（计算机应用技术专业论文）面向web应用集成的访问控制模型设计与应用.pdf

面向w c b 应用集成的访问控制模型设计j 应用中文摘要 中文摘要 访问控制是应用系统实现安全访问的关键技术，基于角色的访问控带i j ( r b a c ) 模 型因其突出的安全性和可操作性，得到了广泛的应用。但是，由于该理论中的权限概 念非常抽象，r b a c 到目前为止还只是一个理论上的抽象模型，如何把该模型应用到 应用系统中仍然是一个相当复杂的问题。 本文首先分析了w e b 应用系统在访问控制方面的需求，提出了一个基于 n i s t ( r b a c ) 建议标准的扩展模型r b a c 4 w a ( r b a cf o r w e ba p p l i c a t i o n s ) 。该模型扩 展和定义了r b a c 模型中的客体和权限的概念，增加了节点、节点层次概念，除此 之外r b a c 4 w a 包含了建议标准的其他所有构件，例如会话、用户角色指派、权限 角色指派、角色层次、静态职责分离和动态职责分离等内容。 然后，我们将r b a c 4 w a 应用到w e b 应用集成领域，设计和实现了一个统一授 权平台。该平台共包括5 个部分：平台数据库、管理工具、用户信息自管理模块、 w e b 服务接口和运行时访问控制模块。平台数据库基于r b a c 4 w a 模型设计，用于 存储访问控制信息；c i s 结构的管理工具和b s 结构的用户信息自管理模块则实现对 数据信惠韵管理；基于w e b 服务技术的w e b 服务接口可以提供给各个w e b 应用系统 实现数据访问；运行时访问控制模块嵌入到各个w e b 应用系统的页面中，使用户对+ 页面的访问可以按照配置的访阀控制权限进行。 最后，本文介绍了该平台在某高校学生处w e b 应用系统集成中的应用，将学生 处的宿舍管理系统和学生工作管理网站集成到到该平台，并在此基础上开发了学生处 门户网站原型系统。本课题对于w e b 应用集成中的统一授权管理的设计具有一定的 借鉴和参考意义。 关键词：访问控制、基于角色的访问控制、w e b 应用集成、统一授权平台、 w e b 服务 作者：张苏 指导老师：杨季文 垒坐! 坚生! 堡! 竺! ! 竺! 竺竺! 堂墅垡垒! ! 竺! 墅塑! 坚鲤盟坠塑些垒塑! ! ! 苎! ! ! ! ! 墼型! 竺 d e s i g na n di m p l e m e n t a t i o no f a c c e s sc o n t r o lm o d e l f o rw e b a p p l i c a t i o ni n t e g r a t i o n a b s t r a c t a c c e s sc o n t r o li sak e yt e c h n i q u ef o ra p p l i c a t i o n st oi m p l e m e n ts e c u r ea c c e s 韩a n d r b a c ( r o l e - b a s e da c c e s sc o n t r 0 1 ) i sl r l o f es e e l j r ea n d e a s i e rt oi m p l e m e n t , s oi 越3 a ch a s b e e nu s e dw i d e l yi na p p l i c a t i o n s b u tt h ep r i v i l e g ei nr b a ci sv e r ya b s t r a c t , a n dr b a c h a sb e e ns t i l la l la b s t r a c tm o d e lu n t i l 呲s oh o w t oi m p l e m e n tt h i sm o d e lt oa p p l i c a t i o n s i ss t i l lac o m p l e xp r o b l e m 露疽sp a p e rf i r s ta n a l y s i st h ea c c e s sc o n h - o lr e q u i r e m e n t so f w e ba p p l i c a t i o n s ，a n dt h e n p r o p o s e sar b a c 摄撼瞄m o d d ：r b a c a w a o 谗a c 甜w 痨a p p l i c a t i o n s ) 。