● 摘要
在信息安全中，对数据资源的细粒度访问控制需求日益提高。数据资源是企业或组织管理过程中涉及的一切文件、资料和数据等资源的总称，主要指关系数据库资源和文件资源，细粒度的访问控制需要对其进行粒度划分并分别授权。同时，很多应用系统中数据资源涉及国家机密、企业发展的关键信息和大量个人隐私，需要在细粒度访问控制基础上实施强制访问控制，其中数据资源密级审批管理是访问控制的重要前提。另外，随着云计算模式的不断深入，越来越多的应用服务开始从BS架构向多租户架构转移，云环境下除了细粒度访问控制，还需对不同租户下数据资源进行隔离。
综上，本文建立了一个具有安全标签特征的数据资源细粒度访问控制模型(SC-FGAC)，设计了安全标签标定算法和细粒度访问控制算法。讨论了多租户的数据权限隔离方法，建立面向租户的SC-FGAC模型。最后将该模型应用于具有密级审批流程的数据资源授权与访问控制系统中，实现了对数据资源的细粒度强制访问控制，并能提供多租户支持。论文工作主要包括以下五个方面：
(1) 通过对应用中的数据资源按不同类型和层次进行划分，建立了数据资源的粒度划分模型，便于对数据资源按不同粒度进行授权和访问控制。
(2) 在上述模型基础上，设计了安全标签标定规则与算法，通过对资源体系设定安全标签标定规则，实现了在具体资源录入的同时对其进行安全标签的标定。
(3) 在传统RBAC模型基础上，加入细粒度机制和安全标签组件，设计了具有安全标签特征的细粒度访问控制模型(SC-FGAC Model)，讨论了数据资源细粒度授权和访问控制方法，对关系数据库资源的细粒度访问控制算法进行了针对性研究。
(4) 针对云环境下多租户的数据资源隔离需求，在SC-FGAC模型中加入租户组件，针对共享数据库共享模式数据存储方案，设计了面向租户的SC-FGAC模型，并讨论了云环境下多租户数据资源的访问控制方法。
(5) 将面向租户的SC-FGAC模型应用于本实验室的“身份识别与访问管理系统（Identity and Access Management System，简称IAM）”中，实现了对数据资源的细粒度强制访问控制，并能提供多租户支持，最后通过设计相关实验对该模型进行了验证。