實(shí)現(xiàn)細(xì)粒度訪(fǎng)問(wèn)控制的元模型研究

王 寧， 鈔 柯， 羅 嬪

(大連理工大學(xué) 管理科學(xué)與工程學(xué)院，遼寧 大連 116024)

0 引 言

通過(guò)某種途徑限制主體訪(fǎng)問(wèn)關(guān)鍵數(shù)據(jù)對(duì)象客體的訪(fǎng)問(wèn)控制技術(shù)是保障信息安全的關(guān)鍵.當(dāng)前，RBAC(role－based access control)已經(jīng)成為目前最為流行的一種訪(fǎng)問(wèn)控制策略.1996年，Sandhu等提出了RBAC96和ARBAC97(administration of RBAC，基于角色的訪(fǎng)問(wèn)控制管理)訪(fǎng)問(wèn)控制模型[1]，在訪(fǎng)問(wèn)控制研究領(lǐng)域取得了重大的突破.其核心思想是將訪(fǎng)問(wèn)權(quán)限與角色相聯(lián)系，它包含一組用戶(hù)集和角色集，將角色作為一個(gè)橋梁，溝通于用戶(hù)和資源之間.由于實(shí)現(xiàn)了用戶(hù)與訪(fǎng)問(wèn)權(quán)限的邏輯分離，基于角色的策略極大地方便了權(quán)限管理[2].

但是，傳統(tǒng)的RBAC模型控制粒度較大，對(duì)軟件系統(tǒng)更高的數(shù)據(jù)安全要求以及系統(tǒng)個(gè)性化需求不能很好地適應(yīng).細(xì)粒度訪(fǎng)問(wèn)控制與粗粒度訪(fǎng)問(wèn)控制的主要不同點(diǎn)是:細(xì)粒度訪(fǎng)問(wèn)控制過(guò)程除了需要考慮客體的類(lèi)別，還會(huì)考慮操作客體、用戶(hù)主體、資源等具體實(shí)例的細(xì)節(jié)問(wèn)題，并且綜合上下文環(huán)境限制與時(shí)間周期性約束，從而達(dá)到屬性層或者數(shù)據(jù)資源元組層的控制.然而，粗粒度的訪(fǎng)問(wèn)控制過(guò)程只考慮到客體的類(lèi)別，并不區(qū)分客體具體的實(shí)例[3、4].近年來(lái)國(guó)內(nèi)外學(xué)者針對(duì)訪(fǎng)問(wèn)控制中的粒度問(wèn)題也有了一些研究，文獻(xiàn)[5]通過(guò)引入組件外權(quán)限和組件內(nèi)權(quán)限，把訪(fǎng)問(wèn)控制粒度細(xì)化到組件內(nèi)部業(yè)務(wù)數(shù)據(jù)的操作和屬性層次，以實(shí)現(xiàn)組件重用.文獻(xiàn)[6]結(jié)合RBAC模型思想和大型企業(yè)信息系統(tǒng)的實(shí)際需求，對(duì)核心RBAC模型進(jìn)行了細(xì)粒度的擴(kuò)充，在單位、功能、數(shù)據(jù)等多個(gè)維度對(duì)模型進(jìn)行了細(xì)化，實(shí)現(xiàn)了大型信息系統(tǒng)的多級(jí)管理員體系，使得系統(tǒng)的功能及數(shù)據(jù)的控制更加靈活.文獻(xiàn)[7]從 Web實(shí)現(xiàn)方面對(duì)訪(fǎng)問(wèn)控制的細(xì)粒度問(wèn)題進(jìn)行了研究.這些針對(duì)訪(fǎng)問(wèn)控制中粒度的研究主要集中在某些環(huán)境下的具體實(shí)現(xiàn)上，還缺乏訪(fǎng)問(wèn)控制元模型方面的研究，而如何有效地劃分、描述、控制訪(fǎng)問(wèn)控制粒度，進(jìn)而達(dá)到細(xì)粒度的訪(fǎng)問(wèn)控制，即用戶(hù)對(duì)信息系統(tǒng)中具體的操作功能權(quán)限或者每一個(gè)被管理的對(duì)象進(jìn)行控制，將對(duì)訪(fǎng)問(wèn)控制的管理優(yōu)化具有重大意義，這也正是目前相關(guān)組織機(jī)構(gòu)對(duì)訪(fǎng)問(wèn)控制更深層次的要求[8、9].

