ACL-IP訪問(wèn)控制列表配置實(shí)驗(yàn)

ACLIP訪問(wèn)控制列表配置實(shí)驗(yàn)優(yōu)質(zhì)資料(可以直接使用，可編輯優(yōu)質(zhì)資料，歡迎下載）

ACLIP訪問(wèn)控制列表配置實(shí)驗(yàn)優(yōu)質(zhì)資料(可以直接使用，可編輯優(yōu)質(zhì)資料，歡迎下載）IP訪問(wèn)控制列表配置目錄：TOC\o"1-3"\h\u23652第一個(gè)任務(wù)的：驗(yàn)證測(cè)試523305第二個(gè)任務(wù)的：交換機(jī)的驗(yàn)證測(cè)試914938第三個(gè)任務(wù)的：擴(kuò)展訪問(wèn)驗(yàn)證測(cè)試145789最后總結(jié)：15▲表示重要的一、IP標(biāo)準(zhǔn)訪問(wèn)控制列表的建立及應(yīng)用工作任務(wù)你是學(xué)校網(wǎng)絡(luò)管理員，學(xué)校的財(cái)務(wù)處、教師辦公室和校辦企業(yè)財(cái)務(wù)科分屬不同的3個(gè)網(wǎng)段，三個(gè)部門(mén)之間通過(guò)路由器進(jìn)行信息傳遞，為了安全起見(jiàn)，學(xué)校領(lǐng)導(dǎo)要求你對(duì)網(wǎng)絡(luò)的數(shù)據(jù)流量進(jìn)行控制，實(shí)現(xiàn)校辦企業(yè)財(cái)務(wù)科的主機(jī)可以訪問(wèn)財(cái)務(wù)處的主機(jī)，但是教師辦公室主機(jī)不能訪問(wèn)財(cái)務(wù)處主機(jī)。首先對(duì)兩路由器進(jìn)行基本配置，實(shí)現(xiàn)三個(gè)網(wǎng)段可以相互訪問(wèn)；然后對(duì)距離控制目的地址較近的路由器RouterB配置IP標(biāo)準(zhǔn)訪問(wèn)控制列表，允許網(wǎng)段（校辦企業(yè)財(cái)務(wù)科）主機(jī)發(fā)出的數(shù)據(jù)包通過(guò)，不允許網(wǎng)段（教師辦公室）主機(jī)發(fā)出的數(shù)據(jù)包通過(guò)，最后將這一策略加到路由器RouterB的Fa0端口，如圖所示。第1步：基本配置路由器RouterA：R>enableR#configureterminalR(config)#hostnameRouterARouterA(config)#linevty04VTY是路由器的遠(yuǎn)程登陸的虛擬端口,04表示可以同時(shí)打開(kāi)5個(gè)會(huì)話(huà),linevty04是進(jìn)入VTY端口,對(duì)VTY端口進(jìn)行配置,比如說(shuō)配置密碼,RouterA(config-line)#loginRouterA(config-line)#password100RouterA(config-line)#exitRouterA(config)#enablepassword100RouterA(config)#interfacefastethernet0/0RouterA(config-if)#noshutdownRouterA(config-if)#ExitRouterA(config)#interfaces0/3/0RouterA(config-if)#noshutdownRouterA(config-if)#ExitRouterA(config)#interfaces0/3/0RouterA(config-if)#noshutdownRouterA(config-if)#Exit路由器RouterB：R>enableR#configureterminalR(config)#hostnameRouterBRouterB(config)#linevty04RouterB(config-line)#loginRouterB(config-line)#password100RouterB(config-line)#exitRouterB(config)#enablepassword100RouterB(config)#interfacefastethernet0/0RouterB(config-if)#ipaddress192.168.3RouterB(config-if)#noshutdownRouterB(config-if)#ExitRouterB(config)#interfaces0/3/1RouterB(config-if)#ipaddressRouterB(config-if)#noshutdownRouterB(config-if)#ExitRouterB(config)#iprouteRouterB(config)#iproute第2步：▲在路由器RouterB上配置IP標(biāo)準(zhǔn)訪問(wèn)控制列表RouterB#showaccess-list1第3步：▲應(yīng)用在路由器RouterB的Fa0/0接口輸出方向上RouterB(config)#interfacefastethernet0/0RouterB(config-if)#ipaccess-group1out驗(yàn)證測(cè)試RouterB#showipinterfacefastethernet0/0第4步：▲驗(yàn)證測(cè)試在校企主機(jī)的命令提示符下Ping0，能Ping通。在老師辦公室主機(jī)的命令提示符下Ping0，不能Ping通。第二：任務(wù)如圖所示，首先對(duì)交換機(jī)進(jìn)行基本配置，實(shí)現(xiàn)三個(gè)網(wǎng)段可以相互訪問(wèn)；然后對(duì)交換機(jī)配置IP標(biāo)準(zhǔn)訪問(wèn)控制列表，允許網(wǎng)段（校企財(cái)務(wù)科）主機(jī)發(fā)出的數(shù)據(jù)包通過(guò)，不允許網(wǎng)段（教師辦公室）主機(jī)發(fā)出的數(shù)據(jù)包通過(guò)，最后將這一策略加到交換機(jī)VLAN30的SVI端口輸出方向上。根據(jù)拓?fù)鋱D：第1步：交換機(jī)的基本配置Switch#configureterminalSwitch(config)#hostnames3550Switch(conifg)#iproutingSwitch(conifg)#vlan10Switch(config-vlan)#exitSwitch(conifg)#vlan20Switch(config-vlan)#exitSwitch(conifg)#interfacefastethernet0/1Switch(conifg-if)#switchportmodeaccessSwitch(conifg-if)#switchportaccessvlan10Switch(conifg-if)#exitSwitch(conifg)#interfacefastethernet0/6Switch(conifg-if)#switchportmodeaccessSwitch(conifg-if)#switchportaccessvlan20Switch(config-vlan)#exitSwitch(conifg)#interfacefastethernet0/20Switch(conifg-if)#switchportmodeaccessSwitch(conifg-if)#switchportaccessvlan30Switch(config-vlan)#exitSwitch(conifg)#Switch(config)#interfacevlan10SwitchSwitch(conifg-if)#noshutdownSwitch(conifg-if)#exitSwitch(config)#interfacevlan20SwitchSwitch(conifg-if)#noshutdownSwitch(conifg-if)#exitSwitch(config)#interfacevlan30Switch(conifg-if)#ipaddress192.168.3Switch(conifg-if)#noshutdownSwitch(conifg-if)#endSwitch#查看三層交換機(jī)的路由表Switch#showiproute第2步：▲配置命名IP標(biāo)準(zhǔn)訪問(wèn)控制列表Switch(config)#ipaccess-liststandardABC既可以列表好，也可以直接名字就可以了SwitchSwitchSwitch(config-std-nacl)#exitSwitch(config)#interfacevlan30Switch(config-if)#ipaccess-groupABCout驗(yàn)證測(cè)試Switch#showipinterfacevlan30第3步：▲驗(yàn)證測(cè)試在PC1主機(jī)的命令提示符下Ping0，能Ping通。