訪問權限安全管理作為系統安全近年來的關注熱點在研究和應用中已經獲得了較多成果，建立了目前主要使用的DAC、ACL、MAC、RBAC等訪問控制模型，而且 ACL和MAC得到了相對較多的應用。但過 去在權限管理的整體研究和權限的表達、權限的發布機制、應用權限管理原則方面沒有進行系統的、全面的研究。為了解決這個問題，在X.S09 V4(2000)(1]中，首先提出了權限管理基礎設施(Privilege ManagementInfrastructure， PM!)的概念，筆耕文化傳播，為網絡安全系統 的授權管理實現提供了一個新的思路。本文在常見PMI模型的基礎上設計了一種適合大型分布式應用的PMI系統一-MPMI，可以滿足大型分布式應用環境對權限管理的需要。

　　1 X.50S原型與PMI模型

　　X.S09 V4協議描述了PMI系統的模型 框架，PMI原型應該完成以下的主要功能:

　　制定授權管理策略、審核設立與管理AA、屬性證書的發放軍口管理、證書撤銷列表的管理、委托路徑和交叉路徑的處理等。國內常見的PMI系統主要是高校的實驗室模型或為某些機構開發的初級產品，其基本組成(3-4J如圖l所示。

　　圖1所示的結構基于X.S09V4基本模型，設計者通常將權限源、簽發機構甚至頒發機構綜合成一個模塊，顯然不適合大型應用的需求。大型PMI系統必然有大量的終端用戶，并分布范圍廣泛，因此必須將權限源和簽發機構分開考慮，同時還應該設置一定規模的代理機構供終端用戶申請和下載證書。

　　2 MPMI系統設計

　　為了適合大型分布式應用系統的權限管理需求，MPMI中設置了一定規模的代理機構用來處理用戶申請和對應用系統的管理。

　　2.1總體設計和模塊劃分

　　MPMI系統由權限管理中心(Source of Authority，SOA)，授權服務中心，屬性注冊與權限分配、資源管理系統、訪問控制系統五個子系統組成，其體系結構如圖2所示。

　　其中各個子系統功能分別是。

　　(I)SOA:是整個MPMI的最終信任源和最高管理機構，負責授權管理政策的制定和授權策略的管理、授權服務中心AA的設立審核及管理、授權管理體系業務的規范化等。

　　(2)AA:是MPMI系統的核心服務節點， 是應對于具體應用系統的授權管理分系統，用來對經過PKI認證的用戶進行授權，是簽發屬性證書的機構。

　　(3)AR&PA:是MPMI的用戶代理節點， 是聯接終端用戶和MPMI的紐帶，屬于應對AA的附屬機構，接受上級AA的直接管理。 AR&PA由各AA負責建設，經授權管理總 中心的統一并簽發相應的權力證書，AR&PA的設立和數目由各AA根據自身的 業務發展需求而定。

　　(4)RMS:是MPMI的重要組成部分，具 有資源收集和管理、角色采集和管理、角色授權與管理、訪問控制系統管理等功能。

　　(S)ACS:訪問控制系統ACS與實際應 用結合實現對用戶訪問請求的管理，嚴格來說它們屬于應用程序的一部分，但具有統一的接口和信息交互方式，因此將其作為一個獨立的子系統進行設計。

　　本文由整理發布，轉載請注明出處！