一種支持最小特權的用戶按需授權方法
2023-08-09 22:12:46
一種支持最小特權的用戶按需授權方法
【專利摘要】本發明公開了一種支持最小特權的用戶按需授權方法，其實施步驟如下：在作業系統中建立多個角色，分別為每一個角色設置驗證密碼；將不同應用程式運行所需要的不同權限分類定義為不同的權限類型；在登錄時為用戶關聯角色及角色的權限類型，並可根據程序需要進行角色轉換或者權限類型轉換；最終提取用戶當前的角色及其權限類型信息，基於用戶當前的角色及其權限類型判斷是否允許用戶請求的程序執行，如果允許則執行用戶請求的程序，否則禁止執行用戶請求的程序。本發明能夠針對不同應用的實際權限需求進行權限授予，確保用戶執行應用時應用僅具有完成正常功能的相關權限，保證安全性的同時提高了系統的易用性、通用性好、適用範圍廣。
【專利說明】 一種支持最小特權的用戶按需授權方法
【技術領域】
[0001]本發明涉及計算機系統的用戶權限管理領域，具體涉及一種支持最小特權的用戶按需授權方法。
【背景技術】
[0002]隨著信息化程度的逐漸深入，越來越多的核心業務基於信息系統構建，所以如何保障信息系統的安全性與穩定性也越來越重要。為了解決該問題，系統除提供完成正常服務的功能外，還需要對操作的權限進行檢查，實現相應的訪問控制。
[0003]訪問控制是信息安全領域中的一類重要技術，它通過某些方式阻止未授權用戶與特定的資源交互，並且保證授權的用戶不會被拒絕。基於在主體集和客體集之間是否有嚴格的順序，訪問控制主要分為兩大類，自主訪問控制和強制訪問控制。自主訪問控制的基本思想就是訪問主體可以向其他主體自主的轉讓自己的訪問權限，允許把訪問控制權的授予和取消留給個體用戶來判斷，為沒有訪問控制權的個體用戶授予和廢除許可。強制訪問控制是一種限制訪問客體的手段，它以包含在這些客體中的信息敏感性和訪問這些敏感性信息的主體的正式授權信息為基礎。在訪問控制中，對訪問控制列表或者權限表的維護是一個管理性的問題，基於角色的訪問控制可以簡化授權管理。基於角色的訪問控制通過把主體映射到角色而不是直接映射到權限來實現最小權限、責任分離和數據抽象。角色是一些特權的集合，用戶只需關聯到角色便具有相應的權限。系統中往往涉及到較多的權限，如果把較多的權限關聯到一個角色，關聯該角色的用戶便具有較大的操作權限，不符合最小特權的原則，也往往容易帶來安全隱患；如果每個角色所具有的權限較少，則又導致只關聯了該角色的用戶往往無法完成所需要的所有操作。綜上所述，現有技術的用戶授權方案中將相關權限一次性賦予管理用戶，不符合最小特權原則，容易帶來安全隱患。
【發明內容】
[0004]本發明要解決的技術問題是:針對現有技術的上述技術問題，提供一種能夠針對不同應用的實際權限需求進行權限授予，確保用戶執行應用時應用僅具有完成正常功能的相關權限，保證安全性的同時提高了系統的易用性、通用性好、適用範圍廣的支持最小特權的用戶按需授權方法。
[0005]為了解決上述技術問題，本發明提供的技術方案為:
一種支持最小特權的用戶按需授權方法，其實施步驟如下:
1)在作業系統中建立多個角色，分別為每一個角色設置驗證密碼；將作業系統中不同應用程式運行所需要的不同權限分類定義為不同的權限類型，控制一個用戶可關聯多個角色且每一個用戶同一時刻只能關聯一個角色、一個角色可關聯多種權限類型且每一個角色同一時刻只能關聯一種權限類型；
2)當用戶登錄作業系統時為用戶設定角色並關聯該角色的權限類型，在作業系統運行過程中為用戶提供指定所需角色、權限類型轉換的顯式轉換功能，當用戶發起轉換請求時則針對目標角色或目標權限類型關聯的目標角色進行密碼驗證，密碼驗證通過則根據需要對用戶執行角色轉換或者對用戶當前的角色執行權限類型轉換；
