2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 1
访问控制访问控制
访问控制基本概念访问控制基本概念
基本目标都是防止非法用户进入系统和合法用户对系统资源的基本目标都是防止非法用户进入系统和合法用户对系统资源的
非法使用。非法使用。
为了达到这个目标，访问控制常以用户身份认证为前提，在此为了达到这个目标，访问控制常以用户身份认证为前提，在此
基础上实施各种访问控制策略来控制和规范合法用户在系统中基础上实施各种访问控制策略来控制和规范合法用户在系统中
的行为的行为
这些策略和规范，被称为安全体系模型（或简称为安全模型）。这些策略和规范，被称为安全体系模型（或简称为安全模型）。
2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 2
访问控制访问控制
访问控制基本概念访问控制基本概念
11．访问控制的三要素．访问控制的三要素
主体主体(Subject)(Subject)：访问操作的主动发起者，但不一定是动作的执行者。：访问操作的主动发起者，但不一定是动作的执行者。
客体客体(Object)(Object)：通常是指信息的载体或从其他主体或客体接收信息的：通常是指信息的载体或从其他主体或客体接收信息的
实体。实体。
安全访问规则：用以确定一个主体是否对某个客体拥有某种访问权力。安全访问规则：用以确定一个主体是否对某个客体拥有某种访问权力。
2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 3
访问控制访问控制
访问控制基本概念访问控制基本概念
22．引用监视器和安全内核．引用监视器和安全内核
访问控制机制的理论基础是引用监视器（访问控制机制的理论基础是引用监视器（Reference MonitorReference Monitor），由），由
于于19721972年首次提出。年首次提出。
引用监视器是一个抽象的概念。引用监视器是一个抽象的概念。
引用监视器借助访问数据库控制主体到客体的每一次访问，并将重要引用监视器借助访问数据库控制主体到客体的每一次访问，并将重要
的安全事件记入审计文件中。访问控制数据库包含有关主体访问客体的安全事件记入审计文件中。访问控制数据库包含有关主体访问客体
访问模式的信息。数据库是动态的，它会随着主体和客体的产生或删访问模式的信息。数据库是动态的，它会随着主体和客体的产生或删
除及其权限的改变而改变。除及其权限的改变而改变。
2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 4
访问控制访问控制
访问控制基本概念访问控制基本概念
在引用监视器思想的基础上，在引用监视器思想的基础上，定义了安全内核定义了安全内核
的概念。的概念。
安全内核是实现引用监视器概念的一种技术。安全内核可以由安全内核是实现引用监视器概念的一种技术。安全内核可以由
硬件和介于硬件与操作系统之间的一层软件组成。硬件和介于硬件与操作系统之间的一层软件组成。
安全内核的软件和硬件是可信的，处于安全边界内，而操作系安全内核的软件和硬件是可信的，处于安全边界内，而操作系
统和应用软件均处于安全边界之外。这里讲的边界，是指与系统和应用软件均处于安全边界之外。这里讲的边界，是指与系
统安全有关和无关对象之间的一个想象的边界。统安全有关和无关对象之间的一个想象的边界。
2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 5
访问控制访问控制
访问控制基本概念访问控制基本概念
33．基本的访问控制模型．基本的访问控制模型
（（11）访问控制矩阵）访问控制矩阵(Access Control Matrix(Access Control Matrix，，ACM)ACM)
访问控制矩阵模型的基本思想就是将所有的访问控制信息存访问控制矩阵模型的基本思想就是将所有的访问控制信息存
储在一个矩阵中集中管理。当前的访问控制模型一般都是在储在一个矩阵中集中管理。当前的访问控制模型一般都是在
它的基础上建立起来的。它的基础上建立起来的。
2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 6
访问控制访问控制
访问控制基本概念访问控制基本概念
33．基本的访问控制模型．基本的访问控制模型
（（22）访问控制表）访问控制表
访问控制表机制实际上是按访问控制矩阵的列实施对系统中访问控制表机制实际上是按访问控制矩阵的列实施对系统中
客体的访问控制。每个客体都有一张客体的访问控制。每个客体都有一张ACLACL，用于说明可以访，用于说明可以访
问该客体的主体及其访问权限。问该客体的主体及其访问权限。