細(xì)致全面地考慮操作權(quán)限所涉及的數(shù)據(jù)對(duì)象和操作客體之間的相互作用，以及二者之間的約束條件，是系統(tǒng)實(shí)現(xiàn)細(xì)粒度訪(fǎng)問(wèn)控制的關(guān)鍵所在.本文將從上述兩方面的關(guān)鍵點(diǎn)來(lái)分別構(gòu)建數(shù)據(jù)對(duì)象和操作客體的細(xì)粒度元模型，把數(shù)據(jù)對(duì)象資源歸納為一組概念以及概念間的聯(lián)系，抽象出數(shù)據(jù)對(duì)象與操作客體的不同粒度以及粒度關(guān)聯(lián)的元數(shù)據(jù)統(tǒng)一描述模型.并且在粒度細(xì)化的元模型基礎(chǔ)上，按照粗細(xì)粒度訪(fǎng)問(wèn)控制的具體實(shí)際要求，定義數(shù)據(jù)對(duì)象與操作客體的歸并規(guī)則，為之后的功能權(quán)限集的構(gòu)成、角色定義以及之間的層次關(guān)系確定提供依據(jù)，從而制定優(yōu)化的訪(fǎng)問(wèn)控制策略.

1 元模型的建立

元數(shù)據(jù)是信息資源管理和共享服務(wù)的基礎(chǔ)，可以將其理解為數(shù)據(jù)的數(shù)據(jù)，為描述某一類(lèi)別資源屬性，提供關(guān)于數(shù)據(jù)對(duì)象定位、管理和精確檢索服務(wù)的結(jié)構(gòu)化數(shù)據(jù)[10].為了更好地解決信息系統(tǒng)研發(fā)過(guò)程中的異構(gòu)現(xiàn)象，并且達(dá)到業(yè)務(wù)協(xié)同、信息系統(tǒng)共享以及應(yīng)用集成的目標(biāo)，需要建立元數(shù)據(jù)模型，在更高層面上定義元數(shù)據(jù)的數(shù)據(jù)結(jié)構(gòu)、設(shè)計(jì)方法、格式、語(yǔ)義規(guī)則、語(yǔ)法規(guī)則、功能等內(nèi)容[11].訪(fǎng)問(wèn)控制粒度的元模型則是用來(lái)描述訪(fǎng)問(wèn)控制粒度的數(shù)據(jù)模型[12].

1.1 信息資源的細(xì)粒度元模型

從當(dāng)前的政務(wù)信息系統(tǒng)來(lái)看，政務(wù)相關(guān)的信息資源主要包括兩個(gè)部分:政府服務(wù)資源與文本資源，主要分布在政府部門(mén)的文件系統(tǒng)、單、表、賬、業(yè)務(wù)數(shù)據(jù)庫(kù)、網(wǎng)頁(yè)等數(shù)字化空間，大部分來(lái)自報(bào)表審批、公文流轉(zhuǎn)等環(huán)節(jié).

在現(xiàn)實(shí)的信息系統(tǒng)中，用戶(hù)主體對(duì)不同的數(shù)據(jù)對(duì)象客體具有不同粒度的操作級(jí)別.數(shù)據(jù)對(duì)象，即信息資源，其粒度的粗細(xì)程度，是由政務(wù)系統(tǒng)服務(wù)的具體要求決定的，有以下幾種粒度劃分方法.

