基于分级角色的访问控制
V o l .32N o.11
2006211
华东理工大学学报(自然科学版)
Journal of East Ch ina U niversity of Science and T echno logy (N atural Science Editi on )
收稿日期:2005211203
作者简介:肖宝亮(19752),男,河北唐山人,硕士生,主要研究方向为
信息安全。
通讯联系人:顾春华,E 2m ail:chgu@ecust .edu .cn
文章编号:100623080(2006)1121327204
基于分级角色的访问控制
肖宝亮, 顾春华, 高小伍, 陈德庆(华东理工大学信息科学与工程学院,上海200237)
摘要:结合RBA C 模型,提出了一种基于分级角色的访问控制模型,将系统用户依据职能的不同分为不同的角色,同一类角色又划分不同的等级。定义了基本概念和等级2角色矩阵,进行了形式化的描述,并应用在实际系统中。每一个实际用户通过不同等级的角色,对应于不同访问权限的资源,并可动态地进行角色转换和等级变迁,从而使访问控制机制更为灵活。
关键词:基于分级角色的访问控制;分级角色;权限;访问控制;等级角色矩阵中图分类号:T P 393.08文献标识码:A
Access Con trol Based on Graded Roles
X IA O B ao 2liang , GU Chun 2hua , GA O X iao 2w u , CH EN D e 2qing
(S chool of Inf or m a tion S cience and E ng ineering ,E ast Ch ina U n iversity of
S cience and T echnology ,S hang ha i 200237,Ch ina )
Abstract :Com b in ing w ith RBA C m odel ,a graded ro les based access con tro l m odel is p u t fo rw ard .System u sers are divided in to differen t k inds of ro les by their functi on s ,and one k ind of ro les are divided in to differen t grades .B asic concep ts and the grade 2ro le m atrix are defined ,the m odel is described fo rm aly and app lied to p ractical system s
.R eal u sers are co rresponding to differen t access au tho rizati on sou rces th rough differen t graded ro les ,the ro le conversi on and grade variance can be dynam ically com p leted ,so the access con tro l m echan is m becom es m o re flex ib le .
Key words :grade ro le based access con tro l ;graded ro le ;au tho rity ;access con tro l ;graded 2ro le m a 2trix
访问控制又称权限管理,用来确保只有被授权
用户才能访问敏感信息的机制。访问控制模型是研究者抽象出来用以描述访问控制机制的一套概念和规则。20世纪60年代的自主访问控制(DA C )模型和70年代的强制访问控制(M A C )模型的迅速发展,带动了访问控制模型的研究,先后出现了基于状态的访问控制(SBA C )、基于层的访问控制模型(LBA C )、基于任务的访问控制模型(TBA C )。90年代后,基于角色的访问控制模型(RBA C )[1]逐渐成
为访问控制模型的主流,RBA C 在用户和被访问资
源之间增加了角色,根据安全策略划分出不同的角色,用户对资源访问可以被封装在角色中,不同的用户被指派到相同或不同的角色,用户通过角色间接地访问资源。
RBA C 的最大优点在于它能够灵活表达和实现安全政策,也在很大程度上提高了访问速度,并解决了因用户过多而导致的访问效率低与维护困难等问题,使管理员从访问控制底层的具体实现机制中脱离出来,十分接近日常的组织管理规则,也因此得到了广泛的实际应用。
随着企业对访问控制的需求日益变化,暴露出了RBA C 的明显缺陷:每种角色只对应一种授权资源;角色与授权资源的关系是静态不能改变的。这使
7
231
得角色与资源的授权划分比较死板,一旦角色与某一授权资源绑定,很难实现动态的改变。本文提出的基于分级角色的访问控制(Graded Ro le B ased A ccess Con tro l ,GRBA C ),每种角色再分为几个等
级,每个等级对应相应的授权资源,通过动态改变等级,可以改变用户对不同授权资源的访问。其层次性和动态性可弥补RBA C 的缺陷,满足企业在访问控制上的不同要求。
1 GRBA C 模型
1.1 模型描述
RBA C 的模型如图1所示。GRBA C 模型如图2
所示。在GRBA C 模型中,用户、资源和角色与RBA C 含义相同,与等级有关的部分定义如下:
(1)不同类型的用户对应不同类型的角色;(2)同一类型的角色划分为不同的等级;
(3)初始用户被指派为相应角色的最低等级;
(4)角色的等级采用嵌套模式;
(5)内层的角色等级低,
外层的角色等级高;(6)高等级角色的权限包含低等级角色的权
限,即低等级的角色可访问的资源高等级角色一定可以访问;
(
7)角色的等级可以依据用户的行为动态改变,或升级或降级。
图1 基于角色的访问控制模型
F ig .1 RBA C M odel
图2 基于分级角色的访问控制模型
F ig .2 GRBA C M odel
1.2 模型的基本定义
GRBA C 模型用分层子句形式逻辑描述[2]
,为
了描述方便先给出一些基本定义。
定义1 标准子句的形式[3]:
C ←A 1,…,A m ,no t B 1,…,B n (m ≥0,n ≥0) 子句的头C 具有单一的原子性,不可再分;子句的体(A 1,…,A m ,no t B 1,…,B n )是条件的联合,A m 表示
“正”,no t B n 表示“负”。只有头没有体的子句表示一个断言。一个GRBA C 程序是子句的集合。
定义2 基本集合:
可数集合U 表示用户集合,U ={u i ∶i ∈N };
可数集合R 表示角色集合,R ={r i ∶i ∈N };可数集合S 表示资源集合,S ={s i ∶i ∈N };可数集合P 表示授权集合,P ={p i ∶i ∈N };可数集合A 表示行为集合,A ={a i ∶i ∈N };可数集合E 表示事件集合,E ={e i ∶i ∈N };可数集合G 表示等级集合,G ={g i ∶i ∈N };可数集合T 表示时间集合,T ={t i ∶i ∈N }。其中:N 为自然数,U 、S 、P 、A 、E 和G 是不相交的集合,T 是不连续的时间点的集合。G 与R 组成等级
角色矩阵GR =
g r 11g r 12…g r
1n g r 21
g r 22
…g r 2n
ω g r m 1
g r m 2…g r m n
,每一列表