2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 7
访问控制访问控制
访问控制基本概念访问控制基本概念
33．基本的访问控制模型．基本的访问控制模型
（（33）能力表）能力表
能力表保护机制实际上是按访问控制矩阵的行实施对系统中能力表保护机制实际上是按访问控制矩阵的行实施对系统中
客体的访问控制。每个主体都有一张能力表，用于说明可以客体的访问控制。每个主体都有一张能力表，用于说明可以
访问的客体及其访问权限。访问的客体及其访问权限。
2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 8
访问控制访问控制
访问控制基本概念访问控制基本概念
两个问题构成了访问控制的基础：两个问题构成了访问控制的基础：
11）对于给定主体，它能访问哪些客体以及如何访问？）对于给定主体，它能访问哪些客体以及如何访问？
22）对于给定客体，哪些主体能访问它以及如何访问？）对于给定客体，哪些主体能访问它以及如何访问？
对于第对于第11个问题，使用能力表回答最为简单，只需要列出与主体相关联的个问题，使用能力表回答最为简单，只需要列出与主体相关联的
capcap表中的元素即可。对于第表中的元素即可。对于第22个问题，使用访问控制表个问题，使用访问控制表ACLACL回答最为简回答最为简
单，只需列出与客体相关联的单，只需列出与客体相关联的aclacl表中的元素即可。表中的元素即可。
人们可能更关注第人们可能更关注第22个问题，因此，现今大多数主流的操作系统都把个问题，因此，现今大多数主流的操作系统都把ACLACL
作为主要的访问控制机制。这种机制也可以扩展到分布式系统，作为主要的访问控制机制。这种机制也可以扩展到分布式系统，ACLACL由文由文
件服务器维护。件服务器维护。
2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 9
访问控制访问控制
自主访问控制自主访问控制
由客体的属主对自己的客体进行管理，由属主自己决定是否将自己客体的由客体的属主对自己的客体进行管理，由属主自己决定是否将自己客体的
访问权或部分访问权授予其他主体，这种控制方式是自主的，我们把它称访问权或部分访问权授予其他主体，这种控制方式是自主的，我们把它称
为自主访问控制为自主访问控制(DAC(DAC，，Discretionary Access Control)Discretionary Access Control)。。
在自主访问控制下，一个用户可以自主选择哪些用户可以共享他的文件。在自主访问控制下，一个用户可以自主选择哪些用户可以共享他的文件。
访问控制表访问控制表ACLACL、能力表是实现、能力表是实现DACDAC策略的基本数据结构策略的基本数据结构
在在DACDAC模式下，有模式下，有33种控制许可权手段：层次型、属主型和自由型。种控制许可权手段：层次型、属主型和自由型。
2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 10
访问控制访问控制
强制访问控制强制访问控制
DACDAC机制的缺陷机制的缺陷
允许用户自主地转授访问权，这是系统不安全的隐患。允许用户自主地转授访问权，这是系统不安全的隐患。
系统无法区分是用户合法的修改还是木马程序的非法修改；系统无法区分是用户合法的修改还是木马程序的非法修改；
无法防止木马程序利用共享客体或隐蔽信道传送信息。无法防止木马程序利用共享客体或隐蔽信道传送信息。
无法解决因用户无意（如程序错误、某些误操作等）或不负责任的操作而造成的敏无法解决因用户无意（如程序错误、某些误操作等）或不负责任的操作而造成的敏
感信息的泄漏问题。感信息的泄漏问题。
2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 11
访问控制访问控制
强制访问控制强制访问控制
强制访问控制最早出现在强制访问控制最早出现在2020世纪世纪7070年代。是美国政府和军方源于对信息年代。是美国政府和军方源于对信息
保密性的要求以及防止特洛伊木马之类的攻击而研发的。保密性的要求以及防止特洛伊木马之类的攻击而研发的。
MACMAC是一种基于安全级标签的访问控制方法，通过分级的安全标签实现是一种基于安全级标签的访问控制方法，通过分级的安全标签实现
信息从下向上的单向流动，从而防止高密级信息的泄露。信息从下向上的单向流动，从而防止高密级信息的泄露。
在在MACMAC中，对于主体和客体，系统为每个实体指派一个安全级，安全级中，对于主体和客体，系统为每个实体指派一个安全级，安全级
由两部分组成：由两部分组成：