r b a c 4 w a e x t e n d sa n dd e f m 鹤t h e0 b j 黼= t sa n do p e r a t i o n si nr b a c ，a n da d d st h en o d e sa n dn o d e h i e r a r c h yi d e 敲r b a c a w a 叠l s oi n c l u d e ss o m eo t h e rc o m p o n e n t so fr b a c , s u c ha s s e s s i o n s , u s e r - t o - r o l ea s s i g n m e r a , p e r m i s s i o n - l o - r o l ea s s i g n m e n l r o l eh i e r 嚣e h y , s t n t i e s e p a r a t i o no f d u t i e sa n ds y h 如f l i cs e p m t i o no f d l l f i 舔 t h e nw ed e s i g na n di m p l e m m t8u n i f i e da o g c s $ c o n t r o lp 1 嫦o r m , w h i c hh a sf i v e c o m p o n e n t s 蝴她d a t a b a s e , m a n a g e m e n tt o o l 。i l l f o r m 蕊o l lm a n a g c m a e n tm o d u l e w e b 麓姆主耱i n t e a 瞧e ca n d 翱翻幽撼a c c e s sc o n l r o l 瑚囊瞧囊瓣氆出融蘸嘟燃船掘粼e o n 矗, o t i n f o n m t i o nb a s e do nr b a l 湖w am o d e l ：a n dt h ec 怨s t m c a l r e dm a n a g e m e n tt o o la n dt h e b ss t m c a a 测i n f o r m a t i o nt t l a l 3 a g e m e n tm o d u l ei su s e df o rm a n a g i n gt h ei n f o r m a t i o n ；t h e w e bs 酬e ei n t e r f a c ep r o v i d e st h ed a t a 箍a 蹦翳螽哇a 骶f o rw e ba p p l i c a t i o n s ；a n dt h e 弗鞠i 盘塔戳蟹黼雌e o n a - d m o d u l e c o n t r o l s t h e i m v i l e g e o f t h e n s e r n e e d s , w h i c h i s e m b e d d e d i nt h ee a c hp a g eo f t h ew e b a p p l i c a t i o n a tl a s t , t h i sp a p e ra p p l i e st h i sp l a t f o r mt ot h ei n t e g t a f i o no fk t t l d e n td e p a r t m e n t s p r o j e c t s ，t h ed o r m i t o r ym a n a g e m e n ts y s t c a ua n dt h es t u d e n t 醚越壤罄鼬婶嫩w c b s i t e 瓣 i n t e g r a t e di n 泌t h i sp l a t f o r m , a n das t u d e n td e p a r t m e n t p o r t a li si m p l e m e n t e dt o o 。t h i s p a p e l s h o u l db ea d v i s a b l ef o rt h ed e s i g na n di m p l e m e n t a t i o no fu n i f i 丽a c c e s sc o n t r o li n w e b a p p l i c a t i o ni n t e g r a t i o n k e yw o r d s ：a c c e s sc o n t r o l ，r b a c ，w e ba p p l i c a t i o ni n t e g r a t i o n ， u n i f i e da c c e s sc o n t r o lp l a t f o r m w e bs e r v i c e w r i t t e nb y ：z h a n gs u e s u p e r v i s e db y ：y a n gj i w e n y ? 8 1 6 1 3 苏州大学学位论文独创性声明及使用授权的声明 学位论文独创性声明 本人郑重声明：所提交的学位论文是本人在导师的指导下，独立 进行研究工作所取得的成果。除文中已经注明引用的内容外，本论文 不含其他个人或集体已经发表或撰写过的研究成果，也不含为获得苏 州大学或其它教育机构的学位证书而使用过的材料。对本文的研究作 出重要贡献的个人和集体，均已在文中以明确方式标明。本人承担本 声明的法律责任。 研究生签名：赴垡日期：垫丛! 曼 学位论文使用授权声朗 苏州大学、中国科学技术信息研究所、国家图书馆、清华大学论 文合作部、中国社科院文献信息情报中心有权保留本人所送交学位论 文的复印件和电子文档，可以采用影印、缩印或其他复制手段保存论 文。