基于數(shù)據(jù)內(nèi)容劃分粒度:例如一個(gè)數(shù)據(jù)庫(kù)存儲(chǔ)了某個(gè)市級(jí)項(xiàng)目申報(bào)的具體情況，如果是用戶(hù)自己申報(bào)的項(xiàng)目，那么針對(duì)該項(xiàng)目的各相關(guān)信息，用戶(hù)都擁有查看與修改的權(quán)限；如果是其他用戶(hù)申報(bào)的項(xiàng)目，用戶(hù)就只擁有瀏覽項(xiàng)目名稱(chēng)、申報(bào)人等項(xiàng)目簡(jiǎn)介信息的權(quán)限.但是如果該用戶(hù)的身份是審批者，那么就擁有查閱所有申報(bào)人的項(xiàng)目細(xì)則權(quán)限，并且可以進(jìn)行審批批示，流轉(zhuǎn)至下一位審批者.此外，用戶(hù)有權(quán)關(guān)注的數(shù)據(jù)對(duì)象相異，例如財(cái)務(wù)人員處理公文流轉(zhuǎn)相關(guān)的事項(xiàng)很少.

基于時(shí)間周期劃分粒度:例如公文流轉(zhuǎn)事項(xiàng)，一份公文只在某一規(guī)定的時(shí)間內(nèi)有效，在該時(shí)間段之外，相關(guān)責(zé)任者查看或者批示該公文的權(quán)限則被收回；再如，財(cái)務(wù)相關(guān)人員在每個(gè)季度以及會(huì)計(jì)年度的規(guī)定日期編寫(xiě)會(huì)計(jì)報(bào)表，其相應(yīng)的查看權(quán)限也會(huì)受限.

基于上下文環(huán)境劃分粒度:以采購(gòu)部門(mén)為例，采購(gòu)人員首先要獲取各部門(mén)提交的已通過(guò)審批的采購(gòu)申請(qǐng)，然后才能編制采購(gòu)清單；再如，公文流轉(zhuǎn)過(guò)程中，A負(fù)責(zé)人先對(duì)其進(jìn)行審批，之后才會(huì)流轉(zhuǎn)到B負(fù)責(zé)人手中.

因此，訪(fǎng)問(wèn)控制模型需要對(duì)數(shù)據(jù)對(duì)象的控制粒度進(jìn)一步細(xì)化，為用戶(hù)提供設(shè)置詳細(xì)的數(shù)據(jù)屬性的具體方法，并且充分考慮數(shù)據(jù)對(duì)象的屬性特性，如數(shù)據(jù)時(shí)間周期、數(shù)據(jù)內(nèi)容以及數(shù)據(jù)類(lèi)型等.

與以上數(shù)據(jù)信息資源有關(guān)的元數(shù)據(jù)都是通過(guò)“實(shí)體－關(guān)系－屬性”這一面向?qū)ο笕M的形式來(lái)表示的，以此為基礎(chǔ)來(lái)建立數(shù)據(jù)對(duì)象的細(xì)粒度模型.用于描述數(shù)據(jù)自身的元數(shù)據(jù)就是這個(gè)三元組中的“屬性”，它主要包括一些與數(shù)據(jù)本身相關(guān)的信息，諸如時(shí)間周期、標(biāo)識(shí)信息、發(fā)布信息、生成時(shí)間、質(zhì)量信息之類(lèi)的現(xiàn)有元數(shù)據(jù)標(biāo)準(zhǔn).用于描述數(shù)據(jù)間關(guān)聯(lián)的元數(shù)據(jù)就是三元組中的“關(guān)系”，可以將其理解為通過(guò)怎樣的關(guān)系將各個(gè)數(shù)據(jù)集構(gòu)成一個(gè)有機(jī)整體，這種關(guān)系包括組成關(guān)系、從屬關(guān)系等.圖1為數(shù)據(jù)對(duì)象的細(xì)粒度元模型.

圖1 數(shù)據(jù)對(duì)象的細(xì)粒度元模型Fig.1 Fine－granularity meta－model about data object

這里可以把圖1中的數(shù)據(jù)對(duì)象的細(xì)粒度元模型(ISMM)抽象成為一個(gè)六元組:

OBE表示資源對(duì)象元模型實(shí)體集，obe＿id、obe＿name為其相應(yīng)的用來(lái)區(qū)分?jǐn)?shù)據(jù)對(duì)象元數(shù)據(jù)的標(biāo)識(shí).

