2.2.1 访问控制要素定义

定义2-1 访问请求实体。访问请求实体为资源访问请求的发起方，记为 q =＜ u , a , r ＞，其中， u 表示用户，是用户的唯一标识，用户集合记为 ; a 表示访问代理，是访问代理的唯一标识，访问代理可以是一个装置、进程或用户等，访问代理集合记为 ; r 代表角色，是用户角色的唯一标识，角色集合记为 。约定＜ u ,·,·＞表示用户为 u 的所有访问请求实体，＜ u ,·, r ＞表示用户为 u 、角色为 r 的所有访问请求实体。其他情况依此类推，不再详述。

根据定义2-1，访问请求实体集合记为：

定义2-2 广义时态（temporal factor）。广义时态是访问请求实体进行资源访问时所有与时态相关信息的集合，记为：

其中， 表示起始时间和终止时间， ;period表示时间周期；duration 表示持续时间。则当 时， t =<[begin,end], period,duration＞；令 t 为 T 中的元素，当 时， t =<[begin 1 ,end 1 ], [begin 2 ,end 2 ],…, ,period,duration＞。

定义2-3 接入点（access point）。接入点是资源访问请求实体在发起访问请求时首次接入网络系统中的空间位置和网络标识，记为 l =＜ l ^SPID , l ^NETID ＞，其中， l ^SPID =＜ x , y , z ＞∈ L ^SPID 表示三维空间位置坐标，如 x 表示经度， y 表示纬度， z 表示高度； 表示网络接入唯一标识，包括手机唯一标识码（imei）、基站（bs）、网络号（nID）、MAC地址（MAC）、端口（port）、IP地址（ip）、域名（domain）等。

根据定义2-3，接入点集合记为：

定义2-4 资源（resource）。资源指访问的对象，记为 o =＜ c ^O , gO , s ^O ＞，其中 c ^O ∈ C ^O 表示资源的内容； g ^O ∈ G ^O 表示资源的通用属性； s ^O ∈ S ^O 表示资源的安全属性。

资源的通用属性指资源的类别、来源等属性。资源的通用属性集合记为：

其中， 表示资源类别的集合，包括数据库表、文件、网页等； 表示信息来源的集合，包括创建、转发以及重组等； 表示资源大小的集合，记为 ; 表示资源的时态属性集合。

资源的安全属性指允许执行的操作、是否允许转发、销毁方式等属性。资源的安全属性集合记为：

其中， 表示允许对资源执行的操作； 表示资源的分发方式； 表示资源的销毁方式； 表示资源的安全等级； 表示资源的加密方式。

根据定义2-4，资源的集合记为：

定义2-5 访问设备（device）。访问设备指访问请求实体访问资源时所使用的设备，记为 d =＜ g ^D , s ^D , t ＞，其中， g ^D 表示访问设备的通用属性， s ^D 表示访问设备的安全属性， t 表示设备的时间属性。相应地， G ^D 表示设备通用属性集合，包括处理器名（CPU）、操作系统名（OS）、接口名（interface）、内存名（memory）、硬盘名（disk）、应用程序名（App）等； S ^D 表示设备安全属性集合，主要包括最小风险容许系数（mincoe）和最大风险容许系数（maxcoe）、安全域（security domain）、安全等级（security level）、安全软件模块（security-software module）、安全硬件模块（security-hardware module）。 T 为广义时态集合，表示访问设备的时间属性。

根据定义2-5，访问设备集合记为：

定义2-6 网络（network）。网络是信息传播的载体，是局域网内、广域网内或者任意设备间信息传播通道的集合。网络可以用有向属性图NG=( V , E )表示，其中， V 是顶点集合， E 是边的集合。

顶点 v 表示网络中的子网或设备，记为 v =＜ n ^V , g ^V , s ^V ＞，其中， n ^V 表示顶点名，指代一个网络或设备； g ^V 表示顶点 v 的通用属性； s ^V 表示顶点 v 的安全属性。

顶点的通用属性集合记为：

在顶点的通用属性集合定义中， 表示网络类型集合，包括 LAN、WAN、WLAN等； 表示顶点类型集合，包括in、out、inout、interior等； 表示网络协议集合，包括TCP/IP、Bluetooth、802.11a/b/g/n、ISO11898、CDMA2000/WCDMA/TD-SCDMA、LTE等。

