王 宁， 钞 柯， 罗 嫔

(大连理工大学 管理科学与工程学院，辽宁 大连 116024)

0 引 言

通过某种途径限制主体访问关键数据对象客体的访问控制技术是保障信息安全的关键.当前，RBAC(role－based access control)已经成为目前最为流行的一种访问控制策略.1996年，Sandhu等提出了RBAC96和ARBAC97(administration of RBAC，基于角色的访问控制管理)访问控制模型[1]，在访问控制研究领域取得了重大的突破.其核心思想是将访问权限与角色相联系，它包含一组用户集和角色集，将角色作为一个桥梁，沟通于用户和资源之间.由于实现了用户与访问权限的逻辑分离，基于角色的策略极大地方便了权限管理[2].

但是，传统的RBAC模型控制粒度较大，对软件系统更高的数据安全要求以及系统个性化需求不能很好地适应.细粒度访问控制与粗粒度访问控制的主要不同点是:细粒度访问控制过程除了需要考虑客体的类别，还会考虑操作客体、用户主体、资源等具体实例的细节问题，并且综合上下文环境限制与时间周期性约束，从而达到属性层或者数据资源元组层的控制.然而，粗粒度的访问控制过程只考虑到客体的类别，并不区分客体具体的实例[3、4].近年来国内外学者针对访问控制中的粒度问题也有了一些研究，文献[5]通过引入组件外权限和组件内权限，把访问控制粒度细化到组件内部业务数据的操作和属性层次，以实现组件重用.文献[6]结合RBAC模型思想和大型企业信息系统的实际需求，对核心RBAC模型进行了细粒度的扩充，在……