信息系统权限管理新方法及实现探讨

胡海滨

（广州白云国际机场商旅服务有限公司，广州 510410）

1 用户权限管理手段

1.1 强制访问控制

强制访问控制是指系统对访问对象施加强制限制，以访问预先设置的内容。强制访问控制预先对用户的访问级别进行调节，并通过信息级别与用户访问级别的比较来验证访问者的合法权利。这种强制访问控制虽然在一定程度上保证了信息的安全，但也可能存在权限划分与实际情况的冲突，使得两者之间存在明显的差距，导致一些本应拥有访问权的人无法访问信息。同时，由于整个系统是预先制定的，因此很难修改信息级别。

1.2 自主访问控制

自主访问控制是指在确认访问主体的身份后，对访问内容进行限制。访问控制策略存储在一个小矩阵中，矩阵中有许多访问元素。每个元素表示访问主体对访问对象的控制。自主访问控制的典型特点是更加直观，能够充分显示系统各部分的权限分布。然而，如果系统规模较大，系统的复杂度将显著提高。如果要修改用户的访问权限，难度将成倍增加。

1.3 基于角色的访问控制

基于角色的访问控制由三个实体组成：用户、权限和角色。用户与角色之间的对应关系不是一一对应的，权限与角色之间的对应关系是多对多的。角色的设置与组织的工作性质密不可分。用户根据他们应该完成的任务被赋予一个角色。当他们获得角色时，他们有相应的权限。但是，用户和权限之间没有直接关系。角色的制定是基于组织工作的性质。用户根据自己的工作需要被赋予一个角色，这样他们就可以获得这个角色的权限。

2 新方法的模型

随着计算机技术的成熟，RBAC 的应用越来越普遍。如果系统的用户数量少，角色不够，系统中的角色过多就会成为负担。在RBAC 权限中，他们所拥有的角色是相对固定的，但实际上，由于工作环境的变化，在指定的用户和角色之间存在一定的覆盖差距。在这种情况下，如果首先建立角色并将其授予用户，则在取消权限时需要再次删除该角色，从而导致复杂的过程。同时，这种随机添加角色权限的方式也可能导致以下安全问题：一是角色权限授予时出错，导致角色权限范围超出预期；二是角色没有准划分，导致其他用户参与此角色。如果两个问题同时出现，将给整个系统的安全和权限划分的稳定性带来很大的问题。但如果将用户权限直接引入RBAC 系统，则可以实现用户权限之间的相互关系，简化DAC 模型。当系统使用范围较小时，可以直接应用简化的DAC 模型，有效避免RBAC 系统的繁琐情况。同时，通过对传统模型的简化，可以为系统的升级预留空间，从而在扩大系统规模的同时避免了权限管理部分的二次规划和修改，使该模型能够有效地应用于多个系统中。同时，通过修改原模型中角色、对象和权限之间的关系，将传统的目标角色（操作角色）转化为三者的有效结合。这种新模型也称为自增强的基于角色的访问控制模型。该模型保存了原模型，增加了授予用户权限的方式，使用户能够在一定程度上控制权限，显示了用户与权限之间的多种对应关系。与传统的RBAC 模型相比，新的derbac 改进了权限的授予，实现了对象多个对应关系之间的特定关系，澄清了多对多关系。

3 新方法在信息系统中的实现

目前，有几种常见的信息系统，其中大部分都有关系数据库来支持后台数据。如果将derbac 模型应用到关系数据库中，则可以扩大存储在数据库中的数据。因此，在选择数据库模型时，根据规则选择数据库是合理的。数据库中的每个数据都是权限规则的描述。已建立的规则清楚地指示如何将特定角色分配给用户，或如何将相应的权限分配给角色。通过该规则，可以实现对权限的有效控制。

在建立表的过程中，对于四个实体，创建了四个对应的表，即用户信息表、角色对应表、对象信息表和操作表。根据RBAC，需要对受保护的用户和角色进行统一编码。通过统一编码，可以使用统一的权限分配表来分配和存储角色权限划分和用户权限规则。由于角色与被保护对象的关系是相同的，角色与被保护对象的表达式是相似的，因此角色之间的对应关系和对象表之间的关系基本相同。

在用户角色限制表中添加一个新的角色项时，需要删除现有的用户和角色对应关系。生成新的权限和对话时，确定用户所扮演的角色，通过对象关系确定角色的子角色号，并有效地组合为认证对象集。当用户进行身份验证时，只需要比较用户标签号和操作号。整个系统将形成一套完整的信息系统权限管理方法。