基于角色的訪問控制系統(tǒng)設(shè)計與實現(xiàn)

1、xxx大學(xué)信息工程學(xué)院網(wǎng)絡(luò)信息安全課程論文基于角色的訪問控制系統(tǒng)設(shè)計與實現(xiàn)學(xué)生姓名xxx學(xué)號xxx所屬學(xué)院信息工程學(xué)院專業(yè)計算機(jī)科學(xué)與技術(shù)班級計算機(jī)xxx指導(dǎo)教師xxx塔里木大學(xué)教務(wù)處制目錄摘要3第1章：緒論31.1 研究背景31.2 課題研究的意義3第2章rbac訪問控制技術(shù)發(fā)展?fàn)顩r42.1國內(nèi)外發(fā)展?fàn)顩r42.2 rbac在實際應(yīng)用方面的意義和價值4第3章基于角色的訪問控制系統(tǒng)設(shè)計與實現(xiàn)53.1 rbac的基本概念53.2 權(quán)限樹的設(shè)計與實現(xiàn)63.3 用戶管理模塊83.4 角色管理模塊93.5 權(quán)限管理模塊103.6 用戶角色的授權(quán)模塊113.7 用戶角色的激活模塊11第4章系統(tǒng)運(yùn)行模型12

2、4.1用戶認(rèn)證124.2安全訪問控制134.3 測試驗證點13第5章實驗結(jié)果13第6章總結(jié)與展望15基于角色的訪問控制系統(tǒng)的設(shè)計與實現(xiàn)摘要：訪問控制就是當(dāng)系統(tǒng)資源受到未經(jīng)授權(quán)的非法操作時，能夠提供適當(dāng)?shù)谋Ｗo(hù)措施。訪問控制實質(zhì)上是對資源使用的限制，決定主體是否可以對客體執(zhí)行某種操作。本訪問控制系統(tǒng)，通過引入角色的概念，將用戶映射為在一個組織中的某種角色，把訪問權(quán)限授權(quán)給相應(yīng)的角色，根據(jù)用戶擁有的角色進(jìn)行訪問授權(quán)與控制，有效整合了傳統(tǒng)訪問控制技術(shù)的優(yōu)勢，又克服了它們的不足，使得制訂和執(zhí)行保護(hù)策略的過程更加靈活，也簡化了管理員的管理工作。本訪問控制方面采用了基于rbac97的訪問控制模型，提出了角色

3、分級管理算法及授權(quán)增量設(shè)置原則，為電力通信資源管理系統(tǒng)的用戶、業(yè)務(wù)、底層數(shù)據(jù)提供授權(quán)、訪問控制、及權(quán)限管理的功能。并提供了一個圖形化的角色管理工具來簡化管理員的工作；由于本訪問控制系統(tǒng)構(gòu)建于j2ee的mvc模式之上，并基于rmi通信技術(shù)，使得它能夠作為客戶ui層與其他各層的中間件，為業(yè)務(wù)功能層提供授權(quán)與訪問控制接口，以實現(xiàn)不同功能的業(yè)務(wù)視圖。為底層數(shù)據(jù)層提供數(shù)據(jù)控制接口，以實現(xiàn)對不同數(shù)據(jù)資源的安全訪問功能。關(guān)鍵詞：rbac 權(quán)限管理；角色；反射；自定義屬性；第1章：緒論1.1 研究背景近年來，隨著全球網(wǎng)絡(luò)化的熱潮，計算機(jī)網(wǎng)絡(luò)技術(shù)正在日益廣泛而深入地被應(yīng)用到社會各個領(lǐng)域中，并深刻地改變著社會的面

4、貌，同時我們也看到網(wǎng)絡(luò)安全問題的重要性日益突出，尤其在商業(yè)、金融等領(lǐng)域的網(wǎng)絡(luò)應(yīng)用中，能否保證網(wǎng)絡(luò)具有足夠的安全性是首先要考慮的問題。由于網(wǎng)絡(luò)上所傳輸?shù)男畔?，往往關(guān)系著個人或企業(yè)機(jī)密，為了保護(hù)這些信息不會被非法使用和竊取，必須要采取措施以確保信息網(wǎng)絡(luò)的安全。所以信息系統(tǒng)出了要確認(rèn)使用者的身份是否合法外，還需判定某些資源對于該使用者來說是否有權(quán)限使用或更改，這便是信息安全的基本功能之一，成為訪問控制技術(shù)（access control）1.2 課題研究的意義基于角色的訪問控制策略在網(wǎng)絡(luò)環(huán)境中，能夠限制和控制通過通信鏈路對主機(jī)系統(tǒng)和應(yīng)用的訪問。為了達(dá)到這種控制，每個想獲得訪問的實體都必須經(jīng)過鑒別或身份

