毕业论文网
本文是一篇关于企业管理论文范文，可作为相关选题参考,和写作参考文献。
RBAC在企业管理信息系统中的应用
瑞娟
（中国五矿集团公司信息中心,北京 100010）
［摘
要］ 本文主要采用NIST建议的静态职责分离的有限层次的RBAC模型做参考,设计企业管理信息系统访问控制机制.既在信息系统安全上能够满足用户要求,又能够适应MIS系统易变的特性.
［关键词］ RBAC；管理信息系统；角色
doi : 10 . 3969 / j . issn . 1673 - 0194 . 2017. 17. 036
［中图分类号］ TP393.07；TP389
［文献标识码］ A
［文章编号］ 1673 - 0194（2017）17- 0072- 03
１
前
言
随着计算机的普及和网络信息技术的应用,尤其是互联网技术及其开发工具的成熟,各种基于互联网的应用蓬勃发展,电子贸易、电子政务、数字城市等新型的应用都在不同行业展现出了强大的生命力.基于公共网络的信息系统由于其开放性和资源的共享性极大地方便了使用者,从而大大提高了企业和政府机关的工作效率及工作质量.信息系统本身具备多用户性、广泛的适用性,以及数据存取的网络运行,这些特点都对系统的安全性提出了更高的要求.
为此,除了采用相应的加密技术外,人们也设计出了多种安全模型,其中基于角色的数据访问权限控制（ＲＢＡＣ）应用最为广泛.采用ＲＢＡＣ模型设计的信息系统通过对不同角色的用户访问权限的控制,更能有效地保证一些重要和敏感数据的安全性.
中国五矿集团公司信息化工作在公司战略的指导下坚持“统一规划、分步实施、统一部署、分级管理”的总体原则,建设了包括战略、人力、财务、投资、风险、审计等在内的管理决策平台,建成了集团集中部署的财务业务一体化的运营管控平台,搭建了包括门户、协同办公、知识管理、数据管控等在内的基础应用支撑平台.三大平台的应用体系建设涵盖了集团经营管理的方方面面,用户上至集团公司领导,下至普通一线员工.一套既严谨又灵活、既先进又实用并且便于维护的用户权限管理体系的建立对于集团公司信息化建设工作的推进至关重要.
２
背景知识
２．１ 访问控制简介
访问控制模型是一种从访问控制的角度出发,描述安全系统,建立安全模型的方法.常用的有：自主访问控制模型,强制访问控制模型,基于角色的访问控制模型.
自主访问控制模型.自主访问控制模型（ＤＡＣ Ｍｏｄｅｌ：Ｄｉｓｃｒｅｔｉｏｎａｒｙ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｍｏｄｅｌ）是根据自主访问控制策略建立的一种模型,允许合法用户以用户或用户组的身份访问策略规定的客体,同时阻止非授权用户访问客体,某些用户还可以自主地把自己所拥有的客体的访问权限授予其他用户.
自主访问控制对用户提供的这种灵活的数据访问方式,使得ＤＡＣ广泛应用在商业和工业环境中.由于用户可以任意传递权限,ＤＡＣ模型提供的安全防护还是相对比较低的,不能给系统提供充分的数据保护.
强制访问控制模型.强制访问控制模型（ＭＡＣ Ｍｏｄｅｌ：Ｍａｎｄａｔｏｒｙ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｍｏｄｅｌ）最开始为了实现比ＤＡＣ更为严格的访问控制策略,美国政府和军方开发了各种各样的控制模型,这些方案或模型都有比较完善和详尽的定义.随后,逐渐形成强制访问的模型,并得到广泛的商业关注和应用.在ＭＡＣ访问控制中,用户和客体资源都被赋予一定的安全级别,用户不能改变自身和客体的安全级别,只有管理员才能够确定用户和组的访问权限.和ＤＡＣ模型不同的是,ＭＡＣ是一种多级访问控制策略,它的主要特点是系统对访问主体和受控对象实行强制访问控制,系统事先给访问主体和受控对象分配不同的安全级别属性,在实施访问控制时,系统先是对访问主体和受控对象的安全级别属性进行比较,再决定访问主体能否访问该受控对象.
基于角色的访问控制模型.基于角色的访问控制模型（ＲＢＡＣ Ｍｏｄｅｌ：Ｒｏｌｅ－Bａｓｅｄ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｍｏｄｅｌ）：ＲＢＡＣ模型的基本思想是将访问许可权分配给一定的角色,用户通过担任不同的角色获得角色所拥有的访问许可权.这是因为在很多实际应用中,用户并不是可以访问的信息资源的所有者（这些信息属于企业）,因此,访问控制应该基于员工的职务而不是基于员工在哪个组或者谁是信息的所有者,即访问控制是由各个用户在部门中所担任的角色来确定的,例如,一个公司可以有总经理、部门经理、业务员等角色.
ＲＢＡＣ从控制主体的角度出发,根据管理中相对稳定的职权和责任来划分角色,将访问权限与角色相联系,这点与传统的ＭＡＣ和ＤＡＣ将权限直接授予用户的方式不同；通过给用户分配合适的角色,让用户与访问权限相联系.角色成为访问控制中访问主体和受控对象之间的一座桥梁.
角色可以看作是一组操作的集合,不同的角色具有不同的操作集,这些操作集由系统管理员分配给角色.在下面的实例中,我们假设Ａ是部门经理,Ｂ是业务员.那么部门经理的权限为：查看业务数据、审批业务数据、审批费用数据；业务员的权限为：录入业务数据、录入费用数据、查看审批数据.那么,依据角色的不同,每个主体只能执行自己所指定的访问功能.用户在一定的部门中具有一定的角色,其所执行的操作与其所扮演的角色的职能相匹配,这正是基于角色的访问控制（ＲＢＡＣ）的根本特征.