示同一类角色的不同等级,每一行表示在相同级别上的不同类角色。角色根据用户在系统中的职能不同来分类,同一类角色中的等级根据资源的访问粒度来划分。当然,不同类型的角色可以分为不同数量的等级。这样,矩阵中的每一个元素对应于不同资源的访问授权,从而达到访问控制的目的。用户的角色转变表现为列之间的移动;用户的等级变化表现为
行之间的升降。
定义3 访问控制事件集合:访问控制事件集合∑={Ρi ,i ∈N },Ρi 为所有与访问控制相关的事件。
定义4 归约关系:当且仅当g i 定义5 访问授权:p er m ission (g r ij ,s k )表示g r ij 在s k 上有访问权[4]。 定义6 在GRBA C 模型中,一个与访问控制相关的事件由4个必要因素和若干可选因素组成。必要因素: (1)happ ens (a i ,t i )=true 当且仅当某一事件a i ∈A 在某一时刻t i ∈T 时刻发生; 8231 华东理工大学学报(自然科学版)第32卷 (2)role(g r ij,a i)=true当且仅当某一行为a i∈A由某一级别的角色g r ij∈GR所引起; (3)act(e i,a i)=true当且仅当某一事件e i∈E 由某一行为a i∈A所触发; (4)sou rce(e i,s i)=true当且仅当某一事件e i∈E,某一资源s i∈S,且g r ij对s i有访问授权。 例如:Ρ={happ ens(a1,t1);role(g r11,a1); act(e1,a1);sou rce(e1,s1)}可能的意思是:一个用户对应的等级角色为g r11,他在t1时刻的行为a1,此行为触发了事件e1,事件e1访问了资源s1。 1.3 模型策略的形式化 本文用形式化的方式描述一个用户从注册到对 资源的访问、升级或降级行为、角色的转换等。 (1)新用户注册。当一个新用户在系统注册时,根据此用户的性质,系统指派给他一个角色类别: asse m en t(u i,r i),由于是新用户,所以系统把他指定为此类角色的最低等级g rad e(u i,g1)。当然,新用户在满足一定的条件下也可被指定为其他等级,比如缴纳一定的会员费等。此时,g r ij←asse m en t(u i,r i); g rad e(u i,g1)成立,此后此用户可以访问对应于g r i1而被授权的资源。 (2)升级。act U(e,a)←act(e i,a i),当a i∈A且是 一个升级行为,则act U(e,a)是一个升级事件。比如 用户BOB在注册时被指派为r3类角色,等级为g1,即g r13,当有升级事件发生时BOB可被升级为 g r23,g r23←g r13;act U(e,a)。 (3)降级。act D(e,a)←act(e i,a i),当a i∈A且是 一个降级行为,则act D(e,a)是一个降级事件。 (4)访问权的嵌套。p er m ission(g r jm,s k)←sub2 sum es G(g i,g j);p er m ission(g r i m,s k),即当g r i m对s k 有访问权,且g i (5)角色转换。当一个用户在系统中的职能发生改变时可以在角色类型之间转换,用transf or m (r i,r j)表示。他在级别角色矩阵的坐标也发生相应的改变,g r m j←g r m i;transf or m(r i,r j),对应的资源访问权也随之改变。 (6)对资源的访问。例如: Ρ={hap p ens(click,12 09 2005);role(g r23,click); act(d o w n load,click);sou rce(d o w n load,p hoto); am oun t(1,p hoto)} 意思是BOB所对应的等级角色g r23在“12 09 2005”这一天“点击”了一个链接,触发了“下载”事件,下载“图片”的数量是“1”。与上述事件不同,对资源访问时与访问控制有关的事件,必须包括之前定义的4个必要因素,在上述例子中都已出现,另外还有一个可选事件am oun t(1,p hoto)。 (7)用户注销。w ithd raw(u k,g r ij)表示收回用户的等级角色,同时终止其对资源的访问权。 2 实 例 结合GRBA C模型,在某一门户网站中运用该模型,成功地解决了该系统的安全管理,使该系统的安全访问控制具有较高的灵活性[5]。为了简化问题,这里仅给出相关部分的内容。该系统提供手机铃声、手机图片等资源的下载和短信服务。资源的等级分为一般资源、流行资源、热门资源。基本角色类别主要包括下载用户、资源提供者、系统管理员。 2.1 级别及访问权限划分 (1)下载用户:分为一般注册用户、高级注册用户、金牌用户3个级别。一般注册用户只能下载普通的资源;高级注册用户可以下载包括比较流行的资源;金牌用户可以下载包括热门的资源在内的所有资源和订购短信服务。 (2)资源提供者:分为一般个体资源提供者、固定关系的个体资源提供者、资源提供公司3个级别。一般个体资源提供者也是下载用户,偶尔向系统提供一些资源,对资源的访问权对应其用户的级别,但是提供一定数量的资源可使其升级;固定关系的个体资源提供者在规定的时间内提供资源,可下载包括流行的资源,并根据提供资源的质量等级(流行还是热门等)有一定的报酬;资源提供公司可下载包括热门的资源,并按照合同向系统提供资源,取得相应的报酬。 (3)管理员:分为一般管理员、高级管理员、超级管理员。一般管理员负责资源的添加、删除等的管理;高级管理员除了具有一般管理员的权限外,还负责资源的重新分类、添加新类别等;超级管理员只限一到两名,除了具有高级管理员的权限外,还负责资源提供者和管理员级别的管理、资源访问权的定义等。 2.2 级别及角色的变迁 用户通过提高网站的点击率或提供资源可以提升级别到高级注册用户,金牌用户身份必须通过付费才能取得。注册用户长期不登陆、金牌用户不按时付费,系统使其降级。资源提供者的级别根据他提供资源的质量而变动。管理员级别视其在管理工作中的表现进行升降。下载用户的级别升降系统自动完成,由于资源提供者涉及到报酬问题,管理员在管理 9231 第11期肖宝亮,等:基于分级角色的访问控制 工作中的表现要主观判断,所以由管理员完成他们级别的升降。资源提供者和管理员的数量和下载用户比较要少得多,所以工作量不会太大。由用户到一般个体资源提供者的角色变迁由系统自动完成,其他均由管理员完成。 2.3 对资源的访问过程 进入系统后,系统先区分出角色类别,再对应到相应的等级,从而实现对相应授权资源的访问。2.4 对资源访问权限的回收 当角色的级别被降到最低时,系统取消其对系统的访问权。比如,一个高级注册用户长时间不登陆,系统会把他降级为一个一般注册用户,进而注销其会员资格终止其访问授权。 3 结束语 本文给出了一个多用户、多角色、分等级的访问控制模型、等级2角色矩阵和该模型策略的形式化描述,将系统用户依据职能的不同分为不同的角色,在同一类角色中又划分不同的等级。在角色分级的基础上进行资源访问权限的分级,有利于访问控制的管理,也有利于系统自动实现权限的分配、等级的升降、角色的变迁,提出了一种访问控制的新途径。这种基于用户角色分级、资源权限分级的两层分级访问控制模型,提高了通用性、可靠性、高效性。 参考文献: [1] Sandhu R,Edw ard J Coyne.Ro le based access contro l models [J].IEEE Computer,1996,29(2):38247. [2] Glynn W inskel.程序设计语言的形式语义[M].宋国新,邵志 清译.