訪問(wèn)權(quán)限安全管理作為系統(tǒng)安全近年來(lái)的關(guān)注熱點(diǎn)在研究和應(yīng)用中已經(jīng)獲得了較多成果，建立了目前主要使用的DAC、ACL、MAC、RBAC等訪問(wèn)控制模型，而且 ACL和MAC得到了相對(duì)較多的應(yīng)用。但過(guò) 去在權(quán)限管理的整體研究和權(quán)限的表達(dá)、權(quán)限的發(fā)布機(jī)制、應(yīng)用權(quán)限管理原則方面沒(méi)有進(jìn)行系統(tǒng)的、全面的研究。為了解決這個(gè)問(wèn)題，在X.S09 V4(2000)(1]中，首先提出了權(quán)限管理基礎(chǔ)設(shè)施(Privilege ManagementInfrastructure， PM!)的概念，筆耕文化傳播，為網(wǎng)絡(luò)安全系統(tǒng) 的授權(quán)管理實(shí)現(xiàn)提供了一個(gè)新的思路。本文在常見(jiàn)PMI模型的基礎(chǔ)上設(shè)計(jì)了一種適合大型分布式應(yīng)用的PMI系統(tǒng)一-MPMI，可以滿(mǎn)足大型分布式應(yīng)用環(huán)境對(duì)權(quán)限管理的需要。

　　1 X.50S原型與PMI模型

　　X.S09 V4協(xié)議描述了PMI系統(tǒng)的模型 框架，PMI原型應(yīng)該完成以下的主要功能:

　　制定授權(quán)管理策略、審核設(shè)立與管理AA、屬性證書(shū)的發(fā)放軍口管理、證書(shū)撤銷(xiāo)列表的管理、委托路徑和交叉路徑的處理等。國(guó)內(nèi)常見(jiàn)的PMI系統(tǒng)主要是高校的實(shí)驗(yàn)室模型或?yàn)槟承C(jī)構(gòu)開(kāi)發(fā)的初級(jí)產(chǎn)品，其基本組成(3-4J如圖l所示。

　　圖1所示的結(jié)構(gòu)基于X.S09V4基本模型，設(shè)計(jì)者通常將權(quán)限源、簽發(fā)機(jī)構(gòu)甚至頒發(fā)機(jī)構(gòu)綜合成一個(gè)模塊，顯然不適合大型應(yīng)用的需求。大型PMI系統(tǒng)必然有大量的終端用戶(hù)，并分布范圍廣泛，因此必須將權(quán)限源和簽發(fā)機(jī)構(gòu)分開(kāi)考慮，同時(shí)還應(yīng)該設(shè)置一定規(guī)模的代理機(jī)構(gòu)供終端用戶(hù)申請(qǐng)和下載證書(shū)。

　　2 MPMI系統(tǒng)設(shè)計(jì)

　　為了適合大型分布式應(yīng)用系統(tǒng)的權(quán)限管理需求，MPMI中設(shè)置了一定規(guī)模的代理機(jī)構(gòu)用來(lái)處理用戶(hù)申請(qǐng)和對(duì)應(yīng)用系統(tǒng)的管理。

　　2.1總體設(shè)計(jì)和模塊劃分

　　MPMI系統(tǒng)由權(quán)限管理中心(Source of Authority，SOA)，授權(quán)服務(wù)中心，屬性注冊(cè)與權(quán)限分配、資源管理系統(tǒng)、訪問(wèn)控制系統(tǒng)五個(gè)子系統(tǒng)組成，其體系結(jié)構(gòu)如圖2所示。

　　其中各個(gè)子系統(tǒng)功能分別是。

　　(I)SOA:是整個(gè)MPMI的最終信任源和最高管理機(jī)構(gòu)，負(fù)責(zé)授權(quán)管理政策的制定和授權(quán)策略的管理、授權(quán)服務(wù)中心AA的設(shè)立審核及管理、授權(quán)管理體系業(yè)務(wù)的規(guī)范化等。

　　(2)AA:是MPMI系統(tǒng)的核心服務(wù)節(jié)點(diǎn)， 是應(yīng)對(duì)于具體應(yīng)用系統(tǒng)的授權(quán)管理分系統(tǒng)，用來(lái)對(duì)經(jīng)過(guò)PKI認(rèn)證的用戶(hù)進(jìn)行授權(quán)，是簽發(fā)屬性證書(shū)的機(jī)構(gòu)。

　　(3)AR&PA:是MPMI的用戶(hù)代理節(jié)點(diǎn)， 是聯(lián)接終端用戶(hù)和MPMI的紐帶，屬于應(yīng)對(duì)AA的附屬機(jī)構(gòu)，接受上級(jí)AA的直接管理。 AR&PA由各AA負(fù)責(zé)建設(shè)，經(jīng)授權(quán)管理總 中心的統(tǒng)一并簽發(fā)相應(yīng)的權(quán)力證書(shū)，AR&PA的設(shè)立和數(shù)目由各AA根據(jù)自身的 業(yè)務(wù)發(fā)展需求而定。

　　(4)RMS:是MPMI的重要組成部分，具 有資源收集和管理、角色采集和管理、角色授權(quán)與管理、訪問(wèn)控制系統(tǒng)管理等功能。

　　(S)ACS:訪問(wèn)控制系統(tǒng)ACS與實(shí)際應(yīng) 用結(jié)合實(shí)現(xiàn)對(duì)用戶(hù)訪問(wèn)請(qǐng)求的管理，嚴(yán)格來(lái)說(shuō)它們屬于應(yīng)用程序的一部分，但具有統(tǒng)一的接口和信息交互方式，因此將其作為一個(gè)獨(dú)立的子系統(tǒng)進(jìn)行設(shè)計(jì)。

　　本文由整理發(fā)布，轉(zhuǎn)載請(qǐng)注明出處！