《科学方法》PPT课件.ppt

管理信息系统中的权限管理解决方案的研究,主讲人: 2010508174 陈晓峰 制作人： 2010508175 马翠云,一、课题研究介绍 二、课题研究意义 三、权限管理技术实现研究 四、总结 五、参考文献,管理信息系统中的权限管理是保证系统数据安全必不可缺的组成部分。权限管理在现代软件系统中拥有着重要的地位，从各种操作系统到一般的应用程序，都能发现有关权限的模块或者功能。而且权限管理是根据系统设置的安全规则或者安全策略，用户可以访问而且只能访问自己被授权的资源，不多不少。权限管理几乎出现在任何系统里面，只要有用户和密码的系统。特别应提出的是，它是事务系统的关键部分，其可靠性、安全性及稳定性直接影响到事务系统的运行。在权限管理中，访问控制是最核心的部分，是实现事物权限协调的重要基础。,课题研究介绍,随着网络和资源共享的进一步飞速发展及加强，伴随而来的信息安全问题也就更加日益突出。机构运作过程中，必须要能够控制：有“谁” 能够访问机构的信息，哪个用户被授予什么样的“权限”，用户访问的是“什么信息”。一旦机构已经确定了权限管理和分配方式，访问控制系统就可以按照机构分配定义的安全政策和权限控制用户访问，保护应用系统。也就是，机构中的各个等级、各个部门以及个人都有自己的权限，不能越权。例如机构系统管理员、人事部以及财务部高级权限的地方，拥有权限较大，全员工根据自己的岗位职能分工有着相应的权限，如只有查看权限不能拥有创建、编辑、删除的权限等等。为了实现这一需求，那就需要有一个分配这些权限的方式方法，这就是权限管理。,课题研究意义,信息管理系统中的权限管理的解决方案主要是要用到访问控制，访问控制规定了主体对客体的访问限制,并在身份识别的基础上,根据身份对提出资源访问的请求加以控制1。 访问控制模型有三类： 自由访问控制模型：自主访问控制模型的主要建模依据是自主访问控制策略，该访问控制策略允，许合法用户访问策略规定的资源，同时阻止非授权用户访问资源。 强制访问控制模型：其是对信息进行安全标识和分级，然后根据信息的敏感性来进行访问控制。在实际操作中，首先判断用户的访问权限，然后与资源的敏感性进行比较确定是否允许访问。 基于角色的访问控制模型：是在用户和权限之间设置了一个新的实体角色，角色作为一个中间媒介把用户集合和权限集合联系起来。 这些访问控制模型从系统的角度(控制环境是静态的)出发保护资源。其访问控制的原理为:如果主体对某客体有访问操作请求,而且主体拥有操作权限,那么提供访问操作2。,权限管理技术实现研究,管理信息系统对访问控制的需求,1.对组织管理的需求 管理信息系统是被应用到一定规模的组织中的,因此必然需要描述系统使用单位的组织形态。而用户的工作划一般按照该用户所在部门的岗位或者所在工作组的角色来确定的,因此,抽象出用户的客观组织对象,并融入访问控制模型中,能够极大的丰富模型的表现能力,并使得系统与客观情况相吻合,符合用户的使用习惯。 一般的组织形态结构中,往往存在三种组织形态: 按照职能划分的横向组织形态 按照任务(或者项目,产品等)划分的纵向组织形态 将两者结合起来的矩阵式组织形态：分为弱矩阵,平衡矩阵和强矩阵三种形态。,管理信息系统对访问控制的需求,2.对权限表现的需要 在管理信息系统中,对界面的表现需求主要有如下两种: 1）软件界面元素的可见性和可访问性。 这两个属性的组合反应了控件的三种状态:可见可访问、可见不可访问和不可见。不同的软件使用者,由于属于不同的部门和岗位或者不同的组和角色,因此有不同的权限。那么权限的差异反应到软件界面元上就表现为某些界面元素对某些用户是可见可访问的,而对其他用户却是可见不可访问的或者是不可见的。 2）软件界面数据集合的可见性和可操作性。 其中可操作性又分为可新增、可修改和可删除这三种的组合。针对不同的软件使用者,软件界面所呈现的数据集合以及这些数据的操作性是不同的。 界面数据集合的可见性和可操作性与界面元素的可见性和可访问性是有紧密联系的。这两种权限的分类由于界面实现方法的不同而有可能不同。,管理信息系统对访问控制的需求,3.对待条件的访问控制的需求 人的权限根据其时效性可以分为相对静态的和相对动态的。相对静态的权限是指该人员由于属于一定的组织对象集合,比如部门,岗位,组或者角色,而具有的一定权限;而相对动态的权限指该人员在一些其他条件下拥有的权限,比如规定用户、角色或者访问许可只能在某些时间范围内4,在某些计算结果的范围内激活,或者在工作流系统中,通过上一个流程节点的执行结果来决定下一个流程节点的参与者范围等等。因此,尽管一个人在同样的组织结构中,但在不同时间或者不同环境下所拥有的权限范围有可能是不同的，这些条件变量极大的丰富了权限的描述和控制能力。现有的访问控制模型都没有引入时间的概念 5,以及其他的访问控制条件。 