基于属性约束的工作流访问控制模型

曾世强，叶春晓，余一丰

重庆大学 计算机学院，重庆 400044

基于属性约束的工作流访问控制模型

曾世强，叶春晓，余一丰

重庆大学 计算机学院，重庆 400044

1 引言

工作流管理系统是现今很多领域用来有效地管理事务处理过程的一个关键技术基础设施，其主要功能是通过计算机技术的支持去定义、执行和管理工作流程，协调工作流执行过程中工作之间以及群体成员之间的信息交互[1-2]。一个工作流中各种各样的活动通常被划分为一些预先定义好的任务。这些任务之间彼此依赖，以一种相互协调的方式执行，但这些任务并不是任何一个人都能执行，只有那些被授权的用户才能执行。

1996年，Atluri和Huang提出了一种工作流授权模型（Workflow Authorization Model，WAM），提出了授权模板的概念[3-4]。该模型中，工作流和某些适当的授权模板相关联，每个任务只能在开始时从授权模板中被导出，从而保证授权流与工作流的同步。但是由于每个任务有可能与多个授权模板相关联，管理起来非常繁琐，并且WAM中的授权只是一个最基本的概念：在某个时间段内，一个主体拥有访问某个客体的某种权限，而且，在一个授权模板中，一类角色是和某一类可被某个任务处理的对象所固定的，这种方式缺乏灵活性。

针对以上问题，邢光林和洪帆在2005年提出了一种基于角色和任务的工作流模型[5]，在该模型中，角色和权限不直接挂钩而是通过任务把角色和权限联系在一起，然后给用户指派合适的角色，用户通过其指派的角色获得可以执行的任务，然后在执行某个任务的某个具体实例时获得该任务所允许访问的客体的权限，方便权限的细粒度管理。……