基于角色的设计系统访问控制规则

机械设计与制造　一２２２一　Ｍａｃｈｉｎｅｒｙ　Ｄｅｓｉｇｎ＆Ｍａｎｕｆａｃｔｕｒｅ　第ｌ０期　２００８年ｌ０月　文章编号：１００１—３９９７（２００８）１０－－０２２２－０２　基于角色的设计系统访问控制规则水　赵博阎艳宁汝新王锋　（北京理工大学，北京１０００８１）　Ｒｏｌｅ－ｂａｓｅｄ　ａｃｃｅｓｓ　ｃｏｎｔｒｏｌ　ｆｏｒ　ｄｅｓｉｇｎ　ｓｙｓｔｅｍ　ＺＨＡＯ　Ｂｏ，ＹＡＮ　Ｙａｎ，ＮＩＮＧ　Ｒｕ－ｘｉｎ，ＷＡＮＧ　Ｆｅｎｇ　（Ｂｅｉｊｉｎｇ　Ｉｎｓｔｉｔｕｔｅ　ｏｆ　Ｔｅｃｈｎｏｌｏｇｙ，Ｂｅｉｊｉｎｇ　１０００８　１，Ｃｈｉｎａ）　∞　∞　．　；　【摘要】权限管理是企业门户设计系统构建过程的一项关键技术。访问控制的设计直接关系到系统；　ｌ信息的安全。在研究各种访问控制模型的基础上，采用基于角色的访问控制策略，设计了系统的访问控制ｌ　ｌ规则，方便而高效地管理各种不同角色的用户。在利用软件ＳｉｍＭａｎａｇｅｒ－－＆开发的油气弹簧设计系统中ｌ　ｌ进行了验证。　ｌ　；　关键词：基于角色的访问控制；安全；ＳｉｍＭａｎａｇｅｒ　；　；　ｉ　【Ａｂｓｔｒａｃｔ］Ｐｒｉｖｉｌｅｇｅ￣ｍｅｎｔ　ｉｓ口后ｅｙ　ｔｅｃｈｎｏｌｏｇｙ　ｉｎ　ｔｈｅ　ｐｒｏｃｅｓｓ　ｏｆｃｏｎｓｔｒｕｃｔｉｎｇ＆ｓｉｇｎ　ｐｌａｔｆｏｒｍ．１　｝　ｅｓｄｉｇｎ　ａｂｏｕｔ　ａｃｃｅｓｓ　ｃｏｎｔｒｏｌ　ｄｅｃｉｄｅｓ　ｔｈｅ　ｓｅｃｕｒｉｔｙ　ｆｉｏｎｆｏｒｍａｔｉｏｎ．Ｗｅ　ｕｓｅ　ｔｈｅ　ｒｏｌｅ－ｂａｓｅｄ　ＣＩｃｃｅｓｓ　ｃｏｎｔｒｏｌ　ｔｏ　ｌ　；ｄｅｓｉｇｎ　ｔｈｅ　ｒｅｇｕｌａｒ　ｆ　ｏａｃｃｅｓｓ　ｃｏｎｔｒｏｌ　ｉｎ　ｏｕｒ　ｓｙｓｔｅｍ　ｂａｓｅｄ　ｏｎ　ｔｅｈ　ｍｅｃｈａｎｉｓｍ　ｏｆ　ＭＳＣ．ＳｉｍＭａｎａｇｅｒ．　．　；ｍｌ　ｅ咖。ｔｈｏｄ　Ｃｉｎａｌ－　ｇｎｓａｕ　ｍｓｐａｇｒｉｅｎ　ｇｔｅｈ　ｒｏｌｅｓ　ｍｏｒｅ　ｃｏｎｖｅｎｉｅｎｔｌｙ　ａｎｄ　ｅｉｆ％ｉｅｎｔｌｙ．Ａｎｄ　ｉｔ　ｈｓａ　ｂｅｅｎ　ｐｒｏｖｅｄ　ｉｎ　ｏｕｒ　ｄｅｓｉｎｇ　ｓｙｓ一｛　１　ｉ　。ｂ　Ｋｅｙ　ｗｏｒｄｓ：Ｒｏｌｅ－ｂａｓｅｄ　ａｃｃｅｓｓ　ｃｏｎｔｒｏｌ；Ｓｅｃｕｒｉｔｙ；ＳｉｍＭａｎａｇｅｒ　吧雪０　，　Ｎ　雪毒　，　奄毒　蝠　詹０　Ｎ　雪０　信　奢　，　，　，　詹　、。　ｌ　中图分类号：ＴＨ１６。ＴＰ３９１文献标识码：Ａ　１引言　权限管理是产品设计系统保证数据安全的核心。权限管理是　以访问控制模型为基础的，访问控制就是通过某种途径，显式地　准许或限制用户、组或角色对信息资源的访问能力及范围的一种　方法【ｌ】。目前各种访问控制模型都在不断的发展中，主要有自主访　问控制（Ｄｉｓｃｒｅｔｉｏｎａｒｙ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ，ＤＡＣ）型、强制访问控制　（Ｍａｎｄａｔｏｒｙ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ，ＭＡＣ）模型和基于角色的访问控制　（Ｒｏｌｅ—Ｂａｓｅｄ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ，ＲＢＡＣ）模型等　；而基于角色的访问　控制更是研究的热点。本文在开发面向油气弹簧设计的系统过程　中，采用基于角色的访问控制策略，有效地控制了不同用户对数　据的访问。　