第8章 访问控制.ppt

《第8章 访问控制.ppt》由会员分享，可在线阅读，更多相关《第8章 访问控制.ppt（46页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、第第第第8 8章章章章 访问控制访问控制访问控制访问控制李文媛李文媛教学目标教学目标本章介绍访问控制的原理、作用、分类和研本章介绍访问控制的原理、作用、分类和研本章介绍访问控制的原理、作用、分类和研本章介绍访问控制的原理、作用、分类和研究前沿，重点介绍自主访问控制、强制访问控制究前沿，重点介绍自主访问控制、强制访问控制究前沿，重点介绍自主访问控制、强制访问控制究前沿，重点介绍自主访问控制、强制访问控制和基于角色的访问控制。和基于角色的访问控制。和基于角色的访问控制。和基于角色的访问控制。通过本章的学习，应该掌握以下内容：通过本章的学习，应该掌握以下内容：通过本章的学习，应该掌握以下内容：通过本

2、章的学习，应该掌握以下内容：(1)(1)(1)(1)自主访问控制；自主访问控制；自主访问控制；自主访问控制；(2)(2)(2)(2)强制访问控制；强制访问控制；强制访问控制；强制访问控制；(3)(3)(3)(3)基于角色的访问控制。基于角色的访问控制。基于角色的访问控制。基于角色的访问控制。教学内容教学内容 8.1 8.1 8.1 8.1 访问控制原理访问控制原理访问控制原理访问控制原理 8.2 8.2 8.2 8.2 自主访问控制自主访问控制自主访问控制自主访问控制 8.3 8.3 8.3 8.3 强制访问控制强制访问控制强制访问控制强制访问控制 8.4 8.4 8.4 8.4 基于角色的访

3、问控制基于角色的访问控制基于角色的访问控制基于角色的访问控制 8.5 8.5 8.5 8.5 常用操作系统中的访问控制常用操作系统中的访问控制常用操作系统中的访问控制常用操作系统中的访问控制8.1 访问控制原理访问控制原理 一、访问控制定义一、访问控制定义 访问访问是使信息在是使信息在主体和对象主体和对象间流动的一种交间流动的一种交互方式。互方式。访问控制访问控制是在保障授权用户能获取所需资是在保障授权用户能获取所需资源的同时拒绝非授权用户的安全机制。源的同时拒绝非授权用户的安全机制。访问控制的目的访问控制的目的是为了限制主体对客体的访问是为了限制主体对客体的访问权限权限-能够访问系统的何种资

4、源以及如何使用能够访问系统的何种资源以及如何使用这些资源。这些资源。4 主体（主体（Subject）是指主动的实体，该实体造成是指主动的实体，该实体造成了信息的流动和系统状态的改变。了信息的流动和系统状态的改变。主体通常包括主体通常包括用户、进程和服务用户、进程和服务。客体（客体（Object）是指包含或接受信息的被动实是指包含或接受信息的被动实体。对客体的访问意味着对其中所包含信息的访问。体。对客体的访问意味着对其中所包含信息的访问。客体通常包括客体通常包括记录、块、页、段、文件、目录、记录、块、页、段、文件、目录、目录树和程序以及位、字节、字、字段处理器、显示目录树和程序以及位、字节、字、

5、字段处理器、显示器、键盘、时钟、打印机和网络节点、系统器、键盘、时钟、打印机和网络节点、系统。5二、访问控制的任务二、访问控制的任务识别和确认访问系统的用户；识别和确认访问系统的用户；决定该用户可以对某一资源进行何种类型的访决定该用户可以对某一资源进行何种类型的访问。问。访问控制可以用三元组来表示：访问控制可以用三元组来表示：S，主体集合，主体集合(Subject set)O，对象集合，对象集合(Object set)A，访问权，访问权(属性属性)集合集合(Attribution set)，包括，包括读、写、执行等。读、写、执行等。6三、访问控制模型三、访问控制模型访问控制模型是规定如何作出访

6、问决定的模型。访问控制模型是规定如何作出访问决定的模型。实现访问控制的一般模型是访问矩阵实现访问控制的一般模型是访问矩阵（Access Matrix）。访问控制模型包括一组由操作规则定义的基本操访问控制模型包括一组由操作规则定义的基本操作状态。典型的状态包含：作状态。典型的状态包含：一组主体（一组主体（S）；）；一组对象（一组对象（O）；）；一组访问权（一组访问权（AS，O）（包括读、写、执行）（包括读、写、执行和拥有）。和拥有）。7对于任意一个对于任意一个 都存在相应的一都存在相应的一个个 它代表了它代表了si 可以对可以对oj执行的操作。执行的操作。8这些授权对于主体可表示为这些授权对于主

