RBAC(Role-Based Access Control - 基于角色的访问控制)模型是20世纪90年代研究出来的一种新模型，但从本质上讲，这种模型是对前面描述的访问矩阵模型的扩展。这种模型的基本概念是把许可权（Permission）与角色（Role）联系在一起，用户通过充当合适角色的成员而获得该角色的许可权。

这种思想世纪上早在20世纪70年代的多用户计算时期就被提出来了，但直到20世纪90年代中后期，RBAC才在研究团体中得到一些重视。本章将重点介绍美国George Mason大学的RBAC96模型。

在实际的组织中，为了完成组织的业务工作，需要在组织内部设置不同的职位，职位既表示一种业务分工，又表示一种责任与权利。根据业务分工的需要，支援被划分为不同群体，各个群体的人根据其工作任务的需要被赋予不同的职责和权利，每个人有权了解与使用与自己任务相关的信息与资源，对于那些不应该被知道的信息则应该限制他们访问。这就产生了访问控制的需求。

例如，在一个大学中，有校长、副校长、训练部长、组织处长、科研处长、教保处长等不同的职位，在通常情况下，职位所赋予的权利是不变的，但在某个职位上工作的人可以根据需要调整。RBAC模型对组织内部的这些关系与访问控制要求给出了非常恰当的描述。

RBAC₀的模型结构可以参看图ap08-02，但需要把途中的限制和角色等级两部分不包含在RBAC₀模型中。该模型中包括用户（U）、角色（R）和许可权（P）的那个三类实体集合，此外还有一个会话集合（S）。

其中用户代表一个组织的职员；角色表示该组织内部的一项任务的功能或某个工作职务，它也表示该角色成员所拥有的权利和职责；许可权是用户对系统中各课题访问或操作的权利，客体是指系统中的数据客体和资源客体，例如，目录、文件、记录、端口、设备、内存或子网都是客体。

许可权因客体不同而不同，例如，对于目录、文件、设备、端口等类客体的操作权是读、写、执行等；对应数据库管理系统的客体是关系、元素、属性、记录、库文件、视图等，相应的操作权是Select、Update、Delete、Insert等；在会计应用中，相应的操作权是预算、信用、转移、创建和删除一个账目等。

图ap08-02说明了关系用户指派UA（User Assignment）与许可权指派PA（Permission Assignment）的含义，两者都是多对多的关系。RBAC的关键就在于这两个关系，通过它们，一个用户将最终获得某些许可权并执行的权力。从图中角色的位置可以看粗，它是用户能够获取许可权的中间媒介。

会话集中的每个会话表示一个用户可以对应多个角色（指向角色有两个箭头）。在某个会话的持续期间，一个用户可以同时激活多个角色，而该用户所获得的许可权是所有这些角色的所拥有许可权的并集。

每个用户可以同时打开多个回话，每个会话都可以在工作站屏幕上用一个窗口显示。每个会话可以有不同活动角色的组合。RBAC₀的这一特点将受到最小特权原则的限制。如果一个用户在一次会话中激活所有角色的权利超过该用户被允许的权利，将受到最小权利原则的限制。

RBAC₁模型的特色是模型中的角色是分级的，不同级别的角色由不同的职责与权力，橘色的级别形成偏序关系。图ap08-03说明了角色等级的概念。在途中位置处于较高处的角色的等级高于较低位置角色的等级。利用角色的分级概念可以限制继承的范围（scope）。

图 H.3. 角色分级的概念

图中项目成员的等级最低，角色程序员和测试员的等级都高于角色项目成员，并都可以继承项目成员的权利；角色管理员具有最高的等级，它可以继承测试员和程序员的权利。为了满足实际组织中一个角色不完全继承另一个角色所有权利与责任的需求，模型中引入了私有角色的概念，如图中的测试员'和程序员'分别是测试员和程序员的私有uese，它们可以分别继承测试员和程序员的某些专用权利。

显然，角色的等级关系具有自反性（自己可以继承自己）、传递性（A继承B，B继承C，则A继承C）和反对称性（A继承B，B继承A，则A=B），因此是偏序关系，下面是RBAC₁的形式定义。

RBAC₂模型是在RBAC₀模型增加限制后形成的，它与RBAC₁并不兼容。RBAC₂定义如下：

RBAC₃把RBAC₁和RBAC₂组合在一起，提供角色的分级和继承的能力。但把这两种概念组合在一起也引起一些新问题。

限制也可以应用于角色等级本身，由于角色间的等级关系满足偏序关系，这种限制对模型而言是本质性的，可能会影响这种偏序关系。例如，附加的限制可能会限制一个给定角色的应有的下级角色的数量。

两个或多个角色由可能被限制成没有公共的上级角色或下级角色。这些类型的限制在概念角色等级的权力已经被分散化的情况下是有用哦，但是安全主管却希望对所有允许这些改变的方法加以限制。

在限制和角色的等级之间也会产生敏感的相互影响。在图ap08-03的环境中，一个项目成员不允许同时担任程序言与测试员的角色，但项目管理员所处的位置显然是违反了该限制。在某种情况i下由高等级的角色违反这种限制是可接受的，但在其他情况下又不允许这种违反现象发生。

从严格性的角度来讲，模型的规则不应该是一些情况下不允许而在另一情况下是允许的。类似的情况也会发生在对基数的限制上。假定限制一个用户之多能分配给一个橘色，那么对图中的测试员的一个指派能够未被这种限制吗？换句话说，基数限制是不是只能用于直接成员，是否也能应用于继承成员上？