在PC2主機(jī)的命令提示符下Ping0，不能Ping通。二、IP【擴(kuò)展訪問(wèn)控制列表】的建立及應(yīng)用工作任務(wù)你是學(xué)校網(wǎng)絡(luò)管理員，學(xué)校的網(wǎng)管中心分別架設(shè)FTP、Web服務(wù)器，其中FTP服務(wù)器供教師專(zhuān)用，學(xué)生不可使用；Web服務(wù)器教師和學(xué)生都可訪問(wèn)。FTP及Web服務(wù)器、教師辦公室和學(xué)生宿舍分屬不同的3個(gè)網(wǎng)段，三個(gè)網(wǎng)段之間通過(guò)路由器進(jìn)行信息傳遞，要求你對(duì)路由器進(jìn)行適當(dāng)設(shè)置實(shí)現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)流量控制。首先對(duì)兩路由器進(jìn)行基本配置，實(shí)現(xiàn)三個(gè)網(wǎng)段相互訪問(wèn)；然后對(duì)離控制源地址較近的路由器RouterA配置IP擴(kuò)展訪問(wèn)控制列表，不允許網(wǎng)段（學(xué)生宿舍）主機(jī)發(fā)出的去網(wǎng)段的FTP數(shù)據(jù)包通過(guò)，允許網(wǎng)段主機(jī)發(fā)出的其它服務(wù)數(shù)據(jù)包通過(guò)，最后將這一策略加到路由器RouterA的Fa0端口，如圖所示。根據(jù)相應(yīng)的圖畫(huà)出拓?fù)鋱D：第1步：基本配置路由器RouterA：R>enableR#configureterminalR(config)#hostnameRouterARouterA(config)#linevty04RouterA(config-line)#loginRouterA(config-line)#password100RouterA(config-line)#exitRouterA(config)#enablepassword100RouterA(config)#interfacefastethernet0/0RouterA(config-if)#noshutdownRouterA(config-if)#ExitRouterA(config)#interfaces0/3/0RouterA(config-if)#noshutdownRouterA(config-if)#ExitRouterA(config)#interfacefastethernet0/1RouterA(config-if)#noshutdownRouterA(config-if)#Exit路由器RouterB：R>enableR#configureterminalR(config)#hostnameRouterBRouterB(config)#linevty04RouterB(config-line)#loginRouterB(config-line)#password100RouterB(config-line)#exitRouterB(config)#enablepassword100RouterB(config)#interfacef0/0RouterB(config-if)#ipaddress192.168.3RouterB(config-if)#noshutdownRouterB(config-if)#ExitRouterB(config)#interfaces0/1RouterB(config-if)#ipaddressRouterB(config-if)#noshutdownRouterB(config-if)#ExitRouterB(config)#iprouteRouterB(config)#iproute第2步：▲在路由器RouterA上配置IP擴(kuò)展訪問(wèn)控制列表▲拒絕來(lái)自網(wǎng)段去網(wǎng)段的FTP流量通過(guò)RouterA(config)#access-list101denyTCP5555eqFTP▲還可以控制某一些端口的出入允許其它服務(wù)的流量通過(guò)RouterA(config)#access-list101permitIPanyany驗(yàn)證測(cè)試RouterA#showaccess-list101第3步：把訪問(wèn)控制列表應(yīng)用在路由器RouterA的Fa0/0接口輸入方向上。RouterA(config)#interfacefastethernet0/0RouterA(config-if)#ipaccess-group101in第4步：分別配置FTP和Web服務(wù)器FTP服務(wù)器Web服務(wù)器第5步：驗(yàn)證測(cè)試在PC1主機(jī)的命令提示符下Ping0，能Ping通。但是發(fā)送FTP包就不能通，如下圖：PC2五、▲總結(jié)：本次實(shí)驗(yàn)難度不大，主要小心一下端口的配置，還有一些IP訪問(wèn)的規(guī)則就行了。WEB服務(wù)器配置時(shí)，要自己去定義發(fā)送FTP數(shù)據(jù)包，這樣才能測(cè)試到結(jié)果。RouterA(config)#linevty04VTY是路由器的遠(yuǎn)程登陸的虛擬端口,04表示可以同時(shí)打開(kāi)5個(gè)會(huì)話(huà),linevty04是進(jìn)入VTY端口,對(duì)VTY端口進(jìn)行配置,比如說(shuō)配置密碼RouterB(config)#interfacefastethernet0/0RouterB(config-if)#ipaccess-group1out列表1所定義的條件應(yīng)用到從本路由器禁止從此接口出去RouterA(config-line)#loginRouterA(config-line)#password100RouterA(config-line)#exitRouterA(config)#enablepassword100配置進(jìn)入路由器配置需要密碼：而且不顯示的▲易發(fā)生錯(cuò)誤的是：交換機(jī)要啟動(dòng)路由協(xié)議Switch(conifg)#iproutingRouterA(config)#access-list101denyTCP5555eqFTP▲把訪問(wèn)控制列表應(yīng)用在路由器RouterA的Fa0/0接口輸入方向上。RouterA(config)#interfacefastethernet0/0RouterA(config-if)#ipaccess-group101in▲in和out都是對(duì)端口而言的。in表示進(jìn)站，從外到內(nèi)的進(jìn)入端口的數(shù)據(jù)方向。一般是接收?！具M(jìn)入端口的數(shù)據(jù)方向】out表示出站，從內(nèi)到外離開(kāi)端口的數(shù)據(jù)方向。一般是發(fā)送?！倦x開(kāi)端口的數(shù)據(jù)方向】基于角色管理的系統(tǒng)訪問(wèn)控制

