一种基于角色的访问控制方法
【技术领域】
[0001]本申请涉及访问控制中的权限管理技术领域，尤其涉及一种基于RBAC的访问控制方法。
【背景技术】
[0002]随着信息技术的飞速发展，特别是Internet的发展，数据信息化的不断深入，信息对象呈现指数级增长，在医疗机构之间跨机构、跨部门的共享和复用越来越广泛，应用安全和数据安全收到了极大的挑战，IT安全问题日益突出，日益受到相关人员的重视，解决系统安全问题虽然可以通过事后的安全和审计控制等方式进行发现弥补，但更好的方式是从源头进行控制，防患于未然。
[0003]访问控制是针对越权使用资源的防御措施，基本目标是为了保障用户对系统资源的合理有效访问。
[0004]早期的访问控制主要存在两个模型:自主访问控制(DAC)和强制访问控制(MAC)。
[0005]DAC是一种基于主体身份或主体所在的组织来控制对客体访问的方法，自主访问控制中主体对客体的访问权限是由客体的属主决定的，也就是说系统允许主体(客体的拥有者)可以按照自己的意愿去制定谁以何种访问模式去访问该客体，虽然DACD的权限传播思想有很好的灵活性和可伸缩性，但本身有安全漏洞，难以满足高安全性的系统需求。
[0006]MAC是通过对比主体的安全级别与客体的安全级别来确定主体是否具有访问客体的权限，优点是管理集中，安全性高，适合军事等对安全性很高的系统使用，缺点是具体实现工作量太大，不便于管理。
[0007]目前，在访问控制领域，最常见的模型是基于角色的访问控制模型(RBAC)，RBAC通过引进角色的概念实现了用户和权限的逻辑分离，支撑了技术人员与业务人员职责的分离，用户通过获得角色得到权限来对客体进行操作，从而实现权限管理与控制。这是一种策略独立的，非自主型的访问控制模型，在复杂组织机构、大量用户的应用系统中存在不足，主要表现在:(I)用户只能被动接受权限，而不能主动的将权限授予他人；(2)对于复杂系统，具有大量对象时，对对象及相关的管理和组织不变；(3)是一个静态模型，不能满足特殊情况下的动态需求。
[0008]通常，在医疗领域中的数据安全和隐私问题是重要的，然而，近年来兴起的医疗记录数字化、以及个人保健领域的健康数据库的建立对医疗数据的保护提出了新挑战，与其他领域相比，医疗领域的数据不能承受数据泄露或被滥用的代价，一旦有关个人健康问题的敏感信息被公开，会造成无法挽回的伤害。
[0009]另外，医疗信息数据具有某些特殊的特点，诸如，医疗数据应当只能被授权的人访问，这些人是诸如全科医师、急诊医生、护士等，在医疗领域分配了某种角色的人，这不同于用于保护数据的系统，在这些保护数据的系统中，通常基于人对人原则来提供访问。
[0010]而面对当前医疗数据繁多，医疗信息和资源共享度日益增加的现状，如何更安全地管理医疗数据，同时更加便捷地在医疗结构间共享医生、医疗数据和病人其他信息是亟待解决的问题。传统的RBAC模型在权限分配和角色分配中，不能很好地满足权限跟关联机构的情况，不能满足灵活而复杂的系统授权需求，不能方便有效的支持授权。
【发明内容】
[0011]有鉴于此，本申请提供一种基于角色的访问控制方法和装置，以在多个医疗结构各自的多个医疗系统和多个医疗平台之间整合医疗信息系统的访问控制权限。
[0012]本申请提供一种基于角色访问控制方法，所述方法包括步骤:
将根据各个机构的设置基于支持请求授权的角色的访问控制模型进行建模，包括角色集和权限集；其中:
角色集中包含一个或者多个角色；
权限集中包含一个或者多个不同的权限；
各个角色分别对应于与一个或者多个权限；
将各个机构中的各个用户分别与一个或者多个角色关联；
第一机构的用户可向另一机构中发出访问请求；
所述访问请求得到另一机构允许后，第一机构的用户可访问另一机构中的资源。
[0013]根据在本申请一具体实施例中，所述访问请求包括请求获得另一机构中一个角色的授权。
