復(fù)雜時(shí)空約束條件下基于角色的轉(zhuǎn)授權(quán)模型研究

彭 友，鞠 航，王延章

（1.大連理工大學(xué) 信息技術(shù)與決策支持研究所，遼寧 大連 116024；2.哈爾濱工程大學(xué) 經(jīng)濟(jì)管理學(xué)院，黑龍江 哈爾濱 150001）

0 引 言

基于角色的訪問控制（role－based access control，RBAC）模型的出現(xiàn)，一方面改善了傳統(tǒng)訪問控制模型的任意性和強(qiáng)制性，另一方面為解決分布式環(huán)境下的訪問控制問題提供了便利.轉(zhuǎn)授權(quán)技術(shù)正是建立在RBAC 模型的基礎(chǔ)上，用以解決用戶間權(quán)限再分配的問題的.國(guó)外關(guān)于轉(zhuǎn)授權(quán)模型的研究起步較早，主要包括Sandhu 等提出的與角色管理者相關(guān)聯(lián)的ARBAC97模型［1］，Barka等提出的允許通過角色實(shí)現(xiàn)用戶－用戶轉(zhuǎn)授權(quán)操作的RBDM0 模型［2］，Zhang等提出的通過定義基于規(guī)則的聲明性語(yǔ)言來執(zhí)行轉(zhuǎn)授權(quán)操作的RDM2000模型［3］，以及目前得到廣泛應(yīng)用的PBDM 模型.國(guó)內(nèi)主要研究成果包括王小明等提出的一種支持身份認(rèn)證的動(dòng)態(tài)角色委托代理授權(quán)模型［4］；趙慶松等提出的基于重復(fù)和部分角色的轉(zhuǎn)授權(quán)模型RPRDM［5］；孫波等提出的具有時(shí)限約束的TRDM 模型［6］；李黎等提出的一種基于代理的角色代理模型ARDM［7］；張少敏等提出的具有時(shí)間約束的基于角色的授權(quán)管理模型［8］.

通過對(duì)大量信息系統(tǒng)的開發(fā)和實(shí)施過程進(jìn)行深入分析，可以發(fā)現(xiàn)在轉(zhuǎn)授權(quán)處理過程中會(huì)存在如下約束情況：（1）轉(zhuǎn)授權(quán)過程由于對(duì)權(quán)限可控性和系統(tǒng)安全性等方面考慮，會(huì)被限制在一個(gè)特定的有效時(shí)限內(nèi)，因此具有很強(qiáng)的時(shí)限約束特征；（2）轉(zhuǎn)授權(quán)過程具有一定的突發(fā)性和不可控性，但是一個(gè)安全的信息系統(tǒng)資源的使用是有其上限閾值的，超過了資源上限的轉(zhuǎn)授權(quán)操作是被禁止的，因此具有很強(qiáng)的資源約束特征；（3）轉(zhuǎn)授權(quán)過程中會(huì)產(chǎn)生多種類型的互斥事件，針對(duì)互斥事件在同一時(shí)刻發(fā)生的情況，本文稱其為互斥約束.例如，事件E1：deassignrtou2（系統(tǒng)撤銷用戶u2的角色r）和事件E2：u2delegatertou3（用戶u2將角色r授權(quán)給用戶u3）同時(shí)發(fā)生時(shí)系統(tǒng)應(yīng)該如何處理的情況即為互斥約束.國(guó)內(nèi)外一些學(xué)者也考慮到了時(shí)限約束問題，如文獻(xiàn)［6］和［8］，但是，對(duì)于資源約束和互斥約束的情況，則沒有過多的關(guān)注.作者在實(shí)際系統(tǒng)的開發(fā)和實(shí)施中發(fā)現(xiàn)，這3種約束是相互影響且不可分割的，單方面考慮時(shí)限約束情況不能解決轉(zhuǎn)授權(quán)業(yè)務(wù)中所遇到的種種問題.因此本文綜合考慮復(fù)雜時(shí)空約束條件對(duì)轉(zhuǎn)授權(quán)處理流程的影響，并給出在復(fù)雜時(shí)空約束條件下基于角色的轉(zhuǎn)授權(quán)模型的處理機(jī)制和詳細(xì)算法流程.本文的研究工作雖然是從轉(zhuǎn)授權(quán)過程出發(fā)的，但是系統(tǒng)中的一般授權(quán)過程同樣會(huì)受到上述約束的影響，跳出一般授權(quán)而單獨(dú)討論轉(zhuǎn)授權(quán)過程是毫無意義的，因此同樣會(huì)涉及復(fù)雜時(shí)空約束對(duì)一般授權(quán)過程的影響.