本人电子文档的内容和纸质论文的内容相一致。除在保密期内的 保密论文外，允许论文被查阅和借阅，可以公布( 包括刊登) 论文的 全部或部分内容。论文的公布( 包括刊登) 授权苏州大学学位办办理。 研究生签名： 越堡，曰 导师签名：日 期：捌! 垒 期：磁e 露 面向w e b 应用集成的访问控制模型设计与应用第一章引言 1 1 课题背景 第一章引言 随着甄联网的飞速发展帮普及，綦于单机的运算和企业内部阚( i n t r a n e t ) 的般务处 理模式已经囱茎予企效乡 部鬻j ( e x t r a n e t ) 、垒球互联1 网( i n t e r n e t ) 豹努毒监务楚臻模式发 展。i n t e r n e t 具有标准化、开放性和分布性等优点，传统的c s 体系结构正在向三层 ( b r o w s e r a v e bs e r v e r d bs e r v e r ) 私多层体系结构过渡。在b s 结构的w 曲信息系 统串，只嚣在客户端装上操终系统耪溺览器，恧在暇务器上剜纂串所有蓖应愆，这样 极大地提商了系统的开发和维护效率。但是，有效的安全访问控制机制是合法地使用 系统信息、充分发挥信息系统作用的一个前提。因此，要充分利用w e b 信息系统的 诸多饶煮，有力绦涯掰努发系统豹安全，登须建焱一套有效静安全访淘控翻飘裁。 访问控制技术起源予7 0 年代，溺时是为了满足管理大型奎机系统上共攀数据授 权访问的箍要。但随着计算机技术和成用的发展，特别是网络威用的发展，这一技术 戆愚怒和努法逐逮瘟蔫予信惠系统鹣嚣令矮壤。掰谓谤翘控裁，靛是逶遘菜耱途径显 式地准许域限制访闯能力及范围的一种方法通过访闯控制服务，可以限制对关键资 源的访问，防止非法用户的侵入或者因合法用户的不慎操作所造成的破坏。简单的说 访蠲羟翱簧解决貔邂瑟靛是“ 莓露秘缝，辫些霭声霹菇对强鎏瓷源傲耨登搽佟”。瓣 决这个问题包含如下几个方面： ( 1 ) 嚣鼹在数据库中以一定的形式捕述资源和撩怍； 嚣嚣要在数据毒孛淤一定懿形式接遮爰声黧赘滚、摄孬乏潮浆关系 ( 3 ) 需隳提供管理渤熊配置系统的访问控制信息，如资源、操作、用户和露们之 间联系等； 曲系统运霉亍黠，矮疆攥访藏控镄接惑，对耀产疆窭戆骜予禁瓷源熬搽幸筝潺求畿 出允许或禁止的替复。 在以上几方面中，壤用倪种方法米组织、描述用户、资源、搽作之闻的关系是关 疆。鋈藜毖较滚行戆簸法密三静：鑫寰谚溺控裁d a e ：d i s c r e t i o n a r y a c c e s sc o n t r 0 1 ) 、 强制访问控制f m a c ：m a n d a t o r ya c c e s sc o n t r 0 1 ) 爿；日基于角色的访问控s r j ( r b a c ： r o l e b a s e da c c e s sc o n t r 0 1 ) 。d a c 是将用户和资源、操作直接关联，采用列表、矩阵 l 第一章引言 面向w e b 应用集成的访闽控制模型设计与应用 等形式记录用户可以对哪些资源做哪种操作。m a c 一般应用于军事系统中，它不将 用户和资源做关联，而是给每个用户和资源都分配一个安全级别，用户只可以操作安 全级别比其低的资源，无权操作安全级蹴比其高的资源。r b a c 是通过角色将用户和 资源相关联，用户不知道他可以操作哪些资源，只知道他属于哪些角色，用户一旦属 于某个角色，就可以操作该角色拥有的所有资源。 r b a c 的基本思想是将权限指派给角色，同时将用户也指派给角色。用户通过角 色取得相应的权限。r b a c 的突出优点是简化了各种环境下的授权管理，和d a c 、 m a c 相比安全性和可操作性更高，因此受到广泛的支持。 虽然在二十五年前，角色的概念就已经出现在软件应用中，但是仅在过去的十年 中，基于角色的访问控制理论与技术才得到飞速的发展。1 9 9 6 年s a n d h u 等人提出了 r b a c 家族模型，它包含四个模型，分层次地描述了r b a c 理论【l 】。2 0 0 1 年n i s t 公 布了r b a c 建议标准【2 】，该标准并没有拓展r b a c 的模型结构和特点，而是集中精 力定义r b a c 的基本结构组成和提供统一的术语，推进r b a c 技术的标准化工作。 由于r b a c 理论中的角色概念和权限概念非常抽象，因此，在讨论角色和权限的时 候一定要明确具体的环境脚。所以r b a c 到日前为止还只是一个理论的抽象模型，使 用时必须和具体应用相结合。虽然r b a c 已经在一些商业数据库系统中得到应用( 如 o r a c l e g i 、s q l s a w a 2 0 0 0 等) ，但目前r b a c 仍处于发展阶段，r b a c 的应用仍是一 个相当复杂的问题【4 】。 4 2 国内外研究现状 从现在分布式系统威罔和发展的前景来看，基予角色的访闯控制模型比其愈访问 控裁搂壅甏实耀，更容荔扩蓑。妥蘸凿内乡 在薹于麓穗翡诱淘控臻壤论方面豹磷究主 要分为模型研究和应用研究两类。 模型研究是对模型本簿傲修改和发展，完善模型的内涵。