3)當用戶請求程序執行時，檢測程序是否需要角色轉換或者權限類型轉換，如果需要角色轉換或者權限類型轉換則針對目標角色進行密碼驗證，密碼驗證通過則根據需要對用戶執行角色轉換或者對用戶當前的角色執行權限類型轉換；最終提取用戶當前的角色及其權限類型信息，基於用戶當前的角色及其權限類型判斷是否允許用戶請求的程序執行，如果允許則執行用戶請求的程序，否則禁止執行用戶請求的程序。
[0006]優選地，所述步驟1)中的多個角色包括安全管理角色、系統管理角色、審計管理角色。
[0007]優選地，所述步驟2)的詳細步驟如下:
2.1)當作業系統中的用戶登錄時，首先針對該用戶進行用戶登陸密碼驗證，如果用戶登陸密碼驗證失敗，則返回登錄界面並退出；否則跳轉執行下一步；
2.2)查詢該用戶是否已經設置默認登錄角色，如果已設定默認登錄角色，則將所述默認登錄角色關聯作為用戶當前的角色登錄作業系統，且關聯所述默認登錄角色默認的權限類型；否則查詢該用戶綁定的所有角色，提示用戶在綁定的角色列表中進行選擇，使用用戶當前選擇的角色登錄作業系統，且關聯所述角色默認的權限類型；
2.3)在作業系統運行過程中為用戶提供指定所需角色、權限類型轉換的顯式轉換功能，當用戶發起轉換請求時則針對目標角色或目標權限類型關聯的目標角色進行密碼驗證，密碼驗證通過則根據需要對用戶執行角色轉換或者對用戶當前的角色執行權限類型轉換。
[0008]優選地，所述步驟2.3)的詳細步驟如下:
2.3.1)在作業系統運行過程中為用戶提供指定所需角色、權限類型轉換的顯式轉換功能，判斷用戶發起轉換請求的請求類型，如果請求類型為權限類型轉換則跳轉步驟2.3.2)，如果請求類型為角色轉換則跳轉步驟2.3.5)；
2.3.2)提取用戶發起轉換請求的目標權限類型所對應的目標角色的信息；
2.3.3)基於作業系統的系統安全機制發出針對所述目標角色的密碼驗證，如果用戶未通過該密碼驗證，則中止對用戶當前的角色執行權限類型轉換，為用戶當前的角色保留用戶發起轉換請求前的原始權限類型並退出；如果用戶通過該密碼驗證，則跳轉執行下一
[K
少;
2.3.4)將用戶當前的角色切換關聯至用戶發起轉換請求的目標權限類型並退出；
2.3.5)提取用戶發起轉換請求的目標角色的信息；
2.3.6)基於作業系統的系統安全機制發出針對所述目標角色的密碼驗證，如果用戶未通過該密碼驗證，則中止對用戶執行角色轉換，為用戶保留用戶發起轉換請求前的原始角色並退出；如果用戶通過該密碼驗證，則跳轉執行下一步；
2.3.7)將用戶當前的角色切換到用戶發起轉換請求的目標角色，關聯默認權限類型並退出。
[0009]優選地，所述步驟3)的詳細步驟如下:
3.1)當用戶請求程序執行時，跳轉執行下一步；
3.2.)檢測程序是否需要角色轉換或者權限類型轉換，如果不需要角色轉換或者權限類型轉換則跳轉執行步驟3.8)，否則跳轉執行下一步；
3.3)針對用戶目標角色進行密碼驗證，如果密碼驗證不通過則中止執行用戶請求的程序並退出；否則如果密碼驗證通過則跳轉執行下一步；
3.4)查詢執行該程序是否需要進行角色轉換，如果不需要角色轉換則跳轉執行步驟
3.6)，否則跳轉執行下一步；
3.5)對用戶執行角色轉換；
3.6)查詢執行該程序是否需要進行權限類型轉換，如果不需要權限類型轉換則跳轉執行步驟3.8)，否則跳轉執行下一步；
3.7)將對用戶當前的角色執行權限類型轉換；
3.8)提取用戶當前的角色及其權限類型信息；
