角色控制（精选10篇）
角色控制 篇1
0 引言
基于角色访问控制 (RBAC) 是目前流行的一种访问控制策略, 是在用户和访问许可权之间引入角色的概念, 将权限与角色相联系, 通过对角色的分配和取消来完成用户权限的授予和撤消, 简化了用户和权限的管理。RBAC技术俨然已经成为传统的自主访问控制和强制访问控制技术的最佳替代者, 受到了越来越多的关注。
在大型管理信息系统中, 可以有成百上千个用户, 每个用户扮演着不同的角色, 每个角色可以拥有不同的权限.集中由一小组的安全管理人员来管理这些角色和用户是一项非常繁重的任务, 这就要求下放RBAC的管理权, 分散授权管理。基于角色访问控制的主要优点是省去了权限管理的麻烦, 因此运用RBAC来管理RBAC本身是可行的。近年来, 相继提出的RBAC管理模型有ARBAC97、ARBAC02和CL03。下面对这三个模型进行分析比较。
1 ARBAC97模型
ARBAC97将RBAC各组件的管理问题划分为三类:用户-角色指派 (URA97) 、权限-角色指派 (PRA97) 和角色-角色指派 (RRA97) , 实现了对RBAC分而治之的管理。
1.1 URA97模型
URA97是用户-角色管理模型, 主要解决的是对用户分配角色的问题, 包括规则角色与管理角色的分配。该模型有两个组件, 角色分配can_assign () 和角色撤消can_revoke () 。
定义1.用户-角色指派:can_assignAR×CR×2R, R是角色集, AR是管理角色集, CR表示所有可能在R中使用角色形成的先决条件集合。
例如can_assign (x, y, Z) 指一个管理角色x (或一个级别比x高的管理角色成员) 可以对一个用户, 当这个用户的规则角色满足先决条件y时, 就能授予该用户成为范围Z中的一个规则角色成员。
定义2.用户-角色指派撤消:can_revokeAR×2R
例如can_revok (x, Z) 指一个管理角色x (或一个级别比x高的管理角色成员) 可从任何规则角色z∈Z中撤消一个用户的成员资格。
URA97中的撤消操作是一种弱撤消, 仅对直接管理的角色适用。图1中, 如果一个用户同时是DIR与PL1的成员, 而DIR的权限又是由PL1继承而来的, 那么即使删除了用户的PL1角色成员资格, 该用户仍然可以通过角色DIR获得PL1的许可。
1.2 PRA97模型
PRA97是许可-角色管理模型, 主要解决的是许可的分配与取消问题。RBAC模型中与权限直接关联的是角色, 因此, 权限到角色的指派是RBAC管理操作中重要的环节。该模型也有两个组件, 权限分配can_assignp和权限回收can_revokep。
定义3.权限-角色指派:can_assignpAR×CR×2R
定义4.权限-角色指派回收:can_revokepAR×2R
从角色的角度看, 用户和许可具有相同的特征, 故PRA97与URA97具有一一对应的关系, 只要把URA97中与用户有关的数据换成是权限, 就可以得到PRA97模型。
1.3 RRA97模型
RRA97是角色-角色的管理模型, 主要解决的是角色本身的管理问题, 这是整个RBAC模型中最为复杂的部分。由于角色的继承关系会影响到用户-角色指派和权限-角色指派关系, 任何一种操作都会对角色偏序结构产生影响, 从而给RBAC模型的分布式管理带来困难。
RRA97仅讨论了普通角色的管理, 而对管理角色的管理则未做说明。模型中普通角色的管理包括对角色和角色继承关系的修改, 由can_mod ifyAR×2R操作控制。
例如:can_mod ify (x, Y) 的意思是管理角色x (或者级别比x更高的管理角色) 中的一员可以创建或者删除区间Y中的一个角色, 也可以改变区间Y中的角色层次关系。
ARBAC97模型虽然简单, 易于理解, 但在实际应用中还存在一些缺点:
首先, ARBAC97不能够对特定的角色层次结构进行操作;其次, 由于受到先决条件的限制, URA和PRA中分别存在着用户和权限多步分配的问题, 多步分配必须导致信息冗余;最后, 由于采用自顶向下的权限分配方法, PRA97中存在着不合理的许可流问题。
2 ARBAC02模型
针对ARBAC97模型存在的问题, 对其进行了改进, 并提出了一个新的管理模型-ARBAC02。该模型采用了一种更先进的管理方法, 在保留ARBAC97模型主要特征基础上, 引进了一个新的概念“组织结构”, 作为新用户和权限库, 以此取代角色层次结构中的先决条件角色, 同时设计了一个自底向上的权限分配方案。
2.1 组织结构与新的用户库和许可库
组织结构是一个树型结构且具有继承特性, 它独立于角色或角色层次。一个组织结构是由许多组织单元构成的, 每个组织单元中都包含着相关人员和相关工作职责。为了完成角色管理的目的, 我们可以把用户库和许可库看成是不同的组织结构。
定义5.OS-U代表用户库的组织结构, 包含了事先分配好的用户。图2是一个OS-U的例子。任何组织单元都有用户, 如果“Tom”是“PJ1”的一员, 这就意味着他在Project1中有一个工作职位。OS-U是一个树型结构, 且具有继承特征。因此, “Tom”作为“PJ1”的一员, 也是“ED”和“PRD”的一员。
定义6.OS-P代表许可库的组织结构, 包括了事先分配好的许可。从图3中看到OS-P是一个倒置的树型结构, 一般的许可分配给底层部门, 特殊的许可分配给高层部门, 生产部门的访问许可都分配给“PRD”, 而Projectl成员的特殊许可分配给“PJ1”, 在OS-P中许可被向下继承。
2.2 自底向上的许可-角色分配方式
ARBAC02模型采用自底向上的方式进行许可的分配, 一般的许可分配给较低层次的角色, 较高层次的角色可以继承这些许可;另外, 特殊的许可分配给层次较高的角色。图1中, 公司所有成员都拥有的许可分配给角色“E”, 工程部门成员拥有的许可分配给角色“ED”, Projectl的成员拥有的许可分配给角色“E1”。这样, 层次较高的角色可以通过继承来获得相应的许可, 避免了不合理的许可流向。
3 CL03模型
严格意义上讲, CL03不能算做管理模型, 真正的管理模型应该是SARBAC, 它是在RHA4基础上扩展出来的。RHA4是R H A层次管理模型系列中的一个组成部分, 其作用与RRA97相当。RHA4中有一个很重要概念就是“管理区间”。
定义7.S (r) 设是角色r的管理区间, 有S (r) ={s∈R:s≤r↑s↑r↓r}。
例如, a∈S (r) 表示从a开始的每条路径都经过r, 也就是说, 由r控制的关于a的任何改变都不会因继承特性而对层次结构产生影响。
SARBAC在RHA4 admin_authority操作基础上增加了与ARBAC97中和作用相当的两个操作:
控制用户-角色的指派:ua-constraintsR×A (R)
控制权限-角色的指派:pa-constraintsR×A (R)
用户和权限的指派关系是通过ua-constraints和pa-constraints的直接更新和间接更新实现的。这两种更新操作都能改变模型的层次结构, 如果角色r处在管理角色a的管理区间之内, 那么a就可以修改所有与r有关的操作, 包括添加删除角色r, 添加删除以r为端点的边线, 这样的操作可能破坏模型的层次结构, 这在ARBAC97中是不允许的, 因为ARBAC97中对角色层次结构的任何一种操作都必须保证角色区间的封装性;而在SARBAC中, 每个管理角色都和一个特定的管理区间相关联, 角色的管理区间是由层次结构决定的, 而层次结构又是ad min_authority由操作动态扩展的, 并且可以随着层次结构的变化而动态变化, 因此SARBAC的管理方法更加灵活, 适用范围更广。
另外, SARBAC在模型的完整性, 简单性, 实用性和多功能性等几个方面都比ARBAC97优秀, 在基于角色的模型框架下, 还可以很好地模拟自主访问控制机制, 降低由角色层次结构的继承性带来的复杂操作。
4 结论
ARBAC97是最基本的, 也是最容易理解的基于角色访问控制管理模型, 但该模型还存在着很多问题。ARBAC02针对ARBAC97中存在的问题提出了一些改进措施, 引进了组织结构的概念, 使用户和许可不再依赖于角色层次。同时, 模型采用自底向上的权限分配方案, 解决了ARBAC97中存在的不合理许可流问题。SARBAC管理模型的提出, 突破了ARBAC97只能在封装的角色区间内对角色层次结构进行修改的局限, 使得该模型比ARBAC97更有吸引力, 具有更多的理论和实际应用价值。
摘要：基于角色访问控制技术是保证信息和系统安全的最有效的技术, 将角色与权限对应起来, 用户根据他的责任和资格被赋予适当的角色而获得相应的权限。模型中角色的分布式管理是一个十分复杂的问题。为了使RBAC模型的管理更加方便, 灵活, 可以用RBAC来管理模型本身。ARBAC97、ARBAC02、CL03是近年来提出的RBAC管理模型。本文重点对这三个模型进行了介绍, 通过比较, 指出了ARBAC97中存在的不足及ARBAC02、CL03所做的改进。在分析各个模型过程中, 给出了自己的理解。
关键词：基于角色访问控制,管理模型,ARBAC97,ARBAC02,CL03
参考文献
[1]Ferraiolo D, Cugini J, Kuhn R.Role-based access control (RBAC) :features and motivations. In:proceedings of 11th Annual Computer Security Application Conference, New Orleans.LA.1995.12.
[2]Bertino E, Feari E, Atluri V. Specification and Enforcement 0f Authorization Constrains in Workflow Management Systems.
