Hierarchical role-based access control development.pdf Рассматривается подход к построению ролевого управления доступом для компью-терных систем (КС) с иерархией сущностей, отражающей организационно-управлен-ческие отношения.В моделях ролевого управления доступом семейства RBAC [1], как и в другихизвестных ролевых моделях и их расширениях [2, 3], не используются механизмы за-дания и проверки разрешённых прав доступов субъекта к сущности, учитывающиеуровни иерархии сущностей КС.В реальных КС, в которых одновременно могут работать сотни пользователей,структура ролей может быть очень сложной, а количество различных прав доступазначительным - проблема реализации и администрирования системы управления до-ступом является чрезвычайно важной задачей [4].Для решения этой задачи строится расширение базовой модели RBAC, содержащеев дополнение к последней следующие положения:- задана решётка уровней иерархии КС и для каждой сущности указан уровеньиерархии;- определено множество типов сущностей КС и для каждой сущности указан её тип;- задано множество ролей, каждая из которых представляет собой некоторое мно-жество прав доступа к сущностям определённого типа;- каждый субъект обладает некоторым множеством разрешённых для данного субъ-екта ролей;- субъект обладает правом доступа к сущности КС в том и только в том случае, еслисубъект обладает ролью, в множестве прав доступа которой имеется данное праводоступа к сущности данного типа и уровень иерархии субъекта не меньше уровняиерархии сущности.Использование введённых положений позволяет значительно эффективнее и гибчереализовать механизм ролевого управления доступом по сравнению с моделями RBAC.На основе [4] опишем формальную структуру предлагаемой модели.Основными элементами модели иерархического ролевого управления доступом,обозначаемой RBAC-H, являются:- E = O U C - множество сущностей, где O - множество объектов, C - множествоконтейнеров и O П C = 0;- U - множество пользователей, при этом пользователи по определению не являютсясущностями (U П E = 0 );- S С E - множество субъект-сессий пользователей;- T - множество типов сущностей;- L - множество уровней иерархии сущностей;- Rr - множество видов прав доступа;- R - множество ролей;- P С (Rr х T) U (Rr х E) - множество прав доступа ко всем сущностям одного типаи сущностям;- PA : R ^ 2P - функция прав доступа ролей, задающая для каждой роли мно-жество прав доступа к сущностям, при этом для каждого права доступа p . Pсуществует роль r . R, такая, что выполняется условие p . PA(r);- UA : U ^ 2r - функция авторизованных ролей пользователей, задающая для каж-дого пользователя множество ролей, на которые он может быть авторизован;- type : E ^ T - функция типов сущностей;- fe : E ^ L - функция, задающая уровень иерархии каждой сущности;- user : S ^ U - функция принадлежности субъект-сессии пользователю, задающаядля каждой субъект-сессии пользователя, от имени которого она активизирована;- ro/es : S ^ 2r - функция текущих ролей субъект-сессий, задающая для пользова-теля роли, на которые авторизован активизированный от его имени данный субъ-ект в текущей сессии, при этом в каждом состоянии системы для каждой субъект-сессии s . S выполняется включение ro/es(s) С UA(user(s)).Пусть X - заданное разбиение множества E. Доменом d сущностей множества Eназывается всякий класс из X.Иерархией доменов называется заданное на множестве X отношение частичногопорядка удовлетворяющее следующим условиям:- если для d . X существуют d1,d2 . X, такие, что d ^ d1 ,d ^ d2, то d1 ^ d2 илиd2 ^ d1;- в X существует наибольший элемент.Описанная иерархия доменов соответствует КС с иерархической древовиднойструктурой, отражающей организационно-управленческие отношения, и задаёт верх-нюю полурешётку (X,Пусть L - множество уровней иерархии сущностей, такое, что |L| = |X| и суще-ствует биективное отображение X на L. Определим на множестве L отношение ча-стичного порядка «^», где для любых /1,/2 . L верно /1 ^ /2 тогда и только тогда,когда d1 ^ d2 для соответствующих d1,d2 . X. Тогда (L, - верхняя полурешёткауровней иерархии сущностей.Аналогично модели RBAC, предполагается, что множества U, X, T, L P, R, Rr ифункции UA, PA, type не изменяются с течением времени.Пусть заданы множества E, S, X, U, T, P, R, Rr , функции PA, UA, type, user,ro/es и полурешетка (L, Определим предикат can_access(s, e,p), истинный тогдаи только тогда, когда выполняются следующие условия:- fe (e) ^ fe(s);- (p, type(e)) . PA(ro/es(s)).Говорят, что в КС реализовано иерархическое ролевое управление доступомRBAC-H, если любая субъект-сессия s Е S пользователя user(s) Е U может обла-дать правом доступа p Е Rr к сущности e Е E тогда и только тогда, когда истиненпредикат can_access(s, e,p) .Таким образом, модель RBAC-H ориентирована на КС, в которых уровень иерар-хии сущностей является существенным при определении политики управления досту-пом. Добавление атрибутов иерархии и типов сущностей к элементам моделей RBACпозволяет адаптировать последние к условиям функционирования реальных КС, атакже существенно упростить реализацию и администрирование политики ролевогоуправления доступом.

Скачать электронную версию публикации