[發明專利]基于角色的訪問控制系統及方法

無效

• 申請號: 201210413527.8
• 申請日: 2012-10-25
• 公開（公告）號: CN102932340A
• 公開（公告）日: 2013-02-13
• 發明（設計）人: 郭煦
• 申請（專利權）人: 上海電機學院
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 上海思微知識產權代理事務所(普通合伙) 31237
• 代理人: 鄭瑋

1.一種基于角色的訪問控制系統，至少包括：

請求發起者，向訪問控制執行機構發起訪問目標資源的訪問請求；

訪問控制執行機構，接受該訪問請求，并將該訪問請求傳遞給訪問控制決策機構，根據該訪問控制決策機構的決策結果將該訪問請求傳遞給目標資源以便訪問；

訪問控制決策機構，于接收到該訪問控制執行機構傳遞的決策需求后，根據用戶信息表及角色信息表獲得該請求發起者的角色信息，并查詢用戶角色表和角色權限表驗證該請求發起者的角色是否有執行該訪問請求的權限，對該訪問請求作出裁決，將決策結果反饋給訪問控制執行機構；以及

目標資源，提供該訪問請求所要訪問的內容。

2.如權利要求1所述的基于角色的訪問控制系統，其特征在于：該訪問控制執行機構還提供對該請求發起者于發起訪問請求前進行身份認證。

3.如權利要求2所述的基于角色的訪問控制系統，其特征在于：若身份認證通過，則允許該請求發起者發起訪問請求；否則不予服務。

4.如權利要求1所述的基于角色的訪問控制系統，其特征在于：該用戶信息表設置于該訪問控制決策機構，用于存放該請求發起者的基本信息；該角色信息表用來存放角色信息，其通過角色編號與該用戶信息表對應。

5.如權利要求4所述的基于角色的訪問控制系統，其特征在于：該用戶角色表用于確定用戶實體與角色實體間的對應關系，該角色權限表用于確定角色與權限的對應關系。

6.如權利要求5所述的基于角色的訪問控制系統，其特征在于：該訪問控制決策機構還具有存放角色繼承信息的角色繼承表，用于實現角色繼承。

7.一種基于角色的訪問控制方法，包括如下步驟：

步驟一，請求發起者發出訪問請求；

步驟二，訪問控制執行機構接收該訪問請求，并將該訪問請求傳遞給訪問控制決策機構進行決策；

步驟三，該訪問控制決策機構接收到該訪問控制執行機構傳遞的決策需求后，根據用戶信息表及角色信息表獲得該請求發起者的角色信息，并查詢用戶角色表和角色權限表進行角色權限計算，驗證請求發起者的角色是否有執行該訪問請求的權限，并查詢相應的訪問策略文件，對該訪問請求作出裁決，將決策結果反饋給該訪問控制執行機構；以及

步驟四，該訪問控制執行結構根據決策結果將訪問請求傳遞給目標資源以進行目標資源的訪問。

8.如權利要求7所述的基于角色的訪問控制方法，其特征在于：在步驟一之前，對請求發起者進行身份認證。

9.如權利要求8所述的基于角色的訪問控制方法，其特征在于：若通過身份認證，則允許請求發起者發起訪問請求；否則，不予服務。

10.如權利要求7所述的基于角色的訪問控制方法，其特征在于，在步驟三中，該角色權限的計算包括如下步驟：

角色導入自身權限；

根據角色繼承表判斷該角色是否繼承其他角色；

若是，則取出繼承的角色；否則結束；

根據優先級分別取出角色對應的權限；

判斷是否存在權限沖突；

若存在，則刪除沖突權限，結束；否則，導入權限，結束。