爨为模型本身巴缀受到 了广泛豹认黼，霹魏锌对糗型的研究主瓣集中在其巾角色层次部分静研究5 聚黻责分 离部分的研究 6 , 7 , 8 1 。 应用研究主要是针对特定的应用领域，扩充和调整基于角色的访问控制模溅，使 箕更好豹灞麓特定疫耀豹霈求。蚕藏磺究的最多戆楚将r b a c 赢麓予搡稼系统t 9 , o l 、 数据库系统 。2 1 和工作流系统【13 , 1 4 1 中。除此以外身份认证和访问控制相结合的研究也 面向w c b 应用集成的访问控制模型设计与应用第一章引言 是一个热点0 s , 1 6 。 1 3 课题内容 本课题是面向w e ；b 应用集成领域的r b a c 应用研究，我们根据w 曲应用的特点 提出了一个n i s t 建议标准的扩展模型r b a c a w a ( r b a cf o r w e ba p p l i c a t i o n s ) ，这是 一个通用的模型，适用于绝大部分w 曲应用系统，因此可以应用于w 曲应用集成领 域。作为r b a c 4 w a 的应用，我们设计实现了一个统一授权平台，该平台是企业门 户等w e b 应用集成系统中实现用户授权管理的基础设施。 课题内容包括理论和实践两个方面。理论方面主要学习和研究前人的理论成果， 在消化吸收的基础上，研究r b a c 在w 曲应用集成领域的应用，扩展n i s t 的r b a c 建议标准，提出了一个具有较好通用性的r b a c 应用模型：r b a c a w a ，并给出该模 型的形式化描述。该模型可作为绝大多数w e b 应用系统访问控制机制的理论基础， 因此可应用于w e b 应用集成领域的授权管理。 实践方面，我们在r b a c a w a 的基础上设计实现了一个基于w e b 服务的统一授 权平台。该平台用于解决企业内部w e b 应用集成中的统一授权问题，实现企业用户 信息豹集中存储、统一管理、统一认证、以及授权的统一管理采用w 西服务技术 实现应用系统集成中跨操作系统跨编程平台的信息交互：基于r b a c a w a 模型开发 统一授权平台的访问控制机制。最后，我们以某高校学生处为例示范了其下属的2 个w e b 应用( 学生宿舍管理系统、学生工作管理网站) 基于统一授权平台的集成，并以 此为基础实现了学生处门户网站原型系统。 1 4 课题意义 1 蒸于角色的访问控制理论( r b a c ) 在安全性、可操作性上明显优于传统的访 运控裁鼓零，跌鲻年鬟爨戆r b a c 家族模型受2 0 0 1 年撵爨懿n i s t 建议蠡穗，r b a c 的思想已缀受到广泛认间。即便如此，现阶段的r b a c 仍然只撮一个抽象模型，是 解决问题的指导方针、丽不是具体方法。究其原因悬因为模型中两个关键构件：客体 稳搡 葶雾露撞蒙，对予繇令虚强系绕帮霉嘉冀独黪夔簿器，因藏人翻在应爱懿l l 重娱妊 须首先针对特定的应用环境将模型具体化，然后才能应用到实际工作巾。本课题的内 第一章引言 面向w e b 应用集成的访问控制模型设计与应用 容即为r b a c 理论的应用研究，我们提出的r b a c 4 w a 模型是n i s t 建议模型的一 个扩展模型。它是一个应用于w e b 应用系统的访问控制管理解决方案。对于c s 结 构的应用程序来说，由于客体和操作的不确定性，访问控制机制总是针对特定应用独 立开发的：但是对于t 3 s 结构抟应用程序来说，因为r b a c 4 w a 模型可以满足绝大 多数应用的需求，所以我们可将它应用于w e b 应用集成领域。因此本课题具有一定 的理论研究意义。 2 随着网络技术的发展，企业应用逐步信息化，b s 结构应用、b 2 b 应用的兴 起，使得企业拥有的w e b 应用越来越多，w e b 应用集成已成为一个热点。要进行w e b 应用集成，例如建立“门户”网站，首先需要完成用户的统一认证，在统一认证的基 础上，我们可以做统一的访问控制。目前在统一认证方面做的研究比较多，统一访问 控制方面做的研究比较少，究其原因主要有两点； ( 1 ) 对于c s 结构的应用程序来说，将客体和操作以统一的定义来描述是非常困 难的，实现代价太大而且不灵活，因此传统上应用程序都配有独立的访问控 制模块j 但是对于b s 结构的系统来说，每个系统的客户端都是一样的，就 是一个b m w s e f ，访问控制方面的需求具有较大的共性，这为设计通用模型、 实现统一管理提供了可能； ( 2 ) 目前企业最关心的应该是遗产系统的整合，遗产系统都有自己独立的身份认 证、用户管理和访问控制逻辑，要对它们进行整合，势必要对每个模块做改 动，而遗产系统中访问控制逻辑和系统的业务逻辑很可能混在一起，密不可 分，做统一授权的代价太大。但是随着技术的发展，企业必然会拥有更多的 w e b 应用，如果从现在开始做整体规划，在统一的平台上构建新系统，将会 节省大量的人力物力，提高整体系统的运营效率。 