1 復(fù)雜時(shí)空約束特征分析及處理流程

1.1 時(shí)限約束特征分析

時(shí)限約束是授權(quán)過程需要面對(duì)的首要問題，可以看出其會(huì)發(fā)生在系統(tǒng)中涉及授權(quán)的各個(gè)環(huán)節(jié)，即會(huì)體現(xiàn)在用戶－角色－權(quán)限三者之間的授權(quán)、轉(zhuǎn)授權(quán)過程中，也會(huì)對(duì)資源約束、互斥約束產(chǎn)生影響.所有的指派和授權(quán)在時(shí)限有效的范圍內(nèi)生效，但是一旦超過時(shí)限范圍，系統(tǒng)必須自動(dòng)撤銷相應(yīng)的指派和授權(quán)行為.在實(shí)際系統(tǒng)中，時(shí)限約束通常表現(xiàn)為一定的時(shí)間區(qū)間或者一個(gè)固定的時(shí)間周期，比如某工作人員甲的崗位授權(quán)時(shí)間為｛［8：00－17：00］，（周一，周二，周三，周四，周五）｝，這里時(shí)限約束表現(xiàn)為一個(gè)固定的時(shí)間周期.而如果甲某在時(shí)間區(qū)間｛［10：00－11：00］，2010／10／16｝被轉(zhuǎn)授權(quán)得到乙某的部分權(quán)限，則此時(shí)時(shí)限約束表現(xiàn)為一個(gè)具體的時(shí)間區(qū)間.本文首先給出時(shí)限約束的相關(guān)定義.

定義1 時(shí)間區(qū)間.T＝｛t0，t1，…｝為離散時(shí)間軸上所有時(shí)間點(diǎn)的無限集合，本文稱離散時(shí)間軸tb開始到td結(jié)束的所有時(shí)間點(diǎn)的集合［tb，td］為時(shí)間區(qū)間，一般的形式化表示形式為［begin，end］.

定義2 時(shí)間周期.設(shè)給定公歷時(shí)間C1，C2，…，Cn，Cd，時(shí)間周期的表示形式p定義為p＝其中O1＝all，Oi∈2N∪｛all｝，CiCi－1，i＝2，…，n，CdCn代表時(shí)間周期的長(zhǎng)度單位，可以是年、月、日、小時(shí)、分鐘等，x∈N代表時(shí)間周期的長(zhǎng)度.符號(hào)用來分隔左邊表示時(shí)間區(qū)間和右邊表示時(shí)間周期的兩部分［9］.

定義3 時(shí)限約束的表現(xiàn)形式：CONT＝為時(shí)間區(qū)間，D、Dx為時(shí)間周期，時(shí)限約束是針對(duì)事件E提出的，E是授權(quán)過程中發(fā)生的任意事件.如表1所示，將時(shí)限約束條件下的事件E表示為CONST1＝（CONTE，E）.

1.2 時(shí)限約束下基于角色的轉(zhuǎn)授權(quán)模型

基于角色的轉(zhuǎn)授權(quán)模型由四元組（USR，ROL，PER，SESS）組成，各元素分別為下列基本集合：USR，用戶集合；ROL，角色集合；PER，權(quán)限集合；SESS，會(huì)話集合.加入時(shí)限約束后基于角色的轉(zhuǎn)授權(quán)模型基本元素如定義4所示.