7、体可表示为访问权限访问权限，对于客体，对于客体可表示为可表示为访问模式访问模式。显然，。显然，访问权限应是访问模式的访问权限应是访问模式的子集子集。表表8-1 访问矩阵访问矩阵权限权限客体客体主主体体读写读写拥有拥有执行执行修改修改9自主自主访问控制访问控制强制强制访问控制访问控制基于角色基于角色访问控制访问控制访问控制访问控制图图8-1 三种访问控制模型三种访问控制模型访问控制模型涵盖对象、主体和操作，通过对访访问控制模型涵盖对象、主体和操作，通过对访问者的控制达到保护重要资源的目的。问者的控制达到保护重要资源的目的。访问控制模型能提供机密性、完整性及记帐性。访问控制模型能提供机密性、完整性

8、及记帐性。访问控制模型一般包括三种：访问控制模型一般包括三种：自主访问控制自主访问控制、强强制访问控制制访问控制和和基于角色的访问控制基于角色的访问控制。10四、访问控制的类型四、访问控制的类型访问控制主要包括六种类型：访问控制主要包括六种类型：防御型控制防御型控制用于阻止不良事件的发生。用于阻止不良事件的发生。探测型控制探测型控制用于探测已经发生的不良事件。用于探测已经发生的不良事件。矫正型控制矫正型控制用于矫正已经发生的不良事件。用于矫正已经发生的不良事件。管理型控制管理型控制用于管理系统的开发、维护和使用，用于管理系统的开发、维护和使用，针对系统的策略、规程、行为规范、个人的角色和义针对

9、系统的策略、规程、行为规范、个人的角色和义务、个人职能和人事安全决策。务、个人职能和人事安全决策。11 技术型控制技术型控制是用于为信息技术系统和应用提供是用于为信息技术系统和应用提供自动保护的硬件和软件控制手段。自动保护的硬件和软件控制手段。操作型控制操作型控制是用于保护操作系统和应用的日常是用于保护操作系统和应用的日常规程和机制。规程和机制。五、五、访问控制的手段访问控制的手段访问控制的手段可分为访问控制的手段可分为三三个层次：个层次：物理类物理类、管理管理类类、技术类技术类控制手段，每个层次又可分为控制手段，每个层次又可分为防御型和探防御型和探测型测型。12表表8-2 访问控制的手段分类

10、说明访问控制的手段分类说明物理类控制手段物理类控制手段管理类控制手段管理类控制手段技术类控制手段技术类控制手段防防御御型型控控制制文书备份文书备份安全知识培训安全知识培训 访问控制软件访问控制软件围墙和栅栏围墙和栅栏职务分离职务分离防病毒软件防病毒软件保安保安职员雇用手续职员雇用手续库代码控制系统库代码控制系统证件识别系统证件识别系统职员离职手续职员离职手续口令口令加锁的门加锁的门监督管理监督管理智能卡智能卡双供电系统双供电系统灾难恢复和应急计划灾难恢复和应急计划加密加密生物识别型门禁系统生物识别型门禁系统计算机使用的登记计算机使用的登记拨号访问控制和回叫系统拨号访问控制和回叫系统工作场所的选

11、择工作场所的选择灭火系统灭火系统探探测测型型手手段段移动监测探头移动监测探头安全评估和审计安全评估和审计日志审计日志审计烟感和温感探头烟感和温感探头性能评估性能评估入侵探测系统入侵探测系统闭路监控闭路监控职务轮换职务轮换传感和报警系统传感和报警系统背景调查背景调查13教学内容教学内容 8.1 8.1 8.1 8.1 访问控制原理访问控制原理访问控制原理访问控制原理 8.2 8.2 8.2 8.2 自主访问控制自主访问控制自主访问控制自主访问控制 8.3 8.3 8.3 8.3 强制访问控制强制访问控制强制访问控制强制访问控制 8.4 8.4 8.4 8.4 基于角色的访问控制基于角色的访问控制

12、基于角色的访问控制基于角色的访问控制 8.5 8.5 8.5 8.5 常用操作系统中的访问控制常用操作系统中的访问控制常用操作系统中的访问控制常用操作系统中的访问控制自主访问控制（自主访问控制（Discretionary Access Control，DAC）是）是基于对主体或主体所属的主体组的识别来基于对主体或主体所属的主体组的识别来限制对客体的访问限制对客体的访问。自主自主是指主体能够自主的是指主体能够自主的(可能是间接的可能是间接的)将访将访问权限或访问权的某个子集授予其他主体。问权限或访问权的某个子集授予其他主体。8.2 自主访问控制自主访问控制15自主访问控制中一个主体的访问权限具有