5、驗證。它被認(rèn)為是一種更普遍使用的訪問控制模型，可以有效表達(dá)和鞏固特定事物的安全策略，有效緩解傳統(tǒng)安全管理處理瓶頸問題。它具有減少授權(quán)管理復(fù)雜性，降低管理開銷，并能提供與綜合系統(tǒng)組織結(jié)構(gòu)相一致的安全策略的優(yōu)勢，被公認(rèn)是大型信息管理應(yīng)用環(huán)境中實現(xiàn)授權(quán)管理的最佳方案。第2章rbac訪問控制技術(shù)發(fā)展?fàn)顩r2.1國內(nèi)外發(fā)展?fàn)顩rrbac(role-based access control)是近年來在信息安全領(lǐng)域訪問控制方面的研究熱點和重點。它和dac、mac稱為三大訪問控制策略。第一次使用rbac術(shù)語，是david ferraiolo和rick kuhn于1992年在美國國家標(biāo)準(zhǔn)技術(shù)局的第15屆國家計算機(jī)安

6、全會議提出來的。之后，出現(xiàn)了各個不同rbac模型，其中，以ravi sandhu等人提出的rbac96模型最為典型，從而掀起了一股研究rbac的浪潮。1995年11月召開了第一次acm-rbac大會清題為基于角色訪問控制的acm大會)，在這次大會中所有專家一致認(rèn)為基于角色的訪問控制和技術(shù)非常實用，應(yīng)該繼續(xù)深入探討。在rbac研究歷程中，1996年美國george mansion univ.ravi s.sandhu教授在ieee computer上發(fā)表的一篇學(xué)術(shù)論文role-based access control。在該文中sandhu教授正式提出了rbac96模型家族，它對rbac進(jìn)一步的深

7、入研究奠定了基礎(chǔ)。此后國內(nèi)外研究者在rbac96模型家族的基礎(chǔ)上提出了許多擴(kuò)展模型。目前國外rbac研究機(jī)構(gòu)主要是美國nist和george mansion univ.list實驗室（prof.ravi.sandhu）。nist主要是進(jìn)行rbac及其相關(guān)模型的標(biāo)準(zhǔn)化工作，list側(cè)重于對rbac、rbdm及其擴(kuò)展模型的創(chuàng)建、形式化描述，評價分析，以及在web中的應(yīng)用等。國內(nèi)最早的相關(guān)學(xué)術(shù)論文是1994年華中理工大學(xué)馬建平的碩士學(xué)位論文一種無干擾的訪問控制模型。而國內(nèi)與國外比較，國內(nèi)主要是學(xué)術(shù)機(jī)構(gòu)如中國科學(xué)院軟件研究所和華中科技大學(xué)計算機(jī)科學(xué)與工程系，他們正在對rbac模型擴(kuò)展和應(yīng)用方面進(jìn)行深入

8、的研究。尚無比較成熟基于角色的訪問控制(rbac)及應(yīng)用研究的rbac安全訪問控制產(chǎn)品。2.2 rbac在實際應(yīng)用方面的意義和價值rbac模型不可能單一，可以從非常簡單到非常復(fù)雜，實際上rbac是一個沒有邊界的模型。同時，這方面的研究也才剛剛開始，如管理模型、授權(quán)和個性化和跨組織分布式系統(tǒng)等等。因此，rbac還有非常豐富的研究領(lǐng)域。對于一個大型系統(tǒng)，角色的數(shù)量成百上千，管理這些角色和它們之間的關(guān)系將會是一個可怕的任務(wù)，如何有效地管理rbac則成為一個新的問題。rbac的最大優(yōu)勢在于它對授權(quán)管理的支持。通常的訪問控制實現(xiàn)萬法，將用戶與訪問權(quán)限直接相聯(lián)系，當(dāng)組織內(nèi)人員新增或有人離開時，或者某個用戶

