工作流系统中授权控制模型设计与实现

工作流技术是实现企业信息管理系统的核心技术之一,授权控制是保证工作流系统中信息安全的一种重要手段.本文在对几种授权控制模型研究的基础上,选择了基于角色的访问控制作为工作流系统的授权控制模型.基于角色的授权实现了用户与访问权限的逻辑分离,方便了权限管理;通过不同授权粒度实现了对企业各种资源分配和访问.     

B/S应用系统中的细粒度权限管理模型①

针对B/S模式下的油库网络信息系统的实际需求,为提高用户权限管理的动态性和授权访问的安全性,结合基于角色的访问控制原理,提出了一种在B/S应用系统中针对用户人员复杂、职务变动频繁特点的细粒度权限管理模型。该模型把资源的访问权限按细粒度分解,实现了由粗到细,不同级别的权限控制,既可进行角色授权也可直接用户授权,大大改善了用户权限管理的灵活性和可扩展性。     

B/S应用系统中的细粒度权限管理模型①

针对B／S模式下的油库网络信息系统的实际需求,为提高用户权限管理的动态性和授权访问的安全性,结合基于角色的访问控制原理,提出了一种在B／S应用系统中针对用户人员复杂、职务变动频繁特点的细粒度权限管理模型。该模型把资源的访问权限按细粒度分解,实现了由粗到细,不同级别的权限控制,既可进行角色授权也可直接用户授权,大大改善了用户权限管理的灵活性和可扩展性。     

基于量化角色的细粒度授权委托方法

目前基于角色的访问控制模型大多数都不支持细粒度操作。为此,提出一种细粒度的授权委托方法。利用为权限元组分配量值的方法,实现对角色内任意部分权限的表达和控制。引入量化角色,将普通角色与权限量值组合,用于描述不同的权限范围。在胜利油田滨南采油厂物资供应系统中的应用结果表明,该方法能提供更细化的授权和委托粒度,减少过多临时角色的创建,降低系统的管理和维护 代价。     

基于授权管理基础设施的授权及访问控制机制

与传统的权限管理机制相比,基于授权管理基础设施实现的集中式访问控制机制,能够有效地实现权限的统一管理和权限信息的相对独立,使系统具有更高的安全性和灵活性。文章介绍了基于授权管理基础设施的集中式授权及访问控制机制,并重点探讨其不同的实现方式。     

ASP模式下的多视图系统权限管理实现*

针对目前企业应用ASP模式进行信息化建设中系统固化的问题,提出了ASP模式下多视图系统的结构模型,分析了该模型的实现机制。提出了基于授权算子的分级授权权限管理方式,归纳出应用于授权过程中的授权算子,以实现对系统用户复杂权限控制的简化,在企业ASP模式信息化改造的实施中具有突出应用效果。分析了分级授权方式实现的关键技术以及系统中权限管理的业务流程。     

B/S模式的电厂耗差分析系统权限管理的实现

采用ASENET技术，应用用户／岗位角色／权限的模型，实现了B／S模式的电厂耗差分析系统权限管理。阐述了权限管理的设计原则和设计方法、权限管理的数据库设计、用户授权的实现和用户权限控制的实现。在开发过程中，使用C≠语言，开发了权限管理组件，提高了开发效率，简化了权限管理，用户使用灵活方便。     

文档管理系统中小粒度授权机制的研究

提出了操作权限分类的方法和标准,结合文档管理的业务特点,进行了基于文档结构树的授权业务建模;为求解权限管理的基本问题公式,建立了资源可拓展的、分级授权的授权机制,定义了授权机制的粗规则和业务逻辑接口,实现了树型资源等复杂资源系统的权限分配方式。     

一种面向多应用集成的授权安全服务平台

本文介绍一种支持多个应用系统集成环境下的统一用户授权管理平台——授权安全服务平台(ASSP)。文中通过对ASSP的体系结构、应用系统内的用户访问控制与权限控制服务的关系、权限的通用表示形式和与应用系统集成框架的描述,指出了要实现多应用系统的用户授权分布化,授权策略统一化;做到平台与具体的应用无关性、平台与与具体的权限约束策略无关性,并支持应用系统内部的权限约束策略与业务逻辑之问的相对独立性等,所需要重点解决的技术问题和相应的解决方法。     

油气开采成本预算系统权限管理的探讨应用

采用ASP.NET技术，用户／角色／权限的模型，实现中石化油气开采成本预算系统中的权限管理。阐述了权限管理的设计原则和设计方法．权限管理的数据库设计，用户授权的实现和用户权限控制的实现，在开发过程中，使用C#语言，开发了权限管理组件，提高了牙发效率．简化了权限管理．用户使用灵活方便。     

多域环境下基于属性的授权委托模型

传统的基于实体标识的授权模型会导致由于授权路径的不一致而引起权限传播的不一致,并可能导致不合法的实体进入授权路径获得不应有的权限.针对以上两方面的问题,提出一个基于属性的授权委托模型ABADM(attribute-based authorization delegation model),将授权模型中权限的传递与权力的委托均建立在实体所具有的属性集合的基础之上,以属性集合作为实体自身的代表进行授权,从而确保拥有相同属性凭证链的实体其权限是一致的.模型将属性与访问权限进行明确区分,提出了域内属性权限分配策略和域间属性计算模型,通过两者的结合给出了在ABADM模型中计算实体所拥有的跨域属性集合和访问权限的方法,并结合具体实例对模型的使用进行了说明.     

