訪問權限安全管理作為系統(tǒng)安全近年來的關注熱點在研究和應用中已經(jīng)獲得了較多成果，建立了目前主要使用的DAC、ACL、MAC、RBAC等訪問控制模型，而且 ACL和MAC得到了相對較多的應用。但過 去在權限管理的整體研究和權限的表達、權限的發(fā)布機制、應用權限管理原則方面沒有進行系統(tǒng)的、全面的研究。為了解決這個問題，在X.S09 V4(2000)(1]中，首先提出了權限管理基礎設施(Privilege ManagementInfrastructure， PM!)的概念，筆耕文化傳播，為網(wǎng)絡安全系統(tǒng) 的授權管理實現(xiàn)提供了一個新的思路。本文在常見PMI模型的基礎上設計了一種適合大型分布式應用的PMI系統(tǒng)一-MPMI，可以滿足大型分布式應用環(huán)境對權限管理的需要。

　　1 X.50S原型與PMI模型

　　X.S09 V4協(xié)議描述了PMI系統(tǒng)的模型 框架，PMI原型應該完成以下的主要功能:

　　制定授權管理策略、審核設立與管理AA、屬性證書的發(fā)放軍口管理、證書撤銷列表的管理、委托路徑和交叉路徑的處理等。國內常見的PMI系統(tǒng)主要是高校的實驗室模型或為某些機構開發(fā)的初級產品，其基本組成(3-4J如圖l所示。

　　圖1所示的結構基于X.S09V4基本模型，設計者通常將權限源、簽發(fā)機構甚至頒發(fā)機構綜合成一個模塊，顯然不適合大型應用的需求。大型PMI系統(tǒng)必然有大量的終端用戶，并分布范圍廣泛，因此必須將權限源和簽發(fā)機構分開考慮，同時還應該設置一定規(guī)模的代理機構供終端用戶申請和下載證書。

　　2 MPMI系統(tǒng)設計

　　為了適合大型分布式應用系統(tǒng)的權限管理需求，MPMI中設置了一定規(guī)模的代理機構用來處理用戶申請和對應用系統(tǒng)的管理。

　　2.1總體設計和模塊劃分

　　MPMI系統(tǒng)由權限管理中心(Source of Authority，SOA)，授權服務中心，屬性注冊與權限分配、資源管理系統(tǒng)、訪問控制系統(tǒng)五個子系統(tǒng)組成，其體系結構如圖2所示。

　　其中各個子系統(tǒng)功能分別是。

　　(I)SOA:是整個MPMI的最終信任源和最高管理機構，負責授權管理政策的制定和授權策略的管理、授權服務中心AA的設立審核及管理、授權管理體系業(yè)務的規(guī)范化等。

　　(2)AA:是MPMI系統(tǒng)的核心服務節(jié)點， 是應對于具體應用系統(tǒng)的授權管理分系統(tǒng)，用來對經(jīng)過PKI認證的用戶進行授權，是簽發(fā)屬性證書的機構。

　　(3)AR&PA:是MPMI的用戶代理節(jié)點， 是聯(lián)接終端用戶和MPMI的紐帶，屬于應對AA的附屬機構，接受上級AA的直接管理。 AR&PA由各AA負責建設，經(jīng)授權管理總 中心的統(tǒng)一并簽發(fā)相應的權力證書，AR&PA的設立和數(shù)目由各AA根據(jù)自身的 業(yè)務發(fā)展需求而定。

　　(4)RMS:是MPMI的重要組成部分，具 有資源收集和管理、角色采集和管理、角色授權與管理、訪問控制系統(tǒng)管理等功能。

　　(S)ACS:訪問控制系統(tǒng)ACS與實際應 用結合實現(xiàn)對用戶訪問請求的管理，嚴格來說它們屬于應用程序的一部分，但具有統(tǒng)一的接口和信息交互方式，因此將其作為一個獨立的子系統(tǒng)進行設計。

　　本文由整理發(fā)布，轉載請注明出處！