一種基于角色的多約束動態權限管理模型研究

許 淳，王文發，李竹林，劉 芬

（延安大學 數學與計算機科學學院，陜西 延安716000）

一種基于角色的多約束動態權限管理模型研究

許 淳，王文發，李竹林，劉 芬

（延安大學 數學與計算機科學學院，陜西 延安716000）

在基于角色的訪問控制模型（RBAC）基礎上，引入訪問終端、網絡環境和接入方式等外部因素，提出了基于角色的多約束動態權限管理模型，依據外部因素的安全程度和資源可能帶來安全風險分別對外部因素和資源進行量化，實現了用戶、角色、資源和各種外部因素的統一。利用該模型可實現不同外部條件下，用戶權限的動態管理，從而提高系統的靈活性和安全性。

信息管理系統；RBAC模型；角色；動態權限管理；外部因素

隨著信息化程度的不斷提高，出現了各種信息管理系統［1-3］，用于實現數據的電子化和數字化管理，促進管理工作的規范化，甚至通過系統中數據的分析為各級管理人員提供決策支持，進而提高工作效率。從總體架構上系統大體可分為單機版和網絡版兩種。其中，前者屬于早期的系統架構；后者是目前主流的系統架構，它可以更好地實現數據的共享及遠程管理，但也給數據的安全性帶來了挑戰。此外，新型終端設備（如手機和平板等）的出現及無線技術的應用，突破了傳統PC機終端的有線接入，終端及其接入方式的多樣化一定程度上降低了數據的安全性。可見，安全性是任何信息管理系統開發過程中必須解決的一個重要問題。對于系統安全性，通常是在設計和實現過程中采取有效措施加以防范，如將用戶的操作權限進行詳細劃分并嚴格控制，避免重要數據或敏感數據的非法篡改或泄露，從而提高數據的安全性。

針對終端類型、接入方式等外部因素的多樣性，文中以RBAC（Role Based Access Control，RBAC）模型為基礎，提出一種基于角色的多約束動態權限管理模型。

1　基于角色的訪問控制

基于角色訪問控制模型最早由Ferraiolo和 Kuhn提出［4］，目前出現了多種基于角色訪問控制模型的擴展模型［5-8］。該模型主要涉及用戶、角色和權限3部分，通過用戶與角色之間、角色與權限之間分別建立多對多的對應關系，實現用戶與權限之間的多對多關系。可見，角色是模型的核心，是用戶（訪問主體）和權限（受控對象）之間的橋梁。

該模型的大體操作過程：先建立合適的角色，再對每個角色授權，最后為用戶賦予一定的角色。這樣，用戶就具有與其角色所對應的權限。其基本模型如圖1所示。

圖1　RBAC基本模型圖

由上述可知，RBAC模型主要是從訪問的主體出發，按照一定的規則對其進行分類，形成不同的角色并對其設置相應的訪問權限。這種簡單地從主體出發，僅考慮主體的角色，并不能有效提高系統的安全性。因為角色是相對固定的，不能隨著訪問系統的終端、系統接入方式、網絡環境等的變化而變化。

2　基于角色的多約束動態權限管理模型

2.1基本思想

一般地，外部環境通常會給系統帶來一定的安全威脅，合理考慮外部因素對系統的影響是必要的。權限最終表現為用戶可使用的資源，資源有其敏感性，資源越敏感，安全風險就越大。因此，可將外部因素統一描述為影響系統安全的程度，并與資源的敏感度聯系起來，形成一種基于角色的多約束動態權限管理模型。

該模型以RBAC模型為基礎，對系統的資源的敏感度進行量化，通過評估外部環境可能帶來的安全威脅，過濾該環境下系統中較敏感數據的操作權限，從而一定程度上保證數據的安全性，其模型如圖2所示。

圖2　基于角色的多約束動態權限管理模型

上述模型中，用戶最終權限大體可分解為兩方面任務：由角色確定用戶的初始權限；由外部環境確定高敏感資源所對應的權限。其中，前者主要以系統需求分析為基礎，分別創建用戶、角色和資源以及它們之間的對應關系，無需計算即可間接獲取用戶的權限；后者需要由外部因素計算出的資源敏感度閾值來確定。