表1 時(shí)限約束條件下不同事件的CONST1形式化表示Tab.1 The time－constraint expressions of CONST1 of different events

定義4

（1）UAOTUSR×ROL×CONT，在時(shí)限約束條件下的用戶與初始角色之間的多對(duì)多映射關(guān)系；

（2）RLPRTROL×PER×CONT，在時(shí)限約束條件下的權(quán)限與角色之間的多對(duì)多映射關(guān)系；

（3）UADTUSR×ROL×CONT，在時(shí)限約束條件下的用戶與被轉(zhuǎn)授角色之間的多對(duì)多映射關(guān)系；

（4）UA＝UAOT∪UADT∈USR×ROL×CONT，在時(shí)限約束條件下用戶到角色的多對(duì)多指派關(guān)系；

（5）USR－O（rol，t）＝（（u，r′，cont）∈UAOT）∩（t∈cont）｝，在時(shí)刻t具有初始角色rol的所有用戶的集合；

（6）USR－D（rol，t）＝｛u（-r′≥r）（（u，r′，cont）∈UADT）∩（t∈cont）｝，在時(shí)刻t具有被轉(zhuǎn)授權(quán)角色rol的所有用戶的集合；

（7）USR（rol，t）＝［USR－O（rol，cont）∪USR－D（rol，cont）］∩（t∈cont），在時(shí)刻t具有同一個(gè)角色rol的所有用戶的集合；

（8）USR：S→U，user（si，t）＝ring），（ued，r′），cont｝∈si∩（t∈cont）｝，在時(shí)刻t時(shí)會(huì)話si所具有的所有用戶；

（9）rol：S→2R，rol（si，t）＝［ua＝｛（uing，ring），（user（si，t），r′），cont｝∈UA∩（t∈cont）］｝，在時(shí)刻t時(shí)會(huì)話si所具有的所有角色.

1.3 資源約束特征分析及處理流程

在實(shí)際的業(yè)務(wù)系統(tǒng)中，轉(zhuǎn)授權(quán)的發(fā)起通常是由正常因素外的某種突發(fā)因素引起的，比如某用戶的缺席或者某一個(gè)緊急項(xiàng)目的啟動(dòng)，具有很強(qiáng)的突發(fā)性和不可預(yù)測(cè)性，這就客觀造成了系統(tǒng)中資源使用的不可控.但是任何信息系統(tǒng)一個(gè)重要的安全指標(biāo)就是其資源不可被濫用，也就是資源的使用不可超過其上限閾值，所有超過其上限閾值的請(qǐng)求是不被批準(zhǔn)的.如何解決這種在資源約束條件下轉(zhuǎn)授權(quán)的處理問題是這部分研究工作的重點(diǎn).基于角色在授權(quán)過程中所具有的重要作用，本文首先引入角色狀態(tài)的概念，將角色分為生效、失效、激活、忙碌4個(gè)狀態(tài).其中，失效狀態(tài)是指當(dāng)前角色不可用；生效狀態(tài)則是當(dāng)前角色可用，但是尚未有用戶使用該角色；激活狀態(tài)是指系統(tǒng)中至少有一個(gè)用戶在使用當(dāng)前角色；忙碌狀態(tài)則是指當(dāng)前角色所對(duì)應(yīng)的資源達(dá)到了使用上限閾值，任何用戶新的請(qǐng)求操作將不被批準(zhǔn).圖1為角色狀態(tài)躍遷示意圖.

角色狀態(tài)的躍遷是由系統(tǒng)中用戶針對(duì)當(dāng)前角色的請(qǐng)求事件觸發(fā)的，表1中部分給出了用戶針對(duì)角色的請(qǐng)求事件E.通過對(duì)信息系統(tǒng)中實(shí)際業(yè)務(wù)的分析，本文歸納出在轉(zhuǎn)授權(quán)處理過程中，信息系統(tǒng)對(duì)資源的約束主要體現(xiàn)在資源的激活時(shí)間和激活次數(shù)兩個(gè)方面，而對(duì)用戶的約束則分為是針對(duì)所有用戶還是只針對(duì)某一個(gè)具體用戶兩種情況.基于此本文給出了基于角色的轉(zhuǎn)授權(quán)模型中各種資源約束的具體表現(xiàn)形式，如表2所示.

圖1 角色狀態(tài)躍遷示意圖Fig.1 Condition transitions in the role

定義5 資源約束的形式化表示：CONSA（r） ＝ （CONT，Ctype，Cvalue，Atype，Avalue，r）.其中，CONT是時(shí)限約束，代表資源約束的有效時(shí)限；Ctype是資源約束類別，具體包括表2給出的4種不同類別；Cvalue則是指Ctype所對(duì)應(yīng)的具體約束值；Atype是指約束針對(duì)的用戶類型，是系統(tǒng)中的所有用戶還是某一個(gè)具體用戶u；Avalue則是Atype所對(duì)應(yīng)的具體約束用戶信息，缺省代表所有用戶；r為被約束角色所對(duì)應(yīng)的信息.

