访问控制模型<\/strong><\/p>

访问控制模型是定义和管理系统如何执行访问控制的核心理论框架。它不是一个具体的工具或设置，而是一套抽象规则和概念，用于系统化地决定"谁（主体）在什么条件下可以对什么资源（客体）执行何种操作（访问）"。其根本目的是将安全策略（如保密性、完整性要求）转化为计算机系统可执行和强制实施的机制。<\/p> <\/li>

访问控制模型的核心组件包括：<\/p>

主体<\/strong>：发起访问请求的实体，通常是用户、进程或程序。<\/li>
客体<\/strong>：被访问的资源，如文件、目录、内存段、设备等。<\/li>
访问操作<\/strong>：主体对客体执行的具体动作，如读、写、执行、删除等。<\/li>
安全策略<\/strong>：一套决定访问是否被允许的高级规则。<\/li>
参考监视器<\/strong>：一个理论上的概念，是系统中负责根据安全策略执行访问决策的不可绕过、可验证的抽象机制。<\/li> <\/ul> <\/li>

最基础且广泛实现的模型是自主访问控制模型<\/strong>。在DAC中，客体的所有者（创建者）拥有对该客体的完全控制权，可以自主地决定将哪些访问权限授予系统中的其他主体。最常见的实现方式是访问控制列表和权限位（如Unix的rwx）。其优点是灵活，缺点是权限管理分散，容易因用户失误导致权限不当扩散。<\/p> <\/li>

为满足更严格的军事或政府安全需求，强制访问控制模型<\/strong>被提出。在MAC中，访问决策不由用户自主决定，而是由系统管理员集中定义并强制实施的。系统为主体（如用户）和客体（如文件）分配固定的安全标签（如密级：公开、秘密、机密；以及类别：部门A、项目B）。访问规则（如"仅当主体密级不低于客体密级，且主体类别包含客体所有类别时才允许读"）被系统严格执行。它有效防止了信息从高安全级向低安全级的"下读"和"上写"流动，确保了信息的机密性。<\/p> <\/li>

基于角色的访问控制模型<\/strong>是现代企业环境中主流的模型。在RBAC中，访问权限不与用户直接关联，而是与"角色"关联（如"医生"、"出纳"、"项目经理"）。用户被分配一个或多个角色，从而获得该角色所拥有的权限。这极大地简化了权限管理：当员工职责变更时，只需更改其角色分配；增加新系统功能时，只需调整角色权限。RBAC实现了策略中立和良好的可管理性。<\/p> <\/li>

基于属性的访问控制模型<\/strong>是更动态和细粒度的模型。在ABAC中，访问决策基于主体、客体、操作和环境的多种属性动态计算。属性可以是用户的部门、职位、安全许可，也可以是客体的创建时间、敏感性标签，甚至是当前的时间、地点或网络环境。通过编写策略规则（例如"允许部门=财务<\/code>且职位=经理<\/code>的用户，在工作时间<\/code>内，对标签=财务报告<\/code>的文件执行读<\/code>操作"），ABAC能实现极其灵活和上下文相关的访问控制，适用于云计算、物联网等复杂环境。<\/p> <\/li>
在实际操作系统（如Linux）中，这些模型常结合使用：基础的DAC（文件权限位）是默认机制；可加载的安全模块（如SELinux）实现了强制的MAC和RBAC\/ABAC策略；而企业级服务和应用程序则广泛采用RBAC进行管理。理解这些模型是设计、配置和审计操作系统安全架构的基础。<\/p> <\/li> <\/ol>