cissp角色访问控制

  我们用一个简单的例子来说明强制访问控制是如何运作的：在某个组织中，安全等级从低到高分为3级，公开、雇员、经理。如果一个名为 Report.doc的文件的安全等级为雇员，组织中所有标记为雇员和经理的用户都能够访问这个文件，而组织的客人(标记为公共)则不能访问该文件。这个文件即使是由经理级的用户提交，只要该用户将文件授权为雇员级别就能访问，只要是雇员以上级别的用户就能访问，这也体现了强制访问控制的信息所有者授权这一特性。 　　

  强制访问控制的另外一个重要用途是控制信息从其他系统输入或输出到其他系统中，由于信息的输入输出操作往往可能造成未授权的访问，例如一份标记为秘密的文档在一个不安全的打印机上输出。因此，处理高敏感性信息的信息系统往往会使用强制访问控制，来限制信息是如何输入和输出的。 　　

  基于角色的访问控制(Role Based Access Control, RBAC)：在许多大型的组织和企业中，数据访问控制策略的制定实施往往取决于要求访问的用户在企业中所担任的职务，如公司的财务人员只能访问财务数据，而不能访问人力资源文件，这种访问控制方法被称为基于角色的访问控制，简称RBAC。

  同样的，基于角色的访问控制策略也根据用户所担任的职务，规定了用户能够对数据进行的操作权限——由企业安全策略确定并授权。因此，在使用基于角色的访问控制方法之前，还需要对组织中的所有数据以及访问者进行角色属性的设置，以使得访问控制系统能够在收到访问请求时，根据访问者和被访问数据的角色属性对比结果，进行访问允许或访问拒绝的操作。 　　

  这也是基于角色的访问控制与之前J0ker介绍过的自主式和强制访问控制最大的不同点，基于角色的访问控制的访问策略，并不是基于系统管理员或用户的自主设定(自主式访问控制)，也不是根据组织安全策略规定由数据所有者设置的(强制访问策略)。基于角色的访问控制需要考虑的一个问题是，如何限制用户对某种信息进行什么样的操作，从而保护信息的完整性。