龚艺

四川广播电视大学 四川 610073

0 引言

随着企业信息管理系统的逐渐发展，数据权限的需求日益增加，在一个企业信息管理系统里，可能涉及到多类用户，每类用户对应着不同的数据访问范围。RBAC并不能很好的满足复杂的数据权限控制的需求。本文在RBAC模型的基础之上，提出了一个加强数据权限管理的数据权限模型，满足对复杂数据权限控制的需求。

1 基于角色的权限控制模型

RBAC的核心思想是将权限与角色联系起来，在系统中根据应用的需要为不同的工作岗位创建相应的角色，同时根据用户职责指派合适的角色，用户通过指派的角色获得相应的权限，实现对文件的访问。也就是说，传统的访问控制是直接将访问主体(发出访问操作，有存取要求的主动方)和客体(被调用的程序或欲存取的数据访问)相联系，而RBAC在中间加入角色，通过角色沟通主体和客体，角色的目的就是为了隔离用户和权限。角色作为一个用户与权限的代理层，解耦了权限和用户的关系，所有的授权应该给予角色而不是直接给用户，从而实现了用户与访问权限的逻辑分离。1996年，Sandhu发布了RBAC96 的RBAC 通用模型族。文献[5]介绍了一些基于角色系统的开发框架。图1 显示了通用模型族中最通用的模型。

图1 RBAC模型

用户和角色之间是多对多的关系，一个用户可以被赋予若干角色，一个角色也可以被赋予若干个具体用户。同样,角色和权限之间也是多对多的关系，一个角色可以具有多项权限，一个权限也可以赋予多个不同的角色。……