[0014]根据在本申请一具体实施例中，所述支持请求授权的角色的访问控制模型中的角色集由通用角色集和授权角色集共同组成，通用角色集有角色层次，而授权角色集没有角色层次，通过权限-角色配置，通用角色用户获得了通用角色拥有的权限，某些通用角色用户可通过配置使得其拥有创建授权角色的权限，可以通过授予权限将通过角色的权限指派给授权角色。
[0015]根据在本申请一具体实施例中，所述请求授予另一机构中角色的过程必须符合系统管理员设定的所有RBAC约束。
[0016]根据在本申请一具体实施例中，所述通过授予权限将通过角色的权限指派给授权角色可以为将角色的所有权限指派给授权角色，也可以将角色的部分权限指派给授权角色。
[0017]根据在本申请一具体实施例中，所述通过授予权限将通过角色的权限指派给授权角色还可以包含设置授权角色的生命周期信息。
[0018]根据在本申请一具体实施例中，所述授权角色的生命周期信息可以包含起始时间和截止时间。
[0019]根据在本申请一具体实施例中，所述授权角色可以是永久授权。
[0020]根据在本申请一具体实施例中，当所述各个机构为第一机构和第二机构时，授权过程包含:
(1)第一机构的用户发出请求，请求授予第二机构中的某个角色以及某些权限，也可以包含该授权角色的生命周期信息；
(2)第二机构中收到请求后，解析该请求信息，分析出对应该请求信息的具有授权权限的用户，将该请求转发至具有授权权限的对应用户处；
(3)具有授权权限的用户审核该请求，决定是否给予授权；若同意授权，这找第二机构中创建授权角色，并配置授权角色拥有的权限，以及该授权角色的生命周期；
(4)第二机构系统将授权信息反馈至第一机构的用户后，在授权角色生命周期的开始时间激活该授权角色；
(5)第一机构的用户收到授权信息后，在生命周期的开始时间后可以通过授予的权限进行相关操作；
(6)在生命周期的截止时间到达时，第二机构的系统管理员，撤销该授权用户，并通知第一机构。
[0021]
【附图说明】
[0022]为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的附图。
[0023]图1是本申请支持用户请求和授权的RBAC模型；
图2是本申请基于角色访问控制示意图；
图3是本申请基于RBAC的访问控制方法的流程图。
【具体实施方式】
[0024]为了使本领域的人员更好地理解本申请中的技术方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员所获得的所有其他实施例，都应当属于本申请保护的范围。
[0025]下面结合本申请附图进一步说明本申请具体实现。
[0026]随着网络技术的飞速发展，不同医疗结构之间的合作越来越密切，医疗资源的共享，如:医生共享、检查设备共享、医疗数据共享等。而如何更好地解决不同机构间的共享，是一个亟待解决的问题。为此，本申请还基于现有的RBAC模型，进行了改进，增加了请求和授权方式。
[0027]基于RBAC模型的设计思想，建立如图1所示的支持用户请求和授权的RBAC模型。与一般的RBAC模型不同的是，支持请求和授权的RBAC模型中的角色。通用角色集有角色层次，而授权角色集没有角色层次。如上所述，通过角色配置，医疗机构中的每个用户拥有角色，拥有角色的用户形成角色用户集，通过权限-角色配置，角色用户获得了角色拥有的权限，从而形成了角色权限集。对于某些层次的角色用户可通过配置使得其拥有权力创建授权角色，将角色用户的角色权限通过授予权限角色指派给授权角色，然后通过用户-授权角色指派给请求者，授予权限角色指派和用户授权角色指派过程中，必须符合系统管理员设定的所有RBAC约束。
[0028]定义支持用户请求和授权的RBAC模型:
用户、权限、通用角色、会话、RBAC约束与RBAC定义完全一致。
[0029]角色用户:拥有角色的用户，只有角色用户才能成为请求者，也只有角色用户才能有资格成为受托者。
[0030]角色权限:指派给角色的权限，请求者只能请求被请求者所拥有的