基于角色的訪問(wèn)控制在Web服務(wù)中的研究與實(shí)現(xiàn)

【摘 要】Web服務(wù)技術(shù)可以實(shí)現(xiàn)不同機(jī)器之間和不同應(yīng)用之間的數(shù)據(jù)進(jìn)行交換和集成，在網(wǎng)絡(luò)技術(shù)不斷發(fā)展的今天，Web服務(wù)技術(shù)也在不斷的進(jìn)步，在研究和實(shí)現(xiàn)的過(guò)程中為了能夠更好的降低授權(quán)管理的復(fù)雜性，提升管理效率降低管理成本，從而給企業(yè)的組織結(jié)構(gòu)提供安全性能更高的策略，研究人員將目光放在了基于角色訪問(wèn)控制方面，本文就簡(jiǎn)單討論一下基于角色訪問(wèn)控制在Web服務(wù)中的實(shí)現(xiàn)。

【關(guān)鍵詞】基于角色訪問(wèn)控制；Web服務(wù)；研究

現(xiàn)如今基于角色訪問(wèn)控制的Web模型儼然成為了大型企業(yè)網(wǎng)站實(shí)現(xiàn)授權(quán)訪問(wèn)的最佳方案之一，但是如何才能夠更好的實(shí)現(xiàn)Web服務(wù)中角色訪問(wèn)控制的應(yīng)用是下文需要詳細(xì)討論的話題，并且根據(jù)該種控制策略直接構(gòu)建一個(gè)能夠在代理服務(wù)器中實(shí)現(xiàn)的原型系統(tǒng)。

一、角色訪問(wèn)控制的概述

所謂的訪問(wèn)控制即就是對(duì)Web上的資源使用權(quán)進(jìn)行控制，通過(guò)該種控制策略來(lái)決定是否被授權(quán)對(duì)客體執(zhí)行相應(yīng)的操作，其非常依賴主體合法化的鑒別，且能夠?qū)⒊蓡T關(guān)系、特權(quán)與主體進(jìn)行聯(lián)系，只有經(jīng)授權(quán)的用戶才能夠進(jìn)行對(duì)特定的資源進(jìn)行訪問(wèn)。而訪問(wèn)控制策略的前提是對(duì)所有的用戶進(jìn)行權(quán)限的認(rèn)證，這樣便能夠促使各種安全策略進(jìn)行配合，使得企業(yè)的系統(tǒng)資源能夠得到更好的保護(hù)。

如今網(wǎng)絡(luò)間的訪問(wèn)控制一般是憑借網(wǎng)絡(luò)防火墻技術(shù)來(lái)進(jìn)行保護(hù)，通過(guò)網(wǎng)絡(luò)防火墻能夠激昂內(nèi)外部的網(wǎng)絡(luò)進(jìn)行隔離，然后再設(shè)定相應(yīng)的安全策略從而對(duì)訪問(wèn)的用戶進(jìn)行辨別，選擇拒絕或者同意其進(jìn)行資源的訪問(wèn)。網(wǎng)絡(luò)防火墻的其實(shí)現(xiàn)的訪問(wèn)控制的層次可分成3點(diǎn)，分別是網(wǎng)絡(luò)層實(shí)現(xiàn)的IP防火墻；運(yùn)輸層實(shí)現(xiàn)的SOCKS級(jí)防火墻以及應(yīng)用層的代理服務(wù)器。

現(xiàn)如今最常用的訪問(wèn)控制策略同樣也有3種類型，其一是強(qiáng)直訪問(wèn)控制（簡(jiǎn)稱MAC），其二是自主訪問(wèn)控制（簡(jiǎn)稱為DAC），其三是基于角色的訪問(wèn)控制（簡(jiǎn)稱RBAC）。其中RBAC是基于美國(guó)NIST在上個(gè)世紀(jì)末提出的最新型的訪問(wèn)控制策略。其研究的方向是如何實(shí)現(xiàn)對(duì)用戶的準(zhǔn)確劃分成和組織結(jié)構(gòu)體系中相一致的角色，從而有效的簡(jiǎn)化資源授權(quán)管理操作，降低管理的成本并且呈現(xiàn)出一個(gè)比較復(fù)雜的安全政策和管理環(huán)境。在眾多研究機(jī)構(gòu)中NIST研究人員主要的研究方向是RBAC/Web模型，即將其應(yīng)用于Web服務(wù)器和網(wǎng)頁(yè)瀏覽器中，給網(wǎng)絡(luò)提供了一個(gè)即靈活、方便、安全可靠眾多優(yōu)點(diǎn)的訪問(wèn)控制策略。角色訪問(wèn)控制能夠嵌入到計(jì)算機(jī)的操作系統(tǒng)和數(shù)據(jù)庫(kù)中，另外還可以在各個(gè)應(yīng)用中進(jìn)行嵌入，

