论文部分内容阅读
在分布式计算环境中,由于大量的网络设备、主机系统和应用系统分别属于不同的部门和不同的业务系统。若这些业务系统都独立维护一套用户权限管理系统,当系统管理员同时对多个系统进行维护时,工作复杂度会成倍地增加。且多个权限管理系统会对用户的使用造成不便。目前分布式计算环境下访问控制技术的一种发展趋势是采用集中式的身份与授权策略管理,即由一专门的系统为企业、机构的各类计算机系统、应用服务系统提供集中的身份与授权策略管理。许多公司的授权系统都采用了集中式身份与授权策略管理技术,并据此实现访问控制。但是,这种集中式的授权管理系统在实际应用中也面临着一些技术问题,比较突出的有：如何同时支持不同的访问控制方法,如ACL (Access Control List)、RBAC (Role-based Access Control)、ABAC (Attribute-based Access Control)等；如何对众多的、不同的资源进行统一的、有效的授权策略管理。本文对集中式身份与授权策略管理技术进行了研究,提出了一种新的统一权限与策略管理方式。该方式针对不同的访问控制方法同时定义不同类型的授权策略(如ACL、RBAC、ABAC授权策略)并以通用的形式存放在数据库中,使得授权系统可以根据访问控制方法的需要灵活的选择使用授权策略,从而支持多种访问控制方法。本文同时提出了一种可以自动根据请求类型查询指派授权Provider(提供者)的Manager-Provider(管理者--提供者)架构。该架构使用多个Provider以提供针对不同访问控制方法的授权功能,并由一个Manager进行管理。并通过提供对这止匕Provider的查询服务,自动引导外界选择、使用Provider进行授权。这种Manager-Provider架构使得统一授权系统可以很好的嵌入到使用各种访问控制方法的系统平台中,而且可以动态增加新的组件以扩展其授权决策功能。本文还提出了一种策略继承机制,该机制简化了资源、策略信息的组织结构,大大提高了在线授权决策的效率,减少了系统管理员的工作复杂度。最后本文对这种策略继承机制的执行效率进行了分析,提炼出了两种使用继承策略进行授权的理论模型,得出了本文使用的基于策略继承的授权方式可以更加提高系统性能的结论。