基于角色访问控制RBAC 1 RBAC 模式介绍 RBAC 的基本思想是在用户和访问权限之间引入角色的概念，将用户和角色联系起来，通过对角色的授权来控制用户对系统资源的访问。 角色是访问权限的集合，用户通过赋予不同的角色获得角色所拥有的访问权限。一个用户可拥有多个角色，一个角色可授权给多个用户；一个角色可包含多个权限，一个权限可被多个角色包含。用户通过角色享有权限，它不直接与权限相关联，权限对存取对象的操作许可是通过角色实现的。 2 NIST 标准 RBAC 的4 种部件模型 NIST（The National Institute of Standards and Technology，美国国家标准与技术研究院）标准 RBAC 模型由 4 个部件模型组成： 1．基本模型 RBAC0（Core RBAC） 2．角色分级模型 RBAC1（Hierarchal RBAC） 3．角色限制模型 RBAC2（Constraint RBAC） 4．统一模型 RBAC3（Combines RBAC） 1. 基本模型 RBAC0 用户 权限 角色 用户角色分配 UA 角色许可分配 PA RBAC 基本思想 RBAC0 定义了能构成一个RBAC 控制系统的最小的元素集合。在RBAC之中,包含用户u sers(USERS)、角色 roles(ROLES)、目标 objects(OBS)、操作operations(OPS)、许可权 permissions(PRMS)五个基本数据元素， 此模型指明用户、角色、访问权限和会话之间的关系。每个角色至少具备一个权限，每个用户至少扮演一个角色；可以对两个完全不同的角色分配完全相同的访问权限；会话由用户控制，一个用户可以创建会话并激活多个用户角色，从而获取相应的访问权限，用户可以在会话中更改激活角色，并且用户可以主动结束一个会话。 2．角色分级模型 RBAC1 RBAC1引入角色间的继承关系，角色间的继承关系可分为一般继承关系和受限继承关系。一般继承关系仅要求角色继承关系是一个绝对偏序关系，允许角色间的多继承。而受限继承关系则进一步要求角色继承关系是一个树结构，实现角色间的单继承。 3. 角色限制模型 RBAC2 RBAC2模型中添加了责任分离关系。RBAC2的约束规定了权限被赋予角色时,或角色被赋予用户时,以及当用户在某一时刻激活一个角色时所应遵循的强制性规则。责任分离包括静态责任分离和动态责任分离。约束与用户-角色-权限关系一起决定了RBAC2模型中用户的访问许可，此约束有多种，主要包括： 互斥角色：同一用户只能分配到一组互斥角色集合中至多一个角色，支持责任分离的原则。 基数约束：一个角色被分配的用户数量受限；一...
