RBAC(Role-Based Access Control - 基于角色的訪問(wèn)控制)模型是20世紀(jì)90年代研究出來(lái)的一種新模型，但從本質(zhì)上講，這種模型是對(duì)前面描述的訪問(wèn)矩陣模型的擴(kuò)展。這種模型的基本概念是把許可權(quán)（Permission）與角色（Role）聯(lián)系在一起，用戶通過(guò)充當(dāng)合適角色的成員而獲得該角色的許可權(quán)。

這種思想世紀(jì)上早在20世紀(jì)70年代的多用戶計(jì)算時(shí)期就被提出來(lái)了，但直到20世紀(jì)90年代中后期，RBAC才在研究團(tuán)體中得到一些重視。本章將重點(diǎn)介紹美國(guó)George Mason大學(xué)的RBAC96模型。

在實(shí)際的組織中，為了完成組織的業(yè)務(wù)工作，需要在組織內(nèi)部設(shè)置不同的職位，職位既表示一種業(yè)務(wù)分工，又表示一種責(zé)任與權(quán)利。根據(jù)業(yè)務(wù)分工的需要，支援被劃分為不同群體，各個(gè)群體的人根據(jù)其工作任務(wù)的需要被賦予不同的職責(zé)和權(quán)利，每個(gè)人有權(quán)了解與使用與自己任務(wù)相關(guān)的信息與資源，對(duì)于那些不應(yīng)該被知道的信息則應(yīng)該限制他們?cè)L問(wèn)。這就產(chǎn)生了訪問(wèn)控制的需求。

例如，在一個(gè)大學(xué)中，有校長(zhǎng)、副校長(zhǎng)、訓(xùn)練部長(zhǎng)、組織處長(zhǎng)、科研處長(zhǎng)、教保處長(zhǎng)等不同的職位，在通常情況下，職位所賦予的權(quán)利是不變的，但在某個(gè)職位上工作的人可以根據(jù)需要調(diào)整。RBAC模型對(duì)組織內(nèi)部的這些關(guān)系與訪問(wèn)控制要求給出了非常恰當(dāng)?shù)拿枋觥?/p>

RBAC₀的模型結(jié)構(gòu)可以參看圖ap08-02，但需要把途中的限制和角色等級(jí)兩部分不包含在RBAC₀模型中。該模型中包括用戶（U）、角色（R）和許可權(quán)（P）的那個(gè)三類實(shí)體集合，此外還有一個(gè)會(huì)話集合（S）。

其中用戶代表一個(gè)組織的職員；角色表示該組織內(nèi)部的一項(xiàng)任務(wù)的功能或某個(gè)工作職務(wù)，它也表示該角色成員所擁有的權(quán)利和職責(zé)；許可權(quán)是用戶對(duì)系統(tǒng)中各課題訪問(wèn)或操作的權(quán)利，客體是指系統(tǒng)中的數(shù)據(jù)客體和資源客體，例如，目錄、文件、記錄、端口、設(shè)備、內(nèi)存或子網(wǎng)都是客體。

許可權(quán)因客體不同而不同，例如，對(duì)于目錄、文件、設(shè)備、端口等類客體的操作權(quán)是讀、寫、執(zhí)行等；對(duì)應(yīng)數(shù)據(jù)庫(kù)管理系統(tǒng)的客體是關(guān)系、元素、屬性、記錄、庫(kù)文件、視圖等，相應(yīng)的操作權(quán)是Select、Update、Delete、Insert等；在會(huì)計(jì)應(yīng)用中，相應(yīng)的操作權(quán)是預(yù)算、信用、轉(zhuǎn)移、創(chuàng)建和刪除一個(gè)賬目等。

圖ap08-02說(shuō)明了關(guān)系用戶指派UA（User Assignment）與許可權(quán)指派PA（Permission Assignment）的含義，兩者都是多對(duì)多的關(guān)系。RBAC的關(guān)鍵就在于這兩個(gè)關(guān)系，通過(guò)它們，一個(gè)用戶將最終獲得某些許可權(quán)并執(zhí)行的權(quán)力。從圖中角色的位置可以看粗，它是用戶能夠獲取許可權(quán)的中間媒介。

