授权机制在工作流管理系统中的应用

发布时间：

第10卷　第1期　2010年1月1671—1815(2010120298204
科　学　技　术　与　工　程
ScienceTechnologyandEngineering
Vol110　No11　Jan12010
Ζ2010　Sci1Tech1Engng1
授权机制在工作流管理系统中的应用
刘　丹　周星海
13
(大连东软信息学院,大连116023;东软集团大连分公司1,大连116023
摘　要　访问控制是提高工作流系系统安全的重要机制。基于角色的访问控制(RBAC被绝大多数工作流系统所采用,已成为工作流领域研究的热点。基于传统的RBAC模型,从工作流访问控制模型与流程模型分离的角度出发,提出了一种将基于角色的静态授权和任务的动态控制相结合的T2RBAC访问控制机制应用于工作流管理中,有效增强了访问控制的灵活性和系统的安全性。该访问控制模型已在企业项目解决方案中得以实施。关键词　访问控制　　工作流管理系统　　静态授权　　动态授权中图法分类号　TP393108;　　　文献标志码　A
　　工作流(Workflow管理技术起源于20世纪70年代的生产组织和办公自动化领域,提出的目的是通过将工作分解成定义良好的任务、角色,按照一定的规则和过程来执行这些任务并对其进行监控,达到提高企业生产经营管理水平和企业竞争力的目标。与此同时,由于网络行为的开放性和自由性,工作流管理系统的安全问题变得无法回避。
ISO(国际标准化组织在网络安全标准(ISO749822中定义了5个层次型安全服务(身份认
户、角色、权限之间的指派关系,实现用户和访问权限的绑定。
图1　用户、有色和权限关系图
证服务、访问控制服务、数据保密服务、数据完整性服务、不可否认服务,访问控制是其中的一个重要组成部分
[1]
RBAC的特征是:能灵活表达和实现组织的安
全策略,使访问控制管理位于组织视图的安全策略这一较高抽象级上;同时简化了授权管理112　基于任务的访问控制模型
[2]
,而授权机制是访问控制核心内容,因
。
此,研究工作流管理系统中的授权机制具有非常重要的意义。
基于任务的访问控制模型(Task2BasedAccess
Control,TBAC是从应用和企业层角度来解决安全问题
[3]
1　传统的访问控制
111　基于角色的访问控制模型
,从任务的角度来建立安全模型和实现安全
机制,提供动态实时的安全管理,见图2。
在TBAC中,授权用五元组(S,O,AS,P,L来表示。其中S表示主体,O表示客体,AS表示授权步,P是AS所激活的权限,L是生命期,表示AS的存活
基于角色的访问控制模型(Role2BasedAccessControl,RBAC以角色为核心,见图1所示。通过用
2009年8月24日收到
期限。当AS被触发时,它的执行委托者开始拥有执行许可中的权限,同时生命期开始倒记时。在生命期内,五元组(S,O,AS,P,L有效;否则,AS变为无效,回收执行委托者所拥有的权限,以达到以任务为
第一作者简介:刘　丹(1982—,辽宁大连人,讲师,硕士研究生,研究方向:工作流,信息系统安全。