針對(duì)資源約束情況下角色和用戶的相應(yīng)資源信息，作者提出用戶資源信息和角色資源信息兩個(gè)概念.定義6和7給出了兩者所包含的具體信息.

表2 基于角色的轉(zhuǎn)授權(quán)模型中各種資源約束的具體表現(xiàn)形式Tab.2 The resource－constraint expressions in role－based delegation model

定義6 用戶資源信息：u－cur（r）＝（u，r，dua，nua，dm，nm，su）.其 中，u為 當(dāng) 前 用 戶 信 息，dua是指當(dāng)前用戶u針對(duì)角色r的剩余可激活總時(shí)長(zhǎng)，nua是指用戶u針對(duì)角色r的剩余可激活總次數(shù)，dm是指用戶u針對(duì)角色r的當(dāng)前最大單次可激活時(shí)長(zhǎng)，nm是指用戶u針對(duì)角色r的當(dāng)前最大可同時(shí)激活次數(shù)，su是指用戶u針對(duì)角色r的所有已激活對(duì)話集合.

定義7 角色資源信息：r－cur＝（r，dra，dna，drm，nrm，cs，p，uall）.其中，dra是指角色r的剩余可激活時(shí)長(zhǎng)，dna是指角色r的剩余可激活總次數(shù)，drm是指角色r的當(dāng)前最大單次可激活時(shí)長(zhǎng)，nrm是指角色r的當(dāng)前最大可同時(shí)激活次數(shù)，cs是指角色r的當(dāng)前狀態(tài)，p是角色r的權(quán)限集，uall是指當(dāng)前所有使用角色r用戶的u－cur（r）集合.

1.4 互斥約束特征分析及處理流程

在實(shí)際業(yè)務(wù)系統(tǒng)中，轉(zhuǎn)授權(quán)過程具有明顯的突發(fā)性和多步性，這樣會(huì)帶來一個(gè)問題：多個(gè)互斥事件在同一時(shí)刻發(fā)生的情況如何處理.舉例來說，系統(tǒng)中針對(duì)具體角色r會(huì)產(chǎn)生一組由不同用戶發(fā)起的稱之為事件序列的事件集E1，E2，…，EN，如果 存 在 兩 個(gè) 事 件Ei、Ej同 時(shí) 發(fā) 生 且Ei：u1：deassignrtou2，Ej：u2：delegatertou3，這里Ei表示用戶u1撤銷對(duì)u2的轉(zhuǎn)授權(quán)，Ej則是用戶u2繼續(xù)轉(zhuǎn)授權(quán)給用戶u3，模型執(zhí)行Ei意味著用戶u3不能獲得轉(zhuǎn)授權(quán)，而執(zhí)行Ej則意味著用戶u3可以獲得轉(zhuǎn)授權(quán).這樣互斥事件同時(shí)發(fā)生的情況在實(shí)際業(yè)務(wù)中會(huì)經(jīng)常發(fā)生，而如何處理在現(xiàn)有的轉(zhuǎn)授權(quán)模型中并沒有涉及.本文這一部分就用來討論基于角色的轉(zhuǎn)授權(quán)模型中如何解決這種互斥約束的情況.

通過對(duì)轉(zhuǎn)授權(quán)處理過程的研究，本文將所有可能產(chǎn)生互斥的事件分為兩大類，稱其為基本互斥事件集和上層互斥事件集.基本互斥事件集是指轉(zhuǎn)授權(quán)過程中可能出現(xiàn)互斥情況的基本事件集，而上層互斥事件集則是指基本互斥事件之間可能會(huì)產(chǎn)生互斥情況的事件集合.表3給出了基于角色的轉(zhuǎn)授權(quán)模型中可能產(chǎn)生互斥的所有事件集.需要注意到，模型中所有事件都是在時(shí)限CONTE的約束下，兩個(gè)事件Ei、Ej同時(shí)發(fā)生的含義是指在其所對(duì)應(yīng)的有效時(shí)限CONTE1和CONTE2內(nèi)，如果在某一個(gè)時(shí)刻t重合，則Ei、Ej在時(shí)刻t發(fā)生互斥約束.

