● 摘要
访问控制系统中多个策略执行点使用同一个策略决策中心的结构减少了授权管理工作，维护了一致性的访问控制策略。但是，权限请求数量的增大，集中式策略决策点可能成为应用系统的性能瓶颈。另外，现存访问控制系统大多没有明确的资源模型，容易造成授权错误和权限的非预期扩散。
针对这些问题，本文设计了基于Web Service的应用访问控制代理的解决方案。该方案通过引入缓存模型减少应用系统和策略决策中心的耦合性，通过建立资源模型为应用系统提供一致的资源描述，并通过Web Service技术向应用系统提供了访问控制服务和资源注册服务，最后在实验室研发的身份鉴别和访问管理系统（IAM）中完成了相关模块的设计、实现和验证。
论文工作主要体现在以下三方面：
（1）设计了一个基于Web Service的应用访问控制代理模型（AMWS），并对该模型中权限缓存、资源模型、代理行为等元素的含义、性质以及元素相互之间的关系做了形式化描述和定义；
（2）基于AMWS模型，对两组重要关系（正向权限集、负向权限集和会话集之间的关系、资源类型和资源编码集之间的关系）中包含的规范缓存构建、权限决策、权限更新、权限替换以及资源编码生成、资源树生成等算法进行了分析和设计；
（3）对AMWS模型中权限维护、资源注册、配置管理、基于Web Service的代理接口等重要模块进行分析、设计和实现，并将AMWS模型应用于实验室研发的身份鉴别和访问管理系统（IAM）中，最后对代理进行了功能和性能两方面的实验验证。