基于RBAC 模型的权限管理解决方案 创建时间：2009-04-29 =========================================================== RBAC 模型的优势 在许多的实际应用中，不只是要求用户简单地进行注册登录，还要求不同类别的用户对资源有不同的操作权限。目前，权限管理系统也是重复开发率最高的模块之一。在企业中，不同的应用系统都拥有一套独立的权限管理系统。每套权限管理系统只满足自身系统的权限管理需要，无论在数据存储、权限访问和权限控制机制等方面都可能不一样，这种不一致性存在如下弊端： (1)系统管理员需要维护多套权限管理系统，重复劳动； (2)用户管理、组织机构等数据重复维护，数据一致性、完整性得不到保证； (3)由于权限管理系统的设计不同，概念解释不同，采用的技术有差异，权限管理系统之间的集成存在问题，实现单点登录难度十分大，也给企业构建企业门户带来困难。 采用统一的安全管理设计思想，规范化设计和先进的技术架构体系，构建一个通用的、完善的、安全的、易于管理的、有良好的可移植性和扩展性的权限管理系统，使得权限管理系统真正成为权限控制的核心，在维护系统安全方面发挥重要的作用，是十分必要的。 RBAC 模型概述 RBAC(角色访问控制) 是目前应用最为广泛的权限模型。 NIST （The National Institute of Standards and Technology，美国国家标准与技术研究院）标准 RBAC 模型由 4 个部件模型组成，这 4 个部件模型分别是基本模型RBAC0（Core RBAC）、角色分级模型RBAC1（Hierarchal RBAC）、角色限制模型RBAC2（Constraint RBAC）和统一模型RBAC3（Combines RBAC）[1]。RBAC0 模型如图 1 所示。 RBAC0 定义了能构成一个 RBAC 控制系统的最小的元素集合。在RBAC 之中,包含用户users(USERS)、角色 roles(ROLES)、目标 objects(OBS)、操作operations(OPS)、许可权permissions(PRMS)五个基本数据元素，权限被赋予角色，而不是用户，当一个角色被指定给一个用户时，此用户就拥有了该角色所包含的权限。会话 sessions 是用户与激活的角色集合之间的映射。RBAC0 与传统访问控制的差别在于增加一层间接性带来了灵活性，RBAC1、RBAC2、RBAC3 都是先后在RBAC0 上的扩展。 RBAC1 引入角色间的继承关系，角色间的继承关系可分为一般继承关系和受限继承关系。一般继承关系仅要求角色继承关系是一个绝对偏序关系，允许角色间的多继承。而受限继承关系则进一步要求角色...