基于r b a c 4 w a 模型设计的统一授权平台，可能不能满足所有w e b 应用程序的 需求，但是对于大部分w e b 应用程序来说是可行的，它拥有以下优点： ( 1 ) 统一的用户、授权管理将提高系统总体的安全性，避免身份不统一、策略不 统一造成的安全上的漏洞； ( 2 ) 将解决子系统问信息冗余、不致的问题，大大减轻系统管理员的工作量： ( 3 ) 开发新系统时，可尽量利用已有资源，例如可以使用前一个系统开发的运行 时访问控制管理组件，那么新系统在访问控制方面几乎不用再写代码，只需 面向w e b 应用集成的访舸控制模型设计与戍用 第一章引言 通过简单配置即可实现访问控制管理机制，减轻了程序员开发的工作量，缩 短了程序开发时间： ( 4 ) 和别的访问控制策略相比基于角色的访问控锖4 拥有更高的安全性，更适宜应 用于w e b 应用中，可确保提供完善的访问控制管理； ( 5 ) 可蛆以本平台为基础，开发企业门户。 因此本课题也具有一定的实践意义。 1 5 本人所做的工作 1 针对w e b 应用集成领域，扩展n i s t 建议标准，提出一个r b a c 4 w a 扩展模 黧，给鑫缝 鸯黼窝形式纯攥述。 2 设计并实现一个统一授权平螽，用于实现众业w e b 应用集成中的统一用户管 理j f n 统一授权。该平台可咀挂载多个w e b 威用系统，对德个应用系统提供基 予r b a c 4 w a 模蕉翁访阍羧镧蓉理，基：f - w e bl 嚣务毅零实瑗系统鬻跨搡终 系统、跨编程平台的信息交飘。 3 燕现了统一授权平台在某搿校学生处w e b 虑用系统集成中的应用，将学生处 下熏学生密囊慧毽系统襄擎黧工锋警建瓣站整袭蘩平螽童，劳蒸予藏实现了 学生处门户原溅系统。 1 6 论文缝糗 第一颦对本课题做憋体介绍，包括课题的背景、内容、意义和本人所做的工作。 第二豢舟缝本课羧鹣理谵移技术饕案，w e b 寂j e l l 集成是本谦蘧豹应用鸳景，本 课题的所有工作都是面向该领域的；w e b 服务是本谍题实现成粥集成的技术鬻景；访 问控制是本课题的理论研究背景。 第三豢本课题熬璎论磷究部分。篱先奔绥鏊予建色夔谤翘按翱瑾论戆其薅痨吝， 接着分析了w e b 应用系统在访问控制方面的具体需求，由此提出一个广泛适用的扩 展模型r b a c 4 w a ，并绘出其结构图和形式化描述。 第魍鬻奔缨r b a c 4 w a 模型的一个应鼹绫授权乎鸯鼢设诗与实羧。 第五誊以学生处确商豹2 个w e b 应用为例，介绍统一授权平台是如何工作的， 第一章引言 面向w e b 应用集成的访问控制模型设计与应用 如何将应用系统集成到平台中来。 第六章总结本课题的研究成果，并讨论下步工作的要点。 面向w c b 应用集成的访问控制模型设计与应用第二章w e b 应用集成和访问控制 第二章w e b 应用集成和访问控制 2 1w e b 应用集成 2 1 1 企业应用集成 企业从7 0 8 0 年代开始使用l t 支持系统到现在，企业中各种1 t 支持系统平均达 数十种之多。他们大部分是一个一个的信息孤岛，管理着企业特定的职能部门的工作， 相互之间缺乏有效的联系。特别是企业信息化建设经过上个世纪末的高速发展，今天 的企业需要一个集成的、开放的且具有柔性的i t 支持系统，因此普遍需要考虑应用 系统的整合问题【2 2 1 。“i b e f o r e e ”，即“i n t e g r a t i o n b e f o r e e - b u s i n e s s ”，任何一个成功迈 向面向过程和e 业务的企业，集成的基础结构将是一个重要的指导法则。 企业应用集成( e a he n t e r p r i s ea p p l i c a t i o nh t e g r a t i o n ) 是指在企业中的任何相连的 应用间无限制地共享数据和业务处理，其目的是将企业的业务流程、应用软件、硬件 和各种标准联合起来，在多个企业应用之间实现无缝集成，使其像一个整体一样进行 业务、信息处理，从而使企业的整个业务、管理、资源等各个环节，达到协调运转， 效率优化，从而最终实现企业效益的提高【2 3 1 。 2 1 2w e b 应用集成和企业门户 w e b 废用集成指众般中w e b 应用系统的集成。当今随着暇子商务的发展，应用 系统正获c s 臻梅淘b s 结稳转交，b 2 b 结褐鹣疯瑶歪残蠹潮溅，金筵摆宥懿独立豹 w e b 应用越来越多。对企业内部的w e b 资源进行熬合，建立个性化的“门户”网站， 可以提高企业的运营效率，为顾客提供更完善的服努。 金鼗门户( e p ：e n t e r p r i s ep o r t a l ) 慈俸主是一个企韭信患稳寂羽震瑰鹣聚集点，提 供统一的、通用的和岚有广泛价值的信息( 数据) 、应用的访问途径，也包括与人的 沟通途径，如图2 1 所示。企业门户的价值在于馒企业能够释放存储在企业内部的各 耱售惑耧强务，霆企簸受工、蹋户秘会作饮锌麓够鞠丽擎一静渠道诱翊其掰灞的拿往 化应用和信息资源，它将与企业相关的人员、数据和应用有机地结合在一起1 24 1 。 第二章w e b 应用集成和访问控制 面向w c b 应用集成的访问控制模型设计与应用 图2 1 企业门户 e p 就是一个将企业的所有应用和数据集成到一个信息管理平台之上，并以统一 的用户界面提供给用户，使企业可以快速地建立企业对企业和企业对内部雇员的信息 门户。e p 是一个基于w e b 的系统，他能向分布各处的用户提供商业信息，帮助用户 管理、组织和查询与企业和部门相关的信息。