1.引言（iｎtrodｕctiｏn）

1。1.關(guān)鍵詞定義（definitioｎｓ）

有關(guān)定義說(shuō)明如下:安全管理：計(jì)算機(jī)技術(shù)安全管理的范圍很廣，可以包括網(wǎng)絡(luò)安全性、數(shù)據(jù)安全性、操作系統(tǒng)安全性以及應(yīng)用程序安全性等。很多方面的安全性管理大都已經(jīng)有成熟的產(chǎn)品了，我們只需根據(jù)自己需要有選擇性的使用就可達(dá)到自己的目的了。本文中有關(guān)關(guān)涉及＂安全管理"一詞均只針對(duì)本公司推出的應(yīng)用中有關(guān)對(duì)象與數(shù)據(jù)而言范圍有限。主體：即可以象應(yīng)用系統(tǒng)發(fā)出應(yīng)用請(qǐng)求任何實(shí)體，包括各種用戶(hù)、其它與本系統(tǒng)有接口的應(yīng)用程序、非法入侵者。系統(tǒng)必須具有識(shí)別主體的能力，接口實(shí)際上也是由用戶(hù)登記的,故主要問(wèn)題是校驗(yàn)用戶(hù)身份的合法性,系統(tǒng)應(yīng)建立用戶(hù)鑒別機(jī)構(gòu)以驗(yàn)證用戶(hù)身份.用戶(hù)：用戶(hù)就是一個(gè)可以獨(dú)立訪問(wèn)計(jì)算機(jī)系統(tǒng)中的數(shù)據(jù)或者用數(shù)據(jù)表示的其它資源的主體，我們用ｕsｅｒs表示一個(gè)用戶(hù)集合.用戶(hù)在一般情況下是指人。權(quán)限:權(quán)限是對(duì)計(jì)算機(jī)系統(tǒng)中的數(shù)據(jù)或者用數(shù)據(jù)表示的其它資源進(jìn)行訪問(wèn)的許可.我們用peｒmisｓion表示一個(gè)權(quán)限集合?？煞譃閷?duì)象訪問(wèn)控制和數(shù)據(jù)訪問(wèn)控制兩種。對(duì)象訪問(wèn)控制:用一個(gè)二元組來(lái)表示:（控制對(duì)象，訪問(wèn)類(lèi)型)。其中的控制對(duì)象表示系統(tǒng)中一切需要進(jìn)行訪問(wèn)控制的資源。我們將引入一套完整的資源表示方法來(lái)對(duì)系統(tǒng)中出現(xiàn)的各類(lèi)資源進(jìn)行定義和引用（詳見(jiàn)后述).訪問(wèn)類(lèi)型是指對(duì)于相應(yīng)的受控對(duì)象的訪問(wèn)控制,如：讀取、修改、刪除等等。數(shù)據(jù)訪問(wèn)控制:如果不對(duì)數(shù)據(jù)訪問(wèn)加以控制,系統(tǒng)的安全性是得不到保證的，容易發(fā)生數(shù)據(jù)泄密事件.所以在權(quán)限中必須對(duì)對(duì)象可訪問(wèn)的數(shù)據(jù)進(jìn)行按不同的等級(jí)給予加密保護(hù)。我們同樣用一個(gè)二元組來(lái)表示：(控制對(duì)象，謂詞）.權(quán)限最終可以組合成如下形式:(控制對(duì)象，訪問(wèn)類(lèi)型，謂詞）。角色：角色是指一個(gè)組織或任務(wù)中的工作或位置，它代表了一種資格、權(quán)利和責(zé)任.我們用ｒoles表示一個(gè)角色集合。用戶(hù)委派:用戶(hù)委派是users與rｏlｅs之間的一個(gè)二元關(guān)系，我們用(u,r）來(lái)表示用戶(hù)u被委派了一個(gè)角色ｒ。權(quán)限配置：權(quán)限配置是roles與perｍｉｓsiｏn之間的一個(gè)二元關(guān)系，我們用（r，ｐ）來(lái)表示角色ｒ擁有一個(gè)權(quán)限p。2。需求分析?根據(jù)我們?cè)诒拘袠I(yè)多年積累下來(lái)的經(jīng)驗(yàn)，參考了其它同行的成功經(jīng)驗(yàn)整合了先進(jìn)的思想,我們有能力為我們自己的應(yīng)用系統(tǒng)開(kāi)發(fā)一套功能完善而且又靈活方便的安全管理系統(tǒng)。使開(kāi)發(fā)人員從權(quán)限管理重復(fù)勞動(dòng)的負(fù)擔(dān)中解放出來(lái)，專(zhuān)心致力于應(yīng)用程序的功能上的開(kāi)發(fā)。通過(guò)收集公司從事miｓ項(xiàng)目開(kāi)發(fā)經(jīng)驗(yàn)豐富的軟件工程師對(duì)在各種情況下的對(duì)應(yīng)系統(tǒng)的安性提出的需求做出了如下的總結(jié)。本系統(tǒng)在安全管理方面要考慮如下幾個(gè)方面問(wèn)題。2。1。角色與用戶(hù)?需求:?角色由用戶(hù)（這個(gè)用戶(hù)與下一行的＂用戶(hù)"應(yīng)該不是同一個(gè)定義，”客戶(hù)”好像合適一些＠不錯(cuò)，此處的用戶(hù)確是有些偏于指向我們合同意義的客戶(hù),但是我認(rèn)為與下面定義的＂用戶(hù)＂不存在什么本質(zhì)上的區(qū)別，因?yàn)榭蛻?hù)最終也是以在系統(tǒng)中登記的用戶(hù)身份來(lái)使用本系統(tǒng),用戶(hù)所能完成的功能也就是客戶(hù)的需求.兩者之間的細(xì)微區(qū)別讀者可自己通過(guò)上下文加區(qū)分)自行定義，根據(jù)業(yè)務(wù)崗位不同可以定義多個(gè)角色。登錄系統(tǒng),首先需要向系統(tǒng)申請(qǐng)注冊(cè)，同一個(gè)用戶(hù)只能在系統(tǒng)中登記一次。用戶(hù)是登錄系統(tǒng)的楔子，角色是用戶(hù)權(quán)限的基礎(chǔ).用戶(hù)可以扮演多個(gè)角色。將某一角色授予某一用戶(hù)時(shí)，權(quán)限不能超越該角色權(quán)限,但可以小于該角色權(quán)限。用戶(hù)口令與數(shù)據(jù)庫(kù)訪問(wèn)口令加密分析說(shuō)明每個(gè)用戶(hù)在系統(tǒng)中由一個(gè)唯的userid標(biāo)識(shí).用戶(hù)通過(guò)系統(tǒng)登錄界面登錄系統(tǒng),系統(tǒng)通過(guò)加密算法驗(yàn)證用戶(hù)身份和判斷用戶(hù)是否已經(jīng)登錄系統(tǒng)。如果登錄成功通知aｐｐlicatiｏnpreferencｅservice和安全管理系統(tǒng)保存用戶(hù)登錄信息。角色由用戶(hù)根據(jù)自己的設(shè)想的組織機(jī)構(gòu)進(jìn)行添加設(shè)置，提供一個(gè)專(zhuān)門(mén)的模塊用來(lái)設(shè)置組織機(jī)構(gòu)，用戶(hù)通過(guò)組織機(jī)構(gòu)（定義＠部門(mén)機(jī)構(gòu)還是后面提到的"機(jī)構(gòu)是實(shí)現(xiàn)和執(zhí)行各種策略的功能的集合”）方便地進(jìn)行角色管理。例如：用戶(hù)可以通過(guò)部門(mén)機(jī)構(gòu)來(lái)進(jìn)行角色的管理，部門(mén)采用編號(hào)分層的方式,編號(hào)的每?jī)晌粸橐粋€(gè)層次。例如一級(jí)部門(mén)編號(hào)為兩位,二級(jí)部門(mén)編號(hào)為四位依此類(lèi)推下去直到將全廠部門(mén)機(jī)構(gòu)建立樹(shù)狀結(jié)構(gòu)圖.這類(lèi)數(shù)據(jù)僅為方便用戶(hù)管理角色而存在,在系統(tǒng)的其他方面不存在任何意義。每個(gè)角色在系統(tǒng)中也是由一個(gè)唯一角色編號(hào)來(lái)標(biāo)識(shí)，同時(shí)必須保存用戶(hù)所設(shè)置的機(jī)構(gòu)信息,一般來(lái)說(shuō)每個(gè)角色只需要保存自己所在機(jī)構(gòu)的代碼即可。2.２。菜單控制

需求

此菜單乃系統(tǒng)業(yè)務(wù)功能菜單。由業(yè)務(wù)功能模塊列表和用戶(hù)菜單定制共同組成。每個(gè)用戶(hù)可以擁有自己的菜單，也可以直接采用角色缺省菜單(當(dāng)用戶(hù)同時(shí)充當(dāng)多個(gè)角色并且權(quán)限重復(fù)時(shí)，重復(fù)的權(quán)限僅一次有效）分析說(shuō)明為了方便用戶(hù)進(jìn)行權(quán)限組織管理，需要在系統(tǒng)中建立一張業(yè)務(wù)功能模塊列表,在用戶(hù)界面上表示為樹(shù)狀分層結(jié)構(gòu).業(yè)務(wù)功能模塊以用戶(hù)定制菜單來(lái)體現(xiàn),仍然采用編號(hào)分層方式，編號(hào)的每?jī)晌粸橐粋€(gè)層次.并標(biāo)明一個(gè)層次是子菜單還是業(yè)務(wù)模塊,子菜單只有一種可否被訪問(wèn)的權(quán)限設(shè)置，業(yè)務(wù)模塊權(quán)限由系統(tǒng)管理員或授權(quán)用戶(hù)進(jìn)行設(shè)置。對(duì)每個(gè)業(yè)務(wù)模塊設(shè)置它的對(duì)象控制、記錄增刪改控制和記錄集控制.當(dāng)用戶(hù)擁有對(duì)業(yè)務(wù)模塊的某一權(quán)限時(shí),必需對(duì)處于它上級(jí)的子菜單有可被訪問(wèn)的權(quán)限。刪除某一個(gè)級(jí)子菜單時(shí)將提示用戶(hù)他的下級(jí)菜單與功能模塊都將被刪除掉.當(dāng)用戶(hù)同時(shí)充當(dāng)多個(gè)角色并且權(quán)限重復(fù)時(shí)，重復(fù)的權(quán)限僅一次有效,用戶(hù)擁有他充當(dāng)?shù)乃薪巧臋?quán)限的并集.用戶(hù)與角色擁有的系統(tǒng)權(quán)限查詢(xún)時(shí)以業(yè)務(wù)功能模塊列表的樹(shù)狀結(jié)構(gòu)顯示出來(lái)。2.3．對(duì)象控制

需求?對(duì)象是指應(yīng)用系統(tǒng)窗口中的可視對(duì)象，如菜單項(xiàng)、按鈕、下拉列表框、數(shù)據(jù)編輯控件及數(shù)據(jù)編輯控件的字段等。對(duì)象控制通過(guò)角色與用戶(hù)授權(quán)來(lái)實(shí)現(xiàn).對(duì)象控制包括對(duì)對(duì)象屬性的控制可對(duì)數(shù)據(jù)編輯控件中的數(shù)據(jù)記錄的維護(hù)權(quán)限：對(duì)象屬性：使能/禁止、可視／屏蔽記錄維護(hù)：增加、刪除、修改的組合分析說(shuō)明將每個(gè)業(yè)務(wù)模塊可進(jìn)行屬性設(shè)置的對(duì)象由程序員事先設(shè)定或由售后技術(shù)支持工程師指導(dǎo)用戶(hù)加入.在系統(tǒng)管理員或授權(quán)用戶(hù)進(jìn)行設(shè)置業(yè)務(wù)模塊的每種權(quán)限時(shí),設(shè)置用戶(hù)在擁有該業(yè)務(wù)模塊這種權(quán)限時(shí)的對(duì)象屬性.沒(méi)有設(shè)置屬性的對(duì)象在保存對(duì)象信息的時(shí)候，用戶(hù)權(quán)限信息中不被保存.2。4.記錄集控制?需求