11）保密级别）保密级别(Classification(Classification，或叫做敏感级别或级别，或叫做敏感级别或级别))。。
22）范畴集）范畴集(Categories)(Categories)。。
2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 12
访问控制访问控制
强制访问控制强制访问控制
安全级中包括一个保密级别，范畴集包含任意多个范畴。安全级通常写作安全级中包括一个保密级别，范畴集包含任意多个范畴。安全级通常写作
保密级别后随范畴集的形式。例如：保密级别后随范畴集的形式。例如：{{机密：人事处，财务处，科技处机密：人事处，财务处，科技处}}。。
安全级的集合形成一个满足偏序关系的格安全级的集合形成一个满足偏序关系的格(Lattice)(Lattice)，此偏序关系称为支配，此偏序关系称为支配
(Dominate)(Dominate)，通常用符号，通常用符号““>>””表示，它类似于表示，它类似于““大于或等于大于或等于””的含义。的含义。
对于任意两个安全级对于任意两个安全级SSii=(=(llii, , CCii))和和SSjj=(=(lljj, , CCjj))，若，若SSii支配支配SSjj((SSii>>SSjj))，当且仅当，当且仅当
llii>>lljj，且，且CCii包含包含CCjj。如果两个安全级的范畴互不包含，则这两个安全级不可。如果两个安全级的范畴互不包含，则这两个安全级不可
比。比。
2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 13
访问控制访问控制
强制访问控制强制访问控制
在一个系统中实现在一个系统中实现MACMAC机制，最主要的是要做到两条：机制，最主要的是要做到两条：
11）对系统中的每一个主体与客体，都要根据总体安全策略与需求分配一）对系统中的每一个主体与客体，都要根据总体安全策略与需求分配一
个特殊的安全级别。该安全级别能够反映该主体或客体的敏感等级和访问个特殊的安全级别。该安全级别能够反映该主体或客体的敏感等级和访问
权限，并把它以标签的形式和这个主体或客体紧密相连而无法分开。这些权限，并把它以标签的形式和这个主体或客体紧密相连而无法分开。这些
安全属性是不能轻易改变的，它由管理部门安全属性是不能轻易改变的，它由管理部门((如安全管理员如安全管理员))或由操作系统或由操作系统
自动按照严格的规则来设置，不像自动按照严格的规则来设置，不像DACDAC那样可以由用户或他们的程序直那样可以由用户或他们的程序直
接或间接修改。接或间接修改。
2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 14
访问控制访问控制
强制访问控制强制访问控制
在一个系统中实现在一个系统中实现MACMAC机制，最主要的是要做到两条：机制，最主要的是要做到两条：
22）当一个主体访问一个客体时，调用强制访问控制机制，比较主体和客）当一个主体访问一个客体时，调用强制访问控制机制，比较主体和客
体的安全级别，从而确定是否允许主体访问客体。在体的安全级别，从而确定是否允许主体访问客体。在MACMAC机制下，即使机制下，即使
是客体的拥有者也没有对自己客体的控制权，也没有权利向别的主体转授是客体的拥有者也没有对自己客体的控制权，也没有权利向别的主体转授
对自己客体的访问权。即使是系统安全管理员修改、授予或撤销主体对某对自己客体的访问权。即使是系统安全管理员修改、授予或撤销主体对某
客体的访问权的管理工作也要受到严格的审核与监控。有了客体的访问权的管理工作也要受到严格的审核与监控。有了MACMAC控制后，控制后，
可以极大地减少因用户的无意性可以极大地减少因用户的无意性((如程序错误或某些误操作如程序错误或某些误操作))泄漏敏感信息泄漏敏感信息
的可能性。的可能性。
2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 15
访问控制访问控制
强制访问控制强制访问控制
22．加强保密性的强制访问控制模型．加强保密性的强制访问控制模型
BLPBLP模型有两条基本的规则模型有两条基本的规则
规则规则11：不能向上读：不能向上读(No-Read-Up)(No-Read-Up)，也称为简单安全特性。如果一个主体的安全级支，也称为简单安全特性。如果一个主体的安全级支
配客体的安全级，则主体可读客体，即主体只能向下读，不能向上读。配客体的安全级，则主体可读客体，即主体只能向下读，不能向上读。
规则规则22：不能向下写：不能向下写(No-Write-Down)(No-Write-Down)，也称为，也称为**特性。如果一个客体的安全级支配主特性。如果一个客体的安全级支配主
