[發(fā)明專利]基于屬性的訪問控制模型在工業(yè)4.0系統(tǒng)中的應(yīng)用方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201710418880.8
• 申請(qǐng)日: 2017-06-06
• 公開（公告）號(hào): CN107147665B
• 公開（公告）日: 2019-12-03
• 發(fā)明（設(shè)計(jì)）人: 劉剛;房璐;王泉;王榮;齊曉倩
• 申請(qǐng)（專利權(quán)）人: 西安電子科技大學(xué)
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 61205 陜西電子工業(yè)專利中心
• 代理人: 韋全生;王品華<國際申請(qǐng)>=<國際公布>

1.基于屬性的訪問控制模型在工業(yè)4.0系統(tǒng)中的應(yīng)用方法，其特征在于，包括如下步驟：

(1)獲取改進(jìn)的基于屬性的訪問控制模型ABAC：

(1a)創(chuàng)建與客體相關(guān)聯(lián)的權(quán)限許可表，將ABAC模型策略庫中的訪問控制策略作為客體的權(quán)限屬性存儲(chǔ)于權(quán)限許可表中，同時(shí)刪除訪問控制策略中的客體屬性和ABAC模型中的策略庫；

(1b)刪除ABAC模型訪問控制策略中的不允許權(quán)限，并將允許權(quán)限存儲(chǔ)在權(quán)限許可表中；

(1c)重新制定權(quán)限許可表中權(quán)限匹配規(guī)則：

Permission＝(PA,EA),PA＝(SA,OA)

其中，Permission為權(quán)限許可表中的權(quán)限屬性，PA為由SA以及OA組成的二元組(SA,OA)，SA和OA分別為允許某一種或多種主體進(jìn)行相應(yīng)操作的主體屬性和操作屬性，EA為允許主體對(duì)客體進(jìn)行操作時(shí)的環(huán)境屬性集合；

(2)將工業(yè)4.0系統(tǒng)與改進(jìn)的ABAC模型相對(duì)應(yīng)：

將工業(yè)4.0系統(tǒng)中每個(gè)企業(yè)內(nèi)部的權(quán)限管理人員作為改進(jìn)的ABAC模型的一個(gè)系統(tǒng)管理員，每個(gè)設(shè)備作為改進(jìn)的ABAC模型的一個(gè)客體，每個(gè)設(shè)備的用戶作為改進(jìn)的ABAC模型的一個(gè)主體；

(3)設(shè)定工業(yè)4.0系統(tǒng)中的各成員的責(zé)任：

(i)設(shè)定企業(yè)內(nèi)部權(quán)限管理人員責(zé)任：對(duì)本企業(yè)的設(shè)備進(jìn)行初始化，包括配置并更新設(shè)備中的權(quán)限許可表和對(duì)權(quán)限許可表中權(quán)限屬性進(jìn)行初始化，其中在對(duì)權(quán)限許可表中權(quán)限屬性進(jìn)行初始化時(shí)，權(quán)限屬性中的主體屬性為用戶的級(jí)別，不同級(jí)別用戶擁有的主體屬性數(shù)量不同，其權(quán)限級(jí)別不同；

(ii)設(shè)定設(shè)備的責(zé)任：設(shè)備內(nèi)部存儲(chǔ)權(quán)限許可表；在用戶注冊(cè)后自動(dòng)更新內(nèi)部權(quán)限屬性；使用權(quán)限匹配規(guī)則判斷是否對(duì)用戶授權(quán)；

(iii)設(shè)定用戶的責(zé)任：申請(qǐng)對(duì)設(shè)備的訪問權(quán)限；初次使用設(shè)備時(shí)選擇用戶級(jí)別并進(jìn)行注冊(cè)后申請(qǐng)?jiān)L問設(shè)備，非初次使用設(shè)備時(shí)選擇用戶級(jí)別后申請(qǐng)?jiān)L問設(shè)備；

(4)設(shè)備對(duì)用戶是否具有操作權(quán)限進(jìn)行驗(yàn)證：

(4a)用戶申請(qǐng)?jiān)L問設(shè)備：新用戶在設(shè)備注冊(cè)界面上選擇用戶級(jí)別進(jìn)行注冊(cè)并輸入用戶屬性，老用戶選擇用戶級(jí)別后輸入用戶屬性；

(4b)設(shè)備使用新用戶的屬性代替權(quán)限許可表中權(quán)限屬性的用戶級(jí)別，得到與權(quán)限匹配規(guī)則相匹配的權(quán)限屬性；

(4c)設(shè)備根據(jù)權(quán)限匹配規(guī)則，判斷用戶輸入的用戶屬性是否存在于權(quán)限許可表的權(quán)限屬性中，若是，設(shè)備允許用戶登錄，否則提示用戶退出系統(tǒng)，并執(zhí)行步驟(4i)；

(4d)用戶在初始界面申請(qǐng)對(duì)設(shè)備的操作權(quán)限；

(4e)設(shè)備收集用戶屬性、用戶申請(qǐng)的操作屬性和當(dāng)前環(huán)境屬性，并根據(jù)屬性匹配規(guī)則判斷這些屬性是否存在于權(quán)限許可表的權(quán)限屬性中，若是，給用戶授權(quán)，并執(zhí)行步驟(4f)，否則提示禁止用戶獲得操作權(quán)限，并執(zhí)行步驟(4g)；

(4f)用戶執(zhí)行所申請(qǐng)對(duì)設(shè)備的操作后返回初始界面，若申請(qǐng)下一操作權(quán)限則執(zhí)行步驟(4d)，否則執(zhí)行步驟(4i)；

(4g)設(shè)備判斷禁止用戶獲得操作權(quán)限的原因是否為用戶屬性不正確，而操作屬性和環(huán)境屬性正確，若是，提示用戶進(jìn)行更高級(jí)別注冊(cè)，并執(zhí)行步驟(4h)，否則執(zhí)行步驟(4i)；

(4h)用戶判斷是否進(jìn)行更高級(jí)別注冊(cè)，若是，返回注冊(cè)界面，并執(zhí)行步驟(4a)，否則，執(zhí)行步驟(4i)；

(4i)用戶結(jié)束對(duì)設(shè)備的訪問，并退出系統(tǒng)。

2.根據(jù)權(quán)利要求1所述的一種ABAC模型在工業(yè)4.0系統(tǒng)中的應(yīng)用方法，其特征在于，步驟(1c)所述的環(huán)境屬性集合，包括為空和非空兩種狀態(tài)，其對(duì)應(yīng)的權(quán)限匹配規(guī)則分別為：

當(dāng)EA為空時(shí)，權(quán)限匹配規(guī)則為：表示權(quán)限屬性不受環(huán)境屬性的約束，只要滿足(S,O)∈PA訪問請(qǐng)求即可被允許，其中S和O分別表示當(dāng)前請(qǐng)求訪問的用戶的主體屬性與用戶申請(qǐng)的操作屬性，T表示訪問請(qǐng)求被允許；

EA為非空時(shí)，權(quán)限匹配規(guī)則為：表示在滿足(S,O)∈PA條件前提下，只有用戶申請(qǐng)?jiān)L問設(shè)備時(shí)的環(huán)境屬性與權(quán)限屬性中的環(huán)境屬性相一致才允許授權(quán)，其中e表示用戶申請(qǐng)?jiān)L問設(shè)備時(shí)的環(huán)境屬性。