系统管理员负责授予或撤销用户角色.同一个用户可以是多个角色的成员,即同一个用户可以扮演多种角色,比如一个用户可以是部门经理,同时也可以作为公文文书.同样,一个角色可以拥有多个用户成员,这与现实是一致的,一个人可以在同一部门中担任多种职务,而且担任相同职务的可能不止一人.因此ＲＢＡＣ提供了一种描述用户和权限之间的多对多关系.ＲＢＡＣ中引进了角色的概念,用角色表示用户在系统中具有的操作权限,灵活地表达和实现了企业的安全策略,从而简化了权限设置的管理,从这个角度看,ＲＢＡＣ很好地解决了企业管理信息系统中用户数量多、变动频繁的问题.
相比较而言, ＲＢＡＣ是实施面向企业的安全策略的一种有效的访问控制方式,其具有灵活性、方便性和安全性的特点,目前在大型数据库系统的权限管理中得到普遍应用.
２．２ ＲＢＡＣ架构
ＮＩＳＴ的ＲＢＡＣ参考模型包括核心ＲＢＡＣ、层次ＲＢＡＣ、静态职责分离和动态职责分离四个模型构件,分别描述了ＲＢＡＣ系统某一个方面的特征.在构造实际ＲＢＡＣ系统时,除核心ＲＢＡＣ构件是必选的,其他构件都是可选的.核心ＲＢＡＣ构件是任何ＲＢＡＣ系统都必须具备的基本需求：包括五个基本要素集：用户（ＵＳＥＲＳ）、角色（ＲＯＬＥＳ）、对象（ＯＢＳ）、操作（ＯＰＳ）和访问权限（ＰＲＭＳ）.
在ＲＢＡＣ２００１建议标准中访问权限仅限于对数据和资源对象的访问,不包括对系统要素自身的访问控制.对系统要素的访问被认为是系统管理员的权限（如修改系统的用户、角色、访问权限的形式、ＵＡ关系、ＰＡ关系等）.
３
系统分析与设计
中国五矿集团公司基于ＲＢＡＣ的理论搭建了用户及权限管理系统.各系统的用户及权限由系统管理员统一管理,在用户及权限管理系统中完成各应用系统用户的建立及权限分配,实现了用户统一管理、统一认证,为应用系统建设和推广奠定了坚实的基础.下面以五矿集团某业务系统的权限管理设计方案为例阐述.
３．１ 访问控制模型的选择
比较几种访问控制模型,并结合企业管理信息系统的特点进行分析,我们决定采用当前管理信息系统中比较常用的ＲＢＡＣ模型,通过在用户和权限间引入角色的概念,可以大大降低权限分配时的工作量,同时可以在人员流动时方便地更改用户对系统的操作权限,使系统具备更强的适应型.
相比较ＲＢＡＣ模型,ＤＡＣ模型不能满足安全性的要求,而ＭＡＣ模型又给授权工作带来了巨大的工作量,将给用户使用系统造成不必要的障碍.
３．２ 用户角色分析
首先根据系统的用户特点,设计用户角色,例如,系统管理员：负责公司系统参数的设置、人员操作模块设置等系统管理功能；代码管理员：负责维护系统中的代码表；总部总经理：管理公司总部及下属各分公司的业务、财务及人员；分公司总经理：管理本公司的业务、财务、人员；副总经理：分管公司内部分部门的业务、财务、人员；财务经理：财务部门经理,参与费用的审批；财务人员：负责财务数据的处理；业务经理：管理本部门的业务,参与业务及费用数据的审批；业务人员：处理日常业务；核算员：负责本部门的费用核算工作.
３．３ 数据结构设计
ＲＢＡＣ核心表如下,用户表：保存系统中的所有用户；操作角色定义表：保存系统中的所有角色；功能对象表：保存系统中的操作对象；功能操作表：保存对象的操作动作；角色权限分配表：保存每个角色所拥有的权限；用户角色分配表：保存所有用户所饰演的角色.
４
结
语
随着计算机技术的不断发展,管理信息系统（ＭＩＳ）作为提高生产力的主要手段被广泛采用.为保证系统的数据安全,制定实施一套行之有效的访问控制机制,是管理信息系统建设成败的重要因素.基于角色的访问控制,利用了用户—角色—权限的对应方式,比传统的ＤＡＣ,ＭＡＣ,能够显著地提高管理效率,降低管理成本,具有更强的适应性.
主要参考文献
［１］刘宏月,马健峰,范九伦.一种ＲＢＡＣ建议标准的分析与应用［Ｊ］．信息安全与通信保密,２００２（４）：36-39.
［２］崔鹏,李丽亚.ＲＢＡＣ在企业管理信息系统中的应用［Ｊ］．机电产品开发与创新,２００４,17（1）：17-19.
［３］夏志雄,张曙光.ＲＢＡＣ在基于Ｗｅｂ管理信息系统中的应用［Ｊ］．计算机应用研究,２００４,21（7）：198-199.
［４］乔颖,须德,戴国忠.一种基于角色访问控制（ＲＢＡＣ）的新模型及其实现机制［Ｊ］．计算机研究与发展,２０００,37（1）：37-44.
［５］许春根,严悍,刘凤玉.基于角色访问控制技术的ＵＭＬ表示［Ｊ］．计算机工程与应用,2001,37（8）：9-12.
企业管理论文范文结:
关于本文可作为相关专业企业管理论文写作研究的大学硕士与本科毕业论文企业管理论文开题报告范文和职称论文参考文献资料。
3、企业管理论文
4、企业管理论文范文