基于角色訪問控制的公積金業(yè)務系統(tǒng)權限管理

龍璨

摘 要：基于傳統(tǒng)RBAC模型的概念，提出一種住房公積金業(yè)務系統(tǒng)的權限擴展模型，并闡述了此模型的概念、原則、數(shù)據(jù)庫設計以及在業(yè)務系統(tǒng)中實現(xiàn)的具體方法。該模型根據(jù)公積金實際組織機構引入部門這一對象，通過對部門、角色、用戶、權限等的分析，得出一種適應徐州市公積金業(yè)務系統(tǒng)的權限管理方法。

關鍵詞：角色訪問控制；權限管理；擴展模型；公積金；業(yè)務系統(tǒng)

訪問控制技術是保障系統(tǒng)安全的核心技術之一，通過對用戶訪問權限的合理規(guī)劃和分配，實現(xiàn)合法用戶對系統(tǒng)資源的安全訪問和對非授權行為的有效阻止。傳統(tǒng)的訪問控制模型有自主訪問控制和強制訪問控制模型。隨著應用系統(tǒng)的不斷發(fā)展，如何降低權限管理的復雜性和管理成本，增強權限配置的靈活性成為一個重要課題，這為權限管理提出了更高的要求?；诮巧L問控制的權限管理（Role-Based Access Control，簡稱RBAC）通過引入角色的概念，實現(xiàn)了用戶與訪問許可的邏輯分離，在權限管理方面顯示出更大的優(yōu)勢，是當前較為有效的權限訪問控制方法。

1 基于角色的訪問控制簡介

1.1 基本概念

基于角色的訪問控制（Role-Based Access Control），簡稱RBAC。在RBAC中，權限與角色相關聯(lián)，用戶通過成為適當角色的成員而得到這些角色的權限。在一個組織中，角色是為了完成各種工作而創(chuàng)造，用戶則依據(jù)它的責任和資格來被指派相應的角色，用戶可以很容易地從一個角色被指派到另一個角色。角色可依新的需求和系統(tǒng)的合并而賦予新的權限，而權限也可根據(jù)需要而從某角色中回收。

RBAC認為權限授權實際上是Who、What、How的問題。在RBAC模型中描述了“Who對What（Which）進行How的操作”，即權限的擁有者對操作的對象或資源進行具體的操作。

在業(yè)務系統(tǒng)權限管理中，一個用戶可以擁有若干角色，一個角色擁有若干權限，用戶通過角色賦予的權限，針對不同的操作的對象可以進行具體操作。這樣就構成了“用戶-角色-權限”的授權模型，其中用戶和角色之間，角色和權限之間都是多對多的關系（如圖1）。

1.2 RBAC模型安全三原則

1.2.1 最小權限原則

最小權限原則是系統(tǒng)安全中最基本的原則之一。最小權限指的是在完成某種操作時所賦予系統(tǒng)中每個用戶必不可少的特權。限定系統(tǒng)中每個用戶所必須的最小特權，能夠有效確?？赡艿倪`規(guī)操作、錯誤等給系統(tǒng)造成的損失達到最小。例如，貸款初審和復審都可以對貸款受理情況進行查詢，但此功能并非角色的必要權限，則將查詢權限設定在貸款業(yè)務統(tǒng)計角色中。

1.2.2 責任分離原則

職責分離是指遵循不相容職責相分離的原則，實現(xiàn)合理的組織分工。例如貸款業(yè)務的初審（主要完成貸款資格校驗、受理和材料錄入等）和復審（對貸款資格、貸款額度、貸款材料的復驗等），不應該由一個人擔任。

所謂不相容職責是指系統(tǒng)里某些相互關聯(lián)的職責，如果集中于一個人身上，就會大大增加差錯和舞弊的可能性，對業(yè)務的規(guī)范性、公平性造成威脅，給稽核部門的工作帶來更大的難度。通常對于以下一些不相容的職責必須進行分離：歸提貸業(yè)務完整流程中的逐級審批、開發(fā)商準入流程中的各級審批等。

1.2.3 數(shù)據(jù)抽象原則

數(shù)據(jù)抽象可以通過權限的抽象來體現(xiàn)，系統(tǒng)中提取業(yè)務的材料錄入即為抽象權限，而不用操作系統(tǒng)提供的典型的讀、寫、執(zhí)行權限。

2 基于角色訪問控制的系統(tǒng)權限管理設計

2.1 系統(tǒng)權限設計思路

目前，徐州市公積金內部人員結構的特點是部門眾多，權限復雜。不同部門的人員具有不同的權限，相同部門的人員之間也有不同的權限。而權限又細分為數(shù)據(jù)權限和功能權限，數(shù)據(jù)權限指的是用戶能在系統(tǒng)里看到什么，一是指對業(yè)務類型的操作權限，如業(yè)務類型細分為歸集、提取、貸款等，銀行歸集人員只擁有對歸集數(shù)據(jù)的操作權限，綜合柜員擁有對提取和貸款數(shù)據(jù)的操作權限；二是指訪問數(shù)據(jù)的可見范圍，例如貸款處人員具有全徐州市的數(shù)據(jù)權限，可以對全徐州市的貸款信息進行訪問；而管理部貸款科長只有本管理部的數(shù)據(jù)權限，其他管理部或營業(yè)部的貸款信息對其不可見。功能權限指的是用戶能在系統(tǒng)里做什么，如銀行歸集人員可以在繳存基數(shù)調整模塊對個人繳存基數(shù)進行查詢、修改、增加的操作。

2.2 RBAC模型擴展

根據(jù)中心實際情況，系統(tǒng)對RBAC模型進行了擴展，引入部門這一對象，通過部門-用戶、部門-角色、角色-用戶的關系，抽象出部門-角色-用戶的關系圖。角色的設置主要是對權限的設置，具體權限的設置包含菜單、頁面按鈕和可操作文件等幾大方面，對不同模塊的功能做出約束。RBAC權限模型的擴展模型的設計圖如下：

3 基于角色訪問控制的系統(tǒng)權限管理應用

公積金業(yè)務系統(tǒng)在系統(tǒng)權限管理方面，遵循以下操作步驟：（1）在系統(tǒng)內完善組織機構圖，設立部門；（2）根據(jù)業(yè)務處室劃分的具體權限設置崗位（系統(tǒng)中設立的崗位即為模型中的角色，下同），主要通過對具體菜單、頁面元素等的選擇完成；（3）根據(jù)具體部門的職能，將崗位分設于部門下；（4）建立新用戶時，選定部門，并從部門崗位范圍中定崗，同時設置數(shù)據(jù)權限，完成新用戶的添加。

參考文獻

[1]范小康，何連躍，王曉川，等.一種基于RBAC模型的角色管理方法[J].計算機研究與發(fā)展，2012，（S1）：211-215.

[2]董永峰，陸軍，劉建波，等.改進的RBAC模型在信息服務平臺上的應用[J].計算機應用與軟件，2012，（5）：99-103.

[3]熊厚仁，陳性元，杜學繪，等.RBAC中職責分離策略的一致性分析與判定方法[J].小型微型計算機系統(tǒng)，2016，（5）：1084-1090.

[4]趙衛(wèi)東，畢曉清，盧新明.基于角色的細粒度訪問控制模型的設計與實現(xiàn)[J].計算機工程與設計，2013，（2）：474-479.

[5]吳波，王晶.基于基本RBAC模型的權限管理框架的設計與實現(xiàn)[J].計算機系統(tǒng)應用，2011，（4）：50-54.

（作者單位：徐州市住房公積金管理中心）