体的安全级，则主体可写客体，即主体只能向上写，不能向下写。体的安全级，则主体可写客体，即主体只能向上写，不能向下写。
2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 16
访问控制访问控制
强制访问控制强制访问控制
3. 3. 加强完整性的强制访问控制模型加强完整性的强制访问控制模型
BibaBiba模型设计类似于模型设计类似于BLPBLP模型，不过使用完整性级别而非信息安全级别来模型，不过使用完整性级别而非信息安全级别来
进行划分。进行划分。BibaBiba模型规定，信息只能从高完整性的安全等级向低完整性的模型规定，信息只能从高完整性的安全等级向低完整性的
安全等级流动，就是要防止低完整性的信息安全等级流动，就是要防止低完整性的信息““污染污染””高完整性的信息。高完整性的信息。
BibaBiba模型只能够实现信息完整性中防止数据被未授权用户修改这一要求。模型只能够实现信息完整性中防止数据被未授权用户修改这一要求。
而对于保护数据不被授权用户越权修改、维护数据的内部和外部一致性这而对于保护数据不被授权用户越权修改、维护数据的内部和外部一致性这
两项数据完整性要求却无法做到。两项数据完整性要求却无法做到。
2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 17
访问控制访问控制
强制访问控制强制访问控制
3. 3. 加强完整性的强制访问控制模型加强完整性的强制访问控制模型
Clark-WilsonClark-Wilson模型的特点有以下几个方面：模型的特点有以下几个方面：
采用主体采用主体(Subject)/(Subject)/事务事务(Program)/(Program)/客体客体(Object)(Object)三元素的组成方式，主体要访问客体三元素的组成方式，主体要访问客体
只能通过程序进行。只能通过程序进行。
权限分离原则。将关键功能分为由两个或多个主体完成，防止已授权用户进行未授权限分离原则。将关键功能分为由两个或多个主体完成，防止已授权用户进行未授
权的修改。权的修改。
要求具有审计能力要求具有审计能力(Auditing)(Auditing)。。
2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 18
访问控制访问控制
强制访问控制强制访问控制
3. 3. 加强完整性的强制访问控制模型加强完整性的强制访问控制模型
DionDion模型结合模型结合BLPBLP模型中保护数据保密性的策略和模型中保护数据保密性的策略和BibaBiba模型中保护数据完模型中保护数据完
整性的策略，模型中的每一个客体和主体被赋予一个安全级别和完整性级整性的策略，模型中的每一个客体和主体被赋予一个安全级别和完整性级
别，安全级别定义同别，安全级别定义同BLPBLP模型，完整性级别定义同模型，完整性级别定义同BibaBiba模型，因此，可以模型，因此，可以
有效地保护数据的保密性和完整性。有效地保护数据的保密性和完整性。
China WallChina Wall模型和上述的安全模型不同，它主要用于可能存在利益冲突的模型和上述的安全模型不同，它主要用于可能存在利益冲突的
多边应用体系中。比如在某个领域有两个竞争对手同时选择了一个投资银多边应用体系中。比如在某个领域有两个竞争对手同时选择了一个投资银
行作为他们的服务机构，而这个银行出于对这两个客户的商业机密的保护行作为他们的服务机构，而这个银行出于对这两个客户的商业机密的保护
就只能为其中一个客户提供服务。就只能为其中一个客户提供服务。
2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 19
访问控制访问控制
基于角色的访问控制基于角色的访问控制
由于由于DACDAC和和MACMAC授权时需要对系统中的所有用户进行一维的权限管理，授权时需要对系统中的所有用户进行一维的权限管理，
因此不能适应大型系统中数量庞大的用户管理和权限管理的需求。因此不能适应大型系统中数量庞大的用户管理和权限管理的需求。
2020世纪世纪9090年代以来，随着对在线的多用户、多系统的研究不断深入，角色年代以来，随着对在线的多用户、多系统的研究不断深入，角色
的概念逐渐形成，并逐步产生了基于角色的访问控制的概念逐渐形成，并逐步产生了基于角色的访问控制RBAC(Role-Based RBAC(Role-Based
Access Control)Access Control)模型模型
这一访问控制模型已被广为应用。这一访问控制模型已被广为应用。
2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 20
