一种新的动态策略冲突检测模型

李新星 刘朝晖 叶勇

南华大学计算机科学与技术学院 湖南 421001

0 引言

策略是关于系统行为管理的规则的集合。通常经过编译的策略作为一条记录存储于策略库中，当策略执行点 PDP (Policy Decision Point)接到策略执行点PEP(Policy Enforcement Point)的策略请求时，PDP便可以从策略库中加载启用一条新的策略。策略系统管理员可以通过策略管理工具增加、删除、编辑策略库中的策略。当策略管理员对策略库进行增加、删除、编辑操作的时候，就有可能引发策略的冲突。比如一条策略规定公司中层管理人员不能访问资料R，而另一条策略规定工程师可以访问资料R，当某一职员既是工程师又是中层管理人员时，策略的冲突便产生了。冲突的策略可以在策略库中并存，但要尽量避免策略的冲突在运行时产生，如果在运行时发生策略的冲突，则需要快速的检测出冲突的策略并进行消解。策略的冲突检测和消解是策略研究的重要内容之一。

1 策略冲突检测的相关研究

E. Lupu等人在文献[1]中将策略的冲突分为模态冲突(modality conflict)和应用冲突(application conflict)两类。Lupu等人分析指出，策略模态冲突的产生是由于策略的＜主体，客体，动作＞有重叠或者部分重叠而引起的，故而对模态冲突的检测可以转换为对＜主体，客体，动作＞三元组重叠关系的判断。应用冲突是指不能从策略描述中直接判断、与应用环境密切相关的策略冲突类型。其中模态冲突包括A+/A-(授权策略冲突)、O+/O-(义务策略冲突)、O+/A-(义务策略与授权策略相冲突)三种情况。应用冲突包括资源冲突、多管理者冲突，自管理冲突三种情况。……