記錄集的控制是通過(guò)條件設(shè)置來(lái)實(shí)現(xiàn),因此，需要控制記錄集的數(shù)據(jù)庫(kù)表需要設(shè)置專(zhuān)門(mén)的記錄集篩選字段，而篩選條件由用戶(hù)根據(jù)崗位自進(jìn)定義，建立過(guò)濾表，統(tǒng)一管理。分析說(shuō)明在對(duì)用戶(hù)設(shè)置業(yè)務(wù)模塊權(quán)限時(shí)，同時(shí)在過(guò)濾表中設(shè)置本模塊的數(shù)據(jù)編輯控件的數(shù)據(jù)篩選條件，篩選條件是組成sｑl語(yǔ)句的wherｅ條件子句迫使當(dāng)前訪問(wèn)的模塊根據(jù)篩選條件對(duì)數(shù)據(jù)編輯控件的ｓql語(yǔ)句進(jìn)行重組，并檢索數(shù)據(jù).當(dāng)存在需要從數(shù)據(jù)庫(kù)中多個(gè)表取數(shù)據(jù)的情況時(shí)，過(guò)濾表中存在多條記錄，每一條記錄記錄一個(gè)數(shù)據(jù)編輯控件取數(shù)的篩選條件.sql語(yǔ)句的wheｒｅ子句的生成與校驗(yàn)可以通過(guò)的sql語(yǔ)法分析服務(wù)，利用對(duì)象所提供的函數(shù)分析sql語(yǔ)句，截?。鳎鑕re條件子句，校驗(yàn)新組合的sｑｌ語(yǔ)句的合法性。2．5。權(quán)限分布管理?需求?上述提到的權(quán)限管理內(nèi)容應(yīng)該滿(mǎn)足既可集中管理，也可分散管理的目標(biāo)。分析說(shuō)明權(quán)限管理由系統(tǒng)管理員集中管理,系統(tǒng)管理員工作負(fù)擔(dān)過(guò)大，難對(duì)所有崗位的分工有全面和具體的了解，對(duì)權(quán)限作出標(biāo)準(zhǔn)細(xì)致的劃分，對(duì)于大型的管理系統(tǒng)適合于把一部分設(shè)置權(quán)限的交由一些比較高級(jí)的用戶(hù)來(lái)進(jìn)行,有利于各崗位細(xì)致協(xié)調(diào)的工作.這就是權(quán)限的分散管理.要實(shí)現(xiàn)權(quán)限的分散管理,就須對(duì)授權(quán)模塊進(jìn)行一些授權(quán)管理，這要求整個(gè)系統(tǒng)的授權(quán)安全管理工作要做到細(xì)致,不要出現(xiàn)權(quán)限的漏洞使一些高級(jí)用戶(hù)擁有過(guò)大的權(quán)限。3.方案設(shè)計(jì)?3。１.安全保護(hù)策略?從上面各方面的需求分析來(lái)看，我們需要一套既行之有效,又方便靈活的安全管理方案.要采用各種控制機(jī)構(gòu)和密碼保護(hù)技術(shù).安全保護(hù)策略是設(shè)計(jì)安全可靠系統(tǒng)的準(zhǔn)則,通常涉及下列幾個(gè)方面：區(qū)分安全策略與安全機(jī)構(gòu)。策略是信息安全性的高級(jí)指導(dǎo),策略出自對(duì)用戶(hù)要求，設(shè)備環(huán)境、機(jī)構(gòu)規(guī)則、法律約束等方面的詳細(xì)研究.策略重要性在于指導(dǎo)作用。而機(jī)構(gòu)是實(shí)現(xiàn)和執(zhí)行各種策略的功能的集合。完善的機(jī)構(gòu)是實(shí)施正確安全策略的物質(zhì)基礎(chǔ)。故一般要求機(jī)構(gòu)能實(shí)現(xiàn)不同的策略,以便策略變動(dòng)時(shí)無(wú)需要更換安全機(jī)構(gòu)。安全策略:企業(yè)信息管理系統(tǒng)是一個(gè)大型的分布式數(shù)據(jù)資源管理系統(tǒng)，它包括信息量巨大以及不同程度的信息敏感度，各種有訪問(wèn)需求的用戶(hù)，使得其安全管理非常復(fù)雜.基于角色的系統(tǒng)安全控制模型是目前國(guó)際上流行的先進(jìn)的安全管理控制方法。我們的安全管理系統(tǒng)也根據(jù)自身的需要有選擇性的吸收其部分思想.其特點(diǎn)是通過(guò)分配和取消角色來(lái)完成用戶(hù)權(quán)限的授予和取消,并且提供了角色分配規(guī)則和操作檢查規(guī)則。安全管理人員根據(jù)需要定義各種角色，并設(shè)置合適的訪問(wèn)權(quán)限,而用戶(hù)根據(jù)其責(zé)任和資歷再被指派為不同的角色.這樣,整個(gè)訪問(wèn)控制過(guò)程就分成兩個(gè)部分,即訪問(wèn)權(quán)限與角色相關(guān)聯(lián)，角色再與用戶(hù)關(guān)聯(lián)，從而實(shí)現(xiàn)了用戶(hù)與訪問(wèn)權(quán)限的邏輯分離，如下圖所示,角色可以看成是一個(gè)表達(dá)訪問(wèn)控控制策略的語(yǔ)義結(jié)構(gòu)，它可以表示承擔(dān)特定工作的資格。

由于實(shí)現(xiàn)了用戶(hù)與訪問(wèn)權(quán)限的邏輯分離，基于角色的策略極大的方便了權(quán)限管理。例如,如果一個(gè)用戶(hù)的職位發(fā)生變化,只要將用戶(hù)當(dāng)前的角色去掉，加入代表新職務(wù)或新任務(wù)的角色即可。研究表明,角色/權(quán)限之間的變化比角色/用戶(hù)關(guān)系之間的變化相對(duì)要慢得多,并且委派用戶(hù)到角色不需要很多技術(shù)，可以由行政管理人員來(lái)執(zhí)行，而配置權(quán)限到角色的工作比較復(fù)雜，需要一定的技術(shù)，可以由專(zhuān)門(mén)的技術(shù)人員來(lái)承擔(dān),但是不給他們委派用戶(hù)的權(quán)限，這與現(xiàn)實(shí)中情況正好一致。除了方便權(quán)限管理之外,基于角色的訪問(wèn)控制方法還可以很好的地描述角色層次關(guān)系,實(shí)現(xiàn)最少權(quán)限原則和職責(zé)分離的原則.安全保護(hù)機(jī)構(gòu)：本系統(tǒng)的安全保護(hù)機(jī)構(gòu)基本上是于上面的安全策略相互適應(yīng)的，系統(tǒng)保護(hù)的總體結(jié)構(gòu)示意如下:?

