View
252
Download
0
Category
Preview:
Citation preview
О ПОСТРОЕНИИ
ИЕРАРХИЧЕСКОГО
РОЛЕВОГО УПРАВЛЕНИЯ
ДОСТУПОМ
Колегов Денис Николаевич
Доцент кафедры защиты информации и криптографии
Томский государственный университет
SEBECRYPT 2012
11 Всероссийская конференция «Сибирская научная школа-семинар с международным
участием «Компьютерная безопасность и криптография». Иркутск, 3-7 сентября 2012 г.
Введение
• В настоящее время широкое развитие и распространение получил
механизм ролевого управления доступом
– SAP R/3
– ЭПС Microsoft Exchange Server 2010
– Cisco Secure ACS, NAC, ISE
• Предложено огромное количество расширений и модификаций модели
RBAC для учета особенностей и условий функционирования КС
– RBAC-A
– TRBAC
– GRBAC
– C-RBAC
1 О построении иерархического ролевого управления доступом
Особенности управления доступом в КС
• Иерархичность и распределенность компонент КС
• Наличие идентичных составов и структур компонент КС
• Существование большого числа ролей и пользователей
• Возможность использования уровней иерархии КС при задании
разрешенных прав доступа субъектов к сущностям и правил их
проверки
• Возможность существования нескольких иерархий в КС одновременно
• Необходимость гибкого и масштабируемого задания разрешенных
прав доступа при администрировании механизма управления доступом
2 О построении иерархического ролевого управления доступом
Пример
10 Сибирская научная школа-семинар с международным участием
"Компьютерная безопасность и криптография"
О построении иерархического ролевого управления доступом 3
Пример
10 Сибирская научная школа-семинар с международным участием
"Компьютерная безопасность и криптография"
О построении иерархического ролевого управления доступом 4
Пример
5 О построении иерархического ролевого управления доступом
Требования управления доступом
• Все сущности должны быть идентифицированы
• Задана верхняя полурешетка уровней иерархии КС и каждой сущности
присвоен уровень иерархии
• Определено множество типов сущностей и для каждой сущности указан ее тип
• Задано множество ролей, каждая из которых представляет собой некоторое
множество прав доступа к сущностям определенного типа
• Каждый субъект обладает некоторым множеством разрешенных для данного
субъекта ролей
• Субъект обладает правом доступа к сущности в том и только том случае, если
субъект обладает ролью, в множестве прав доступа которой имеется
данное право доступа к сущности данного типа и уровень иерархии
субъекта не меньше уровня иерархии сущности
6 О построении иерархического ролевого управления доступом
Элементы модели RBAC-H
E = O C – множество сущностей, O – множество объектов, C – множество
контейнеров и O C = ;
U – множество пользователей и U E = ;
R – множество ролей;
Rr – множество видов прав доступа;
S E – множество субъект сессий-пользователей;
T – множество типов сущностей;
L – множество уровней иерархии сущностей;
X – разбиение множества E в соответствии с заданной иерархией сущностей, при
этом |X| = |L|;
(L, ≤), (X, ≤) – верхние полурешетки;
P (Rr T) (Rr E) – множество прав доступа к сущностям одного типа и к
сущностям;
7 О построении иерархического ролевого управления доступом
Элементы модели RBAC-H
type: E → T – функция типов сущностей;
fe: E → L – функция, задающая уровень иерархии каждой сущности;
PA: R → 2P – функция прав доступа ролей;
UA: U → 2R – функция авторизованных ролей пользователей;
user: S → U – функция принадлежности субъект-сессии пользователю;
roles: S → 2R – функция текущих ролей субъект-сессий, при этом для любой
субъект-сессии sS выполняется включение roles(s)UA(user(s))
can_access(s, e, p) – предикат, истинный тогда и только тогда, когда выполнено
- fe(e) ≤ fe(s)
- (p, type(e)) PA(roles(s))
8 О построении иерархического ролевого управления доступом
Определение
• В КС реализовано иерархическое ролевое управление доступом RBAC-H, если
любая субъект-сессия sS пользователя user(s)U может обладать правом
доступа pRr к сущности eE тогда и только тогда когда истинен
предикат can_access(s, e, p)
9 О построении иерархического ролевого управления доступом
Структура элементов модели
10 О построении иерархического ролевого управления доступом
Выводы
• Предложено описание базовых элементов иерархической ролевой модели
RBAC-H, ориентированной на КС с иерархией сущностей, отражающие
установленные организационно-управленческие отношения
• Добавление атрибутов иерархии и типов сущностей к элементам модели RBAC
позволяет адаптировать ее к условиям функционирования реальных КС, а
также упростить реализацию и администрирование системы ролевого
управления доступом
11 О построении иерархического ролевого управления доступом
Благодарю за внимание!
Колегов Денис Николаевич
Доцент кафедры защиты информации и криптографии
Томский государственный университет
E-mail: d.n.kolegov@gmail.com
О построении иерархического ролевого управления доступом
Recommended