基于角色的访问控制模型是近十几年来在自主访问控制和强制访问控制的基础上发展起来的一种重要的访问控制技术。基于角色的访问控制模型的特点是通过分配和取消角色来完成用户权限的授予和取消,从而实现了用户与访问权限的逻辑分离。由于基于角色的访问控制的诸多优越性,它已成为访问控制研究领域的一个热点问题,得到了较为广泛的研究和应用,并且随着最新一代访问控制模型UCON的出现,它也表现出了很好的兼容性。今天,Web服务得到了蓬勃的发展,呈现出跨地域、大规模、复杂化等特点,而传统的基于角色的访问控制是在集中式的背景下提出来的,对于在地域上分布复杂的大规模系统的访问控制已经突显出其不足,在普适计算环境中更是如此;此外,在Web环境下,系统的管理工作异常繁重,完全依赖系统管理者参与系统中的所有授权行为,严重加剧了系统的管理负担,所以在面向Web服务的系统中需要一种分类式的细化角色方法;同时,传统的访问控制列表具有描述性较低、灵活性不够、不易在大规模网络中进行传输等问题,无法满足系统中的访问控制需求。所以,认为在如何有效地构建基于角色的访问控制模型方面仍有较多的问题需要研究,以适应Web服务系统独有的特点。在此,利用XACML的标准特点以及现在它的逐渐发展,将其用于角色访问控制中,并且在典型的面向Web服务的环境——普适计算环境中,根据需要对标准的XACML进行优化和补充。Web服务中使用RBAC的缺点有:由于角色主要是静态的,需要一种潜在的高管理工作,而现在的访问控制研究朝着复杂化方向发展,实用性差;经常在大型企业群发生的组织和功能变化,总是要求相当大数量roles的重新分配。随之产生的管理工作通常是十分昂贵的。信息系统涉及的功能越来越多,结构也越来越复杂。如:过去只需要“前台显示+后台信息管理”,现在可能需要动态控制显示的栏目,区分浏览者的类别,针对不同用户提供不同的用户界面等。本文针对上述问题对面向Web服务的基于角色的访问控制进行了研究。论文的研究内容和创新点如下:1.由于传统RBAC模型在实际应用中表现出许多不足,在基于角色的访问控制中提出了多级角色访问控制的概念,提出多级角色访问控制模型,来提供多级控制粒度,通过对信息流的控制来实现(保护信息流从高安全级别客体向低安全客体流动)。2.在SUN公司用XACML描述的RBAC模型基础上,将XACML模型中的请求处理步骤融入到基于角色的访问控制实现中。3.普适环境中的访问控制是面向Web服务的访问控制的一个很好的实例,将SUN公司实现的XACML中的角色访问控制用于普适环境中,XACML的这些特点使得它非常适用于普适计算下的访问控制对于灵活性的要求。4.普适计算下的访问控制与传统的访问控制相比,有着非常大的区别。普适计算下的访问控制,是一种更复杂、更高级的访问控制,是传统访问控制在构架,计算以及实现等多方面的扩展。分析XACML标准在特殊环境中的不足,进行了相应的改进,并进行了验证。