姜良军，王自亮，单俊明

（中国移动通信集团山东有限公司，济南 250001）

网元操作权限自动回收方法研究

姜良军，王自亮，单俊明

（中国移动通信集团山东有限公司，济南 250001）

传统用户权限管理缺乏灵活性，未对所分配权限进行闭环验证，从而易出现用户权限过大的情况。本文基于用户操作日志及网元操作权限分析，提出一种网元操作权限自动调整方案。利用本方案，实现了对用户操作网元所需权限的客观评估，并可自动回收不必要的高级权限，对于减少高危指令误操作及重点网元操作权限被滥用造成的网络安全事故具有重大的现实意义。

RBAC；权限管理；日志分析

1 概述

随着IT系统的普及，用户权限管理的模型和对象也变得越来越复杂。在权限安全管理方面，目前流行的访问控制模型主要有自主访问控制模型（DAC）、强制访问控制模型（MAC）和基于角色的访问控制模型（RBAC）。自主访问控制模型允许合法用户以用户或用户组的身份访问控制策略规定的客体，阻止非授权用户访问客体。强制访问控制模型为客体设置一定的安全级别，对主体授予一定的权限级别决定该主体可访问何级别的资源。基于角色的访问控制模型通过引入角色对用户权限进行解耦，简化了授权和安全管理，根据用户的责任和资格来指派相应的角色。

现阶段，对网元操作权限的授权，通常采取“常规角色权限+临时申请权限”相结合的方式进行管理。如图1所示。

图1 传统的网元操作权限管理方式