62、动态管理型基于角色的访问控制中的用户 - 角色可达性分析

动态管理型基于角色的访问控制中的用户 - 角色可达性分析

1. 预备知识

1.1 基于角色的访问控制

在基于角色的访问控制（RBAC）中，权限与用户的关联被分解为两个关系：用户 - 角色关系和权限 - 角色关系。用户 - 角色关系 (u, r) ∈ UA 表明用户 u 是角色 r 的成员。权限 - 角色关系 (r, p) ∈ PA 表明角色 r 被授予了权限 p 。RBAC 还允许指定角色层次结构，这是角色集合上的一种偏序关系。例如，角色层次关系 r1 ⪰ r2 表示角色 r1 比角色 r2 高级。

管理型基于角色的访问控制 1997（ARBAC97）用于控制 RBAC 策略的更改。将用户分配到角色的权限通过 can assign 关系指定。每个 can assign 关系表示为 can assign(ra, c, rt) ，其中 ra 是管理角色， rt 是目标角色， c 是规则的先决条件（或前置条件）。前置条件是文字的合取，每个文字对于某个角色 r 要么是 r （正前置条件），要么是 ¬r （负前置条件）。这里将前置条件 c <