9、的職能發(fā)生變化時，需要進(jìn)行大量授權(quán)更改工作。而在rbac中，角色作為一個橋梁，溝通于用戶和資源之間。對用戶的訪問授權(quán)轉(zhuǎn)變?yōu)閷巧氖跈?quán)，然后再將用戶與特定的角色聯(lián)系起來。一個rbac系統(tǒng)建立起來以后，主要的管理工作即為授權(quán)或取消用戶的角色。rbac的另一優(yōu)勢在于:系統(tǒng)管理員在一種比較抽象且與企業(yè)通常的業(yè)務(wù)管理相類似的層次上。根據(jù)nist在2002年一月份的一份調(diào)查報告 (the economic impact ofrole-based access control)，分析了rbac的諸多優(yōu)點以及實施rbac所產(chǎn)生的經(jīng)濟(jì)效益統(tǒng)計分析，得出如下結(jié)論:（1）rbac從投入到公司/企業(yè)應(yīng)用，到從rba

10、c帶來的好處中獲益，根據(jù)公司的大小不同，需要1到3個季度:這段期間是rbac與舊系統(tǒng)的合并與融合期；（2）rbac的npv(net present value凈產(chǎn)值)是實施rbac的成本的69倍到158倍；rbac的irr(internal rate of return，內(nèi)部收益率)是39%到90%。從上可以看出，其中蘊(yùn)藏的商機(jī)是巨大的。尤其隨著國家電子政務(wù)的推行，政府機(jī)構(gòu)的辦公自動化程度、企業(yè)信息化程度的提高，在政府、金融、信息資源管理等領(lǐng)域，rbac將有越來越廣闊的應(yīng)用發(fā)展前景。第3章基于角色的訪問控制系統(tǒng)設(shè)計與實現(xiàn)3.1rbac的基本概念rbac認(rèn)為權(quán)限授權(quán)實際上是who、what、ho

11、w的問題。在rbac模型中，who、what、how構(gòu)成了訪問權(quán)限三元組,也就是“who對what(which)進(jìn)行how的操作”。who：權(quán)限的擁用者或主體（如principal、user、group、role、actor等等）what：權(quán)限針對的對象或資源（resource、class）。how：具體的權(quán)限（privilege,正向授權(quán)與負(fù)向授權(quán)）。operator：操作。表明對what的how操作。也就是privilege+resourcerole：角色，一定數(shù)量的權(quán)限的集合。權(quán)限分配的單位與載體,目的是隔離user與privilege的邏輯關(guān)系.group：用戶組，權(quán)限分配的單位與載體

12、。權(quán)限不考慮分配給特定的用戶而給組。組可以包括組(以實現(xiàn)權(quán)限的繼承)，也可以包含用戶，組內(nèi)用戶繼承組的權(quán)限。user與group是多對多的關(guān)系。group可以層次化，以滿足不同層級權(quán)限控制的要求。rbac的關(guān)注點在于role和user, permission的關(guān)系。稱為user assignment(ua)和permission assignment(pa).關(guān)系的左右兩邊都是many-to-many關(guān)系。就是user可以有多個role，role可以包括多個user。凡是用過rdbms都知道，n:m 的關(guān)系需要一個中間表來保存兩個表的關(guān)系。這ua和pa就相當(dāng)于中間表。事實上，整個rbac都是基

13、于關(guān)系模型。session在rbac中是比較隱晦的一個元素。標(biāo)準(zhǔn)上說：每個session是一個映射，一個用戶到多個role的映射。當(dāng)一個用戶激活他所有角色的一個子集的時候，建立一個session。每個session和單個的user關(guān)聯(lián)，并且每個user可以關(guān)聯(lián)到一或多個session.在rbac系統(tǒng)中，user實際上是在扮演角色(role)，可以用actor來取代user，這個想法來自于business modeling with uml一書actor-role模式?？紤]到多人可以有相同權(quán)限，rbac引入了group的概念。group同樣也看作是actor。而user的概念就具象到一個人。這里