13、传递性。自主访问控制中一个主体的访问权限具有传递性。如某交互系统的工作流程：如某交互系统的工作流程：用户登录；用户登录；启动某个进程为该用户做某项工作启动某个进程为该用户做某项工作进程就继承了该用户的属性，包括访问权限。进程就继承了该用户的属性，包括访问权限。访问访问控制灵活控制灵活、可实现、可实现细粒度细粒度访问控制。常用访问控制。常用的操作系统中的文件系统支持的操作系统中的文件系统支持DAC策略。策略。能够控制主体对客体的直接访问，但能够控制主体对客体的直接访问，但不能控制不能控制主体对客体的间接访问主体对客体的间接访问（利用访问的传递性）。（利用访问的传递性）。难于集中难于集中进行访问控

14、制和访问权力管理，进行访问控制和访问权力管理，容易容易导致权限泄露导致权限泄露。168.2.1 访问控制表方案访问控制表方案访问控制表（访问控制表（Access Control List，ACL）是）是以以客体为中心，客体为中心，用用访问矩阵访问矩阵来表示主体对客体的访问权来表示主体对客体的访问权限。即：每一个客体（目标对象）都基于限。即：每一个客体（目标对象）都基于ACL来表示来表示每个主体（用户）对该客体的访问权限。每个主体（用户）对该客体的访问权限。User AOwnRWUser BR User CRWObject1图图8-2 访问控制列表访问控制列表访问控制列表最适合于有相对少的需要访

15、问控制列表最适合于有相对少的需要被区分的被区分的用户，并且这些用户中的绝大多数是稳定的情况。如用户，并且这些用户中的绝大多数是稳定的情况。如果访问控制列表太大或经常改动，维护访问控制列表果访问控制列表太大或经常改动，维护访问控制列表会成为最主要的问题。会成为最主要的问题。178.2.2 访问能力表方案访问能力表方案访问能力访问能力是指请求访问的发起者所拥有的一个有效是指请求访问的发起者所拥有的一个有效标签，它表明授权标签持有者可以以特定的方式访问特标签，它表明授权标签持有者可以以特定的方式访问特定的客体。定的客体。访问能力表（访问能力表（Capabilities List，CL）也用一种矩）也

16、用一种矩阵表示法，但阵表示法，但以主体为中心以主体为中心。每个主体对应有一个访问。每个主体对应有一个访问能力表，指出其对各个客体的访问权限。能力表，指出其对各个客体的访问权限。Obj1OwnRWObj2RObj3RWUser A图图8-3 访问能力表访问能力表这种方法的优缺点与这种方法的优缺点与ACL相反。相反。在分布式系统中，可允许在分布式系统中，可允许主体主体只进行只进行一次认证一次认证便便获得它的获得它的CL，不必在会话期间不断地对各个分布的，不必在会话期间不断地对各个分布的系统进行授权申请和处理。系统进行授权申请和处理。18授权关系方案授权关系方案授权关系（授权关系（Authoriza

17、tion relations）这种方案是）这种方案是ACL与与CL的结合，使用的结合，使用关系关系来表示访问矩阵。来表示访问矩阵。每个关系表示一个主体对一个客体的访问权限，每个关系表示一个主体对一个客体的访问权限，并使用并使用关系数据库关系数据库来存放这个访问矩阵。来存放这个访问矩阵。表表8-3 使用关系来表示访问矩阵使用关系来表示访问矩阵用户用户A权限权限目标目标User ARObj1User AWObj1User AWObj2User ARObj2这种方法对于主体和客体的授权处理都比较方便，这种方法对于主体和客体的授权处理都比较方便，但本身的实现开销较大。但本身的实现开销较大。19教学内容

18、教学内容 8.1 8.1 8.1 8.1 访问控制原理访问控制原理访问控制原理访问控制原理 8.2 8.2 8.2 8.2 自主访问控制自主访问控制自主访问控制自主访问控制 8.3 8.3 8.3 8.3 强制访问控制强制访问控制强制访问控制强制访问控制 8.4 8.4 8.4 8.4 基于角色的访问控制基于角色的访问控制基于角色的访问控制基于角色的访问控制 8.5 8.5 8.5 8.5 常用操作系统中的访问控制常用操作系统中的访问控制常用操作系统中的访问控制常用操作系统中的访问控制强制访问控制（强制访问控制（Mandatory Access Control，MAC）是一种不允许主体干涉的访

