RBAC(Role-Based Access Control - 基于角色的訪問控制)模型是20世紀(jì)90年代研究出來的一種新模型，但從本質(zhì)上講，這種模型是對前面描述的訪問矩陣模型的擴(kuò)展。這種模型的基本概念是把許可權(quán)（Permission）與角色（Role）聯(lián)系在一起，用戶通過充當(dāng)合適角色的成員而獲得該角色的許可權(quán)。

這種思想世紀(jì)上早在20世紀(jì)70年代的多用戶計(jì)算時(shí)期就被提出來了，但直到20世紀(jì)90年代中后期，RBAC才在研究團(tuán)體中得到一些重視。本章將重點(diǎn)介紹美國George Mason大學(xué)的RBAC96模型。

在實(shí)際的組織中，為了完成組織的業(yè)務(wù)工作，需要在組織內(nèi)部設(shè)置不同的職位，職位既表示一種業(yè)務(wù)分工，又表示一種責(zé)任與權(quán)利。根據(jù)業(yè)務(wù)分工的需要，支援被劃分為不同群體，各個(gè)群體的人根據(jù)其工作任務(wù)的需要被賦予不同的職責(zé)和權(quán)利，每個(gè)人有權(quán)了解與使用與自己任務(wù)相關(guān)的信息與資源，對于那些不應(yīng)該被知道的信息則應(yīng)該限制他們訪問。這就產(chǎn)生了訪問控制的需求。

例如，在一個(gè)大學(xué)中，有校長、副校長、訓(xùn)練部長、組織處長、科研處長、教保處長等不同的職位，在通常情況下，職位所賦予的權(quán)利是不變的，但在某個(gè)職位上工作的人可以根據(jù)需要調(diào)整。RBAC模型對組織內(nèi)部的這些關(guān)系與訪問控制要求給出了非常恰當(dāng)?shù)拿枋觥?/p>

RBAC₀的模型結(jié)構(gòu)可以參看圖ap08-02，但需要把途中的限制和角色等級兩部分不包含在RBAC₀模型中。該模型中包括用戶（U）、角色（R）和許可權(quán)（P）的那個(gè)三類實(shí)體集合，此外還有一個(gè)會話集合（S）。

其中用戶代表一個(gè)組織的職員；角色表示該組織內(nèi)部的一項(xiàng)任務(wù)的功能或某個(gè)工作職務(wù)，它也表示該角色成員所擁有的權(quán)利和職責(zé)；許可權(quán)是用戶對系統(tǒng)中各課題訪問或操作的權(quán)利，客體是指系統(tǒng)中的數(shù)據(jù)客體和資源客體，例如，目錄、文件、記錄、端口、設(shè)備、內(nèi)存或子網(wǎng)都是客體。

許可權(quán)因客體不同而不同，例如，對于目錄、文件、設(shè)備、端口等類客體的操作權(quán)是讀、寫、執(zhí)行等；對應(yīng)數(shù)據(jù)庫管理系統(tǒng)的客體是關(guān)系、元素、屬性、記錄、庫文件、視圖等，相應(yīng)的操作權(quán)是Select、Update、Delete、Insert等；在會計(jì)應(yīng)用中，相應(yīng)的操作權(quán)是預(yù)算、信用、轉(zhuǎn)移、創(chuàng)建和刪除一個(gè)賬目等。

圖ap08-02說明了關(guān)系用戶指派UA（User Assignment）與許可權(quán)指派PA（Permission Assignment）的含義，兩者都是多對多的關(guān)系。RBAC的關(guān)鍵就在于這兩個(gè)關(guān)系，通過它們，一個(gè)用戶將最終獲得某些許可權(quán)并執(zhí)行的權(quán)力。從圖中角色的位置可以看粗，它是用戶能夠獲取許可權(quán)的中間媒介。

會話集中的每個(gè)會話表示一個(gè)用戶可以對應(yīng)多個(gè)角色（指向角色有兩個(gè)箭頭）。在某個(gè)會話的持續(xù)期間，一個(gè)用戶可以同時(shí)激活多個(gè)角色，而該用戶所獲得的許可權(quán)是所有這些角色的所擁有許可權(quán)的并集。

每個(gè)用戶可以同時(shí)打開多個(gè)回話，每個(gè)會話都可以在工作站屏幕上用一個(gè)窗口顯示。每個(gè)會話可以有不同活動角色的組合。RBAC₀的這一特點(diǎn)將受到最小特權(quán)原則的限制。如果一個(gè)用戶在一次會話中激活所有角色的權(quán)利超過該用戶被允許的權(quán)利，將受到最小權(quán)利原則的限制。

RBAC₁模型的特色是模型中的角色是分級的，不同級別的角色由不同的職責(zé)與權(quán)力，橘色的級別形成偏序關(guān)系。圖ap08-03說明了角色等級的概念。在途中位置處于較高處的角色的等級高于較低位置角色的等級。利用角色的分級概念可以限制繼承的范圍（scope）。