北京:机械工业出版社,2004. [3] Steve Barker.D istributed access contro l:A logic2based app roach[J].L ecture N o tes in Computer Science,2003,2776: 2172228. [4] A hn G J,Sandhu R.Ro le2based antho rizati on constraints spec2 ificati on[J].A CM T ransacti ons on Info rm ati on and System Security,2000,3(4):2072226. [5] Park J S,Sandhu R.Ro le2based access contro l on theW eb[J]. A CM T ransacti on on Info rm ati on and System security,2001,4 (1):37271. 下期发表论文摘要预报 9-Β-D-阿拉伯呋喃糖-2-氟腺苷单磷酸酯的合成改进 王悦球, 徐肖冰, 沈永嘉 (华东理工大学结构可控先进功能材料及其制备教育部重点实验室,精细化工研究所,上海200237) 摘要:2,62二氨基嘌呤用甲氧基乙酸酐酰化得2,62二(甲氧基乙酰氨基)嘌呤,它与2,3,52三2 O2苄基2D2阿拉伯呋喃糖基氯化物反应得2,62二(甲氧基乙酰氨基)292(2,3,52三2O2苄基2Β2D2阿 拉伯呋喃糖基)2嘌呤,后者脱去甲氧基乙酰基得22氨基292(2,3,52O2苄基2Β2D2阿拉伯呋喃糖基)2 腺嘌呤,它在氟硼酸2四氢呋喃中经席曼反应得92(2,3,52三2O2苄基2Β2D2阿拉伯呋喃糖基)222氟 腺嘌呤,再在氯化钯催化氢化作用下脱去苄基得92Β2D2阿拉伯呋喃糖222氟腺苷,最后与三氯氧磷 作用生成标题化合物,反应总收率为17.6%。 0331 华东理工大学学报(自然科学版)第32卷 基于角色的访问控制系统 Role-Based Access Con trol System 北京航空航天大学计算机系(北京100083) 李伟琴 杨亚平 【摘要】 主要介绍基于角色的访问控制(RBA C),其中包括特点、优势等,并对其设计考虑以及如何具体实现作了阐述。 关键词:访问控制,计算机网络,计算机安全 【Abstract】 Ro le-based access con tro l (RBA C)techno logy is p resen ted,including the featu res,advan tage,design schem e and sp ecific realizing m ethods. Key words:access con trol,co m puter net-work,co m puter safety 近年来,随着全球网络化的热潮,网络技术正在日益广泛而深入地被应用到社会的各个领域中,并深刻地改变着社会的行为和面貌。然而,与此同时,网络安全却成为困扰和阻挠网络技术进一步普及、应用的绊脚石。尤其在商业、金融和国防等领域的网络应用中,能否保证网络具有足够的安全性是首先要考虑的问题。安全问题如果不能有效地得到解决,必然会影响整个网络的发展。 为此,国际标准化组织ISO在网络安全体系的设计标准(ISO7498-2)中,提出了层次型的安全体系结构,并定义了五大安全服务功能:身份认证服务,访问控制服务,数据保密服务,数据完整性服务,不可否认服务。一个可靠的网络,它的可信任程度依赖于所提供的安全服务质量。 1 访问控制研究的定义、内容和范围 访问控制(access con tro l)就是通过某种途径显式地准许或限制访问能力及范围的一种方法。通过访问控制服务,可以限制对关键资源的访问,防止非法用户的侵入或者因合法用户的不慎操作所造成的破坏。 访问控制系统一般包括: 1)主体(sub ject):发出访问操作、存取要求的主动方,通常指用户或用户的某个进程; 2)客体(ob ject):被调用的程序或欲存取的数据访问; 3)安全访问政策:一套规则,用以确定一个主体是否对客体拥有访问能力。 2 传统的访问控制技术 2.1 自主型的访问控制DAC DA C是目前计算机系统中实现最多的访问控制机制,它是在确认主体身份以及(或)它们所属组的基础上对访问进行限定的一种方法。其基本思想是:允许某个主体显式地指定其他主体对该主体所拥有的信息资源是否可以访问以及可执行的访问类型。我们所熟悉的U N I X系统就是采用了自主型的访问控制技术。 2.2 强制型的访问控制M AC 强制型的访问控制是“强加”给访问主体的,即系统强制主体服从访问控制政策。它预先定义主体的可信任级别及客体(信息)的敏感程度(安全级别)。用户的访问必须遵守安全政策划分的安全级别的设定以及有关访问权限的设定。这种访问控制方式主要适合于多层次安全级别的军事应用。 3 基于角色的访问控制技术 随着网络的迅速发展,尤其是In tranet的兴起,对访问控制服务的质量也提出了更高的要求,以上两种访问控制技术已很难满足这些要求。DA C 将赋予或取消访问权限的一部分权力留给用户个人,这使得管理员难以确定哪些用户对哪些资源有访问权限,不利于实现统一的全局访问控制。而M A C由于过于偏重保密性,对其他方面如系统连续工作能力、授权的可管理性等考虑不足。90年代以来出现的一种基于角色的访问控制RBA C(Ro le -B ased A ccess Con tro l)技术有效地克服了传统 ? 6 1 ? 公务员分类改革年内或实施基层可享处级待遇2014年03月26日01:59 京华时报我有话说(8,672人参与)收藏本文 去年11月24日，北交大考点，参加公务员考试的学生等候入场。京华时报记者徐晓帆摄 相关部门知情人士昨天向京华时报记者透露，目前国家有关部门正在制定《行政执法类公务员管理暂行办法》和《专业技术类公务员管理暂行办法》，这将成为我国公务员分类改革的重要指导文件。 该知情人士表示，这项关乎全国700多万名公务员切身利益的改革，或将于今年年内实施。新政一旦实施，公务员挤破头也要争当领导的局面将得以改善。具体而言，基层公务员即使当不上处级领导，也有可能享受处级干部的待遇。 京华时报记者赵鹏 □改革方向 公务员职位一分为三在基层可享处级待遇 上述知情人士向京华时报记者表示，这两个暂行办法的实施方向可能包括建立独立的职务序列、界定职位原则，以及将来要实行有针对性的信息化管理、直接分类招考等内容。现行公务员主要是综合管理类公务员这一类，今后行政机关公务员将被明确划分为综合管理、行政执法、专业技术三类，三类职位将对应各类行政机关的相应职位。 据介绍，现有行政机关公务员主要由综合管理类公务员这一类构成，存在的一大问题就是公务员发展空间有限，千军万马都要走竞争行政职务这一条道。例如不成为处级干部，公务员就无法拿到处级干部的待遇。很多基层公务员因此待遇水平不高，即使工作几十年一直到退休，待遇也始终难以提升较多。 一旦这两个暂行办法得以实施，广大公务员的提升空间将大幅拓宽，行政执法类公务员和专业技术类公务员不用再一门心思竞争行政级别，只要能干好本职工作，发展通道自然就会打开。 该知情人士认为，由于提高行政级别的空间有限，公务员分类改革后，非大一统的精细化管理，能更好激发行政执法类公务员和专业技术类公务员研讨业务、提升技术等级、提高工作效率等方面的积极性。通过相应考核体系，对行政执法类公务员和专业技术类公务员设立不同级别，使其获得除行政级别提升以外，更多的发展空间。这也将改变过去公务员晋升千军万马走独木桥的历史，实现多轨道并行且更加科学合理的发展途径。公务员分类改革将通过管理的精细化，更有针对性地对公务员进行管理。这将使公务员在干好本职工作的同时，能通过待遇的提升，避免人才被压制，同时也提高公务员的工作效率，提升行政绩效，进而为百姓提供更好的公共服务。 