面向服务的体系结构(SOA)作为一种新的软件架构方法,已成为企业实施信息化集成的首选解决方案。但SOA所具有的动态性、开放性特点,使其面临的安全问题更加突出。服务请求者和服务提供者往往需要跨越组织边界,认证和授权也需要跨越安全域,而且服务常常可以以不可预知的方式被来自各个安全域的大量临时用户调用,这些都对面向服务环境的访问控制系统提出了新的要求。比较访问控制系统的基于身份的设计方案和基于授权的设计方案,为面向服务的访问控制系统(ACS)的架构选定基于身份的设计方案。针对面向服务的实现环境,对原始的基于属性的访问控制模型进行了适当的简化,为ACS系统重新定义基于属性的访问控制模型并给出该模型的形式化描述。与传统的基于角色的访问控制模型相比较,基于属性的访问控制模型具有能减轻安全管理的工作量和跨多个安全域授权等优点。以支持基于属性的访问控制模型为目标,设计满足XACML规范的授权子系统,并设计了授权判决算法。为解决授权策略的管理问题,采用LDAP目录服务技术设计策略管理的解决方案,并设计了策略查询、增加等关键算法。采用SAML技术设计认证子系统。在认证子系统中实现用户属性的缓存功能,以保证系统在响应同一用户连续调用服务时的高效性。测试结果表明,ACS系统是可行性,达到了预期的设计目标。