φ。

(6)管理角色-普通角色分配關系。是指管理角色到普通角色的多對多指派關系,記為:MRRM?MR×RR。

(7)用戶-角色、崗位對分配約束關系。是指用戶指派給角色、崗位對時的約束定義,記為:CAN_ASSIGN_CONSTRAINT?MRRM×RO×UC。

(8)服務-角色、崗位對分配約束關系:是指派服務權限到角色、崗位對時的先決約束條件,記為:CAN_ASSIGN_SERVICE?MRRM×RO×SPC。

(9)角色-服務分配關系。是指角色到服務的指派關系集合,簡記為SPR,有SPR?PR。

(10)角色-服務屬性分配關系。是指角色到服務屬性的指派關系集合,簡記為SPAR,有SPAR＜PR。用戶要與一個服務進行交互,首先得獲得服務訪問權限,從而可以訪問服務,然后必須通過服務屬性訪問權限與服務進行信息交互,最后才能得到想要的回饋信息。因此,用戶的PR?SPR×SPAR。

(11)服務關系。是指服務之間的相互關系,關系集合記為:SH?S×S。

3.3 模型訪問控制策略和機理

WS-OBAC模型為適用Web服務的特點,對實際服務對象實行動態的分級保護策略。模型通過動態控制崗位代理能夠獲取的服務資源以及授權單元的狀態遷移,間接地實時控制和管理用戶的實際可執行權限。模型訪問控制實施步驟主要分為4步:用戶指派,權限分配,崗位激活和動態調整權限。

(1)用戶指派

用戶指派是指系統為用戶指派角色、崗位對的過程。相關定義如下:

1)ousers:O→2U,表示崗位到其包含的所有用戶集合映射函數。形式化描述為:

ousers(o)表示崗位o所包含的所有用戶集合,而ouser*(o)表示崗位o以及其下屬崗位所包含的所有用戶集合。

2)rmanagement:MR→2RR,表示管理角色到普通角色的映射函數,其中,管理角色具有對普通角色的管理權限。形式描述為:

其中,rmanagement(mr)表示管理角色mr所管理的所有普通角色的集合;rmanament*(mr)表示管理角色mr及其下屬管理角色所管理的所有普通角色的集合。

3)may_manage_user:MR×U×RO×UC→{true,false}。謂詞may_manage_user(mr,u,(rr,o),uc)為真,當且僅當:

may_manage_user的定義表明具有管理角色mr的用戶可以管理用戶u,當且僅當用戶u符合用戶先決條件uc,并且隸屬于崗位o或者其下屬崗位,同時管理角色mr及其下屬角色對普通角色rr具有管理權限。

4)can_assign_user:該謂詞表示在一次會話中,某一用戶是否有權限將另一用戶指派給某一角色、崗位對,形式化描述為can_assign_user(ss,u1,u2, (r,o))為真,當且僅當:

謂詞can_assign_user(ss,u1,u2,(r,o))為真,當且僅當會話ss中激活了具有角色、崗位對(mr,o′)的崗位代理,用戶u1具有管理角色mr權限,且隸屬于崗位 o′或者其 o′下屬崗位,而 u2滿足 CAN_ ASSIGN_CONSTRAINT中規定的所有先決約束條件,同時,用戶u1具有將用戶u2指派給角色、崗位對(rr,o′)的權限,并且管理角色mr或者其下屬管理角色擁有對普通角色rr的管理權限。

系統通過綜合利用以上函數為用戶完成角色、崗位對指派功能。

(2)權限分配

權限分配是指權限到角色的指派關系,崗位通過其擁有的角色,間接擁有操作權限。由權限的定義可知,模型中的權限分為服務權限和服務屬性權限,分別記為SP和SPS。相關定義如下:

1)oroles(o):O→2R,是崗位到崗位擁有的所有角色集合的映射函數。形式化描述為:

oroles(o)表示崗位o擁有的角色集合,oroles*(o)表示崗位o以及其下屬崗位擁有的角色集合。

2)oservices:O→2SP,是崗位到可訪問的服務集合的映射函數。形式化描述為:

oservices(o)表示崗位o能夠訪問的服務集合, oservices*(o)則表示崗位o以及其下屬崗位能夠訪問的服務集合。

3)can_manage_service:RO×SP×RR×PC→{true,false}:謂詞can_manage_service((mr,o),sp, rr,pc)為真,當且僅當:

其涵義表明具有管理角色、崗位對(mr,o)的用戶,可以管理角色rr的服務權限sp,當且僅當服務權限sp滿足權限先決條件pc,并且可應用于崗位o或者其下屬崗位,同時管理角色mr或者其下屬角色對普通角色rr有管理權限。

4)can_assign_service:該謂詞表示一次會話中,某一服務權限是否可以指派給某一角色。形式化描述為:can_assign_service(ss,sp,rr)為真,當且僅當:

由謂詞can_assign_service(ss,sp,rr)的定義可看出,當前用戶可以指派服務權限sp到角色rr,當且僅當會話ss存在激活的具有管理角色、崗位對(mr,o)的崗位代理Pagent(ss),并且服務權限滿足CAN_ASSIGN_SERVICE的所有先決約束條件,同時該服務權限可應用于崗位o或者其下屬崗位,以及管理角色mr或者其下屬角色擁有對普通角色rr有管理權限。

以上定義基本描述了有關服務權限到角色、崗位對的分配策略,由于服務屬性權限到角色、崗位對的分配策略定義與之類似,此處不再贅述。

(3)崗位激活

在一次會話中,當用戶u請求訪問服務s時,系統會對其進行身份認證,檢查用戶對應的崗位所擁有的角色集合中是否有角色擁有服務s的服務權限以及相關服務屬性權限,如果檢查通過,激活角色、崗位對,并生成相應的崗位代理。形式化描述如下:

其中,req(u,sp,spa)表示用戶發起請求; oserviceatti*(o)表示崗位o以及其下級崗位所擁有的服務屬性權限集合;activate(u,(r,o))表示動態生成崗位代理。

(4)動態調整權限

在WS-OBAC模型中,授權可用＜U,(R,O),A, SH,SP,SPA,AU,LF＞表示,其中,LF表示AU從激活到撤銷的時限。崗位代理激活之后,AU處于就緒狀態,此時權限是無效的,唯有AU被觸發進入運行狀態后,崗位代理才能調用授權服務以及授權服務屬性中的權限。由于AU與用戶執行的任務息息相關,通常任務具有時效性,因此AU同樣具有時效性。在LF時限內,授權是有效的,當超出LF,AU進入終止狀態,系統開始撤銷崗位代理,回收授權。再者,根據工作流中任務的執行情況,AU的狀態也會通過授權遷移而得到動態調整,例如AU從運行狀態進入掛起狀態,或者甚至從AUi轉變為AUj(i≠j)。

用戶能否實際獲取服務權限,取決于工作流是否觸發了授權單元。在用戶與目標服務交互的過程中,系統根據環境上下文信息和約束條件,動態調整崗位代理和授權單元的狀態,從而間接更新用戶的實際可執行服務權限。

4 應用示例

WS-OBAC模型已在筆者參與的山西省多個市縣的行政審批電子監察系統中成功應用,實現了訪問權限的動態控制,這里僅以山西省長治市為例,簡要說明模型在應用系統中的實現過程。

4.1 系統的總體設計

該系統涉及到長治市監督局、發改委、安監局等幾十個委辦局系統中存在的各應用系統,設計開發工作牽扯到各個層面的利益關系,是一項十分龐大而復雜的系統工程,因此需要運用復雜系統理論和優異的訪問控制模型,解決系統中用戶、組織、崗位和權限等問題。

系統的總體體系結構如圖4所示。首先,基于WS-OBAC模型的電子政務系統是從組織的整體性角度看待授權問題的,所以要將組織人事管理從系統中分離開來,構成組織人事管理子系統,負責政府部門中人員到崗位之間的指派關系,并交由相關的人事部門進行管理;其次,資源角色管理子系統涉及到將政府業務封裝成Web服務以及角色到服務權限和服務屬性權限指派等工作,專業性較強,可交由IT部門負責;再者,崗位到角色的指派關系由分布式授權管理子系統負責,并可交由政府安全管理部門進行管理;最后,整個系統必須建立在PKI安全認證體系之上,使系統整體的安全性得以保障。

圖4 復雜電子政務系統的總體體系結構

4.2 實際狀況及應用效果

該系統由眾多功能模塊構成,如組織管理、服務管理、角色管理和工作流管理等。圖5為組織管理模塊工作界面的部分截圖,該模塊用來完成 WSOBAC模型中的用戶指派功能,主要負責部門、崗位和人員的添加工作,為崗位綁定相應角色,同時通過該模塊的用戶屬性頁為用戶指派崗位,并且系統中如果有人員需要調動,直接調整其用戶與崗位對應關系即可。服務管理模塊負責對服務集合以及相關服務屬性集合的管理工作。角色管理模塊負責角色的管理以及角色到服務權限和服務屬性權限的指派,從而實現WS-OBAC模型中的權限分配功能。圖6是工作流管理模塊工作界面部分截圖,該模塊根據具體業務需求,將相應Web服務進行組合,形成工作流,實現一站式行政審批。同時,系統根據工作流中任務的實時狀態更新崗位代理和授權單元狀態,實現WS-OBAC模型中的動態調整權限功能,并確保用戶的特權達到最小。

圖5 組織管理模塊工作界面

圖6 工作流管理模塊工作界面

根據實際運行結果,并與之前的系統對比發現, WS-OBAC模型帶來的具體效果有如下3點:(1)授權過程更加貼近真實世界中政府的工作方式,大大提高了網上政務辦公的效率和靈活性;(2)支持Web服務集成,系統實現簡單,同時可以對組合Web服務業務流程中的工作流模式提供支持,實現了復雜政府業務的跨部門聯合審批;(3)建立政務外網門戶網站,實現了各部門應用系統的統一登錄和資源共享,為公眾提供了更優質、便捷的在線服務。