保護(hù)機(jī)構(gòu)應(yīng)負(fù)責(zé)阻止一切物理破壞和用戶(hù)可能的操作破壞，后者歸結(jié)為主體可用何種方式訪問(wèn)哪些對(duì)象。主體、訪問(wèn)類(lèi)型、對(duì)象是我們要討論的保護(hù)機(jī)構(gòu)主要成分安全管理的職責(zé)：安全管理有集中管理與分散管理兩種。前者意指一切權(quán)利都由負(fù)責(zé)系統(tǒng)安全工作的專(zhuān)職人員或小組組掌握，他（們)決定用戶(hù)的訪問(wèn)權(quán)利，控制系統(tǒng)安全一切方面.后者是指不同的管理員控制著系統(tǒng)安全的不同方面，管理系統(tǒng)的不同部分，決定不同用戶(hù)的訪問(wèn)權(quán)利，甚至允許對(duì)象所有者轉(zhuǎn)讓訪問(wèn)對(duì)象的權(quán)利，集中管理，安全可靠但不靈活;分散管理則應(yīng)考慮避免漏洞和協(xié)調(diào)一致的問(wèn)題。本系統(tǒng)因是針對(duì)大的集團(tuán)企業(yè)管理的產(chǎn)品權(quán)限分配比較復(fù)雜,故采用了集中管理與分散管理相結(jié)合的形式。訪問(wèn)控制策略。它提供決定用戶(hù)訪問(wèn)權(quán)利的依據(jù)。其中最重要的一個(gè)普遍的原則是"需者方知策略＂（ｔｈeneｅd—ｔｏ-know)。也就是說(shuō)，只有一個(gè)工作需要的，才是他應(yīng)該知道的。它從原則上限制了用戶(hù)不必要的訪問(wèn)權(quán)利,從而堵截了許多破壞與泄露數(shù)據(jù)信息的途經(jīng).按照這一原則授予用戶(hù)的權(quán)利,是用戶(hù)能完成工作的最小權(quán)利集合,故也稱(chēng)之為”最少特權(quán)策略"。信息流動(dòng)控制。只限制用戶(hù)的訪問(wèn)權(quán)利而不考慮數(shù)據(jù)流動(dòng)是極其危險(xiǎn)的。例如，在考勤時(shí)各部門(mén)的主管只能為自己部門(mén)的職員考勤,人事部可以提取全部數(shù)據(jù),因此在提取數(shù)據(jù)時(shí)一定要加以限制?？刂茢?shù)據(jù)流動(dòng)以防止無(wú)權(quán)用戶(hù)在數(shù)據(jù)流動(dòng)后獲得訪問(wèn)權(quán)利.密碼變換。對(duì)于非常機(jī)密數(shù)據(jù)可變換為密碼存貯，使得不知道密碼的入侵者無(wú)法破譯所得到的數(shù)據(jù)密碼。密碼變換能防止泄密,但不能保護(hù)數(shù)據(jù)信息不被破壞。軟硬結(jié)合保護(hù)。這是安全保護(hù)的基本策略,許多硬保護(hù)功能是軟件難以實(shí)現(xiàn)的，有些即使能實(shí)現(xiàn),效率也不高。對(duì)安全遭到破壞的響應(yīng)。各種保護(hù)機(jī)構(gòu)都有可能遭到破壞，因此系統(tǒng)必須制訂檢測(cè)破壞手段與處置措施。3．2．安全管理機(jī)構(gòu)分析?３．2。1。功能框架示意圖內(nèi)部總體功能框架圖?外調(diào)用的功能框架示意圖

3.2。2。主要功能組件的職責(zé)

3。2。2．1．對(duì)象定義工具與權(quán)限定義工具對(duì)象定義工具。

對(duì)象是指系統(tǒng)中各種功能模塊、數(shù)據(jù)、界面元素(包括菜單、按鈕等各種界面上能控制的控件）等，它們是主體能訪問(wèn)的各種對(duì)象。由于對(duì)象的機(jī)密程度不等,受到的保護(hù)程度亦有差別。系統(tǒng)中的對(duì)象均由程序員通過(guò)系統(tǒng)提供的對(duì)象定義工具事先定義好系統(tǒng)要控制的對(duì)象。系統(tǒng)也只能控制這些事先已定義好的對(duì)象,因此，對(duì)象定義是整個(gè)系統(tǒng)的核心步驟直接影響后面的各個(gè)安全控制環(huán)節(jié)。建議由開(kāi)發(fā)程序員進(jìn)行初始化配置。對(duì)象定義的包括如下幾步：功能模塊定義：系統(tǒng)中除部分公用的界面、公用功能模塊外,其它均為業(yè)務(wù)功能模塊是用戶(hù)完成各自不同的業(yè)務(wù)功能的主要算途徑，也是我們安全管理要保護(hù)的重點(diǎn)對(duì)象，所以我們必須對(duì)業(yè)務(wù)功能模塊定義.有定義的功能模塊對(duì)象我們就有可能組織權(quán)限根據(jù)用戶(hù)需要完成的工作配置用戶(hù)業(yè)務(wù)功能菜單，這也符合＂最少特權(quán)策略"。界面元素控制:除了功能菜單要受到控制外，如要控制功能模塊的界面元素其功能模塊界面元素也需定義,大部分界面元素均包含有相關(guān)的業(yè)務(wù)功能操作,所以對(duì)相應(yīng)操作的界面元素是進(jìn)行定義是有必要的.數(shù)據(jù)信息控制：業(yè)務(wù)功能模塊的大部分界面元素是顯示和操作數(shù)據(jù)內(nèi)容的基礎(chǔ)，也是用戶(hù)對(duì)讀取數(shù)據(jù)和操作數(shù)據(jù)的主要途徑，為了數(shù)據(jù)信息的安全有必要對(duì)這界面元素的操作數(shù)據(jù)予以采取安全保密措施.這就需要對(duì)這些界面元素定義相關(guān)的數(shù)據(jù)約束條件。對(duì)象定義(流程)流程圖如下

權(quán)限定義工具.

在定義好系統(tǒng)對(duì)象的前提下，定義對(duì)象的在不同情況的的訪問(wèn)類(lèi)型,希望對(duì)象在不同情況下具有不同的訪問(wèn)類(lèi)型,這就需要定義對(duì)象的權(quán)限.定義權(quán)限就是是定義對(duì)象訪問(wèn)控制和數(shù)據(jù)訪問(wèn)控制。為了表述方便我們對(duì)權(quán)限用一個(gè)三元組符號(hào)來(lái)表示p（o，ｔ，p),其中o表示訪問(wèn)對(duì)象;ｔ表示訪問(wèn)類(lèi)型；p表示謂詞.表示在謂詞p為真時(shí)對(duì)于對(duì)象ｏ可進(jìn)行t類(lèi)型的訪問(wèn).權(quán)限定義系統(tǒng)安全管理基礎(chǔ)步驟之一，只有給各種對(duì)象定義好訪問(wèn)的權(quán)限，才能給角色配置權(quán)限,基于角色管理才能成為可能。系統(tǒng)提供定義權(quán)限工具,請(qǐng)程序員根據(jù)實(shí)際需求定義對(duì)象的權(quán)限。定義權(quán)限的流程圖如下:

3.2．2.2.角色定義與權(quán)限配置角色定義。

基于角色的訪問(wèn)控制方法的思想就是把對(duì)用戶(hù)的授權(quán)分成兩部份,用角色來(lái)充當(dāng)用戶(hù)行駛權(quán)限的中介。這樣,用戶(hù)與角色之間以及角色與權(quán)限之間就形成了兩個(gè)多對(duì)多的關(guān)系。系統(tǒng)提供角色定義工具允許用戶(hù)根據(jù)自己的需要(職權(quán)、職位以及分擔(dān)的權(quán)利和責(zé)任)定義相應(yīng)的角色.角色之間有相應(yīng)繼承的關(guān)系，當(dāng)一個(gè)角色r1繼承另一個(gè)角色ｒ2時(shí),r1就自動(dòng)擁有了r2的訪問(wèn)權(quán)限（表示ｒ1—〉r２).角色繼承關(guān)系自然的反映了一個(gè)組織內(nèi)部權(quán)利和責(zé)任的關(guān)系,為方便權(quán)限管理提供了幫助。角色繼承關(guān)系提供了對(duì)已有角色的擴(kuò)充和分類(lèi)的手段，使定義新的角色可以在已有角色的基礎(chǔ)上進(jìn)行,擴(kuò)充就是通過(guò)增加父角色的權(quán)限去定義子角色,分類(lèi)通過(guò)不同子角色繼承同一父角色來(lái)體現(xiàn)。另外還允許多繼承,即一個(gè)角色繼承多個(gè)父角色，多繼承體現(xiàn)對(duì)角色的綜合能力。角色定義示流程圖如下：

權(quán)限配置.