2.2模型描述

下面給出這種基于角色的多約束動態權限管理模型的形式化描述。首先給出一些的符號說明，具體如下：

u：表示某個特定的用戶；

U：表示系統所有的訪問主體，即用戶的集合；

r：表示某個特定的角色；

R：表示訪問主體所屬類別的集合，即角色的集合；

s：表示某個特定被訪問資源（或對象）；

S：表示系統中所有資源的集合；

n：表示外部因素的個數；

wi：表示第i個的外部因素的權值；

vi：表示第i個外部因素的取值；

Max（vi）：表示第i個外部因素的最大取值；

為了描述方便，這里引入兩個多值函數和一個單值函數，具體如下：

r=g（u）g表示用戶u所對應的角色r

s=f（r）f表示角色r所對應的資源s

l=h（s）h表示資源s所的敏感值l

根據模型的基本思想，權限的管理可以看作是對資源的管理，即不同角色的用戶在各種外部因素作用下所能獲取的所有資源的集合S"，具體如下式所示。

2.3模型實現

但當區塊鏈技術逐步“墮入”商業世界時，去中心化的信仰正在逐步淪喪，架構開始走向了集中。比如區塊鏈的企業操作系統（EOS）項目，就設計了21個中心節點。事實上，如果以最典型的區塊鏈應用，比特幣和以太坊等為例做觀察，就會發現已經形成了3個中心：代碼中心、算力中心和財富中心。

依據模型的基本思想，其實現過程為：1）獲取用戶激活角色所對應的系統權限；2）收集系統的外部環境并確定外部因素；3）計算外部因素作用下資源敏感度閾值；4）從1）中所確定的權限中過濾大于資源敏感度閾值的所有權限，形成用戶的最終權限。

下面以訪問終端、網絡環境、接入方式等3種外部因素為例，給出模型的詳細實現過程，具體如下：

1）確定資源等級和分值，如A-5，B-4，C-3，D-2，E-1，F-0，并根據其敏感程度打分，分值越大表明資源越敏感、破壞性越大；

2）創建用戶和角色，為角色分配資源，為用戶分配角色；

3）確定各個外部因素，并根據其安全程度及可能的取值分別確定權重、取值范圍和取值。假設某個系統可能的外部因素及其取值范圍、權重如表1所示。

表1　外部因素的取值范圍及其權重

（內網，有線，PC機）：5*（0.6*（2/2）+0.3*（2/2）+0.1*（3/3））=5

（內網，無線，平板）：5*（0.6*（2/2）+0.3*（1/2）+0.1*（2/3））=4

（外網，無線，平板）：5*（0.6*（1/2）+0.3*（1/2）+0.1*（2/3））=2

5）獲取由用戶所屬角色確定的資源，并從中去除值大于L′的資源項。假設某個用戶同時擁有A級、B級、C級、D級、E級所有級別的部分資源，由4）計算可知，第一種方式是相對最安全的方式，最終權限不受外部因素的影響；第二種情況下，該用戶將不具有A級和B級資源的權限，第三種情況下，該用戶僅具有D級和E級資源的權限。

2.4模型的應用

分析上述模型，模型應用中將主要涉及用戶、角色、系統資源、外部因素配置等4類基本信息的管理、系統外部環境采集模塊以及最終權限的生成模塊等的實現。其中，用戶、角色和權限及其相互關系可以借助數據庫技術加以實現；系統外部環境采集模塊以及最終權限的生成模塊需要通過應用程序代碼加以實現。因此下面將從底層數據庫設計和應用程序兩個方面加以敘述。

2.4.1底層數據庫設計

根據模型的要求，必須存儲的信息主要包括：用戶（用戶編號、用戶姓名、密碼）、角色（角色編號、角色名稱）、資源（資源編號、資源名稱、資源對應的URL、資源的層級、上層資源編號、資源敏感閥值）、外部因素配置（編號、因素名稱、所屬類別、取值范圍、權重）等4個實體信息。此外，還需兩個關系表：用戶-角色（編號、用戶編號、角色編號）、角色-資源（編號、角色編號，資源編號），分別用于實現用戶和角色的多對多聯系，角色與資源的多對多聯系。

限于篇幅且考慮到模型的通用性和關系型數據庫的主流地位，此處以關系型數據庫為例給出相關的表設計及其它們之間的聯系，具體設計如圖3所示。

圖3　數據庫表設計

2.4.2關鍵的功能模塊

在應用程序方面，主要是外部環境信息的采集、相關基礎信息的管理以及最終權限的生成。其中，外部環境信息的采集和最終權限的生成是模型實現的關鍵，下面將分別給出它們的實現流程。