MS(management set)是管理信息集，AS(abstract set)是摘要信息集，SS(security set)則為安全限制集，三者構(gòu)成了三大類(lèi)屬性集合.

MS表示基本信息管理屬性集合，例如標(biāo)識(shí)(sign)、資源類(lèi)型(datatype)、資源負(fù)責(zé)方(principle)、資源存儲(chǔ)形式(storage)和時(shí)間期限(beginday，endday).ms∈MS，ms＝ 〈sign，datatype，principle，storage，beginday，endday〉.

AS表示摘要信息相關(guān)的屬性集合.例如關(guān)鍵字說(shuō)明(keywords)、主題(theme)、描述信息(describInformation)等.as∈AS，as＝〈keywords，theme，describInformation〉.

SS表示安全限制分級(jí)和其他限制信息.諸如信息的使用范圍 (useRange)、元數(shù)據(jù)的安全等級(jí)(securityGrade)、信息的使用人員(users)、上下文環(huán)境限制(context)、互斥信息(mutexInfo)等都可以用SS來(lái)標(biāo)識(shí).ss∈SS，ss＝〈useRange，securityGrade，users，context，mutexInfo〉.

OBOS表示數(shù)據(jù)對(duì)象的本體信息集，OBOS可以明確定義出信息資源領(lǐng)域內(nèi)認(rèn)同的相關(guān)詞匯術(shù)語(yǔ)以及詞匯間的關(guān)系，因而信息語(yǔ)義的異構(gòu)問(wèn)題能得以很好的解決.OBOS主要包括三類(lèi)本體信息:安全信息本體、摘要信息本體、管理信息本體，它從本體的內(nèi)部屬性以及屬性之間的關(guān)聯(lián)兩方面來(lái)加以描述.

數(shù)據(jù)對(duì)象實(shí)體間以及屬性間的關(guān)聯(lián)可以通過(guò)OBR來(lái)描述.obr∈OBR，可以表示為obr(c1，c2)，c1，c2∈OBE，比如實(shí)體資源c1和c2是互斥關(guān)系，表示為obr(互斥)(c1，c2).

1.2 操作客體的細(xì)粒度元模型

在操作客體層面，需要將訪(fǎng)問(wèn)控制策略中關(guān)于功能操作權(quán)限的控制粒度加以細(xì)化，針對(duì)不同的系統(tǒng)功能，用戶(hù)可以為其設(shè)置相異級(jí)別的操作權(quán)限.為了真正體現(xiàn)用戶(hù)在信息系統(tǒng)中擁有的功能權(quán)限差異性，將每個(gè)角色的操作權(quán)限進(jìn)一步細(xì)化.

操作級(jí)別是操作客體粒度細(xì)化的主要方面，不同操作級(jí)別之間的關(guān)系不容忽視，例如同一數(shù)據(jù)對(duì)象是否能夠同時(shí)賦予兩個(gè)或者兩個(gè)以上的操作級(jí)別.針對(duì)不同的數(shù)據(jù)對(duì)象，操作級(jí)別的細(xì)化也有所不同:

針對(duì)財(cái)務(wù)記錄，與財(cái)務(wù)報(bào)表編制相關(guān)的操作級(jí)別有借、貸、創(chuàng)建、刪除賬戶(hù)等.

針對(duì)數(shù)據(jù)庫(kù)表記錄，諸如薪酬管理、用戶(hù)管理等模塊的數(shù)據(jù)維護(hù)，有插入、刪除、修改記錄等操作級(jí)別.

針對(duì)一般公文、文檔，操作級(jí)別主要包括修改、刪除、執(zhí)行、查看等.

總之，無(wú)論是哪種數(shù)據(jù)對(duì)象，都可以總結(jié)出5種操作級(jí)別:增、刪、改、查、禁用.操作客體的細(xì)粒度元模型表示如圖2所示.