3.9)根據用戶當前的角色的權限類型信息判斷是否允許執行用戶請求執行的程序，如果允許則跳轉執行下一步，否則禁止執行用戶請求的程序並退出；
3.10)根據用戶當前的角色判斷是否允許執行用戶請求執行的程序，如果允許則執行用戶請求的程序，否則禁止執行用戶請求的程序。
[0010]本發明支持最小特權的用戶按需授權方法具有下述優點:
1、本發明在作業系統中建立多個角色，分別為每一個角色設置驗證密碼；將作業系統中不同應用程式運行所需要的不同權限分類定義為不同的權限類型，控制一個用戶可關聯多個角色且每一個用戶同一時刻只能關聯一個角色、一個角色可關聯多種權限類型且每一個角色同一時刻只能關聯一種權限類型，支持為用戶關聯多個角色，一個時刻只能綁定一個角色和權限類型，實現權限最小化，在用戶登錄作業系統時支持用戶選擇角色登錄作業系統；當用戶執行程序時，根據程序所需權限自動為用戶提供角色及權限類型轉換請求，用戶對角色轉換請求做出相應，在保證了安全性的同時提高了系統的易用性。
[0011]2、本發明在作業系統運行過程中為用戶提供指定所需角色、權限類型轉換的隱式轉換功能，當用戶請求程序執行時檢測程序是否需要角色轉換或者權限類型轉換，如果需要角色轉換或者權限類型轉換則針對目標角色進行密碼驗證，因此通過作業系統為用戶提供執行特定應用時自動角色切換的隱式轉換，同時系統也為用戶提供指定所需角色、權限類型轉換的顯式轉換，因此在確保安全的基礎上，能夠在密碼驗證通過的前提下，最大程度地確保用戶以及程序能夠完成角色轉換或者權限類型轉換。
[0012]3、本發明保證用戶在進行角色轉換時，目標角色必須與該用戶綁定，且必須通過角色轉換認證，只有通過認證角色轉換才能完成，在作業系統中建立多個角色時分別為每一個角色設置驗證密碼，角色轉換認證中為不同角色設置不同的密碼，有效保證只有知道該角色密碼的用戶才能完成角色轉換，實現了最小權限原則、責任分離原則和數據抽象原則。
[0013]4、本發明採用的用戶按需授權方法具有通用性，便於在多種目標系統中使用本發明實現靈活、安全的訪問控制，能夠支持平臺的多樣性，具有通用性好、適用範圍廣的優點。
【專利附圖】
【附圖說明】
[0014]圖1為本發明實施例的實施流程示意圖。
[0015]圖2為本發明實施例中用戶、角色、權限類型之間的映射關係示意圖。
[0016]圖3為本發明實施例中步驟2)的實施流程示意圖。
[0017]圖4為本發明實施例中權限類型顯式轉換功能的實施流程示意圖。
[0018]圖5為本發明實施例中角色顯式轉換功能的實施流程示意圖。
[0019]圖6為本發明實施例中步驟3)的實施流程示意圖。
【具體實施方式】
[0020]如圖1所示，本實施例支持最小特權的用戶按需授權方法的實施步驟如下:
1)在作業系統中建立多個角色，分別為每一個角色設置驗證密碼；將作業系統中不同應用程式運行所需要的不同權限分類定義為不同的權限類型，控制一個用戶可關聯多個角色且每一個用戶同一時刻只能關聯一個角色、一個角色可關聯多種權限類型且每一個角色同一時刻只能關聯一種權限類型；
2)當用戶登錄作業系統時為用戶設定角色並關聯該角色的權限類型，在作業系統運行過程中為用戶提供指定所需角色、權限類型轉換的顯式轉換功能，當用戶發起轉換請求時則針對目標角色或目標權限類型關聯的目標角色進行密碼驗證，密碼驗證通過則根據需要對用戶執行角色轉換或者對用戶當前的角色執行權限類型轉換；
3)當用戶請求程序執行時，檢測程序是否需要角色轉換或者權限類型轉換(隱式轉換)，如果需要角色轉換或者權限類型轉換則針對目標角色進行密碼驗證，密碼驗證通過則根據需要對用戶執行角色轉換或者對用戶當前的角色執行權限類型轉換；最終提取用戶當前的角色及其權限類型信息，基於用戶當前的角色及其權限類型判斷是否允許用戶請求的程序執行，如果允許則執行用戶請求的程序，否則禁止執行用戶請求的程序。
