伴隨著數據庫、網絡和分布式計算的發展，組織任務進一步自動化，與服務相關的信息進一步計算機化，這促使人們將安全問題方面的注意力從獨立的計算機系統中靜態的主體和客體保護，轉移到隨著任務的執行而進行動態授權的保護上。

1、TBAC的出現

傳統的訪問控制技術模型主要有三種，即自主訪問控制模型（DAC），強制訪問控制模型（MAC）和基于角色的訪問控制模型（RBAC）。而傳統的訪問控制模型都是從系統的角度出發去保護資源（控制環境是靜態的），在進行權限的控制時沒有考慮執行的上下文環境。此外，傳統的訪問控制模型不能記錄主體對客體權限的使用，權限沒有時間限制，只要主體擁有對客體的訪問權限，主體就可以無數次地執行該權限。

考慮到上述原因，引入工作流的概念加以闡述。工作流是為完成某一目標而由多個相關的任務（活動）構成的業務流程。工作流所關注的問題是處理過程的自動化，對人和其他資源進行協調管理，從而完成某項工作。當數據在工作流中流動時，執行操作的用戶在改變，用戶的權限也在改變，這與數據處理的上下文環境相關。傳統的DAC（自主訪問控制模型）和MAC（強制訪問控制模型）訪問控制技術，則無法予以實現，而RBAC（基于角色的控制模型）如今在數字圖書館中應用很多，效果也很不錯，但該模型需要頻繁地更換角色，且不適合工作流程的運轉。這就迫使我們必須考慮新的模型機制，也就是在基于角色的基礎上發展基于任務的訪問控制模型。

2、TBAC的基本概念

不同于傳統的訪問控制模型，TBAC（基于任務的訪問控制模型，Task—Based Access Control）傾向于基于應用層的控制，而且是基于主動式安全模型，以面向任務的觀點，從任務（活動）的角度來建立安全模型和實現安全機制，在任務處理的過程中提供動態實時的安全管理。

在TBAC中，對象的訪問權限控制并不是靜止不變的，而是隨著執行任務的上下文環境發生變化。這種控制模型，更多的從活動或任務的角度看待安全和實施的控制問題，它抽象出了一種控制機制，用于任務運行期間的管理。其同時也抽象出任務之間的一些訪問/授權關聯關系。TBAC首要考慮的是在工作流的環境中對信息的保護問題：在工作流環境中，數據的處理與上一次的處理相關聯，相應的訪問控制也如此，因而TBAC是一種上下文相關的訪問控制模型。其次，TBAC不僅能對不同工作流實行不同的訪問控制策略，而且還能對同一工作流的不同任務實例實行不同的訪問控制策略。從這個意義上說，TBAC是基于任務的，這也表明，TBAC是一種基于實例（instance-based）的訪問控制模型。

3、TBAC的構成

TBAC模型由工作流、授權結構體、受托人集、許可集四部分組成。

任務（task）是工作流程中的一個邏輯單元，是一個可區分的動作，與多個用戶相關，也可能包括幾個子任務。授權結構體是任務在計算機中進行控制的一個實例。任務中的子任務，對應于授權結構體中的授權步。

授權結構體（authorization unit）：是由一個或多個授權步組成的結構體，它們在邏輯上是聯系在一起的。授權結構體分為一般授權結構體和原子授權結構體。一般授權結構體內的授權步依次執行，原子授權結構體內部的每個授權步緊密聯系，其中任何—個授權步失敗都會導致整個結構體的失敗。授權步（authorization step）表示一個原始授權處理步，是指在一個工作流程中對處理對象的一次處理過程。授權步是訪問控制所能控制的最小單元，由受托人集（trustee-set）和多個許可集（peilnissions set）組成。

受托人集是可被授予執行授權步的用戶的集合，許可集則是受托集的成員被授予授權步時擁有的訪問許可。當授權步初始化以后，一個來自受托人集中的成員將被授予授權步，我們稱這個受托人為授權步的執行委托者，該受托人執行授權步過程中所需許可的集合稱為執行者許可集。授權步之間或授權結構體之間的相互關系稱為依賴（dependen—cy），依賴反映了基于任務的訪問控制的原則。授權步的狀態變化一般自我管理，依據執行的條件而自動變遷狀態，但有時也可以由管理員進行調配。