内部和外部用户只需要使用浏览器就可 以得到自己需要的数据、分析报表及业务决簧支持信息m 】。 e p 的优势在于它从更高的层次上对企业的信息系统建设提供了指导思想。e p 的 特点体现在： 单一的访问方式 瓤寄瓣惩户蒸霹孩逶建萃一懿入鞠诱羯毽翻嚣簧囊奄售塞。这令攀一熬入誓载蹩一 个企业的对外主页而他们所使用的工具就是一个简单的测览器。j 蘸统维护只需在后 台服务器上进行，无需维护前端应用，可以快速升级，降低了维护费用，方便了用户 傻强。 集成 通过对融有的应用系统的集成，使用户通过单一的渠道访问所有信息。用户在浏 筵纂串爱刭瓣是监务系绫垒或錾数据，魄霹蕤是囊效鬻戆系统煞分耪摄蠹。这耱集残 不是简单地在页面上增加一个链接，而鼹通过集成的方法把原有戚用系统集成为个 有机整体。 个瞧纯 每个使用e p 豹用户都有自己的描述文件，通过它来定义自融的角色，过滤出他 需要的信息。这一点在束米的e p 中是a 常重要的，因为在浩如烟海的企业数据中寻 找皇己需要豹薅惑弗不怒一嫠容易懿警壤。要实瑗令性仡必矮簧援供携够涵蓑酝存动 能和可能的选项，而且述要提供岛由定制的功能f 2 6 j 。 本文所描述的统一授权平台就是针对“单一的访问方式”阔鼷的一个解决方案， 面向w e b 应用集成的访问控制模型设计，应用 第二章w e b 应用集成和访问控制 可以以此为基础架构企业门户。 2 1 3 应用集成技术 要将w e b 应用集成起来，就必须使得基于不同的操作系统，由不同的编程语言 开发的应用程序能够互相通信。传统的应用集成技术包括：远程过程调用t 消息中间 件，应用服务器，分布式对象和消息代理等。 随着分布式计算机技术的迅速发展，传统的系统集成技术已经不能很好的适应极 端异构的i n t e r n e t 环境，主要体现在以下三个方面： ( 1 1 他们各自有一套独立的体系结构和私有协议，不同模型的应用系统之间通信 十分不便； ( 2 ) 客户端与服务端必须紧密耦合，一旦服务端的接口或执行方式发生变化，客 户端将无法执行： ( 3 ) 客户与服务器之间有较大的网路通信量与交互信息。 最近兴起的w e b 服务t w e b r 吨潮技术是一种分布式的计算技术，是一个自包 含、自描述、模块化的应用程序标准机制，其应用可以通过w e b 发布供客户端动态 发现和调用，可l ； 执行从简单请求到复杂商务处理的任何功能。w e b 服务是一种基于 透明标准体系的组件化松散耦合技术，其目标是实现不同系统问跨平台、跨编程语言 的可操作性。 同传统应用集成技术相比，w 曲服务具有以下优势： ( 1 ) 协议的通用性。w e b 服务利用标准的i n t e r n e t 协议( 如h r r p 、s m t p 等) ， 解决的是面向w 曲的分布式计算，而c o r b a 、d c o m 、r p c 使用私有的协 议，只能解决对等实体间的分布式计算； ( 2 ) 完全的平台、语言独立性。w e b 服务进行了更高程度的抽象，只要遵守w e b 服务的接口即可进行服务的请求与调用。而c o r b a 、d c o m 等技术要求在 对等体系结构间才能进行通信。如c o r b a 需要每个连接点都使用o r b ( o b j e c tr e q u e s tb r o k e r , 对象请求代理) ，d c o m 需要每个连接点都使用 w i n d o w s 平台。 因此本课题存实现统一授权平台时采用了w e b 服务技术。 第二章w 由应用集成和访问控制 面向w e b 应用集成的访问挣制模型设计与戊用 2 2w e b 服务 2 2 1 什么是w e b 服务 lw c b 服务的发展 随着i n t e r n e 4 的发展，很多商业机构非常希望能够把他们的企业运营集成到分布 应用软件环境中，比如网上支付、网上购物、网上订票、网上炒股等。但是什么样的 分布计算模式才能适合这种需要呢? 首先，这种分布计算模式必须独立于提供商、平 台和编程语言；其次，必须提供足够的交互能力，能够适合各种场合的应用；最后， 对于程序员来说，它还必须易于实现和发布应用程序。简单地说，目前需要一个基于 i n t e m e t 开发标准的分布计算模式。 w e b 服务应运而生! w e b 服务的诞生不是偶然的，是i n t e m e t 以及相关技术发展 到一定程度的产物。自从有了i n t e m e t ，h t r p 协议就广为使用，其简单性、可靠性和 通用性使得依靠它的网页可以流行在各个平台上。x m l 语言的诞生使得信息的传输 可以脱离平台、程序语言的限制，为网络上各种系统的“对话”提供了一门“国际化 的语言”。s o a p 协议为服务的请求、消息的格式定义了简单的规则，并得到了各大 系统提供商的支持。这一切的一切好像都是在为一种新的分布计算环境做铺垫，w e b 服务( 或类似技术) 的出现似乎成了一件早晚必然发生的事情f 3 l 】。 2 w 曲服务定义 根据w 3 c 的定义，w e b 服务是通过网络实现计算机之间互操作的一个软件系统。 w e b 服务在一个适合其处理的文档中定义其接口，如w s d l 等。一般的，计算机根 据相关w e b 服务标准，先获取w e b 服务描述，再使用s o a p 消息通过h t t p 协议和 序列化的x m l 调用w e b 服务啦7 1 。 