表3 基于角色的轉(zhuǎn)授權(quán)模型中可能產(chǎn)生互斥的所有事件集Tab.3 All conflicting events in role－based delegation model

針對(duì)基于角色的轉(zhuǎn)授權(quán)模型中的互斥約束情況，本文提出一種稱之為“失效優(yōu)先”的準(zhǔn)則.具體來說，當(dāng)兩個(gè)事件Ei、Ej同時(shí)發(fā)生且屬于表3中所列的互斥事件時(shí)，代表著“失效”的事件Ei優(yōu)先于事件Ej的執(zhí)行，也就是說，事件“disabler”優(yōu)先于“enabler”，“deactiverforu”優(yōu)先于“u：activer”.而事件Ej則被“阻塞”進(jìn)入到“阻塞事件序列”中，當(dāng)事件Ei執(zhí)行時(shí)限結(jié)束以后，如果阻塞事件序列中事件Ej仍處于有效執(zhí)行時(shí)限的范圍之內(nèi)，則繼續(xù)執(zhí)行之.針對(duì)多個(gè)事件產(chǎn)生互斥約束的情況，則屬于基本互斥事件集的互斥事件優(yōu)先于屬于上層互斥事件集的互斥事件，也就是首先解決屬于基本互斥事件集的互斥事件.由此給出互斥約束下基于角色的轉(zhuǎn)授權(quán)模型的處理準(zhǔn)則：

（1）基本互斥事件優(yōu)先于上層互斥事件；

（2）“失效”事件優(yōu)先于其他事件；

（3）優(yōu)先事件時(shí)限失效之后執(zhí)行阻塞事件序列中未失效事件.

2 復(fù)雜時(shí)空約束條件下基于角色的轉(zhuǎn)授權(quán)模型中授權(quán)的撤銷和業(yè)務(wù)處理的詳細(xì)算法流程

2.1 復(fù)雜時(shí)空約束條件下基于角色的轉(zhuǎn)授權(quán)模型中授權(quán)的撤銷

與轉(zhuǎn)授權(quán)過程相對(duì)應(yīng)，其授權(quán)撤銷過程同樣非常重要.可以看出在復(fù)雜時(shí)空約束條件下，撤銷的發(fā)起形式更為多樣化，主要分為如下3種情況：

（1）授權(quán)時(shí)限失效導(dǎo)致的權(quán)限撤銷.當(dāng)授權(quán)時(shí)間超過了所指定的授權(quán)最大時(shí)限時(shí)，系統(tǒng)自動(dòng)地撤銷該授權(quán)行為.這里授權(quán)時(shí)限失效既包括用戶－角色－權(quán)限三者之間的授權(quán)時(shí)限，同樣包括轉(zhuǎn)授權(quán)過程中轉(zhuǎn)授權(quán)行為的有效時(shí)限.權(quán)限撤銷后同時(shí)需要在角色資源信息r－cur和用戶資源信息ucur（r）中進(jìn)行體現(xiàn).

（2）授權(quán)用戶的主動(dòng)撤銷方式.當(dāng)授權(quán)用戶發(fā)現(xiàn)被授權(quán)用戶存在權(quán)限濫用而需要撤銷其權(quán)限時(shí)，就要用到主動(dòng)撤銷方式.這種方式存在以下兩種情況：①u∈USR（r，t）→can＿revoke，此時(shí)只有在時(shí)刻t具有角色r的用戶才可以發(fā)起撤銷，撤銷過程會(huì)將被撤銷用戶ued及其所產(chǎn)生的轉(zhuǎn)授權(quán)鏈一并撤銷.權(quán)限撤銷后需要更新角色資源信息r－cur和用戶資源信息u－cur（r）.②ux，（rx≥r）∧can＿activate（ux，r，t）→can＿revoke，此時(shí)在時(shí)刻t任意可以激活角色r的用戶都可以發(fā)起撤銷，這樣處理是基于實(shí)際業(yè)務(wù)中高層用戶可以對(duì)轉(zhuǎn)授權(quán)過程加以監(jiān)控而考慮的，撤銷可以分為完全撤銷和部分撤銷，完全撤銷是指針對(duì)角色r的所有用戶的授權(quán)撤銷，而部分撤銷則只是針對(duì)被撤銷用戶ued及其所產(chǎn)生的轉(zhuǎn)授權(quán)鏈的授權(quán)撤銷.