表２数据对象操作说明表　操作　说明　Ｒｅａｄ　繁　显　ｌ５１｝　尹对象‘当然’要读取的数据对象必须　Ｗｒｉｔｅ　对数据对象进行写操作　Ｅｘｅｃｕｔｏｒ执行某一流程动作　Ｄｅｌｅｔｅ流程动作“删除”，删除—个数据对象　Ｋｉｌｌ　终止—个流程动作　Ｄｅｍｏｔｅ降低数据对象的ＲｅｌｅａｓｅＬｅｖｅｌ等级　Ｒｅｌｅａｓｅ提升数据对象的ＲｅｌｅａｓｅＬｅｖｅｌ等级　…　与系统权限有关的基本概念有：用户（ｕｓｅｒ），用户组Ｕｓｅｒ　ｐｒｏｆｉｌｅ），角色（ｒｏｌｅ），操作（ｏｐｅｒａｔｉｏｎ），域（Ｄｏｍａｉｎ），发布等级（Ｒｅ—　ｌｅａｓｅｌｅｖｅ１），项目（Ｐｒｏｊｅｃｔ）。它们之间的关系是：用户（用户组）在　２权限管理机制介绍　不同的项目中或域中，对不同发布等级的数据对象具有不同的操　作。如图１所示。这种机制解决了这样一个问题：具有不同角色的　设计系统的权限分为两大类：（１）系统管理权限：定义所有涉　用户能够对具有不同发布等级的数据对象进行何种操作。　及系统管理方面的操作；（２）数据访问权限：规定某一用户是否可　以访问系统的数据，是否能够执行系统的流程动作，限制用户对　数据的对写操作。相应的用户操作分为两大类：对于系统管理的　操作和对数据对象的操作，如表１、表２所示。　表１系统管理操作说明表　操作　ｃｒｅａｔｅＰｒｏｊｅｅｔ　说明　创建项目　图１权限管理机制示意图　３企业门户设计系统权限设计实例　３．１系统权限设计需求　研究企业门户设计系统基于软件ＳｉｍＭａｎａｇｅｒ进行二次开　发。ＭＳＣ．ＳｉｍＭａｎａｇｅｒ是ＭＳＣ公司出品的仿真数据和仿真流程管　ｅｄｉｔＰｒｏｊｅｃｔ　ａｄｄＰｅｒｍｉｓｓｉｏｎ　编辑项目　添加某种许可操作　添加用户　ａｄｄＵｓｅｒ　★来稿日期：２００７—１２～２３★基金项目：国防基础科研项目（Ｂ０９２００６０９０１）　第１０期　赵博等：基于角色的设计系统访问控制规则　用户　ｃｗ　ｚＩＩａ０ｂｏ　Ｊｉｎ　一２２３一　Ｂｏｍ　理平台，用于对虚拟产品开发过程中海量、多样性的仿真数据和　复杂的仿真流程进行有效的管理，促进流程参与者之间的协作，　提高仿真流程和产品开发流程的效率。ＭＳＣ．ＳｉｍＭａｎａｇｅｒ可以快　速建立基于Ｗｅｂ的企业级仿真门户，创建及实施交互式自动化　表３用户在油气弹簧设计系统各个模块的操作权限表　模块（域）　任务管理模块　（Ｉ－ＩＳ＿Ｐｕｂ）　选型设计模块　（ＨＳ＿Ｐｕｂ）　参数计算模块　（Ｈｓ＿－Ｐａｍ）　读取操作｛卖取操作读取操作读取操作　仿真流程，管理产品开发流程中所有的仿真任务，更快、更早地提　供仿真关键结果，为研究备选方案和设计优化争取更多的时间，　从而降低对物理试验的依赖度。ＭＳＣ．ＳｉｍＭａｎａｇｅｒ超越了文件管　理方式，采用面向对象的方式管理仿真数据和流程，以全面监控　仿真过程中每一步流程，跟踪每—个对象的来源和走向。对于任　意仿真结果，可建立与其它数据的关联关系，如：模型变量、材料　数据、软件版本、平台、时间、仿真执行人、甚至是存储于ＰＤＭ系　统中的几何模型。ＭＳＣ．ＳｉｍＭａｎａｇｅｒ可以处理在设计研究过程中　刚度阻尼计算模　块（ＨＳ＿Ｓ＇ｎｎ）　，ｌ舸模型生成模　块（ＨＳ．．Ｍｏｄｅ１）　有限元分析模块　（ＨＳ＿Ｍｏｄｅ１）　方案评价模块　（ＨＳ＿Ｐｕｂ）　报告生成模块　（Ｈｓ＿．Ｐｕｂ）　产生的大量“ｗｈａｔ－ｉｆ’数据，检查、比较仿真结果，从多个仿真结果　中汇集数据，方便、快速地生成比较报告，快速进行数据挖掘。　