19、问控制类型，是）是一种不允许主体干涉的访问控制类型，是基于基于安全标识安全标识和和信息分级信息分级的访问控制。的访问控制。在在MAC模型中，由一个授权机构预先定义主体模型中，由一个授权机构预先定义主体的可信任级别和客体的敏感程度，所有的可信任级别和客体的敏感程度，所有主体（用户、主体（用户、进程）进程）和和客体（文件、数据）客体（文件、数据）都被分配了安全标签，都被分配了安全标签，安全标签标识一个安全等级，如绝密级、机密级、秘安全标签标识一个安全等级，如绝密级、机密级、秘密级和无密级。密级和无密级。8.3 强制访问控制强制访问控制21访问控制执行时根据主体和客体的安全级别标记访问控制执行时根据

20、主体和客体的安全级别标记来决定访问模式，实现单向信息流通。来决定访问模式，实现单向信息流通。保障信息完整性保障信息完整性上读上读/下写下写策略策略n低级别的主体可以读高级别客体的信息；低级别的主体可以读高级别客体的信息；n低级别的主体不能写高级别的客体。低级别的主体不能写高级别的客体。保障信息机密性保障信息机密性下读下读/上写上写策略策略n低级别的主体不可以读高级别客体的信息；低级别的主体不可以读高级别客体的信息；n低级别的主体可以写高级别的客体。低级别的主体可以写高级别的客体。22 能够能够避免避免DAC策略中出现的访问传递问题。策略中出现的访问传递问题。具有具有强制性和层次性强制性和层次性

21、的特点。比如，高级别的的特点。比如，高级别的权限可访问低级别的数据。权限可访问低级别的数据。缺点在于访问级别的缺点在于访问级别的划分不够细致划分不够细致，在同级别，在同级别之间缺乏控制机制。之间缺乏控制机制。23在上述两种传统的访问控制中，在上述两种传统的访问控制中，主体始终是和特主体始终是和特定的实体捆绑对应的定的实体捆绑对应的。用户以固定的用户名注册，系。用户以固定的用户名注册，系统分配一定的权限，该用户将始终以该用户名访问系统分配一定的权限，该用户将始终以该用户名访问系统，直至销户。其间，用户的权限可以变更，但必须统，直至销户。其间，用户的权限可以变更，但必须在系统管理员的授权下才能进行

22、。在实际应用中，不在系统管理员的授权下才能进行。在实际应用中，不能满足需要，主要问题在于：能满足需要，主要问题在于：同一用户在不同的场合需要以不同的权限访问系统，这需要管理员授权，十分不便。当用户量大增时，按每用户一个注册账号的方式将使得系统管理变得复杂。不容易实现层次化分权管理，尤其是当同一用户在不同场合处在不同的权限层次时，管理很难实现。24教学内容教学内容 8.1 8.1 8.1 8.1 访问控制原理访问控制原理访问控制原理访问控制原理 8.2 8.2 8.2 8.2 自主访问控制自主访问控制自主访问控制自主访问控制 8.3 8.3 8.3 8.3 强制访问控制强制访问控制强制访问控制强

23、制访问控制 8.4 8.4 8.4 8.4 基于角色的访问控制基于角色的访问控制基于角色的访问控制基于角色的访问控制 8.5 8.5 8.5 8.5 常用操作系统中的访问控制常用操作系统中的访问控制常用操作系统中的访问控制常用操作系统中的访问控制基于角色的访问控制（基于角色的访问控制（Role Based Access Control，RBAC）是对自主访问控制和强制访问控）是对自主访问控制和强制访问控制机制的改进，它基于用户在系统中所起的作用制机制的改进，它基于用户在系统中所起的作用（角色）来规定其访问权限。（角色）来规定其访问权限。在基于角色的访问控制模型中，在基于角色的访问控制模型中，用

24、户不是自始用户不是自始至终以同样的注册身份和权限访问系统，而是以一至终以同样的注册身份和权限访问系统，而是以一定的角色访问。定的角色访问。用户在访问系统前，经过角色认证而充当相应用户在访问系统前，经过角色认证而充当相应的角色，的角色，用户获得特定角色后，系统依然可以按照用户获得特定角色后，系统依然可以按照自主访问或强制访问机制控制角色的访问能力。自主访问或强制访问机制控制角色的访问能力。8.4 基于角色的访问控制基于角色的访问控制268.4.1 角色的概念角色的概念角色（角色（rule）可被定义为与一个特定活动相关联的可被定义为与一个特定活动相关联的一组动作和责任。角色包括特征、责任和资格等。