（3）系統(tǒng)管理員發(fā)起的撤銷方式.系統(tǒng)管理員在任何時(shí)候都可以對(duì)任何用戶的授權(quán)或者轉(zhuǎn)授權(quán)行為發(fā)起授權(quán)撤銷.具體處理方式和上面情況類似，這里不再詳細(xì)討論.

2.2 復(fù)雜時(shí)空約束條件下基于角色的轉(zhuǎn)授權(quán)模型業(yè)務(wù)處理的詳細(xì)算法流程

這一部分討論在復(fù)雜時(shí)空約束條件下基于角色的轉(zhuǎn)授權(quán)模型業(yè)務(wù)處理的詳細(xì)算法流程.假設(shè)系統(tǒng)在時(shí)刻t針對(duì)角色r會(huì)產(chǎn)生一組由不同用戶發(fā)起的事件序列E1，E2，…，EN，本文將其稱之為時(shí)刻t針對(duì)角色r的事件序列Eq（t）＝（E1，E2，…，EN）.在復(fù)雜時(shí)空約束條件下，事件Ei會(huì)受到自身有效時(shí)限的約束，角色r也會(huì)受到系統(tǒng)資源約束的限制，而事件與事件之間則可能會(huì)發(fā)生互斥約束的情況.模型首先解決互斥約束問題，根據(jù)“失效優(yōu)先”準(zhǔn)則執(zhí)行事件序列Eq（t）中代表失效的de－assign和de－activate事件，由此不但會(huì)引發(fā)權(quán)限處理流程中的權(quán)限撤銷操作，同樣會(huì)使系統(tǒng)中可用資源發(fā)生變化，因此需要更新角色資源信息r－cur和用戶資源信息u－cur（r）.接下來則是Eq（t）中指派操作事件的執(zhí)行，更新用戶 －角色－權(quán)限三者之間的指派關(guān)系到時(shí)刻t，為后續(xù)的角色激活事件提供狀態(tài)基礎(chǔ).下一步判斷Eq（t）中是否存在disabler事件，如果存在則在事件有效的時(shí)限區(qū)間內(nèi)，將r－cur和u－cur（r）置為初始值（r，∞，∞，∞，∞，disable，null，null）和（u，r，∞，∞，∞，∞，null），意味著當(dāng)前角色r所對(duì)應(yīng)的系統(tǒng)資源不可用，Eq（t）中其他的剩余事件被阻塞進(jìn)入阻塞事件序列Bq（t），在disabler事件失效后，阻塞事件序列Bq（t）中所有事件如果也已經(jīng)超過了生效時(shí)限，則執(zhí)行t＋1時(shí)刻的事件序列Eq（t＋1），否則執(zhí)行Bq（t）和Eq（t）中的后續(xù)事件，即角色生效事件enabler、角色激活事件activerforu和角色轉(zhuǎn)授權(quán)事件uingdelegaterforued.相關(guān)的具體算法流程如圖2所示.

3 應(yīng)用案例

本文將上述研究成果應(yīng)用到多個(gè)電子政務(wù)系統(tǒng)的開發(fā)和實(shí)施過程中以進(jìn)行檢驗(yàn)，包括“大連市西崗區(qū)內(nèi)、外網(wǎng)綜合服務(wù)門戶”“遼寧省黨政信息網(wǎng)”“大連市金州區(qū)一站式行政審批管理系統(tǒng)”等，均取得了良好的效果.在上述政務(wù)系統(tǒng)中，用戶的授權(quán)、轉(zhuǎn)授權(quán)操作嚴(yán)格遵循時(shí)限約束、系統(tǒng)資源約束和互斥約束三方面的制約，一方面更加符合實(shí)際業(yè)務(wù)的需要，另一方面也使系統(tǒng)的權(quán)限管理工作變得更加安全和可控.