角色控制 篇2
————浅谈电视剧演员如何塑造角色
在表演学中，演员所塑造的角色我们可以理解为把作品中的人物形象进行再创作，变成直接的可见的生活形象，使人物从剧本里走出来，变成活生生的生活中的人。那么，电视剧演员的创作任务便是在剧作家所创作出来的文学形象的基础上再创造出活生生的、有血有肉的屏幕人物形象。如何成功地塑造出一个活灵活现的荧幕角色我想对于每一个演员来说，都具有至关重要的意义。通过搜集孙红雷、周迅、陈道明等多位我国一线电视剧演员的经验谈，我们可以将解决这一问题的主要方法归结为以下几个方面。
首先，要正确把握和理解人物的性格。
当一个演员初次接到一个崭新的剧本，要想能尽快的进入角色，把角色演活、演真，那么，他首先应该做的便是理解和把握人物性格，要从作品中人物行为和语言中进行挖掘。人物的内心世界同时也体现在人物语言中，要懂得通过人物语言来发掘作品内容和它的丰富内涵，把握人物的内心世界。这就必须透过字里行间来抓住人物的性格特点，理解人物的思想感情。作为演员主要是通过研究作品来理解人物，但仅止与此是不够的，还有一个必不可少的深入生活的途径，生活是艺术创作的源泉，演员对人物浅表的理解是演不好角色的，这需要从生活中获取对人物直接的感情体验，积累丰富的创作素材。演员通过分析作品，深入生活，进行排练以至整个演出过程，会不断加深对人物的理解，而理解人物的尝试决定着塑造人物形象的成败。
如孙红雷在开拍《潜伏》时，是这样谈论对所扮演的余则成这一角色塑造的理解：“通常一提到影视剧中的谍报人员，大家就认为是英雄形象……我不想演那样的英雄，我觉得太假、太虚，我想演一个能在那个年代的谍报机构里生存的人，因为每天都有无数双眼睛盯着他，有无数只耳朵听着他，我希望他在这么多的监控之下，能够生存。”
孙红雷通过对作品的深刻的研讨，充分的挖掘和把握住了人物的典型性格特征，于是在《潜伏》正式放映时，在我们面前的是个大智若愚、深藏不露，举手投足之间都彰显从容淡定、沉稳内敛，充满个人魅力的余则成这一人物形象。
拥有同样经历的还有在《金婚》中扮演文丽的知名演员蒋雯丽，在剧中，文丽是一个美丽、忠诚、善良但同时也善妒、偏执和疯狂，女性正面和负面的性格都能在她身上体现的淋漓尽致。“我像她，所以，我演她”蒋雯丽在接受《南方周报》的采访时如是说道。正是在这种人物性格上深刻把握的本色演出，让观众在欣赏此剧时自然地感同身受，就像是在回味自己或身边人的经历。
其次，要想塑造好一个角色，还需要体验与表现角色。“演员要研究自己的角色，通过认真分析，留心作者给他提供的环境，细致观察角色性格，然后进入角色生活，体验角色感情。具体地说，作为在舞台上的表演应该是“形似”和“神似”完整统一。神似是要把人物的精神气质、内心情感体现出来，这仅仅靠模仿感情的外在表现形式是做不到的。演员在表演的时候，过的是“双重生活”，他必须具有双重意识，在充分表露一切适合时宜感情的同时，还要自
始至终地十分注意演出的方法和细节，使意识在自我控制下行进。” ①只有对角色准确而深刻的认识，才能传达出更深层次的精神内涵。
如在《西游记》中成功的塑造了荧屏上的美猴王这一艺术形象的演员六小龄童，六小龄童为了能生动的塑造孙悟空这一角色曾跟随其父六龄童系统地学习猴戏。猴戏，是武戏中独具风格的一种，一个演员必须是把武生各种戏路全部掌握好了，打好了根基并已基本定型之后，才能在此基础上升华进一步学习猴戏。通过艰辛的猴戏的学习，六小龄童充分的进入到了角色的生活，把孙悟空身上所体现出来的人的社会性、猴的生物性、神的虚幻性这三种属性有机地融合在一起，表现出形神兼备的艺术形象。
在演戏之前提前“入戏”的演员还有很多，比如被观众誉为“精灵演员”的周迅也曾经在电视上接受访谈上说，“演戏跟唱歌一样，你要把那些歌词都变成自己的东西。也就是说你要把角色的生活融入自己的生活中，可能你原来并没有角色生活中的那些内容，但是，角色给了你这些东西，使你仿佛有一根筋永远伸在那里。”周迅曾扮演过无数个具有挑战性的角色，但她成功塑造这么多让观众印象深刻的方法便是就是真的放下自己，放下所有的预设立场，变成正在塑造的那个人物。
可是在影视圈也有很多演员因为入戏太深，而无法脱离自身的塑造的角色，比如那个仙子一般的陈晓旭，她在扮演那个天仙样的林妹妹时，完全将自己变成了她，但在之后的生活中一直无法抽离，便养成了心病。
另外，演员语言要有个性。
“表演的两大支柱一个是语言，一个是动作。语言在戏剧表演中俗称台词。在舞台上，语言是演员让观众从心里对人物产生共鸣的主要手段。马克思说：“语言是思想的直接事实，思想的实际表达为语言。”语言是人们交流思想，达到相互了解的工具。在戏剧艺术里，语言具有极大的作用，思想、主旨、意向、冲突，所有一切在戏剧作品里都是用语言表达的。演员不仅需要用面部表情和形体动作来使观众看到你的思想，而且需要运用表现和传达丰富人物思想的语调使观众听见你的思想。
语言本身也是动作，由于语言具有鲜明的动作性，所以它总是与人的某种意愿有着明显的联系。这种意愿的产生和完成赋予语言以动作。因此，语言动作和形体动作一样，有它的任务、目的和规定情境，体现出语言的动作性才能说好台词” ②
另外，我们除了关注演员的有声语言之外，那些无声的隐藏在言语背后的潜台词也同样具有魅力。
而所谓潜台词就是深藏在台词之中的真正含意，这种含意没有直接写出来，直接说出来，而是通过台词流露、表达出来的。俗话说“说话听声，锣鼓听音。”表达潜台词，可以通过演员的面部表情、手势、语调、语气等多种多样的表现手段。
深入挖掘潜台词，并把它清楚地传达给观众，这是演员在表演创作中要完成的任务。演员在准备角色时，要根据剧情的要求，研究剧中的情节、事件、台词、人物关系和人物所处的特定情境，找到人
物此时此刻的内心感受和内心思想活动，通过生活的戏剧语言来塑造凸显人物的独特魅力，这一点上我们不得不提被业界人士誉为具有“恢宏大气，帝王之声“的戏剧腔的演员陈道明。
所谓“戏剧腔”，是指语调特别注重抑扬顿挫回环流动。演员的台词从大范围上可以分为戏剧腔和生活腔。而生活腔，则指的是接近或就是我们平常生活的语调。陈道明和李保田是国内少有的能融合这两个截然不同的台词风格的演员。
陈道明曾在《康熙王朝》中大放异彩，该剧大场面较多，陈道明大段大段的台词表演机会也很多。最经典的首推第四十五集开头一段长约十分钟的台词戏，康熙在乾清宫因查处明珠案而廷斥群臣，痛责腐败，并改乾清宫大殿为“正大光明殿”。陈道明在这一段的表演，其登峰造极、炉火纯青，其王者霸气，对臣子们恨铁不成钢的心情，对腐化之痛恨，无不得到酣畅淋漓的表现。这不仅仅是声音的颤栗和嘶竭，完全是整个身心的迸发，而这种喷溢欲出的激烈情绪又被很有节度地控制在不失态的境地里，十分具有张力。
而另外一位同样在荧幕上诠释王者之气的演员那便当属饰演过武则天的刘晓庆了，在《武则天》这部剧里，刘晓庆的一颦一笑，一个细微的动作，一个不经意的眼神，都让人看到人物的欢乐、痛苦、挣扎、无奈与绝望，每一个手势、步伐、快慢停顿都极具风骨，尽显了历史剧的博大和张力。刘晓庆也曾透露过说自己除了要研读透大段大段台词背后的深意外，这些无声的潜台词更需要自己花费心思表现
给观众看。
最后，塑造血肉丰满人物的关键便是立体化，多样化的手段。在一部剧情生动的电视剧中，是需要具有性格复杂、情感丰富、命运跌宕起伏的各种人物，在生活中会遇到各种各样的险境，要面对各种各样的人，因此他们的表现就不能单一化，而是多样化，时而温和平静，时而老辣炙热，时而深不可测，使人物形象更加立体完整，饱满丰盈。
在这里，让我们举两个电视剧中经典的反面角色为例，那就是和坤的扮演者王刚和容嬷嬷的扮演者李明启。这两位演员都充分运用了多样化的表演手段将这原本应该让人深恶痛绝的角色演出了其可恨、可恶、可憎、可悲、可怜之外的一点儿可笑和可爱。
李明启在《还珠格格》成功的饰演了一位狠毒邪恶的老嬷嬷，但在剧中她屡次被小燕子恶整出尽了洋相以及剧中与皇后的主仆情深痛悔改过又让人觉得有些许可笑和同情。
而在《铁齿铜牙纪晓岚》中扮演和坤的王刚也曾坦言“演反派就是把心里的魔鬼放出来” “我们经常说‘人之初，性本善’，其实未必。当一个人吸吮母亲奶头的时候，肯定不愿意让给别人吃。这种天性可以说是与生俱来的。后来经过学校、家长和社会的教育，才学会了谦让。如果说人们心中本来有一个魔鬼和一个天使，那魔鬼在后天的教育下变得越来越小，天使则变得越来越大。最后，当魔鬼真的变得很小乃至消失的时候，那你就是圣人了。所以我们常常说：‘人非圣贤，孰能无过？’大家都有一些缺点，彼此彼此。演反角的时候，我就把
心中的魔鬼充分释放出来，就像打开潘多拉的盒子一样。这样，这个人物也就活灵活现了。”
思考的能力和思想的深度，往往决定艺术的高度。演员到最后拼的就是艺术成熟的高度，审美素质的丰厚，文化底蕴的深度。比如在《人间四月天》饰演徐志摩的黄磊，眼神明亮干净，带有仿佛与生俱来书卷气；那调皮娇俏的小燕子赵薇，灵动的大眼睛里有着藏不住的神采和光芒，许多细腻丰富的感情、内在的变化都是通过这双大眼睛来传递表达；还有那不食人间烟火，外表冷傲坚强内心却孤独脆弱的小龙女李若彤„„这些演员凭借着独特的创作理念，加之多元化的戏路，清醒的理性精神，对表演艺术的自觉、自律，形成了自信、自然的表演风格，他们以敏感而细腻的心灵，深厚的功底和实力，把人物的复杂、细腻、隐忍的情感世界，表现得生动、丰富、朴实，富有人情味和层次感，细腻贴切、收放自如地释放出人物的性格、情感和命运。
而我个人认为，演员塑造角色首先要有一个冷静旁观的过程，要对这个角色有深刻的理解，有真实的判断，然后拿出来掰开了、揉碎了，把它铭刻到你心里，到了片场随性发挥，这样出来的东西一定就是这个人物的东西。表演不可能是理智的，演员一定要感性。生活中很理智的人一定做不了好演员。好演员的生活中在某些人某些事上一定不理智。所以经过内心思维、意识和状态的积累和体验，然后由内而发、自内向外生发出来的表演方式出来的东西一定是很准确的，否则就会很生硬，表演的痕迹过于浓重，就会显得虚假，不真实。每
个演员在表演之前都应经过生活和内心的过滤，才能呈现给观众的一个真实的艺术形象。
注释：①刘艳秋，《演员如何塑造与表现人物形象》，周日日报，2008（9）
②张秋亚，《电视表演中角色的塑造》，大众科技报，2009（5）
角色控制 篇3
【摘要】在医院感染控制中，护理工作占据了举足轻重的的地位，其是防控院内感染的重要环节，护理人员必须要不断提升业务水平，做好各环节的护理管理工作，尽量减少医院感染的发生。文章根据我院感染控制工作的现状，分析我院感染控制的不足，进一步提升护理人员在感染控制中的作用。
【关键词】护理人员；医院感染；控制；角色；作用
【中图分类号】R47 【文献标识码】B 【文章编号】1671-8801（2016）02-0093-01
近几年，医疗模式发生巨大的变化，医院感染成为医学界关注的重点问题。护理人员在医院感染控制中发挥了重要的作用，有效的感染控制能够显著提高患者的康复率，提高医院声誉。为此，我院在整个护理工作中始终贯穿医院感染控制，并且取得了一定的成效，具体情况如下。
1 医院感染的危险因素分析
近几年来，抗生素不合理使用现象频繁发生，加之新技术的广泛应用，尤其是侵入性操作、器官移植等，在一定程度上给机体造成了损伤，同时也增加了病原菌侵入机体的几率，增加了感染的发生率。医院感染这个问题已经引起了医学界各专家的广泛关注，为了减少医院感染的发生，首先需要明确造成医院感染的因素。院内感染的主要因素有：第一，护理人员不重视消毒隔离制度。许多护理人员消毒隔离观念淡薄，部分护理人员在具体实践工作中，不按照消毒要求进行，消毒时间不准确，各种医疗用品消毒不彻底，消毒液浓度配比不准确，紫外线照射强度不达标，没有及时对空气消毒机进行检测等。更甚者部分护理人员在工作期间没有彻底洗手。这些不科学的操作，为病原菌的侵入提供了良好的条件。第二，不合理使用抗生素的现象频频出现。医院感染的主要致病菌包括耐药菌株、条件致病菌。随着抗菌药物种类的增多，抗生素滥用已经成为临床治疗中的一个常见现象。此外，针对某些疾病的治疗，需要预防性用药或者联合用药，这在一定程度上增加了抗生素的用量，长此以往，机体菌群失调，进而提高了耐药菌株的感染率。第三，介入性操作显著增多，近些年介入性操作技术发展迅速，在临床上得到了广泛应用，并且治疗效果良好。但是不利于患者预后，介入性操作显著增加了医院感染的发生率，这是因为介入性操作损害了机体防御功能，为细菌入侵病变部位提供了机会，进而增加了感染率[1]。第四，受患者自身因素的影响。医院感染常见于老年患者，老年人器官退化，机体免疫能力下降，加之老年患者普遍患有糖尿病、冠心病等长期慢性疾病，进一步降低了防御功能。此外，老年人活动较差，营养摄入不足，所以容易引发感染。