圖2 操作客體的細(xì)粒度元模型Fig.2 Fine－granularity meta－model about operation object

現(xiàn)將圖2所示的操作客體的細(xì)粒度元模型(OOMM)抽象為一個(gè)四元組:

OPE用來(lái)描述操作客體細(xì)粒度元模型實(shí)體集，opeId、opeName為相應(yīng)的用來(lái)區(qū)分操作客體元數(shù)據(jù)的標(biāo)識(shí).

OPLS用來(lái)描述操作級(jí)別集，包括增(add)、刪 (delete)、改 (modify)、查 (query)、禁 用(disabled)5種操作級(jí)別.可表示為OPLS＝〈add，delete，modify，query，disabled〉.

OPOS用來(lái)描述包括操作級(jí)別本體和管理信息本體在內(nèi)的操作客體本體信息集，刻畫(huà)屬性信息以及各個(gè)定義間的關(guān)系是它的重點(diǎn)之一.

OPR用來(lái)描述操作客體以及屬性之間的關(guān)系.opr∈OPR，可以表示為opr(a1，a2)，a1，a2∈OPLS，比如操作級(jí)別查詢(xún)a1和禁用a2是互不相容的關(guān)系，表示為opr(互斥)(a1，a2).

2 粒度歸并規(guī)則

2.1 數(shù)據(jù)對(duì)象歸并

數(shù)據(jù)對(duì)象的狀態(tài)、屬性、內(nèi)部關(guān)聯(lián)和約束關(guān)系在數(shù)據(jù)對(duì)象的細(xì)粒度元模型中都被綜合考慮了，數(shù)據(jù)對(duì)象能夠被細(xì)化到數(shù)據(jù)庫(kù)中單條記錄級(jí)別或者目錄級(jí)別，從屬性層或者元組級(jí)別層對(duì)數(shù)據(jù)項(xiàng)進(jìn)行控制，或者將其歸并為報(bào)表、文檔級(jí)別，通過(guò)粗粒度控制整個(gè)數(shù)據(jù)表或者文件.

一些元組級(jí)別信息資源的細(xì)粒度應(yīng)當(dāng)根據(jù)具體的工作情況加以控制，如果粒度太細(xì)，或者這些對(duì)應(yīng)資源更加適合粗粒度控制，都會(huì)在一定程度上造成系統(tǒng)冗余.因此，為了提高系統(tǒng)工作效率，同時(shí)又能達(dá)到用戶(hù)要求的細(xì)粒度訪(fǎng)問(wèn)控制，可以把數(shù)據(jù)對(duì)象歸并到一個(gè)適應(yīng)現(xiàn)實(shí)需求的粒度范圍.

以數(shù)據(jù)對(duì)象的細(xì)粒度元模型標(biāo)準(zhǔn)作為依據(jù)，每個(gè)數(shù)據(jù)實(shí)體通過(guò)信息資源的屬性以及關(guān)聯(lián)關(guān)系進(jìn)行描述，形成數(shù)據(jù)對(duì)象集的基礎(chǔ)粒度，并且根據(jù)某一具體的標(biāo)準(zhǔn)將其歸并為數(shù)據(jù)對(duì)象的個(gè)體(OB).數(shù)據(jù)對(duì)象的安全分級(jí)、存儲(chǔ)形式等屬性都是粒度歸并方法需要參考的因素.本體中的粒度計(jì)算標(biāo)準(zhǔn)與概念分類(lèi)是數(shù)據(jù)對(duì)象歸并規(guī)則的制定依據(jù)，首先對(duì)信息粒進(jìn)行定義，描述其形成，接著制定規(guī)則把信息粒歸并為數(shù)據(jù)操作對(duì)象.表示如下:

g(i)用來(lái)表示數(shù)據(jù)對(duì)象的基礎(chǔ)粒度，把數(shù)據(jù)對(duì)象細(xì)粒度元模型中的管理信息集、摘要信息集、安全限制集分別賦予每一個(gè)實(shí)體概念，那么數(shù)據(jù)對(duì)象的基礎(chǔ)粒度與單個(gè)實(shí)體相對(duì)應(yīng).

