收 稿日 期: 2008- 11- 05; 修 回 日 期: 2008- 12- 24 基 金 项 目: 国 家 “十 一 五 ”科 技 支 撑 计 划 重 点 资 助 项 目 ( 2006BAJ07B06,
2006BAH02A24) ; 国 家自 然科学 基金 资助项 目( 60673010) ; 湖北 省自然 科学 基金资 助项 目( 2006ABC011)
作 者简介 : 上超望 ( 1980-) , 男, 陕西 咸阳人 , 博士研 究生, 主 要研究 方向 为信息 安全、分 布式计 算( shangchaowang200650@ yahoo. com. cn) .
使 用 控 制 支 持 的 动 态 Web 服 务 访 问 控 制 模 型 研 究
*
上超望
a
, 杨宗凯
a
, 刘清堂
a, b
, 赵呈领
b
( 华中 师范 大学 a. 教育 信息 技术 工程 研究 中心 ; b. 信 息技 术系 , 武汉 430079)
摘 要: 提 出了 使用 控制 支持 的动 态 Web 服务 访问 控制 模型 ( WS-DAUCON) 。该模 型提 供了 足够 的 灵 活性 , 能
够根 据分布 式开 放网 络环 境中 的属 性信 息, 基于 authorization、obligation 和 condition 三种 决 定 策略 来 检 查访 问 控
制决 策, 实施 动态 的细 粒度 Web 服务访问控制; 同 时 保留 了 传 统 RBAC 模 型 的 优 点。 最后 给 出 了 WS-DAUCON
的实 施框 架。
关键 词: 访 问控 制; Web 服 务; 基 于角 色的 访问控 制; 使用控 制
中图 分类 号: TP309 文 献标 志码: A 文 章编 号: 1001-3695( 2009) 08-3008-04
doi: 10. 3969 /j. issn. 1001-3695. 2009. 08. 060
Research on usage control enhanced dynamic access
control model for Web services
SHANG Chao-wang
a
, YANG Zong-kai
a
, LIU Qing-tang
a, b
, ZHAO Cheng-ling
b
( a. Research Center for Education Information on Technology, b. Dept. of Information Technology, Central China Normal University, Wuhan
430079, China)
Abstract: This paper proposed a usage control enhanced dynamic Web services access control model ( WS-DAUCON) . This
model provided sufficientflexibility to implementdynamic and fine-gained access control based on authorization, obligation and
condition for Web services, and retained the advantages of traditional RBAC model. At last described the implementation ar-
chitecture of WS-DAUCON.
Key words: access control; Web services; role-based access control( RBAC) ; usage control
0 引言
Web 服务是一种分 布 式计 算 模式, 它 将分 布 式环 境 下 的
各种应用和资源封装成统一 的形式, 并 提供标 准的使 用方法,
简化了复杂的软件应用方式, 为分布式环境下资源共享与协同
提供了 很 好的 支 持
[ 1,2]
。Web 服务是在 Internet 网 络 上 基 于
HTTP 进行信息交互的, 所处 的环 境 灵活 多 变, 各种 因素 的 不
确定性更多, 有效地执行 跨分布、异构 域的访 问控制 变得越 来
越复杂, 也带来许 多新 的 安全 挑 战
[ 3]
。 如何 建 立一 个适 合 有
效的 Web 服务访问控制模型成为影响 Web服务能否被广泛应
用的关键所在。
基于角色的访问控制模型 RBAC是目 前 Web 服务访 问控
制领域主流的访问控 制模 型, 与自 主访 问控 制 DAC( discretio-
nary access control) 和 强 制 访 问 控 制 MAC( mandatory access
control) 相比, RBAC 模型把用 户和权 限通过 角色关 联起 来, 通
过角色来控制资 源对 用 户的 开放 程 度, 极大 地 简化 了授 权 管
理, 而且易于扩展, 能为管理员 提供一 个很好 的灵活 实现安 全
策略的环境
[ 4]
。然而, RBAC 是从系统角度( 静态控制环境) 出
发保护资源, 角色权限的使用是无限的, 虽然也存在约束限制,
如静态职责分离、动态职 责分离 等约束, 但它 们基本 上作用 于
角色层面, 主要用来限制 主体能 否获得 某角色, 只要 被赋予 了
某个角色, 用户就可以无 限次地 使用与 该角色 相关联 的权限,
不能根据系统或执行环境的状态对访问行为约束与限制, 而且
访问过 程 中 属 性 的 改 变 只 能 通 过 系 统 管 理 员 才 能 完 成
[ 5]
。
RBAC模型不能根据用 户、资源和 环境 的变 化, 适时 更新 访 问
控制决策, 不能适应 Web 服务开放式环境的异构性和动态性。
1 相关研究工作和进展
1. 1 RBAC
基于角色的访问控制自被提出以来就引起了广泛的关注,
尤其是 R. Sundhu 等 人
[ 6]
提 出 的 RBAC96 模 型 全 面地 描 述 了
RBAC多层次、多方面的 意义, 成为 以后 RBAC 的研 究和 应 用
中的经典模型。RBAC技术不仅大大丰富 了访问控制 的内涵,
而且能够减少授权管理的复 杂性, 降低管 理开销, 已 经进行 了
大量的应用, 是比较成熟的访问控制技术。
Web 服务处于 动态 多 变的 环境 中, 对 访问 控 制策 略 的 要
求也高于别的应用系统
[ 7]
。RBAC通过将用户与角 色、角色 与
权限相对应的 方式 简 化了 授权 机 制, 而且 更 容 易扩 展, RBAC
已经成为 Web 服务的主流的访问控制模型。
目前的 RBAC模 型 在 理 论 上 和 应 用 中 仍 存 在 着 诸 多 问
题 , 如 用户和操 作 对象 都 被 作 为 静 态 对 象考 虑 、缺 乏 对 权 限
和 约束的进一 步描述, 以及 缺少 对 现代 访问 控 制领 域的 新 概
念 的支持, 单纯 依靠 RBAC 模型不 足以满 足 Web 服务 环境 的
安 全需求。
第 26 卷第 8 期
2009 年 8 月
计 算 机 应 用 研 究
Application Research of Computers
Vol. 26 No. 8
Aug. 2009
资源评论
