以屬性為基礎的使用者角色分配之研究與實作

The Study of Attribute-Based User-Role Assignment

呂忠憲(Chung-Shian Lu)

指導教授 ： 留忠賢

中原大學/工學院/資訊工程研究所/碩士(2005年)

https://doi.org/10.6840/cycu200500317

摘要

RBAC在為使用者分配角色的部份，傳統方式是使用人工手動去分配，但在有些環境下如電子商務系統，使用者的人數可能有成千上萬個，這時就幾乎不可能用人工方式給使用者指定角色，因此若能以使用者的屬性，搭配上一些訂定好的角色規則，使系統可自動把角色分配給使用者，將可簡化角色分配的工作。
在本論文中，我們以Web-Based的MVC架構，設計並實作了一個系統，可以設定使用者的屬性以及制定角色規則，使系統可以根據使用者的屬性，自動分配角色給使用者。
我們的系統有兩個功能：(1)角色規則管理介面：提供一個管理用的介面，讓系統管理人員可以對角色規則做新增、修改、刪除的管理動作。(2)使用者屬性設定介面：提供一個設定用的介面，讓管理人員可以對使用者的使用者屬性做新增、修改、刪除的管理動作。而在加入這兩個功能後，我們便能夠訂定角色規則，使系統依據角色規則自動地分配角色給使用者，省去了人工手動分配的步驟及時間。

關鍵字

Role Assignment ； Access Control ； RBAC ； Role

並列摘要

In traditional Role-Based Access Control (RBAC) system,
the assignments of roles to users are performed manually. But in
some environments such as e-Business, the number of users may
be very large and this makes manual user-to-role assignment an
impossible work. If we can use a finite set of rules that operate
on the attributes of users, the user-to-role assignment can be
automated.
In this thesis, we design and implement a system using
web-based MVC design pattern. The system allows an
administrator to define rules for roles and users’s attributes, and
can assign roles to users automatically.
Our implementation includes (1) a rule management interface
that lets administrators define, modify or delete rules for roles
using users’s attributes, and (2) an attribute management
interface that lets administrators add, modify or delete users’s attributes.

並列關鍵字

Role Assignment ； RBAC ； Access Control ； Role

參考文獻

[3] Ravi Sandhu, Edward J. Coyne, Hal L. Feinstein, and Charles E. Youman, “Role-Based Access Control Model”, IEEE Computer, Vol. 29,No. 2,February 1996, p38-p47

[2] Mohammad A. Al-Kahtani, Ravi Sandhu, “A Model for Attribute-Based User-Role Assignment”, 18th Annual Computer Security Application Conference p.353

[1] David Ferraiolo, Ravi sandhu, Serban gavrila, D. Richard kuhn , Ramaswamy chandramouli , “Proposed NIST Standard for Role-Based Access Control”, ACM Transactions on Information and System Security, Vol. 4, No. 3, August 2001, p 224–274.

[4] David Ferraiolo and Richard Kuhn, “Role-Based Access Control”, In Proceedings of 15th NIST-NCSC National Computer Security Conference, October 1992.

[5] Joon S. Park and Ravi Sandhu, ” Role-Based Access Control on the Web”, ACM Transactions on Information and System Security, Vol. 4, No. 1, February 2001, p37–p71.