题目：分布式工作流访问控制的关键技术研究

      工作流是一类能够完全或部分自动执行的业务过程，文档、信息及任务等能够根据给定的执行规则在不同的参与者之间流转。工作流的执行需要依靠工作流系统（Workflow Management Sytem,WfMS）来实现。目前，工作流系统的架构正逐渐由集中式向分布式转化。随着应用范围的日益广泛，工作流系统面临着来自多方面的安全危胁，需要通过灵活高效的访问控制机制来保障工作流资源及服务的安全。而现有访问控制技术多采用全局统一的安全中心来掌控全局数据并实施访问控制，这种方式越来越难以为分布式环境下业务的分布式运行及流程的分层次演化提供灵活高效的访问控制支持。

        为解决上述问题，本文针对分布式工作流访问控制涉及到的访问控制模型、授权约束及转授权方法进行了深入的研究，主要工作包括：

1．基于组织和任务的访问控制模型

       在实际的分布式应用中，由于部门及成员的自治性、资源的敏感性及数据传输限制，中心化的访问控制服务在为业务的分布式运行提供支撑的过程中，需要频繁的交互验证，处理的周期长且存在单点故障的风险。针对这些情况，提出了一种基于组织和任务的访问控制模型（Organization & Task Based Access Control model,OTBAC model）。OTBAC模型在基于任务的访问控制模型基础上，引入了组织单元、角色等实体，借助角色到用户的指派、权限到任务的指派、带有约束的任务到用户的指派来实现三阶段授权。以任务作为权限的载体，将访问控制的关注重点从“拥有哪些权限的用户才能执行任务”转移到 “如何为任务选择合适的执行者”，使得系统管理者能够更加直观、细粒度地对系统中的授权及访问控制过程进行管理。通过组织单元来分层次地创建和定义角色，有助于减少角色的数量并更加直观地反映企业及各类组织内部的层次结构和隶属关系。

2．基于实体属性的授权约束描述方法

       现有的授权约束技术往往需要在掌握全部流程定义、用户信息、业务实例等数据的基础上，对流程中授权约束对应的规则进行计算来获取允许执行及禁止执行各个任务的角色集及用户集，计算复杂度高，系统运行效率较低，而且计算机过程需要依赖中心化的访问控制服务，难以在各个业务节点上分布式地运行。针对这些问题，提出了一种基于实体属性的授权约束描述方法（Attribute-Based Conditional Constraint method，ABCC method）。借助任务执行上下文中实体的属性，ABCC方法可以以任务为单位表达出流程中存在的各种授权约束，从而令授权约束机制可以分散在各个业务节点上分布式实施，在摆脱对中心化访问控制服务依赖的同时提高冲突检测的效率。

3．基于任务的转授权方法

        现有的转授权方法普遍是在基于角色的访问控制基础上进行的，授权信息及转授权信息都需要集中存储于全局统一的安全信息中心，易产生单点故障问题。此外，在基于角色的访问控制前提下，转授权声明是否与动态授权约束存在冲突无法检测，容易产生无效授权问题；同时，部分转授权的实现较为复杂，现有的研究成果均未给出成熟的解决办法。为此，提出了一种基于任务的转授权方法（Task-Based Delegation and Revocation method,TBDR method）。TBDR方法在OTBAC访问控制模型及ABCC授权约束描述方法的基础上，提出了以任务（或任务实例）为单位的转授权方法，通过配置转授权和运行转授权两种基本方式能够提供以任务（或任务实例）为单位的转授权。TBDR方法的转授权操作更加直观而且授权者在进行转授权操作时能够实现更为细粒度的控制，可以有效地避免基于角色的转授权方法中的无效转授权现象以及部分转授权操作过于复杂的问题。此外，采用TBDR方法的转授权声明直接存储在授权者所在的任务节点上，因此，转授权的声明和撤销不仅无需依赖统一的安全信息中心，而且系统对操作的处理速度也更快。

4．提供灵活高效访问控制服务的分布式工作流系统

        为了实际验证OTBAC模型及相关的授权约束描述方法、转授权方法在分布式工作流环境下的可用性，研究工作中构建了一个采用OTBAC模型实现访问控制机制的分布式工作流系统E-WORK作为实验测试的平台。E-WORK系统中每个业务执行节点都布署了完整的业务支撑环境，业务节点构成的工作流网络具有良好的分布式特征，能够为工作流应用的分布式运行提供有效的支撑。同时，E-WORK系统的访问控制机制遵守最小权限原则，能够为流程的分层次逐步细化及分布式运行提供良好的访问控制支持。