權(quán)限分析文檔

基于RBAC的權(quán)限設(shè)計(jì)模型：

?

1??????? RBAC 介紹

RBAC 模型作為目前最為廣泛接受的權(quán)限模型。

NIST （The National Institute of Standards and Technology，美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院）標(biāo)準(zhǔn)RBAC模型由4個(gè)部件模型組成，這4個(gè)部件模型分別是基本模型RBAC0（Core RBAC）、角色分級(jí)模型RBAC1（Hierarchal RBAC）、角色限制模型RBAC2（Constraint RBAC）和統(tǒng)一模型RBAC3（Combines RBAC）^[1]。RBAC0模型如圖1所示。

圖表 1 RBAC 0 模型

l ???????? RBAC0 定義了能構(gòu)成一個(gè)RBAC控制系統(tǒng)的最小的元素集合

在RBAC之中,包含用戶(hù)users(USERS)、角色roles(ROLES)、目標(biāo)objects(OBS)、操作operations(OPS)、許可權(quán)permissions(PRMS)五個(gè)基本數(shù)據(jù)元素，權(quán)限被賦予角色,而不是用戶(hù)，當(dāng)一個(gè)角色被指定給一個(gè)用戶(hù)時(shí)，此用戶(hù)就擁有了該角色所包含的權(quán)限。會(huì)話sessions是用戶(hù)與激活的角色集合之間的映射。RBAC0與傳統(tǒng)訪問(wèn)控制的差別在于增加一層間接性帶來(lái)了靈活性，RBAC1、RBAC2、RBAC3都是先后在RBAC0上的擴(kuò)展。

l ???????? RBAC1 引入角色間的繼承關(guān)系

角色間的繼承關(guān)系可分為一般繼承關(guān)系和受限繼承關(guān)系。一般繼承關(guān)系僅要求角色繼承關(guān)系是一個(gè)絕對(duì)偏序關(guān)系，允許角色間的多繼承。而受限繼承關(guān)系則進(jìn)一步要求角色繼承關(guān)系是一個(gè)樹(shù)結(jié)構(gòu)。

l ???????? RBAC2 模型中添加了責(zé)任分離關(guān)系

RBAC2 的約束規(guī)定了權(quán)限被賦予角色時(shí),或角色被賦予用戶(hù)時(shí),以及當(dāng)用戶(hù)在某一時(shí)刻激活一個(gè)角色時(shí)所應(yīng)遵循的強(qiáng)制性規(guī)則。責(zé)任分離包括靜態(tài)責(zé)任分離和動(dòng)態(tài)責(zé)任分離。約束與用戶(hù)-角色-權(quán)限關(guān)系一起決定了RBAC2模型中用戶(hù)的訪問(wèn)許可。

l ???????? RBAC3 包含了RBAC1和RBAC2

既提供了角色間的繼承關(guān)系，又提供了責(zé)任分離關(guān)系。

建立角色定義表。定出當(dāng)前系統(tǒng)中角色。

因?yàn)橛欣^承的問(wèn)題，所以角色體現(xiàn)出的是一個(gè)樹(shù)形結(jié)構(gòu)。

2??????? 權(quán)限設(shè)計(jì)：

?

配置資源以及資源的操作 ： 這里資源可以定義為一個(gè)通用的資源模型。提供通用的資源統(tǒng)一接口。

?

?

?

?

?

數(shù)據(jù)庫(kù) ER 圖：

?

關(guān)系圖：

?

?

?

3??????? 分析：

?

??? 根據(jù)以上的類(lèi)關(guān)系圖和ER圖可以看出。整個(gè)權(quán)限可以抽象為五個(gè)對(duì)象組成。

OrgBean : 用于描述org模型。

Role ： 用于描述角色。

Permission ： 用于描述權(quán)限。

Resource ： 用于描述資源。

Operation ： 用于描述操作。

?

其中Permission中有Resource , Operation 的聚合，資源和操作組成權(quán)限。

Role 和 Permission 都有自包含。因?yàn)樵O(shè)計(jì)到權(quán)限的繼承。

資源Resource 也可能出現(xiàn)一顆樹(shù)形結(jié)構(gòu)，那資源也要有自包含。

?

思想 :

權(quán)限系統(tǒng)的核心由以下三部分構(gòu)成： 1. 創(chuàng)造權(quán)限， 2. 分配權(quán)限， 3. 使用權(quán)限，然后，系統(tǒng)各部分的主要參與者對(duì)照如下： 1. 創(chuàng)造權(quán)限 - Creator 創(chuàng)造， 2. 分配權(quán)限 - Administrator 分配， 3. 使用權(quán)限 - User ：

1. Creator 創(chuàng)造 Privilege ， Creator 在設(shè)計(jì)和實(shí)現(xiàn)系統(tǒng)時(shí)會(huì)劃分，一個(gè)子系統(tǒng)或稱(chēng)為模塊，應(yīng)該有哪些權(quán)限。這里完成的是 Privilege 與 Resource 的對(duì)象聲明，并沒(méi)有真正將 Privilege 與具體 Resource 實(shí)例聯(lián)系在一起，形成 Operator 。