5 結束語

近年來,面向Web服務的訪問控制研究備受關注,然而大多數都是針對集團型企業應用系統,不能很好地適應復雜電子政務系統。本文在研究基于組織的四層訪問控制模型(OB4LAC)的基礎上,提出了基于組織的Web服務訪問控制模型(WS-OBAC)。

該模型的優勢主要表現在:(1)基于組織崗位的授權模式與復雜電子政務系統的組織結構契合,用戶與角色相分離,崗位與授權相關聯,更加符合復雜電子政務建設的實際需求。(2)通過引進崗位代理和授權單元,根據訪問服務的環境上下文和相關約束條件,動態控制用戶的實際可執行權限。并通過授權單元的狀態遷移,對面向組合Web服務業務流程的訪問控制提供支持,促進政府機構通過Web服務技術對業務流程進行重組,實現各機構、各部門之間互通互聯和政務協作。(3)將訪問權限分為服務權限和服務屬性權限,用戶必須同時擁有某一服務的服務權限和對應的服務屬性權限,才能夠與服務進行交互,從而更好地保護服務資源。(4)易于實現統一授權管理、單點登錄和多部門系統集成。

［1］ 文俊浩,饒錫如,何 盼,等.基于工作流的服務組合在電子政務中的應用［J］.計算機應用,2009,29(9):2512-2515.

［2］ 鄧集波,洪 帆.基于任務的訪問控制模型［J］.軟件學報,2003,14(1):76-82.

［3］ 許 峰,賴海光,黃 浩,等.面向服務的角色訪問控制技術研究［J］.計算機學報,2005,28(4):686-693.

［4］ 朱一群,李建華,張全海.一種面向Web服務的動態分級角色訪問控制模型［J］.上海交通大學學報,2007, 41(5):783-788.

［5］ 上超望,劉清堂,趙呈領,等.UCON支持的組合Web服務業務流程訪問控制模型［J］.武漢大學學報:理學版,2011,57(5):408-412.

［6］ Park J,Sandhu R.The UCONABCUsage Control Model［J］.ACM Transactions on Information and System Security,2004, 7(1):128-174.

［7］ 劉 淼,李 鵬.結合屬性和角色的Web服務訪問控制［J］.計算機工程與設計,2012,33(2):484-488.

［8］ 張 斌,張 宇.基于屬性和角色的訪問控制模型［J］.計算機工程與設計,2012,33(10):3807-3811.

［9］ 張 帥,孫建伶,徐 斌,等.基于RBAC的跨多企業服務組合訪問控制模型［J］.浙江大學學報:工學版, 2012,46(11):2035-2043.

［10］ Sandhu R.Role-based Access Control Models［J］.IEEE Computer,1996,29(2):38-47.

［11］ 廖俊國,洪 帆,肖海軍,等.細粒度的基于角色的訪問控制模型［J］.計算機工程與應用,2007,43(34):138-140.

［12］ 李懷明.電子政務系統中基于組織的訪問控制模型研究［D］.大連:大連理工大學,2009.

編輯 任吉慧

Organization-based Access Control Model for Web Service

LI Huaiming1,WANG Huijia1,FU Lin2
(1.Faculty of Management and Economic,Dalian University of Technology,Dalian 116024,China;
2.Dalian Central Sub-branch,The People's Bank of China,Dalian 116024,China)

For the problem of current access control strategies difficultly guaranteeing the flexibility of authorization of complex E-government system for Web service,this paper proposes an organization-based access control model for Web services on the basis of the research of the organization-based 4 level access control model.The model takes organization as the core and studies the issue of access control and authorization management from the perspective of management.Through importing the position agent and authorization unit in the model,the authorization can be adjusted according to the change of the environment context information to implement the dynamic authorization,while taking advantage of the state migration of authorization units,provides support for workflow patterns.Furthermore,the model divides permissions into service permissions and service attribute permissions,and achieves fine-grained resource protection.Application examples show that the model can commendably fit the complex organization structure in E-government system.Moreover,it can make authorization more efficient and flexible meanwhile protecting the Web service resources.

access control;E-government;organization structure;Web service;position agent;dynamic authorization

1000-3428(2014)11-0065-06

A

TP311.5

10.3969/j.issn.1000-3428.2014.11.013

國家自然科學基金資助重點項目(91024029);國家自然科學基金青年科學基金資助項目(71001013)。

李懷明(1962-),男,副教授、博士,主研方向:電子政務,軟件工程;王慧佳,碩士研究生;符 林,高級經濟師、博士。

2014-01-15

2014-02-25E-mail:dl_lhm@dl.gov.cn

中文引用格式:李懷明,王慧佳,符 林.基于組織的Web服務訪問控制模型［J］.計算機工程,2014,40(11):65-70.

英文引用格式:Li Huaiming,Wang Huijia,Fu Lin.Organization-based Access Control Model for Web Service［J］.Computer Engineering,2014,40(11):65-70.