这位知情人士还表示，公务员分类改革在大方向上，会吸纳深圳试点的一些经验。 □各地试点 深圳公务员退休多享副处级待遇 2006年深圳市按照分类管理原则，在公安系统率先实施了专业化改革。2010年深圳市作为唯一试点，全面启动公务员分类管理制度改革。今年头两个月，山东、河北、广西等地闻风而动：山东将在县以下机关全面实行公务员职务与职级并行、职级与待遇挂钩制度，解决基层公务员待遇偏低、晋升空间有限的问题；河北将把公务员分为专业技术类和行政执法类，并对公务员坚持平时考核和定期考核的有机结合；广西将从公务员分类管理、推行基层公务员职务职级并行制和基层公务员的考录选拔三方面进行公务员管理工作的改革。 据了解，深圳市公安系统实施专业化改革前，由于只有行政职务一条通道，造成主任科员以下层级的人员占所有非领导职务人员的96%，其中科员和办事员占了60%，副调研员以上职务的只有3.78%，基本上都集中在市局或分局机关中，并且70%公务员只能在正科以下职务退休。 深圳分类管理改革后，通过通道的设计，可以让大部分人退休时的“天花板”能抬高到副处的待遇。在三级执法员以下，没有职数限制，只要长期在执法岗位上工作，每年考核称职，就可以顺利达到三级，这样薪酬就能上来。 深圳市行政执法类职位是指行政机关中主要履行监管、处罚、稽查等执法职责的职位。目前，深圳市已确定了规划国土、环保、交通、文化、劳动监察、社保、地税、市场监管、药品监管、卫生监督、动物卫生监督、城市管理、监狱劳教等部门中的整建制执法单位为行政执法类试点单位，其中的非领导职务公务员统一套转为行政执法类公务员。截至2014年1月底，加上已经先行改革的公安系统警员，深圳市行政机关共有近24000名行政执法类公务员。 安全风险分级管控体系集团标准化工作小组 #Q8QGGQT-GX8G08Q8-GNQGJ8-MHHGN# 安全风险分级管 控体系 唐山**门业有限公司 二〇一六年 安全风险分级管控体系 1.适用范围 2.本实施指南适用于唐山**门业有限公司范围内的风险识别、分级、管控。 3.编制依据？ 4.《中华人民共和共安全生产法》 5.《唐山市安全生产监督管理局文件唐安监管二【2016】83号）》 6.其他安全生产相关法规、标准、相关政策以及唐山**门业有限公司安全生产管理制度等相关规定等要求。 7.2.总体要求、目标与原则 8.根据上级政府主管部门的指示要求，结合唐山**门业有限公司实际，公司着手建立安全风险分级管控体系建设。 9. 总体要求：按照“全员参与，领导负责，职责明确，落实到位”的原则进行安全风险分级管控体系在建设。安全生产小组结合各部门实际情况，严格落实，做到“全员、全过程、全方位、全天候”的风险管控模式。 10. 工作目标：自本指南发布之日起，至2016年12月份完成公司安全风险分级管控体系建设工作，同时，每三年开展一次风险 分级工作，并通过建立风险管控体系做到有效遏制生产事故发生，保障公司员工生产财产安全。 11.基本原则：坚持“统一指导、标准先行、分级推进，全面实施、持续改进“的基本原则，充分发挥各部门基层专业技术人员的主导作用，全面落实企主体责任。 12.4.职责分工 13.唐山**门业有限公司安全风险分级管控体系建设的领导机构，具体负责公司安全风险分级管控体系建设组织领导和统筹协调，支持宣传推广公司安全风险分级管控体系建设，确保实现“全员、全过程、全方位、全天候”的风险管控。 14. 公司安全风险分级体系建设办公室设在综合办公室： 15. 组长：*** 16. 副组长：*** 17. 成员：*** 组长职责：负责安排安全风险分级体系建设的具体工作，安排办公室成员做好组织、协调、计划、实施、总结、归纳、汇总、上报、专家审核等过程的工作，负责考核各责任人责任落实情况。副组长职责：具体负责《唐山**门业有限公司安全风险分级管控体系建设》的编制，负责体系建设工作组织协调、过程培训、技术指导，完成公司安全风险分级管控文件编制，对体系建设过程中各部门提出奖惩建议。？ 基于角色的访问控制(Role-Based Access Control) (Role Based Access Control) 主讲人：张春华 访问控制 访问控制是实现既定安全策略的系统安全技术, 它管理所有资源的访问请求, 即根据安全策略的要求, 对每一个资源访问请求做出是否许可的判断, 能有效防止非法用户访问系统资源和合法用户非法使用资源。 DAC和MAC ?DAC是根据访问者和(或) 它所属组的身份来控制对客体目标的授权访问。它的优点是具有相当的灵活性, 但是访问许可的转移很容易产生安全漏洞, 所以这种访问控制策略的安全级别较低。?MAC是基于主体和客体的安全标记来实现的一种访问控制策略。它的优点是管理集中, 根据事先定义好的安全级别实现严格的权限管理, 因此适宜于对安全性要求较高的应用环境, 但这种强制访问控制太严格, 实现工作量太大, 管理不方便, 不适用于主体或者客体经常更新的应用环境。 RBAC的提出 以上两种访问控制模型都存在的不足是将主体和客体直接绑定在起, 授权时需要主体和客体直接绑定在一起 对每对(主体、客体)指定访问许可, 这样存在的问题是当体和客体到较高的数存在的问题是当主体和客体达到较高的数量级之后,授权工作将非常困难。20 世纪90 年代以来, 随着对在线的多用户、多系统研究的不断深入, 角色的概念逐渐形成, 统究的断角色的概念渐 并产生了以角色为中心的访问控制模型(R l B d A C t l) (Role-Based Access Control) , 被广泛应用在各种计算机系统中。 相关概念 ?角色（Role）：指一个组织或任务中的工作或位置，代表了种资格权利和责任系统管员核 代表了一种资格、权利和责任（系统管理员，核 心）· ?用户(User) :一个可以独立访问计算机系统中的数据或数据表示的其他资源的主体。. ?权限( Permission):表示对系统中的客体进行特定模式的访问操作, 与实现的机制密切相关。· 与实现的机制密切相关 角色 用户权限 m:n m:n 3、理论联系实际讨论我国如何进行公务员分类答：贯彻落实十八届三中全会精神，深化公务员分类改革要重点把握以下几个方面： 一是制度设计要立足国情、解放思想、体现特点。公务员分类管理制度是我国干部人事制度领域一项全新的探索和尝试，既无历史经验可循，国外可借鉴的经验也不多。在制度设计中，既要符合我国国情，具有实践可操作性，又要解放思想，打破陈旧的条条框框，保证制度的先进性和前瞻性。顶层设计中要发挥好制度的导向作用，既要考虑到不同类别公务员的差异性，体现各自职业发展特点，又要统筹三类公务员之间的协调发展，相互兼顾，保持适度平衡。 二是目标导向要着力于激发公务员的积极性、主动性和创造性。公务员职位分类制度的最大特点是能够根据不同职位的职责，针对不同类别的公务员设计符合自身特点的职业发展道路，使各类别公务员分渠道发展。要按照综合管理类提高管理能力，专业技术类技术精湛，行政执法类勤勉尽职的目标设计制度，实行有针对性的管理，激发各类公务员的能动力，真正做到公务员分类各行其道、各负其职。 三是工作推进要试点先行、政策配套、稳慎有序。公务员分类管理作为一项创新性的制度，在推行中一定要试点先行，循序渐进，切不能操之过急。要重视试点工作的经验积累，成熟一批，实施一批，不断完善，再扩大范围。从公安机关执法勤务机构警员职务套改工作实践来看，应做好工资、晋升、考录、考核、培训等相关配套政策的研究制定工作，对各管理环节做全盘考虑，避免工作推进的脱节和被动。在配套政策研究中，要注重政策的实用性和可操作性，政策之间要前后衔接，首尾贯通，并根据试点情况不断充实完善。 四是公务员分类管理要依法强化，规范运行，加强宣传。