圖 H.3. 角色分級的概念

圖中項(xiàng)目成員的等級最低，角色程序員和測試員的等級都高于角色項(xiàng)目成員，并都可以繼承項(xiàng)目成員的權(quán)利；角色管理員具有最高的等級，它可以繼承測試員和程序員的權(quán)利。為了滿足實(shí)際組織中一個(gè)角色不完全繼承另一個(gè)角色所有權(quán)利與責(zé)任的需求，模型中引入了私有角色的概念，如圖中的測試員'和程序員'分別是測試員和程序員的私有uese，它們可以分別繼承測試員和程序員的某些專用權(quán)利。

顯然，角色的等級關(guān)系具有自反性（自己可以繼承自己）、傳遞性（A繼承B，B繼承C，則A繼承C）和反對稱性（A繼承B，B繼承A，則A=B），因此是偏序關(guān)系，下面是RBAC₁的形式定義。

RBAC₂模型是在RBAC₀模型增加限制后形成的，它與RBAC₁并不兼容。RBAC₂定義如下：

RBAC₃把RBAC₁和RBAC₂組合在一起，提供角色的分級和繼承的能力。但把這兩種概念組合在一起也引起一些新問題。

限制也可以應(yīng)用于角色等級本身，由于角色間的等級關(guān)系滿足偏序關(guān)系，這種限制對模型而言是本質(zhì)性的，可能會影響這種偏序關(guān)系。例如，附加的限制可能會限制一個(gè)給定角色的應(yīng)有的下級角色的數(shù)量。

兩個(gè)或多個(gè)角色由可能被限制成沒有公共的上級角色或下級角色。這些類型的限制在概念角色等級的權(quán)力已經(jīng)被分散化的情況下是有用哦，但是安全主管卻希望對所有允許這些改變的方法加以限制。

在限制和角色的等級之間也會產(chǎn)生敏感的相互影響。在圖ap08-03的環(huán)境中，一個(gè)項(xiàng)目成員不允許同時(shí)擔(dān)任程序言與測試員的角色，但項(xiàng)目管理員所處的位置顯然是違反了該限制。在某種情況i下由高等級的角色違反這種限制是可接受的，但在其他情況下又不允許這種違反現(xiàn)象發(fā)生。

從嚴(yán)格性的角度來講，模型的規(guī)則不應(yīng)該是一些情況下不允許而在另一情況下是允許的。類似的情況也會發(fā)生在對基數(shù)的限制上。假定限制一個(gè)用戶之多能分配給一個(gè)橘色，那么對圖中的測試員的一個(gè)指派能夠未被這種限制嗎？換句話說，基數(shù)限制是不是只能用于直接成員，是否也能應(yīng)用于繼承成員上？

私有角色的概念可以說明這些限制是有用的。同樣在圖ap08-03的環(huán)境中，可以把測試員'，程序員'和項(xiàng)目管理員3個(gè)角色說明為互斥的，它們處于同一等級，沒有共同的上級角色，所以管理員角色沒有違反互斥限制。通常私有角色和其他角色之間沒有公共上級角色，因?yàn)樗鼈兪沁@個(gè)等級的最大元素，所以私有角色之間互斥關(guān)系可以無沖突的定義。

諸私有角色之間的相同部分可以被說明為具有0成員的最大技術(shù)限制。根據(jù)這種方法，測試員必須被指派給測試員'這個(gè)角色，而測試員角色就作為與管理員角色共享許可權(quán)的一種工具。

在前面的討論中，我們都假設(shè)RBAC的所有組件都是由單個(gè)的安全員來管理里。但是，對于一個(gè)大系統(tǒng)而言，系統(tǒng)中的角色可能成百上千，再加上它們之間的復(fù)雜關(guān)系，使得集中式的管理任務(wù)成為非常可怕的工作，因此通常由幾個(gè)管理員小組來完成。能否用RBAC管理自己本身呢？

RBAC的管理模型示于圖ap08-04。該圖的上半部分本質(zhì)上與圖ap08-02相同，圖中的限制時(shí)針對所有成分的，圖的下半部分是對上半部分關(guān)于管理角色AR和管理許可權(quán)AP與正規(guī)角色集R和許可權(quán)集P是分別不可相交的。這個(gè)模型顯示，正規(guī)許可權(quán)只能分配給正規(guī)角色（RBAC模型中定義的角色），管理許可權(quán)只能分配給管理角色。

管理許可權(quán)AP有權(quán)改變組成RBAC₀、RBAC₁、RBAC₂或RBAC₃的所有成分，但正規(guī)許可權(quán)P不能。管理許可權(quán)與正規(guī)許可權(quán)不相交，即AP∩P=。管理許可權(quán)和正規(guī)許可權(quán)只能分別分配給管理角色AR和正規(guī)角色R，并且AR∩R=。