基于授权步数和角色差度的转授权模型

转授权技术能解决分布式环境下的用户授权问题,但在多步转授过程中可能引发循环授权和权限扩散。研究任务-角色访问控制(TRBAC)模型,提出基于授权步数和角色差度的工作流转授权(DR-TRBAC)模型,根据同一任务的转授关系构建转授权树,通过限定授权步数和遍历转授权树解决循环授权问题,设置转授用户间最大角色差度防止权限的扩散。应用实例证明了DR-TRBAC模型的实用性。     

基于Web的工作流安全性研究

基于Web的工作流管理系统的安全问题主要涉及到两方面:授权(及访问控制)和安全通讯。工作流管理系统需要一个动态的授权机制,即在工作流的执行过程中动态地分配和撤销相应的权限。文中提出一个动态授权模型,即利用5个授权函数、授权数据库(AB)以及任务执行过程中产生的一些事件来实现动态授权机制。此外还简要介绍了基于Web的工作流中涉及到的安全通讯问题及其解决方法。利用这个模型,可以大大地增强工作流管理系统的安全性能。     

Delegation with supervision

Delegation certificates (e.g. SPKI) support the decentralized management of access rights in organizations without the need for a centralized server to mediate every delegation operation. However, it does not allow the access rights to be delegated in a flexible way. For instance, a user cannot be granted the authorization to perform delegation of permission without granting himself/herself the authorization to exercise the associated permission at the same time. In this paper, we propose an improved delegation model, where the various users in a delegation chain may perform supervision on the delegate to exercise the delegated permission. We describe the way to support the model using SPKI as an example. Also, we describe how to support efficient authorization in delegation with supervision using proxy signature techniques.     

高校业务管理系统中权限模型的研究与实现

为解决传统的基于角色的访问控制(RBAC)在高校业务管理系统中的局限性,提出了一种改进的权限模型,引进了用户组的概念,该模型在角色与用户之间添加用户组,将角色直接授权给用户组,而不是用户,传统的为用户分配角色就转化为用户组分配角色,而在权限上将权限具体分为数据权限和操作权限两种,分别用独立的建模软件和Web浏览器设置,使之具有高效、灵活的特点,非常适合高校的业务管理系统,最后给出了新模型的设计与实现.     

基于B/S的信息化平台权限管理系统设计

本文针对B/S模式下的信息化平台的权限管理系统进行了设计,提供了一种集成功能权限和数据权限的解决方案,在数据权限设计中提出了数据权限角色划分的概念,以满足多层次组织中权限管理方面的集中控制。该权限管理系统具有较高实用性,自适应性和通用性等特点,可以减少权限管理系统的重复开发,同时提高系统的健壮性和可维护性。     

继承和优先约束驱动的柔性授权机制研究

针对权限系统中存在角色授权策略单一和授权冲突的问题,设计IPC_URBAC模型,在RBAC模型的基础上增加继承约束的用户直接授权机制和优先约束的用户角色分配机制,提出基于个体和优先的授权冲突解决策略,并给出用户权限和角色权限的求解算法。运用IPC_URBAC,构造二进制授权掩码进行复杂权限设置,应用Web Service完成细粒度权限检查,达到权限与业务的剥离,实现一种与业务无关的柔性授权系统。     

增强权限约束支持的基于任务访问控制模型

针对基于任务访问控制模型的权限管理与实现机制的不足，在任务规则的基础上，提出一种增强权限约束支持的基于任务访问控制模型．该模型通过任务型权限集合的定义，把任务与权限融合在一起研究权限产生的约束机制，同时给出模型形式化定义以及权限关联的各种约束规则，并介绍了该模型在AVIDM中的应用．实践表明，该模型提供了更灵活的授权机制，增强了任务模型的实用性，方便了权限管理工作，适合事务管理系统与工作流环境下的访问控制建模．     

一种面向服务的权限管理模型

面向服务的体系结构(Service-Oriented Architecture,SOA)是设计和构建松耦合软件系统的方法,它可将基于中间件开发的分布式应用共享为Internet环境下的软件服务．传统中间件的用户权限系统具有较好的灵活性,基本满足封闭系统的安全需求．但在SOA模式下,难以满足不同节点和系统互相请求服务和共享资源过程中的授权．该文提出了一个面向服务的权限管理模型,通过支持用户之间的代理和提供一定的推理能力,为应用开发者提供了更完善的权限管理机制,并扩展了中间件跨越组织共享资源和服务的能力．该模型在一个J2EE应用服务器上被实现和验证．实验证明,该模型具有良好的灵活性和可扩展性,并且性能影响在合理的范围．