互联网技术培训访问控制模型

  　　在线辅导　面授招生　考试大纲　指定教材　报名时间

9.2.1 访问控制模型

1985年美国军方提出可信计算机系统评估准则（TCSEC)，其中描述了两种访问控制策略：自主访问控制模型（DAC)和强制访问控制模型（MAC)。1992年，Ferraiolo和Kuhn又提出了基于角色的访问控制（RBAC),后来，又出现了基于任务和基于对象的访问控制模型。

1.自主访问控制横型

自主访问控制模型（DiscretionaryAccessControlModel,DACModel)是根据自主访问控制策略建立的一种模型，允许合法用户以用户或用户组的身份访问策略规定的客体，同时阻止非授权用户访问客体，某些用户还可以自主地把自己所拥有的客体的访问权限授予其他用户。Linux,UNIX,WindowsNT或是Server版本的操作系统都提供自主访问控制的功能。

在实现上，首先要对用户的身份进行鉴别，然后可以按照访问控制列表所陚予用户的权限允许和限制用户使用客体的资源。

2.强制访问控制横型

强制访问控制模型（MandatoryAccessControlModel,MACModel)是一种比DAC更为严格的访问控制策略。和DAC模型不同，MAC是一种多级访问控制策略。

MAC通过分级的安全标签实现信息的单向流通，具体模型有：Bell-LaPadula模型和Biba模型。Bell-LaPadula模型具有只允许向下读、向上写的特点，可以有效地防止机密信息向下级泄露：Biba模型则具有不允许向下读、向上写的特点，可以有效地保护数据的完整性。

3.基于角色的访问控制模型

基于角色的访问控制模型（Role-basedAccessModel,RBACModel)的基本思想是将访问许可权分配给一定的角色，用户通过饰演不同的角色获得角色所拥有的访问许可权。

RBAC从控制主体的角度出发，根据管理中相对稳定的职权和责任来划分角色，将访问权限与角色相联系。角色成为访问控制中访问主体和受控对象之间的一座桥梁。

角色可以看做是一组操作的集合，不同的角色具有不同的操作集，这呰操作集由系统管理员分配给角色。

4.基于任务的访问控制横型

上述几个访问控制模型都是从系统的角度出发去保护资源,没有考虑执行的上下文环境，也不能记录主体对客体权限的使用，限制使用时间。如果为了完成一个任务而频繁变动角色，改变访问对象，使用这些模型就非常不便。因此，引入工作流概念和基于任务的访问控制模型（Task-basedAccessControlModel,TBACModel)。工作流是为完成某一目标而由多个相关的任务（活动）构成的业务流程。当数据在工作流中流动时，执行操作的用户在改变，用户的权限也在改变。

TBAC从应用和企业层角度来解决安全问题，以面向任务的观点，从任务（活动）的角度来建立安全模型和实现安全机制，在任务处理的过程中提供动态实时的安全管理。

在TBAC中，对象的访问权限控制随着执行任务的上下文环境发生变化，不仅可以对不同工作流实行不同的访问控制策略，而且还能对同一工作流的不同任务实例实行不同的访问控制策略。从这个意义上说.TBAC是基于任务的，是一种基于实例（instance-based)的访问控制模型。

5.基于对象的访问控制横型

当用户数锇多、处理的信息数据量巨大时，用户权限的管理任务将变得十分繁重，应用DAC或MAC模型进行访问控制显然就不够了。如果采用RBAC模型，安全管理员除了维护用户和角色的关联关系外，还需要将庞大的信息资源访问权限陚予有限个角色。当信息资源的种类增加或减少，受控对象的厉性发生变化，安全管理员必须随时更新所有角色的访问权限，增加新的角色。而访问控制需求变化往往是不可预知的，这样，访问控制管理的难度和工作量巨大。针对这种情况，引入了基于受控对象的访问控制模型（Object-basedAccessControlModel,OBACModel)。

OBAC模型针对数据差异变化和用户需求变化，从受控对象的角度出发，将访问主体的访问权限直接与受控对象相关联，定义了对象的访问控制列表，增、删、修改访问控制项等，当受控对象的属性发生改变，或者受控对象发生继承和派生行为时，无需更新访问主体的权限，只需要修改受控对象的相应访问控制项即可，从而减少了访问主体的权限管理，降低了授权数据管理的复染性。

返回目录：通信工程师互联网技术培训网络安全汇总

编辑相关推荐：

互联网技术考试局域网和城域网汇总

通信工程师考试培训互联网技术重点汇总

通信工程师互联网技术考试网络操作系统

通信工程师考试培训互联网交换技术教程