角色是一組訪問(wèn)權(quán)限的集合，一個(gè)用戶(hù)可以是很多角色的成員,一個(gè)角色也可以有很多個(gè)權(quán)限，而一個(gè)權(quán)限也可以重復(fù)配置于多個(gè)角色。權(quán)限配置工作是組織角色的權(quán)限的工作步驟之一，只有角色具有相應(yīng)的權(quán)限后用戶(hù)委派才能具有實(shí)際意義。權(quán)限配置流程圖如下:?3。２。2．３。用戶(hù)、用戶(hù)組定義用戶(hù)定義。?系統(tǒng)的最終使用者是用戶(hù),因此必須建立用戶(hù)的鑒別機(jī)構(gòu)，登記用戶(hù)的身份信息.在系統(tǒng)中定義可登錄的用戶(hù)操作系統(tǒng)是系統(tǒng)安全管理所必須步驟，也是人與系統(tǒng)的接口.用戶(hù)組定義。

為了本系統(tǒng)適用于分散式權(quán)限管理，加入了用戶(hù)組的概念，是指一群用戶(hù)的集合。方便權(quán)限管理用戶(hù)組也可以委派角色,當(dāng)用戶(hù)被加入用戶(hù)組時(shí)自動(dòng)對(duì)用戶(hù)的所在用戶(hù)組擁有的角色進(jìn)行了委派。為了便于分散式權(quán)限管理系統(tǒng)同時(shí)還支持對(duì)部分組的權(quán)限進(jìn)行下發(fā)方式處理,授權(quán)特定的用戶(hù)對(duì)用戶(hù)組的用戶(hù)權(quán)限進(jìn)行管理。３。2.2。4。權(quán)限審查

在授權(quán)完成后可檢查登錄用戶(hù)所的擁有的能力表信息，審查給用戶(hù)的權(quán)限是合適，如不合適可重新進(jìn)行用戶(hù)委派和收回部分權(quán)限的處理.目前系統(tǒng)只能以對(duì)用戶(hù)組管理的模式對(duì)一個(gè)用戶(hù)組內(nèi)的用戶(hù)可進(jìn)行部分權(quán)限收回處理。３.２。2.５．用戶(hù)鑒別機(jī)構(gòu)?安全保護(hù)的首要問(wèn)題是鑒別用戶(hù)身份。目前有三種方法可用:第一、利用用戶(hù)的物理特征(聲波、指紋、相貌、簽名)。這在理論是最可靠的,但由于物理特征可能隨時(shí)間變化且記錄尚欠成熟等原因，使該方法未能廣泛應(yīng)用。第二、利用用戶(hù)特有的證件，如身份證、機(jī)器可讀卡先考片,其缺點(diǎn)是證件可能被別人復(fù)制或冒用。第三、利用用戶(hù)知道的某件能證明其身份的約定(如口令）。這是當(dāng)前較為常用的方法。本系統(tǒng)采用第三種方法。用戶(hù)名稱(chēng)標(biāo)識(shí)其它情況chendａｇood……如上表所示是用戶(hù)鑒別機(jī)構(gòu)保存的一張登記有每個(gè)用戶(hù)名稱(chēng)、標(biāo)識(shí)和有關(guān)情況的表，表中的用戶(hù)名通常是公開(kāi)的,標(biāo)識(shí)則是保密的,當(dāng)用戶(hù)要訪問(wèn)系統(tǒng)時(shí)，須首先把自已的名稱(chēng)和標(biāo)識(shí)登記到系統(tǒng)中(即出示證件）。這時(shí)用戶(hù)鑒別系統(tǒng)機(jī)構(gòu)檢查用戶(hù)的標(biāo)識(shí)是否與用表中的標(biāo)識(shí)一致，是則認(rèn)為用戶(hù)身份己得到證實(shí)，否則認(rèn)為是假冒，系統(tǒng)將拒絕用戶(hù)要求執(zhí)行的操作.口令是最常用的一種標(biāo)識(shí),通常由若干字母、數(shù)字組合而成。系統(tǒng)只允許用戶(hù)連續(xù)兩次或三次登記口令，如果都不對(duì)則要等待一段較長(zhǎng)的時(shí)間才成重新登記,這種延長(zhǎng)時(shí)間的方法能夠有效的防止冒名者猜測(cè)口令的可能。3.2.2．6.訪問(wèn)控制機(jī)構(gòu)

杜絕對(duì)系統(tǒng)非法訪問(wèn)主要方法是訪問(wèn)控制。用戶(hù)系統(tǒng)的訪問(wèn)規(guī)則可以用訪問(wèn)規(guī)則表示，根據(jù)安全策略用訪問(wèn)規(guī)則給0用戶(hù)授權(quán)。訪問(wèn)控制就是要處理怎樣表達(dá)和核對(duì)訪問(wèn)規(guī)則的問(wèn)題。從形式上來(lái)說(shuō)，一條訪問(wèn)規(guī)則可以寫(xiě)成四元組的形式(u，o，t，ｐ)可前已有權(quán)限表示形式重新表示為（u,ｐ)。系統(tǒng)的訪問(wèn)控制分為模塊級(jí)控制和界面元素級(jí)控制。?存貯和檢查訪問(wèn)規(guī)則是訪問(wèn)控制機(jī)構(gòu)須解決的部問(wèn)題。本系統(tǒng)為考慮運(yùn)行速度根據(jù)系統(tǒng)中角色、權(quán)限配置、用戶(hù)委派等關(guān)系動(dòng)態(tài)地的組成一張用戶(hù)能力表保存在系統(tǒng)中根據(jù)上述配置信息改變由系統(tǒng)動(dòng)態(tài)生成和保存。能力表（也稱(chēng)ｃ-表）是存貯和核對(duì)訪問(wèn)規(guī)則的一種有效形式。能力表是面向主體的,用以說(shuō)明主體能對(duì)那個(gè)訪問(wèn)對(duì)象執(zhí)行何種操作.能力表的基本形式如下：ｓij（oi１，ti1，pi１）………。。（oｉj,tij，pｉj）其中si表示第ｉ個(gè)主體；ｊ為ｓｉ可訪問(wèn)的數(shù)據(jù)對(duì)象的個(gè)數(shù)；(oｉ1，ti1,ｐi１)為訪問(wèn)權(quán)限。全部主體的能力表的集合即為系統(tǒng)的全部訪問(wèn)規(guī)則。當(dāng)某個(gè)訪問(wèn)請(qǐng)求需進(jìn)行生效檢查時(shí),則按訪問(wèn)請(qǐng)求的主體找到能力表逐項(xiàng)核對(duì)以決定其是否有效。安全管理控制核心?安全管理控制核心是系統(tǒng)安全管理的核心控制部分,它在系統(tǒng)中控制整個(gè)系統(tǒng)的安全控制工作,由它決定系統(tǒng)是否啟動(dòng)安全管理,在什么情況下調(diào)用訪問(wèn)控制機(jī)構(gòu)，根據(jù)情況編寫(xiě)訪問(wèn)規(guī)則,如何將已有的訪問(wèn)規(guī)則應(yīng)用于控制,存貯訪問(wèn)規(guī)則。4．系統(tǒng)評(píng)價(jià)