访问控制访问控制
基于角色的访问控制基于角色的访问控制
基于角色访问控制的核心思想是将权限同角色关联起来，而用户的授权则基于角色访问控制的核心思想是将权限同角色关联起来，而用户的授权则
通过赋予相应的角色来完成，用户所能访问的权限由该用户所拥有的所有通过赋予相应的角色来完成，用户所能访问的权限由该用户所拥有的所有
角色的权限集合的并集决定。角色的权限集合的并集决定。
当用户机构或权限发生变动时，可以很灵活地将该用户从一个角色移到另当用户机构或权限发生变动时，可以很灵活地将该用户从一个角色移到另
一个角色来实现权限的协调转换，降低了管理的复杂度，另外在组织机构一个角色来实现权限的协调转换，降低了管理的复杂度，另外在组织机构
发生职能性改变时，应用系统只需要对角色进行重新授权或取消某些权限，发生职能性改变时，应用系统只需要对角色进行重新授权或取消某些权限，
就可以使系统重新适应需要。就可以使系统重新适应需要。
与用户相比角色是相对稳定的。这里的角色就充当着主体与用户相比角色是相对稳定的。这里的角色就充当着主体((用户用户))和客体之和客体之
间的关系的桥梁间的关系的桥梁
2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 21
访问控制访问控制
基于角色的访问控制基于角色的访问控制
角色由系统管理员定义，角色成员的增减也只能由系统管理员来执行，即角色由系统管理员定义，角色成员的增减也只能由系统管理员来执行，即
只有系统管理员有权定义和分配角色。只有系统管理员有权定义和分配角色。
用户与客体无直接联系，他只有通过角色才享有该角色所对应的权限，从用户与客体无直接联系，他只有通过角色才享有该角色所对应的权限，从
而访问相应的客体。而访问相应的客体。
RBACRBAC与与DACDAC的根本区别在于：用户不能自主地将访问权限授给别的用户。的根本区别在于：用户不能自主地将访问权限授给别的用户。
RBACRBAC与与MACMAC的区别在于：的区别在于：MACMAC是基于多级安全需求的，而是基于多级安全需求的，而RBACRBAC则不则不
是。是。
2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 22
访问控制访问控制
基于角色的访问控制基于角色的访问控制
RBACRBAC核心模型中包含了五个基本静态集合：用户集核心模型中包含了五个基本静态集合：用户集(Users)(Users)、角色集、角色集
(Roles)(Roles)、对象集、对象集(Objects)(Objects)、操作集、操作集(Operators)(Operators)和权限集和权限集(Perms)(Perms)，以及一，以及一
个运行过程中动态维护的集合个运行过程中动态维护的集合————会话集会话集(Sessions)(Sessions)
2020/9/30 信息安全案例教程：技术与应用信息安全案例教程：技术与应用 23
访问控制访问控制
基于角色的访问控制基于角色的访问控制
RBACRBAC的特点的特点
便于授权管理便于授权管理
便于根据工作需要分级便于根据工作需要分级
便于赋予最小权限便于赋予最小权限
便于任务分担便于任务分担
便于文件分级管理便于文件分级管理
便于大规模实现便于大规模实现
信息安全案例教程：技术与应用信息安全案例教程：技术与应用 24
访问控制访问控制
基于基于PMIPMI的授权与访问控制的授权与访问控制11．构建．构建PMIPMI的必的必
要性要性
PKIPKI通过方便灵活的密钥和证书管理方式，提供了在线身份认证通过方便灵活的密钥和证书管理方式，提供了在线身份认证——“——“他他
是谁是谁””的有效手段，并为访问控制、抗抵赖、保密性等安全机制在系统中的有效手段，并为访问控制、抗抵赖、保密性等安全机制在系统中
的实施奠定了基础。的实施奠定了基础。
然而，随着网络应用的扩展和深入，仅仅能确定然而，随着网络应用的扩展和深入，仅仅能确定““他是谁他是谁””已经不能满足已经不能满足
需要，安全系统要求提供一种手段能够进一步确定需要，安全系统要求提供一种手段能够进一步确定““他能做什么他能做什么””。即需。即需
要验证对方的属性要验证对方的属性((授权授权))信息，这个用户有什么权限、什么属性、能进行信息，这个用户有什么权限、什么属性、能进行
哪方面的操作、不能进行哪方面的操作。哪方面的操作、不能进行哪方面的操作。
2020/9/30
信息安全案例教程：技术与应用信息安全案例教程：技术与应用 25
访问控制访问控制
基于基于PMIPMI的授权与访问控制的授权与访问控制11．构建．构建PMIPMI的必的必
要性要性
