支持多种访问控制方法的统一授权系统研究

论文摘要

在分布式计算环境中,由于大量的网络设备、主机系统和应用系统分别属于不同的部门和不同的业务系统。若这些业务系统都独立维护一套用户权限管理系统,当系统管理员同时对多个系统进行维护时,工作复杂度会成倍地增加。且多个权限管理系统会对用户的使用造成不便。目前分布式计算环境下访问控制技术的一种发展趋势是采用集中式的身份与授权策略管理,即由一专门的系统为企业、机构的各类计算机系统、应用服务系统提供集中的身份与授权策略管理。许多公司的授权系统都采用了集中式身份与授权策略管理技术,并据此实现访问控制。但是,这种集中式的授权管理系统在实际应用中也面临着一些技术问题,比较突出的有：如何同时支持不同的访问控制方法,如ACL （Access Control List）、RBAC （Role-based Access Control）、ABAC （Attribute-based Access Control）等；如何对众多的、不同的资源进行统一的、有效的授权策略管理。本文对集中式身份与授权策略管理技术进行了研究,提出了一种新的统一权限与策略管理方式。该方式针对不同的访问控制方法同时定义不同类型的授权策略（如ACL、RBAC、ABAC授权策略）并以通用的形式存放在数据库中,使得授权系统可以根据访问控制方法的需要灵活的选择使用授权策略,从而支持多种访问控制方法。本文同时提出了一种可以自动根据请求类型查询指派授权Provider（提供者）的Manager-Provider（管理者--提供者）架构。该架构使用多个Provider以提供针对不同访问控制方法的授权功能,并由一个Manager进行管理。并通过提供对这止匕Provider的查询服务,自动引导外界选择、使用Provider进行授权。这种Manager-Provider架构使得统一授权系统可以很好的嵌入到使用各种访问控制方法的系统平台中,而且可以动态增加新的组件以扩展其授权决策功能。本文还提出了一种策略继承机制,该机制简化了资源、策略信息的组织结构,大大提高了在线授权决策的效率,减少了系统管理员的工作复杂度。最后本文对这种策略继承机制的执行效率进行了分析,提炼出了两种使用继承策略进行授权的理论模型,得出了本文使用的基于策略继承的授权方式可以更加提高系统性能的结论。

论文目录

• 摘要
• Abstract
• 第1章 绪论
• 1.1 课题来源
• 1.2 课题背景
• 1.3 国内外研究水平及动态
• 1.4 本论文的主要研究工作
• 1.5 本论文结构
• 第2章 访问控制背景知识
• 2.1 访问控制技术概述
• 2.2 访问控制理论模型
• 2.3 基本访问控制技术
• 2.3.1 自主访问控制（DAC）
• 2.3.2 强制型访问控制（MAC）
• 2.3.3 访问控制列表（ACL）
• 2.3.4 基于角色访问控制（RBAC）
• 2.3.5 基于属性访问控制（ABAC）
• 2.4 本章小结
• 第3章 统一授权系统背景技术
• 3.1 统一授权系统整体架构
• 3.2 统一身份与策略信息管理
• 3.3 统一授权系统工作原理
• 3.4 本章小结
• 第4章 多种访问控制方法的统一授权
• 4.1 多种访问控制方法的统一权限与策略管理
• 4.2 支持多种访问控制方法的授权决策系统
• 4.2.1 授权决策系统目标
• 4.2.2 授权决策系统整体架构
• 4.2.3 授权决策系统工作流程
• 4.2.4 授权决策系统流程实现
• 4.2.5 服务接口
• 4.3 本章小结
• 第5章 应用示例
• 5.1 数据库信息组织
• 5.2 资源策略信息
• 5.3 客户端应用
• 5.4 本章小结
• 第6章 基于策略继承的授权
• 6.1 策略继承
• 6.2 加入继承标志的资源策略树
• 6.3 基于策略继承授权
• 6.4 策略继承模型分析
• 6.4.1 两种策略继承模型
• 6.4.2 模型效率分析
• 6.5 本章小结
• 第7章 总结与展望
• 7.1 研究总结
• 7.2 研究展望
• 参考文献
• 致谢
• 攻读硕士学位期间发表的论文和参与的项目