其中WT用來(lái)表示信息粒的權(quán)重，其賦值函數(shù)為F，α、β、γ為函數(shù)的賦值因子，分別表示安全限制分級(jí)(secRank)、關(guān)鍵字(keywords)、數(shù)據(jù)類(lèi)型(datatype)；sim(g(i)，g(j))用 來(lái) 描 述 信 息 粒g(i) 與g(j) 的 相 似 度；d(WT[g(i)]，WT[g(j)])表示g(i)與g(j)的距離，通過(guò)權(quán)重與麥考斯基距離獲?。皇前凑站唧w情況設(shè)置的動(dòng)態(tài)因子.

通過(guò)以上方式能夠獲取對(duì)應(yīng)的相似度值，如果指標(biāo)范圍是確定的，計(jì)算所得相似度在該范圍以?xún)?nèi)，則將其歸并到同一數(shù)據(jù)對(duì)象個(gè)體(obs(i))中；否則不予歸并.那么數(shù)據(jù)對(duì)象集可以用如下形式表示:

2.2 操作客體歸并

參照操作客體細(xì)粒度元模型標(biāo)準(zhǔn)，操作客體與操作級(jí)別相對(duì)應(yīng)，操作客體集則是由操作級(jí)別中各元素遵循一定的組合方式歸并而形成的，表示如下:

這里，n表示操作級(jí)別集OPLS中包含n個(gè)元素，m表示歸并之后的元素個(gè)數(shù).操作級(jí)別的元素組合子集有2n－1個(gè)，不滿(mǎn)足實(shí)際具體情況的元素組合個(gè)數(shù)為η，那么二者之差即為m的值.例如:禁用操作級(jí)別與修改操作級(jí)別的組合就不滿(mǎn)足實(shí)際情況.

所以，操作客體集表示如下:

3 基于控制粒度的權(quán)限－角色指派

操作客體與數(shù)據(jù)對(duì)象是權(quán)限的兩個(gè)重要元素，上文提出的細(xì)粒度元模型從這兩個(gè)層面實(shí)現(xiàn)了權(quán)限的細(xì)化.在把權(quán)限合理地分配給相應(yīng)的角色過(guò)程中，為了更加清晰地界定角色，更好地與現(xiàn)實(shí)應(yīng)用條件銜接，可以增加兩個(gè)中間過(guò)渡層次:功能權(quán)限集(Function)和功能菜單(Menu)，從而實(shí)現(xiàn)對(duì)信息資源的細(xì)粒度訪(fǎng)問(wèn)控制，為權(quán)限完美授權(quán)路線(xiàn)提供支持.權(quán)限－角色分配流程如圖3所示.

3.1 功能權(quán)限集

操作客體集(OPS)和數(shù)據(jù)對(duì)象集(OBS)的互操作組合成權(quán)限集(P).權(quán)限就是對(duì)數(shù)據(jù)對(duì)象的操作許可，例如對(duì)財(cái)務(wù)報(bào)表的操作、公文的審批和工資單的計(jì)算匯總等.以圖4采購(gòu)為例，有對(duì)下個(gè)季度的部門(mén)采購(gòu)計(jì)劃表的增刪改查，對(duì)當(dāng)月采購(gòu)單的執(zhí)行、狀態(tài)處理等權(quán)限.這些都是細(xì)化的基礎(chǔ)權(quán)限，表示如下:

圖4 協(xié)同辦公系統(tǒng)中訪(fǎng)問(wèn)控制管理的角色指派界面Fig.4 The page of permission－role of access control management in cooperation office system

