王静宇 崔永娇

(内蒙古科技大学信息工程学院 内蒙古 包头 014010)

0 引 言

在访问控制系统中，基于角色的访问控制(Role-based Access Control, RBAC)具有安全、灵活和高效等优势，是目前应用研究最广泛的访问控制模型。访问控制是为用户分配一组权限，允许用户去访问系统中的某些资源，RBAC则是通过角色将权限组织在不同的集合中，并将角色分配给用户。由于角色的数量远远小于权限的数量，因此在企业中使用RBAC系统能够有效降低系统管理复杂度，提高管理效率。定义角色以及分配用户的过程称为角色工程[1]，主要有自上而下和自下而上两种方法。自下而上是专家通过分析和分解企业的业务流程来构造角色，但是当企业中用户和权限的数量变得非常大时，使用该方法构建RBAC系统则变得费时费力，不再适用。因此，根据已有的用户权限分配关系采用自动化或半自动化构造角色的自下而上的方法应运而生，这种方法又称为角色挖掘，现已成为角色工程领域研究的主要方向[2]。此外，为了更好地配置RBAC系统，还需满足各种具有约束的策略，例如：基数、先决条件和职责分离(Separation of Duty，SoD)。基数约束是指角色可拥有的用户或权限数有限，权限可分配的角色数以及用户可拥有的角色数有限。SoD是防止欺诈、保证计算机访问安全的重要约束，通常是指对于给定的k和n，至少有k个用户才用完成所给定的包含n个权限的任务。SoD是在权限方面约束用户集，但在RBAC中通常使用静态互斥角色(Statically Mutually Exclusive Roles，SMER)约束来实现。……