[0021]本實施例中依據最小特權原則將不同應用程式運行所需要的不同權限定義為不同的權限類型，將不同的權限類型和系統操作權限劃分到不同的角色，同一時刻一個角色只能綁定一個權限類型，同一角色可以在不同的權限類型間進行切換，由不同的角色負責完成不同的管理操作；將作業系統用戶與角色關聯，綁定特定角色的用戶具有角色所具有的權限；一個用戶可以與多個角色進行關聯，但一個時刻用戶只能綁定一個角色，用戶僅具有該角色及權限類型的相關權限；用戶可以在關聯的不同角色之間進行切換，當用戶切換角色時需要通過密碼認證，且不同的角色使用不同的密碼。本實施例支持最小特權的用戶按需授權方法，通過角色將不同的權限類型和系統權限進行劃分，不同角色代表不同的管理職能。用戶可以綁定多個不同的角色，在用戶執行程序時，系統安全機制檢查程序是否需要進行角色和權限類型轉換，如果需要，則發起角色、權限類型轉換請求，如果是角色轉換，提示用戶進行密碼認證。在通過角色轉換驗證後完成角色轉換。目標程序在特定的角色和權限類型上運行，運行結束後程序權限隨程序一起釋放。角色轉換認證中，不同的角色對應不同的密碼，增強了系統的強制訪問控制機制。
[0022]本實施例將不同的權限類型和作業系統權限劃分到不同的角色，由不同的角色負責完成不同的管理操作。一個角色只能在一個時刻綁定一個權限類型，當進行權限檢查時，安全機制針對該角色所綁定的權限類型和作業系統權限進行檢查，如果發起操作主體角色所綁定的權限類型和作業系統權限具有相應的權限，則允許其完成所請求的操作，否則拒絕該次請求操作。用戶、角色和權限類型是多對多的綁定管理，一個用戶可以和多個角色綁定，一個角色可以關聯多個權限類型。用戶與角色、角色與權限類型的綁定關係根據系統中安全策略的實際部署情況決定。綁定了角色的用戶具有角色所具有的權限。
[0023]如圖2所示，本實施例共η個用戶(用戶1?用戶η)、η個角色(角色1?角色η)和η種權限類型(權限類型1?權限類型η)，對於用戶1而言，其可關聯的角色為角色1和角色3，對於用戶2而言，其可關聯的角色為角色2和角色3，對於用戶3而言，其可關聯的角色為角色3 ;對於角色1而言，其可關聯權限類型1、權限類型2、權限類型3中的任意一種，但是同一時刻角色1隻能綁定一個權限類型，對於角色2而言，其可關聯權限類型2 —種，對於角色3而言，其可關聯權限類型3 —種。本實施例中，步驟1)中的多個角色包括安全管理角色、系統管理角色、審計管理角色。本實施例將作業系統用戶與角色關聯，綁定特定角色的用戶具有角色所具有的權限。作業系統用戶通過綁定角色具有對應角色的相關權限，系統可以根據業務情況定義特定的幾種角色，如安全管理角色、系統管理角色、審計管理角色等。系統用戶可以是任意多個，通過將不同的系統用戶與角色關聯、綁定是系統用戶具有相應的操作權限。當用戶綁定多個角色時，可以設置用戶的默認登陸角色，即登陸時用戶不需要進行角色選擇，採用默認關聯的角色登陸系統，用戶具有該默認角色所綁定的權限類型和系統權限。系統中用戶與角色綁定中，安全機制提供默認綁定規則，即如果新加用戶未特殊指明綁定角色，則安全機制自動為該用戶綁定一個默認角色，該角色所具有的權限較小，僅具有一些普通的操作權限。
[0024]如圖3所示，本實施例步驟2)的詳細步驟如下:
2.1)當作業系統中的用戶登錄時，首先針對該用戶進行用戶登陸密碼驗證，如果用戶登陸密碼驗證失敗，則返回登錄界面並退出；否則跳轉執行下一步；
