2. 访问控制的应用
1)访问控制授权方案
目前我们使用的访问控制授权方案，主要有以下4种。
(1)DAC(Discretionary Access Control) 自主访问控制方式：该模型针对每个用户 指明能够访问的资源，对于不在指定的资源列表中的对象不允许访问。
(2)ACL(Access Control List)访问控制列表方式：该模型是目前应用最多的方式。 目标资源拥有访问权限列表，指明允许哪些用户访问。如果某个用户不在访问控制列表 中，则不允许该用户访问这个资源。
(3)MAC(Mandatory Access Control) 自主访问控制方式，该模型在军事和安全部 门中应用较多，目标具有一个包含等级的安全标签(如：不保密、限制、秘密、机密、 绝密);访问者拥有包含等级列表的许可，其中定义了可以访问哪个级别的目标：例如 允许访问秘密级信息，这时，秘密级、限制级和不保密级的信息是允许访问的，但机密 和绝密级信息不允许访问。
(4)RBAC(Role-Based Access Control)基于角色的访问控制方式：该模型首先定 义一些组织内的角色，如局长、科长、职员；再根据管理规定给这些角色分配相应的权 限，最后对组织内的每个人根据具体业务和职位分配一个或多个角色。
2)访问控制决策的基本因素
访问控制决策的基本因素有。
(1)访问者。应用中支持哪些用户---确定了用户的范围。
(2)目标。策略要保护的是哪些目标---确定了受保护的资源的范围。
(3)动作。应用中限定访问者可以对目标设施的操---确定了权限的范围。
(4)权限信任源。应用信任什么机构发布的权限信息。
(5)访问规则。访问者具有什么权限才能够访问目标。 3);基于角色的访问控制
在 PMI 中主要使用基于角色的访问控制。其中，角色提供了间接分配权限的方法。 在实际应用中，个人被签发成某个角色，并分配证书使之具有一个或多个对应的角色。 而每个角色具有的权限通过角色定义来说明，而不是将权限放在属性证书中直接分配给 个人。这种间接的权限分配方式，使得角色权限更新时，不必撤销每一个属性证书，极 大地减小了管理开销。 PMI 应用结构逻辑关系，如图22-19所示。
访问者。访问者是一个实体(该实体可能是人，可能是其他计算机实体),它试图 访问系统内的其他实体(目标)。
策略。策略是一个信息库，包含着策略决策所需要的所有信息，如：应用系统中的 所有用户和资源信息，用户和资源信息的组织管理方式，用户和资源信息之间的权限关系，保证安全的管理授权定义，保证系统安全的其他规定等。
策略决策。策略决策 (Policy Decision Point,PDP) 也称作授权策略服务器，它接 收和评价授权请求，根据具体策略做出不同的决策。
策略实施。策略实施 (Policy Enforcement Points,PEPs) 也称作PMI 激活的应用。 对每一个具体的应用，策略实施可能是不同的。如在某个具体的应用中，策略实施点可 能是应用程序内部中进行访问控制的一段代码，也可能是安全的应用服务器(如在 Web 服务器上增加一个访问控制插件),或者是进行访问控制的安全应用网关。
PMI 应用整体结构，如图22-20所示。