在上述3种访问控制模型中,客体被表述成资源的集合,而又缺少对资源的组织和抽象,在授权上仅仅建立了一种简单的客体和主体的关系,或者客体和角色,角色和主体的关系,因此无法解决在特定条件下的访问控制需求。,在分析了现有的几种访问控制模型和管理信息系统中对访问控制的需求后,提出一种适合管理信息系统的访问控制模型基于管理信息系统的访问控制模型，简称MISBAC 。 MISBAC是通过建立组织对象子模型、权限对象子模型、界面控制子模型 以及权限分配子模型的基础上,形成权限视图的一个过程。 组织对象子模型的任务：要管理组织中单个对象的属性和行为,管理各个对象之间的相互关系,使得对象之间形成一个有机的整体。 权限对象子模型的任务：如何很好的组织这些权限对象,并使得权限分配变得方便灵活。 权限分配子模型的任务：在组织对象与权限对象之间建立一系列的关系集合,来表达权限的拥有关系。 权限表现子模型的任务：是权限的标识,是一种权力的抽象,并没有描述权限的表达方式。如：虚拟窗体。,MISBAC模型,MISBAC模型结构图,该图主要描述了MISBAC模型的各子模型之间的依赖关系。其中,权限分配子模型依赖于组织对象子模型和权限对象子模型,它建立起组织对象和权限对象之间的关系,这是实现访问控制的核心。权限对象子模型依赖于权限表现子模型,权限表现是权限对象在管理信息系统中的实现,是对受控资源控制的实现方式。权限视图子模型本质上是访问控制矩阵的一种变异,它直接建立了主体和客体之间的对应关系。 MISBAC模型的外部接口主要是应用界面和权限会话。权限会话是当前用户获取所能够访问的资源的过程,它的实现依赖于访问权限视图子模型提供的主体和客体之间的对于关系。应用界面是应用系统的业务外观,这些外观通过继承权限实现子模型提供的基本外观来实现对界面资源的控制。,该技术被广泛运用于各个系统，非常容易掌握。该技术模型如下图示： RBAC权限模型 系统提供如下功能： 1，角色管理界面，由用户定义角色，给角色赋权限； 2，用户角色管理界面，由用户给系统用户赋予角色。 3，一些优秀系统，还支持用户定义权限，这样新增功能的时候，可以将需要保护的功能添加到系统。,基于角色访问控制技术RBAC,在RBAC模型中,授权定义了如下约束: (1)最小权限原则:规定用户所拥有的角色集所对应的权限不能超过用户工作时所需要的最大权限。 (2)责任分离原则:目的在于为不同角色进行任务和相关权限的划分,以便有效地防止用户相互勾结。 静态责任分离：不能将某两个角色分配给同一个用户,例如银行系统中的出纳员角色和审计员角色。 动态责任分离：允许将某两个角色分配给同一个用户,但是不允许任何一个用户在同一个事务处理过程中担任这两个角色,例如出纳员角色和帐户持有人角色。 (3)角色集最大值限定原则:一个角色的成员个数不允许超出规定的最大值。 在MISBAC模型中,授权也存在同样的约束。它们的不同点是:RBAC模型的角色概念是抽象的,并不具有现实含义。而MISBAC模型中组织对象是具体的,是能够高度模拟现实中的组织机构的,因而具有现实含义。,RBAC和MISBAC的比较,总结： 本文论述了管理信息系统中的权限管理解决方案,首先分析了目前常见的 几种访问控制模型,并论述了管理信息系统对权限管理的需求,进一步分析了 这几种常见的访问控制模型在权限管理方面应用的不足,于是,提出了基于管 理信息系统的控制模型并给出了该模型的虚拟窗体机制在.NET平台下的实现。 本文主要介绍了在管理信息系统中对访问控制模型的三个核心需求:即对 组织管理的需求,对权限表现的需求和对带条件的访问控制的需求。在结合时 下流行的基于角色的访问控制模型的基础上,进一步扩展了“角色”的范围, 加入了组织对象的内容,并在权限的表现上新创了虚拟窗体机制。该机制不仅 有效的解决了权限表现的需求,也通过数据规则的定义一部分的解决了带条件 的访问控制的需求。,参考文献： 1IMB公司.IT技术白皮书http:/www一900.ibm.eom/en/support/guide/,hite books/seeurity/seeurity-42.shtml 2邓集波,洪帆.基于任务的访问控制模型.软件学报 3国家信息化系列企业信息化工程师技术水平认证培训教材 4董光宇,卿斯汉,刘克龙.带时间特性的角色授权约束.软件学报 5黄建,卿斯汉,温红子.带时间特性的角色访问控制.软件学报 6李孟柯,徐祥宣.基于角色的访问控制技术及应用.计算机应用研究 7邹炜,孙家萧,孙艳春.青鸟网上构件库系统的访问控制机制.软件学报 8http:刀.mierosoft.eom/ehina/net/whatis.asp 9KevinHoffman,JeffGabriel等著,汪钟鸣,战小苏译二N叮Fr二ework高级编程.清华大学出版社 10/artiele/69/artiele/55/55836.shtm 11http:刀删.peworld.eom.en/2001/baek_issues/2104/0405b.asp 12http:/msdn.m