文档介绍：华中科技大学
硕士学位论文
面向服务的访问控制系统的设计与实现
姓名:朱秋力
申请学位级别:硕士
专业:计算机软件与理论
指导教师:王元珍
20080606
摘要
面向服务的体系结构(SOA)作为一种新的软件架构方法,已成为企业实施信息
化集成的首选解决方案。但 SOA 所具有的动态性、开放性特点,使其面临的安全问
题更加突出。服务请求者和服务提供者往往需要跨越组织边界,认证和授权也需要
跨越安全域,而且服务常常可以以不可预知的方式被来自各个安全域的大量临时用
户调用,这些都对面向服务环境的访问控制系统提出了新的要求。
比较访问控制系统的基于身份的设计方案和基于授权的设计方案,为面向服务
的访问控制系统(ACS)的架构选定基于身份的设计方案。针对面向服务的实现环境,
对原始的基于属性的访问控制模型进行了适当的简化,为 ACS 系统重新定义基于属
性的访问控制模型并给出该模型的形式化描述。与传统的基于角色的访问控制模型
相比较,基于属性的访问控制模型具有能减轻安全管理的工作量和跨多个安全域授
权等优点。
以支持基于属性的访问控制模型为目标,设计满足 XACML 规范的授权子系统,
并设计了授权判决算法。为解决授权策略的管理问题,采用 LDAP 目录服务技术设
计策略管理的解决方案,并设计了策略查询、增加等关键算法。
采用 SAML 技术设计认证子系统。在认证子系统中实现用户属性的缓存功能,
以保证系统在响应同一用户连续调用服务时的高效性。测试结果表明,ACS 系统是
可行性,达到了预期的设计目标。

关键词: 可扩展访问控制标记语言,基于属性的访问控制模型,授权策略的管理

I
Abstract
SOA as a new method of software architecture, has features of platform-independent,
loosely coupled, openly. As a result, it e the enterprise information integration's
preferred solution. However, because of its dynamic nature of SOA, the security
problems it faced are more prominent. Authentication and Authorization need to cross
security domain, and the services should be called by a large number of users in
temporary security domain in a unpredictable manner. These made new demands for the
access control system of service-oriented environment.
The paper analyzed the features of access control system in the service-oriented
environment, indicate the deficiencies the traditional access control model. For the
service-oriented implement environment, we simplify the original attributes based access
control model. Redefining the attributes based access control model and define the
formal description of the model. contrast it with the traditional model RBAC, analysis
the merit of attribute based on the access control model in the cross-domain security
authorization and in reduce workload of security management.
Design the framework of access control system in service-oriented enviro