25、一组动作和责任。角色包括特征、责任和资格等。主体担任角色，完成角色规定的责任，具有角色主体担任角色，完成角色规定的责任，具有角色拥有的权限。拥有的权限。一个主体可以同时担任多个角色，它的一个主体可以同时担任多个角色，它的权限就是多个角色权限的总和权限就是多个角色权限的总和。基于角色的访问控制。基于角色的访问控制就是通过各种角色的不同搭配授权来尽可能实现主体就是通过各种角色的不同搭配授权来尽可能实现主体的最小权限。的最小权限。例如，担任系统管理员的用户便有维护系统文件例如，担任系统管理员的用户便有维护系统文件的责任和权限，而并不管这个用户是谁。的责任和权限，而并不管这个用户是谁。278.4.2

26、基于角色的访问控制基于角色的访问控制基于角色的访问控制就是通过定义角色的权限，基于角色的访问控制就是通过定义角色的权限，为系统中的主体分配角色来实现访问控制的。为系统中的主体分配角色来实现访问控制的。S2RO1角色层角色层(自定义自定义)R1(最高层最高层)R2Rn(最低层最低层)图图8-4 RBAC的基本思想的基本思想S3S1O2O3S428图图8-5 RBAC模型模型29RBAC模型的特点：模型的特点：提供了三种授权管理的控制途径提供了三种授权管理的控制途径r改变客体的访问权限改变客体的访问权限r改变角色的访问权限改变角色的访问权限r改变主体所担任的角色改变主体所担任的角色 具有层次化的管

27、理结构具有层次化的管理结构 支持最小特权。支持最小特权。由于对主体的授权是通过角色由于对主体的授权是通过角色定义，因此调整角色的权限粒度可以做到更有针对性，定义，因此调整角色的权限粒度可以做到更有针对性，不容易出现多余权限。不容易出现多余权限。支持权责分离支持权责分离30教学内容教学内容 8.1 8.1 8.1 8.1 访问控制原理访问控制原理访问控制原理访问控制原理 8.2 8.2 8.2 8.2 自主访问控制自主访问控制自主访问控制自主访问控制 8.3 8.3 8.3 8.3 强制访问控制强制访问控制强制访问控制强制访问控制 8.4 8.4 8.4 8.4 基于角色的访问控制基于角色的访问

28、控制基于角色的访问控制基于角色的访问控制 8.5 8.5 8.5 8.5 常用操作系统中的访问控制常用操作系统中的访问控制常用操作系统中的访问控制常用操作系统中的访问控制8.5 常用操作系统中的访问控制常用操作系统中的访问控制操作系统安全的重要性操作系统安全的重要性操作系统作为计算机系统的基础软件是用来管理计操作系统作为计算机系统的基础软件是用来管理计算机资源、控制整个系统而运行的。它直接和硬件打算机资源、控制整个系统而运行的。它直接和硬件打交道，并为用户提供使用和编程接口。交道，并为用户提供使用和编程接口。各种计算机应用软件均建立在操作系统提供的系统各种计算机应用软件均建立在操作系统提供的系

29、统平台之上，它们都是通过操作系统完成对系统中信息平台之上，它们都是通过操作系统完成对系统中信息的存取和处理。所以上层的应用软件要想获得运行的的存取和处理。所以上层的应用软件要想获得运行的高可靠性和信息的完整性与保密性，就必须依赖操作高可靠性和信息的完整性与保密性，就必须依赖操作系统提供的系统软件基础。系统提供的系统软件基础。32各种数据库通常也是建立在操作系统之上的，各种数据库通常也是建立在操作系统之上的，各种数据库通常也是建立在操作系统之上的，各种数据库通常也是建立在操作系统之上的，它们依靠操作系统安全机制的支持，实现对数据的它们依靠操作系统安全机制的支持，实现对数据的它们依靠操作系统安全机

30、制的支持，实现对数据的它们依靠操作系统安全机制的支持，实现对数据的安全存取。因此，数据库的安全可靠性也是依赖于安全存取。因此，数据库的安全可靠性也是依赖于安全存取。因此，数据库的安全可靠性也是依赖于安全存取。因此，数据库的安全可靠性也是依赖于操作系统平台的。操作系统平台的。操作系统平台的。操作系统平台的。网络环境中，网络系统的安全性依赖于网络中网络环境中，网络系统的安全性依赖于网络中网络环境中，网络系统的安全性依赖于网络中网络环境中，网络系统的安全性依赖于网络中各主机系统的安全性，而主机系统的安全性正是由各主机系统的安全性，而主机系统的安全性正是由各主机系统的安全性，而主机系统的安全性正是由各