公务员分类管理是一项政策性很强的工作，制度运行一定要严格依法，规范操作，要维护政策的统一性和严肃性，保证分类工作不走样。公务员分类管理法规实施后，在日常管理中要强化监督，建立长效机制，确保公务员分类管理平稳实施。同时，组织实施中还要注意做好政策指导和宣传工作，深化公务员对分类管理工作的认识，消除分类管理是为了提高待遇的片面理解，帮助公务员找到定位，确定自我发展的目标。 3.理论联系实际讨论我国如何进行公务员分类 答：贯彻落实十八届三中全会精神，深化公务员分类改革要重点把握以下几个 方面： 一是制度设计要立足国情、解放思想、体现特点。公务员分类管理制度是我国干部人事制度领域一项全新的探索和尝试，既无历史经验可循，国外可借鉴的经验也不多。在制度设计中，既要符合我国国情，具有实践可操作性，又要解放 思想，打破陈旧的条条框框，保证制度的先进性和前瞻性。顶层设计中要发挥好制度的导向作用，既要考虑到不同类别公务员的差异性，体现各自职业发展特点，又要统筹三类公务员之间的协调发展，相互兼顾，保持适度平衡。 二是目标导向要着力于激发公务员的积极性、主动性和创造性。公务员职位分类制度的最大特点是能够根据不同职位的职责，针对不同类别的公务员设计符合自身特点的职业发展道路，使各类别公务员分渠道发展。要按照综合管理类提高管理能力，专业技术类技术精湛，行政执法类勤勉尽职的目标设计制度，实行有针对性的管理，激发各类公务员的能动力，真正做到公务员分类各行其道、各负其职。 三是工作推进要试点先行、政策配套、稳慎有序。公务员分类管理作为一项创新性的制度，在推行中一定要试点先行，循序渐进，切不能操之过急。要重视 试点工作的经验积累，成熟一批，实施一批，不断完善，再扩大范围。从公安机 关执法勤务机构警员职务套改工作实践来看，应做好工资、晋升、考录、考核、 培训等相关配套政策的研究制定工作，对各管理环节做全盘考虑，避免工作推进的脱节和被动。在配套政策研究中，要注重政策的实用性和可操作性，政策之间要前后衔接，首尾贯通，并根据试点情况不断充实完善。 四是公务员分类管理要依法强化，规范运行，加强宣传。公务员分类管理是一项政策性很强的工作，制度运行一定要严格依法，规范操作，要维护政策的统一性和严肃性，保证分类工作不走样。公务员分类管理法规实施后，在日常管理中要强化监督，建立长效机制，确保公务员分类管理平稳实施。同时，组织实施 中还要注意做好政策指导和宣传工作，深化公务员对分类管理工作的认识，消除分类管理是为了提高待遇的片面理解，帮助公务员找到定位，确定自我发展的目标。 理工学院 毕业设计外文资料翻译 专业：通信工程 姓名： 学号： 11L0751156 外文出处： 2012 International Conference On Computer Science And Service System 附件： 1.外文资料翻译译文；2.外文原文。 附件1：外文资料翻译译文 基于属性的访问控制(ABAC)的跨域访问控制面向服务的体系结构 (SOA) 摘要传统的基于角色的访问控制模型(RBAC)不能满足面向服务的需求架构(SOA)的分布和开放，基于属性的访问控制(ABAC)更多细粒度访问控制，更适合SOA是敞开的环境。本文提出了一种ABAC-based跨域访问控制系统中，安全域的与主题、对象属性、权力的环境属性访问决策的基础，消除集成基于SOA框架的约束RBAC，某种程度上提高了可伸缩性和可变更性的系统，解决了跨域访问控制的问题。 关键字：SOA，基于属性的访问控制(ABAC)，访问控制 1. 整体介绍 面向服务的体系结构(SOA)是一种组织方法和使用分布式资源的灵活性组织和管理资源的分布不同的管理领域[1 - 2]。越来越高的对信息集成的需求，松散耦合的、开放的SOA从业务和吸引了越来越多的关注学术界[3]。但是SOA的发展也面临着许多问题，比如安全保障，以及如何整合环境检测服务和原始数据[4]。它在特定的SOA安全系统，开放性，跨域访问安全性呈现给我们的是一个巨大的挑战。 基于角色的访问控制(RBAC)是在一个更合适的独立的安全域，不适合跨域访问。基于主体统一服务认证系统[7]，使用不同的方法来处理访问跨域访问，它解决了这个问题在跨域访问企业信息集成一定程度上，但它的基于角色的想法不能最后一个方法实现SOA的开放性和信息集成。 为了解决上述问题，本文提出了一种基于属性的访问控制(ABAC)的跨域访问控制系统，该系统应用的思想属性的访问控制跨域访问控制。该系统消除过程中的缺陷基于角色的访问控制应用于SOA的作用。 2.基于属性的访问控制(ABAC) 附录A：英文原文 Role-Based Access Control for the Web John F. Barkley, D. Richard Kuhn, Lynne S. Rosenthal, Mark W. Skall, and Anthony V. Cincotta, National Institute of Standards and Technology Gaithersburg, Maryland 20899 ABSTRACT Establishing and maintaining a presence on the World Wide Web (Web), once a sideline for U.S. industry, has become a key strategic aspect of marketing and sales. Many companies have demonstrated that a well designed Web site can have a positive effect on their profitability. Enabling customers to answer their own questions by clicking their way through Web pages, instead of dealing with operators and voice response systems, increases the efficiency of the customer interface. One of the most challenging problems in managing large networked systems is the complexity of security administration. This is particularly true for organizations that are attempting to manage security in distributed multimedia environments such as those using World Wide Web services. Today, security administration is costly and prone to error because administrators usually specify access control lists for each user on the system individually. Role-based access control (RBAC) is a technology that is attracting increasing attention, particularly for commercial applications, because of its potential for reducing the complexity and cost of security administration in large networked applications. The concept and design of RBAC is perfectly suited for use on both intranets and internets. It provides a secure and effective way to manage access to an organization’s Web information. This paper describes a research effort to develop RBAC on the Web. The security and software components that provide RBAC for 对改进我国公务员分类制度的若干建议(一) 【内容提要】公务员分类制度是公务员制度本质的外在表现形式。