2.2)查詢該用戶是否已經設置默認登錄角色，如果已設定默認登錄角色，則將所述默認登錄角色關聯作為用戶當前的角色登錄作業系統，且關聯所述默認登錄角色默認的權限類型；否則查詢該用戶綁定的所有角色，提示用戶在綁定的角色列表中進行選擇，使用用戶當前選擇的角色登錄作業系統，且關聯所述角色默認的權限類型；
2.3)在作業系統運行過程中為用戶提供指定所需角色、權限類型轉換的顯式轉換功能，當用戶發起轉換請求時則針對目標角色或目標權限類型關聯的目標角色進行密碼驗證，密碼驗證通過則根據需要對用戶執行角色轉換或者對用戶當前的角色執行權限類型轉換。
[0025]本實施例步驟2)關聯了多個角色的用戶一個時刻內只綁定一個角色，即一個時刻內只有一個角色生效；當用戶登錄時，用戶可以選擇使用哪個角色登錄作業系統，登錄作業系統後，用戶即具有所選角色對應的權限。當用戶關聯多個安全角色時，安全機制可以為用戶設置默認登錄角色，即登錄時用戶不需要選擇，採用默認綁定的角色登錄作業系統。安全機制支持用戶在登錄後根據需要在所關聯的不同的安全角色間切換，切換後用戶便具有要切換角色所具有的權限，且不再具有之前綁定角色所具有的權限。在用戶進行不同角色間切換時，系統日誌記錄對該操作動作進行記錄。在用戶請求程序執行時，安全機制根據程序所需要的特權自動為用戶設定角色轉換請求，用戶對請求做出相應。用戶也可以主動發起角色切換請求。用戶角色在切換後，用戶所具有的權限發生變化，從之前綁定角色所具有的權限變化為當前綁定角色所具有的權限。
[0026]如圖1、圖4和圖5所示，本實施例步驟2.3)在作業系統運行過程中為用戶提供指定所需角色、權限類型轉換的顯式轉換功能，步驟2.3)的詳細步驟如下: 2.3.1)在作業系統運行過程中為用戶提供指定所需角色、權限類型轉換的顯式轉換功能，判斷用戶發起轉換請求的請求類型，如果請求類型為權限類型轉換則跳轉步驟2.3.2)，如果請求類型為角色轉換則跳轉步驟2.3.5)；
2.3.2)提取用戶發起轉換請求的目標權限類型所對應的目標角色的信息；
2.3.3)基於作業系統的系統安全機制發出針對所述目標角色的密碼驗證，如果用戶未通過該密碼驗證，則中止對用戶當前的角色執行權限類型轉換，為用戶當前的角色保留用戶發起轉換請求前的原始權限類型並退出；如果用戶通過該密碼驗證，則跳轉執行下一
[K
少;
2.3.4)將用戶當前的角色切換關聯至用戶發起轉換請求的目標權限類型並退出；
2.3.5)提取用戶發起轉換請求的目標角色的信息；
2.3.6)基於作業系統的系統安全機制發出針對所述目標角色的密碼驗證，如果用戶未通過該密碼驗證，則中止對用戶執行角色轉換，為用戶保留用戶發起轉換請求前的原始角色並退出；如果用戶通過該密碼驗證，則跳轉執行下一步；
2.3.7)將用戶當前的角色切換到用戶發起轉換請求的目標角色，關聯默認權限類型並退出。
[0027]本實施例步驟2.3)在作業系統運行過程中為用戶提供指定所需角色、權限類型轉換的顯式轉換功能，其中權限類型轉換的顯式轉換功能實施流程2.3.2)?2.3.4)如圖4所示。本實施例在權限類型轉換時，顯式權限類型轉換請求(用戶發起的權限類型轉換請求)和隱式權限類型轉換請求(程序發起的權限類型轉換請求)都需要用戶進行密碼認證，只有通過密碼認證後，權限類型轉換才能完成；如果密碼驗證失敗，則權限類型轉換中斷，用戶保留權限類型轉換請求前所關聯的權限類型。用戶進行權限類型轉換時所需要驗證的密碼為權限類型對應不同角色自身關聯的驗證密碼，不同角色所設定的驗證密碼不同，只有用戶知道所關聯角色設定的驗證密碼時才能完成權限類型轉換。如果密碼驗證失敗，則切換終端。