私有角色的概念可以说明这些限制是有用的。同样在图ap08-03的环境中，可以把测试员'，程序员'和项目管理员3个角色说明为互斥的，它们处于同一等级，没有共同的上级角色，所以管理员角色没有违反互斥限制。通常私有角色和其他角色之间没有公共上级角色，因为它们是这个等级的最大元素，所以私有角色之间互斥关系可以无冲突的定义。

诸私有角色之间的相同部分可以被说明为具有0成员的最大技术限制。根据这种方法，测试员必须被指派给测试员'这个角色，而测试员角色就作为与管理员角色共享许可权的一种工具。

在前面的讨论中，我们都假设RBAC的所有组件都是由单个的安全员来管理里。但是，对于一个大系统而言，系统中的角色可能成百上千，再加上它们之间的复杂关系，使得集中式的管理任务成为非常可怕的工作，因此通常由几个管理员小组来完成。能否用RBAC管理自己本身呢？

RBAC的管理模型示于图ap08-04。该图的上半部分本质上与图ap08-02相同，图中的限制时针对所有成分的，图的下半部分是对上半部分关于管理角色AR和管理许可权AP与正规角色集R和许可权集P是分别不可相交的。这个模型显示，正规许可权只能分配给正规角色（RBAC模型中定义的角色），管理许可权只能分配给管理角色。

管理许可权AP有权改变组成RBAC₀、RBAC₁、RBAC₂或RBAC₃的所有成分，但正规许可权P不能。管理许可权与正规许可权不相交，即AP∩P=。管理许可权和正规许可权只能分别分配给管理角色AR和正规角色R，并且AR∩R=。

图 H.4. 管理模型示意图

在图ap08-04的上半部可以对应RBAC₀、RBAC₁、RBAC₂和RBAC₃模型，类似地下半部可以对应ARBAC₀、ARBAC₁、ARBAC₂和ARBAC₃模型，此处的A表示“管理”。ARBAC₀~ARBAC₃形成了RBAC的管理模型族，成为ARBAC97。通常我们期望管理模型比RBAC模型本身简单一些，因此可以利用ARBAC₀管理RBAC₃，而不是用ARBAC₃去管理RBAC₀模型。

URA87：用户-角色指派。该组件涉及用户-指派关系UA的管理，该关系把用户与角色关联在一起。对该关系的修改权由管理角色控制，这样，管理角色中的成员有权管理正规角色中的成员关系。把一个用户指定为管理角色是在URA97以外完成的，并假定是由安全员完成的。

PRA97：许可权-角色指派。该组件涉及角色-许可权的指派与撤销。从角色观点来看，用户和许可权有类似的特点，它们都是由角色联系在一起的实在实体。因此，可以把PRA97看做是URA97的对偶组件。

RRA97：角色-角色指派。为了便于对角色的管理，对角色又进行了分类。该组件涉及3类角色，它们是：

区别这三类模型的主要原因是可以应用不同的管理模型去建立不同类型角色之间的关系。区分的动因首先是对能力的考虑，能力是许可权的集合，可以把该集合中所有许可权作为一个单位指派给一个角色。类似的，组是用户的集合，可以把该集合中所有许可权作为一个单位指派给一个角色。组和能力角色都似乎可以划分等级的。

在一个UP-角色中，一个能力是否是其的一个成员是由UP-角色是否支配该能力决定的，如果支配就是，否则就不是。相反的，如果一个UP-角色被一个组角色支配，则这个组就是该UP-角色的成员。

对ARBAC97管理模型的研究还在继续之中，对能力-指派与组-指派的形式化已基本完成，对UP-角色概念的研究成果还未形式化。

符合各类组织机构的安全管理需求。RBAC模型支持最小特权原则、责任分离原则，这些原则是任何组织的管理工作都需要的。这就使得RBAC模型由广泛的应用前景。

RBAC模型支持数据抽象原则和继承概念。由于目前主流程序设计语言都支持面向对象技术，RBAC的这一特性便于在实际系统中应用实现。

模型中概念与实际系统紧密对应。RBAC模型中的角色、用户和许可权等概念都是实际系统实际存在的实体，便于设计者建立现存的或待建系统的RBAC模型。

RBAC模型仍素具访问控制类模型，本质是对访问矩阵模型的扩充，能够很好的解决系统中主体对客气的访问控制访问权力的分配与控制问题，但模型没有提供信息流控制机制，还不能完全满足信息系统的全部安全需求。

虽然也有人认为可以用RBAC去仿真基于格的访问控制系统（LBAC），但RBAC对系统内部信息流的控制不是直观的，需要模型外的功能支持。有关信息流控制的作用域原理将在第四章介绍，届时读者可以进一步理解RBAC模型的这种缺陷。

RBAC模型没有提供操作顺序控制机制。这一缺陷使得RBAC模型很难应用关于那些要求有严格操作次序的实体系统，例如，在购物控制系统中要求系统对购买步骤的控制，在客户未付款之前不应让他把商品拿走。RBAC模型要求把这种控制机制放到模型外去实现。

RBAC96模型和RBAC97uanli模型都故意回避了一些问题，如是否允许一个正在会话的用户再创建一个新会话，管理模型不支持用户和许可权的增加与删除等管理工作灯，都是需要解决而未提供支持的问题，这些问题都还在研究中，但是如果缺少这些能力的支持，模型的而应用也将受到影响。相反，访问绝阵模型提供了用户和权限修改功能，因此，不能说RBAC模型能够完全取代访问矩阵模型。