31、主机系统的安全性，而主机系统的安全性正是由操作系统的安全性所决定的，没有安全的操作系统操作系统的安全性所决定的，没有安全的操作系统操作系统的安全性所决定的，没有安全的操作系统操作系统的安全性所决定的，没有安全的操作系统的支持，网络安全也毫无根基可言。的支持，网络安全也毫无根基可言。的支持，网络安全也毫无根基可言。的支持，网络安全也毫无根基可言。因此，可以说操作系统的安全是整个计算机系因此，可以说操作系统的安全是整个计算机系因此，可以说操作系统的安全是整个计算机系因此，可以说操作系统的安全是整个计算机系统安全的基础，没有操作系统安全，就不可能真正统安全的基础，没有操作系统安全，就不可能真正统安全

32、的基础，没有操作系统安全，就不可能真正统安全的基础，没有操作系统安全，就不可能真正解决数据库安全、网络安全和其他应用软件的安全解决数据库安全、网络安全和其他应用软件的安全解决数据库安全、网络安全和其他应用软件的安全解决数据库安全、网络安全和其他应用软件的安全问题。问题。问题。问题。3333操作系统的安全服务操作系统的安全服务操作系统的安全机制主要体现在操作系统的安全机制主要体现在操作系统的安全机制主要体现在操作系统的安全机制主要体现在身份认证身份认证身份认证身份认证和和和和访问控制访问控制访问控制访问控制两个方面：两个方面：两个方面：两个方面：l身份认证身份认证身份认证身份认证是要保护合法的用

33、户使用系统，是要保护合法的用户使用系统，是要保护合法的用户使用系统，是要保护合法的用户使用系统，防止非法入侵。防止非法入侵。防止非法入侵。防止非法入侵。l访问控制访问控制访问控制访问控制是要保证授权和受控的访问、使是要保证授权和受控的访问、使是要保证授权和受控的访问、使是要保证授权和受控的访问、使用系统资源。用系统资源。用系统资源。用系统资源。身份认证身份认证访问控制访问控制系系统统3434认证机制与访问控制机制不能很好地相互认证机制与访问控制机制不能很好地相互配合和衔接配合和衔接，使得通过认证的合法用户进行的，使得通过认证的合法用户进行的非法操作的机会大大增加。非法操作的机会大大增加。例如，

34、能够物理上访问例如，能够物理上访问Windows NTWindows NT机器的机器的任何人，可能用工具程序来获得任何人，可能用工具程序来获得AdministratorAdministrator级别的访问权。级别的访问权。35358.5.1 8.5.1 Windows 2003 Server Windows 2003 Server 的的的的访问控制访问控制访问控制访问控制Windows 2003Windows 2003具有具有具有具有模块化模块化模块化模块化的设计结构。该的设计结构。该的设计结构。该的设计结构。该操作系统由一组软件模块构成，称为执行程序服操作系统由一组软件模块构成，称为执行程序

35、服操作系统由一组软件模块构成，称为执行程序服操作系统由一组软件模块构成，称为执行程序服务，运行在内核模式下。在内核模式之上的是用务，运行在内核模式下。在内核模式之上的是用务，运行在内核模式下。在内核模式之上的是用务，运行在内核模式下。在内核模式之上的是用户模式，用户模式由非特权的服务组成，称为保户模式，用户模式由非特权的服务组成，称为保户模式，用户模式由非特权的服务组成，称为保户模式，用户模式由非特权的服务组成，称为保护子系统，它们的启动由用户来决定。护子系统，它们的启动由用户来决定。护子系统，它们的启动由用户来决定。护子系统，它们的启动由用户来决定。3636Windows 2003Windo

36、ws 2003Windows 2003Windows 2003的安全性依赖于的安全性依赖于的安全性依赖于的安全性依赖于Windows 2003Windows 2003Windows 2003Windows 2003的核的核的核的核心层，它们在每个层次提供一致的安全模型。心层，它们在每个层次提供一致的安全模型。心层，它们在每个层次提供一致的安全模型。心层，它们在每个层次提供一致的安全模型。Windows 2003Windows 2003Windows 2003Windows 2003的安全模型由几个关键的子系统构成，的安全模型由几个关键的子系统构成，的安全模型由几个关键的子系统构成，的安全模型由

37、几个关键的子系统构成，这些安全子系统控制着这些安全子系统控制着这些安全子系统控制着这些安全子系统控制着Windows 200Windows 200Windows 200Windows 2003 3 3 3操作系统，是操作系统，是操作系统，是操作系统，是与操作系统密不可分的。与操作系统密不可分的。与操作系统密不可分的。与操作系统密不可分的。Windows 2003Windows 2003Windows 2003Windows 2003安全模型主要由安全模型主要由安全模型主要由安全模型主要由登录过程登录过程登录过程登录过程、本地安本地安本地安本地安全认证全认证全认证全认证、安全账号管理器安全账号管

