ВУЗ:
Составители:
ся r2, а все пользователи r2 приписываются r1. Очевидно, что наследование ролей соот-
ветствует наследованию классов в объектно-ориентированном программировании, только
правам доступа соответствуют методы классов, а пользователям – объекты (экземпляры)
классов.
Отношение наследования является иерархическим, причем права доступа и пользо-
ватели распространяются по уровням иерархии навстречу друг другу. В общем случае
наследование является множественным, т.е. у одной роли может быть несколько предше-
ственниц (и, естественно, несколько наследниц, которых мы будем называть также пре-
емницами).
Можно представить себе формирование иерархии ролей, начиная с минимума прав
(и максимума пользователей), приписываемых роли «сотрудник», с постепенным уточ-
нением состава пользователей и добавлением прав (роли «системный администратор»,
«бухгалтер» и т.п.), вплоть до роли «руководитель» (что, впрочем, не значит, что руково-
дителю предоставляются неограниченные права; как и другим ролям, в соответствии с
принципом минимизации привилегий, этой роли целесообразно разрешить только то, что
необходимо для выполнения служебных обязанностей). Фрагмент подобной иерархии
ролей показан на рис. 5.2.
Рис. 5.2. Фрагмент иерархии ролей
Для реализации еще одного упоминавшегося ранее важного принципа информаци-
онной безопасности вводится понятие разделения обязанностей, причем в двух видах:
статическом и динамическом.
Статическое разделение обязанностей налагает ограничения на приписывание поль-
зователей ролям. В простейшем случае членство в некоторой роли запрещает приписы-
вание пользователя определенному множеству других ролей. В общем случае данное
ограничение задается как пара «множество ролей – число» (где множество состоит, по
крайней мере, из двух ролей, а число должно быть больше единицы), так что никакой
пользователь не может быть приписан указанному (или большему) числу ролей из задан-
ного множества. Например, может существовать пять бухгалтерских ролей, но политика
безопасности допускает членство не более чем в двух таких ролях (здесь число равно трем).
При наличии наследования ролей ограничение приобретает несколько более слож-
ный вид, но суть остается простой: при проверке членства в ролях нужно учитывать при-
писывание пользователей ролям-наследницам.
Динамическое разделение обязанностей отличается от статического только тем, что
рассматриваются роли, одновременно активные (быть может, в разных сеансах) для дан-
ного пользователя (а не те, которым пользователь статически приписан). Например, один
пользователь может играть роль и кассира, и контролера, но не одновременно; чтобы
стать контролером, он должен сначала закрыть кассу. Тем самым реализуется так назы-
ваемое временное ограничение доверия, являющееся аспектом минимизации привилегий.
Рассматриваемый проект стандарта содержит спецификации трех категорий функ-
ций, необходимых для администрирования РРД:
Административные функции (создание и сопровождение ролей и других атрибутов
ролевого доступа): создать/удалить роль/пользователя, приписать пользователя/право
роли или ликвидировать существующую ассоциацию, создать/удалить отношение насле-
дования между существующими ролями, создать новую роль и сделать ее наследни-
цей/предшественницей существующей роли, создать/удалить ограничения для статиче-
ского/динамического разделения обязанностей.
Вспомогательные функции (обслуживание сеансов работы пользователей): открыть
сеанс работы пользователя с активацией подразумеваемого набора ролей; активировать
новую роль, деактивировать роль; проверить правомерность доступа.
Информационные функции (получение сведений о текущей конфигурации с учетом
отношения наследования). Здесь проводится разделение на обязательные и необязатель-
ные функции. К числу первых принадлежат получение списка пользователей, приписан-
ных роли, и списка ролей, которым приписан пользователь.
Для анализа и изучения свойств систем РРД используются математические модели,
в основе которых лежит базовая модель.
Бухгалтер Руководитель
Сотрудник
Системный
администратор
Главный бухгалтер
Страницы
- « первая
- ‹ предыдущая
- …
- 45
- 46
- 47
- 48
- 49
- …
- следующая ›
- последняя »