2 护理人员在医院感染控制中的地位与作用
医院内聚集了大量的病人，每位患者身上都带有不同的致病菌。护理人员能够直接接触患者，其是防控医院感染的主力军，无菌技术、消毒隔离、抗菌药物的使用、院感指标监测等是控制院内感染的重要措施，而这些工作均与护理有着千丝万缕的联系，在护理各环节中能够充分展示这些措施，所以加强对护理人员的管理是控制院内感染的必不可少的环节，医院应该制定完善的护理管理制度，最大限度降低院内感染的发生率[2]。护理人员直接参与整个医疗活动，其对护理质量和医疗质量的提高具有重要的作用，同时在医院感染控制工作中占据了不可替代的地位。
3 减少医院感染的有效措施
3.1 增强护理人员的培训力度
做好感染控制工作，是护理工作的核心任务。护理人员必须要给予医院感染高度重视，明确控制医院感染的重要意义。医院则应该对所有的护理人员进行技术培训，提升护理人员的消毒技术和隔离技术，保证各项控制措施有条不紊的进行。护理人员应该熟练掌握各种疾病的相关知识，根据疾病的传播途径，科学制定隔离方案。在接触患者的血液、分泌物、排泄物等时，护理人员必须要穿隔离衣，戴上口罩和手套，减少护患间疾病传播的可能性，降低医院感染的发生率，为患者和自身安全提供保障。针对传染性疾病患者，医护人员在做好自身防范的同时，还需要为患者提供防范措施，通过知识讲座、个人宣教等方式，向患者讲解感控知识，严格按照消毒的相关要求，对病房和医疗器械进行消毒处理[3]。
3.2 做好医疗消毒工作
近几年来，艾滋病、梅毒的发病率不断上升，这些疾病增加了医院感染的发生概率。因此，护理人员在实际操作过程中，必须要严格遵循无菌技术的操作原则，在治疗和护理特殊传染病人中，护理人员必修要及时更换手套，手套脱掉之后要立刻洗手。换药需要做到一盘一碗，无菌物品则必须是一人一用。
3.3 遵医使用抗生素
护理人员应该严格遵照医嘱科学使用抗生素，根据病变部位、病原菌的药敏以及病情轻重来选用抗生素，遵循足量、有效、足长的原则，并且尽量减轻副反应。病毒性感染患者、不明原因发热患者不宜使用抗生素，严重的细菌感染患者需要测定药敏，医护人员根据药敏结果选择抗生素，皮肤局部最好不使用抗生素，以免产生耐药菌或者出现过敏反应。
3.4 加强病房管理
病房要求时刻保持清新、干净，护理人员应该定时开窗，进行通风换气，针对重点科室，应该安装循环风紫外线消毒机。采用湿式清扫的方式，一遇到污染就进行消毒，不同科室的拖布，必须要标识清楚，拖布用完之后需要清洁消毒。此外，定时更换患者的床单、被套等，如果患者转床、出院等，医护人员要立刻对床单元进行消毒处理，病室没有患者时，要对病室进行彻底消毒。
4 总结
总而言之，护理工作在医院感染控制中占据了举足轻重的地位，完善护理工作是防控医院感染的重要措施，同时也是提高医疗质量的关键。护理人员必须要给予消毒隔离制度高度重视，在日常工作中，严格按照无菌操作原则以及相关的规章流程进行，通过培训增加感控知识储备，提升自身的业务水平，加强护理工作各个环节的管理力度，最大限度降低医院感染的发生率，改善患者的生命质量，促进患者痊愈。
参考文献：
[1]尹萍.门诊护理管理在医院感染控制中的作用[J].医学信息，2015，28（9）：8-9.
[2]苑金相.医院感染控制管理中护理人员的角色和作用分析[J].医学信息，2015，28（35）：251-251.
[3]崔丽萍，冯晓芳.临床护理人员在医院感染控制中存在的问题及处理对策[J].中国农村卫生，2014，07（13）：66-66.
基于角色的访问控制模型研究 篇4
访问控制在Web访问中占据重要的意义,其准确性直接关乎信息数据的安全性,其实现方式又关乎控制的管理灵活性。访问控制的方式主要体现为3种形式,DAC(Discretionary Access Control,自主访问控制),MAC(Mandatory Access Control,强制访问控制)和RBAC(Role-Based Access Control,基于角色的访问控制)。其中,强制访问控制系统直接将权限分配给用户,虽然直接可行,但是管理起来较为麻烦,当用户数量达到一定程度越发棘手。RBAC的出现有效地解决了实际应用过程中产生的这些问题。通过将主体,客体分类成用户,角色,权限3大块,进而基于此分配用户不同的角色,对不同的角色分配不同的权限,整个系统模型得以灵活地管理权限的分配,保证了访问控制的有效性和准确性。简单说,当一个组织机构的人员变动时,只需要对用户角色的分配,角色权限的分配稍加调整,就可以解决相应问题。整个过程实现了用户权限的逻辑分离,降低了系统的维护成本,增强了可操作性。
然后在实践中,依然可以发现以下问题:
(1)简单说,一个用户可以分配多个角色,在某些情况下,管理员可能发现,在此模型的基础上,系统分配权限的粒度并不充分。试想管理员对用户A分配的角色并没有满足充分地要求,需要微调,以对原用户进行更加细腻的约束。于是建议基于RBAC模型,采用适当的MAC规则加以辅助,具体看正文。
(2)在实际的网络访问中,如果没有特别的处理,来访的客户应该是平等的。提出在角色设置的时候可以适当的引入访问优先级。举个例子,角色中的user,manager和systemmanager在同时登录访问系统时应该被置于不同的优先级,从而得到不同的响应——高级管理者应该被系统优先接纳,反之亦然。
2 相关技术
自从最早的RBAC模型提出以来,在文献[1]中,Sandhu等人的模型统一了人们的认识,建立了相应的标准。而文献[2]则具体阐述了RBAC的建议标准。平坦型,层次型,约束型,对称型等具体的划分,使人们的认识更加清晰。简述如表1所示。
基于此有文献[3]形象地称之为RBAC0,RBAC1,RBAC2,RBAC3,并且用图形形象地表现出来,如图1所示。
其实现则主要体现在图2中:管理员通过分配用户的角色、分配角色的权限,达到了用户和角色的逻辑分离,使得数据的访问控制更加完善,降低了维护人员工作的复杂度,提升了管理的灵活性,而各个模型的管理不同又得以很明显的表示。
随着研究的深入,NIST版本的RBAC模型又基于前人工作出现,具体体现为核心RBAC,层次型RBAC,静态职责分离(static separation of duty SSOD)关系,和动态职责分离(dynamic separation of duty DSOD)关系,具体说来四个模型组件又和先前的RBAC模型相应的对应,这些文献[2]都有细说,此处略过。
文献[3]提及的整个模型的实现策略——安全Cookies,智能认证和LDAPS 3种实现方法,使得整个模型得以具体实现。由于RBAC控制策略的有效性,近年来被成功的应用于大型网站和一些系统软件中,而这些工作又反过来促进了RBAC研究工作的深入。比如文献[4]在身份认证上巧妙的采用安全cookies机制,实现对服务器和客户端的双向认证,有效防止黑客侵入,保证了通信的安全。但是相关的问题依然存在,比方说一个角色被分配了相关的权限,被分配此角色的用户就会无限的享受此权限效力。如果说一个用户只有在工作中,或者休息中,才能享受这些权限,那么原先的模型便不足以更细粒度的刻画这种约束。文献[5]中基于角色访问控制提出时间特性的概念,对原有模型进行时间特性的扩充,规定在特定的时间范围内权限的具体约束,从而保证会话的一致性,提高了访问控制的操作性。针对此种现象,也有学者提出基于规则和角色的访问控制,即在RBAC的基础上,扩充规则特性,规定在某个任务进行时才可以履行某个权限,这一点文献[6]有着详细的阐述,并且提及的相关概念中使能型权限,激活型权限和限制型权限很好的阐述了原模型应用中的一些不足,并给出了具体的新的拓展。
在此注意到,引言中提到的问题需求,与文献[6]中的面临问题确有相似之处:(1)虽然角色拥有所请求操作的相应权限,但能否真正执行操作要根据系统当前的状况决定。(2)不同用户行使同一角色的权限时能操作的客体集不完全一样,在此基于以往学者经验,特提出一种新的约束机制,即在传统的RBAC基础上,引入强制访问约束,以供参考。具体如图3所示。
具体说来就是针对RBAC的操作不足,在原模型的基础上引入强制访问约束。在Mac约束中可以具体规定具体用户的访问粒度,比如时间权限,任务特性,或者某个用户对具体对象object的约束控制。举个例子,管理员已经对某些用户权限的管理做好了分配,但实际应用中发现了不足,可能要针对用户A进一步限制,这时不需要改变其角色配置,仅仅在相应的Mac约束中加以说明,然后经后期的约束聚合,就可以达到灵活的访问控制。这样不至于遇见一个不合适的用户权限分配,就创造一个新的角色。此时,角色的管理更加方便。
在此Mac约束的引入,可以明显提高访问控制的灵活性,又可以在系统允许范围内,适当的改善而又不会明显提高工作量、增加问题的复杂度。模型实践时,在访问具体对象时只需在原有的RBAC的基础上,将Mac约束和原先分配好的约束进行合并操作,得出的新的约束就是改进后的细粒度权限分配。
同时,又在角色集合上绑定优先级,从高到低优先级依次可设置为0,1,2,3等。以便服务器进行不同级别的响应,提高高优先级成员的访问速度。
3 模型的相关定义和实现
用户集:U={u1,u2,u3,……}.u1,u2等即RBAC中的普通用户,U为所有用户的集合。
角色集:R={r1,r2,r3,……}.r1,r2等即RBAC中的普通角色,如员工worker,管理者manager,超级管理员super_manager等,R为所有角色的集合。
权限集:P={p1,p2,p3,……}.p1,p2等即RBAC中的普通权限,比如对数据库的增、删、改、查,对网页信息的浏览,打印等操作。
优先级集合:Pre={n1,n2,n3,……}.其中n1到n3可依优先级从高到低设定为0,1,2具体应用时可以实际情况自行分配。
角色优先级绑定集合Rp={
Mac约束集:UP={
下面以一个正在开发的Web访问控制系统为例,介绍下其访问控制流程并简述如下:
(1)用户登录,进行身份验证。
(2)验证成功则跳转访问首页,否则报错,告知重新登录。
(3)在访问首页用户可以根据自己的需要进行相应的操作,比如对数据object的打印,浏览,增、删、改、查操作,当用户user进行某项操作时,询问数据库RBAC控制模块及mac约束模块,两模块约束进行叠加,得出当前用户user的访问权限是否为真。为真允许操作,反之则进行报错,告知无权访问。
(4)用户安全退出。
其流程图简述如图4所示。
一个相应的判定算法:
4 结语
首先,对RBAC的概念进行了深层的认识,仔细分析了其原型的产生,发展,以及良好管理效力所显示的强大生命力,并且跟据前人的成果,分析了原模型在实际操作中的不足之处,阐述了基于时间特性,基于任务工作流和基于规则的相关改进工作,并进行了相关的说明。在此基础上针对原模型的功能不足,提出了一种强制约束(MAC约束)与基本RBAC相结合的模型,使得用户,角色,权限的管理更加灵活,更加符合实际操作。
相关研究文献[7]中的提到的RBAC的细粒度控制研究工作,与本模型有共通之处,但也有区别。共同点皆是在原有的RBAC模型基础上引入细粒度操作,区别即前者是对资源访问权限进行的分解,细化,而是在相对粗粒度(即原模型)的基础上,引入了用户,权限间的直接约束,弥补了原模型的不足。而且值得注意的是,提及的MAC约束的具体的约束规则可根据用户需要灵活扩展,比如加入时间特性,任务流特性等,具有一定的适应能力和良好的可操作性。
在此,基于文中提及的改进型RBAC模型,正在探索相关系统的具体实现。相关的策略表示,具体的MAC实现和所有约束的聚合将是研究工作的重点。
参考文献
[1]Ferraiolo DF,Sandhu R,Gavrila S.Proposed NIST standardfor role-based access control.ACM Transactions on Informa-tion and System Security,2001,4(3):224-274.