14、的group和gbac（group-based access control）中的group（組）不同。gbac多用于操作系統(tǒng)中。其中的group直接和權(quán)限相關(guān)聯(lián)，實際上rbac也借鑒了一些gbac的概念。group和user都和組織機(jī)構(gòu)有關(guān)，但不是組織機(jī)構(gòu)。二者在概念上是不同的。組織機(jī)構(gòu)是物理存在的公司結(jié)構(gòu)的抽象模型，包括部門，人，職位等等，而權(quán)限模型是對抽象概念描述。組織結(jié)構(gòu)一般用martin fowler的party或責(zé)任模式來建模。party模式中的person和user的關(guān)系，是每個person可以對應(yīng)到一個user，但可能不是所有的user都有對應(yīng)的person。party中的部門

15、department或組織organization，都可以對應(yīng)到group。反之group未必對應(yīng)一個實際的機(jī)構(gòu)。例如，可以有副經(jīng)理這個group，這是多人有相同職責(zé)。引入group這個概念，除了用來解決多人相同角色問題外，還用以解決組織機(jī)構(gòu)的另一種授權(quán)問題：例如，a部門的新聞我希望所有的a部門的人都能看。有了這樣一個a部門對應(yīng)的group，就可直接授權(quán)給這個group。3.2 權(quán)限樹的設(shè)計與實現(xiàn)（一）權(quán)限樹設(shè)計思想在我們的系統(tǒng)中，主要的權(quán)限區(qū)別來源于不同的業(yè)務(wù)模塊，如告警處理，拓?fù)涮幚恚瑪?shù)據(jù)備份處理，系統(tǒng)安全處理，等?；诖?，因此我們采用基于業(yè)務(wù)流的樹形結(jié)構(gòu)設(shè)計權(quán)限。使所有權(quán)限構(gòu)成一顆具有隸

16、屬關(guān)系的多叉樹。每一個權(quán)限既可以是樹的一個葉子也可以是某葉子的父節(jié)點。這樣的業(yè)務(wù)流權(quán)限多叉樹，共100個權(quán)限椰子節(jié)點，14個主干分支，一個超級用戶節(jié)點。其中的操作根據(jù)綜合通信資源信息系統(tǒng)各功能模塊的權(quán)限要求，我們定義了十四類操作，其權(quán)限樹實現(xiàn)效果如圖1所示：圖1操作類別顯示例圖每一類操作下又有相應(yīng)的分支子操作節(jié)點，如圖2：圖2操作類別中子操作顯示例圖此操作共構(gòu)造可供分配的100種操作。這100種操作組合起來可以實現(xiàn)電力通信資源信息系統(tǒng)中各模塊大部分權(quán)限設(shè)計。將這些操作與被控制的對象關(guān)聯(lián)起來，并賦予相應(yīng)的群族，再將群組指派用戶，這樣就實現(xiàn)了用戶權(quán)限的關(guān)連，實現(xiàn)了用戶的權(quán)限分配?；诖硕嗖鏄涞臋?quán)限

17、設(shè)計如果要訪問到某一權(quán)限，就需要對此權(quán)限樹做樹的遍歷。在龐大的通信資源信息系統(tǒng)中，快速的信息處理是維護(hù)通信資源的必要條件。因此如何快速的遍歷權(quán)限樹，是我們提高訪問控制系統(tǒng)性能的關(guān)鍵。（二）權(quán)限樹生成與訪問算法實現(xiàn)樹的算法采用按廣度優(yōu)先的順序遍歷以此節(jié)點為根的子樹。結(jié)合遞歸算法，生成及獲得樹中的葉子節(jié)點。1樹的生成算法。根據(jù)數(shù)據(jù)庫表，遞歸填加樹的每一個節(jié)點。1）得到數(shù)據(jù)表中某記錄的操作名及父節(jié)點，構(gòu)成一權(quán)限對象。初始化樹的根節(jié)點。將此對象與此根節(jié)點作為操作對象。2）按廣度優(yōu)先的順序遍歷，得到此節(jié)點的所有節(jié)點。3）將權(quán)限對象的父節(jié)點與得到的節(jié)點比對。為樹添加此權(quán)限對象。4）返回更新后的樹，重復(fù)第一