一個工作流的業務流程由多個任務構成。而一個任務對應于一個授權結構體，每個授權結構體由特定的授權步組成。授權結構體之間以及授權步之間通過依賴關系聯系在一起。在TBAC中，一個授權步的處理可以決定后續授權步對處理對象的操作許可，上述許可集合稱為激活許可集。執行者許可集和激活許可集一起稱為授權步的保護態。

4、高校圖書館TBAC的設計

隨著計算機技術、通信技術和網絡技術的迅速發展，圖書館信息管理系統逐步發展起來，現在大多數高校已經采用了先進的計算機及網絡技術來實現“數字圖書館”的功能，這就使的系統對訪問控制有了較高的要求，這里采用基于任務的訪問控制模型來簡單設計一下高校圖書館的訪問控制體系。

先將TBAC模型用五元組（S，O，P，L，AS）來表示，其中S表示主體，O表示客體，P表示許可，L表示生命期（1ifecy—cle），AS表示授權步。由于任務都是有時效性的，所以在基于任務的訪問控制中，用戶對于授予他的權限的使用也是有時效性的。因此，若P是授權步AS所激活的權限，那么L則是授權步AS的存活期限。在授權步AS被激活之前，它的保護態是無效的，其中包含的許可不可使用。當授權步AS被觸發時，它的委托執行者開始擁有執行者許可集中的權限，同時它的生命期開始倒記時。在生命期期間，五元組（S，O，P，L，AS）有效。生命期終止時，五元組（S，0，P，L，AS）無效，委托執行者所擁有的權限被回收。

假設圖書館有教授閱覽者、副教授閱覽者、講師閱覽者、學生閱覽者四個主體，則客體集合為0={O1、O2、O3、O4}，Ol～O4分別表示教授閱覽室、副教授閱覽室、講師閱覽室、學生閱覽室四個客體。

四類主體的操作可由歸為兩種：閱讀、借閱。由此可以得到許可集P為（見表1）。

現假設某講師去圖書館執行以下操作：借閱并閱讀講師閱覽室資料，借閱學生閱覽室資料，借閱副教授閱覽室資料，閱讀教授閱覽室資料。其所需權限可分別表示為P12、P21、P22、P32、P41。

如果僅采用基于角色的訪問控制技術，該講師需要變化三個角色來實現以上操作。而采用基于任務的訪問控制模型后，該講師可首先以講師的角色登陸系統，AS激活，從而擁有閱讀（P21）、借閱（P22）講師閱覽室資料的權限，權限時限L為退出系統為止。在不更換角色的條件下，可以直接進入低級別的學生閱覽室，激活該AS，擁有借閱（P12）和閱讀權限，權限時限L為退出學生閱覽室為止。不更換角色的條件下，在擁有副教授專屬密鑰（為每一名副教授分配的閱覽室通行密碼）的前提下進入較高級別的副教授閱覽室，激活AS，擁有借閱（P32）的權限，權限時限L為退出副教授閱覽室為止。還可在擁有專屬教授密鑰（為每一名教授分配的閱覽室通行密碼）的基礎上進入高級別的教授閱覽室，進入后，激活AS，擁有教授的權利，閱讀（P41）該閱覽室的資料，權限時限L為退出教授閱覽室為止。

TBAC的訪問政策及其內部組件關系一般由系統管理員直接配置。通過授權步的動態權限管理，TBAC支持最小特權原則和最小泄漏原則，在執行任務時只給用戶分配所需的權限，未執行任務或任務終止后用戶不再擁有所分配的權限；而且在執行任務過程中，當某一權限不再使用時，授權步自動將該權限回收；另外，對于重要的任務需要不同的用戶執行，這可通過授權步之間的分權依賴實現。

5、結束語

通過以上訪問控制體系可以看出，TBAC從工作流中的任務角度建模，可以依據任務和任務狀態的不同，對權限進行動態管理。因此，TBAC非常適合分布式計算和多點訪問控制的圖書館管理系統，TBAC可以把實際應用中的工作流和訪問控制所需的各種關系整體地結合在一起，可以清晰地表達復雜工作流的控制機制。從現有國內外經驗來看，如果能將TBAC與RBAC兩種訪問機制相互結合的應用于高校圖書館，訪問控制將可以得到更好的效果。

責任編輯：gt