1期刘　丹,等:授权机制在工作流管理系统中的应用299
务节点(t1,t2,…,tn,在完成具体的业务操作时,将任务节点实例化(0,完成操作。而用户无论以什么角色进入系统,只有在执行具体任务时才具有相应的权限,这就实现了权限的动态管理。
图2　TBAC模型
中心的管理目的。
113　基于工作流的访问控制
工作流管理系统主要是应用于大中型企业的流程自动化管理,数据在工作流中流动,执行操作的用户在改变,用户的权限也在改变。如果采用RBAC进行权限控制时需要频繁地更换角色,不适合工作流程的运转,无法实现随工作流运行需要的动态授权;虽然TBAC是以任务为中心的访问控制,但是系统的访问控制会不可避免地牵涉到许多任务以及用户的权限分配问题。另外,TBAC中也没有讨论在执行任务过程中对所需要的操作权限的控制
[4]
图3　工作流系统中的T2RABC模型
211　基于角色的静态授权21111　系统中的实体
系统中有以下实体:
用户u∈U为系统执行过程中的某一用户,U为用户集合;
角色r∈R为系统执行过程的中某一个角色,R为角色集合;
权限p∈P为P集合中的单个元素为执行一个任务的授权,P为权限集合;
对象o∈0表示系统中用户需要操作的数据资源,0为对象集合;
任务t∈T表示系统执行过程中的某一任务,T为任务;
约束co∈CO表示系统环境或系统中的约束关系。CO表示约束集,preCO表示在用户访问对象之前的条件,onCO表示在用户访问对象之时的条件。21112　实体关系
handle(P,o,p∈P,o∈O,表示对于对象o有操
。因
此,单纯采用TBAC可能会带来管理上的混乱,无法达到保障系统安全的目的。因此将基于角色与任务的访问控制模型(T2RBAC应用于工作流管理系统。将工作流管理系统实现访问控制分作两个部分来实现,即基于角色的静态授权和工作流运行中的动态授权。前者解决权限分派的问题,即为各个工作流阶段(或称工作流状态的各个用户分配相应的权限,而后者解决工作流运行过程中的权限控制问题。
2　静态和动态授权相结合的访问控制
T2RBAC模型在角色与权限之间引入了任务的
概念,图3是工作流管理系统中的T2RBAC模型。从图3中可以看出,使用工作流管理系统管理工作流程时,先将定义好的过程模型(对应于实际中的业务流程输入到工作流引擎中,引擎根据先前定义好的规范将过程模型分解为任务(T,对应地生成任
作权限P。那么OP={op1,op2,…,opn}操作集是对任务及其实例的操作集;现对OP集定义5种操作:初始化、执行、有效、挂起、无效,即OP={init,ex2ecute,commit,suspend,abort}。

300科　学　技　术　与　工　程10卷
hold(r,P,o,o∈O,表明角色r对于对象拥有
角色,某一角色能拥有哪些显式访问权限。静态授权的实质只是表明用户在角色的范围内有资格对某任务执行某些可能的操作和对某数据资源进行某种访问。而在工作流中要使用户能够真正地对某任务执行某操作和对某数据资源实现某种访问,还需要在工作流实际运行过程中通过对权限的使用实施动态授权来实现。
212　基于任务的动态授权
权限P。
A={a1,a2,…,an}访问权限集,是对数据资源
的访问权限种类;现只定义了4种访问权限:只读,增加,删除和修改,即A={raad2only,insert,delete,modify};当然如果有必要,OP和A集合中也可以定
义别的操作。21113　静态授权
UA(用户指派:UAΑU×R∩CO,根据用户信
动态授权负责计算每个任务的合格用户集EU以及生成合适的授权,生成动态授权信息,动态授权信息放在授权信息库中。主要有两部分工作:约束管理和动态授权生成。在基于角色的静态授权基础之上随着任务的达到,对用户的权限进行动态控制,为此引入相关的约束管理机制,然后把静态的授权作为动态控制权限的依据,针对每一任务实例进行实时的权限控制,以期较好地实现最小特权原则,它们都是动态的概念。下面是动态授权流程,由10个步骤组成:
步骤1:工作流引擎向动态授权模块提出动态授权请求,请求中包含任务信息和用户信息。
步骤2:约束管理子模块根据工作流引擎提出请求中的任务信息,从授权信息库和约束信息库中搜集所有与该任务相关的约束信息。
步骤3:约束管理子模块根据搜索到的约束信息计算有资格执行任务的用户集(EU,并将结果传给动态授权生成子模块。
步骤4:动态授权生成子模块根据EU和工作流引擎请求中的用户信息验证用户的资格。如果用户属于EU,则转步骤5;否则转步骤6。
步骤5:动态授权生成子模块判断任务是否满足时态约束。如果满足,则转步骤7;否则转步骤6。
步骤6:工作流引擎进行异常处理(如拒绝用户的请求,流程结束。
步骤7:动态授权生成子模块生成动态授权,并将结果传回给工作流引擎。
步骤8:工作流引擎激活任务,并进行任务执行过程中的相关处理(如任务状态的控制,应用程序的激活等等。
息、角色信息实现用户与角色之间多对多的指派,在进行用户—角色指派时要使用约束信息以保证指派满足约束条件。
PA(权限指派:PAΑO×A,指定对数据对象的
访问权限;
TRA(任务角色分配:TRAΑT×R,表示任务
和角色之间多对多的分配关系;
TPA(任务权限分配:TPAΑT×P,为任务定义
其所需的最小权限集;
OPT(操作任务集:OPTΑOP×T,指定操作和
任务的关系;
OPTRA(操作任务指派:OPTAΑR×OPT∩CO,根据角色信息和流程信息实现角色和任务之间
的指派。根据TRA和任务与任务实例之间的关系得到角色可以执行的任务实例集;同样在进行指派时要使用约束信息,以保证指派满足约束条件。
EPAΑOPTRA×PA为访问权限指派,5元组(r,op,t,o,a表明在特定操作任务时角色对数据资源
的访问权限。
在一个工作流管理系统中客观存在着用户、角色、任务以及操作对象的集合,根据工作流程和规则将用户指派到角色就完成UA集合的配置。指定对数据对象的权限就完成P集合的配置,将OPT指派到角色完成OPTA集合的配置。而指定角色在所有任务操作中对各数据资源的访问权限就完成EPA集合的配置。对UA,PA,OPT,OPTA,EPA进行配置便完成了基于角色的静态授权。所有的配置信息都放入授权信息库中。
此时的定义只表明了某一系统用户他拥有什么

