本文首先介绍了传统的自主访问控制方法和强制访问控制方法,列举了两种典型的访问控制模型—HRU访问矩阵模型和BLP模型.然后介绍了基于角色访问控制的基本原理和RBAC96模型.基于特权管理基础设施(PMI,PrivilegeManagement Infrastructure)的基本原理,提出了一个在企业级网络上利用公钥密码实现基于角色访问控制的模型.该实现模型使用公钥证书(PKC,Public Key Certficate)实现对用户的身份认证,使用属性证书(AC,Attribute Certificate)实现对用户的授权访问,遵循当前最新的安全技术标准,能充分利用现有的安全基础设施提供的功能;使用策略证书定制企业的安全策略,既能适应企业安全策略的广泛性又能有效地保证企业安全策略的安全性;采用反向代理服务器保护重要的网络服务,避免了对服务器软件的修改,方便灵活地实现了对企业网络资源的安全访问控制.本文针对采用对称密码的安全系统的技术特点,提出了用票据来承载用户角色信息的思想.对Kerberos身份认证系统,在保持其原有功能的条件下对票据服务器进行了改造,使其能够完成访问控制实施和访问控制决策功能,进而对Kerberos协议进行了扩展,得到一个支持基于角色访问控制的身份认证系统E-Kerberos,并给出了协议的具体流程.对于本文中提出的模型和系统,笔者在山东大学网络安全研究所实习期间曾经参与过实际项目开发,对项目产品的测试表明他们较好地实现了预定的安全目标.