38、理器安全账号管理器安全账号管理器、安全参考监视器安全参考监视器安全参考监视器安全参考监视器构成。构成。构成。构成。1.1.Windows 2003 Windows 2003 的的的的安全模型与基本概念安全模型与基本概念安全模型与基本概念安全模型与基本概念3737登录过程登录过程登录过程登录过程(Logon Process(Logon Process，LP)LP)接受本地用户或者远程用户的登录请求，用以确认用接受本地用户或者远程用户的登录请求，用以确认用接受本地用户或者远程用户的登录请求，用以确认用接受本地用户或者远程用户的登录请求，用以确认用户身份是否合法，从而确定用户对系统资源的访问权限。户

39、身份是否合法，从而确定用户对系统资源的访问权限。户身份是否合法，从而确定用户对系统资源的访问权限。户身份是否合法，从而确定用户对系统资源的访问权限。本地安全认证本地安全认证本地安全认证本地安全认证(Local Security Authority(Local Security Authority，LSA)LSA)Windows 2003Windows 2003Windows 2003Windows 2003安全模型的核心，它通过确认安全账号安全模型的核心，它通过确认安全账号安全模型的核心，它通过确认安全账号安全模型的核心，它通过确认安全账号管理器中的数据信息来处理用户从本地或远程的登录。管理器

40、中的数据信息来处理用户从本地或远程的登录。管理器中的数据信息来处理用户从本地或远程的登录。管理器中的数据信息来处理用户从本地或远程的登录。安全账号管理器安全账号管理器安全账号管理器安全账号管理器(Security Account Manager(Security Account Manager，SAM)SAM)维护安全账号管理数据库，即维护安全账号管理数据库，即维护安全账号管理数据库，即维护安全账号管理数据库，即SAMSAMSAMSAM数据库。数据库。数据库。数据库。安全参考监视器安全参考监视器安全参考监视器安全参考监视器(Security Reference Monitor(Security

41、 Reference Monitor，SRM)SRM)检查主体的访问权限，阻止非授权用户访问对象。检查主体的访问权限，阻止非授权用户访问对象。检查主体的访问权限，阻止非授权用户访问对象。检查主体的访问权限，阻止非授权用户访问对象。Windows 2003 Windows 2003 的的的的安全模型安全模型安全模型安全模型3838安全标识符安全标识符安全标识符安全标识符(SID)(SID)(SID)(SID)。安全标识符和账号唯一对应，在安全标识符和账号唯一对应，在安全标识符和账号唯一对应，在安全标识符和账号唯一对应，在账号创建时创建，账号删除时删除，而且永不再用。账号创建时创建，账号删除时删除

42、，而且永不再用。账号创建时创建，账号删除时删除，而且永不再用。账号创建时创建，账号删除时删除，而且永不再用。它与它与它与它与对应的用户和组的账号信息一起存储在对应的用户和组的账号信息一起存储在对应的用户和组的账号信息一起存储在对应的用户和组的账号信息一起存储在SAMSAMSAMSAM数据库里。数据库里。数据库里。数据库里。访问令牌访问令牌访问令牌访问令牌(Access Token)(Access Token)(Access Token)(Access Token)。用户登录时，本地安全用户登录时，本地安全用户登录时，本地安全用户登录时，本地安全认证产生一个访问令牌，包括用户名、所在组和安全标识

43、认证产生一个访问令牌，包括用户名、所在组和安全标识认证产生一个访问令牌，包括用户名、所在组和安全标识认证产生一个访问令牌，包括用户名、所在组和安全标识等信息。以后用户的所有进程均有访问令牌的拷贝。等信息。以后用户的所有进程均有访问令牌的拷贝。等信息。以后用户的所有进程均有访问令牌的拷贝。等信息。以后用户的所有进程均有访问令牌的拷贝。主体。主体。主体。主体。用户进行的操作和访问令牌一起构成一个主体。用户进行的操作和访问令牌一起构成一个主体。用户进行的操作和访问令牌一起构成一个主体。用户进行的操作和访问令牌一起构成一个主体。对象。对象。对象。对象。封装了数据和处理过程的一系列信息的集合。封装了数据

44、和处理过程的一系列信息的集合。封装了数据和处理过程的一系列信息的集合。封装了数据和处理过程的一系列信息的集合。安全描述符（安全描述符（安全描述符（安全描述符（SDSDSDSD）。）。）。）。包含了该对象的一组安全属性。包含了该对象的一组安全属性。包含了该对象的一组安全属性。包含了该对象的一组安全属性。Windows 2003 Windows 2003 的的的的基本概念基本概念基本概念基本概念3939用户登录时，用户登录时，用户登录时，用户登录时，登录主机把用户输入的信息通过安全登录主机把用户输入的信息通过安全登录主机把用户输入的信息通过安全登录主机把用户输入的信息通过安全系统传输到安全账号管理