二、基于角色訪問(wèn)控制的Web模型

構(gòu)建該種模型對(duì)于計(jì)算機(jī)的瀏覽器等沒(méi)有特殊的要求，同時(shí)還能有效的解決大型網(wǎng)絡(luò)復(fù)雜資源的安全管理問(wèn)題，如果在計(jì)算機(jī)中應(yīng)用甚至不用去修改Web服務(wù)器軟件，該模型的組成部件主要有：①數(shù)據(jù)庫(kù)，其主要的功能是指定用戶和角色之間關(guān)系的文件，和對(duì)角色的關(guān)系限定；②數(shù)據(jù)庫(kù)服務(wù)器，維護(hù)文件的副本，這些文件均由AdminTool創(chuàng)建和維護(hù)，如果文件發(fā)生改變那么立即更新并緩存副本；③API Library，其主要的功能是用于Web服務(wù)器和訪問(wèn)數(shù)據(jù)庫(kù)的相關(guān)規(guī)范，而API的主要作用是能夠讓所有的Web服務(wù)器均能夠?qū)崿F(xiàn)角色訪問(wèn)控制；④CGI，采用CGI的方式來(lái)實(shí)現(xiàn)RBAC可以不用對(duì)現(xiàn)在所使用的Web服務(wù)器進(jìn)行修改；⑤會(huì)話管理器，其主要的功能是對(duì)角色訪問(wèn)控制的會(huì)話進(jìn)行管理，比如創(chuàng)建和刪除用戶活動(dòng)的角色集；⑥管理系統(tǒng)，管理系統(tǒng)的職能較多，比如能夠讓服務(wù)器管理員創(chuàng)建新的用戶/角色的許可操作，指定用戶/角色關(guān)系的限制等。

動(dòng)態(tài)職責(zé)分離（簡(jiǎn)稱DSD）是RBAC最主要的特征之一，在相對(duì)復(fù)雜的企業(yè)內(nèi)部網(wǎng)絡(luò)中，一個(gè)用戶可能在不同時(shí)期會(huì)被賦予多種角色，但是在統(tǒng)一時(shí)刻只能有一種活動(dòng)，此時(shí)會(huì)話管理器將會(huì)發(fā)揮其功能，將由用戶自己在角色集中選擇其所需要的角色，在選擇完成時(shí)ARS中所授權(quán)的角色在角色訪問(wèn)控制的會(huì)話也瞬間建立完成；若用戶的角色沒(méi)喲DSD關(guān)系，那么用戶的會(huì)話也會(huì)相應(yīng)的自動(dòng)建立?；诮巧L問(wèn)控制的Web服務(wù)模型雖然其優(yōu)勢(shì)非常顯著，但是仍然存在一些缺陷，比如該管理系統(tǒng)其本身沒(méi)有用戶認(rèn)證功能；除此之外它必須和操作系系統(tǒng)緊密聯(lián)系在一起。

三、基于反向代理的RBAC/Web系統(tǒng)的實(shí)現(xiàn)

角色訪問(wèn)控制模型的建立和應(yīng)用一直以來(lái)都是研究的熱點(diǎn)和難點(diǎn)，在不斷的研究過(guò)程中在其基本的模型的基礎(chǔ)上不斷的增加角色限制和角色的繼承。其角色的繼承的實(shí)現(xiàn)主要是根據(jù)企業(yè)組織結(jié)構(gòu)創(chuàng)建的角色繼承關(guān)系從而建立企業(yè)信息管理系統(tǒng)。建立角色訪問(wèn)控制模型的內(nèi)容主要包括用戶的創(chuàng)建、角色的創(chuàng)建、操作和會(huì)話的管理、角色操作之間的聯(lián)系，用戶和角色之間的關(guān)系等、角色繼承關(guān)系等。

在方案的設(shè)計(jì)時(shí)我們主要設(shè)計(jì)了一個(gè)反向的代理服務(wù)器（簡(jiǎn)稱為Rproxy），其功能比較多，比如用戶的身份認(rèn)證、數(shù)據(jù)的保密、訪問(wèn)的控制功能和審計(jì)等。其中訪問(wèn)控制策略的管理是管理系統(tǒng)獨(dú)立實(shí)現(xiàn)且保存在數(shù)據(jù)庫(kù)中的，在對(duì)訪問(wèn)控制進(jìn)行授權(quán)時(shí)其Web服務(wù)的安全性級(jí)別一般按照樹形結(jié)構(gòu)進(jìn)行分層管理，由此可知其根目錄的安全性最低，其能夠進(jìn)行訪問(wèn)的角色也最多。

