基于RBAC模型的通用企业权限管理系统

基于RBAC模型的通⽤企业权限管理系统

1. 为什么我们需要基于RBAC模型的通⽤企业权限管理系统

管理信息系统是⼀个复杂的⼈机交互系统，其中每个具体环节都可能受到安全威胁。构建强健的权限管理系统，保证管理信息系统的安全性

是⼗分重要的。权限管理系统是管理信息系统中代码重⽤性最⾼的模块之⼀。任何多⽤户的系统都不可避免的涉及到相同的权限需求，都需

要解决实体鉴别、数据保密性、数据完整性、抗否认和访问控制等安全服务(据ISO7498-2)。例如，访问控制服务要求系统根据操作者已经

设定的操作权限，控制操作者可以访问哪些资源，以及确定对资源如何进⾏操作。

⽬前，权限管理系统也是重复开发率最⾼的模块之⼀。在企业中，不同的应⽤系统都拥有⼀套独⽴的权限管理系统。每套权限管理系统只满

⾜⾃⾝系统的权限管理需要，⽆论在数据存储、权限访问和权限控制机制等⽅⾯都可能不⼀样，这种不⼀致存在如下弊端：

l 系统管理员需要维护多套权限管理系统，重复劳动。

l ⽤户管理、组织机构等数据重复维护，数据⼀致性、完整性得不到保证。

l 由于权限管理系统的设计不同，概念解释不同，采⽤的技术有差异，权限管理系统之间的集成存在问题，实现单点登录难度⼗分⼤，也给

企业构建企业门户带来困难。

采⽤统⼀的安全管理设计思想，规范化设计和先进的技术架构体系，构建⼀个通⽤的、完善的、安全的、易于管理的、有良好的可移植性和

扩展性的权限管理系统，使得权限管理系统真正成为权限控制的核⼼，在维护系统安全⽅⾯发挥重要的作⽤，是⼗分必要的。

2. 我们需要了解哪些知识点

2.1. RBAC模型

标准RBAC模型由4个部件模型组成，这4个部件模型分别是基本模型RBAC0（Core RBAC）、⾓⾊分级模型RBAC1（Hierarchal

RBAC）、⾓⾊限制模型RBAC2（Constraint RBAC）和统⼀模型RBAC3（Combines RBAC）

a. RBAC0定义了能构成⼀个RBAC控制系统的最⼩的元素集合。在RBAC之中,包含⽤户urs(USERS)、⾓⾊roles(ROLES)、⽬标

objects(OBS)、操作operations(OPS)、许可权permissions(PRMS)五个基本数据元素，权限被赋予⾓⾊,⽽不是⽤户，当⼀个⾓⾊被指定给

⼀个⽤户时，此⽤户就拥有了该⾓⾊所包含的权限。会话ssions是⽤户与激活的⾓⾊集合之间的映射。RBAC0与传统访问控制的差别在

于增加⼀层间接性带来了灵活性，RBAC1、RBAC2、RBAC3都是先后在RBAC0上的扩展。

b. RBAC1引⼊⾓⾊间的继承关系，⾓⾊间的继承关系可分为⼀般继承关系和受限继承关系。⼀般继承关系仅要求⾓⾊继承关系是⼀个绝对

偏序关系，允许⾓⾊间的多继承。⽽受限继承关系则进⼀步要求⾓⾊继承关系是⼀个树结构。

c. RBAC2模型中添加了责任分离关系。RBAC2的约束规定了权限被赋予⾓⾊时,或⾓⾊被赋予⽤户时,以及当⽤户在某⼀时刻激活⼀个⾓⾊

时所应遵循的强制性规则。责任分离包括静态责任分离和动态责任分离。约束与⽤户-⾓⾊-权限关系⼀起决定了RBAC2模型中⽤户的访问许

可。

d. RBAC3包含了RBAC1和RBAC2，既提供了⾓⾊间的继承关系，⼜提供了责任分离关系。

2.2. 组织机构

企业组织架构包含三个⽅⾯的内容：单位、部门和岗位。 ⼀个单位可以设置多个部门，部门是组成单位的部分。⼀个部门可以设置多个岗

位，岗位是职⼯职务、⼯作任务和责任、权限的统⼀。⼀个部门只能设定⼀个部门主管岗位，⼀个岗位可以由多个员⼯担任，员⼯是指机构

中各种⽤⼯形式的⼈员。

相关术语

l 任务 是为了达到某⼀特定⽬标或者完成领导交待的⼯作⽽进⾏的⼀项活动。

l 职务 指对职⼯所应承担事务的规定。它与职位的不同点在于强调所承担的任务内容，⽽不是指任务的地点。

l 责任 指份内应做的事。即职⼯在职务规定的范围内应尽责尽职、保质保量地完成任务。

l 职责 职务和责任的统⼀。专指须有⼀名职⼯担负的各项任务组成的⼯作活动。

3. 我们怎么设计基于RBAC模型的通⽤企业权限管理系统

根据RBAC模型的权限设计思想，建⽴权限管理系统的核⼼对象模型。对象模型中包含的基本元素主要有：组织机构（Organization）、部

门（Department）、岗位（Post）、⽤户（Ur）、⾓⾊（Role）、系统功能（Function）、权限（Permission）。主要的关系有：分配

⾓⾊权限PA（Permission Assignment）、分配⽤户⾓⾊UA（Ur Assignmen），具体描述如下：

a. 组织机构：使⽤系统的主体。

b. 部门：是组成单位的部分。

c. 岗位：是职⼯职务、⼯作任务和责任、权限的统⼀。

d. ⽤户：是权限的拥有者或主体。⽤户和权限实现分离，通过授权管理进⾏绑定。

e. ⾓⾊：权限分配的单位与载体。⾓⾊通过继承关系⽀持分级的权限实现。例如，科长⾓⾊同时具有科长⾓⾊、科内不同业务⼈员⾓⾊。

f. 系统功能：是系统所要保护的资源（Resource），可以被访问的对象。

g. 权限：对受保护的资源操作的访问许可(Access Permission)，是绑定在特定的资源实例上的。

h. 分配⾓⾊权限PA：实现操作和⾓⾊之间的关联关系映射。

i. 分配⽤户⾓⾊UA：实现⽤户和⾓⾊之间的关联关系映射。

我们对元素之间的关系作如下限制：

a. ⼀个单位可以设置多个部门

b. ⼀个部门可以设置多个岗位

c. ⼀个部门只能设定⼀个部门主管岗位

d. ⼀个岗位可以由多个员⼯担任

e. ⼀⼈员⼯担任多个岗位

f. ⼀个⽤户可以拥有多个⾓⾊

g. ⼀个⾓⾊可以由多个⽤户拥有