[2]薛伟,怀进鹏.基于角色的访问控制模型的扩充和实现机制研究.[J].计算机研究与发展,2003,40(11):1636-1642.
[3]J Park,R Sandhu1 RBAC on the Web by smart certificates1In:Proc of the 4th ACM Workshop on Role2Based AccessControl1 Faixfax,VA:ACM Press,19991:1-9.
[4]桂艳峰,林作铨.一个基于角色的Web安全访问控制系统[J].计算机研究与发展,2003,40(8):1187-1194.
[5]黄建,卿斯汉,温红子.带时间特性的角色访问控制[J].软件学报,2003,14(11):1945-1954.
[6]芮国荣,邢桂芬.基于角色和规则的访问控制[J].计算机应用,2005,25(4):864-866.
角色控制 篇5
《爸爸去哪儿了》中张亮父子曾有一段角色扮演游戏。天天早上起床困难，张亮便让天天扮演村长，而他自己来扮演天天。于是，“村长”叫“天天”起床的游戏开始了，天天体验了一把村长发号施令的威风，却也感受到了叫小朋友起床的难处。通过这一轮不到5分钟的角色扮演游戏，天天在不知不觉中共情到了爸爸的感受，从而开始对自己的起床困难承担责任。
除了这些日常事件可以作为角色扮演的素材外，优质绘本也是一种很好的选择。在绘本故事中，总会有一些贴近儿童心理特点的角色形象。通过这些角色形象，儿童在阅读过程中更容易将自己带入故事情节的发展中、体验故事角色的情绪，将自己与故事角色相对照，从而产生共鸣。角色扮演游戏成为连结故事角色与儿童的重要桥梁。
那么，父母如何利用绘本和孩子开展角色扮演游戏呢?以绘本《忙!忙!忙!》为例，故事讲述了一位因家务琐事而心烦意乱的妈妈让小男孩独自一人上楼玩耍，小男孩发现妈妈在水池边哭泣，便爬上椅子为妈妈擦去泪水，送上贴心的亲吻。故事最后，母子二人手牵手，暂时放下家中乱糟糟的一切，飞奔出家门远眺大雁，共享难得的母子时光。
这一绘本令每个成人感动。我们常认为儿童很弱小，需要呵护，却忘了他们身上拥有一股巨大的能量可以为我们暂时卸下压力的包袱。感动之后，你也许又会感到不切实际，现实生活中真的有这样的孩子吗?——这个小男孩拥有高水平的共情能力和亲密的母子依恋关系，他能够敏感地觉察到母亲的消极情绪，并时刻关注着母亲，在母亲需要时给予关心和支持。这样的孩子正是优质绘本的独特价值所在——为幼儿提供了符合其发展特点的高品质模仿对象。
以绘本中的片段“孩子爬上椅子，为母亲擦去眼泪，亲吻母亲”为例，父母可通过以下五个步骤与孩子开展角色扮演游戏：
步骤1：停。父母停下手中的事，提醒孩子：“我们一起扮演吧!”
步骤2：读。选择故事片段亲子共读。商量确定每个人扮演的角色及表演场地，妈妈的扮演者还可以系上围裙。
步骤3：想。与孩子讨论当父母伤心时，可以做些什么来安慰父母。如“故事里的小宝贝是怎么安慰妈妈的?” “如果妈妈很伤心，也哭了，你会对我说什么呢?你会做什么呢?”
步骤4：演。父母和孩子一起表演刚才讨论好的内容，即当父母伤心哭泣的时候，孩子怎么安慰父母。表演时，父母可引导孩子用更丰富的话语和动作来表达安慰。
步骤5：享。父母与孩子分享自己在表演过程中的感受。如“听到宝宝安慰妈妈，还亲了亲妈妈，妈妈感到特别幸福。”
角色控制 篇6
在RBAC中,权限被赋予角色,而不是用户。当角色被指定给一个用户时,此用户就拥有了该角色所包含的所有权限。RBAC约束规定了权限被赋予角色时,或角色被赋予用户时,以及当用户在某一时刻激活一个角色时所应遵循的强制性规则。在NIST标准[1]中,约束包括静态约束和动态约束。
NIST给出了标准RBAC模型,在此基础上,人们提出了各种扩展模型,对RBAC模型的描述能力进行了扩充,使之适用于不同的应用需求。
现有的扩充模型中都没有引入空间的概念,因而模型中没有考虑对于不同的空间需求而引起模型的动态变化,并且模型的授权约束与空间无关。这两点极大地削弱了系统的安全性和模型的描述能力。在本文中,我们在原有的角色访问控制的形式化表达的基础上,作空间特性的扩展。
1 RBAC模型
NIST的RBAC参考模型包括核心RBAC、层次RBAC、静态职责分离和动态职责分离四个模型构件,分别描述RBAC系统某一方面的特征。在构造实际RBAC系统时,除核心RBAC构件是必选的,其它构件都是可选的。
1.1 核心RBAC
核心RBAC构件是任何RBAC系统都必须具备的基本需求,包括五个基本要素集:用户(USERS)、角色(ROLES)、对象(OBS)、操作(OPS)和访问权限(PRMS)。核心RBAC的结构如图1所示。
1.2 层次RBAC
在角色的层次结构中存在两种继承关系:访问权限的继承关系与用户的继承关系。由于实际组织中角色上下级关系常常存在某些限制,RBAC2001建议标准将角色层次区分为通用角色层次和限制角色层次。通用角色层次规定角色层次可以是任意的半序关系,因而包括多重继承。限制角色层次要求在角色层次上施加某种限制,通常是为了简化角色层次结构,如使角色层次成为树形结构。图2表示层次RBAC的结构。
1.3 有约束的RBAC
有约束的RBAC规定在RBAC模型上实施职责分离机制。实际组织中的岗位职责有可能是互相排斥的,解决这种利益冲突的办法是让不同的角色/用户承担互斥的职责以阻止非法操作。RBAC2001建议标准引入两种职责分离机制:静态职责分离和动态职责分离。
· 静态职责分离SSD(Static Separation of Duty Belations)
由于层次RBAC中的继承关系的存在,SSD必须考虑继承关系的影响,必须确保用户/角色的继承不会破坏SSD关系。图3是层次结构中的SSD关系。
· 动态职责分离DSD(Dynamic Separation of Duty Relations)
RBAC2001中的DSD是会话与角色集间的一种约束机制,如图4所示。
RBAC2001建议标准的职责分离原则主要包括互斥角色、最小权限和角色基数等约束机制。在有些文献中还提到权限基数、角色容量、先决条件、运行时间等约束机制。
从上节的陈述可以看出,NIST的RBAC模型并未涉及到访问的空间特性。
2 对角色授权约束及空间特性的分析
在对NIST RBAC模型中引入空间特征后,它就具有了更加灵活的刻画显示系统中授权管理的能力。本节对角色授权约束作相应的扩展,以适应引入空间特性的需要。
2.1 引入空间的授权约束
为了对RBAC系统作空间扩展,我们必须考虑对授权约束作相应的空间扩展。首先根据约束的空间特性,空间约束可分为激活空间范围约束、激活空间节点数量约束和激活空间范围内激活空间节点数量约束。
(1) 激活空间范围约束
该类约束规定用户、角色或者权限只能在特定的空间范围内可以激活。如在有空间限制的企业中即只允许特定地址或地址区间的用户、机器等访问该系统。
(2) 激活空间节点数量约束
该类约束规定同时访问该系统的用户地址数量不能超过一个给定的数值。可用该类约束限制同时介入该系统的地址数量以防协同作案并产生严重后果的可能。
(3) 激活空间范围内激活空间节点数量约束
该类约束规定用户、角色或者权限在特定的空间范围内同时激活的地址数量不能超过一个给定的数值。
2.2 空间约束的语义
对同一个空间约束,有两种不同的语义。第一种是该约束在约束的空间范围内总成立。第二种是该约束在约束的空间范围内可能成立但也可能不成立。例如:如果规定用户只能在特定的地址范围内激活自己的角色。但用户在实际工作中当然可以不激活自己的角色。
在形式化建模的过程中,我们可以通过逻辑运算,将所有第二种语义的空间约束改造成第一种语义的空间约束。
3 对RBAC的空间扩展(SRBAC)
本节对 RBAC 作空间上的扩展。首先我们对上一节提到的多种空间约束提出了形式化的定义。针对这些空间约束,我们对会话和全局系统状态空间也作了扩展,以实现文中提出的解决计算空间约束变化的几个算法。
3.1 空间系统定义
定义1 空间地址序列
SE={IPi|i∈N},是空间中所有地址集合。IPi代表地址空间中的一个IP地址,为一个四维向量IPi={ai,bi,ci,di}。我们定义空间中的<关系如下:
∀i,j∈N,∀IPi,IPj∈SE,IPi<IP
S=seq(se)表示由空间地址构成的地址序列。我们要求序列中的元素是严格递增的。
定义2 空间范围定义
SR={(IPi,IPj)|IPi,IPj∈S,IPi<IPj}空间范围是由两个空间地址构成的区间。
SRS=2SR表示空间范围构成的集合。
3.2 SRBAC的模型
SRBAC继承了RBAC的所有元素,并作了相应的扩充。
3.2.1 SRBAC约束的构成
在第2节中,我们对SRBAC中的授权约束已做过讨论,本节将对空间约束给出一个形式化的描述。我们用C表示所有经过一阶谓词扩展后所描述的约束集合。SC表示所有SRBAC中的空间约束。
定义3 空间约束谓词定义
In_Range⊆C×SRS表示约束C在指定的空间范围集合SRS内必须成立。
N_Space⊆C×N,N_Space(c,n)表示约束c最多只能在n个地址中激活。
SR_N_Space⊆SRS×C×N,SP_N_Space(c,{IPi,IPj},n)表示约束C在指定空间范围内最多能激活n个地址。
定义4 空间约束(S_C)定义
S_C=S_S_C|M_S_C其中:
S_S_C=In_Range(C,SRS)
M_S_C=N_Space(C,i)|Sr_N_Space(C,SRS,2N)
3.2.2 SRBAC 的形式化
引入空间特性后的RBAC系统,会话在对系统的空间特性的研究中占有重要地位,整个模型的空间特性集中地体现在会话的空间特性上,所以要对会话作出相应的扩展。
定义5 session的扩展
session由以下7元组来描述,<users,roles,ua,pa,s_c,sc_i,task>。其中users,roles,ua,pa分别是全局系统中相应集合的子集,表示该会话所允许的用户、角色、用户角色的映射关系和角色权限映射关系。 s_c表示该会话在运行时必须满足的空间约束。sc_i记录该会话的状态。task表示会话需完成的一系列操作。
定义6 函数的扩展
currentip:ϕ→SE返回当前IP地址
in_range:表示该地址在此空间范围内
not_in_range:表示该地址不在此空间范围内
用户也可根据自身需要扩展相应的函数。
定义7 扩展后的系统状态空间
OLDS={si|i∈N}表示系统中已结束的会话集合。
BLOCKS={si|i∈N}表示系统中由于空间约束无法进行而阻塞的会话集合。
CURRENTS={si|i∈N}表示系统中当前正在进行的会话集合。
ERRORS={si|i∈N}表示系统中由于空间约束或其他原因而无法进行的会话集合。
以上集合互不相交。
此时,我们用state表示一个系统状态,states表示系统的所有状态空间:
state={U,R,P,UA,PA,SA,RH,CURRENTS,BLOCKS,ERRORS,S_C,S_IPS}
states=2state
4 SRBAC系统状态改变
4.1 保持空间约束的算法
SRBAC状态改变包括两类变化,普通RBAC的状态转变和有空间特性的系统状态的变化。本文主要讨论第二种变化。
每当系统有状态变化时,都应判断系统状态的合法性。此时我们根据每个空间约束,把相关会话放入相应的会话集合中作进一步处理。
4.2 会话的状态变化
在系统正常状态下,会话将在ERRORS,OLDS,CURRENTS,BLOCKS这4个会话集合中变化。当系统创建一个会话时,将根据会话的空间约束是否满足而将该会话放入CURRENTS或BLOCKS中。如果会话属性不发生变化,会话可能在CURRENTS或BLOCKS两个集合中迁移零次或多次,并最终将由CURRENTS中正常结束而被移动到OLDS中,或由于无法继续运行而被移动到ERRORS中。如果会话属性发生变化,也可能从BLOCKS中直接迁移到ERRORS或OLDS中。图5显示了会话的状态变化及引起状态变化的空间约束类型。
4.3 系统会话调度算法
对单会话空间约束来说,会话调度较为简单。在该会话被激活时进行判定即可。对于多会话空间约束而言,由于其空间约束涉及所有与该约束相关的会话,故除了单会话空间约束外,当一个新会话激活该约束、一个与该约束相关的会话暂停或终止运行时,都必须重新计算并调度。表1列出了三类空间约束的相应判定时机。
以下给出了系统会话的调度算法:
算法1 系统会话调度算法
5 总 结
SRBAC在RBAC基础上作了空间特性方面的扩展。使得原系统具备了更加丰富、更加实用的描述能力。SRBAC对约束、会话和系统状态空间本身进行了空间扩充。解决了有关访问控制中有关空间约束方面的需求,能够较好地应用于分布式访问控制。同时文中还提出了方便有效的会话调度算法,解决了空间授权约束和会话的状态转变问题。
同时,在会话的控制与恢复以及系统的一致性状态维护方面还有许多工作需要做进一步的研究。
摘要：基于角色的访问控制近年来得到了广泛的研究与发展。提出了一个引入空间特性的角色访问控制模型,在模型中对原有授权约束添加了空间特性,并提出了相应算法解决了空间授权约束和会话的状态转变问题。
关键词：访问控制,角色,会话,空间约束
参考文献
[1]Ferraiolo D,Sandhu R,et al.Proposed NIST Standard for Role-Based Access Control Standard,ACMTransaction on Information and Systems Security,2001,4(3).