顶点可能是设备，也可能是子网。若顶点表示设备，则顶点的安全属性如定义2-5所示；若顶点表示子网，则顶点的安全属性集合记为：

在顶点的安全属性集合定义中， 表示管控信息； 表示加密类型集合，包括3DES、RSA、ECC、AES、SM2/3/4等； 表示安全协议类型集合，包括SSL、SSH、HTTPS、MANCONFIRM等。

根据上述定义，顶点集合记为：

有向属性图中的边 E 标记了顶点间的连通属性和安全属性，记为＜ v _m , v _n , g ^E , s ^E ＞，其中， v _m ∈ V 表示边 e 的起点， v _n ∈ V 表示边 e 的终点， g ^E ∈ G ^E 表示边 e 的连通属性， s ^E ∈ S ^E 表示边 e 的安全属性。

边 e 的通用属性集合表示为：

在边 e 的通用属性集合定义中， 表示性能属性集合，包括Bandwidth、QoS、Hop、Delay等； 表示协议属性集合，包括TCP/IP、Bluetooth、802.11a/b/g/n、ISO11898、CDMA2000/WCDMA/TD-SCDMA、LTE等。

边 e 的安全属性集合表示为：

在边 e 的安全属性集合定义中， 表示加密类型集合，包括3DES、RSA、ECC、AES、SM2/3/4等； 表示安全协议类型集合，包括SSL、SSH、HTTPS、MANCONFIRM等。

根据上述定义，边的集合记为：

定义2-7 网络交互图（network interactive graph）。网络交互图是网络中任意2个顶点间的连通路径构成的网络子图。网络交互图由交互行为及网络传播链组成，具体定义如下。

交互行为指由2个相邻连通节点及其边组成的有向子图。对于有向属性图NG上的顶点 v 和 w ，若存在＜ v , w , g ^E , s ^E ＞∈ E ，则顶点 v 和 w 间的交互行为记为 N =＜ v → w , t ＞，其中， t 是交互行为的时间属性。

网络交互行为集合由有向属性图NG上所有交互行为组成，记为：

网络传播链是基于网络节点的有序交互行为的集合，在有向属性图NG上表现为一条有向路径。设 v 为信息发起点， w 为信息接收点， v 和 w 之间的网络传播链交互行为集合记为：

其中，∀ j ∈(1, k -1], 。

网络有向属性图NG中边是单向或双向的，顶点 v 和 w 之间的网络交互图指顶点间所有传播链组成的有向属性图。因此，网络交互图是单向边和双向边的任意组合，记为NG _N =( V ( v , w ), E ( v , w ))，其中：

定义2-8 资源传播链（resource chain）。资源传播链用于描述资源传播过程中信息交换的过程。资源在两个资源访问请求实体之间的一次传输被称为一次资源传播过程，记为＜ s → r , o , t ＞，其中， s 表示资源的发起者或转发者， r 表示资源的接收者， o 表示资源， t 表示广义时态。

某一资源的某次传播链是资源交换的有序集合，记为：

其中， s _i 为发起者， r _i 为接收者。根据上述定义，资源传播链的集合记为 。

定义 2-9 场景（scene）。信息访问实体 q 启动会话 ses 并获得权限 p 时，所涉及的广义时态、接入点、设备以及网络信息共同构成一个场景，记为sc=( t , l , d ,ng)，其中， t ∈ T , l ∈ L , d ∈ D ,ng∈NG。

定义2-10 场景约束（scene constraint）。场景约束用于对信息访问实体进行权限控制，即启动会话 s 之后，信息访问实体仅能通过场景sc获取相应权限 p P ，其中 P 为权限集。

表2-1给出了场景约束描述，其中，SES表示会话集；assign/deassign表示分配和解分配关系； N active 表示当前的激活数量； N max 表示所能激活的最大数量；active Q_tota l表示资源访问实体当前激活的所有场景；active P_total 表示得到某个权限的所有激活场景。

定义2-11 资源访问实体−场景分配（qsc）。资源访问实体−场景分配是为资源访问实体 q 分配场景sc,qsc的集合记为QSC。

定义2-12 实体场景−权限分配（qscp）。实体场景−权限分配是为实体场景qsc分配权限 p ,qscp的集合记为QSCP。 fHHBq9hMPGq3GhqcLI2BrcNM2h4O2uyu8lBDYi4WPZlhMQf5NXHtSL/eMibUuF9f