1期刘　丹,等:授权机制在工作流管理系统中的应用301
步骤9:任务结束,工作流引擎向动态授权模块提出回收授权的请求。
步骤10:动态授权生成子模块修改动态授权的结束时间,将修改后的动态授权信息添加到授权信息库中。
整个方法既方便管理又便于工作流的灵活调度。由于权限并没有直接分配给具体的用户,因此在工作流运行过程中它能主动地从正确的角色中选出一个合法用户来完成任务,从而避免了权限的滥用。
参　考　文　献
1　雷建云1工作流管理系统中的访问控制机制1微计算机信息,
2007;24(523:17—19
3　结论
在基于角色授权的基础上,使用基于角色的静态授权和基于任务的动态控制相结合的方法,来实现在工作流管理系统中的授权与访问机制。给出了工作流运行过程中权限动态控制的描述框架,能够较好地表示工作流运行过程中权限的使用和回收;
2　邢光林,刘卫平1基于Web的安全工作流管理系统的设计1中南
民族大学学报(自然科学版,2008;27(1:85—88
3　韵晋峰,唐慧佳1基于角色和任务的访问控制在工作流管理系统
中的应用1成都信息工程学报,2008;23(146—49
4　冯　毅,王亚弟,韩继红1一种扩展的基于角色的工作流访问控
制模型1计算机应用与软件,2008;25(6:262—264
ApplicationofAuthorizationMechanismtoWorkflowManagementSystem
LIUDan,ZHOUXing2hai
1
(DalianNeusoftInstiuteofInformation,Dalian116023,P1R1China;NeusoftGroupCo1,Ltd11,Dalian116023,P1R1China
[Abstract]　Accesscontrolisanimportantmechanismforenhancingworkflowsystemscurity1Role2basedaccesscontrolmodel(RBACisusedinthemostofworkflowsystems,andithasbecomearesearchtopicintheareaofworkflow1BasdonthetraditionalRBACmodelandembarkedfromdecouplingtheworkflowaccesscontrolmodelfromtheprocessmodel,aT2RBACwaspresented,whichbasdonidentityauthenticationandroleauthoriza2tion1WorkflowtaskswererundynamicallybyusingT2RBAC1Themodeltodescribedynamicworkflowsystemcanenhanceworkflowsystemsecurityandprovideflexibilityinaccesscontrolsystem1Andthemodelisimplementedinacompanyproject1
[Keywords]　accesscontrol　　workflowmanagementsystem　　staticauthorization　　dynamicauthorization

授权机制在工作流管理系统中的应用

推荐内容

相关推荐