文档介绍：第8章访问控制
主要内容
访问控制概述
访问控制策略
网络访问控制的应用
访问控制的概念
访问控制是为了限制访问主体(或称为发起者,是一个主动的实体,如用户、进程、服务等)对访问客体(需要保护的资源)的访问权限,从而使计算机系统在合法范围内使用。访问控制机制决定用户及代表一定用户利益的程序能做什么,以及做到什么程度。
访问控制由两个重要过程组成
通过认证来检验主体的合法身份;
通过授权(Authorization)来限制用户对资源的访问级别。
访问控制的最基本概念
主体(Subject)
访问的发起者,通常包括人、进程和设备。
根据主体权限不同可以分为四类:特殊用户、一般用户、审计用户、作废的用户
客体(Object)
接受访问的被动实体
通常包括文件和文件系统、磁盘和磁带卷标、远程终端、信息管理系统的事务处理及其应用、数据库中的数据、应用资源等。
访问控制的最基本概念
访问(Access)
使信息在主体和客体之间流动的一种交互方式。
访问许可(Access Permissions)
决定了谁能够访问系统,能访问系统的何种资源以及如何使用这些资源。
控制策略
控制策略是主体对客体的访问规则集,这个规则集直接定义了主体对客体的作用行为和客体对主体的条件约束。
访问控制策略
自主访问控制
强制访问控制
基于角色的访问控制
基于任务的访问控制
基于对象的访问控制
自主访问控制
根据主体的身份及允许访问的权限进行决策。
自主是指具有某种访问能力的主体能够自主地将访问权的某个子集授予其它主体。
灵活性高,被大量采用。
缺点:
信息在移动过程中其访问权限关系会被改变。如用户A可将其对目标O的访问权限传递给用户B,从而使不具备对O访问权限的B可访问O。
自主访问控制的实现机制
访问控制矩阵
访问控制列表
访问控制能力列表
访问控制矩阵
利用二维矩阵规定任意主体和任意客体间的访问权限
矩阵中的行代表主体的访问权限属性,矩阵中的列代表客体的访问权限属性,矩阵中的每一格表示所在行的主体对所在列的客体的访问授权
客体1
客体2
客体3
主体1
Own R W
Own R W
主体2
R
Own R W
W
主体3
R W
R