[2]Osborn S,Sandhu R.Configuring role-based access control to enforce mandatory and discretionary access control policies.ACMTransactions on Information and System Security,2000,3(2):85-106.
[3]Ravi Sandhu,Venkata Bhamidipati,Qamar Munawer.The ARBAC97model for Role-based administration of Roles[J].ACM Transactions onInformation and System Security,1999,2(1):105-135.
角色访问控制中的职责分离约束 篇7
(1) 在用户和权限之间引入角色, 用户不直接拥有权限, 而是通过扮演角色间接拥有角色所拥有的权限, 从而简化了系统管理;
(2) 通过分析企业现有业务流程, 构建符合企业业务流程的角色, 并给角色分配必要的权限, 能够更好地反映企业业务逻辑, 从而有利于提高企业生产力和减少新员工的试用期;
(3) 基于角色的访问控制系统通过引入一系列的访问控制约束, 从而提高了系统的安全性和完整性, 并能在一定程度上简化系统规则的调整。
基于此本文在介绍基于角色访问控制系统中约束的重要性基础上, 对基于角色访问控制系统中的职责分离约束进行了综述, 并对其未来的研究方向进行了展望。
1 访问控制系统中的约束
基于角色访问控制系统, 通过在用户和权限之间引入角色的概念, 从而使得用户和一系列的角色相关, 角色和一系列的权限相关, 进而使得用户通过所拥有的角色集获得在系统执行任务所需要的权限结合。由于基于角色访问控制系统所具备的一系列优点, 从而得到越来越多的关注和研究, 也逐渐成为企业安全应用的首选模型。
基于角色访问控制系统模型包含核心角色访问控制模型RBAC0 (Core RBAC) , 其定义了基于角色访问控制系统所包含的必要元素及元素之间的相互关系, 层次角色访问控制模型RBAC1 (Hierarchal RBAC) , 其定义角色之间的相互继承关系, 使得用户通过角色间的继承进而获得低级角色, 角色限制模型RBAC2 (Constraint RBAC) , 其定义了基于角色访问控制模型下的一系列约束规则, 统一模型RBAC3 (Combines RBAC) , 该模型是RBAC1和RBAC2模型的融合, 其结构图如图1所示。
基于角色访问控制模型中的约束是访问控制机制得以保障的一个重要因素, 如果基于角色访问控制系统离开或者缺乏系统所规定的一系列约束条件, 那么其系统本身的安全性和完整性将不能保证, 从而也无法体现其相对于传统访问控制机制的优点;其次, 基于角色的访问控制系统可以支持最小权限原则、职责分离原则和数据抽象原则。如在某个基于角色访问控制系统中, 用户需要获取的权限组合为RQ={p1, p2, p3, p4, p5}, 假定该系统中角色r1所拥有的权限集合为{p1, p2, p3}, 角色r2所拥有的权限集合为{p3, p4, p5}, 则要确保该用户能够完成系统所需要的任务则必将同时拥有角色r1和角色r2, 然而如果角色r1和角色r2为互斥角色的话, 而将他们同时分配给用户的话, 则系统的安全性需求不能保证, 由此可见基于角色访问控制系统中的约束对保证系统的安全性具有举足轻重的作用;再者, 针对现有企业中拥有众多的用户和权限及角色, 从而造成用户角色分配关于复杂的问题, 基于角色的访问控制系统通过引入约束实现了系统角色分配权限的下方, 从而确保了系统高效地进行角色分配。
2 职责分离约束
在基于角色访问控制系统中约束的研究中, 由于职责分离约束在基于角色访问控制系统中保证信息安全所处的重要地位, 从而使得其逐渐成为基于角色访问控制系统中所有约束中研究的重点。基于角色访问控制系统中职责分离约束的研究主要分为三大类:一类为单自治域中的职责分离约束研究;二类为多自治域中的职责分离约束研究;三类为职责分离约束的生成研究。
2.1 单自治域职责分离约束研究
单自治域职责分离约束主要包括静态职责分离约束和动态职责分离约束两大类, 其中静态职责分离约束由Ferraiolo于1995年提出, 该约束指用户在拥有某个角色的同时必须确保其拥有的该角色不能与用户所拥有的其他角色之间是互斥的, 其目的是保证在完成一个安全任务或者相关工作时, 至少需要两个或者更多的人才能够拥有完成该项任务所拥有的全部权限, 从而来保证关键任务的安全性需求。例如角色r1代表企业某一部门会计所对应的角色, 而角色r2代表该部门出纳所对应的角色, 则角色r1和角色r2不能分配给同一个用户。而动态职责分离约束则允许用户同时拥有互斥的角色, 但是同时强调用户在执行任务的同一个会话过程中不能同时以两种互斥的角色身份出现。例如角色r1代表某次运动会中运动员所对应的角色, 而角色r2代表该次运动会中裁判所对应的角色, 则初始化时运动员角色r1和裁判员角色r2可以同时分配给同一个用户, 而该用户在具体比赛的过程中只能够以运动员身份或者裁判员的身份出现。
2.2 多自治域职责分离约束研究
随着信息技术和网络通信技术的快速发展, 使得不同部门、不同机构乃至不同自治域间信息的共享成为可能, 进而推动多自治域间信息共享及应用系统的不断发展, 从而对跨自治域间信息共享过程中的安全问题提出了更高地要求。基于此, 2000年Kapadia等人提出了多自治域间实现角色动态映射和转化的模型IRBAC2000, 该模型通过传递关联和非传递关联实现不同域角色间的转化, 从而使得外域的用户通过域间角色的映射在本域中扮演对应角色, 进而执行相应权限, 完成相应任务。而在具体的多自治域系统中, 可能存在某项任务的完成需要多个域中的不同角色配合来完成, 因此常规的职责分离约束已经不能满足多域间的需要, 例如进行项目评审时, 就需要评定委员会成员的构成不能全部来自同一个自治域, 以避免不科学的评审结果发生。基于此, 常规的职责分离约束规则已经不能满足该具体要求, 因此可定义满足多自治域环境下的一般职责分离约束规则为:
定义一:在具有n个权限的权限集合{p1, p2, …, pn}和m个域{D1, D2, …, Dm}中, 不允许少于k个来自不同域中的用户共拥有权限集合中的全部权限, 这样的原则被称为一般意义上的多域静态职责分离约束, 该一般意义上的多域静态职责分离约束可表示为:
其中{p1, p2, …, pn}表示基于多自治域角色访问控制系统中的一组权限集合, {D1, D2, …, Dm}表示多自治域系统中的不同自治域, m和k是正整数, 且满足2≤k, 2≤m, 该一般意义上的多域静态职责分离约束禁止少于k个域的用户共同拥有权限组{p1, p2, …, pn}中的所有权限。
更严格的可以定义满足多自治域环境下的严格职责分离约束规则为:
定义二:在具有n个权限的权限集合{p1, p2, …, pn}和m个域{D1, D2, …, Dm}中, 不允许少于ki个来自域Di中的用户共拥有权限集合中的全部权限, 这样的原则被称为严格意义上的多域静态职责分离约束, 该严格意义上的多域静态职责分离约束可表示为:
其中{p1, p2, …, pn}表示基于多自治域角色访问控制系统中的一组权限集合, {D1, D2, …, Dm}表示多自治域系统中的不同自治域, m和{k1, k2, …, km}是正整数, 该多域静态职责分离约束禁止少于ki个来自域Di中的用户共同拥有权限组{p1, p2, …, pn}中的所有权限。
2.3 职责分离约束的生成研究
职责分离约束生成研究文献较少, 其中文章讨论了互斥权限和互斥角色的定义, 并根据权限和角色之间互斥的原理, 指出要获取用户和权限分配表中隐含的权限组之间的互斥关系, 就是发现那些在分配关系中用户不能同时拥有的权限组, 并基于此通过关联规则算法Apriori生成满足最小加权支持度的互斥角色约束。然后上述的互斥角色和权限约束并没有考虑权限的权重, 从而造成生成的互斥约束不够完备, 基于此文章定义了权限的权重并在权限的权重基础之上重新定义了基于权限权重的职责分离约束规则的生成算法。
定义三权限pi的权重定义为
其中, ω0表示依据先验知识所确定的权限pi的初始权重, f1 (ua) 代表用户属性对权限pi的权重的影响程度, f2 (opa) 代表操作属性对权限pi的权重的影响程度, f3 (oba) 代表操作对象的属性对权限pi的权重的影响程度;α, β, γ和δ分别用来代表上述影响对权限权重的影响程度。
3 结语
基于角色的访问控制技术由于其自身的优点从而成为众多安全应用的首选模型, 而要确保安全系统的安全性和完整性得以实施, 则离不开系统所制定的一系列约束规则, 尤其是职责分离约束规则。与此同时, 随着对等计算、网格计算、云计算以及物联网等大型网络应用的快速发展, 职责分离约束规则在新兴网络环境下将面临更复杂的新问题, 这些都值得我们进一步深入研究和更广泛的讨论。
参考文献
[1]National Computer Security Center.Aguide to understanding discretionary access control in trusted system.NCSC-TG-003, September 1987, 1-29.
