一种改进的Web 服务访问控制模型

张尚韬

（福建信息职业技术学院，福州350003）

0 引言

随着网络技术的迅速发展，对访问控制服务的质量也提出了更高的要求，传统的访问控制模型（自主访问控制DAC，强制访问控制MAC，基于角色的访问控制RBAC等）已经很难满足这些需求，主要体现在以下2个方面：（1）传统的访问控制模型主要是单域的，即服务提供者和请求者都在同一个管理域内，而在Web服务应用环境下，服务提供者和请求者通常来自不同的域，彼此是陌生的。因此，要解决这种跨域的访问控制问题。（2）传统的访问控制模型一般都是静态授权，即由管理员事先按照一定的规则给主体指定权限，然后将这些指定关系保存起来。然而在Web服务这样的分布式环境下，服务请求者和提供者之间通常是建立一种临时的、动态的关系。服务消费者通过网络发现新的服务提供者，并实时地访问服务提供的数据。对Web服务的服务端而言，根本无法提前判断什么用户会在什么时候访问什么数据，很难实现这种静态授权，因此需要一种动态授权机制。而基于属性的访问控制模型采取动态性的、粒度细的机制授权，因此它比传统的访问控制模型适合动态的、分布式的 Web服务环境。

本文结合Web服务的特征，提出了一种改进的基于属性的Web服务访问控制模型。在原有访问控制模型的基础上，通过引入XML加密模块和签名模块，完善了XACML访问控制模块，从而使其能够更加安全和有效地根据主体、客体和资源等的相关属性信息进行授权，能更加有效地保护资源请求者的合法利益以及请求资源的安全性。……