RBAC在Web考试标准管理系统权限控制中的设计和实现.docx

1、选择一个具体数据库，使用RBAC模型对其进行访问控制策略分析。RBAC在Web考试管理系统权限控制中设计和实现结合考试管理系统，介绍了Web考试管理系统数据库设计方法，和用户角色、角色权限设计理念。经过该考试管理系统实际应用表明，RBAC是一个方便、安全和快捷权限控制机制。RBAC模型介绍：RBAC是一个模型族，其中包含RBAC0、RBAC1、RBAC2和RBAC3是个概念性模型，个模型内关系图1所表示：RBAC3统一模型，它包含了RBAC1和RABC2，利用传输性也把RBAC0包含在内。图所表示：RBAC在Web考试系统中具体应用：RBAC数据库设计：在考试管理系统数据库设计中，针对权限控制问题引入了RBAC策略，本系统共设计了22个数据表，对整个系统进行角色权限控制共包含到角色权限指派表、功效权限表、角色表和菜单资源表。其数据库关系图图3所表示。用户角色分配：本系统设置角色有：超级管理员、一般管理员、导学中心、教务科、管理老师、专业责任老师和课程教导老师，学生用户角色单独设置。依据用户在系统中职责管理员给予其对应角色。根据角色约束模型要求，一个用户能够有一个或多个角色，但不能同时拥有相互静态互斥两个角色。用户角色分配图4所表示：用户权限分配：本考试管理系统权限共分为7个大类42个模块。图5所表示。RBAC中，角色权限分配要求角色按其职责范围和一组权限相关联，不在其职责范围内权限是不许可被 访问。系统管理员依据角色职责为每个角色分配对应权限。用户使用对应角色登录系统后，不可操作权限自动不在其操作菜单中显示。结论：对基于角色访问控制模型进行了分析和应用。实践证实，RBAC模型在Web考试管理系统中应用，不仅降低了操作复杂度，提升了工作效率，而且也使得系统数据管理愈加安全、高效。2、列举自主控制策略、强制控制策略和基于角色控制策略优缺点，并比较她们异同。自主访问控制策略优点：1）访问控制粒度战足单个用户，能够在一定程度上实现权限隔离和资源保护。2）能够不加控制地使信息从一个能够被写客体流向一个能够被读客体。3）用户能够随意地将自己拥有访问权限授予其它用户，以后了能够随意地将所授予权限撤销。4）因为自主访问控制将用户权限和用户直接对应，所以自主访问控制含有较高访问效率。缺点：1）信息在移动过程中其访问权限关系可能会发生改变，这使得管理员难以确定哪些用户对哪些资源含有有访问权限，不利于实现统一全局访问控制，使其在资源共享方面难以控制。2）DAC中资源管理比较分散，用户间关系不能在系统中表现出来，且不易管理，信息轻易泄露，无法抵御特洛伊木马攻击。一旦带有特洛伊木马应用程序被 激活，它能够任意泄漏和破坏接触到信息，甚至改变这些信息访问授权模式。3)授权管理繁琐，需要对每个资源指定能够访问用户和对应权限，当用户情况发生改变 时需要进行大量修改操作，而且每个子系统 全部要维护自己访问控制列表，使得整个系统统一管理很困难，轻易产生安全漏洞。强制访问控制策略优点：1）它是管理集中，依据事先定义好安全等级实现严格权限管理，所以适合对于安全性要求较高应用环境，如美国军方就一直使用这种访问控制模型。2）经过信息单向流动来预防 信息扩散，能够抵御特洛伊木马对系统保密性攻击。缺点：1）依据用户可信任等级及信息敏感程度 来确定它们安全等级，在控制 粒度上不能满足最小权限。2）应用领域比较窄，使用不灵活。通常只用于军事等含有显著等级观念行业或领域。3)主体访问等级和客体安全等级划分和现实 要求无法一致，在同等级间缺乏控制机制，管理不使。因为只有子系统管理员才能制订 出适宜 该子系统访问控制模式，而整个系统 管理员不可能指定出适合各个子系统统一访问控制模式。4）完整性方面控制不够。关键强调 信息从低安全级向高安全级方向流动，对高安全级信息完整性保护强调 不够。基于角色优点：1）经过角色概念引入 ，实现 了用户和访问权限逻辑分离，即先给角色分配权限，再给用户分配 对应角色 ，从而该用户含有了和该 角色相关联权限，2）实现 了依据用户在系统 中所处位置及作用设置对应访问权限；3）RBAC以对角色控制民替换了DAC和MAC中直接对用户控制，增加了系统 灵活性；4）最小特权标准实施，确保 了用户只含有完成任务所必需权限，预防了用户含有过大对系统 资源进行访问权限；5）方便管理 员对权限管理 。在定义好了权限和角色后，只需进行简单角色分配 或取消，即可完成用户权限分配 和取消。缺点：1）在RBAC中进行了职责分离，使得原来 对身份标识窃取恶化为对角色窃取；2）任何一个对象或主体会所以损害 到整个对象 组织或用户组；3）角色继承不加限制权限授予会造成违反安全性策略；4）角色重合模糊本所、为用户指定多个 角色和将对象指定到多个对象访问组，会使错误 配置成为一个实际风险；5）最终RBAC角色层次图中很多全部只有理论和算法描述，实现困难，而且很多理论框架仍然不清楚，没有完整代数描述。对于模型中限制研究将角色互斥进行分类，定义了理论上安全等级，不过实际 中几乎无法使用，仅有理论意义。再有，很多模型代数描述很复杂，很抽象，极难了解，需要很好数学基础，不易推广。基于角色控制策略：基于角色访问控制（RBAC）是实施面向企业安全策略一个有效访问控制方法。其基础思想是，对系统操作多种权限不是直接授予具体用户，而是在用户集合和权限集合之间建立一个角色集合。每一个角色对应一组对应权限。一旦用户被分配了合适角色后，该用户就拥有此角色全部操作权限。这么做好处是，无须在每次创建用户时全部进行分配权限操作，只要分配用户对应角色即可，而且角色权限变更比用户权限变更要少得多，这么将简化用户权限管理，降低系统开销。 就基于角色访问控制而言，访问决议是基于角色，个体用户是某个组织一部分。用户含有指派角色。定义角色过程应该基于对组织 运转根本分析，应该包含来自一个组织中更广范围用户输入。 访问权按角色名分组，资源使用受限于授权给假定关联角色个体。