解决上述问题的一种思路是，利用解决上述问题的一种思路是，利用公钥证书中的扩展项来保存用户公钥证书中的扩展项来保存用户
的属性信息，由的属性信息，由CACA完成权限的集中管理。应用系统通过查询用户的数字完成权限的集中管理。应用系统通过查询用户的数字
证书即可得到用户的权限信息。证书即可得到用户的权限信息。
该方案的优点在于，可以直接利用已经建立的该方案的优点在于，可以直接利用已经建立的PKIPKI平台进行统一授权管理，平台进行统一授权管理，
实施成本低，接口简单，服务方式一致。实施成本低，接口简单，服务方式一致。
但是，将用户的身份信息和授权信息捆绑在一起管理存在以下几个方面的但是，将用户的身份信息和授权信息捆绑在一起管理存在以下几个方面的
问题。问题。
身份和属性的有效时间有很大差异身份和属性的有效时间有很大差异
其次，公钥证书和属性证书的管理颁发部门有可能不同。其次，公钥证书和属性证书的管理颁发部门有可能不同。
2020/9/30
信息安全案例教程：技术与应用信息安全案例教程：技术与应用 26
访问控制访问控制
基于基于PMIPMI的授权与访问控制的授权与访问控制11．构建．构建PMIPMI的必的必
要性要性
身份和授权管理之间的差异决定了对认证和授权服务应该区别对待。身份和授权管理之间的差异决定了对认证和授权服务应该区别对待。
认证和授权的分离不仅有利于系统的开发和重用，同时也有利于对安全方认证和授权的分离不仅有利于系统的开发和重用，同时也有利于对安全方
面实施更有效的管理。面实施更有效的管理。
只有那些身份和属性生命周期相同，而且只有那些身份和属性生命周期相同，而且CACA同时兼任属性管理功能的情同时兼任属性管理功能的情
况下，可以使用公钥证书来承载属性。大部分情况下应使用公钥证书况下，可以使用公钥证书来承载属性。大部分情况下应使用公钥证书++属属
性证书的方式实现属性的管理。性证书的方式实现属性的管理。
国际电信联盟国际电信联盟ITUITU和因特网网络工程技术小组和因特网网络工程技术小组IETFIETF进行了进行了PKIPKI的扩展，提的扩展，提
出了权限管理基础设施出了权限管理基础设施PMI(Privilege Management Infrastructure)PMI(Privilege Management Infrastructure)。。
2020/9/30
信息安全案例教程：技术与应用信息安全案例教程：技术与应用 27
访问控制访问控制
基于基于PMIPMI的授权与访问控制的授权与访问控制
22．．PMIPMI基本概念基本概念
核心思想是以资源管理为核心，将对资源的访问控制权统一交由授权机构核心思想是以资源管理为核心，将对资源的访问控制权统一交由授权机构
进行管理，即由资源的所有者来进行访问控制管理。进行管理，即由资源的所有者来进行访问控制管理。
与与PKIPKI信任技术相比，两者的区别主要在于信任技术相比，两者的区别主要在于PKIPKI证明用户是谁；而证明用户是谁；而PMIPMI证证
明这个用户有什么权限、什么属性，并将用户的属性信息保存在属性证书。明这个用户有什么权限、什么属性，并将用户的属性信息保存在属性证书。
相比之下，后者更适合于那些基于角色的访问控制领域。相比之下，后者更适合于那些基于角色的访问控制领域。
2020/9/30
信息安全案例教程：技术与应用信息安全案例教程：技术与应用 28
访问控制访问控制
基于基于PMIPMI的授权与访问控制的授权与访问控制
22．．PMIPMI基本概念基本概念
就像现实生活中一样，网络世界中的每个用户也有各种属性，属性决定了就像现实生活中一样，网络世界中的每个用户也有各种属性，属性决定了
用户的权力。用户的权力。PMIPMI的最终目标就是提供一种有效的体系结构来管理用户的的最终目标就是提供一种有效的体系结构来管理用户的
属性。这包括两个方面的含义：首先，属性。这包括两个方面的含义：首先，PMIPMI保证用户获取他们有权获取的保证用户获取他们有权获取的
信息、做他们有权限进行的操作；其次，信息、做他们有权限进行的操作；其次，PMIPMI应能提供跨应用、跨系统、应能提供跨应用、跨系统、
跨企业、跨安全域的用户属性的管理和交互手段。跨企业、跨安全域的用户属性的管理和交互手段。
PMIPMI建立在建立在PKIPKI提供的可信的身份认证服务的基础上，以属性证书的形式提供的可信的身份认证服务的基础上，以属性证书的形式
实现授权的管理。实现授权的管理。PMIPMI体系和模型的核心内容是实现属性证书的有效管理，体系和模型的核心内容是实现属性证书的有效管理，
包括属性证书的产生、使用、作废、失效等。下面介绍属性证书及包括属性证书的产生、使用、作废、失效等。下面介绍属性证书及PMIPMI体体
系结构和模型等知识。系结构和模型等知识。
2020/9/30
