RBAC在Web考试管理系统权限控制中的设计和实现.docx
- 文档编号:26875552
- 上传时间:2023-06-23
- 格式:DOCX
- 页数:6
- 大小:230.63KB
RBAC在Web考试管理系统权限控制中的设计和实现.docx
《RBAC在Web考试管理系统权限控制中的设计和实现.docx》由会员分享,可在线阅读,更多相关《RBAC在Web考试管理系统权限控制中的设计和实现.docx(6页珍藏版)》请在冰豆网上搜索。
RBAC在Web考试管理系统权限控制中的设计和实现
RBAC在Web考试管理系统权限控制中的设计和实现
本系统设置的角色有:
超级管理员、普通管理员、导学中心、教务科、管理教师、专业责任教师和课程辅导教师,学生用户角色单独设置。
根据用户在系统中的职责管理员赋予其相应的角色。
按照角色约束模型的要求,一个用户可以有一个或多个角色,但不能同时拥有相互静态互斥的两个角色。
用户角色分配如图4所示:
用户权限分配:
本考试管理系统权限共分为7个大类42个模块。
如图5所示。
RBAC中,角色权限分配要求角色按其职责范围与一组权限相关联,不在其职责范围内的权限是不允许被访问的。
系统管理员根据角色的职责为每个角色分配相应的权限。
用户使用相应的角色登录系统后,不可操作的权限自动不在其操作菜单中显示。
结论:
对基于角色的访问控制模型进行了分析和应用。
实践证明,RBAC模型在Web考试管理系统中的应用,不但降低了操作的复杂度,提高了工作效率,而且也使得系统数据管理更加安全、高效。
2、列举自主控制策略、强制控制策略和基于角色控制策略的优缺点,并比较他们的异同。
自主访问控制策略
优点:
1)访问控制的粒度战足单个用户,能够在一定程度上实现权限隔离和资源保护。
2)能够不加控制地使信息从一个可以被写的客体流向一个可以被读的客体。
3)用户可以随意地将自己拥有的访问权限授予其他用户,之后了可以随意地将所授予权限撤销。
4)由于自主访问控制将用户权限与用户直接对应,因此自主访问控制具有较高的访问效率。
缺点:
1)信息在移动过程中其访问权限的关系可能会发生改变,这使得管理员难以确定哪些用户对哪些资源具有有访问权限,不利于实现统一全局访问控制,使其在资源共享方面难以控制。
2)DAC中资源管理比较分散,用户间的关系不能在系统中体现出来,且不易管理,信息容易泄露,无法抵御特洛伊木马的攻击。
一旦带有特洛伊木马的应用程序被激活,它可以任意泄漏和破坏接触到的信息,甚至改变这些信息的访问授权模式。
3)授权管理繁琐,需要对每个资源指定可以访问的用户以及相应的权限,当用户的情况发生变化时需要进行大量的修改操作,并且每个子系统都要维护自己的访问控制列表,使得整个系统的统一管理非常困难,容易产生安全漏洞。
强制访问控制策略
优点:
1)它是管理集中,根据事先定义好的安全级别实现严格的权限管理,因此适合对于安全性要求较高的应用环境,如美国军方就一直使用这种访问控制模型。
2)通过信息的单向流动来防止信息扩散,能够抵御特洛伊木马对系统保密性的攻击。
缺点:
1)根据用户的可信任级别及信息的敏感程度来确定它们的安全级别,在控制粒度上不能满足最小权限。
2)应用领域比较窄,使用不灵活。
一般只用于军事等具有明显等级观念的行业或领域。
3)主体访问级别和客体安全级别的划分与现实要求无法一致,在同级别间缺乏控制机制,管理不使。
因为只有子系统的管理员才能制定出合适该子系统的访问控制模式,而整个系统的管理员不可能指定出适合各个子系统的统一的访问控制模式。
4)完整性方面控制不够。
重点强调信息从低安全级向高安全级的方向流动,对高安全级信息的完整性保护强调不够。
基于角色
优点:
1)通过角色概念的引入,实现了用户与访问权限的逻辑分离,即先给角色分配权限,再给用户分配相应的角色,从而该用户具有了与该角色相关联的权限,
2)实现了根据用户在系统中所处的位置及作用设置相应的访问权限;
3)RBAC以对角色的控制民取代了DAC和MAC中直接对用户的控制,增加了系统的灵活性;
4)最小特权原则的实施,保证了用户只具有完成任务所必须的权限,防止了用户具备过大的对系统资源进行访问的权限;
5)方便管理员对权限的管理。
在定义好了权限和角色后,只需进行简单的角色分配或取消,即可完成用户权限的分配与取消。
缺点:
1)在RBAC中进行了职责分离,使得原来对身份标识的窃取恶化为对角色的窃取;
2)任何一个对象或主体会因此损害到整个对象组织或用户组;
3)角色的继承不加限制的权限授予会导致违背安全性策略;
4)角色重叠的模糊本所、为用户指定多种角色以及将对象指定到多个对象访问组,会使错误配置成为一种实际的风险;
5)最后RBAC的角色层次图中的许多都只有理论和算法描述,实现困难,并且许多理论框架依然不清楚,没有完整的代数描述。
对于模型中的限制的研究将角色的互斥进行分类,定义了理论上的安全级别,不过实际中几乎无法使用,仅有理论意义。
再有,许多模型的代数描述非常复杂,很抽象,很难理解,需要很好的数学基础,不易推广。
基于角色控制策略:
基于角色的访问控制(RBAC)是实施面向企业安全策略的一种有效的访问控制方式。
其基本思想是,对系统操作的各种权限不是直接授予具体的用户,而是在用户集合与权限集合之间建立一个角色集合。
每一种角色对应一组相应的权限。
一旦用户被分配了适当的角色后,该用户就拥有此角色的所有操作权限。
这样做的好处是,不必在每次创建用户时都进行分配权限的操作,只要分配用户相应的角色即可,而且角色的权限变更比用户的权限变更要少得多,这样将简化用户的权限管理,减少系统的开销。
就基于角色访问控制而言,访问决策是基于角色的,个体用户是某个组织的一部分。
用户具有指派的角色。
定义角色的过程应该基于对组织运转的彻底分析,应该包括来自一个组织中更广范围用户的输入。
访问权按角色名分组,资源的使用受限于授权给假定关联角色的个体。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- RBAC Web 考试 管理 系统 权限 控制 中的 设计 实现