[2]David F.Ferraiolo, Janet A.Cugini and D.Richard Kuhn.Role-based access control (RBAC) :Features and motivations, in:proceedings of 11th annual computer security APPlications conference, 1995, 241-248.
[3]R.S.Sandhu, E.J.Coyne, H.L.Feinstein and C.E.Youman.Rolebased access control models.IEEEComputer, 1996, 29 (02) :38-47.
[4]Ansi, American national standard for information technology-role based access control.ANSI INCITS359, 2004, 1-5.
[5]Li Ruixuan, Lu Jianfeng, Li Tianyi, et al.An APProach for Resolving Inconsistency Conflicts in Access Control Policies.Chinese Journal of Computers, 2013, 36 (06) :1210-1223.
[6]Li, N., Bizri, Z., Tripunttara, M.V.On Mutually-exclusive Roles and Separation of Duty[C].In:Proceedings of the 11th ACM Conference on Computer and Communications Security, ACM Press, New York, 2004:42-51.
[7]K.Apu, J.Al-Muhtadi, R.Campbell, et al.IRBAC 2000:Secure Interoperability Using Dynamic Role Translation.Technical Report:UIUCDCS-R-2000-2162, 2000:1-8.
[8]Xiaopu Ma, Ruixuan Li, Zhengding Lu, et al.Global Static Separation of Duty in Multi-domains[C].In:Proceeding of the 2009 International Conference on Multimedia Information Networking and Security, Wuhan, China, 2009:18-20.
[9]Xiaopu Ma, Ruixuan Li, Zhengding Lu, et al.Mining Constraints in Role-Based Access Control.Mathematical and Computer Modelling, 2012, 55 (1-2) :87-96.
角色控制 篇8
Web服务是发布在网上的操作接口,采用XML文档和SOAP协议进行信息交互[1]。由于复杂的网络环境,以及协议具有的开放性和标准化特点,Web服务的安全性非常脆弱,这是影响其规模化应用的主因。近年来,Web服务访问控制技术已成为一个研究热点,其目标是保证服务资源只授予合法的访问主体,防止任何的未授权访问。
与传统应用相比,Web服务的访问控制面临着诸多挑战[2],如跨域访问控制、权限动态调整、与遗留系统整合,以及技术标准化等问题。目前已有许多学者从不同角度进行了研究。常见的有,基于身份的访问控制要求将权限和主体的身份关联起来,包括采用集中式身份管理和分布式身份联盟[3];基于角色的访问控制则根据主体的角色特征进行访问授权[4];基于属性的访问控制则是根据参与主体的某些特征属性制定授权策略[5]。
基于角色的访问控制模型RBAC及其扩展模型在传统的应用中已经比较成熟,将其引入到Web服务系统中的关键问题是如何将访问主体映射到合适的角色。文献[6]根据主体的身份信息为其分配角色,主体在激活角色时系统产生一个对应的执行者对象。文献[7]将Web服务分为单服务和组合服务两种类型进行研究,针对不同的服务客户,分配不同的角色。文献[4]针对Web服务业务处理过程,提出将参与业务过程的合作伙伴映射到角色,然后根据角色进行授权。类似这些面向Web服务的RBAC演化模型已经基本解决了Web服务客体的静态授权等问题,但是还存在以下两个方面的问题:
(1) 模型对基于角色的权限描述是粗粒度的,这使得为某个Web服务访问主体授权时只能达到角色层次,或者把角色的权限全部授予,或者全否[2,6,7]。目前还无法描述角色内的任意部分权限,但是在有些情况下只向主体授予角色的部分权限是必要的,这既能够避免创建更多新角色而造成更高实施和维护成本,又可使系统授权更加灵活方便。
(2) 静态的角色/权限和主体/角色映射使得主体的权限变更难以在应用中动态实现。目前,主体一旦分配了某个角色后,即拥有了对应的全部静态权限,还无法对主体的行为状态、系统的上下文环境等变化做出相应的调整[4,6]。
本文引入了量化角色的概念,它是对传统基于角色的Web服务访问控制模型中角色的扩展,能够描述其中任意部分的权限[8],例如对拥有一个Web服务全部权限的角色,可以根据量值实现对该服务的某个接口、属性的某种操作方法进行非常细粒度的访问控制。其意义在于,既提高了Web服务授权的灵活性,不再以角色一概而论,又便于根据环境的变化实现对量值的调整,这是量化角色中增加了量值这一数值属性所独有的优势。
1 细粒度的Web服务权限定义
1.1 RBAC96模型
RBAC96模型[9]是较为成熟的一个基于角色的访问控制模型,它通过两个映射来实现权限的授予:角色到权限的映射,使角色承载一定的权限;主体到角色的映射,使访问主体绑定到某个角色,从而拥有相应的权限。
定义1 RBAC96模型的定义包括集合、关系以及对应的约束,包括:
(1) 用户主体(简称主体)集U={u1,u2,…,um},角色集R={r1,r2,…,rn},权限集P={p1,p2,…,pk};
(2) UA⊆U×R,表示从主体到角色的多对多的分配关系,UA(ui,rj)表示为主体ui分配了角色rj;
(3) PA⊆P×R,表示从权限到角色的多对多的分配关系,PA(r,p)表示为角色r分配了权限p;
(4) Users:R→2U,表示从角色集R到主体集U的映射函数,记为Users(r)={U|(U,r)∈UA};
(5) Permissions:R→2P,表示从角色集R到权限集P的映射函数,记为Permissions(r)={P|(P,r)∈PA};
(6) RH⊆R×R,表示角色之间的偏序关系,可用符号≤表示。(r1,r2)∈RH表示角色r1继承了角色r2的权限,可记为r1≤r2。
1.2 面向Web服务的模型扩展
RBAC96模型对权限的描述过于粗略,没提供精细刻画客体类型和访问方式的方法。而为了支持Web服务的授权,需要对模型进行扩展。本文把Web服务和服务属性当做与传统应用中的功能模块一样的客体,并定义访问模式集,从而扩展模型的适用范围,实现对包括Web服务在内的所有客体的一致管理。
定义2 可访问资源集。指系统中所有可单独标记并能被访问的功能对象的集合,记为FS。包括传统应用中的Web页面、逻辑类和功能模块等,记为FS0,以及Web服务和服务属性。
定义3 可访问Web服务集。指系统发布的所有可访问的Web服务接口的集合,记为WS。
定义4 可访问的Web服务属性集。指系统中发布的所有可访问的Web服务属性的集合,它是服务调用过程中信息的承载者,体现为服务调用时的输入参数或返回结果,记为WSA。
定义5 访问模式集。指对系统资源的操作类别的集合,包括读、写、执行和删除等,记为AM。
因此,模型中的权限集合P可以由系统资源集和访问模式集运算得到:
P=[FS×AM]conditions
=[(FS0∪WS∪WSA)×AM]conditions (1)
式中[X]conditions表示对集合X按照条件conditions做选择运算,只保留满足系统要求的权限。P中的元素p是一个由功能fs和访问方式am组成的二元组(fs,am)。
需要说明的是,这种扩展不需要Web服务现有标准做出任何修改。因为系统中的各种集合数据和访问控制程序都存储或运行于服务提供者一端,服务请求主体只需要按照正常方式请求访问,服务提供者会根据主体的角色进行验证并控制访问行为。
1.3 权限量值与量化角色
许多情况下,基于角色的部分授权,以及对访问主体进行部分权限的动态调整是必要的。例如,表1为中石化 “石油地面建设工程定额管理Web服务系统”中的主要角色权限分配表。
同样拥有油田生产单位(OPUnit)的角色,在一定时间内不同Web服务用户可能需要不同权限,例如胜利油田的服务可能拥有全部三项权限,但中原油田的只有定额数据查询(P_QuotaFind)权限;又如,可能因为某服务请求主体做了破坏性删除,或它的网络变差,系统需要调整它的权限。这些需求使得基于角色的部分授权,以及Web服务授权的动态调整是必要的。
RBAC96中的角色r被关联到PA中一组形如(r,p)的元组(这里p包括扩展后的Web服务和服务属性权限),这些元组构成了r的权限源。
定义6 角色的权限源函数rolePS与权限源的基。
rolePS:R→2PA,表示从角色集R到权限源的映射函数,记为rolePS(r)={(r,p)|(r,p)∈PA};运算|r|表示r的权限源的基,即|r|=|rolePS(r)|。
为了唯一标识r的权限源中的元组,为每个元组tuple分配一个数值2i(i∈N∪{0}),其中N为自然数集,称该数值为元组的权限量值,并规定同一角色的各元组量值互不相同,取值从小到大依次为20,21,…,2|r|-1。
表2列出了为角色权限分配表中各元组分配的量值。
元组的量值由管理员分配和维护。
定义7 权限元组的量值函数tupleQty。
tupleQty:PA→N,表示从权限源到自然数集的映射函数,记为tupleQty(tuple)={n|n∈N},该函数将PA中的元组映射到其量值。
定义8 角色权限总量值和总量值函数roleQty。
角色具有的权限元组的总量值是该角色权限源中所有元组的量值之和。
roleQty:R→N,表示从角色集到自然数集的映射函数,记为
通过对普通角色施加量值限制,产生形如(r,k) 的二元组,其中r ∈R且k ∈N ∧0 < k<=roleQty (r),它表示由角色r的权限源中的部分元组(可通过k的值运算获得)产生的权限的集合,代表角色的部分权限,通过改变k的值可以调整(r,k)表示的不同权限集合,因此称(r,k)为量化角色,k称为该量化角色的量值。由权限源的量值定义可知,角色的各个权限源中元组的量值各不相同,并且形成一个超递增序列。可以证明,对任意给定的(r,k),方程
(1) 解集中若aj1,aj1,…,ajm(0<m≤|r|∧0≤ji<|r|)的值为1,则认为集合{2j1,2j1,…,2jm}是(r,k)的量值集;
(2) 若2i属于(r,k)的量值集,则认为角色r中量值为2i的元组包含在量化角色 (r,k)的权限源中。
例如,量化角色(OPUnit,5)的权限包括{(OPUnit, P_ DataUp),( OPUnit, P_ QuotaFind)};又如量化角色(QCCost,1)仅拥有普通角色QCCost的P_ DataSum部分权限。
定义9 量化角色的权限源函数qtyRolePS。
QtyR={(r,k)|r∈R∧0<k≤roleQty(r)},表示量化角色的集合;
kseq:QtyR→2N∪{0},表示从量化角色集到量值集的映射函数,用于求(r,k)的量值集,记为:
kseq((r,k))={2i-1|k二进制表示中i位取值1}
qtyRolePS:QtyR→2PA,表示从量化角色集到权限源集合的映射函数,记为:
qtyRolePS((r,k))={(r,p)|(r,p)∈PA∧
tupleQty((r,p))∈kseq((r,k))}
2 基于角色量值的Web服务访问控制模型
2.1 模型结构
图1为本文提出的基于量化角色的Web服务访问控制模型结构。
该模型包括如下5部分:
(1) 权限生成 通过引入Web服务和服务属性等资源集、访问模式集,实现了对权限的细化扩展,见式(1)。
(2) 角色权限分配 指通过为角色分配权限生成PA集的过程,包括创建普通角色、为角色分配权限,以及对角色中权限元组分配量值。
(3) Web服务主体角色分配 指通过为Web服务主体分配角色建立UA集的过程。这里分配的是量化角色qr(r,k),k限定了Web服务主体拥有的最大权限范围。
(4) Web服务主体登录角色激活 主体通过SOAP协议登录并访问系统,激活相应的量化角色,并产生一个会话。角色激活条件为:
[u∈Users(r)]∧[(fs,am)∈qtyRolePS(r,k)] (2)
其中,r为量化角色qr(r,k)对应的普通角色,k为量值,am表示访问fs的操作模式。
(5) Web服务主体权限的动态调整 量化角色中的量值k具有数值属性,是动态可调的,这是量化角色适用于权限动态调整的根本优势所在。
确定了动态调整权限的思路:定义Web服务主体的行为量值,根据请求对象的行为和上下文环境,计算行为量值;依据该量值的变化判断在一定的周期内是否需要修改该服务对应角色的量值。定义Web服务行为量值的计算规则和量化角色的调整方法是关键问题。
2.2 Web服务主体的行为量值及其计算
参考基于信任授权控制模型中的信任值[10],定义了一个能反映Web服务主体访问系统时行为安全性的指标数据,称为Web服务主体的行为量值。
定义10 Web服务主体的行为量值BValue。
BValue={(u,β)|u∈U∧0≤β≤1},表示行为量值的集合,二元组(u,β)表示主体u的行为量值为β;
fBtoRqty:BValue→2N,表示从行为量值集到角色量值集的映射函数,用于根据主体的行为量值(u,β)计算量化角色的量值,记为:
fBtoRqty((u,β))={k|k∈N}
对于Web服务主体u,计算其行为量值时不同的上下文可能需要不同的行为特征,并采取不同的算法,如图2所示。