18、步。2樹的葉子訪問算法。遞歸得到樹中某一節(jié)點的葉子節(jié)點。1）得到某一節(jié)點及其下屬葉子。2）將此這也葉子看成一棵以自己為根的樹，在尋找其下葉子。3）判斷得到的葉子是否是最后的孩子葉子，如果是，更新孩子節(jié)點列表；否則從第一部開始。（三）權(quán)限樹的算法流程圖1樹的生成算法。根據(jù)上述算法描述，我們從數(shù)據(jù)庫表中讀取每一條操作記錄，作為operatobject，以樹的根節(jié)點開始，依算法遞歸填加樹的每一個節(jié)點。算法流程圖如圖3所示：圖3 樹的生成算法流程圖2樹的葉子訪問算法。根據(jù)算法描述，從屬的根節(jié)點出發(fā)，遞歸得到樹中某一節(jié)點的葉子節(jié)點，其算法流程圖如圖4所示：圖4 樹的葉子訪問算法流程圖3.3 用戶管理模塊

19、用戶管理模塊包括用戶的添加用戶、刪除用戶，用戶信息更改、用戶密碼更改、用戶信息瀏覽五大功能模塊。這五大功能模塊的主要實現(xiàn)方法uml圖（如圖5所示）。為了使得權(quán)限的分配靈活方便，在權(quán)限框架中規(guī)定權(quán)限管理人員可增加和刪除所對應(yīng)權(quán)限系統(tǒng)中的用戶，并可以為用戶分配任何得角色。即除了系統(tǒng)管理人員，其它的用戶也具有可創(chuàng)建新的用戶的權(quán)限，但是只能將自己擁有的角色分配給新創(chuàng)建的用戶，也只能刪除自己權(quán)限范圍內(nèi)的用戶。舉個例子，如果用戶a具有角色ri,r2，不具有角色r3，那么當(dāng)此用戶創(chuàng)建一個新用戶b時，最多只能將角色ri,r2分配給b,a無權(quán)將角色r3分配給用戶b。由此，用戶a能夠更改、刪除的用戶，也是其角色r

20、i,r2權(quán)限范圍內(nèi)的用戶，而對于角色r3權(quán)限范圍內(nèi)的用戶則無能為力。圖5 用戶管理模塊uml圖3.4角色管理模塊角色群組管理模塊包括群組的添加、刪除，用戶群組管理、群組權(quán)限管理四大功能模塊。這四大功能模塊的主要實現(xiàn)方法uml圖（如圖6所示）。對于添加一個群組，只需要操作前判別此用戶是否具有添加群組操作的權(quán)限即可。但對于刪除一個群組就沒有那么簡單了。因為要刪除的角色可能己經(jīng)被賦予了應(yīng)用系統(tǒng)中的某些用戶了。角色管理模塊中刪除某個角色r，則同時必須通知用戶管理模塊要求遍歷系統(tǒng)中的所有用戶，如果用戶具有角色r，必須將用戶角色列表中相應(yīng)的記錄刪除掉，但不能刪除用戶的基本信息，只是使得此用戶的相應(yīng)角色及相

21、應(yīng)的權(quán)限失去效應(yīng)，以保證角色管理模塊和用戶管理模塊之間的一致。同時刪除了角色r,則角色r具備的權(quán)限集p1,p2pn其中的映射關(guān)系也消亡了。對于角色模塊中的用戶群組管理和群組權(quán)限管理是用戶授權(quán)中重要的步驟之一。作為rbac策略的實現(xiàn)，用戶群組管理和群組權(quán)限管理具體的體現(xiàn)了用戶、群族、權(quán)限之間的映射關(guān)系。對于這種映射關(guān)系的管理，本文采用了角色分級管理的算法策略，對于這種關(guān)系的實現(xiàn)，本文采用了授權(quán)增量設(shè)置的算法策略，基于這兩種算法，在用戶群組管理和群組權(quán)限管理中，我們實現(xiàn)了：1給用戶分配群組時，只能對其權(quán)限范圍內(nèi)的用戶及群組進(jìn)行操作。2對于登陸用戶，不能減少或增加自身權(quán)限。即不能將自己添加到超出權(quán)限

