Quản trị cấp quyền trong kiểm soát truy nhập dựa trên vai

Tiếp cận dựa trên vai có một số u điểm. Trớc hết, các chính sách dựa trên vai có u điểm là tính độc lập logic trong việc đặc tả các cấp quyền của ngời dùng bằng cách chia nhiệm vụ này thành hai phần: một phần gán ngời dùng vào vai và phần kia gán cho vaiquyền truy nhập tới các đối tợng. Điều này làm cho việc quản trị an toàn đơn giản hơn rất nhiều, ví dụ: một ngời dùng thay đổi trách nhiệm do thăng chức. Trong mô hình RBAC, các vai hiện tại của ngời dùng này có thể đợc lấy đi và các vai mới đợc gán để phù hợp với các trách nhiệm mới. ở các mô hình kiểm soát truy nhập khác, nếu tất cả các cấp quyền là trực tiếp giữa ngời dùng và các đối tợng, cần rút bỏ các quyền truy nhập của ngời dùng và gán cho họ các quyền truy nhập mới. Đây là một nhiệm vụ nặng nề và tiêu tốn thời gian.

• Các vai phân cấp: Trong nhiều ứng dụng, có một sự phân cấp vai tự nhiên

dựa trên cơ sở các nguyên lý quen thuộc về việc sản sinh và đặc tả. Một ngời dùng đợc gán vào một vai cấp trên thì sẽ kế thừa các đặc quyền và sự cấp phép đợc gán cho các vai cấp dới của nó. Việc phân cấp vai làm cho quản trị cấp quyền đơn giản đi rất nhiều.

• Đặc quyền tối thiểu: Các vai cho phép một ngời dùng ký xác nhận với đặc quyền tối thiểu đợc yêu cầu cho một nhiệm vụ cụ thể tại một thời điểm. Ngời dùng đợc cấp quyền các vai mạnh không cần thực hiện chúng cho đến khi các đặc quyền thực sự cần đến. Điều này giảm thiểu mối nguy cơ gây ra do các lỗi vô tình hoặc do những kẻ xâm nhập giả mạo nh những ngời dùng hợp lệ.

• Sự phân ly trách nhiệm Sự phân ly trách nhiệm dựa trên nguyên tắc không : nên cho ngời dùng đầy đủ đặc quyền để lạm dụng hệ thống mà họ đợc sở hữu. Chẳng hạn, ngời cho phép thanh toán tiền séc thì cũng không nên là ngời có thể chuẩn bị chúng. Việc phân ly trách nhiệm có thể đợc thực thi hoặc theo cách tĩnh bằng việc xác định các vai mâu thuẫn- (conflicting

roles), tức là các vai không thể do cùng một ngời dùng thực hiện, hoặc theo cách động bằng việc thực thi kiểm soát tại thời điểm truy nhập. Một ví dụ - về việc phân ly trách nhiệm động là luật hai ng ời- . Ngời dùng thứ nhất thực hiện hoạt động hai ng ời- có thể là một ngời dùng đợc cấp quyền nào đó, trong khi ngời dùng thứ hai có thể là một ngời dùng đợc cấp quyền khác với ngời dùng thứ nhất.

• Các lớp đối tợng: Các chính sách dựa trên vai thực thiphân lớp ngời dùng căn cứ theo các hoạt động mà họ thực hiện. Tơng tự, sự phân lớp sẽ đợc thực thi cho các đối tợng. Chẳng hạn, khách hàng nói chung cần có sự truy nhập vào tài khoản ngân hàng, và ngời th ký sẽ truy nhập vào th tín và bộ ghi nhớ hoặc một tập con nào đó của chúng. Các đối tợng có thể đợc phân lớp căn cứ theo kiểu của chúng nh là: th đánh máy, th viết tay hoặc theo lĩnh vực ứng dụng của chúng nh là: th thơng mại, th quảng cáo. Thế thì sự cấp quyền truy nhập của các vai sẽ dựa trên cơ sở các lớp đối tợng, chứ không phải các đối tợng cụ thể. Chẳng hạn, vai th ký có thể đợc cấp quyền đọc và ghi toàn bộ lớp th, thay vì đợc cấp quyền về từng th cụ thể. Cách tiếp cận này có u điểm làm cho quản trị cấp quyền đợc kiểm soát dễ dàng và tốt hơn rất nhiều. Hơn thế nữa, các truy nhập đợc cấp quyền trên từng đối tợng đợc xác định tự động căn cứ theo kiểu của đối tợng mà không cần các cấp quyền đặc tả mỗi lần tạo ra đối tợng.

Kiểm soát truy nhập dựa trên vai có một miền lớn các chính sách quản trị. Trong trờng hợp này, các vai cũng có thể đợc sử dụng để quản lý và kiểm soát các cơ chế quản trị [38]. Trong các tổ chức lớn với nhiều đơn vị chức năng, có nhiều miền quản trị với những yêu cầu cấp quyền đa dạng, các chính sách kiểm soát truy nhập dựa trên vai biểu diễn các yêu cầu này nh là các ràng buộc cấp quyền. Đòi hỏi bắt buộc đó là các ràng buộc này không bị đụng độ trong toàn bộ chính sách ở môi trờng đa miền của tổ chức Khi đó. , vấn đề quản trị không chỉ bao gồm quản trị cấp quyền cho ngời dùng và các tài nguyên bên trong một miề , mà còn phải n giải quyết đụng độ giữa các chính sách kiểm soát truy nhập không thuần nhất của nhiều miền cho phép tơng tác an toàn bên trong , tổ chức này [5] Dựa trên mô hình .

RBAC, ngời ta phát triển đợc nhiều mô hình quản trị hiệu quả các phép gán ngời dùng vào vai nh mô hình URA97, các phép gán giấy phép cho vai nh mô hình PRA97 và thực thi chúng trong môi trờng ứng dụng thực tế [35], [37] [38], , [39]. Dựa trên RBAC có thể xây dựng các hệ thống quản trị cấ, p quyền mềm dẻo, trong đó ngời dùng có thể uỷ quyền toàn bộ giấy phép hay chỉ một phần giấy phép trong vai mà họ đợc gán cho ngời dùng khác một cách linh hoạt [45].