45、器，并由安全账号管理器把此系统传输到安全账号管理器，并由安全账号管理器把此系统传输到安全账号管理器，并由安全账号管理器把此系统传输到安全账号管理器，并由安全账号管理器把此信息同安全账号数据库进行比较，如果两者匹配，则允信息同安全账号数据库进行比较，如果两者匹配，则允信息同安全账号数据库进行比较，如果两者匹配，则允信息同安全账号数据库进行比较，如果两者匹配，则允许用户进行访问，许用户进行访问，许用户进行访问，许用户进行访问，然后本地安全认证开始构造访问令牌，将访问令牌然后本地安全认证开始构造访问令牌，将访问令牌然后本地安全认证开始构造访问令牌，将访问令牌然后本地安全认证开始构造访问令牌，将访问令

46、牌与用户进行的所有操作相连接，构成一个主体。主体访与用户进行的所有操作相连接，构成一个主体。主体访与用户进行的所有操作相连接，构成一个主体。主体访与用户进行的所有操作相连接，构成一个主体。主体访问一个对象时，将由访问令牌的内容决定是否能够访问。问一个对象时，将由访问令牌的内容决定是否能够访问。问一个对象时，将由访问令牌的内容决定是否能够访问。问一个对象时，将由访问令牌的内容决定是否能够访问。当用户或者用户生成的进程要访问某个对象时，安当用户或者用户生成的进程要访问某个对象时，安当用户或者用户生成的进程要访问某个对象时，安当用户或者用户生成的进程要访问某个对象时，安全参考监视器将用户全参考监视器

47、将用户全参考监视器将用户全参考监视器将用户/进程的访问令牌中的进程的访问令牌中的进程的访问令牌中的进程的访问令牌中的SIDSIDSIDSID与对象安与对象安与对象安与对象安全描述符中的自主访问控制表进行比较，从而决定用户全描述符中的自主访问控制表进行比较，从而决定用户全描述符中的自主访问控制表进行比较，从而决定用户全描述符中的自主访问控制表进行比较，从而决定用户是否有权访问对象。是否有权访问对象。是否有权访问对象。是否有权访问对象。2.2.Windows 2003 Windows 2003 的的的的访问控制过程访问控制过程访问控制过程访问控制过程40401.1.用户和用户组用户和用户组在在Wi

48、ndows 2003Windows 2003中，每个用户必须有一个帐中，每个用户必须有一个帐号。用户帐号是系统安全的核心，系统网络中号。用户帐号是系统安全的核心，系统网络中发生的一切活动都可以以此帐号追溯到特定的发生的一切活动都可以以此帐号追溯到特定的授权用户。在登录计算机时，系统将用户帐号授权用户。在登录计算机时，系统将用户帐号数据信息同用户的安全数据库进行比较，若两数据信息同用户的安全数据库进行比较，若两者匹配，则允许用户登录。者匹配，则允许用户登录。用户帐号决定用户对资源的访问权限。用户帐号决定用户对资源的访问权限。帐号分两种：管理员权限和访问者权限。帐号分两种：管理员权限和访问者权限。

49、Windows 2003 Server Windows 2003 Server 安全管理安全管理安全管理安全管理4141Windows 2003Windows 2003还支持用户组，通过用户组为还支持用户组，通过用户组为一组相关的用户同时设定权利和权限，组中所一组相关的用户同时设定权利和权限，组中所有用户都将拥有这些属性，所以用户组在本质有用户都将拥有这些属性，所以用户组在本质上是一个包含其他帐号的集合帐号。一个用户上是一个包含其他帐号的集合帐号。一个用户可以同时属于多个用户组。可以同时属于多个用户组。42422.2.活动目录活动目录活动目录服务是活动目录服务是Windows 2003 Ser

50、verWindows 2003 Server最重要最重要的功能之一，它可将网络中各种对象组合起来进的功能之一，它可将网络中各种对象组合起来进行管理，方便了网络对象的查找，加强了网络的行管理，方便了网络对象的查找，加强了网络的安全性，并有利于用户对网络的管理。活动目录安全性，并有利于用户对网络的管理。活动目录是一种目录服务，是一种目录服务，它存储有关网络对象的信息它存储有关网络对象的信息，例如用户、组、计算机、共享资源、打印机和联例如用户、组、计算机、共享资源、打印机和联系人等信息，并使管理员和用户可以方便的查找系人等信息，并使管理员和用户可以方便的查找和使用这些网络信息。通过活动目录，用户可以