會(huì)話集中的每個(gè)會(huì)話表示一個(gè)用戶可以對(duì)應(yīng)多個(gè)角色（指向角色有兩個(gè)箭頭）。在某個(gè)會(huì)話的持續(xù)期間，一個(gè)用戶可以同時(shí)激活多個(gè)角色，而該用戶所獲得的許可權(quán)是所有這些角色的所擁有許可權(quán)的并集。

每個(gè)用戶可以同時(shí)打開多個(gè)回話，每個(gè)會(huì)話都可以在工作站屏幕上用一個(gè)窗口顯示。每個(gè)會(huì)話可以有不同活動(dòng)角色的組合。RBAC₀的這一特點(diǎn)將受到最小特權(quán)原則的限制。如果一個(gè)用戶在一次會(huì)話中激活所有角色的權(quán)利超過(guò)該用戶被允許的權(quán)利，將受到最小權(quán)利原則的限制。

RBAC₁模型的特色是模型中的角色是分級(jí)的，不同級(jí)別的角色由不同的職責(zé)與權(quán)力，橘色的級(jí)別形成偏序關(guān)系。圖ap08-03說(shuō)明了角色等級(jí)的概念。在途中位置處于較高處的角色的等級(jí)高于較低位置角色的等級(jí)。利用角色的分級(jí)概念可以限制繼承的范圍（scope）。

圖 H.3. 角色分級(jí)的概念

圖中項(xiàng)目成員的等級(jí)最低，角色程序員和測(cè)試員的等級(jí)都高于角色項(xiàng)目成員，并都可以繼承項(xiàng)目成員的權(quán)利；角色管理員具有最高的等級(jí)，它可以繼承測(cè)試員和程序員的權(quán)利。為了滿足實(shí)際組織中一個(gè)角色不完全繼承另一個(gè)角色所有權(quán)利與責(zé)任的需求，模型中引入了私有角色的概念，如圖中的測(cè)試員'和程序員'分別是測(cè)試員和程序員的私有uese，它們可以分別繼承測(cè)試員和程序員的某些專用權(quán)利。

顯然，角色的等級(jí)關(guān)系具有自反性（自己可以繼承自己）、傳遞性（A繼承B，B繼承C，則A繼承C）和反對(duì)稱性（A繼承B，B繼承A，則A=B），因此是偏序關(guān)系，下面是RBAC₁的形式定義。

RBAC₂模型是在RBAC₀模型增加限制后形成的，它與RBAC₁并不兼容。RBAC₂定義如下：

RBAC₃把RBAC₁和RBAC₂組合在一起，提供角色的分級(jí)和繼承的能力。但把這兩種概念組合在一起也引起一些新問(wèn)題。

限制也可以應(yīng)用于角色等級(jí)本身，由于角色間的等級(jí)關(guān)系滿足偏序關(guān)系，這種限制對(duì)模型而言是本質(zhì)性的，可能會(huì)影響這種偏序關(guān)系。例如，附加的限制可能會(huì)限制一個(gè)給定角色的應(yīng)有的下級(jí)角色的數(shù)量。

兩個(gè)或多個(gè)角色由可能被限制成沒(méi)有公共的上級(jí)角色或下級(jí)角色。這些類型的限制在概念角色等級(jí)的權(quán)力已經(jīng)被分散化的情況下是有用哦，但是安全主管卻希望對(duì)所有允許這些改變的方法加以限制。

在限制和角色的等級(jí)之間也會(huì)產(chǎn)生敏感的相互影響。在圖ap08-03的環(huán)境中，一個(gè)項(xiàng)目成員不允許同時(shí)擔(dān)任程序言與測(cè)試員的角色，但項(xiàng)目管理員所處的位置顯然是違反了該限制。在某種情況i下由高等級(jí)的角色違反這種限制是可接受的，但在其他情況下又不允許這種違反現(xiàn)象發(fā)生。

