4.2.2授权管理 ,自主访问控制的授权管理大致有以下几种。 1)集中式管理：单个的管理者或组对用户进行访问控制 。 授权或授权撤销。 (2)分级式管理：一个中心管理员把管理责任分配给其他 。 管理员，这些管理员再对用户进行访问授权和授权撤销 。 分级式管理可以根据组织结构实行。 (3)所属权管理：如果一个用户是一个客体的所有者，则 。 该用户可以对其他访问该客体的用户进行访问授权和授 权撤销。 ·(4)协作式管理：对于特定系统资源的访问不能由单个用 户授权决定，而必须要其他用户的协作授权决定。 (⑤)分散式管理：在分散管理中，客体所有者可以把权力 权限授权给其他用户。 信息安全导论04 17
4.2.2 授权管理 • 自主访问控制的授权管理大致有以下几种。 • (1)集中式管理：单个的管理者或组对用户进行访问控制 授权或授权撤销。 • (2)分级式管理：一个中心管理员把管理责任分配给其他 管理员，这些管理员再对用户进行访问授权和授权撤销。 分级式管理可以根据组织结构实行。 • (3)所属权管理：如果一个用户是一个客体的所有者，则 该用户可以对其他访问该客体的用户进行访问授权和授 权撤销。 • (4)协作式管理：对于特定系统资源的访问不能由单个用 户授权决定，而必须要其他用户的协作授权决定。 • (5)分散式管理：在分散管理中，客体所有者可以把权力 权限授权给其他用户。 信息安全导论04 17
访问控制实现技术 (I)保护位(owner/group/other)机制 在此机制中，每个操作系统客体都附有一个位集 合，以便为不同安全类别的用户指定不同访问模 式。常见的实现中其类别包括Owner、Group、 Other.三类，保护位分别指定这三类用户的读 、 写、执行权限。由于保护位与客体相关联，显然 它可决定哪些用户对客体拥有自主访问权限和在 需要时撤销权限。访问权的复制和扩展可简单地 通过将此客体的保护位的修改权限授予某些用户 来实现。 ·比如Linux系统的文件访问控制机制。 信息安全导论04 18
访问控制实现技术 (1)保护位(owner/group/other)机制 • 在此机制中，每个操作系统客体都附有一个位集 合，以便为不同安全类别的用户指定不同访问模 式。常见的实现中其类别包括Owner、Group、 Other三类，保护位分别指定这三类用户的读、 写、执行权限。由于保护位与客体相关联，显然 它可决定哪些用户对客体拥有自主访问权限和在 需要时撤销权限。访问权的复制和扩展可简单地 通过将此客体的保护位的修改权限授予某些用户 来实现。 • 比如Linux系统的文件访问控制机制。 信息安全导论04 18
(2)能力表(capabilities)机制 能力表机制将每一个操作系统的主体与一个客体 访问列表（能力表)相联系，、它指定了主体可以 访问的客体以及此主体对此客体相应的访问方式 由于能力表与主体相关联，故在一个特定时刻判 断哪些主体对一个特定客体具有访问权限比较困 难，这使得访问权限的撤销变得复杂。典型的是 不用可以通过提供二必器能表的老新 一 将访问权限授予其他用户，结果是访问权限的 展过于复杂而难以控制。，能力表机制提供了一 在运行期间实行访问控制的方式，（例如，、它 DBMS中可能发挥作用：只要能够检索用户 体模版，就可以判断其对一个表的特定视图是 种在主否都 具有访问权限)。然而，这一方法对每个用户 需要很多的项来实现这种检索。 信息安全导论04 19
(2)能力表(capabilities)机制 • 能力表机制将每一个操作系统的主体与一个客体 访问列表（能力表）相联系，它指定了主体可以 访问的客体以及此主体对此客体相应的访问方式。 • 由于能力表与主体相关联，故在一个特定时刻判 断哪些主体对一个特定客体具有访问权限比较困 难，这使得访问权限的撤销变得复杂。典型的是： 一个用户可以通过提供一个必需的能力表的拷贝 将访问权限授予其他用户，结果是访问权限的扩 展过于复杂而难以控制。能力表机制提供了一种 在运行期间实行访问控制的方式（例如，它在 DBMS中可能发挥作用：只要能够检索用户／主 体模版，就可以判断其对一个表的特定视图是否 具有访问权限）。然而，这一方法对每个用户都 需要很多的项来实现这种检索。 信息安全导论04 19
(3)访问控制表(access control lists,ACLs)机制 访问控制表是目前最流行、使用最多的访问控制实现技 术。每个客体有一个访问控制表，是系统中每一个有权 访问这个客体的主体的信息。这种实现技术实际上是按 列保存访问矩阵。 访问控制表提供了针对客体的方便的查询方法，通过查 询一个客体的访问控制表很容易决定某一个主体对该客 体的当前访问权限。删除客体的访问权限也很方便，把 该客体的访问控制表整个替换为空表即可。但是同能力 表类似，用访问控制表来查询一个主体对所有客体的所 有访问权限是很困难的，必须查询系统中所有客体的访 问控制表来获得其中每一个与该主体有关的信息。同样 地，删除一个主体对所有客体的所有访问权限也必须查 询所有客体的访问控制表，删除与该主体相关的信息。 ,保护位机制就是这样一种简化形式的访问控制表。 信息安全导论04 20
(3)访问控制表(access control lists，ACLs)机制 • 访问控制表是目前最流行、使用最多的访问控制实现技 术。每个客体有一个访问控制表，是系统中每一个有权 访问这个客体的主体的信息。这种实现技术实际上是按 列保存访问矩阵。 • 访问控制表提供了针对客体的方便的查询方法，通过查 询一个客体的访问控制表很容易决定某一个主体对该客 体的当前访问权限。删除客体的访问权限也很方便，把 该客体的访问控制表整个替换为空表即可。但是同能力 表类似，用访问控制表来查询一个主体对所有客体的所 有访问权限是很困难的，必须查询系统中所有客体的访 问控制表来获得其中每一个与该主体有关的信息。同样 地，删除一个主体对所有客体的所有访问权限也必须查 询所有客体的访问控制表，删除与该主体相关的信息。 • 保护位机制就是这样一种简化形式的访问控制表。 信息安全导论04 20
(4)授权关系表(authorization relation)机制 。1 访问矩阵也有既不对应于行也不对应于列的实现 技术，那就是对应访问矩阵中每一个非空元素的 实现技术一一授权关系表。授权关系表的每一行 (或者说元组)就是访问矩阵中的一个非空元素， 是某一个主体对应于某一个客体的访问权限信息。 如果授权关系表按主体排序，查询时就可以得到 能力表的效率；如果按客体排序，查询时就可以 得到访问控制表的效率。 虽然授权关系表需要更多的资源空间，但由于它 的访问的高效性，像安全数据库这类系统通常采 用授权关系表来实现其访问控制安全机制。 信息安全导论04 21
(4)授权关系表(authorization relation)机制 • 访问矩阵也有既不对应于行也不对应于列的实现 技术，那就是对应访问矩阵中每一个非空元素的 实现技术——授权关系表。授权关系表的每一行 （或者说元组）就是访问矩阵中的一个非空元素， 是某一个主体对应于某一个客体的访问权限信息。 如果授权关系表按主体排序，查询时就可以得到 能力表的效率；如果按客体排序，查询时就可以 得到访问控制表的效率。 • 虽然授权关系表需要更多的资源空间，但由于它 的访问的高效性，像安全数据库这类系统通常采 用授权关系表来实现其访问控制安全机制。 信息安全导论04 21