目前我国公务员分类制度存在着公务员范围界定过窄、领导职务和非领导职务设置不科学、职务分类不合理等问题，改进和完善现有分类制度，不仅要把公务员分为政务类公务员和业务类公务员，还应该做更进一步的细分。政务类公务员分为职业党务工作者、政府组成人员、政治任命人员和特别职公务员，业务类公务员分为行政管理类、专业技术类和后勤保障类。这些建议有助于推动我国公务员制度的不断完善，提高公共部门人力资源管理和开发的效能。【关键词】公务员分类制度改革国家公务员制度是现代人事行政制度的主要存在和表现形式。它构成了20世纪各国公共行政管理以及官僚体制的基石。1993年8月14日，国务院通过并颁布了《国家公务员暂行条例》（以下简称《条例》），于同年10月起开始施行，经过近十年的改革和完善，国家公务员制度在我国已经初步确立。2001年11月，中国正式加入了世界贸易组织（WorldTradeOrganization,简称WTO），这必然对中国的政治、经济、文化和社会产生广泛而深远的影响。中国的公务员制度如何应对“入世”的冲击，融入世界发展潮流，同时根据我国的现实国情，增强现有公务员制度的活力，提高公共服务水平和政府治理能力，成了令人关注的问题。因为“国际竞争力的核心不是资金和人才的竞争——资金和人才都是可以国际流动的；也不是技术的竞争，而是制度的竞争。从中国长远来看，应该学习的是制度改造。对于这一课题，更需要学 习的是政府。”①]在整个转轨社会的大背景下，各种制度必然会呈现它的过渡性和渐进性。我国公务员制度虽经过这么多年的运行，但仍然很不完善。原有《条例》已不再适应市场经济发展和政府行政环境变化的要求。作为一个与时俱进的现代政府，应该积极顺应新形势，按照建设社会主义政治文明的要求，改进和完善现有公务员管理体制，保持公务员队伍的活力。本文针对目前的公务员制度在分类管理中的问题提供若干建议和设想。一、现行国家公务员分类制度的存在的问题《条例》从制定至今已有近十年，这期间，我国的市场经济得到长足发展，加入了世界贸易组织，政府行政环境发生了很大变化，现行公务员分类制度的问题逐渐暴露出来：1、现行公务员范围界定过窄世界各国对公务员的范围限定不尽一致。总体来看，存在三种基本类型：一是以英国为代表的小范围型，主要是政府系统中非选举产生和非政治任命的事务官；二是以美国为代表的中范围型，主要包括政府系统中的所有公职人员以及公共事业单位的人员和国营企业的管理人员；三是以日本和法国为代表的大范围型，主要包括政府系统中的所有公职人员、国会工作人员、审判官、检察院以及国有企业、事业单位的工作人员。在我国，《条例》中对公务员范围的界定是“各级国家行政机关中除工勤人员以外的工作人员”。这一范围不包括中共党委、人大、法院、检察院、政协以及公营事业单位和社会团体的工作人员。但是，我国又规定，各级党的机关、人大机关、政协机关、民主党派和工商联机关、工会、共青团、妇联等社会团体机关参照《条例》执行、管 龙源期刊网 https://www.wendangku.net/doc/623236761.html, 基于岗位抽象的角色权限控制模型设计与实现 作者：王伟全张学平 来源：《软件导刊》2012年第01期 摘要：通过对传统访问控制技术及其局限性的探讨，提出了全新的基于岗位抽象的角色 权限控制模型，画出了新模型的图示，介绍了新模型中“用户定岗”和“岗位授权”两个主要关系，阐述了新模型的优点。详细地阐述了实现新模型的关键技术，给出了新模型的总体结构图和总体类图，并对总体类图中的各个类及其关系进行了详细的说明。最后，总结了新模型的实用性及其推广应用价值。 关键词：RBAC；岗位；岗位互斥；定岗；授权 中图分类号：TP311.52 文献标识码：A 文章编号：1672-7800（2012）001-0107- 1 传统访问控制技术及其局限性 访问控制实质上是对资源使用的限制，决定主体是否被授权客体或资源执行某种操作,是 保障系统安全不可或缺的重要组成部分。目前，主要有3种不同类型的访问控制：自主访问控制（DAC）、强制访问控制（MAC）和基于角色的访问控制（RBAC）。 自主访问控制（DAC）是目前计算机系统中实现最多的访问控制机制，如Windows操作系统。强制访问控制（MAC）是强加给访问主体的，即系统强制主体服从既定的访问控制策略，主要应用于军事方面。这两种访问控制方式都只适用于特定的领域，具有一定的局限性。基于角色的访问控制（RBAC）引入了角色的概念，在授权主体和客体之间增加的角色这个中间层，实现了主客体的逻辑分离，具有一定的通用性。但RBAC在实际的应用中仍然存在一 些问题，如：角色的继承机制有缺陷，会造成某些角色的权限过大；权限定义较模糊、笼统，不够清晰；无法满足“同角色不同人员不同权限”的需求。基于上述原因，本文提出一种扩展的 RBAC新模型，引入了“岗位”概念，有效地弥补了传统RBAC的不足。 2 基于岗位抽象的角色权限控制模型 2.1 模型定义 新模型是在传统RBAC模型基础上引入“岗位”概念，模拟现实中的岗位管理制。其基本思想是：机构与角色结合形成岗位，模块与操作结合形成权限，先将权限赋给岗位（授权），再将人员指派到岗位（定岗），实现对系统资源的细粒度访问控制。如图1所示： 第39卷第6期通信学报V ol.39No.6 2018年6月Journal on Communications June 2018 mHealth中可追踪多授权机构基于属性的访问控制方案 李琦1,2,3，朱洪波2,4，熊金波5，莫若6 （1. 南京邮电大学计算机学院、软件学院、网络空间安全学院，江苏南京 210023； 2. 南京邮电大学物联网技术与应用协同创新中心，江苏南京 210003； 3. 南京邮电大学江苏省大数据安全与智能处理重点实验室，江苏南京 210023； 4. 南京邮电大学通信与信息工程学院，江苏南京 210003； 5. 福建师范大学数学与信息学院，福建福州 350117； 6. 西安电子科技大学网络与信息安全学院，陕西西安 710071） 摘要：移动健康护理作为一种新兴的技术给个人健康档案的分享提供了极大的便利，也给其隐私带来了极大的 风险。基于属性的加密体制能够对加密数据实现细粒度的访问控制，有效地保护了个人健康档案的隐私。然而， 目前基于属性的访问控制方案要么缺乏有效的恶意用户追踪机制，要么只支持单个授权机构。针对该问题，提出 了一个移动健康护理环境下适应性安全的可追踪多授权机构基于属性的访问控制方案，该方案在合数群上构造， 支持任意单调的线性秘密共享机制的访问策略，基于子群判定假设证明了该方案在标准模型下是适应性安全的， 基于k-SDH假设证明了该方案的可追踪性，性能分析表明了该方案的实用性。 