4.1.系統(tǒng)特點(diǎn)（自評(píng)）?安全管理系統(tǒng)核心思想是在基于角色控制思想的基礎(chǔ)上提取改進(jìn)而來(lái)的，上述功能模型能較好満足產(chǎn)品開(kāi)發(fā)人員提出的系統(tǒng)訪問(wèn)控制需求.分析如下:實(shí)現(xiàn)了系統(tǒng)開(kāi)發(fā)過(guò)程中的職責(zé)分離，系統(tǒng)的安全管理部分被作為整個(gè)系統(tǒng)的核心控制部分，單獨(dú)的被分離出來(lái)制定一些整個(gè)系統(tǒng)通用的安全準(zhǔn)則。程序員在開(kāi)發(fā)時(shí)不要過(guò)多的考慮程序安全性的問(wèn)題只需要遵系統(tǒng)的安全準(zhǔn)則即可，而是把主要精力花費(fèi)在系統(tǒng)的業(yè)務(wù)功能上.有效的利用系統(tǒng)已有的資源減少系統(tǒng)的冗余,使系統(tǒng)的條理更加清楚。對(duì)已有功能模塊只需設(shè)置不同的特征參數(shù)和對(duì)各種界面元素實(shí)施不同的訪問(wèn)類(lèi)型控制,就能產(chǎn)生不同控制效果不需程序員再進(jìn)行編寫(xiě)程序的工作?；诮巧珜?duì)用戶(hù)組進(jìn)行訪問(wèn)控制：對(duì)一組用戶(hù)比對(duì)單個(gè)用戶(hù)進(jìn)行訪問(wèn)控制更加合理,用戶(hù)組代表了具有相近工作性質(zhì)的一組用戶(hù)的集合,可以委派完成用戶(hù)組工作的角色以控制用戶(hù)組的權(quán)限范圍(當(dāng)然我們也可以把角色看成是我們系統(tǒng)中一個(gè)特定用戶(hù)組）。同時(shí)支持角色的繼承和多繼承。通過(guò)改變用戶(hù)的當(dāng)前角色集就可以改變用戶(hù)的權(quán)限，而改變某種角色所含的權(quán)限時(shí)又可以改變一組用戶(hù)的權(quán)限，基于這種訪問(wèn)控制方式有３個(gè)方面的作用:（1）簡(jiǎn)化了權(quán)限管理，避免直接在用戶(hù)和數(shù)據(jù)之間進(jìn)行授權(quán)和取消。研究表明,用戶(hù)所具有的權(quán)限易于發(fā)生改變，而某種角色所對(duì)應(yīng)的權(quán)限更加穩(wěn)定;(2）有利于合理劃分職責(zé),用戶(hù)只有其所應(yīng)具有權(quán)限,這樣可以避免越權(quán)行為,有關(guān)用戶(hù)組的關(guān)系描述正是對(duì)此的支持;（ｃ)防止權(quán)力濫用，敏感的工作分配給若干個(gè)不同的用戶(hù)完成，需要合作的操作序列不能由單個(gè)用戶(hù)完成。支持動(dòng)態(tài)地改變用戶(hù)的權(quán)限:安全管理考慮了訪問(wèn)權(quán)限不是靜態(tài)，而是動(dòng)態(tài)的情況。所有對(duì)象的權(quán)限均用三元組來(lái)表示p(ｏ,ｔ，ｐ)主體在系統(tǒng)中的訪問(wèn)規(guī)則用四元組來(lái)表示（s,o,t，ｐ）。當(dāng)產(chǎn)品系統(tǒng)使用工作流時(shí),可通過(guò)產(chǎn)品平臺(tái)與安全管理控制核心的接口，重新為編寫(xiě)訪問(wèn)規(guī)則，動(dòng)態(tài)修改主體能力表.動(dòng)態(tài)分配用戶(hù)完成當(dāng)前工作流環(huán)節(jié)所需的權(quán)限.權(quán)限的相互關(guān)聯(lián)：各種權(quán)限不是互相獨(dú)立而是相互關(guān)聯(lián)的,而且權(quán)限可以有感知其它用用戶(hù)操作,這可以描述有關(guān)協(xié)同權(quán)限。功能例如在給數(shù)據(jù)編輯控件授權(quán)只讀權(quán)限時(shí)，收回用戶(hù)對(duì)數(shù)據(jù)插入和刪除權(quán)限,該權(quán)限允許感知其它用戶(hù)的操作，諸如某用戶(hù)改變了數(shù)據(jù)等等。提供方便的授權(quán)/取消機(jī)制和檢查機(jī)制：只要進(jìn)行簡(jiǎn)單的賦值操作即可完成授權(quán)，同時(shí)由角色分配規(guī)則和主體訪問(wèn)規(guī)則控制則指導(dǎo)模型式的應(yīng)用。用戶(hù)之間的授權(quán)關(guān)系：依據(jù)角色指派關(guān)系,運(yùn)行系統(tǒng)中的用戶(hù)自身可以對(duì)角色進(jìn)行管理，這提供了又一種動(dòng)態(tài)改變用戶(hù)權(quán)限的手段。通常，角色指派的權(quán)力都在系統(tǒng)中具有管理責(zé)任的用戶(hù)手中.一、貨物清單：物理：編號(hào)名稱(chēng)規(guī)格型號(hào)功能單位數(shù)量備注核對(duì)04003高中學(xué)生電源交流2～16V/3A，每2V一檔；直流穩(wěn)壓2～16V/2A，每2V一檔臺(tái)2804003高中學(xué)生電源(改進(jìn)型)雙路0～12V穩(wěn)壓連續(xù)可調(diào)，1.5A，兩路可串聯(lián)使用，限流式過(guò)載保護(hù)，自動(dòng)恢復(fù)。交流一路，0～15V，3A，連續(xù)可調(diào)正弦波。帶不低于2.5級(jí)電壓表，延時(shí)式過(guò)載保護(hù)。臺(tái)28可做電子電路實(shí)驗(yàn)04006高中教學(xué)電源交流：2～24V，每2V一檔，2～6V/12A，8～12V/6A，14～24V/3A，直流穩(wěn)壓：1～25V分檔連續(xù)可調(diào)，2～6V/6A，8～12V/4A，14～24V/2A；40A、8s自動(dòng)關(guān)斷臺(tái)104007蓄電池6V，15Ah，閥控式或封閉免維護(hù)式臺(tái)204008調(diào)壓變壓器2kVA，TDGC2系列臺(tái)104010電池盒4個(gè)一組，1號(hào)電池，可串并聯(lián)組2804011感應(yīng)圈電子開(kāi)關(guān)式臺(tái)104012直流高壓電源高壓250V、300V、600V、1000V、1200V、1500V，紋波電壓≤0.5V。電流：250V、300V時(shí)≥0.1A；600V、1000V、1200V、1500V時(shí)≥0.05A；有過(guò)載保護(hù)。臺(tái)104013學(xué)生高壓微電流源輸入DC6V，輸出電壓不小于17.5kV，短路電流不大于500μA臺(tái)2804014教學(xué)用鉛酸蓄電池充電器可充28個(gè)可調(diào)內(nèi)阻電池和閥控式鉛－酸蓄電池臺(tái)110002木直尺1000mm只2810004鋼直尺200mm只2810004鋼直尺600mm只2810005鋼卷尺5000mm盒2810010游標(biāo)卡尺125mm，0.02mm把2810010游標(biāo)卡尺125mm，0.05mm把2810011外徑千分尺(螺旋測(cè)微器)25mm，0.01mm只2810012數(shù)顯游標(biāo)卡尺150mm，0.01mm把111001物理天平500g臺(tái)111002學(xué)生天平200g，0.02g臺(tái)2811003托盤(pán)天平200g，0.2g臺(tái)1411003托盤(pán)天平500g，0.5g臺(tái)111021金屬鉤碼(高中組)50g×4，200g×4套2811022金屬槽碼(高中組)2g×4，5g×4，10g×4，20g×4，50g×4，100g×4，200g×4，5g×1金屬槽碼盤(pán)和10g×1金屬槽碼盤(pán)套2812001機(jī)械停表0.1s塊2812003電子停表0.01s塊2812004電子停鐘0.1s塊2812005電火花計(jì)時(shí)器單頻率：0.02s,火花距離不小于10mm,平均電流不大于0.5mA個(gè)2812005電火花計(jì)時(shí)器多頻率：0.01s、0.02s、0.05s,有同步釋放功能個(gè)2812006電磁打點(diǎn)計(jì)時(shí)器個(gè)2815003高中數(shù)字演示電表直流/交流電壓、電流，檢流；四位半數(shù)碼管,不小于5cm只315007絕緣電阻表500V只1教師用15008直流電流表2.5級(jí)，0.6A，3A只84串并聯(lián)電路每組3只15008直流電流表2.5級(jí)，200μA只2815009直流電壓表2.5級(jí)，3V，15V只84串并聯(lián)電路每組3只15010靈敏電流計(jì)±300μA只2815011多用電表指針式，不低于2.5級(jí)只28不低于MF47型15011多用電表數(shù)字式，三位半，電壓﹑電流﹑電阻﹑溫度測(cè)試﹑電容﹑二極管測(cè)試只28不低于890型15011多用電表數(shù)字式，四位半，電壓﹑電流﹑電阻﹑溫度測(cè)試﹑頻率測(cè)試﹑電容﹑二極管測(cè)試只1教師用，不低于9806型15015交流電流表2.5級(jí)，毫安級(jí)只2815016演示電流電壓表臺(tái)2J0402型15017演示微電流電阻表臺(tái)1J0403型15教學(xué)示波器臺(tái)115022學(xué)生示波器臺(tái)2815023示波器小型、通用。