功能權(quán)限集可以理解為基礎(chǔ)權(quán)限的集合，它描述的是政府部門(mén)在現(xiàn)實(shí)工作中實(shí)現(xiàn)某個(gè)具體功能所需要的權(quán)限集合，一個(gè)功能權(quán)限對(duì)應(yīng)多個(gè)基礎(chǔ)權(quán)限.例如非定期采購(gòu)計(jì)劃編制作為一個(gè)功能權(quán)限，它包含了預(yù)算控制、審核臨時(shí)購(gòu)買(mǎi)清單、修改采購(gòu)計(jì)劃等多個(gè)基礎(chǔ)權(quán)限.這里把功能權(quán)限定義為一個(gè)四元組:

功能權(quán)限通過(guò)FID來(lái)標(biāo)識(shí)，操作級(jí)別的映射用OPS來(lái)描述，OBS則描述了數(shù)據(jù)對(duì)象的映射，諸如時(shí)間周期、上下文環(huán)境、安全級(jí)別等從數(shù)據(jù)對(duì)象屬性中抽象出來(lái)的相關(guān)限制條件可以用RTR來(lái)描述.針對(duì)相異的數(shù)據(jù)對(duì)象以及相異的現(xiàn)實(shí)環(huán)境設(shè)置，其限制條件也會(huì)有所不同.

3.2 角色界定

在實(shí)際應(yīng)用系統(tǒng)中，功能菜單與功能權(quán)限集中的元素相對(duì)應(yīng)，根據(jù)不同的應(yīng)用情況，功能菜單所具有的功能權(quán)限大小與權(quán)限范圍也會(huì)有所不同.通常情況下，參照相應(yīng)的工作任務(wù)對(duì)功能菜單進(jìn)行設(shè)置.例如圖4中，采購(gòu)工作包含了發(fā)票校驗(yàn)、采購(gòu)訂單、采購(gòu)計(jì)劃這3個(gè)功能菜單.

功能菜單組合又與角色相對(duì)應(yīng).在功能菜單－角色指派過(guò)程中，必須遵循安全級(jí)別限制原則、互斥權(quán)限原則、最小特權(quán)等分配原則.根據(jù)粒度控制與業(yè)務(wù)的要求，能夠把一個(gè)功能菜單分配給一個(gè)角色，也能夠把多個(gè)功能菜單的組合指派給一個(gè)角色.例如圖4中，將3個(gè)功能菜單組合指派給了采購(gòu)角色.

指派函數(shù)表示為

與傳統(tǒng)RBAC模型相比，本文將角色定義為一組權(quán)限的集合，淡化角色的組織概念，按照粒度優(yōu)化原則，從操作客體與數(shù)據(jù)對(duì)象的粒度層面來(lái)分析，角色的界定通過(guò)細(xì)化的功能權(quán)限集與功能菜單集來(lái)實(shí)現(xiàn)，進(jìn)而實(shí)現(xiàn)組織崗位與角色的相互指派.在傳統(tǒng)的訪(fǎng)問(wèn)控制模型中，角色直接與崗位相對(duì)等，容易與組織機(jī)構(gòu)產(chǎn)生沖突，而本文提出的模型正可以解決該問(wèn)題，一旦崗位職能改變，只需為其指派其他細(xì)化的角色，這樣既可以統(tǒng)一管理，又方便操作，更能適應(yīng)現(xiàn)有的需求.

基于上述模型和方法，在作者參與開(kāi)發(fā)的沈陽(yáng)市和平區(qū)協(xié)同辦公系統(tǒng)中，應(yīng)用了訪(fǎng)問(wèn)控制細(xì)粒度元模型，建立了信息資源與操作客體的元數(shù)據(jù)庫(kù)，進(jìn)行了數(shù)據(jù)對(duì)象與操作客體的歸并，實(shí)現(xiàn)了細(xì)粒度的訪(fǎng)問(wèn)控制，并取得了良好的應(yīng)用效果.