关键词：属性加密；多机构；可追踪；适应性安全；移动健康护理 中图分类号：TP309 文献标识码：A doi: 10.11959/j.issn.1000-436x.2018100 Multi-authority attribute-based access control system in mHealth with traceability LI Qi1,2,3, ZHU Hongbo2,4, XIONG Jinbo5, MO Ruo6 1. School of Computer Science, Nanjing University of Posts and Telecommunications, Nanjing 210023, China 2. Jiangsu Innovative Coordination Center of Internet of Things, Nanjing University of Posts and Telecommunications, Nanjing 210003, China 3. Jiangsu Key laboratory of Big Data Security & Intelligent Processing, Nanjing University of Posts and Telecommunications, Nanjing 210023, China 4. College of Telecommunications & Information Engineering, Nanjing University of Posts and Telecommunications, Nanjing 210003, China 5. College of Mathematics and Informatics, Fujian Normal University, Fuzhou 350117, China 6. School of Cyber Engineering, Xidian University, Xi’an 710071, China Abstract: Mobile healthcare (mHealth) is an emerging technology which facilitates the share of personal health records (PHR), however, it also brings the risk of the security and privacy of PHR. Attribute-based encryption (ABE) is regarded as a new cryptology to enhance fine-grained access control over encrypted data. However, existing attribute-based mHealth systems either lack of efficient traceable approach, or support only single authority. A traceable multi-authority attribute-based access control mHealth scheme was proposed, which was constructed over composite order groups and supports any monotonic access structures described by linear secret sharing scheme (LSSS). The adaptive security was proved under subgroup decisional assumptions. The traceability was proved under k-strong Diffie-Hellman (k-SDH) as- sumption. The performance analysis indicates that the proposed scheme is efficient and available. Key words: attribute-based encryption, multi-authority, traceable, adaptively secure, mHealth 收稿日期：2017-10-02；修回日期：2018-05-08 基金项目：国家自然科学基金资助项目（No.61502248, No. 61427801, No.61402109, No.61602365, No.61370078）；中国博士后科学基金资助项目（No.2018M632350）；南京邮电大学引进人才科研启动基金资助项目（No.NY215008） Foundation Items: The National Natural Science Foundation of China (No.61502248, No.61427801, No.61402109, No.61602365, No.61370078), The Postdoctoral Science Foundation Project of China (No.2018M632350), NUPTSF (No.NY215008) 2018100-1 万方数据 RBAC(Role Based Access Control) 访问控制是通过某种途径显示的准许或限制访问能力及范围，从而限制对目标资源的访问，防止非法用户的侵入或合法用户的不慎操作所造成的破坏[2]。目前流行的访问控制模型有自主访问控制模型(Discretionary Access Control,DAC)、强制访问控制模型(Mandatory Access Control, MAC)和基于角色的访问控制模型(Role-Based Access Control,RBAC)。自主访问控制是访问控制技术中最常见的一种方法，允许资源的所有者自主地在系统中决定可存取其资源客体的主体，此模型灵活性很高，但安全级别相对较低；强制访问控制是主体的权限和客体的安全属性都是固定的，由管理员通过授权决定一个主体对某个客体能否进行访问。无论是DAC 还是MAC 都是主体和访问权限直接发生关系，根据主体/客体的所属关系或主体/客体的安全级别来决定主体对客体的访问权，它的优点是管理集中，但其实现工作量大、不便于管理，不适用于主体或客体经常更新的应用环境。RBAC是一种可扩展的访问控制模型，通过引入角色来对用户和权限进行解耦，简化了授权操作和安全管理，它是目前公认的解决大型企业的统一资源访问控制的有效访问方法，其 2 个特征是：(1) 由于角色/权限之间的变化比角色/用户关系之间的变化相对要慢得多，从而减小授权管理的复杂性，降低管理开销；(2)灵活地支持企业的安全策略，并对企业变化有很大的伸缩性。 2.2 RBAC 模型的基本思想 在 RBAC 模型中，角色是实现访问控制策略的基本语义实体。系统管理员可以根据职能或机构的需求策略来创建角色、给角色分配权限并给用户分配角色，用户能够访问的权限由该用户拥有的角色权限集合决定，即把整个访问控制过程分成2步：访问权限与角色相关联，角色再与用户关联，从而实现用户与访问权限的逻辑分离。 RBAC 模型引入了Role的概念,目的是为了隔离User(即动作主体，Subject)与Pr ivilege(权限，表示对Resource的一个操作，即Operation+Resource)，当一个角色被指定给一个用户时，此用户就拥有了该角色所包含的权限。 