1）外部環境采集模塊

該模塊主要實現網絡環境、客戶端接入方式、系統訪問終端類型等信息的采集，并將采集到的信息以參數的形式傳遞給權限生成模塊。其中，網絡環境信息主要可以通過獲取客戶端的IP地址端來確定；接入方式需要以終端類型為基礎分別采取不同的方法來確定；系統的訪問終端可以通過JavaScript進行判斷。為了便于實現，可以按照以下流程進行實現：

a.判斷系統訪問終端的類型（含平臺及瀏覽器信息等）；

b.結合a中獲取的信息，針對不同的訪問終端判斷其接入系統的方式；

c.獲取設備的IP地址，并確定其是否與應用服務器的IP處于同一網段，如果是則為內網，否則為外網。

2）最終權限生成模塊

最終權限的生成依賴于用戶的角色和外部因素來確定，并通過系統操作菜單體現出來。其大體可以分為兩大階段，這里從系統登錄頁面開始給出最終權限確定流程。具體如下：

a.輸入合法的用戶身份信息；

b.通過用戶信息的獲取該用戶的角色信息；

c.通過角色信息獲取角色對應的資源信息；

d.獲取所有的外部因素，根據外部因素設置信息計算其加權和；

e.對于c.中獲取的每一項資源，過濾其敏感值大于d.中計算的加權和的資源項；

f.根據資源的層級關系，生成分級的操作菜單。

3　結束語

基于角色的多約束動態權限管理模型以傳統的RBAC模型為基礎，將用戶權限的確定從僅依靠用戶拓展到以用戶為主、以各種外部因素為輔，并對這些外部因素和系統中的資源進行量化；同時，從外部因素對系統的安全程度和資源可能帶來安全風險的角度，將外部因素以較為合理的方式引入最終權限的確定過程中。該模型具有通用性強，方便靈活，安全性高等特點，由于以傳統RBAC模型為基礎，因而也具有強的可行性和一定的應用價值。

［1］臺德藝，王昆侖，郭昌健.高校科研信息管理系統的設計與實現［J］.計算機工程與設計，2009，30（9）:2339-2341.

［2］劉明舉，郝富昌.基于GIS的瓦斯預測信息管理系統［J］.煤田地質與勘探，2005，33（6）:20-23.

［3］鄭曉東.工程設計企業管理信息系統的開發研究［J］.計算機技術與發展，2011，21（4）:246-249.

［4］Ferraiolo D，Kuhn R.Role-based Access Control［C］//Proceedings of 15th National Computer Security Conference，1992.

［5］郝小龍.改進的RBAC模型在電網視頻監控平臺中的應用［J］.計算機技術與發展，2014，24（12）:212-220.

［6］宋萬里，吳煒峰.基于改進的RBAC模型的系統用戶權限控制研究［J］.計算機與現代化，2014，9:49-54.

［7］于小兵，郭順生，楊明忠.擴展RBAC模型及其在ERP系統中的應用［J］.計算機工程，2009，35（24）:165-167.

［8］陳軍冰，王志堅，艾萍，等.關于RBAC模型中約束的研究綜述［J］.計算機工程，2006，32（9）:1-3.

A study on m ulti-constraint dynam ic perm ission m anagem entmodel based on role

XU Chun，WANGWen-fa，LIZhu-lin，LIU Fen
（College ofMathematics and Computer Science，Yanan University，Yanan 716000，China）

Based on the RBACmodel，introducing external factor such as terminals，network environmentand access styles，etc，an multi-constraint dynamic authority managementmodel based on role is protested.According to safety degree of the external factorsand security risksof resources，external factorsand resources are both quantitative respectively，unifying users，roles，resources，and all kinds of external factors.Using themodelwe can realize dynamicmanagement for user rights under differentexternal conditions，and improve the flexibility and security of the system.

MIS；RBACmodel；role；dynamic authoritymanagement；external factor

TN918.91

A

1674-6236（2016）19-0031-03

2015-10-23稿件編號：201510169

延安大學校級科研項目（YDQ2014-48）

許 淳（1981—），男，陜西蒲城人，碩士研究生，講師。研究方向：軟件工程及數據庫技術等。