针对企业的不同产品，我们研究与开发的企业门户设计系统　注：１代表有权限。‘读取”操作对应角色：ｖｉｅｗｅｒ，而‘操作”对应角色：ａｕｔｈｏｒ　对于管理员用户Ｂｏｍａ（ｍａｎａｇｅｒ），可以看到所有的数据，执　如２图所示。　由多个子系统构成，每个子系统又按照设计流程划分为不同的功　行所有的操作，能模块。因此，需要在设计系统中实现具有不同角色的用户能够　进行不同的操作。具体来说，系统由一个管理员角色，行使管理系　统的各种权利，赋予不同用户不同的操作权限。普通用户不能看　到其所属设计系统之外系统的数据，在同一个设计系统各个模块　之间，用户只能执行其所属模块的动作，对于其他模块可以看到　ｌ　ｌ　Ｏ　Ｏ　ｌ　１　１　１　数据但是不能进行任何操作。以油气弹簧设计子系统各个模块为　例进行验证。　１　ｌ　ｉ　ｉ　ｉ；Ｉ　Ｉ　３－２权限设计步骤　１　ｌ　ｌ　ｌ　０　Ｏ　Ｏ　ｌ　ｌ　图２管理员用户Ｂｏｍａ的视图　首先定义不同的角色“ｕｓｅｒ”，“ｖｉｅｗｅｒ”，“ａｕｔｈｏｒ”，“ｍａｎａｇｅｒ”ｏ　１　ｉ；　对于普通用户ｚｈａｏｂｏ：只能执行部分动作，可以看到其他用　Ｕｓｅｒ：没有任何权限，只能进入系统，普通用户进入系统默认是该　户数据。其视图如图３所示。　角色。ｖｉｅｗｅｒ：只能看到数据不能操作；ａｕｔｈｏｒ可以看到数据也可　ｌ　ｌ　Ｏ　１　Ｏ　０　１　ｌ　以进行一定的操作；ｍａｎａｇｅｒ是系统管理员，可以进行任何操作　包括系统设置。因此，赋予角色ｕｓｅｒ只有读取ＲｅｌｅａｓｅＬｅｖｅｌ等级　１　１｝ｉ　为一０’的数据对象的权限，然而由于该角色不能创建数据并且其　；　ｌ　ｌ　；｛；旨读取其他角色创建的数据，所以ｕｓｅｒ几乎任何数据都看不　到。对于角色ｖｉｅｗｅｒ设定实际读取数据的权限，即其可以看到他人　创建的数据，但是其不能对数据进行任何改动操作，也不能执行流　程动作。角色Ａｕｔｈｏｒ的权限相对大—些，可以对数据进行大部分操　作，例如读取、修改等，但是该角色可以修改的数据范围严格限制在　图３晋通用户ｚｈａｏｂｏ的视图　其创建伪　嚏旨范围内。　通过这样的权限设置，在油气弹簧设计子系统外，三个不同　４结论　提出了一种基于角色的访问控制机制，利用ＳｉｍＭａｎａｇｅｒ内　用户的角色均为ｕｓｅｒ，都只有最低的权限，既不能执行系统的任　置的权限规则实现了将系统的多个用户分为不同角色，不同的角　何动作，也看不到系统的任何数据。这只是一种初始状态，为了能　色能够执行不同的系统动作，对系统的数据进行不同程度的访　够使用户在弹簧系统不同模块间具有不同的权限，设计操作权　问。通过油气弹簧设计系统进行了验证，达到了预期目的。本例只　限，如表３所示。　是从功能角度对基于角色的访问控制规则进行验证，可以根据企　３．３系统运行结果　经过这样的系统权限设计，在初始化设计系统之后，利用管　理员身份登录，在页面“编辑项目”选项中按照表３设置改变用户　的域角色，使其能够执行其他域的动作。各个用户的视图如下所　业的实际需求，进一步细分用户角色及操作权限。　参考文献　１朱羚．—种基于约束规则的访问控制模型的研究与实现：［硕士学位论文］．　上海：华东师范大学，２００４　示。为了查看方便，不同的用户创建的数据对象由该澎啪　ｃ寸京名称　２刘宏月，范九伦，马建峰．访问控制技术研究进展［Ｊ］．小型微型计算机系　的最后厂Ｌ个宇訇加以区别。如ｔａｓｋｌ－－ｚｚ代表ｚｈａ０ｂｏ仓犍的数据。　统．２００４，２５（１）：５６　５９