Модель pra 99

Эта модель предназначена для присвоения и аннулирования разрешений для ролей. Как и пользователи, разрешения могут быть присвоены ролям как мобильные и стационарные. Основное отличие PRA99 отURA99 состоит в том, что вPRA99 неявное членство разрешения в роли наследуется вверх по иерархии. Ниже мы даем определения без комментариев, т.к. они близки к определениямURA99.

Определение 12. Роли вPRA99 – то же самое, что и вURA99,R={Mx,IMx|xR1}. Разрешение отношения присвоения роли -PAUxR.

Определение 13. Существуют 4 вида членства разрешение-роль вPRA99 для любой заданной ролиx.

1. Явный мобильный член EMx:pEMx(p,Mx)PA

2. Явный стационарный член EIMx:pEIMx(p,IMx)PA

3. Неявный мобильный член - ImMx:pImMx(x’<x)(p,Mx’)PA

4. Неявный стационарный член ImIMx:pImIMx(x’<x)(p,IMx’)PA

Определение 14. Присвоения разрешение-роль как мобильных членов авторизуются отношениемcan-assign-MARxCRx2^R, а присвоения разрешение-роль как стационарных членов отношениемcan-assignp-IMARxCRx2^R.

Определение 15. МодельPRA99 авторизует аннулирование мобильного членства посредством отношенияcan-revokep-MARxCRx2^R, а аннулирование стационарного членства отношениемcan-revokep-IMARxCRx2^R.

Определение 16. В модели предоставленияPRA99 предварительное условие определяется для разрешенияpинтерпретациейxкак истины, еслиpEMx(pImMxpEIMx) и (неx) как истину, еслиpEMxpEIMxpImMxpImIMx

Определение 17. В модели аннулированияPRA99 предварительное условие определяется для разрешенияp, интерпретируяxкак истинное, еслиpEMxpEIMxpImMxpImIMxи (неx) как правду, еслиpEMxpEIMxpImMxpImIMx

Модель rra

Способности, Группы и UP-Роли

Для определения соотношений между ролями выделим три вида ролей.

• Способности - роли, которые могут только иметь разрешения и другие способности как члены.

• Группы - роли, которые могут только иметь пользователей и другие группы как члены.

• UP-роли, которые не имеют никакого ограничения на членство, то есть, их членство может включать пользователей, разрешения, группы, способности и другиеUP-роли.

Термин UP-роли включает роли пользователей и разрешений. Мы используем такое определение для всех трех видов ролей или, имея в виду толькоUP-роли, в зависимости от контекста. Три вида ролей взаимно не пересекаются и идентифицированы соответственно какA,G, иUPR.

Главная причина выделения этих трех видов ролей - в том, что различные административные модели учитывают отношения установленные между этими ролями. Различие мотивировалось, во-первых, способностями. Способность- набор разрешений, которые должны быть назначены роли как отдельный модуль. Например способность открывать учетную запись в банковском приложении охватит большое число различных индивидуальных разрешений. Не имеет смысла назначать роли только некоторые из этих разрешений, потому что полный набор необходим, для решения задачи должным образом. Идея заключается в том, что эти разрешения в наборах, называемых способностями, должны быть назначены роли, как модуль, вместе.

Функция способности в том, чтобы собрать разрешения вместе так, чтобы администраторы могли обрабатывать их как отдельный модуль. Назначение способностей ролям - поэтому близко назначению разрешений к ролям. Для удобства полезно организовать способности в иерархию. Следовательно, модель PRA97 может быть приспособлена, для создания подобной ей модели ARA97 для назначения соотношения роль-способность.

После описания понятия способности, по аналогии приведем подобную концепцию, но со стороны пользователя.

Группа- набор пользователей, которые назначены как отдельный модуль на роль. Такая группа может рассматриваться как группа, которая является модулем, даже притом, что ее членство может изменяться со временем. Группы могут также быть организованы в иерархии. При назначении соотношения группа-роль мы приспосабливаем модельURA97, для создания моделиGRA97.

Это приводит к следующим моделям.

Определение 4Соотношение способность-роль и его аннулирование выполняются вARA97 соответственно посредством:can-assigna AR x CR x 2^A иcan-revokea AR x 2^A

Определение 5Соотношение группа-роль и его аннулирование выполняются вGRA97 соответственно посредством:can-assigng ARxCRx2^Gиcan-revokegARx2^G.

Для этих моделей CRинтерпретируется как набор необходимых условий, сформированных в процессе использования ролей вUPR, и необходимые условия интерпретируются относительно способностей и групп соответственно. Способность включена в UP-роль в том случае, если UP-роль доминирует над способностью и не включена - если не доминирует. И наоборот, группа включена в UP-роль, если группа доминирует над UP-ролью.