定义11 Web服务主体访问系统的上下文Context。
Context={(bf,t)|bf∈BF∧t∈T},其中BF表示上下文要求的Web服务主体行为特征子集,T表示计算行为量值时的算法集;
BF={bfi:(fi,wi)|i∈N},其中fi为Web服务主体的行为特征元素,wi表示计算时该元素所占权重,N为自然数集;
T={t1,t2,…,tj,…,tm},其中tj表示一个具体算法,如加权平均weight法、算术平均average法等。
Web服务主体u在确知环境c(Bfu,t)下,计算行为量值的算法为:
(u,β)c=t(f1,w1,f2,w2,…,fn,wn) (3)
2.3 Web服务主体的量化角色动态调整
本文设计了如图3所示的Web服务主体权限动态调整流程,其中函数fBtoRqty(参见定义10)能够根据行为量值(小数)计算服务主体应该具有的角色量值(自然数)。另外,为了防止权限调整过于频繁,在系统初始化时设定更新周期和行为量值的调整阈值。只有自上次权限调整后的时间超过这个周期,系统才开始计算前后行为量值的差,而且只有当这个差值超过设定阈值后,才计算主体的量化角色的新量值并更新。
3 应用与评价
XACML是一种通用的Web服务访问控制策略语言,它既可以用于描述通用的访问控制需求,也能够用来构建请求访问控制决策的查询报文。实现时,如果构建XACML授权框架,需要按照WSRF构建相应的WS-Resource,即构建与XACML授权框架相对应的有状态资源和Web服务对象。文中模型主要在Web服务提供者的应用服务器端实现,以数据存储和算法验证、Web服务开发为主,这些对于Web服务的各项现有标准完全支持,而XACML等Web服务安全标准可以作为额外的安全机制加以补充。下面是以基于量值的角色部分授权和动态调整为核心的两个实现场景。
(1) 定额系统中Web服务主体的部分授权
场景:胜利油田Web服务用户u_sl拥有OPUnit角色的全部权限,而服务u_zy只可被赋予P_QuotaFind权。据此可分别制定如下的授权票据:
ua1=(u_sl,(OPUnit,7)) (4)
ua2=(u_zy,(OPUnit,4)) (5)
将其加入授权关系UA中,作为访问时验证的依据。
(2) 定额系统中Web服务主体的权限调整
场景:因为主体u_sl在调用Web服务BasicDataMngService时误删除了系统重要数据,系统根据式(3)计算其行为量值降为(u_sl,β)=0.7,变化量Δ(u_sl,β)=1.0-0.7=0.3,大于设定的行为阈值th=0.25,在新周期到来时对u_sl的量化角色进行调整:
ua1=(u_sl,(OPUnit,7))→(u_sl,(OPUnit,4))这样u_sl也仅具有了P_QuotaFind权,系统将更加安全。
Web服务对象的开发仍将关注于系统所要求的功能实现即可。该模型在定额系统中进行了试用,共建立了5个普通角色,并以此为基础定义了12个量化角色,实现了14个主体的预授权,并测试了多种情形下的主体权限调整,试用结果表明该模型对授权的管理方便、操作灵活,系统运行安全平稳。
4 结 语
本文分析了目前基于角色的Web服务访问控制模型在支持细粒度的授权和权限动态调整方面存在的不足,引入了权限量值和量化角色理论,提出了行为量值的概念,建立了一个细粒度的Web服务访问控制模型,并将其应用于中石化“石油地面建设工程定额管理系统”中。理论分析和测试运行情况均表明该模型拥有如下优点:
(1) 通过定义Web服务、服务属性和访问模式集,扩展了权限集的定义,实现了对包括Web服务在内的所有客体的一致管理。
(2) 通过为Web服务权限元组分配量值,实现了对角色内任意部分权限的表达和控制,从而使授权的粒度更加精细,应用更加灵活。
(3) 提出了Web服务主体行为量值的概念,并建立了它与Web服务主体所属角色的量值之间的映射函数,实现了根据Web服务主体的行为和上下文环境动态计算行为量值并调整该服务主体权限的方法。
建立一套完整、合理的Web服务访问主体的行为特征是一个重点和难点问题,改进Web服务主体的行为量值和角色量值之间的映射函数等也是下一步我们感兴趣的问题。
参考文献
[1]Kreger H.Web Services Conceptual Architecture 1.0[S/OL].IBMSoftwareGroup,2001.http://www-3.ibm.com/software/solution/webservi-ces/pdf/WSCA.pdf.
[2]颜学雄,王清贤,马恒太.Web服务访问控制模型研究[J].计算机科学,2008,35(5):38-41.
[3]Union 1T.ITU-T recommendation X.509(08/97)-informationtechn-ology-open systems interconnection–the directory:Authenticationframework[S].Aug,1997.
[4]Liu P,Chen Z.An Access Control Model for Web Services in BusinessProcess[C]//Proceedings of the IEEE/WIC/ACM international Con-ference on Web Intelligence(WI’04),2004:292-298.
[5]Yuan E,Tong J.Attributed-based Access Control(ABAC)for WebServices[C]//IEEE International Conference on Web Services(IC-WS’05),2005:561-569.
[6]Xu F,Lin G,Huang H,et al.Role-based Access Control System forWeb Services[C]//The 4th International Conference on Computer andInformation Technology(TIT’04),2004:357-362.
[7]Wonohoesodo R,Tari Z.A Role-based Access Control for Web Serv-ices[C]//2004 IEEE International Conference on Services and Com-puting(SCC’04),2004:49-56.
[8]翟征德.基于量化角色的可控委托模型[J].计算机学报,2006,29(8):1401-1407.
[9]Sandhu R.Rational for the RBAC96 family of access control models[C]//ACM Workshop on Role-Based Access Control.New York:ACM Press,1996:38-47.
角色控制 篇9
随着信息技术与网络技术的高速发展, 给人们的工作和日常生活带来便利的同时也带来了大量的安全隐患。对数据的及时性与安全性要求很高的医院信息系统, 面对日益猖獗的病毒与木马以及各种网络攻击手段, 内网的安全性和可靠性是急需解决的问题。
传统的基于RBAC模型[4]的网络访问控制技术在可靠性、易用性、高效性等方面表现出色, 但是在动态调整的灵活性方面出现了不足, 主要表现在以下两个方面: (1) RBAC模型建立在主体-客体访问控制思想上, 采用静态授权方式, 缺乏对角色权限的动态调整能力。 (2) 访问控制策略必须人工定义, 不能根据网络状态的变化进行自增学习。
针对以上的问题, 本文参考了基于行为的网络访问控制技术 (Behavior-Based Network Access Control, BB-NAC) [2,3]的思想, 提出了RB-NAC机制, 其核心思想是建立角色模型来划定权限集, 建立行为簇来动态调整用户权限。RB-NAC弥补了RBAC-based NAC的缺陷, 并加强了对用户实时行为的监控。
二、基于角色与行为的访问控制机制 (RB-NAC) 2.1 RB-NAC的访问控制策略
RB-NAC核心思想是以角色模型来划定权限集, 利用行为簇来动态调整用户可使用的权限, 其体系结构如图1所示。
RB-NAC的访问控制策略主要包括两部分内容: (1) 建立角色访问控制模型 (2) 建立行为簇动态调整用户的权限范围。
1. 建立角色模型主要包括:
定义系统角色, 为角色分配权限, 为用户分配适当的角色。这些操作可以由高级管理员或者某些合适的代理角色来完成。可以利用现有的RBAC模型及其改进版本 (例如ARBAC97) 来建立RB-NAC中的角色模型。RB-NAC具有很强的扩展性, 现有的RBAC-based NAC经过修改后可以很容易的扩展成RB-NAC。
2. 建立行为簇, 根据用户的网络行为动态决定用户可使用的权限, 主要包含三个部分:
分簇[1,5]、计算阈值、动态调整。
(1) 分簇:为每个角色建立簇组, 并为每个簇分配适合的权限。例如, 在角色r中, 其权限集合记为Q, 为角色r建立4个行为簇, 分别标记为c1, c2, c3, c4, 并为每个簇分配适当的权限记为q1, q2, q3, q4, 且每个行为簇都对应一组相似的用户行为特征。每个用户根据其网络行为特征被分配到适当的簇中, 并具有该簇的权限。簇的划分策略, 即用户的行为特征与簇的对应关系可以根据不同的需求来设计。
在准备阶段, 系统需要收集用户的网络行为信息作为动态归簇的依据, 这些信息被称之为行为档案 (behavior profiles) , 简称为BP。BP中包含的是一系列的网络行为的特征值, 例如, 针对80端口的行为的特征值可以是连接不同IPs的总数量、数据包的总数、每个数据流的大小等等。将每个接入设备的BP用一个矢量pi来代表:pi={pi[0], pi[1], …pi[n]}, 其中每个pi[l]代表特征l的平均值l=0..n。系统在准备阶段采集足够多的样本数据, 分布在各个簇中并作为系统的初始数据使用。
(2) 计算阈值:完成分簇之后就获得了簇的信息以及每个簇中的样本数据, NAC的执行点开始计算每个设备的阈值。阈值代表每个设备与同簇中的其他设备之间的最大距离, 如图2所示。在RB-NAC中使用BP代表设备计算阈值, 这些阈值在之后的动态访问控制中起到至关重要的作用。对于每个pi来说, 其阈值的计算公式如下所示:
pi与pj代表两个BP, n代表特征值的数量。公式1用来计算pi与pj之间的距离, 也就是pi与pj之间的相似度。公式2用来计算每个pi的阈值, q代表pi所属的簇中的BP的个数, d代表使用公式1所计算出来的pi, pj之间的距离。
(3) 动态访问控制
完成分簇与计算阈值的工作之后, 系统进入动态访问控制阶段。动态访问控制主要处理两类设备, 一类是新设备 (未提交BP) , 另一类是存量设备 (已提交BP) 。新设备刚进入时系统还无法获知其BP的信息, 可以在簇组中设置一个通用簇用来做过度之用。系统在后续的权限使用过程中, 将新设备的行为特征记下, 并在适当的时候提交BP, 然后分析归簇。进行归簇时, NAC的执行点用公式3计算与新设备的BP最接近的簇 (如图3所示) 。
公式3
其中k代表簇中BP的数目, pnew代表新设备的BP, c[i]代表每个簇i的中心, c[i]的计算过程如公式4所示:
其中cn代表第n个特征值的平均数, q代表簇i中BP的数量。
选出最近的簇之后, 由簇中的所有成员进行投票表决是否接受新设备加入到网络中, 如图3所示。投票的结果决定是否同意让新成员加入。投票的方法按照公式5进行:
其中, q代表簇中成员的个数, ti是pi的阈值 (由之前计算得到) 。v代表投票的结果值, 如果系统要求簇中至少60%的成员投赞成票才允许新设备进入, 则v必须大于0.6。对于存量设备, 当设备经过一段时间后其BP可能发生变化, 这时系统将更新之后的BP提交给NAC执行点, 由NAC执行点通过公式3~5对其进行归簇计算。
2.2增量学习
RB-NAC主要针对访问设备行为信息 (即BP) 进行增量学习。对于新设备, 还未提交BP不能参与簇内的投票, 只有当其提交BP并执行归簇之后才能参与投票。新设备的BP自动添加到所属的簇中, 更新簇的BP集合。对于存量设备, 当其BP信息发生改变时需要重新进行归簇计算, 将旧的BP从原来的簇中删除, 并将更新后的BP添加到新簇的BP集合中。RB-NAC采用增量学习的方式自动对动态归簇策略进行调整已符合当前网络的状态, 提高了系统的灵活性与可靠性。
三、应用实例分析
医院内部某用户拥有对服务器资源进行各种业务操作的权限, 然而在某个阶段, 该用户的设备因感染了病毒而对服务器发起大量的恶意行为, 此时RB-NAC系统检测并发现此攻击行为, 根据其行为的特征将其划分到特定的簇中 (例如簇A) , 由于处于簇A中的设备被限定了一部分的核心权限 (比如访问网络的权限) , 因而可以有效的控制住该设备试图造成的危害, 同时簇A中还保留了该设备其他一部分权限, 在控制用户的异常行为的同时还适当保留了用户的一些基本操作权限。依据用户的行为在簇组内做动态调整从而分配或限制用户的权限, 这种设计方案使得权限随着网络行为的安全等级做动态调整, 提高了系统的灵活性。
四、总结
本文提出了一种基于角色与行为的访问控制机制:RB-NAC机制, 其核心思想是以角色模型来划定权限集, 利用行为簇来动态调整用户可使用的权限, 克服了RBAC-based NAC在动态权限调整方面的缺陷。RB-NAC利用行为簇分配或限制了用户的权限, 并利用用户实时的网络行为特征的变化, 对用户进行动态归簇, 提高了系统的灵活性。此外RB-NAC还能自动完成增量学习, 无需人工干预就能适应多变的网络环境。综上所述RB_NAC机制能有效的加强医院内网的安全性与可靠性。
参考文献
[1]许春根, 黄生, 一种新型的基于角色访问控制的角色管理, 计算机工程, 2003, 29 (8) :26-29
[2]V.Frias-Martinez, S.Stolfo, and A.Keromytis, “Behav-ior-based network access control:A proof-of-concept, ”in Infor-mation Security Conference (ISC) , 2008.
