文档介绍：华中科技大学
硕士学位论文
一种基于XACML访问控制机制的设计与实现
姓名:谢亦文
申请学位级别:硕士
专业:计算机应用技术
指导教师:胡和平
20090522
华中科技大学硕士学位论文

摘要
随着企业信息化不断深入,企业资源安全成为最为急需解决的问题之一。访问
控制对系统资源的安全性至关重要。访问控制的目标是防止用户对系统资源进行非
授权的访问。
分析研究了自主访问控制、强制访问控制、基于角色的访问控制和基于策略的
访问控制技术的实现机制以及它们在应用上优缺点。目前大部分企业使用这些技术
可以对资源实施保护。然而,企业根据各自访问控制业务逻辑,不同的应用有不同
的实现机制,这样造成其访问控制模块不具备通用性,在企业间难以交换和共享信
息。针对传统访问控制技术在信息交换上的缺陷,详细分析了可扩展访问控制标记
语言(eXtensible Access Control Markup Language,XACML)数据流模型和策略语
言模型,并给出了它的授权决策过程,它提供一种既能够实现不同的访问控制思想,
又可以以一种可移植的、标准的方式承载不同的业务逻辑的访问控制技术,解决了
访问控制策略规则描述的专制性问题,建立了一个通用的访问控制语言规则。
在分析目前访问控制技术的机制、XACML 标准模型以及 XACML 应用环境的
基础上,给出了一个基于 XACML 技术的安全访问控制机制,重点对机制中策略管
理单元、策略决策单元、策略执行单元和策略信息单元的结构进行了详细的逻辑设
计,以及对各单元模块实现的功能和工作流程进行详尽的阐述,并利用 Java 和
sunXACML 开发包对机制组件进行了实现。
最后,对访问控制机制单元组件的功能进行了测试和分析,并对不足之处和进
一步研究的内容进行了阐述。

关键字:访问控制技术,策略,可扩展访问控制标记语言,访问控制机制
I
华中科技大学硕士学位论文

Abstract
With the deepening of enterprise information technology, enterprise resource security
has e one of the most urgent issues. Access control is critical for the security of the
system resource. The goal of access control is to prevent user accessing the system
resources without permission.
The mechanism and features of traditional access control technology, including
Discretionary Access Control, Mandatory Access Control, Role-Based Access Control and
Policy-Based Access Control are analyzed as well as their advantages and disadvantages.
Enterprises can use these technologies to protect the resources. However, based on actual
business requirements, enterprises have their own access control business logic, so
different mechanisms are implemented between the different application software. In this
case, the access control module can’t satisfy mon use. And it is difficult to
exchange and share information between different application software. In view of these
ings of traditional access control technology in information exchange, it mainly
discuss the data flow model, policy language mod