在系統(tǒng)方案的設(shè)計(jì)過(guò)程中為了能夠降低管理的復(fù)雜性和工作量，在方案中對(duì)Web資源的安全級(jí)別實(shí)現(xiàn)可繼承性。比如某角色已經(jīng)被授權(quán)可以訪問(wèn)該文件的子目錄，那么相應(yīng)的其母目錄同樣獲得了訪問(wèn)的授權(quán)。即子目錄的文件繼承了其母目錄的安全性；另外通過(guò)角色繼承能夠有效的降低數(shù)據(jù)庫(kù)中的數(shù)據(jù)冗余度和負(fù)荷?；诮巧L問(wèn)控制策略和反向代理的角色訪問(wèn)控制策略是相對(duì)獨(dú)立的兩個(gè)系統(tǒng)，均是可以在離線狀態(tài)下進(jìn)行運(yùn)行的管理系統(tǒng)。

四、RBAC/Web模型中子系統(tǒng)的管理

RBAC/Web管理系統(tǒng)能夠完全脫離安全代理服務(wù)器，不僅可以實(shí)現(xiàn)本地的控制，還能夠?qū)崿F(xiàn)遠(yuǎn)程操作。其主要的功能是對(duì)增加用戶、角色、增加/減少操作的許可，制定用戶/角色間關(guān)系的限制等，因此其操作人員也只限定了該系統(tǒng)的安全管理管理員。

基于角色訪問(wèn)控制管理系統(tǒng)的模塊之間的關(guān)系也比較復(fù)雜，其訪問(wèn)的核心是訪問(wèn)許可授權(quán)模塊，該模塊也是反向代理服務(wù)器中accsee函數(shù)功能的基礎(chǔ)，其角色的確定是根據(jù)當(dāng)前的訪問(wèn)政策來(lái)決定的，不同的Http請(qǐng)求方法所訪問(wèn)的Web資源也有所不同。訪問(wèn)許可授權(quán)同樣具有繼承性，比如上級(jí)目錄的安全限制低于下級(jí)目錄時(shí)，同級(jí)目錄沒(méi)有特別進(jìn)行設(shè)置，那么便能夠?qū)υ摷?jí)資料進(jìn)行訪問(wèn)。這種訪問(wèn)許可繼承性有效的提升了訪問(wèn)的效率，降低了管理員的管理難度。

五、結(jié)束語(yǔ)

通過(guò)對(duì)基于角色訪問(wèn)控制在Web服務(wù)中的使用，能夠適用于各種企業(yè)的信息管理工程，但是在管理系統(tǒng)的建立時(shí)需要對(duì)其企業(yè)的不同特點(diǎn)建立相應(yīng)的用戶/角色之間的關(guān)系。RBAC/Web管理系統(tǒng)不僅能夠?qū)崿F(xiàn)對(duì)企業(yè)內(nèi)部的數(shù)據(jù)進(jìn)行安全管理，還能夠?qū)ヂ?lián)網(wǎng)的外部用戶的訪問(wèn)權(quán)限實(shí)施管理職權(quán)。通過(guò)在RBAC/Web系統(tǒng)應(yīng)用反向代理服務(wù)器，可以對(duì)企業(yè)的Web信息不做任何的修飾便能夠正常的進(jìn)行管理，同時(shí)其對(duì)于瀏覽器的要求非常低，所以無(wú)形中簡(jiǎn)化了管理難度，降低了管理成本，提升了企業(yè)的經(jīng)濟(jì)效益，也更加安全可靠。

參考文獻(xiàn)：

[1]蔣國(guó)偉，許士東，郭君，馬建榮.基于角色的訪問(wèn)控制在新疆農(nóng)科院WEB網(wǎng)站中的應(yīng)用研究[J].農(nóng)業(yè)網(wǎng)絡(luò)信息，2014（01）.

[2]程娜.基于角色訪問(wèn)控制的數(shù)據(jù)庫(kù)安全模型研究[J].軟件導(dǎo)刊，2013（03）.

[3]丁群.基于角色的訪問(wèn)控制的研究與實(shí)現(xiàn)[J].辦公自動(dòng)化，2012（08）.