SOA是一种关注服务的易于集成、互操作，可扩展和安全访问特性的分布式体系结构，而网格是一种协同工作、资源共享的分布式系统，Web服务成为连接二者的纽带。
访问控制技术和模型
2.1 传统访问控制技术
传统的访问控制技术主要分为三种。
（1）自主访问控制（DAC）
其实现思想是：系统中的主体（用户或进程）可以自主地将其拥有的对客体的访问权限（部分或全部）授予给其他主体。其实现方法是建立系统访问控制矩阵，矩阵的行对应系统的主体，列对应系统的客体，元素表示主体对客体的访问权限。为了提高系统的运算性能，在实际的应用中常常是建立基于主题或客体的访问控制方法。
缺点是效率低下，难以满足大型应用，特别是网格应用的需要。
（2）强制访问控制（MAC）
其实现原理是：系统中的主/客体被分配一个固定的安全属性，安全属性决定主体是否可以访问某个客体。安全属性是强制的，由安全管理员分配，用户或进程不能改变自身或其他的安全属性。MAC的本质是基于网格的非循环单项信息流政策系统中每个主体都被授予一个安全证书，而每个客体都被指定为一定敏感级别。
访问控制两个关键规则是：不向下写和不向上读，即信息流从低安全级向高安全级流动。因为MAC增加了不能回避的访问限制，所以可能影响系统的灵活性。
另一方面，MAC虽然增加了信息的机密行，但是不能实施完整行控制，而一些完整性的控制策略却可以实现机密行的功能。
（3）基于角色的访问控制（RBAC）
随着网络的发展，特别是Internet的广泛使用使信息的完整性要求超过了机密性，而传统的DAC/MAC策略难以满足这方面的需求。RBAC的基本思想是将访问权限分配给角色，系统的用户担任指定的角色，角色实际上是与特定工作岗位相关的一个权限集，当用户改变时只需进行角色的撤销和重新分配即可。
2.2 分布式访问控制模型
分布式环境中，对权限的控制不仅能够保护资源，而且还能够使资源有效地利用。在授权模型中，有三种普遍使用的模型。
（1）“推”模型
资源请求者需要首先向授权中心请求权限访问，从授权中心获取权限证书，然后持权限证书访问资源，资源根据用户的权限证书返回相应的资源。
（2）“拉”模型
资源请求者直接向资源提出访问请求，资源根据用户的访问请求向授权中心查询用户的请求是否合法，如果合法则允许用户访问资源，否则拒绝用户访问。
（3）“代理”模型
资源请求者直接把请求转发给授权代理，授权代理根据用户的请求访问资源。
网友评论