访问控制是信息安全技术的重要组成部分,经历了多个发展阶段,当前访问控制的研究重点和热点是基于角色的访问控制(RBAC)。RBAC通过引入角色的概念实现了用户和权限的逻辑分离,近年来,RBAC模型因为可以更有效地实施组织的安全策略而得到了广泛的认可,在2004年正式成为ANSI标准。RBAC模型的一个基本目标是提供一个有效的并且精确的方法来管理访问控制数据。标准的RBAC模型是一个策略无关的模型,在具体采用RBAC模型进行访问控制管理时,必须对模型中的各种要素加以扩展,对模型的某些方面重新描述,以适应具体应用的管理需要,业界对此进行了广泛的研究。而随着模型的重新描述,原有RBAC模型的一些显著特点也在新模型中明显降低,使得新扩展模型的应用不具有普遍性。因此,在不影响RBAC模型灵活性、策略无关性的基础上,对模型元素提供更细致的描述扩展,无疑有利于在实际的访问控制应用中采用RBAC模型。在采用RBAC策略进行访问控制描述时会涉及到大量的用户、角色、权限、约束等基础数据。而随着访问控制处理的精细化,访问控制管理信息描述的粒度有越来越小的趋势,随之而来的则是访问控制信息的迅速膨胀。如何更好地解决RBAC的管理问题日益成为访问控制研究的新热点。委托表示系统中某个处于活动状态的实体将自己的权力转授给其他活动实体,使被授予的实体可以代表授予实体执行相应的权力,目前研究的重点是基于角色的用户-用户委托。委托增加了访问控制中授权的灵活性,但同时对企业或组织的访问控制策略的维护提出了新的挑战。针对上述三方面的问题,本文在不改变RBAC模型现有优点的前提下,给出了一个体现RBAC模型原有设计思想的统一解决方案。本文所完成的主要工作如下：(1)基于委托是个体行为这一观点,剔除委托研究中的少量具有企业管理特征的行为,提出支持用户委托的RBAC模型——D-RBAC。模型的本质是在RBAC模型的基础上,增加一个委托支持模块,从而提供了用户-用户委托支持的扩展。模型本身具有策略无关、设计简单、适用面广的特点,支持现有研究中所有反映委托个体行为特征的委托操作。另外,模型还提供了管理员干预的支持,在尽量减少管理员管理工作的前提下,给出了有效的解决方案,使得管理员能够规范委托人的行为,从而达到既允许用户委托,又不破坏企业或组织的访问控制策略。(2)提出了一个既适用于分布式管理又适用于集中式管理的全新管理角色层级划分方式——管理域的概念。管理域不但保留了RBAC的层级特征,而且有效地约束了管理员的权限,还很好地解决了管理员角色层级与系统角色层级之间的既有区别又有联系的关系。(3)在管理域概念的支持下,提出了管理域支持的RBAC管理模型——D-ARBAC。模型避免了现有RBAC管理模型中的多步授权、访问信息存储冗余、进行分布式管理时管理员职责易于改变等问题。D-ARBAC模型能更好地完成RBAC管理工作,对管理员和常规用户之间的关系做出了规范,控制并拆分了管理员的权限,在系统管理方面为RBAC模型增加了安全性控制,并且与RBAC的实现方式无关,可以管理任何级别的RBAC模型及其扩展模型。(4)提出了属性增强描述的RBAC模型,对RBAC的核心概念中的用户、角色、权限采用统一的属性进行描述,在不改变原有RBAC模型优点的同时,方便了模型的管理和实现,并有利于RBAC在不同环境下的应用。(5)给出了属性及属性约束表达式的基于BNF规范的定义,属性支持数字、字符串、日期、时间等多种简单数据类型,还支持集合和区间这样的数据集定义,并定义了属性的可比性,以及属性之间的比较方式。(6)给出了上述模型的一种实现样例。由于XML多用于对各种类型数据的表达,具有很好的开放性和通用性,标准化程度高,具有较强的描述性,论文中给出了用XML作为访问控制数据描述语言的一种实现,同时,也将XML作为委托模型和管理模型中扩展部分的描述语言。(7)给出了采用D-ARBAC模型管理的属性描述增强的RBAC模型的实际应用实例,并在用户委托上采用D-RBAC委托模型。验证了采用D-ARBAC模型管理RBAC,以及采用D-RBAC委托模型的可行性、方便性和必要性。以上的研究工作,对于完整地实现和管理RBAC给出了一个实现简单、功能强大、安全可靠地解决方案,对建立一个完整的RBAC解决方案架构进行了有益的探索。