2 2 。2w e b 服务模型体系结构埔l w e b 服务体系结构糕于三种角色( 服务提供者、服务注册中心和服务请求者) 之 间的交互。交互涉及发布、查找和绑定三种操作。在熊型情况下，服务提供者托管可 逶过瓣络谤阚熬较传模块( w e b 骚务瓣一个实瑷) 。鞭务撵鬈专者定义w e b 骚务熬藤务 描述并把它发布到服务请求者或服务沣册中心。服务请求者使用沓找操作从本地或服 面向w 曲应用集成的访问控制模型设计与戍用第二章w e b 成用集成和访问控制 务注册中心检索服务描述，然后使用服务描述与服务提供者进行绑定，并调用w e b 服务实现或同它交互。图2 2 描述了这些操作、提供这些操作的组件及它们之间的交 互。 2 2 3w e b 服务角色 图2 2w e b 服务角色和操作 w e b 服务拥有三个角色：服务提供者、取务注册中心和服务请求者。 服务提供者( s e r v i c ep r o v i d e x ) 从企业的角度看，这是服务的所有者；从体系结构的角度看，这是托管访问服务 的平台。 服务请求者( s e r v i c er e q u e s t o r ) 从企业的角度看，这是要求满足特定功能的企业；从体系结构的角度看，这是寻 找并调用服务，或启动与服务交互的应用程序。服务请求者角色可以由浏览器来担当， 由人或无用户界面的程序( 例如，另外一个w e b 服务) 来控制它。 服务注册中，t ：, ( s e r v i c er e g i s t r y ) 这是可搜索的服务描述注册中心，服务提供者在此发布他们的服务描述。在静态 绑定开发或动态绑定执行期间，服务请求者查找服务并获得服务的绑定信息( 在服务 描述中) 。对于静态绑定的服务请求者，服务注册中心是体系结构中的可选角色，因 为服务提供者可以把描述直接发送给服务请求者。同样，服务请求者可以从服务注册 中心以外的其他来源得到服务描述，例如本地文件、f t p 站点、w 曲站点、广告和服 第二章w e b 应用集成和访问控制面向w e b 应用集成的访问控制模型设计与应用 务发现( a d s ：a d v e r t i s e m e n ta n dd i s c o v e r yo fs e r v i c e ) 或发现w e b 服务( d i s c o d i s c o v e r yo f w e b s e r v i c e s ) 。 2 2 4w e b 服务操作 对于利用w c b 服务的应用程序，必须执行以下三个行为：发布服务描述、查询 或查找服务描述以及根据服务描述绑定或调用服务。这些行为可以单次或反复出现。 这些操作具体为： 发布( p u b l i s h ) 为了使服务可访问，需要发布服务描述以使服务请求者可以查找到它。发布服务 描述的位置可以根据应用程序的要求而变化。 查找( f i a d ) 在查找操作中，服务请求者直接检索服务描述或在服务注册中心中查询所要求的 服务类型。对于服务请求者，可能会在两个不同的生命周期阶段中牵涉到查询操作： 在设计时为了程序开发而检索服务的接口描述和在运行时为了调用而检索服务的绑 定和位置描述。 绑定( b i n d ) 最后需要调用服务。在绑定操作中，服务请求者使用服务描述中的绑定细节来定 位、联系和调用服务，从而在运行时调用或启动与服务的交互。 2 3 访问控制 所谓访问控制，就是通过某种途径显式地准许或限制访问能力及范围的一种方 法。通过访问控制服务，可以限制对关键资源的访问，防止非法用户的入侵或者因合 法用户的不慎操作所造成的破坏。简单地说，访问控制就是解决“何时何地，哪些用 户可以对哪些资源做哪些操作”这样一个问题。 访问控制技术起源于7 0 年代，当时是为了满足管理大型主机系统上共享数据授 权访问的需要。但随着计算机技术和应用的发展，特别是网络应用的发展，这一技术 的思想和方法迅速应用于信息系统的各个领域。在近3 0 年的发展过程中，先后出现 了多种重要的访问控制技术，它们的基本目标都是防止非法用户进入系统和合法用户 嘶向w 曲成用集成的访问控制模型设计与应用 第二二章w e b 应用集成和访问控制 对系统资源的非法使用【4 l o 其中影响比较广泛的有自主访问控制、强制访问控制和基 于角色的访问控制。 2 3 1 自主访问控制1 自主访问控制( d a c ：d i s c r e t i o n a r ya c c e s sc o n t r 0 1 ) 随分时系统的出现而产生。基 本思想是：系统中的主体( 用户或用户进程) 可以自主地将其拥有的对客体的访问权 限( 全部或部分地) 授予其它主体。其实现方法一般是建立系统访问控制矩阵，矩阵 的行对应系统的主体，列对应系统的客体，元素表示主体对客体的访问权限。 尽管d a c 已经在许多系统中得以实现( 如u n i x ) ，然而d a c 的一个致命弱点 是：访问权的授予是可以传递的。