Role作为一个用户(User)与权限(Privilege)的代理层，解耦了权限和用户的关系，所有的授权应该给予Role而不是直接给User或Group。 2.3 RBAC 基本模型 访问控制是通过某种途径显示的准许或限制访问能力及范围，从而限制对目标资源的访问，防止非法用户的侵入或合法用户的不慎操作所造成的破坏[2]。目前流行的访问控制模型有自主访问控制模型(Discretionary Access Control,DAC)、强制访问控制模型(Mandatory Access Control, MAC)和基于角色的访问控制模型(Role-Based Access Control,RBAC)。自主访问控制是访问控制技术中最常见的一种方法，允许资源的所有者自主地在系统中决定可存取其资源客体的主体，此模型灵活性很高，但安全级别相对较低；强制访问控制是主体的权限和客体的安全属性都是固定的，由管理员通过授权决定一个主体对某个客体能否进行访问。无论是DAC 还是MAC 都是主体和访问权限直接发生关系，根据主体/客体的所属关系或主体/客体的安全级别来决定主体对客体的访问权，它的优点是管理集中，但其实现工作量大、不便于管理，不适用于主体或客体经常更新的应用环境。RBAC是一种可扩展的访问控制模型，通过引入角色来对用户和权限进行解耦，简化了授权操作和安全管理，它是目前公认的解决大型企业的统一资源访问控制的有效访问方法，其 2 个特征是：(1) 由于角色/权限之间的变化比角色/用户关系之间的变化相对要慢得多，从而减小授权管理的复杂性，降低管理开销；(2)灵活地支持企业的安全策略，并对企业变化有很大的伸缩性。 2.2 RBAC 模型的基本思想 在 RBAC 模型中，角色是实现访问控制策略的基本语义实体。系统管理员可以根据职能或机构的需求策略来创建角色、给角色分配权限并给用户分配角色，用户能够访问的权限由该用户拥有的角色权限集合决定，即把整个访问控制过程分成2步：访问权限与角色相关联，角色再与用户关联，从而实现用户与访问权限的逻辑分离。 RBAC 模型引入了Role的概念,目的是为了隔离User(即动作主体，Subject)与Pr ivilege(权限，表示对Resource的一个操作，即Operation+Resource)，当一个角色被指定给一个用户时，此用户就拥有了该角色所包含的权限。 Role作为一个用户(User)与权限(Privilege)的代理层，解耦了权限和用户的关系，所有的授权应该给予Role而不是直接给User或Group。 2.3 RBAC 基本模型 标准RBAC模型由4个部件模型组成，分别是基本模型RBAC0（Core RBAC）、角色分级模型RBAC1（Hierarchal RBAC）、角色限制模型RBAC2（Constraint RBAC）和统一模型RBAC3（Combines RBAC）。RBAC 基本模型（RBAC0）包含了RBAC 标准最基本的内容，该模型的定义如图1 所示。 基于角色的访问控制（RBAC）设计思想 基于角色的访问控制设计思想 摘要 分析访问控制的一般设计思路，提出一套基于角色的访问控制的设计思路，并使其成为一个模块加入到系统中使得系统能实现为不同角色的用户提供不同的权限并进行验证等功能。 内容简介 有这么一个案例：国内有一家大型知名医药企业，它们使用了一套企业管理系统，总公司经理用自己的账户登录后能进行查看企业销售报表，审核订单等操作，而区域销售代表用自己的账户登录后能够使用该系统进行客户信息维护、为客户下订单、提取预付款等操作，在公司总部大楼内，财务部会计用自己的账户登录后可以使用帐务结算、工资发放等操作… 在这套系统中，区域销售代表是无权查看企业销售报表，也无权进行审核订单操作的，其他人也类似，整个企业的所有员工在该系统中都各司其职，都无法越权使用超越自己职责范围的操作。甚至他们各自进入系统所能看到的界面都不尽 相同。这对该系统来说，它就必须要有一个判断逻辑：主体、行为、对象，也就是说谁能做什么事或者谁不能做什么事。 本文将和你一起讨论该访问控制模块的设计思想，首先将会提供一些模型并加以分析，然后一步步改进，最后得到一个小型但是比较完整的模型。目的 注意本文所实现的模型并不是完整意义的访问控制系统，它仅仅实现了其中的一小部分，它只解决一些粗粒度的权限，也就是仅仅告诉系统谁能做什么事或者谁不能做什么事。从程序的角度来讲，它只是以能为上层的访问控制系统提供服务为目标。相当多细粒度的权限问题因其极其独特而不具 通用意义，它们被看作是业务逻辑的一部分。比如，要求：合同只能被它的创建者删除，与创建者同组的用户可以修改，所有的用户能够浏览，这既可以认为是一个细粒度的权限 问题，也可以认为是一个业务逻辑问题，在整个权限系统的架构设计之中对其不予过多考虑。 当然，权限系统的架构也必须要能支持这样的控制判断。或者说，系统提供足够多但不是完全的控制能力。系统只提 供粗粒度的权限，细粒度的权限被认为是业务逻辑的职责，它不提供所有关于权限的问题的解决方法，只提供一个基础，并解决那些具有“ 共性” 的( 或者说粗粒度的) 部分。 公务员分类管理改革公务员综合管理时代终结 近日，中央办公厅、国务院办公厅印发《专业技术类公务员管理规定(试行)》和《行政执法类公务员管理规定(试行)》。这标志着，长期以来我国公务员综合管理时代就此终结。 公务员队伍是国家治理现代化的重要载体。长期以来，我国公务员均按照综合管理类进行管理，随着国家治理的日益专业化和精细化，这种“一刀切”的人才管理方式逐渐失去活力和优势。比如， 各类人才招录、选拔、培养和使用，“大锅饭”模式无法人尽其才、才尽其用，专业技术人才陷入“引不进、留不住、干不好”困境。 又如，受机构规格和职数限制，基层公务员晋升空间小，甚至存在“干与不干一个样、干好干坏一个样”的情况，激励机制失去作用。正因为这样，对不同职位的公务员设立不同级别，开辟更加多元的 发展空间，改变公务员晋升“千军万马走独木桥”的局面，成为改 革的题中应有之义。 党的十八届三中全会决定明确提出，深化公务员分类改革，推行公务员职务与职级并行、职级与待遇挂钩制度，加快建立专业技术类、行政执法类公务员和聘任人员管理制度。此番出台的专业技术 类和行政执法类公务员管理规定，正是对这一改革要求的回应和呈现。根据改革分类，我国将在综合管理类之外分别建立专业技术类 和行政执法类公务员职务序列，形成科学的职位分类体系，实行分 类招录、分类培训、分类考核等。这一制度设计，将进一步健全完 善中国特色公务员制度，提高公务员管理效能和科学化水平，为国 家治理现代化开掘出源头活水。 古人言：“法立，有犯而必施;令出，惟行而不返。”落实公务 员分类管理改革，科学分类是改革的先手棋，加强分类管理则是落 实改革的关键一环。两个《规定》目前属于完善公务员管理体系顶 层设计的范畴，公务员分类管理配套办法应尽快制定出台，将职数 设置办法、任职资格评定办法、职务套改办法以及有关工资政策等 内容法治化、具体化。尤其是，哪些公务员能纳入专业技术类管理，基于角色的访问控制系统
公务员分类改革
安全风险分级管控体系
基于角色的访问控制
公共部门人力资源管理形考2参考答案——理论联系实际讨论我国如何进行公务员分类改革。
3、理论联系实际讨论我国如何进行公务员分类改革。-精选.pdf
基于属性的访问控制(abac)的跨域访问控制面向服务的体系结构(soa)-毕设论文
外文翻译--Web环境下基于角色的访问控制
对改进我国公务员分类制度的若干建议(一)
基于岗位抽象的角色权限控制模型设计与实现
mHealth中可追踪多授权机构基于属性的访问控制方案
基于角色的访问控制技术(RBAC)
访问控制技术
基于角色的访问控制(RBAC)设计思想
公务员分类管理改革公务员综合管理时代终结