基于PBDM划分权限的授权代理模型

基于PBDM划分权限的授权代理模型 1 1 1，2 ，，张秉阁刘淑芬韩啸 ( 1, ，130012; 2, ，130012)吉林大学 计算机科学与技术学院长春 吉林大学 学报编辑部长春 : PBDM ，PBDM-P，摘要在 授权代理模型的基础上提出一种新的授权代理模型 将角色划分 ,PBDM-P、，为常规角色私有角色和临时代理角色将权限划分为可代理权限和不可代理权限 -、-，通过划分角色和权限实现了用户用户授权代理角色角色授权代理从而有效解决了角色 ，，,名空间爆炸和空角色等问题保证了系统的安全访问使授权代理更灵活 : ; ; 关键词授权代理角色权限 TP309A1671-5489( 2012) 05-1007-04:::中图分类号文献标志码文章编号 Delegation Model Based on PBDM and Permissions Division 1 1 1，2 ZHANG Bing-ge，LIU Shu-fen，HAN Xiao ( 1, College of ComputerS cience and Technology，Jilin University，Changchun 130012，China; 2, Editorial Departmment of Journal of Jilin University，Changchun 130012，China) Abstract: The authors ntroduced a new deegaton mode based on the permsson-based deegaton modeililiilil( PBDM) , The roles are divided into three sets，which include regular roles，private roles and delegation roles, The permissions are divides into two sets，which include delegatable permissions and un-delegatable permissions, This new model supports user-to-user and role-to-role delegation， effectively avoids some problems such as name space explosion and void roles，ensures the safetyof access to the syste，mand makes the delegation more flexible, Key words: delegation; role; permission ,1, ，( roe-based access contro，RBAC) ll在计算机系统安全方面基于角色的访问控制是一种限制用,2-7,，, RBAC 户访问的方法作为一种有效的访问策略得到了广泛认可基于角色的授权代理模型是在 , ，，的基础上提出的一种委托模型该模型在分布环境中应用广泛如果采用集中授权的方法系统对用 ，，户的权限分配会非常繁重而授权代理可解决该问题授权代理的基本思想是将自己的权限或角色委 ，,托给其他用户让接受委托的用户代理执行某些任务 ,8-9, ,4,,5,,3,,3, ，，RDM2000，PBDM0，PBDM1RBDM0目前基 于 角 色的授权代理模型主 要 有 和 ,3,PBDM2, RDM2000 RBDM0 ，, PBDM 等是 模型的一种扩展支持角色层次和多步代理模型体系是支 ，PBDM0 -持角色间基于许可细粒度的委托其中 是一种粗粒度的支持用户用户的授权代理模,P BDM2 -，PBDM2 4 ，，型是一种支持角色角色的授权代理模型但 将角色划分为 类使角色名成倍增加 , PBDM PBDM-P ，并 使角色间的继承关系变得更复杂本文在 的基础上提出 模型引入了私有角色解决角 : 2011-11-07,收稿日期 : ( 1988—) ，，，，，E-mail: 723122535 @ qq, com, :作者简介张秉阁男汉族硕士研究生从事计算机协同工作的研究通讯作者 刘淑芬( 1950—) ，女，汉族，教授，博士生导师，从事计算机协同工作的研究，E-mail: liusf@ mail, jlu, edu, cn; 韩 啸( 1981—) ，男， ，，，E-mail: hanxiao@ jlu, edu, cn,汉族博士研究生从事计算机协同工作的研究 : ( : 60973041) ,基金项目国家自然科学基金批准号 , PBDM0 ，，角色用户可将需要代理的角色或权限先授权给代理角色再将代理角色授权给其他用户存 )1: ，在两个问题用户可将任意角色或权限代理给其他用户但系统可能不想让用户把一些权限委托出 ; 2)PBDM -, ，,3,PBDM1，去不支持角色角色授权与实际情况不符为了解决第一个问题文献提出了 , PBDM1 PBDM0 、, 模型模型在 的基础上将角色分为常规角色可代理角色和代理角色其中常规角色 ，，不可以代理给其他用户可代理角色可代理给其他用户代理角色作为用户想代理给其他用户的权限 ，, PBDM1 , PBDM2 -集合这样系统即可限制用户代理权限的范围也不支持角色角色授权将可代理角 ，，色分为固定可代理角色和临时可代理角色临时可代理角色用于接受其他用户代理给本用户的角色 ，,临时可代理角色不支持角色层次而常规角色和固定可代理角色支持角色继承层次 PBDM -，虽然 模型体系解决了代理权限的范围和角色角色授权问题但存在严重的角色名空间爆 ，，炸问题如一个用户大部分权限都是可代理的或不可代理的导致常规角色或可代理角色都是空角 , ，色另一方面由系统管理员将可代理权限和不可代理权限对用户的分配又加重了系统管理员的负 , ，PBDM ，( 担为了解决上述问题本文在 的基础上做出改进提出私有角色在角色层次中不支持继承关 ) , 系和划分权限为可代理权限与不可代理权限划分权限的优点是对可代理权限和不可代理权限进行 ，,集中管理增加了代理的安全性 2 PBDM-P 模型 PBDM-P 1 ,模型的体系结构如图 所示 2, 1( ) : ;U模型的基本元素 用户用户的集合 ( RR) : ，，常规角色一组权限的集合代 表 关于同志近三年现实表现材料材料类招标技术评分表图表与交易pdf视力表打印pdf用图表说话 pdf 一种职责 ; 在 角色层次中存在继承关 系临 时 代 理 角 色 ( DTR) :，一组可代理权限的集合当用户产生授权 ，DTR，需求时建立 将需要授权的权限授予临时 DTR; ( PR) : ， 私有角色私有角色不存在继承关系 ，因此可把临时代理角色代理给私有角色从而消除 ，无效的权限流问题私有角色与常规角色一一对 ，; 应私有角色的用户集和常规角色的用户集相同 ( DP) : 可代理权限权限中可代理给其他用户或角 ; ( UDP) : 色的权限集不可代理权限权限中不可以 , 代理给其他用户或角色的权限集各元素关系如 PBDM-P 1 图 模型的体系结构:下 Fig, 1 Architecture of PBDM-P model R = RRPRDTR，P = DPUDP，RRPR = ，RRDTR = ，PRDTR = ，DPUDP = ??????? ， UARU ×R R，UAP U ×P R，UAD U ×D TR，UA UAR UAP UAD，PAR P ×R R，PAP ? ? P ×P R，PADDP ×D TR，PAPARPAPPAD，RRHRR ×R R，DHDTR ×D TR( ??临时代理角色上 ) ，RHRRHH,D的继承属于单用户? , 22模型函数 U userr( r) : _RR2 ，r ;表示常规角色 对应的用户集合 ?user_p( r) : U PR，; 2 表示私有角色对应的用户集合?own_p( r) : PRRR，; 表示与私有角色一一对应的常规角色? rrRR prPR，pr = own_p( rr) user_p( pr) = user_r( rr) ， ??表示对于所有用户都要分配一个 ，;与常规角色相对应的私有角色即私有角色的用户集与常规角色的用户集一一对应 P permissions_r( r) : R R2 ，permissions_r( r) = { p: P rr( r，p) PAR} ''????表示一个常规角色对 permissions( u) = ( r) ( rTRermissions_d( r) ) ( r) ( rRRermissions_r( r) ) Dpp???? ?? ( r) ( rPRermissions_p( r) ) ; p?表示一个用户所有权限的集合? permissions_cand( u) = permissions( u) DP ;表示一个用户拥有权限中能代理出去的权限集合? permissionscannotd( u) = permissions( u) UDP ;_?表示一个用户拥有权限中不能代理出去的权限集合 ( r) ( rTRermissions_d( r) UDP)Dp= ，DTR ，? ?表示用户建立的临时代理角色其中的权限? ;与不可代理权限的交集一定是空集 ( r) ( rTRermissionsd( r) ) DP，Dp_?表示用户能够代理的权限集合是可代理权限集合的一 ? ;个子集 ermissionscandDBR = p_: can_delegateDBR ×P re_condition ×P _range ×M , : 代理执行的判定其中 ( u) ; Pre_condition ，表示可代理权限的集合表示委托的先决条件用户想要委托出去的权限必须是系统 ; PrangeR ; M ( _中可代理权限的一个子集表示委托范围表示最大代理深度在代理过程中允许向其 ) ,他用户代理的路径深度 2, 3模型的实施和撤销 2, 3, 1 -UA p1，RB UD，用户用户权限代理 假设用户 想代理其权限 并将其下层角色 代理给用户 其 RA RD RB，RD RB RC，2 ,,、1中 继承于 和 和 继承于 如图 所示用户角色及其权限关系列于表 --1 表 用户角色权限关系 Tabe 1 Reatonshp of Use-Roes-Pemssons lliirlrii 用户 角色可代理权限不可代理权限 UA p1，p2p3RA，RA' p4，p5 RB，RB' UB RC，RC' p6 p7，UC p3，p4RD，RD' p8 UD :授权过程如下 1);UA D1 用户 创建临时代理角色 2 图 角色继承层次2) p1 ，-因为 是可代理权限因此可通过权限 Fig, 2 Role and role hierarchy 系统可通过代理判定自动判断用户所要 p1 D1，-RB D1;角色分配将 授予 再通过角色角色分配将 授予 ，;代理的权限是否属于可代理权限集合若不属于则代理失败 3)UA -D1 UD,用户 通过角色用户分配将 分配给 2, 3, 2 -，-,角色角色权限代理 为了保证系统安全性角色角色的授权代理需要在管理员监督下完成 RA p1 RB RD，:假设常规角色 想要将其权限 和下层角色 代理给角色 则授权代理过程如下 1);D2创建临时代理角色 -p1 D2，-RB D2，D2 p1，p4，p5; 2) 通过权限角色分配将 授予给 再通过角色角色分配将 授予 获得权限 通3) -D2 RD'，RD' ，D2 过角色角色代理将 分配给 因为 没有在角色的继承关系中所以不会将 代 ,理给下层角色 , 3, 3, ,2代理撤销 代理撤销是授权代理的重要过程本文考虑以下几种撤销方式 ; 1) 用户可撤销代理角色中一种或几种权限用 ;2) 户也可随时撤销代理给某个用户的角色 : ，; 3) 超时撤销可为每次授权设置一个生命周期生命周期结束时代理自动撤销 : ，,4) 管理员撤销如果管理员发现权限的代理违法则有权撤销代理 ，PBDM-P PBDM :综上可见与 的主要区别如下 ;3 ，PBDM 将角色分为 层角色名比 少 3)PBDM ，，PBDM-P 中可能存在大量的空角色为解决该问题将权限划分为可代理权限和不可代 ，,理权限两类使权限的代理集中管理 ，, PBDM-P 权限的代理具有一致性即对于某个权限不会因为用户的不同而代理性不同虽然 减少 ，, PBDM-P PBDM 了角色冗余但也存在缺点即权限代理性的确定减弱了其灵活性与 的比较结果列于 2,表 2PBDM PBDM-P 表 与 特征比较 Table 2 Features of PBDM and PBDM-P PBDM0PBDM1PBDM2PBDM-P特 征 支持部分角色代理是是是是支持角色层次关系 支持是 是 是 是 是 否 是 --是 用户用户代理 支持角色 否 是 是 角色代理 支持多步代理 否 是 是 是 是否可能产生大量空角色 是 是 是 否 / 角色名空间 个 否 N 2N 3N 2N PBDM-P PBDM ，PBDM ，模型在 模型的基础上进一步将权限划分有效避免了 模型的缺点使该模 ，，型更符合实际系统中对访问控制的要求在授权代理方面也更合理可应用于对访问控制要求较高的 ,系统中 参 考 文 献 ,1 ,Sandhu R S，Coyne E J，Feinstein H L，et al, Role-Based AccessC ontrol Models ,J,, IEEE Computer，1996，29( 2) :38-47, Barka E S，Sandhu R, Framework for Role-Based Delegation Model ,C,/ / Proceedings of the 16th Annual Computer ,2 , Security Applications Conference, Washington DC: IEEE Computer Society，2000: 168-176, ZHANG Xin-wen，Oh S，Sandhu R, PBDM: A Flexible Delegation Model in RBAC ,C,/ / Proceeding of the 8th ,3 ,Symposium on Access Control Models and Technologies, New York: ACM Press，2003: 149-157, Barka E，Sandhu R, A Roe-Based Deegaton Mode and Some Extensons ,C,/ / Proceedng of 23rd Natona lliliiil ,4 ,Information SystemsS ecurity Conference, Baltimore: ,s, n, ,，2000: 101-114, ZHANG Long-hua，Ahn G J，Chu B T, A Rule-Based Framework for Role-Based Delegation ,C,/ / Proceedings of the ,5 ,6th ACM Symposium on Access Control Models and Technologies, New York: ACM Press，2001: 153-162, Sandhu ，Ferraoo D，Kuhn , The ST ode for oeBased Access Contro: Towards a nfed Standard, C,/ / RilRNIMlRl-lUiiProceedings of 5th ACM Workshop on Role-Based Access Control, New York: ACM，2000: 47-63, ,6 , ZHANG Jian，SUN Ji-gui，LI Ni-ya，et al, Weighted-Role Based Privilege Delegation Model for Workflow ,J,, Journal of Jilin University: Engineering and Technology Edition，2009，39( 4) : 105 7-1063, ( ，，，张健孙吉贵李妮娅 ,7 ,, ,J,, : ，2009，39( 4) : 105 7-1063, )等工作流中一个基于加权角色的权限代理模型 吉林大学学报工学版 SUN Wei-qun，SHAN Bao-hua，ZHANG Cheng，et al, A Role-Based Delegation Access Control Model for Virtual ,8 , Organization in Service Grid ,J,, Chinese Journal of Computers，2006，29( 7) : 119 9-1208, ( ，，，孙为群单保华张程 , ,J,, ，2006，29( 7) : 119 9-1208, )等一种基于角色代理的服务网格虚拟组织访问控制模型 计算机学报 DONG Guang-yu，QING Si-han，LIU Ke-long, Role-Based Authorization Constraint with Time Character, J,, Journal of ,9 , Software，2002，13( 8) : 152 1-1527,( , ,J,, ，，，董光宇卿斯汉刘克龙带时间特性的角色授权约束 软件学报2002，13( 8) : 152 1-1527, ) ( : )责任编辑韩 啸