圖 H.4. 管理模型示意圖

在圖ap08-04的上半部可以對應(yīng)RBAC₀、RBAC₁、RBAC₂和RBAC₃模型，類似地下半部可以對應(yīng)ARBAC₀、ARBAC₁、ARBAC₂和ARBAC₃模型，此處的A表示“管理”。ARBAC₀~ARBAC₃形成了RBAC的管理模型族，成為ARBAC97。通常我們期望管理模型比RBAC模型本身簡單一些，因此可以利用ARBAC₀管理RBAC₃，而不是用ARBAC₃去管理RBAC₀模型。

URA87：用戶-角色指派。該組件涉及用戶-指派關(guān)系UA的管理，該關(guān)系把用戶與角色關(guān)聯(lián)在一起。對該關(guān)系的修改權(quán)由管理角色控制，這樣，管理角色中的成員有權(quán)管理正規(guī)角色中的成員關(guān)系。把一個(gè)用戶指定為管理角色是在URA97以外完成的，并假定是由安全員完成的。

PRA97：許可權(quán)-角色指派。該組件涉及角色-許可權(quán)的指派與撤銷。從角色觀點(diǎn)來看，用戶和許可權(quán)有類似的特點(diǎn)，它們都是由角色聯(lián)系在一起的實(shí)在實(shí)體。因此，可以把PRA97看做是URA97的對偶組件。

RRA97：角色-角色指派。為了便于對角色的管理，對角色又進(jìn)行了分類。該組件涉及3類角色，它們是：

區(qū)別這三類模型的主要原因是可以應(yīng)用不同的管理模型去建立不同類型角色之間的關(guān)系。區(qū)分的動因首先是對能力的考慮，能力是許可權(quán)的集合，可以把該集合中所有許可權(quán)作為一個(gè)單位指派給一個(gè)角色。類似的，組是用戶的集合，可以把該集合中所有許可權(quán)作為一個(gè)單位指派給一個(gè)角色。組和能力角色都似乎可以劃分等級的。

在一個(gè)UP-角色中，一個(gè)能力是否是其的一個(gè)成員是由UP-角色是否支配該能力決定的，如果支配就是，否則就不是。相反的，如果一個(gè)UP-角色被一個(gè)組角色支配，則這個(gè)組就是該UP-角色的成員。

對ARBAC97管理模型的研究還在繼續(xù)之中，對能力-指派與組-指派的形式化已基本完成，對UP-角色概念的研究成果還未形式化。

符合各類組織機(jī)構(gòu)的安全管理需求。RBAC模型支持最小特權(quán)原則、責(zé)任分離原則，這些原則是任何組織的管理工作都需要的。這就使得RBAC模型由廣泛的應(yīng)用前景。

RBAC模型支持?jǐn)?shù)據(jù)抽象原則和繼承概念。由于目前主流程序設(shè)計(jì)語言都支持面向?qū)ο蠹夹g(shù)，RBAC的這一特性便于在實(shí)際系統(tǒng)中應(yīng)用實(shí)現(xiàn)。

模型中概念與實(shí)際系統(tǒng)緊密對應(yīng)。RBAC模型中的角色、用戶和許可權(quán)等概念都是實(shí)際系統(tǒng)實(shí)際存在的實(shí)體，便于設(shè)計(jì)者建立現(xiàn)存的或待建系統(tǒng)的RBAC模型。

RBAC模型仍素具訪問控制類模型，本質(zhì)是對訪問矩陣模型的擴(kuò)充，能夠很好的解決系統(tǒng)中主體對客氣的訪問控制訪問權(quán)力的分配與控制問題，但模型沒有提供信息流控制機(jī)制，還不能完全滿足信息系統(tǒng)的全部安全需求。

雖然也有人認(rèn)為可以用RBAC去仿真基于格的訪問控制系統(tǒng)（LBAC），但RBAC對系統(tǒng)內(nèi)部信息流的控制不是直觀的，需要模型外的功能支持。有關(guān)信息流控制的作用域原理將在第四章介紹，屆時(shí)讀者可以進(jìn)一步理解RBAC模型的這種缺陷。

RBAC模型沒有提供操作順序控制機(jī)制。這一缺陷使得RBAC模型很難應(yīng)用關(guān)于那些要求有嚴(yán)格操作次序的實(shí)體系統(tǒng)，例如，在購物控制系統(tǒng)中要求系統(tǒng)對購買步驟的控制，在客戶未付款之前不應(yīng)讓他把商品拿走。RBAC模型要求把這種控制機(jī)制放到模型外去實(shí)現(xiàn)。

RBAC96模型和RBAC97uanli模型都故意回避了一些問題，如是否允許一個(gè)正在會話的用戶再創(chuàng)建一個(gè)新會話，管理模型不支持用戶和許可權(quán)的增加與刪除等管理工作燈，都是需要解決而未提供支持的問題，這些問題都還在研究中，但是如果缺少這些能力的支持，模型的而應(yīng)用也將受到影響。相反，訪問絕陣模型提供了用戶和權(quán)限修改功能，因此，不能說RBAC模型能夠完全取代訪問矩陣模型。