一旦访问权被传递出去将难以控制，访问权的管理 是相当困难的，会带来严重的安全问题；另一方面，d a c 不保护受保护的客体产生 的副本，即一个用户不能访问某一客体，但能够访问它的拷贝，这更增加了管理的难 度；而且在大型系统中主、客体的数量巨大，无论使用哪一种形式的d a c ，所带来 的系统开销都是难以支付的，效率相当低下，难以满足大型应用特别是网络应用的需 萼 2 3 2 强制访问控制l l l 强制访问控制( m a c ：m 柚d a t o r y a 。髓sc 们1 ) 源于对信息机密性的要求以及防 止特洛伊木马之类的攻击。m a c 通过无法回避的存取限制来阻止直接或间接的非法 入侵。系统中的主客体都被分配一个固定的安全属性，利用安全属性决定一个主体 是否可以访问某个客体。安全属性是强制性的，由安全管理员( s o ：s e c u r i t yo i 蕾e m ) 分配，用户或用户进程不能改变自身或其他主，客体的安全属性。 m a c 的本质是基于格的非循环单向信息流政策。系统中每个主体都被授予一个 安全证书，而每个客体被指定为一定的敏感级别。访问控制的两个关键规则是：不向 上读和不向下写，即信息流只能从低安全级向高安全级流动。任何违反非循环信息流 的行为都是被禁止的。 m a c 起初主要用于军方的应用中，并且常与d a c 结合使用，主体只有通过了 d a c 与m a c 的检查后，才能访问某个客体。由于m a c 羽客体施j j u 了更严格的访问 第二章w e b 应用集成和访问控制面向w e b 应用集成的访问控制模型设计与应用 控制，因而可以防止特洛伊木马之类的程序偷窃受保护的信息，同时m a c 对用户意 外泄漏机密信息的可能性也有预防能力。但如果用户恶意泄漏信息，则可能无能为力； 而且，由于m a c 增加了不能回避的访问限制，因而可能影响系统的灵活性；另一方 面，虽然m a c 增强了信息的机密性，但不能实施完整性控制，而一些完整性控制策 略却可以实现机密性的功能【28 】；再者网上信息更需要完整性，这影响了m a c 的网上 应用：最后，在m a c 系统中实现单向信息流的前提是系统中不存在逆向潜信遒。逆 向潜信道的存在会导致信息违反规则的流动。而现代计算机系统中这种潜信道是难以 去除的，如大量的共享存储器以及为提升硬件性能而采用的各种c a c h e 等，这给系统 增加了安全性漏洞。 2 3 3 基于角色的访问控制 网络的发展，特别是i n t r a n e t 的广泛应用使喇上信息的完整性要求超过了机密性， 而传统的d a c m a c 策略难以提供这方面的支持9 0 年代已来n i s t ( n a t i o n a li n s t i t u t e o fs t a n d a r d sa n dt e c h n o l o g y ) 提出了基于角色的访问控制( r b a c r o l e - b a s e da o o e s s c o n t r 0 1 ) 概念并广为接受。r b a c 的突出优点是简化了各种环境下的授权管理，在 r b a c 系统中，权限分配给角色，用户也分配给角色，用户通过角色决定其拥有的权 限。与用户相比角色是相对稳定的，角色实际上是与特定工作岗位相关的一个权限集， 当用户改变时只需要进行角色的撤销和重新分配即可。虽然r b a c 已经在某些系统 中得到应用( 如o r a c l e 9 i 、s q ls e r v e r 2 0 0 0 ) ，但r b a c 仍处于发展阶段，r b a c 的应 用仍是一个相当复杂的问题1 4 。 2 4 本章小结 本章首先介绍企业应用集_ f j g ( e a i ) ，介绍了e a i 中的w e b 应用集成，以及现有的 集成技术。接着介绍了本课题采用的w e b 服务技术，介绍了w e b 服务的内涵、模型 体系结构以及角色和操作的含义。最后介绍了影响最为广泛的三种访问控制策略：自 主访问控制、强制访问控制和基于角色的访问控制。其中w e b 应用集成是本课题的 应用背景，w e b 服务是技术背景，访问控制是理论背景。 面向w e b 应用集成的访问控制模型设计与应用第三章断向w e b 应用集成的访问控制模型( r b a c 4 w a ) 第三章面向w e b 应用集成的访问控制模型 3 1 基于角色的访问控制 基于角色的访问控制( r b a c ) 的基本思想是将权限指派给角色，【司时将用户也指 派给角色，用户通过角色取得相应的权限。角色起着媒介的作用，将用户和权限的对 应关系拆分成用户和角色的对应关系以及角色和权限的对应关系，它们都是多对多的 关系。 r b a c 思想中，角色和权限都是非常抽象的概念。它们应用广泛、内涵丰富，因 此，我们在讨论角色和权限的时候一定要明确具体的环境【3 】。尽管人们已经接受了 ? j b a c 的概念，但是对于p 国a c 的内涵还没有统一的认识，对于有关p , _ b a c 的术语 也没有统一的定义。归根结底，这些都是因为r b a c 缺少广泛被接受的统一的模型。 为了统一尺度，作为研究r b a c 技术的权威机构n i s t 早在1 9 9 6 年就定义了一 个包括四个概念模型的r b a c 模型家族，称之为r b a c 9 6 模型i l 】。经过几年的发展 和完普，2 0 0 1 年8 月n i s t 发表了r b a c 建议标准粥。该标准