доступом
При большом
количестве пользователей традиционные подсистемы управления доступом становятся
крайне сложными для администрирования. Число связей в них пропорционально
произведению количества пользователей на количество объектов. Необходимы
решения в объектно-ориентированном стиле, способные эту сложность понизить.
Таким решением
является ролевое управление доступом (РУД). Суть его в том, что между
пользователями и их привилегиями появляются промежуточные сущности - роли. Для
каждого пользователя одновременно могут быть активными несколько ролей, каждая
из которых дает ему определенные права (см. рис. 10.2).
Рис. 10.2. Пользователи, объекты и роли.
Ролевой доступ
нейтрален по отношению к конкретным видам прав и способам их проверки; его
можно рассматривать как объектно-ориентированный каркас, облегчающий
администрирование, поскольку он позволяет сделать подсистему разграничения
доступа управляемой при сколь угодно большом числе пользователей, прежде всего
за счет установления между ролями связей,
аналогичных наследованию в
объектно-ориентированных системах. Кроме того, ролей должно быть значительно
меньше, чем пользователей. В результате число администрируемых связей
становится пропорциональным сумме (а не произведению) количества пользователей
и объектов, что по порядку величины уменьшить уже невозможно.
Ролевой доступ
развивается более 10 лет (сама идея ролей, разумеется, значительно старше) как
на уровне операционных систем, так и в рамках СУБД и других информационных сервисов.
В частности, существуют реализации ролевого доступа для Web-серверов.
В 2001 году
Национальный институт стандартов и технологий США предложил проект стандарта
ролевого управления доступом (см. http://csrc.nist.gov/rbac/), основные положения
которого мы и рассмотрим.
Ролевое
управление доступом оперирует следующими основными понятиями:
·
пользователь (человек, интеллектуальный автономный агент и
т.п.);
·
сеанс работы пользователя;
·
роль (обычно определяется в соответствии с организационной
структурой);
·
объект (сущность, доступ к которой разграничивается;
например, файл ОС или таблица СУБД);
·
операция
(зависит от объекта; для файлов ОС - чтение, запись,
выполнение и т.п.; для таблиц СУБД - вставка, удаление и т.п., для прикладных
объектов операции могут быть более сложными);
·
право доступа (разрешение выполнять определенные операции над
определенными объектами).
Ролям
приписываются пользователи и права доступа; можно считать, что они (роли)
именуют отношения "многие ко многим" между пользователями и правами.
Роли могут быть приписаны многие пользователи; один пользователь может быть
приписан нескольким ролям. Во время сеанса работы пользователя активизируется
подмножество ролей, которым он приписан, в результате чего он становится
обладателем
Главная / безопасность пк / методы защиты информации 