2. Administrator 指定 Privilege 與 Resource Instance 的關(guān)聯(lián) 。在這一步， 權(quán)限真正與資源實(shí)例聯(lián)系到了一起， 產(chǎn)生了 Operator （ Privilege Instance ）。 Administrator 利用 Operator 這個(gè)基本元素，來(lái)創(chuàng)造他理想中的權(quán)限模型。如，創(chuàng)建角色，創(chuàng)建用戶(hù)組，給用戶(hù)組分配用戶(hù)，將用戶(hù)組與角色關(guān)聯(lián)等等 ... 這些操作都是由 Administrator 來(lái)完成的。

3. User 使用 Administrator 分配給的權(quán)限去使用各個(gè)子系統(tǒng)。 Administrator 是用戶(hù)，在他的心目中有一個(gè)比較適合他管理和維護(hù)的權(quán)限模型。于是，程序員只要回答一個(gè)問(wèn)題，就是什么權(quán)限可以訪問(wèn)什么資源，也就是前面說(shuō)的 Operator 。程序員提供 Operator 就意味著給系統(tǒng)穿上了盔甲。 Administrator 就可以按照他的意愿來(lái)建立他所希望的權(quán)限框架 可以自行增加，刪除，管理 Resource 和 Privilege 之間關(guān)系?？梢宰孕性O(shè)定用戶(hù) User 和角色 Role 的對(duì)應(yīng)關(guān)系。 ( 如果將 Creator 看作是 Basic 的發(fā)明者， Administrator 就是 Basic 的使用者，他可以做一些腳本式的編程 ) Operator 是這個(gè)系統(tǒng)中最關(guān)鍵的部分，它是一個(gè)紐帶，一個(gè)系在 Programmer ， Administrator ， User 之間的紐帶。

?

4??????? 權(quán)限API

? ?getPermissionByOrgGuid(String orgGuid )

??? ? 通過(guò)傳入一個(gè)org的Guid ， 拿到當(dāng)前這個(gè)org對(duì)象都具有那些訪問(wèn)權(quán)限。

?getSourcePermissionByOrgGuid(String orgGuid , String resouceGuid)

??? 通過(guò)傳入一個(gè)org的Guid 和 一個(gè)資源的Guid ， 返回改Org對(duì)當(dāng)前這個(gè)資源的訪問(wèn)權(quán)限。

?

getPermissionByResourceGuid(String resource)

??? 通過(guò)傳入一個(gè)資源的Guid ， 得到當(dāng)前資源下都有那些權(quán)限定義。

?

havingHeritPermission(String orgGuid , String resouceGuid) : Boolean

??? 傳入一個(gè)orgGuid， 資源GUID ，查看改OrgGuid下對(duì)資源是否有向下繼承的權(quán)限。這里繼承是資源的繼承。即對(duì)父欄目有權(quán)限，可以繼承下去對(duì)父欄目下的子欄目同樣有權(quán)限。

?

havingPermission(String orgGuid , String resourceGuid) : Boolean

??? 判斷某Org對(duì)某一資源是否用權(quán)限。

?

以上是粗粒度的權(quán)限API 。 以下為細(xì)粒度的權(quán)限：

?

getOperationByPermission(String permissionGuid)

??? 通過(guò)permission 的Guid 得到該permission 的所有有效操作。

?

getOperationByGuid(String permissionGuid , String resourceGuid)

??? 通過(guò)permision的Guid ， 資源的Guid 得到該資源下所有的有效操作。

?

screeningOpreationByGuid (String permissionGuid , String resourceGuid , String orgGuid)

??? 通過(guò)permission ， resource ， org的Guid 得到改Org對(duì)這一資源的有效操作。

?

hasOperation(String operationGuid) : boolean

??? 通過(guò)傳入的operationGuid 返回是否具有操作權(quán)限。

?

5??????? 權(quán)限的實(shí)現(xiàn)：

1 ．表單式認(rèn)證，這是常用的，但用戶(hù)到達(dá)一個(gè)不被授權(quán)訪問(wèn)的資源時(shí)， Web 容器就發(fā)

出一個(gè) html 頁(yè)面，要求輸入用戶(hù)名和密碼。

2 ．用 Filter 防止用戶(hù)訪問(wèn)一些未被授權(quán)的資源， Filter 會(huì)截取所有 Request/Response ，

然后放置一個(gè)驗(yàn)證通過(guò)的標(biāo)識(shí)在用戶(hù)的 Session 中，然后 Filter 每次依靠這個(gè)標(biāo)識(shí)來(lái)決定是否放行 Response 。

這個(gè)模式分為：

Gatekeeper ：采取 Filter 或統(tǒng)一 Servlet 的方式。

Authenticator ： 在 Web 中使用 JAAS 自己來(lái)實(shí)現(xiàn)。

?

Filter 攔截只是攔截該用戶(hù)是否有訪問(wèn)這個(gè)頁(yè)面，或這一資源的權(quán)限。真正做到顯示后攔截是在應(yīng)用程序內(nèi)部去做。

?

做顯示攔截提供API ， 標(biāo)簽這兩種方式。