摘要：權(quán)限管理系統(tǒng)是應(yīng)用系統(tǒng)中不可缺少的一個部分，構(gòu)建一個通用的、安全的、易于管理的權(quán)限管理系統(tǒng)，是十分必要的。本文論述了一種基于.NET Framework 2.0架構(gòu)的多層次結(jié)構(gòu)，它是一個基于RBAC模型的權(quán)限管理系統(tǒng)，但對RBAC模型進(jìn)行了相應(yīng)的改進(jìn)，更加符合現(xiàn)實的需求。

關(guān)鍵詞：RBAC；權(quán)限管理；角色；訪問控制

中圖分類號：TP311.52 文獻(xiàn)標(biāo)識碼：A 文章編號：1007—9599 （2012） 14—0000—02

一、引言

權(quán)限管理系統(tǒng)是應(yīng)用系統(tǒng)中不可缺少的一部分，因此，構(gòu)建一個健壯的權(quán)限管理系統(tǒng)，以確保系統(tǒng)的安全性是不容忽視的問題。同時，權(quán)限管理系統(tǒng)模塊的重復(fù)開發(fā)率很高，一般情況下，不同的應(yīng)用系統(tǒng)都擁有一套自己的權(quán)限管理系統(tǒng)。這樣，各套權(quán)限管理系統(tǒng)在數(shù)據(jù)存儲、權(quán)限訪問和權(quán)限控制機(jī)制等方面都只能滿足自身的權(quán)限管理需要。但是，不同的系統(tǒng)都可能涉及到相同的權(quán)限需求，例如用戶對資源的訪問權(quán)限以及對資源進(jìn)行操作的權(quán)限等。因此，構(gòu)建出一個通用、安全、易于管理的、有良好可擴(kuò)展性的權(quán)限管理系統(tǒng)，是十分緊迫的任務(wù)。

本文論述了一種基于角色的訪問控制（Role—Based Access Control）的權(quán)限管理系統(tǒng)模型，系統(tǒng)采用基于.NET Framework 2.0架構(gòu)的多層架構(gòu)，并討論了應(yīng)用系統(tǒng)如何實現(xiàn)權(quán)限的訪問和控制。

二、基于角色的訪問控制——RBAC

基于角色的訪問控制RBAC（Role—Based Access Control）是美國NIST（National Institute of Standards and Technology）于20世紀(jì)90年代初提出的一種新的訪問控制技術(shù)。傳統(tǒng)的自主訪問控制和強(qiáng)訪問控制，都是將用戶于權(quán)限直接聯(lián)系在一起，而在基于角色的訪問控制中，引入了角色這一概念，實現(xiàn)了邏輯上對用戶與權(quán)限的分離，從而降低了管理開銷，減小了授權(quán)管理的復(fù)雜性，并增加了系統(tǒng)的靈活性。

（一） RBAC基本概念

基本的RBAC有五個基本的數(shù)據(jù)元素：用戶users、角色roles、目標(biāo)objects、操作operations、許可權(quán)permissions。它們之間的關(guān)系如下：用戶被分配一定角色，角色被分配一定許可權(quán)，當(dāng)某個角色被指定給某個用戶時，該用戶就擁有了此角色包含的所有權(quán)限。用戶與激活的角色集合之間的映射稱為會話（sessions），用戶在一次會話中激活所屬角色的一個子集，獲得一組許可權(quán)，對目標(biāo)進(jìn)行操作。

（二）擴(kuò)展的RBAC模型

在現(xiàn)實情況中，不同職位的人員、不同部門的人員都具有不同的權(quán)限；系統(tǒng)管理員可以操作所有的數(shù)據(jù)，部門用戶只能操作自己所在的、或者是自己所管轄的幾個部門內(nèi)的數(shù)據(jù)；此外，不同的人員即使操作同樣的功能，由于所在的部門不同其擁有的權(quán)限也不相同?？傊?，系統(tǒng)中可能有很多的角色，這樣系統(tǒng)也會因此變得非常的復(fù)雜。

根據(jù)上述的實際需求，我們改進(jìn)了RBAC基本模型，引入了部門這一對象，將角色和部門組合成功能，再通過用戶和角色、用戶和部門的關(guān)系，抽象出用戶與功能的關(guān)系。這樣，權(quán)限的管理就劃分成了部門級的權(quán)限管理。即在一定的服務(wù)、數(shù)據(jù)共享的前提下，允許一個高級別的用戶訪問和操作低級別部門的數(shù)據(jù)，但不允許一個部門的用戶訪問和操作另外一個同級別或更高級別的部門數(shù)據(jù)。當(dāng)用戶—角色—功能授權(quán)與部門—功能授權(quán)兩條路徑發(fā)生重疊時，系統(tǒng)將按照取并集的規(guī)則進(jìn)行管理，使之更有效地實現(xiàn)訪問控制的功能，提升系統(tǒng)的安全性能。

擴(kuò)展的RBAC模型如圖1。

三、整體結(jié)構(gòu)設(shè)計

整體結(jié)構(gòu)采用了.NET Framework 2.0的架構(gòu)。 .NET Framework 2.0采用了先進(jìn)的軟件體系架構(gòu)集成思想和多層分布式的應(yīng)用模型，它基于組件并且能重用組件，能統(tǒng)一完全模型、靈活的事務(wù)處理控制。在需要的時候，可以無縫連接Windows Server 2003的Active Directory，從而通過Active Directory直接管理用戶的帳戶。整體結(jié)構(gòu)的設(shè)計在邏輯上可分為以下四層。

