伴随着互联网技术近年来的飞速发展,云计算成为了一个研究的热点。作为云计算的应用服务方式,软件即服务(SaaS)已经成为一种日渐成熟的软件应用模式。其服务共享的特性决定了用户可信的访问行为对于SaaS服务安全的重要性。在传统的访问控制中,一旦用户被赋予了某种角色,便会一直拥有该角色所对应的权限。缺乏动态性和灵活性、控制粒度较大、安全防范能力较低等问题是传统RBAC(Role-Based Access Control)运用于SaaS所面临的问题。针对上述问题,本文分析了SaaS模式下访问控制的新需求以及传统访问控制的问题和弊端。分析了用户行为信任的特点,提出了证据值更新公式,并验证了其科学性。在此基础上,本文提出了一种SaaS模式下基于用户行为的动态访问控制模型(Cloud-RBAC)。模型中的租户更好地实现了访问控制中安全域的控制,而用户组和数据范围则更好地实现了粒度的控制,体现了SaaS服务访问控制的灵活性。在用户访问SaaS服务过程中,首先收集用户的行为证据,其次计算其标准的证据值,然后利用模糊层次分析法(FAHP)确定其行为信任等级,最后根据权限敏感等级最终确定用户可行使的权限,这体现了SaaS服务访问控制的动态性。在提出Cloud-RBAC模型之后,本文在充分考虑通用性、松耦合性、安全性以及可拓展性设计原则的基础之上,首先通过分析系统的功能模块和数据库结构设计了SaaS模式下的用户管理系统,其次利用SSM框架技术对其进行了实现,最后对该管理系统进行了简单的功能测试,并对结果进行了分析。通过SaaS用户管理系统的测试结果可以证实Cloud-RBAC模型的安全性和适用性。