從嚴(yán)格性的角度來(lái)講，模型的規(guī)則不應(yīng)該是一些情況下不允許而在另一情況下是允許的。類似的情況也會(huì)發(fā)生在對(duì)基數(shù)的限制上。假定限制一個(gè)用戶之多能分配給一個(gè)橘色，那么對(duì)圖中的測(cè)試員的一個(gè)指派能夠未被這種限制嗎？換句話說(shuō)，基數(shù)限制是不是只能用于直接成員，是否也能應(yīng)用于繼承成員上？

私有角色的概念可以說(shuō)明這些限制是有用的。同樣在圖ap08-03的環(huán)境中，可以把測(cè)試員'，程序員'和項(xiàng)目管理員3個(gè)角色說(shuō)明為互斥的，它們處于同一等級(jí)，沒(méi)有共同的上級(jí)角色，所以管理員角色沒(méi)有違反互斥限制。通常私有角色和其他角色之間沒(méi)有公共上級(jí)角色，因?yàn)樗鼈兪沁@個(gè)等級(jí)的最大元素，所以私有角色之間互斥關(guān)系可以無(wú)沖突的定義。

諸私有角色之間的相同部分可以被說(shuō)明為具有0成員的最大技術(shù)限制。根據(jù)這種方法，測(cè)試員必須被指派給測(cè)試員'這個(gè)角色，而測(cè)試員角色就作為與管理員角色共享許可權(quán)的一種工具。

在前面的討論中，我們都假設(shè)RBAC的所有組件都是由單個(gè)的安全員來(lái)管理里。但是，對(duì)于一個(gè)大系統(tǒng)而言，系統(tǒng)中的角色可能成百上千，再加上它們之間的復(fù)雜關(guān)系，使得集中式的管理任務(wù)成為非常可怕的工作，因此通常由幾個(gè)管理員小組來(lái)完成。能否用RBAC管理自己本身呢？

RBAC的管理模型示于圖ap08-04。該圖的上半部分本質(zhì)上與圖ap08-02相同，圖中的限制時(shí)針對(duì)所有成分的，圖的下半部分是對(duì)上半部分關(guān)于管理角色AR和管理許可權(quán)AP與正規(guī)角色集R和許可權(quán)集P是分別不可相交的。這個(gè)模型顯示，正規(guī)許可權(quán)只能分配給正規(guī)角色（RBAC模型中定義的角色），管理許可權(quán)只能分配給管理角色。

管理許可權(quán)AP有權(quán)改變組成RBAC₀、RBAC₁、RBAC₂或RBAC₃的所有成分，但正規(guī)許可權(quán)P不能。管理許可權(quán)與正規(guī)許可權(quán)不相交，即AP∩P=。管理許可權(quán)和正規(guī)許可權(quán)只能分別分配給管理角色AR和正規(guī)角色R，并且AR∩R=。

圖 H.4. 管理模型示意圖

在圖ap08-04的上半部可以對(duì)應(yīng)RBAC₀、RBAC₁、RBAC₂和RBAC₃模型，類似地下半部可以對(duì)應(yīng)ARBAC₀、ARBAC₁、ARBAC₂和ARBAC₃模型，此處的A表示“管理”。ARBAC₀~ARBAC₃形成了RBAC的管理模型族，成為ARBAC97。通常我們期望管理模型比RBAC模型本身簡(jiǎn)單一些，因此可以利用ARBAC₀管理RBAC₃，而不是用ARBAC₃去管理RBAC₀模型。

URA87：用戶-角色指派。該組件涉及用戶-指派關(guān)系UA的管理，該關(guān)系把用戶與角色關(guān)聯(lián)在一起。對(duì)該關(guān)系的修改權(quán)由管理角色控制，這樣，管理角色中的成員有權(quán)管理正規(guī)角色中的成員關(guān)系。把一個(gè)用戶指定為管理角色是在URA97以外完成的，并假定是由安全員完成的。

PRA97：許可權(quán)-角色指派。該組件涉及角色-許可權(quán)的指派與撤銷。從角色觀點(diǎn)來(lái)看，用戶和許可權(quán)有類似的特點(diǎn)，它們都是由角色聯(lián)系在一起的實(shí)在實(shí)體。因此，可以把PRA97看做是URA97的對(duì)偶組件。

