[发明专利]基于模型的访问控制

权利要求书

1.一种方便基于模型的访问控制的系统，包括：

抽象组件(102、202)，其构建至少一个抽象用户模型或抽象资源模型或 这两个模型；

分配组件(104、204)，其将至少一个特定用户与所述抽象用户模型相关 并将至少一个特定资源与所述抽象资源模型相关；以及

许可组件(106、206)，其部分地基于所述抽象资源模型来设置对所述特 定资源的至少一个许可。

2.如权利要求1所述的系统，其特征在于，所述抽象组件独立于用于保护 资源的机制。

3.如权利要求1所述的系统，其特征在于，所述抽象组件保持策略意图。

4.如权利要求1所述的系统，其特征在于，所述分配组件维护关于用 户角色及其访问许可的信息。

5.如权利要求1所述的系统，其特征在于，所述抽象组件提供用户角色配 置的可重复性。

6.如权利要求1所述的系统，其特征在于，所述抽象用户模型和抽象 资源模型是模块化的并跨不同的应用程序来应用。

7.如权利要求1所述的系统，其特征在于，所述许可组件将所述抽象用户 模型和抽象资源模型转换成具体术语。

8.如权利要求1所述的系统，其特征在于，所述抽象组件提供用抽象术语 来指定所述模型的机制。

9.如权利要求1所述的系统，其特征在于，安全策略在嵌套模型中定义。

10.如权利要求9所述的系统，其特征在于，所述嵌套模型允许所述抽 象用户模型和所述抽象资源模型被指定用于访问控制并用作用于为较大的系 统构建模型的组件。

11.如权利要求1所述的系统，其特征在于，所述分配组件基于唯一标 识符来识别所述特定用户。

12.如权利要求1所述的系统，其特征在于，所述许可组件在所述用户 用所述模型来标识时创建适当的许可和成员资格。

13.一种用于提供基于模型的访问控制的方法，包括：

创建抽象用户模型和抽象资源模型；

将至少一个特定用户与所述抽象用户模型相关联；

将至少一个特定资源与所述抽象资源模型相关联；以及

部分地基于抽象用户角色来设置对所述特定资源的至少一个许可。

14.如权利要求13所述的方法，其特征在于，创建抽象用户模型和抽 象资模型还包括创建独立于用于保护资源的机制的类型的模型。

15.如权利要求13所述的方法，其特征在于，部分地基于所述抽象用 户角色来设置对所述特定资源的至少一个许可是自动的。

16.如权利要求13所述的方法，其特征在于，还包括嵌套相关联的抽 象用户模型。

17.如权利要求13所述的方法，其特征在于，创建抽象用户模型和抽 象资源模型提供模块性。

18.如权利要求13所述的方法，其特征在于，还包括将两个或更多个 人与所述抽象用户模型和所述抽象资源模型相关联。

19.一种提供访问控制的计算机可执行系统，包括：

用于创建抽象用户模型和抽象资源模型的装置；

用于将至少一个用户与所述抽象用户模型相关联并将至少一个资源与所 述抽象资源模型相关联的装置。

20.如权利要求19所述的系统，其特征在于，还包括用于对所述至少 一个资源应用许可的装置。