22、范圍的群組中，也不能將自己從自身的群組中刪除。3當(dāng)對群組進(jìn)行權(quán)限指派時，不能指派超出登錄用戶權(quán)限的操作給群組。4當(dāng)對已有群組的權(quán)限進(jìn)行更改時，不能對登錄用戶權(quán)限外的群組進(jìn)行操作，也不能對權(quán)限內(nèi)群組進(jìn)行權(quán)限外操作賦值。圖6 角色管理模塊uml圖3.5 權(quán)限管理模塊權(quán)限管理模塊包括權(quán)限信息瀏覽、權(quán)限參數(shù)配置，權(quán)限參數(shù)更改三大功能模塊。這三大功能模塊的主要實現(xiàn)方法uml圖，如圖7所示：圖7 權(quán)限管理模塊uml圖權(quán)限管理模塊主要負(fù)責(zé)維護(hù)和管理權(quán)限操作與資源對象的映射關(guān)系。這個模塊是整個框架中最重要的一個部分。資源對象是指應(yīng)用系統(tǒng)中需要進(jìn)行保護(hù)的信息資源。在本訪問控制系統(tǒng)中，所有的資源對象都被封裝在相關(guān)

23、的訪問類中。對于資源對象的權(quán)限操作的指定，也遵循rbac策略，對于某一登陸用戶根據(jù)其角色權(quán)限：給資源對象分配權(quán)限操作時，只能對其權(quán)限范圍內(nèi)的權(quán)限操作進(jìn)行賦值。3.6 用戶角色的授權(quán)模塊角色授權(quán)是訪問控制系統(tǒng)的綜合權(quán)限管理的一個綜合模塊。它融合用戶管理、群組管理、權(quán)限管理并采用授權(quán)增量、最小權(quán)限算法，實現(xiàn)用戶與資源對象的訪問控制關(guān)聯(lián)。圖8的時序圖描述了這一復(fù)合功能：圖8 訪問控制授權(quán)時序圖在角色授權(quán)的時候，需要遵循兩個原則:增量設(shè)置原則和最小權(quán)限原則。1增量設(shè)置原則增量設(shè)置原則是指:如果角色1繼承角色2，則對角色1授權(quán)時，只授予它不同于角色2的權(quán)限即可，而不必重復(fù)設(shè)置它與角色2相同的權(quán)限。例如:

24、在系統(tǒng)中己經(jīng)有角色“系統(tǒng)用戶角色管理員”，該角色已經(jīng)被賦予一定權(quán)限。如果從“系統(tǒng)授權(quán)管理員”角色中繼承出一角色“系統(tǒng)角色權(quán)限管理員”，他們的權(quán)限中角色管理部分是共同的。當(dāng)用戶被賦予這兩個角色時，則只需為用戶添加“用戶、角色、權(quán)限”這三部分權(quán)限即可，而不是帶有冗余的“用戶、角色、角色、權(quán)限”，這樣的權(quán)限信息。2最小權(quán)限原則所謂最小權(quán)限原則是指:用戶所擁有的權(quán)力不能超過他所執(zhí)行工作的權(quán)限。實現(xiàn)最小權(quán)限原則，需分清用戶的工作內(nèi)容，確定執(zhí)行該項工作的最小權(quán)限集，然后將用戶限制在這些權(quán)限集的范圍之內(nèi)。在電力通信資源信息系統(tǒng)中，各職能管理分工不同，角色權(quán)限不同，只有角色需要執(zhí)行的操作才授權(quán)給角色。如“告警

25、清除”角色只賦予具有告警處理能力的職員，當(dāng)他處理完告警故障后，才可清除告警，而不是為了不去工作，看到告警忽略不計直接清除。3.7 用戶角色的激活模塊角色的激活是訪問控制中重要的一部分，如果用戶的登陸認(rèn)證成功，那么用戶相應(yīng)所屬的角色也會被激活。對于該系統(tǒng)，激活角色還需要必須的前提條件：系統(tǒng)當(dāng)前環(huán)境條件下是否允許該角色激活，即該用戶狀態(tài)為enabled或unenabled。用戶角色激活是在用戶狀態(tài)為enabled時，應(yīng)用服務(wù)器在系統(tǒng)在用戶登錄成功時將用戶、角色、權(quán)限、對象以及用戶-角色、角色-權(quán)限、權(quán)限-對象信息全部讀入內(nèi)存，訪問控制系統(tǒng)經(jīng)過算法處理后形成一個用戶的主體能力訪問列表，由此應(yīng)用程序很