RRA97：角色-角色指派。為了便于對(duì)角色的管理，對(duì)角色又進(jìn)行了分類。該組件涉及3類角色，它們是：

區(qū)別這三類模型的主要原因是可以應(yīng)用不同的管理模型去建立不同類型角色之間的關(guān)系。區(qū)分的動(dòng)因首先是對(duì)能力的考慮，能力是許可權(quán)的集合，可以把該集合中所有許可權(quán)作為一個(gè)單位指派給一個(gè)角色。類似的，組是用戶的集合，可以把該集合中所有許可權(quán)作為一個(gè)單位指派給一個(gè)角色。組和能力角色都似乎可以劃分等級(jí)的。

在一個(gè)UP-角色中，一個(gè)能力是否是其的一個(gè)成員是由UP-角色是否支配該能力決定的，如果支配就是，否則就不是。相反的，如果一個(gè)UP-角色被一個(gè)組角色支配，則這個(gè)組就是該UP-角色的成員。

對(duì)ARBAC97管理模型的研究還在繼續(xù)之中，對(duì)能力-指派與組-指派的形式化已基本完成，對(duì)UP-角色概念的研究成果還未形式化。

符合各類組織機(jī)構(gòu)的安全管理需求。RBAC模型支持最小特權(quán)原則、責(zé)任分離原則，這些原則是任何組織的管理工作都需要的。這就使得RBAC模型由廣泛的應(yīng)用前景。

RBAC模型支持?jǐn)?shù)據(jù)抽象原則和繼承概念。由于目前主流程序設(shè)計(jì)語(yǔ)言都支持面向?qū)ο蠹夹g(shù)，RBAC的這一特性便于在實(shí)際系統(tǒng)中應(yīng)用實(shí)現(xiàn)。

模型中概念與實(shí)際系統(tǒng)緊密對(duì)應(yīng)。RBAC模型中的角色、用戶和許可權(quán)等概念都是實(shí)際系統(tǒng)實(shí)際存在的實(shí)體，便于設(shè)計(jì)者建立現(xiàn)存的或待建系統(tǒng)的RBAC模型。

RBAC模型仍素具訪問(wèn)控制類模型，本質(zhì)是對(duì)訪問(wèn)矩陣模型的擴(kuò)充，能夠很好的解決系統(tǒng)中主體對(duì)客氣的訪問(wèn)控制訪問(wèn)權(quán)力的分配與控制問(wèn)題，但模型沒(méi)有提供信息流控制機(jī)制，還不能完全滿足信息系統(tǒng)的全部安全需求。

雖然也有人認(rèn)為可以用RBAC去仿真基于格的訪問(wèn)控制系統(tǒng)（LBAC），但RBAC對(duì)系統(tǒng)內(nèi)部信息流的控制不是直觀的，需要模型外的功能支持。有關(guān)信息流控制的作用域原理將在第四章介紹，屆時(shí)讀者可以進(jìn)一步理解RBAC模型的這種缺陷。

RBAC模型沒(méi)有提供操作順序控制機(jī)制。這一缺陷使得RBAC模型很難應(yīng)用關(guān)于那些要求有嚴(yán)格操作次序的實(shí)體系統(tǒng)，例如，在購(gòu)物控制系統(tǒng)中要求系統(tǒng)對(duì)購(gòu)買步驟的控制，在客戶未付款之前不應(yīng)讓他把商品拿走。RBAC模型要求把這種控制機(jī)制放到模型外去實(shí)現(xiàn)。

RBAC96模型和RBAC97uanli模型都故意回避了一些問(wèn)題，如是否允許一個(gè)正在會(huì)話的用戶再創(chuàng)建一個(gè)新會(huì)話，管理模型不支持用戶和許可權(quán)的增加與刪除等管理工作燈，都是需要解決而未提供支持的問(wèn)題，這些問(wèn)題都還在研究中，但是如果缺少這些能力的支持，模型的而應(yīng)用也將受到影響。相反，訪問(wèn)絕陣模型提供了用戶和權(quán)限修改功能，因此，不能說(shuō)RBAC模型能夠完全取代訪問(wèn)矩陣模型。