4 結(jié) 語(yǔ)

針對(duì)基于角色的訪(fǎng)問(wèn)控制模型，從權(quán)限的數(shù)據(jù)對(duì)象和操作客體兩個(gè)維度建立了細(xì)粒度元模型，根據(jù)一定的規(guī)則進(jìn)行粒度粗細(xì)的歸并控制后，兩者相互作用組合成功能權(quán)限集，由此構(gòu)成功能菜單的組成部分，為角色的界定和層次劃分提供參照標(biāo)準(zhǔn)，根據(jù)實(shí)際需要的設(shè)置，可以達(dá)到數(shù)據(jù)元組級(jí)別或?qū)傩约?jí)別的細(xì)粒度訪(fǎng)問(wèn)控制，使得系統(tǒng)的功能和數(shù)據(jù)的控制更加靈活，便于角色的管理，一方面達(dá)到信息安全訪(fǎng)問(wèn)的保障，另一方面為用戶(hù)提供多方位的細(xì)粒度訪(fǎng)問(wèn)途徑.本研究可以為實(shí)際應(yīng)用系統(tǒng)開(kāi)發(fā)的訪(fǎng)問(wèn)控制策略制定提供方法上的借鑒.對(duì)于模型中的數(shù)據(jù)對(duì)象粒度歸并規(guī)則，需要進(jìn)一步研究?jī)?yōu)化的粒度計(jì)算模型，在現(xiàn)實(shí)應(yīng)用中，如果數(shù)據(jù)對(duì)象與操作客體的粒度越細(xì)、數(shù)目越多，那么系統(tǒng)就會(huì)更加頻繁地調(diào)用訪(fǎng)問(wèn)控制決策模塊進(jìn)行權(quán)限的判定，這就需要更快的響應(yīng)速度，所以粒度歸并的優(yōu)化和權(quán)限的最優(yōu)設(shè)置仍是下一步研究的重點(diǎn).

[1]SANDHU R S，COYNE E J，F(xiàn)EINSTEIN H L，etal.Role－based access control models [J].IEEE Computer，1996，29(2):38－47

[2]OH S，BYUN C，PARK S.An organizational structure－based administration model for decentralized access control[J].Journal of Information Science and Engineering，2006，22(6):1465－1483

[3]FERBER J，GUTKNECHT O.A meta－model for the analysis and design of organizations in multi－agent systems[C]／／Proceedings of the 3rd International Conference on Multi Agent Systems.Washington D C:IEEE Computer Society，1998

[4]SCHOINAS I，F(xiàn)ALSAFI B，LEBECK A R.Finegrain Access Control for Distributed Shared Memory[M].California:ACM，1994

[5]廖 爾.細(xì)粒度角色訪(fǎng)問(wèn)控制模型及其應(yīng)用[J].河北省科學(xué)院學(xué)報(bào)，2009，26(3):55－58

[6]司 煒，曾廣周，盛 琦，等.RBAC模型的細(xì)粒度擴(kuò)充及應(yīng)用[J].計(jì)算機(jī)科學(xué)，2006，33(4):277－279

[7]朱佃波.Web信息系統(tǒng)中統(tǒng)一細(xì)粒度訪(fǎng)問(wèn)控制的研究[D].蘇州:蘇州大學(xué)，2008

[8]廖俊國(guó)，洪 帆，肖海軍，等.細(xì)粒度的基于角色的訪(fǎng)問(wèn)控制模型[J].計(jì)算機(jī)工程與應(yīng)用，2007，43(34):138－140

[9]趙 遐，懷進(jìn)鵬.基于XML的多粒度訪(fǎng)問(wèn)控制系統(tǒng)[J].計(jì)算機(jī)工程與應(yīng)用，2002，38(21):155－159

[10]黃宏斌，張維明，鄧 蘇，等.面向語(yǔ)義信息共享的元數(shù)據(jù)模型的研究與實(shí)現(xiàn)[J].計(jì)算機(jī)科學(xué)，2008，35(4):124－128

[11]高國(guó)偉，王延章.政務(wù)信息資源目錄體系中的政府組織元模型研究[J].情報(bào)雜志，2008(6):151－154

[12]韓志揚(yáng).企業(yè)計(jì)算環(huán)境下細(xì)粒度訪(fǎng)問(wèn)控制模型XFGAC研究[D].青島:山東科技大學(xué)，2006