角色轉換的顯式轉換功能實施流程2.3.5)?2.3.7)如圖5所示。本實施例在角色轉換時，顯式角色轉換請求(用戶發起的角色轉換請求)和隱式角色轉換請求(程序發起的角色轉換請求)都需要用戶進行密碼認證，只有通過密碼認證後，角色切換才能完成；如果密碼驗證失敗，則角色切換中斷，用戶保留角色切換請求前所關聯的角色。用戶進行角色轉換時所需要驗證的密碼為不同角色自身關聯的驗證密碼，不同角色所設定的驗證密碼不同，只有用戶知道所關聯角色設定的驗證密碼時才能完成角色切換。
[0028]如圖6所示，本實施例步驟3)的詳細步驟如下:
3.1)當用戶請求程序執行時，跳轉執行下一步；
3.2.)檢測程序是否需要角色轉換或者權限類型轉換，如果不需要角色轉換或者權限類型轉換則跳轉執行步驟3.8)，否則跳轉執行下一步；
3.3)針對用戶當前的角色進行密碼驗證，如果密碼驗證不通過則中止執行用戶請求的程序並退出；否則如果密碼驗證通過則跳轉執行下一步；
3.4)查詢執行該程序是否需要進行角色轉換，如果不需要角色轉換則跳轉執行步驟
3.6)，否則跳轉執行下一步；
3.5)對用戶執行角色轉換；
3.6)查詢執行該程序是否需要進行權限類型轉換，如果不需要權限類型轉換則跳轉執行步驟3.8)，否則跳轉執行下一步；
3.7)將對用戶當前的角色執行權限類型轉換；
3.8)提取用戶當前的角色及其權限類型信息；
3.9)根據用戶當前的角色的權限類型信息判斷是否允許執行用戶請求執行的程序，如果允許則跳轉執行下一步，否則禁止執行用戶請求的程序並退出；
3.10)根據用戶當前的角色判斷是否允許執行用戶請求執行的程序，如果允許則執行用戶請求的程序，否則禁止執行用戶請求的程序。
[0029]以上所述僅是本發明的優選實施方式，本發明的保護範圍並不僅局限於上述實施例，凡屬於本發明思路下的技術方案均屬於本發明的保護範圍。應當指出，對於本【技術領域】的普通技術人員來說，在不脫離本發明原理前提下的若干改進和潤飾，這些改進和潤飾也應視為本發明的保護範圍。
【權利要求】
1.一種支持最小特權的用戶按需授權方法，其特徵在於實施步驟如下:. 1)在作業系統中建立多個角色，分別為每一個角色設置驗證密碼；將作業系統中不同應用程式運行所需要的不同權限分類定義為不同的權限類型，控制一個用戶可關聯多個角色且每一個用戶同一時刻只能關聯一個角色、一個角色可關聯多種權限類型且每一個角色同一時刻只能關聯一種權限類型； . 2)當用戶登錄作業系統時為用戶設定角色並關聯該角色的權限類型，在作業系統運行過程中為用戶提供指定所需角色、權限類型轉換的顯式轉換功能，當用戶發起轉換請求時則針對目標角色或目標權限類型關聯的目標角色進行密碼驗證，密碼驗證通過則根據需要對用戶執行角色轉換或者對用戶當前的角色執行權限類型轉換；. .3)當用戶請求程序執行時，檢測程序是否需要角色轉換或者權限類型轉換，如果需要角色轉換或者權限類型轉換則針對目標角色進行密碼驗證，密碼驗證通過則根據需要對用戶執行角色轉換或者對用戶當前的角色執行權限類型轉換；最終提取用戶當前的角色及其權限類型信息，基於用戶當前的角色及其權限類型判斷是否允許用戶請求的程序執行，如果允許則執行用戶請求的程序，否則禁止執行用戶請求的程序。
2.根據權利要求1所述的支持最小特權的用戶按需授權方法，其特徵在於，所述步驟O中的多個角色包括安全管理角色、系統管理角色、審計管理角色。