26、容易判別當(dāng)前用戶的操作是否符合當(dāng)前的安全規(guī)則。這樣就完成了用戶角色的激活操作。在具體的實現(xiàn)中，首先調(diào)用資源對象中this.getclass().getname()用于返回訪問控制安全對象的唯一標(biāo)識；再調(diào)用安全檢查類中的checkloginforclassauthor(classname),如果返回的是true，那么表明信息資源訪問權(quán)限得到許可，可以對信息資源進(jìn)行操作，否則，信息資源是受到保護(hù)不可達(dá)的。圖9顯示了用戶權(quán)限的激活時序流程：圖9 用戶角色激活時序圖第4章系統(tǒng)運(yùn)行模型4.1用戶認(rèn)證使用應(yīng)用系統(tǒng)的用戶首先要進(jìn)行用戶登錄，登錄成功后，結(jié)userrole_table及roleperssion

27、_table查詢當(dāng)前用戶對所有資源的訪問權(quán)限，根據(jù)返回結(jié)果在動態(tài)生成此用戶對資源的所有權(quán)限表如見表1：表1 動態(tài)生成權(quán)限表字段類型描述resourceidint64資源accessmodeint訪問方式其中access mode的值是用戶所屬的多個角色對某一資源的所有訪問方式的組合。4.2安全訪問控制當(dāng)用戶要對一個需安全訪問控制的對象操作時，首先根據(jù)應(yīng)用系統(tǒng)自定義的資源id編碼規(guī)則及訪問對象的相關(guān)信息生成resourceid，和應(yīng)用系統(tǒng)定義的對此對象進(jìn)行操作所需的訪問權(quán)限access mode，再查找userpermission_table表，判別當(dāng)前用戶是否具有相應(yīng)的操作權(quán)限。4.3 測試驗

28、證點授權(quán)模塊負(fù)責(zé)對url資源的授權(quán)，我們采用下面的函數(shù)實現(xiàn)：map assigningauth(strirng role,string url,string op)將url資源的訪問詳細(xì)設(shè)計和模塊實現(xiàn)權(quán)限op賦予角色role，并保存在對應(yīng)該url的角色-訪問權(quán)限映射中。從uri資源管理器的需求分析和程序設(shè)計出發(fā)，我們可以得到如下針對uri資源管理工具的功能測試驗證點：能正確載入全部當(dāng)前可用的角色列表；能讀入資源集和對應(yīng)的權(quán)限集，并能正確顯示；能正確進(jìn)行對角色的授權(quán)工作，并且授權(quán)信息能正確地顯示在用戶界面上；確保對父角色的授權(quán)能正確的擴(kuò)展到子角色；能正確進(jìn)行修改對角色的授權(quán)；可以正確的創(chuàng)建和修改

29、抽象對象；能查看相應(yīng)的操作記錄日志。第5章實驗結(jié)果vmware vsphere vcenter 5.0用戶角色訪問與權(quán)限控制角色：各種角色定義了對此角色可操作細(xì)節(jié)的權(quán)限組合；用戶權(quán)限：用戶權(quán)限是對esxi5.0中的對象實例（如esxi5.0主機(jī)，虛擬機(jī)，存儲，網(wǎng)絡(luò)等）進(jìn)行權(quán)限的分配。通過在這些對象上綁定用戶+角色來限定每個用戶或用戶組可以對此對象的操作權(quán)限；1、添加角色在vsphere center中選擇【系統(tǒng)管理】【角色】vsphere center中vmware默認(rèn)定義了幾個角色，分別是：其中，【無權(quán)訪問】【只讀】【管理員】這三個是無法被刪除的，其它可以被刪除。在需要創(chuàng)建自定義角色時，你可以直接對上面這些角色進(jìn)行克隆，克隆出新的角色后再編輯角色，修改相應(yīng)的權(quán)限。也可以直接添加角色進(jìn)行權(quán)限的定義。2、分配權(quán)限將vmware vsphere client登錄，在【清單】【主機(jī)和群集】界面左邊點選相應(yīng)要給其限制的集群或虛擬機(jī)，再點擊右邊的【添加權(quán)限】功能選項，然后在右擊彈出的快捷菜單中選擇【添加權(quán)限】。在彈出的【分配權(quán)限】對話框中，點擊【添加】，然后找到剛才在vcenter操作系統(tǒng)后臺中創(chuàng)建的用戶或用戶組。（添加一個用戶或用戶組，角色選擇【部署模板為新虛擬機(jī)(無刪除/修改權(quán)限)】就可以了，這里是根據(jù)自己的需求來