圖2 復(fù)雜時(shí)空約束條件下基于角色的轉(zhuǎn)授權(quán)模型業(yè)務(wù)處理的詳細(xì)算法流程Fig.2 The detailed algorithm flow chart of business processes of role－based delegation model under complex temporal constraints

4 結(jié) 語(yǔ)

信息系統(tǒng)出于對(duì)系統(tǒng)權(quán)限的可控性和資源的安全性等方面的考慮，其在轉(zhuǎn)授權(quán)的具體業(yè)務(wù)處理過程中不可避免地要受到時(shí)限約束、系統(tǒng)資源約束和互斥事件約束三者的統(tǒng)一作用，這里將其統(tǒng)稱為復(fù)雜時(shí)空約束的作用.本文正是從以上實(shí)際問題入手，一方面詳細(xì)分析了復(fù)雜時(shí)空約束各自的特征和表現(xiàn)形式，另一方面則具體討論了在復(fù)雜時(shí)空約束條件下基于角色的轉(zhuǎn)授權(quán)模型的處理機(jī)制和詳細(xì)算法流程.相應(yīng)研究成果在多個(gè)電子政務(wù)系統(tǒng)的實(shí)際應(yīng)用中均取得了良好的效果.下一步作者的主要工作將集中在轉(zhuǎn)授權(quán)模型在實(shí)際業(yè)務(wù)處理過程中人為因素對(duì)信息安全帶來的影響，針對(duì)操作主體－用戶的鑒權(quán)、維權(quán)和責(zé)任認(rèn)定將是今后研究工作的重點(diǎn).

［1］ Sandhu R，Bhamidipati V，Munawer Q.The ARBAC97 model for role－based administration of roles［J］.ACM Transactions on Information and System Security，1999，2（1）：910－922.

［2］ Barka E，Sandhu R.A role－based delegation model and some extensions ［C］／／Proceedings of 23rd National Information Systems Security Conference.Baltimore：IEEE Computer Society，2000.

［3］ ZHANG Long－h(huán)ua，Ahn Gail－joon，Chu Bei－tseng.A rule－based framework for role－based delegation［J］.ACM Transactions on Information and Systems Security，2003，6（3）：404－420.

［4］ 王小明，趙宗濤，馮德民.一種動(dòng)態(tài)角色委托代理授權(quán)模型［J］.計(jì)算機(jī)科學(xué)，2002，29（2）：66－68.WANG Xiao－ming，ZHAO Zong－tao，F(xiàn)ENG Demin.An RBAC dynamically delegating grant model［J］.Computer Science，2002，29（2）：66－68.（in Chinese）

［5］ 趙慶松，孫玉芳，孫 波.RPRDM：基于重復(fù)和部分角色的轉(zhuǎn)授權(quán)模型［J］.計(jì)算機(jī)研究與發(fā)展，2003，40（2）：221－227.ZHAO Qing－song，SUN Yu－fang，SUN Bo.RPRDM：A repeated－and－part－role－based delegation model J.Journal of Computer Research and Development，2003，40（2）：221－227.（in Chinese）

［6］ 孫 波，趙慶松，孫玉芳.TRDM——具有時(shí)限的基于角色的轉(zhuǎn)授權(quán)模型［J］.計(jì)算機(jī)研究與發(fā)展，2004，41（7）：1104－1109.SUN Bo，ZHAO Qing－song，SUN Yu－fang.TRDM－temporal role－based delegation model［J］.Journal of Computer Research and Development，2004，41（7）：1104－1109.（in Chinese）

［7］ 李 黎，王小明，張黎明.ARDM——基于代理的角色代理模型［J］.計(jì)算機(jī)應(yīng)用研究，2005，22（11）：106－109.LI Li，WANG Xiao－ming，ZHANG Li－ming.ARDM：Agent－based role delegation model ［J］.Application Research of Computers，2005，22（11）：106－109.（in Chinese）.

［8］ 張少敏，王保義，周利華.一種具有時(shí)間約束的基于角色的授權(quán)管理模型［J］.武漢大學(xué)學(xué)報(bào)，2006，52（5）：578－581.ZHANG Shao－min，WANG Bao－yi，ZHOU Li－h(huán)ua.Temporal role－based delegation model［J］.Journal of Wuhan University，2006，52（5）：578－581.（in Chinese）

［9］ Joshi J B D，Ghafoor A，Aref W，etal.Digital government security infrastructure design challenges［J］.IEEE Computer，2001，34（2）：66－72.

［10］ Joshi J B D，Aref W G，Ghafoor A，etal.Security models for web－based applications ［J］.Communications of the ACM，2001，44（2）：38－72.