1、访问控制模型简介访问控制模型简介2012年3月21日主要内容主要内容一、什么是访问控制二、DAC模型三、MAC模型四、RBAC模型五、LBAC模型访问控制是指控制对一台计算机或一个网络中的访问控制是指控制对一台计算机或一个网络中的某个资源的访问某个资源的访问 有了访问控制，用户在获取实际访问资源或进行有了访问控制，用户在获取实际访问资源或进行操作之前，必须通过识别、验证、授权。操作之前，必须通过识别、验证、授权。一、什么是访问控制二、DAC模型Discretionary Access ControlDiscretionary Access Control（DACDAC）自主访问控）自主访问控制
2、模型制模型 自主访问控制模型是根据自主访问控制策略建立的一自主访问控制模型是根据自主访问控制策略建立的一种模型，允许合法用户以用户或用户组的身份访问策种模型，允许合法用户以用户或用户组的身份访问策略规定的客体，同时阻止非授权用户访问客体，某些略规定的客体，同时阻止非授权用户访问客体，某些用户还可以自主地把自己所拥有的客体的访问权限授用户还可以自主地把自己所拥有的客体的访问权限授予其他用户予其他用户自主访问控制模型的特点是授权的实施主体自主访问控制模型的特点是授权的实施主体（可以授权的主体、管理授权的客体、授权（可以授权的主体、管理授权的客体、授权组）自主负责赋予和回收其他主体对客体资组）自主负
3、责赋予和回收其他主体对客体资源的访问权限。源的访问权限。DACDAC模型一般采用访问控制矩模型一般采用访问控制矩阵和访问控制列表来存放不同主体的访问控阵和访问控制列表来存放不同主体的访问控制信息，从而达到对主体访问权限限制的目制信息，从而达到对主体访问权限限制的目的。的。 DAC模型特点 访问控制矩阵访问控制矩阵n按列看是访问控制表内容按列看是访问控制表内容n 按行看是访问能力表内容按行看是访问能力表内容 访问控制表每个客体附加一个它可以访问的主体的明细表每个客体附加一个它可以访问的主体的明细表。 三、MAC模型Mandatory Access ControlMandatory Access
4、Control（MACMAC）强制访问）强制访问控制控制在在MACMAC这种模型里，管理员管理访问控制。管这种模型里，管理员管理访问控制。管理员制定策略，用户不能改变它。策略定义了理员制定策略，用户不能改变它。策略定义了哪个主体能访问哪个对象。这种访问控制模型哪个主体能访问哪个对象。这种访问控制模型可以增加安全级别，因为它基于策略，任何没可以增加安全级别，因为它基于策略，任何没有被显式授权的操作都不能执行有被显式授权的操作都不能执行强制访问控制（强制访问控制（MACMAC）的主要特征是对所有主）的主要特征是对所有主体及其所控制的客体（例如：进程、文件、段、体及其所控制的客体（例如：进程、文件、
5、段、设备）实施强制访问控制。为这些主体及客体设备）实施强制访问控制。为这些主体及客体指定敏感标记，这些标记是等级分类和非等级指定敏感标记，这些标记是等级分类和非等级类别的组合，它们是实施强制访问控制的依据类别的组合，它们是实施强制访问控制的依据系统通过比较主体和客体的敏感标记来决定一系统通过比较主体和客体的敏感标记来决定一个主体是否能够访问某个客体。用户的程序不个主体是否能够访问某个客体。用户的程序不能改变他自己及任何其它客体的敏感标记，从能改变他自己及任何其它客体的敏感标记，从而系统可以防止特洛伊木马的攻击而系统可以防止特洛伊木马的攻击 MAC特点 MAC的安全级别强制访问策略将每个用户及文
6、件赋于一个访问级强制访问策略将每个用户及文件赋于一个访问级别，如，最高秘密级，秘密级，机密级及无级别别，如，最高秘密级，秘密级，机密级及无级别级。其级别为依次降低，系统根据主体和客体的级。其级别为依次降低，系统根据主体和客体的敏感标记来决定访问模式。访问模式包括：敏感标记来决定访问模式。访问模式包括：下读：用户级别大于文件级别的读操作；下读：用户级别大于文件级别的读操作；上写：用户级别小于文件级别的写操作；上写：用户级别小于文件级别的写操作；下写：用户级别等于文件级别的写操作；下写：用户级别等于文件级别的写操作；上读：用户级别小于文件级别的读操作；上读：用户级别小于文件级别的读操作；Role
7、Based Access Role Based Access Control(RBACControl(RBAC) )基于角色基于角色的访问控制的访问控制管理员定义一系列角色（管理员定义一系列角色（rolesroles）并把它们赋）并把它们赋予主体。系统进程和普通用户可能有不同的予主体。系统进程和普通用户可能有不同的角色。设置对象为某个类型，主体具有相应角色。设置对象为某个类型，主体具有相应的角色就可以访问它。这样就把管理员从定的角色就可以访问它。这样就把管理员从定义每个用户的许可权限的繁冗工作中解放出义每个用户的许可权限的繁冗工作中解放出来来 四、RBAC模型 RBAC特点RBACRBAC模型
8、是模型是2020世纪世纪9090年代研究出来的一种新年代研究出来的一种新模型，从本质上讲，这种模型是对前面描述模型，从本质上讲，这种模型是对前面描述的访问矩阵模型的扩展。这种模型的基本概的访问矩阵模型的扩展。这种模型的基本概念是把许可权（念是把许可权（PermissionPermission）与角色（）与角色（RoleRole）联系在一起，用户通过充当合适角色的成员联系在一起，用户通过充当合适角色的成员而获得该角色的许可权而获得该角色的许可权 五、LBAC模型现有的基于层次的访问控制模型（现有的基于层次的访问控制模型（LBACLBAC）就是基）就是基于工作流视角的。它通常被用于由多个工作流管于
9、工作流视角的。它通常被用于由多个工作流管理系统实现的组织间（理系统实现的组织间（inter-organizationalinter-organizational）工作流。原因是工作流。原因是LBACLBAC采用了一个独立的访问层采用了一个独立的访问层（Access LayerAccess Layer，ACAC），它封装了该组织的访问），它封装了该组织的访问控制系统。由访问层将组织内的工作流转化为组控制系统。由访问层将组织内的工作流转化为组织间的工作流，而采用同样的方式对组织内和组织间的工作流，而采用同样的方式对组织内和组织间的工作流的访问控制问题进行处理。概括说织间的工作流的访问控制问题进行处理。概括说来，所谓工作流视角的来，所谓工作流视角的LBACLBAC，就是指把整个访问，就是指把整个访问控制过程看作是层次化的工作流的实现控制过程看作是层次化的工作流的实现谢 谢！
