訪問權(quán)限安全管理作為系統(tǒng)安全近年來的關(guān)注熱點(diǎn)在研究和應(yīng)用中已經(jīng)獲得了較多成果，建立了目前主要使用的DAC、ACL、MAC、RBAC等訪問控制模型，而且 ACL和MAC得到了相對較多的應(yīng)用。但過 去在權(quán)限管理的整體研究和權(quán)限的表達(dá)、權(quán)限的發(fā)布機(jī)制、應(yīng)用權(quán)限管理原則方面沒有進(jìn)行系統(tǒng)的、全面的研究。為了解決這個問題，在X.S09 V4(2000)(1]中，首先提出了權(quán)限管理基礎(chǔ)設(shè)施(Privilege ManagementInfrastructure， PM!)的概念，筆耕文化傳播，為網(wǎng)絡(luò)安全系統(tǒng) 的授權(quán)管理實現(xiàn)提供了一個新的思路。本文在常見PMI模型的基礎(chǔ)上設(shè)計了一種適合大型分布式應(yīng)用的PMI系統(tǒng)一-MPMI，可以滿足大型分布式應(yīng)用環(huán)境對權(quán)限管理的需要。

　　1 X.50S原型與PMI模型

　　X.S09 V4協(xié)議描述了PMI系統(tǒng)的模型 框架，PMI原型應(yīng)該完成以下的主要功能:

　　制定授權(quán)管理策略、審核設(shè)立與管理AA、屬性證書的發(fā)放軍口管理、證書撤銷列表的管理、委托路徑和交叉路徑的處理等。國內(nèi)常見的PMI系統(tǒng)主要是高校的實驗室模型或為某些機(jī)構(gòu)開發(fā)的初級產(chǎn)品，其基本組成(3-4J如圖l所示。

　　圖1所示的結(jié)構(gòu)基于X.S09V4基本模型，設(shè)計者通常將權(quán)限源、簽發(fā)機(jī)構(gòu)甚至頒發(fā)機(jī)構(gòu)綜合成一個模塊，顯然不適合大型應(yīng)用的需求。大型PMI系統(tǒng)必然有大量的終端用戶，并分布范圍廣泛，因此必須將權(quán)限源和簽發(fā)機(jī)構(gòu)分開考慮，同時還應(yīng)該設(shè)置一定規(guī)模的代理機(jī)構(gòu)供終端用戶申請和下載證書。

　　2 MPMI系統(tǒng)設(shè)計

　　為了適合大型分布式應(yīng)用系統(tǒng)的權(quán)限管理需求，MPMI中設(shè)置了一定規(guī)模的代理機(jī)構(gòu)用來處理用戶申請和對應(yīng)用系統(tǒng)的管理。

　　2.1總體設(shè)計和模塊劃分

　　MPMI系統(tǒng)由權(quán)限管理中心(Source of Authority，SOA)，授權(quán)服務(wù)中心，屬性注冊與權(quán)限分配、資源管理系統(tǒng)、訪問控制系統(tǒng)五個子系統(tǒng)組成，其體系結(jié)構(gòu)如圖2所示。

　　其中各個子系統(tǒng)功能分別是。

　　(I)SOA:是整個MPMI的最終信任源和最高管理機(jī)構(gòu)，負(fù)責(zé)授權(quán)管理政策的制定和授權(quán)策略的管理、授權(quán)服務(wù)中心AA的設(shè)立審核及管理、授權(quán)管理體系業(yè)務(wù)的規(guī)范化等。

　　(2)AA:是MPMI系統(tǒng)的核心服務(wù)節(jié)點(diǎn)， 是應(yīng)對于具體應(yīng)用系統(tǒng)的授權(quán)管理分系統(tǒng)，用來對經(jīng)過PKI認(rèn)證的用戶進(jìn)行授權(quán)，是簽發(fā)屬性證書的機(jī)構(gòu)。

　　(3)AR&PA:是MPMI的用戶代理節(jié)點(diǎn)， 是聯(lián)接終端用戶和MPMI的紐帶，屬于應(yīng)對AA的附屬機(jī)構(gòu)，接受上級AA的直接管理。 AR&PA由各AA負(fù)責(zé)建設(shè)，經(jīng)授權(quán)管理總 中心的統(tǒng)一并簽發(fā)相應(yīng)的權(quán)力證書，AR&PA的設(shè)立和數(shù)目由各AA根據(jù)自身的 業(yè)務(wù)發(fā)展需求而定。

　　(4)RMS:是MPMI的重要組成部分，具 有資源收集和管理、角色采集和管理、角色授權(quán)與管理、訪問控制系統(tǒng)管理等功能。

　　(S)ACS:訪問控制系統(tǒng)ACS與實際應(yīng) 用結(jié)合實現(xiàn)對用戶訪問請求的管理，嚴(yán)格來說它們屬于應(yīng)用程序的一部分，但具有統(tǒng)一的接口和信息交互方式，因此將其作為一個獨(dú)立的子系統(tǒng)進(jìn)行設(shè)計。

　　本文由整理發(fā)布，轉(zhuǎn)載請注明出處！