[论文解读] A Service-Centric Approach to a Parameterized RBAC Service

Jonathan K. Adams|arXiv (Cornell University)|Mar 9, 2006

Access Control and Trust参考文献 18被引用 3

一句话总结

本文提出了一种以服务为中心的、参数化的基于角色的访问控制（RBAC）模型，通过将参数引入角色和权限，显著提升了访问控制的粒度和具体性。该模型基于既有的RBAC标准，采用模块化服务架构，实现动态、上下文感知的访问决策，大幅增强了复杂系统中策略的表达能力和可扩展性。

ABSTRACT

Significant research has been done in the area of Role Based Access Control [RBAC]. Within this research there has been a thread of work focusing on adding parameters to the role and permissions within RBAC. The primary benefit of parameter support in RBAC comes in the form of a significant increase in specificity in how permissions may be granted. This paper focuses on implementing a parameterized implementation based heavily upon existing standards.

研究动机与目标

• 解决传统RBAC在表达细粒度、上下文敏感的访问策略方面的局限性。
• 通过将参数集成到角色和权限中，增强访问控制的表达能力。
• 设计一种可扩展的、模块化的服务架构，支持动态、参数化的访问决策。
• 确保所提出的模型与现有RBAC标准保持一致，以实现互操作性和实际部署。
• 通过参数化角色管理，提升企业级和分布式系统中的安全性和可维护性。

提出的方法

• 该方法采用面向服务的架构（SOA），将RBAC组件封装为可重用、可组合的服务。
• 在角色和权限中引入参数，以支持上下文感知的访问决策，例如时间、位置或数据敏感度。
• 通过定义参数化角色分配和权限绑定，扩展标准RBAC模型，实现动态策略评估。
• 设计服务接口以中介访问请求，验证参数，并根据策略规则强制执行访问决策。
• 通过利用现有RBAC标准（例如NIST RBAC）来确保兼容性并降低复杂性。
• 通过服务组合支持运行时策略更新和访问控制逻辑的模块化组合。

实验结果

研究问题

• RQ1 参数化角色和权限在多大程度上能够提升传统RBAC模型的表达能力？
• RQ2 哪些架构模式能够支持参数化访问控制的可扩展性和可维护性部署？
• RQ3 如何在保持安全性和模块化的同时，将参数化RBAC与现有标准集成？
• RQ4 参数化对访问控制策略管理及运行时性能有何影响？
• RQ5 以服务为中心的设计能否在分布式系统中有效实现访问控制逻辑与应用逻辑的解耦？

主要发现

• 以服务为中心的模型通过允许时间、数据类型或用户属性等参数影响权限决策，实现了细粒度的、上下文感知的访问控制。
• 参数化角色和权限在不偏离既定RBAC标准的前提下，显著提升了策略的表达能力。
• 模块化服务架构支持运行时策略更新，增强了大规模系统中的可维护性。
• 通过将访问控制逻辑与应用组件解耦，该方法展示了更好的可扩展性和关注点分离。
• 通过标准化服务接口，该设计实现了与现有RBAC兼容系统的互操作性。
• 该模型支持基于上下文参数的动态访问决策，减少了对硬编码访问规则的依赖。