DC10MHz，5mV/div，觸發(fā)電平鎖定臺(tái)28不低于4250型15023示波器通用二蹤。多通道，采樣頻率不低于20MHz臺(tái)1教師用15023示波器15MHz，慢掃10s/cm臺(tái)1教師用15026電阻箱四位9999Ω，0.5級(jí)個(gè)2815026電阻箱五位99999Ω，0.5級(jí)個(gè)116030量角器(圓等分器)半圓直徑不小于190mm個(gè)28平行四邊形定則、幾何光學(xué)21004慣性演示器套221005摩擦計(jì)套2821006螺旋彈簧組0.5N，1N，2N組221006螺旋彈簧組3N，5N只28胡克定律學(xué)生實(shí)驗(yàn)21011帕斯卡球個(gè)121024摩擦力演示器臺(tái)121025微小形變演示器高矮兩平面鏡,帶支架標(biāo)尺,激光筆可調(diào)角度套121026力的合成分解演示器套121027支桿定滑輪和桌邊夾組每套帶支桿單滑輪、尼龍線、桌邊夾各3件，小鐵環(huán)1件，支桿高度可調(diào)套2821028高中靜力學(xué)演示教具套121029高中力學(xué)演示板套121030杠桿套2821033滾擺(麥克斯韋滾擺)個(gè)221034離心軌道有捕球網(wǎng)套121038手搖離心轉(zhuǎn)臺(tái)臺(tái)1與離心機(jī)械模型配用21039電動(dòng)離心轉(zhuǎn)臺(tái)可調(diào)速臺(tái)1與離心機(jī)械模型配用21046毛錢(qián)管(牛頓管)帶釋放裝置套121047伽利略理想斜面演示器長(zhǎng)度不小于1200mm,一端高度可連續(xù)升降，連接曲面光滑套1可演示勢(shì)能和動(dòng)能轉(zhuǎn)換等21048斜槽軌道有小球121049運(yùn)動(dòng)合成分解演示器可做勻速-勻速、勻速-勻加速運(yùn)動(dòng)合成套121050演示軌道小車(chē)?yán)秒娀鸹ㄓ?jì)時(shí)，車(chē)拖紙帶式，打點(diǎn)有效距離不小于900mm套121051軌道小車(chē)車(chē)拖紙帶式，打點(diǎn)有效距離不小于600mm套2821051軌道小車(chē)軌道打點(diǎn)式，打點(diǎn)有效距離不小于600mm；套2821053演示斜面小車(chē)1200mm套121054斜面小車(chē)套2821055氣墊導(dǎo)軌1200mm，可調(diào)臺(tái)28與數(shù)字計(jì)時(shí)器和小型氣源配合使用21056小型氣源氣壓不小于5kPa，低噪聲臺(tái)2821057自由落體實(shí)驗(yàn)儀有4個(gè)光電門(mén)套28與有4光電門(mén)擴(kuò)充Ⅰ型數(shù)字計(jì)時(shí)器配合使用21058水滴運(yùn)動(dòng)頻閃觀察儀在頻閃光源下連續(xù)觀察均勻水滴自由下落及拋射運(yùn)動(dòng)套121059牛頓第二定律演示儀套121060牛頓第二定律實(shí)驗(yàn)儀一體化水平雙車(chē)軌道，首端可安兩打點(diǎn)計(jì)時(shí)器，尾端有緩沖，同步剎車(chē)不損紙帶，小車(chē)質(zhì)量200克，車(chē)中可平放4個(gè)50克鉤碼，紙帶打點(diǎn)位移不小于600mm套28用兩打點(diǎn)計(jì)時(shí)器測(cè)紙帶位移21061反沖運(yùn)動(dòng)演示器有兩種以上運(yùn)動(dòng)形式套121062超重失重演示器記憶指針式個(gè)121063超重失重演示儀移動(dòng)距離不小于1.5米，超重、失重加速度可調(diào)，靈敏測(cè)力計(jì)示數(shù)可見(jiàn)套121064動(dòng)能勢(shì)能演示器半定量實(shí)驗(yàn)臺(tái)121065平拋豎落儀個(gè)121066平拋運(yùn)動(dòng)實(shí)驗(yàn)器套2821067平拋和碰撞實(shí)驗(yàn)器套2821068碰撞實(shí)驗(yàn)器臺(tái)2821069沖擊擺實(shí)驗(yàn)器臺(tái)121070頻閃運(yùn)動(dòng)實(shí)驗(yàn)儀套2需數(shù)碼相機(jī)(攝象機(jī))和微機(jī)配合使用，自由落體﹑平拋﹑斜拋、彈性碰撞、機(jī)械能守恒等實(shí)驗(yàn)21071二維空間—時(shí)間描跡儀能做平拋、斜拋、碰撞、向心力、單擺振動(dòng)圖象等實(shí)驗(yàn)套121072向心力演示器臺(tái)121072向心力演示器數(shù)顯臺(tái)121074向心力實(shí)驗(yàn)器手動(dòng)指針式臺(tái)2821074向心力實(shí)驗(yàn)器電動(dòng)指針式臺(tái)2821076凹凸橋演示器套121077演示力矩盤(pán)個(gè)121078力矩盤(pán)個(gè)2821079動(dòng)量傳遞演示器(碰撞球)不少于5球套121080微重力實(shí)驗(yàn)裝置微重力實(shí)驗(yàn)、自由落體坐標(biāo)系和靜止坐標(biāo)系實(shí)驗(yàn)套1需數(shù)碼相機(jī)(攝像機(jī))﹑微機(jī)﹑攝像機(jī)落體軌道架配合使用22001音叉256Hz套122001音叉512Hz套122005縱波演示器套122021聲速測(cè)量?jī)x臺(tái)122021共振音叉440Hz對(duì)122021聲波演示儀套122021縱橫波演示器臺(tái)122021繩波演示器橫波、行波、駐波、模擬偏振，長(zhǎng)6米以上套122021波動(dòng)彈簧扁鋼絲彈簧，外徑不小于66mm，圈數(shù)不小于180，兩端為90°彎折半圓個(gè)122021波動(dòng)演示器簾式臺(tái)122021發(fā)波水槽電動(dòng)波源帶同步頻閃光源套122021發(fā)波水槽機(jī)械振子套122021彈簧振子氣墊式套1配以小型氣源或電吹風(fēng)22021彈簧振子水平式和懸吊式套122彈簧振子振動(dòng)圖象描繪器自動(dòng)穩(wěn)定走紙臺(tái)122021簡(jiǎn)諧振動(dòng)投影演示器臺(tái)122022勻速圓周運(yùn)動(dòng)投影器臺(tái)122023單擺組5個(gè)擺球組2822024單擺振動(dòng)圖象演示器非投影式臺(tái)122025單擺運(yùn)動(dòng)規(guī)律演示器光電門(mén)計(jì)時(shí)套122215油膜實(shí)驗(yàn)器套2822216浸潤(rùn)和不浸潤(rùn)現(xiàn)象演示器個(gè)122217液體表面張力演示組套122218液體表面張力實(shí)驗(yàn)組套2822219毛細(xì)現(xiàn)象演示器套122220伽爾頓板(道爾頓板)型號(hào)：F-DB-BS-3臺(tái)122220伽爾頓板(道爾頓板)型號(hào)：F-DB-BS-1臺(tái)2822222氣體定律實(shí)驗(yàn)器要提供修正體積套2822223玻意耳定律實(shí)驗(yàn)器U型管式,有豎刻度板等套2822224蓋·呂薩克定律實(shí)驗(yàn)器定容燒瓶式，L形玻璃管，橫刻度板等套2823001玻棒(附絲綢)或有機(jī)玻棒(附絲綢)，教師用對(duì)123003膠棒(附毛皮)或聚碳酸酯棒(附毛皮)，教師用對(duì)123005箔片驗(yàn)電器教師用對(duì)123005箔片驗(yàn)電器學(xué)生用對(duì)2823007靜電計(jì)(指針驗(yàn)電器)對(duì)123008感應(yīng)起電機(jī)臺(tái)123009枕形導(dǎo)體副123010小燈座個(gè)56串并聯(lián)每組至少2個(gè)23011單刀開(kāi)關(guān)個(gè)56串并聯(lián)每組至少2個(gè)23012滑動(dòng)變阻器20Ω，2A；個(gè)2823012滑動(dòng)變阻器50Ω，1.5A個(gè)2823012滑動(dòng)變阻器200Ω，1.25A個(gè)123019電阻定律演示器臺(tái)123024電阻定律實(shí)驗(yàn)器不少于四根導(dǎo)線，長(zhǎng)度、截面積、材料不同臺(tái)2823025演示線路實(shí)驗(yàn)板高中演示組套123026學(xué)生線路實(shí)驗(yàn)板高中學(xué)生組套2823033單刀雙擲開(kāi)關(guān)個(gè)2823034雙刀雙擲開(kāi)關(guān)個(gè)2823035焦耳定律演示器套123037保險(xiǎn)絲作用演示器套123040范氏起電機(jī)臺(tái)123041球形導(dǎo)體個(gè)123042驗(yàn)電器連接桿個(gè)123043移電球(驗(yàn)電球)個(gè)123044驗(yàn)電羽對(duì)123045驗(yàn)電幡個(gè)123046尖形布電器個(gè)12