随着电子政务的推进和信息技术的飞速发展,网络范围不断扩大,政务信息系统正在由单一的、小规模的系统向大型、多应用、分布式、集群化的复杂系统发展,系统的复杂度越来越高。在这些系统的建设与集成过程中,授权管理很大程度上决定了资源的分配模式、业务的逻辑关系以及系统集成方式。因此,如何高效、严谨、实用地进行授权管理是信息系统建设与整合的关键,也是目前国内外研究的热点问题。现有的安全认证与授权体系基本是从技术的角度看待安全问题,并给出相应的技术解决方案,缺乏从管理视角,采用以人为本、以组织为核心的思想理念,缺乏对业务系统特别是复杂政务业务的深入研究,授权过程复杂、管理困难、管理工作量大;又由于缺乏与业务系统分离的组织与授权管理系统的支持,因此无法实现不同组织、不同业务系统的安全认证和业务协同等。这些问题严重制约了我国电子政务发展的进程。近些年来,基于角色的访问控制(RBAC)受到了广泛关注。在该模型中,基于操作定义相应的角色,权限被赋予角色,通过将角色赋给用户,使得用户具有了访问相关资源的权限。这种用户与权限之间的间接关联大大减少了用户权限的管理工作。但是,当系统的角色与权限数目非常大时,基于RBAC模型的系统的性能会显著降低,同时其管理复杂度会显著增加。产生上述问题的原因是由于RBAC模型对于含有大量角色与权限的系统不具有很好的适应性,而且RBAC模型只适用于针对单一组织机构的系统。如果将RBAC模型简单地应用到包含大量组织机构的系统中时,不同组织中的私有或局部变量会导致产生大量的角色与权限。为解决复杂政务信息系统的组织与访问控制问题,本文提出了基于组织的四层访问控制模型(Organization Based 4 Level Access Control,OB4LAC)。该模型基于以人为本、以管理为主线、以组织为核心的基本思想,从组织、社会和管理视角研究复杂政务信息系统的访问控制与授权管理等问题;可有效解决RBAC模型的管理复杂度随系统角色、权限数目增加而显著增加等问题;能够更加高效和符合管理科学规范地进行授权管理,具有很好的管理、业务和技术相容性;能够把认证、授权、审计等信息安全技术与组织管理紧密融合,为政府机构多级、多部门、多系统之间的协同提供安全基础。论文探讨了OB4LAC模型的表达能力,并通过论证任意OB4LAC模型可由某一RBAC模型进行模拟,以及任意RBAC模型可由某一OB4LAC模型进行模拟,表明OB4LAC模型与RBAC模型具有相同的表达能力。提出了AOB4LAC模型,用于管理OB4LAC模型中用户、岗位、角色和权限之间的各种指派关系及岗位、角色的层次关系等。该模型包含5个子模型,即UROA子模型(用于管理用户到角色、岗位对的指派关系)、PRA子模型(用于管理权限到角色的指派关系)、RRA子模型(用于管理角色及角色层次关系)、OOA子模型(用于管理岗位及岗位层次关系)以及ROA子模型(用于管理角色及岗位之间的关联关系)。AOB4LAC模型很好地实现了基于OB4LAC模型系统的分布式访问控制与授权管理。给出了OB4LAC模型中基于业务应用系统的角色集合划分方法。AOB4LAC模型对于涉及多个组织机构的、基于OB4LAC模型的系统,具有很好的管理适应性。提出了面向组织协作的OB4LAC~C(Cooperation Oriented OB4LAC)模型。通过给出基于OB4LAC~C的组织间安全协作模式,探讨了OB4LAC~C模型在组织间安全协作中的应用,解决了在组织安全协作过程中产生的诸如权限放大、角色名与权限名冲突、权限冲突等问题。探讨了电子政务系统中基于组织的四层访问控制模型的系统实现,包括组织与访问控制系统的体系结构,组织与人员管理功能、资源与角色管理功能以及分布授权管理及鉴权功能的设计,并以一个实际的应用系统论证了基于组织的四层访问控制模型的科学性与可行性。