随着信息技术和网络的发展,信息的安全已经成为亟待解决的问题,现在解决信息安全最有效的方式就是访问控制,通过访问控制,控制一些用户对信息的访问,限制一些人的访问,进而控制对信息的接触和利用,只有有权限的用户才可以访问该信息,阻断了信息的传播,使得信息的安全性得到提高,从而使信息的安全得到保障。首先,本文介绍了常用的访问控制方法：自有访问控制、强制访问控制以及基于角色的访问控制。其中自有访问控制与强制访问控制为传统的访问控制,但是基于角色的访问控制是新型的访问控制。随着信息产业飞速的发展,传统的访问控制已经不能满足现在信息系统权限控制,因此提出新的访问控制,该方法不是直接把权限授予用户,而是在用户与权限之间引入角色,即把权限给予角色,再为用户赋予角色,通过这种方式,间接的把权限授予用户。其次,本文提出拓展的基于角色的访问控制,就是对系统中要访问的对象—资源进行拓展,提出资源模型,在资源模型中,提出抽象资源和资源束的定义以及对资源之间的关系进行论述。对操作对象—资源进行了拓展,原模型中和资源紧密相连的操作,已经不能满足现在拓展的模型,因此对操作也进行扩展,进而提出操作模型。在操作模型中,提出抽象操作和操作束的定义并对操作之间的关系进行论述。在资源和操作中,论述了资源、资源束和操作、操作束之间的关系。同时,为了使资源和角色直接相关联,通过提出角色等级和资源等级,把角色和资源联系起来,只有角色的等级大于等于资源等级,角色才能访问资源。第三,本文也对权限进行拓展,在权限模型中,通过分析权限和操作之间的关系,提出对权限进行拆分,拆分成权限分量。把拆分后的权限分量进行量化,然后计算,最终比较两个角色所对应的权限的大小,在授权之前,进行权限大小的比较,只有被授予的权限大于当前的权限,才进行授权操作,从而减少了授权的操作和管理员的工作量。最后对提出的模型进行实例化验证,设计了云南大学新的教务系统权限管理系统。