[3]Vanessa Frias-Martinez, Joseph Sherrick, Salvatore J.Stolfo, Angelos D.Keromytis, “A network access control mechanism basedon behavior profiles”, in Annual Computer Security ApplicationsConference (ACSAC) , 2009.
[4]Sandhu R, Coyne E, Feinstein H, et a1.Role-based accesscontrol model[s J].IEEE Computer, 1996, 29 (2) :38—47.
角色控制 篇10
随着军队信息化建设的不断深入和信息系统的广泛使用,如何防止信息遭受非法用户的窃取与访问已日益成为一大难题。访问控制决定了用户对某一特定功能资源和数据资源执行某种操作的权限,是实现信息安全的一个重要手段。传统的访问控制主要分为自主访问控制(DAC)和强制访问控制(MAC),但这两种方式在信息资源数量日益增加、结构更加复杂的今天显得过于复杂且安全性能明显降低,于是人们开始探讨基于角色的访问控制(RBAC),尤以美国George Masond大学RBAC96和RBAC97模型较为完善,国内外部分学者对该模型进行了修正和完善。
1 军事信息系统安全访问需求分析
(1) 用户权限必须灵活控制
军事信息系统传统上采用基于多级安全需求的MAC模型,防止信息从高安全级流向低安全级,即限制“谁可以读/写什么信息”。按此原则,领导就可以操作下属的任何数据,这在信息资源较少、信息系统独立的情况下简单可行。但近年来,按照“系统互联、信息互通、功能互操作”的要求,军事信息系统网络化建设呈加速趋势,多数应用系统都允许多个用户同时访问一个公用数据库,这时MAC模型就遇到了麻烦。举例来说,军队财务管理系统中,会计可以维护会计科目并录入、修改各凭证、账目,如果采用MAC模型,则领导就具有了同样的权限,这与财务管理规定相矛盾,因为领导只能查询业务而不能录入或修改数据。因此必须对数据信息进行归类整理,并设定用户权限进行访问控制。
(2) 用户权限必须统一管理
一个大型的军事信息系统包含许多不同部门或个人使用的相对独立的子系统,如果各子系统自行开发使用自己的权限管理系统,不仅容易导致软件的重复开发,而且使权限管理分散,不利于统一管理,降低了系统的安全性。因此,在军事信息系统走向集成的道路上,必须将系统访问控制权限从各个子系统中提取出来,形成独立的安全管理系统。
(3) 用户权限管理必须简单、可维护
军事体制编制不同决定了人员职责分工不同,即使是同一部门的人员,职责范围也会有细微差别,而且军队人员职责变动较为频繁,用户权限必须是动态可调整的。鉴于一般用户不可能对应用程序和程序中用到的数据库、表、视图有很深的了解,不可能直接维护与数据库有关的具体数据对象的访问控制,因此,用户权限修改必须简单,最好将相关数据与业务组合起来,使功能资源与数据资源融为一体,如会计可以录入凭证、记载经费账,则其数据资源为可插入、浏览凭证表和账目表。
2 基于角色的访问控制模型及改进
2.1 基于角色的访问控制模型基本原理
角色的概念源于实际工作中的职务。基于角色的访问控制的基本思想是:将用户划分成与其职能和职位相符合的角色,将权限授予角色而不是直接授予主体,主体通过角色分派得到客体操作权限,从而实现授权。用户与角色之间是多对多的关系,角色和权限之间也是多对多的关系,这样登录于某系统的用户,可以通过它所具有的角色的权限来判断其可访问的数据资源和对数据资源可以进行的操作。这就减少了授权管理的复杂性、降低了管理开销、为管理员提供了一个比较好的实现安全政策的环境。
RBAC96模型是RBAC的研究和应用中的经典。它包括四个模型:RBAC0、RBAC1、RBAC2、RBAC3。
RBAC0模型为基本模型,它包括三个实体:用户U(User)、角色R(Role)、权限P(Permission)。
RBAC1和RBAC2模型在RBAC0的基础上分别引入了角色层次和约束的概念。引入角色层次是为了反映组织的权利和责任层次关系,并定义角色继承关系。约束就是对角色、权限、周围环境的限制。RBAC2和RBAC1是RBAC0在两个方面的扩展,不是递进的关系。
RBAC3包含RBAC1和RBAC2,是一个完整的RBAC 模型,包含一切模型元素,也是最复杂的一种模型。角色层次和限制同时存在,限制也可以作用在角色层次之上。
2.2 基于角色的访问控制模型改进
目前大多数RBAC模型在实际应用中,还存在不足:一是每个用户的职责划分非常灵活,同一个部门同一个角色不同时间段可能的权限都可能不相同,角色的定义比例复杂、频繁;二是不同部门同一角色可访问的数据资源不同,不同用户对数据对象的个性化访问要求不容易表示;三是军事信息系统实际应用单位较多,各单位人员信息素养差别较大,且大多没有系统管理员,资源权限多由领导决定。
鉴于军事信息系统实际应用时普遍缺乏系统管理员的现实,系统开发时应按下列步骤实施(改进后模型如图1所示):
(1) 把所有数据访问权限用业务功能描述,以静态形式存储于权限表;
(2) 进行角色分析,尽可能将实际职务与角色对应,并授予各角色的默认权限,开发角色权限管理模块,允许用户调整;
(3) 开发用户管理模块,允许添加、修改、删除用户,所有用户必须与预设的角色和实际工作部门对应,各部门管理员只能添加本部门的用户;
(4) 开发用户临时权限管理模块,授予或取消某用户一定环境条件下以特殊权限。
第①步主要解决数据资源的业务功能表示问题,减少用户数据库知识不足带来的影响;第②步实际上是角色的权限表示,只能由管理员或指定领导负责;第③步体现继承与层次,要求用户必须与预设的角色对应主要是为简化授权管理的负担,要求与实际工作部门对应是为了实现用户与数据资源的逻辑关联,即各用户均只能浏览和操作本部门的数据;第④步实现了用户权限表示的灵活性,即不授予该用户所属角色以特定权限,直接将该权限授予该用户,否则该角色的所有用户均有该权限。
3 应用实例
某集团军给养业务管理系统是一套集机关给养物资供应与账务管理、仓库物资接收与发放、部队物资接收与消耗为一体的多用户多权限网络信息系统。针对其权限管理的特点和要求,我们采用上述改进后的RBAC模型,实现了用户权限管理简单、实用的目标要求。与角色权限控制管理相关的数据表有五个:
(1) Creat Table 用户数据表 (用户ID nvarchar(4) not null primary key,用户名 nvarchar(16) not null,用户登录口令 nvarchar(16) not null,所属部门ID nvarchar(4) not null);
(2) Creat Table 数据业务描述表 (业务ID nvarchar(4) not null primary key,业务描述 nvarchar(16) ,数据表 nvarchar(16),浏览权限 nchar(1),插入修改删除权限 nchar(1));
(3) Creat Table 角色权限表 (角色ID nvarchar(4) not null,业务ID nvarchar(4) not null);
(4) Creat Table 用户角色表 (用户ID nvarchar(4) not null,角色ID nvarchar(4) not null);
(5) Creat Table 用户临时权限表 (用户ID nvarchar(4) not null primary key,业务ID nvarchar(4) not null)。
系统首先通过用户信息表验证用户名和用户口令,合法用户进入系统后,再通过用户角色表获取该用户所有角色,进一步从角色权限表中获得该用户基本业务功能,最后从用户临时权限表中获得该用户临时权限。当用户调用某模块功能时,通过该用户所属部门进行数据过滤,从而完成系统权限管理。
4 结束语
本文通过对军事信息系统管理特点的分析,提出一种改进的角色权限控制模型,即将全部数据资源以业务功能模块表示,并授予各预设的角色,通过用户所属工作部门实现数据资源访问控制,对用户临时需要的权限则直接授予或撤销。该改进方法已经在实际项目中得到了应用,并取得了较好的效果。实现角色权限控制管理平台化是以后工作值得研究的内容。
摘要：基于RBAC的访问控制模型能有效弥补DAC和MAC的不足,而多数信息系统要求用户权限必须灵活控制、统一管理、可维护。据此提出改进的RBAC控制模型,即将全部数据资源以业务功能模块表示,并授予各预设的角色,用户临时需要的权限则直接授予或撤销。该改进方法已经在实际项目中得到了应用。
关键词：信息系统,访问控制,角色,权限
参考文献
[1]覃章荣,王强,欧镔进,等.基于角色的权限管理方法的改进与应用[J].计算机工程与设计,2007(3):1282-1284.
[2]王姝妲,李涛,杨杰,等.一种基于角色的权限分配及访问控制模型[J].计算机应用研究,2006(10):183-185.
[3]杨柳,危韧勇,陈传波.一种扩展型角色权限管理模型(E-RBAC)的研究[J].计算机工程与科学,2006(9):126-128.
【角色控制】推荐阅读：
角色访问控制模型05-13
角色访问控制论文08-06
社会角色与家庭角色06-03
教师角色与家庭角色论文06-12
以角色为话题的作文600字,角色的作文06-17
浅谈小班幼儿角色游戏中角色意识的培养09-04
角色心理05-14
角色选择05-16
角色责任05-22
团队角色05-26