3.根據權利要求1所述的支持最小特權的用戶按需授權方法，其特徵在於，所述步驟.2)的詳細步驟如下: .2.1)當作業系統中的用戶登錄時，首先針對該用戶進行用戶登陸密碼驗證，如果用戶登陸密碼驗證失敗，則返回登錄界面並退出；否則跳轉執行下一步；. 2.2)查詢該用戶是否已經設置默認登錄角色，如果已設定默認登錄角色，則將所述默認登錄角色關聯作為用戶當前的角色登錄作業系統，且關聯所述默認登錄角色默認的權限類型；否則查詢該用戶綁定的所有角色，提示用戶在綁定的角色列表中進行選擇，使用用戶當前選擇的角色登錄作業系統，且關聯所述角色默認的權限類型；. 2.3)在作業系統運行過程中為用戶提供指定所需角色、權限類型轉換的顯式轉換功能，當用戶發起轉換請求時則針對目標角色或目標權限類型關聯的目標角色進行密碼驗證，密碼驗證通過則根據需要對用戶執行角色轉換或者對用戶當前的角色執行權限類型轉換。
4.根據權利要求3所述的支持最小特權的用戶按需授權方法，其特徵在於，所述步驟.2.3)的詳細步驟如下: .2.3.1)在作業系統運行過程中為用戶提供指定所需角色、權限類型轉換的顯式轉換功能，判斷用戶發起轉換請求的請求類型，如果請求類型為權限類型轉換則跳轉步驟2.3.2)，如果請求類型為角色轉換則跳轉步驟2.3.5)； .2.3.2)提取用戶發起轉換請求的目標權限類型所對應的目標角色的信息；. 2.3.3)基於作業系統的系統安全機制發出針對所述目標角色的密碼驗證，如果用戶未通過該密碼驗證，則中止對用戶當前的角色執行權限類型轉換，為用戶當前的角色保留用戶發起轉換請求前的原始權限類型並退出；如果用戶通過該密碼驗證，則跳轉執行下一步。 .2.3.4)將用戶當前的角色切換關聯至用戶發起轉換請求的目標權限類型並退出； . 2.3.5)提取用戶發起轉換請求的目標角色的信息； . 2.3.6)基於作業系統的系統安全機制發出針對所述目標角色的密碼驗證，如果用戶未通過該密碼驗證，則中止對用戶執行角色轉換，為用戶保留用戶發起轉換請求前的原始角色並退出；如果用戶通過該密碼驗證，則跳轉執行下一步； . 2.3.7)將用戶當前的角色切換到用戶發起轉換請求的目標角色，關聯默認權限類型並退出。
5.根據權利要求1或2或3或4所述的支持最小特權的用戶按需授權方法，其特徵在於，所述步驟3)的詳細步驟如下:. 3.1)當用戶請求程序執行時，跳轉執行下一步； . 3.2.)檢測程序是否需要角色轉換或者權限類型轉換，如果不需要角色轉換或者權限類型轉換則跳轉執行步驟3.8)，否則跳轉執行下一步； . 3.3)針對用戶目標角色進行密碼驗證，如果密碼驗證不通過則中止執行用戶請求的程序並退出；否則如果密碼驗證通過則跳轉執行下一步； . 3.4)查詢執行該程序是否需要進行角色轉換，如果不需要角色轉換則跳轉執行步驟.3.6)，否則跳轉執行下一步； . 3.5)對用戶執行角色轉換； . 3.6)查詢執行該程序是否需要進行權限類型轉換，如果不需要權限類型轉換則跳轉執行步驟3.8)，否則跳轉執行下一步；. 3.7)將對用戶當前的角色執行權限類型轉換； .3.8)提取用戶當前的角色及其權限類型信息； . 3.9)根據用戶當前的角色的權限類型信息判斷是否允許執行用戶請求執行的程序，如果允許則跳轉執行下一步，否則禁止執行用戶請求的程序並退出； .3.10)根據用戶當前的角色判斷是否允許執行用戶請求執行的程序，如果允許則執行用戶請求的程序，否則禁止執行用戶請求的程序。
【文檔編號】G06F21/31GK104392159SQ201410780685
【公開日】2015年3月4日 申請日期:2014年12月17日 優先權日:2014年12月17日
【發明者】吳慶波, 董攀, 孫利傑, 廖湘科, 羅軍, 陳松政, 魏立峰, 黃辰林, 戴華東, 唐曉東, 丁灩 申請人:中國人民解放軍國防科學技術大學