（1）表現(xiàn)層：進(jìn)行人機(jī)交互?？墒褂脩敉ㄟ^web瀏覽器訪問，用戶所做的各種輸入及后臺返回的所有信息都通過表現(xiàn)層呈現(xiàn)給用戶。表現(xiàn)層可通過ASP.NET的Web Forms來實現(xiàn)。

（2）業(yè)務(wù)層：主要負(fù)責(zé)提供業(yè)務(wù)服務(wù)，集中了系統(tǒng)業(yè)務(wù)處理，包括業(yè)務(wù)數(shù)據(jù)和業(yè)務(wù)邏輯。

（3）數(shù)據(jù)訪問層：對數(shù)據(jù)的訪問和處理在該層中進(jìn)行，如數(shù)據(jù)的查找、增加、修改和刪除等。

（4）數(shù)據(jù)層：對數(shù)據(jù)的存儲、組織和管理在該層中進(jìn)行?？捎肧QL Server 2000或SQL Server 2005 來實現(xiàn)。整體結(jié)構(gòu)設(shè)計圖如圖2。

四、基于RBAC的權(quán)限管理系統(tǒng)設(shè)計

（一）功能模塊的設(shè)計

主要設(shè)計為4個功能模塊，各模塊的說明如下：

1.身份認(rèn)證模塊。用戶身份的識別和認(rèn)證，用于識別訪問者的身份，采用密碼機(jī)制，用戶可以登錄系統(tǒng)，只有當(dāng)他/她可以輸入正確的密碼、用戶名和驗證碼時才能登陸。驗證碼是系統(tǒng)程序自動生成一個圖片混合的隨機(jī)字母和數(shù)字的字符串，用戶通過視覺識別，輸入驗證碼，系統(tǒng)驗證成功后方能進(jìn)入系統(tǒng)。在另一方面，通過用戶表中的唯一標(biāo)識符——用戶ID，來確定每個用戶的合法配置。

2.用戶管理模塊。包括用戶的增加、刪除、更改，用戶的注冊，登錄，密碼修改，密碼找回，用戶信息獲取，以及當(dāng)前用戶狀態(tài)獲取，帳號的啟用和停止等。

3.角色管理模塊。對角色的添加、刪除、修改等進(jìn)行操作。

4.訪問控制接口。在用戶界面，監(jiān)察授權(quán)和控制訪問的范圍是非常重要的。其過程為：用戶登陸系統(tǒng)，建立了一個會話，并在會話中激活他被授權(quán)的角色的一個子集，用戶獲得與他在會話激活的角色相關(guān)聯(lián)的所有權(quán)限。圖3說明了授權(quán)處理的流程。

（二）核心對象模型設(shè)計

依據(jù)RBAC擴(kuò)展模型的原理，建立權(quán)限管理實體關(guān)系模型圖，模型如圖4。通過以上的對應(yīng)關(guān)系，可找到一個用戶到權(quán)限的映射，從而達(dá)到訪問控制的目的。

（三）數(shù)據(jù)庫設(shè)計

權(quán)限管理涉及的表有八類，說明如下：

1.用戶信息表：主要是描述用戶信息，隨用戶的添加與刪除動態(tài)變化；

2.部門信息表：定義部門及其屬性，隨用戶的添加與刪除動態(tài)變化；

3.角色信息表：定義、存儲系統(tǒng)角色的角色集，隨角色的添加與刪除動態(tài)變化；

4.模塊表：系統(tǒng)的欄目；

5.功能表：系統(tǒng)的功能實體；

6.人員角色表：角色與用戶間的關(guān)系；

7.角色部門表：角色與部門間的關(guān)系。

8.角色功能表：角色擁有的功能；

五、結(jié)束語

本文論述了一種基于RBAC模型的權(quán)限管理系統(tǒng)的設(shè)計方案，并結(jié)合實際對RBAC模型進(jìn)行了相應(yīng)的改進(jìn)，更加符合現(xiàn)實的需求。改進(jìn)的RBAC權(quán)限管理系統(tǒng)，在權(quán)限配置的靈活性、安全性和穩(wěn)定性方面均有所提高。權(quán)限控制模塊的重用性好，可以方便地再其它系統(tǒng)中使用。模型的可擴(kuò)展性強(qiáng)，可將新功能集成到權(quán)限控制系統(tǒng)，也便于維護(hù)。但是該系統(tǒng)對角色、功能的繼承和職責(zé)分離等方面未做系統(tǒng)的研究，還有待加強(qiáng)。

參考文獻(xiàn)：

[1]王純，龔向陽.信息安全原理與應(yīng)用[M].清華大學(xué)出版社，2003，7

[2]洪帆.訪問控制概論[M].華中科技大學(xué)出版社，2010，8

[3]寧葵.訪問控制安全技術(shù)及應(yīng)用[M].電子工業(yè)出版社，2005，10

[4]陳繼南，姜瑩，孔祥榮.基于角色的Web信息系統(tǒng)權(quán)限管理方法[J].武漢理工大學(xué)學(xué)報.信息與管理工程版，2008，30（2）：265—268