SaaS(Software as a Service)通过互联网以服务形式向客户提供分布式网络应用系统定制与运行平台。SaaS成功的关键是通过配置服务方便并且成本合理地构建应用系统,访问控制策略是配置的重要内容。分布式网络环境应用系统访问控制通过访问路径一系列的访问控制、认证、过滤、通信机密性和完整性等安全监控技术实施,这些安全监控只有在协同一致的策略控制下才能实现访问控制目标,访问控制策略配置呈现复杂性。策略精化是解决访问控制策略配置复杂性的重要技术,不同抽象层次系统模型对应不同抽象层次策略形式,策略精化将抽象的、易于理解的策略通过层间映射关系逐层自动转化为实际系统复杂的配置策略。策略精化需要满足一致性和完备性。一致性指同层策略之间、下层策略与上层策略之间没有冲突,完备性指所有上层策略在下层有相应的策略支撑。策略精化中精化推导将抽象策略逐层转化为实际系统配置策略,形成符合完备性的支撑策略;策略冲突分析保证精化一致性。应用系统可能存在多种类型策略冲突,有些如IPSec策略需要有序分析不同类型冲突才能形成正确结果。冲突消解规则根据应用需要有最先匹配、最后匹配、否定优先、肯定优先、策略等级、适用范围等方式。策略冲突分析消解冲突策略,导致精化推导形成的精化完备性被破坏,被消解策略如果还与其它策略存在协同或组合等关系,那么策略之间这些关联属性也被破坏,需要取消相应策略以修正策略之间关联属性,保证配置策略是符合路径协同、组合与互斥、精化一致性和完备性的有效精化策略,并防止多余的权限带来安全漏洞。策略冲突分析有序分析不同类型策略冲突能力、冲突消解规则可选范围以及修正策略关联属性能力决定有效策略精化范围。SaaS是客户分布式网络应用的构建和运行平台,需要策略精化服务解决客户应用系统访问控制策略配置复杂性。另外,SaaS还需要通过策略之间的精化推导关系体现访问控制目标与实现对应关系SLA(service-level agreement)。再有,弹性计算、动态迁移是客户应用系统在SaaS平台运行的重要优势,而访问控制策略配置与平台环境参数有关,所以精化计算需要较高的性能与之相适应。然而,现有精化技术不能协同多条访问路径的相关策略,不能精化具有组合与互斥关系的策略,不能处理像IPSec策略这样需要有序分析不同类型冲突策略,有些技术冲突消解规则选择及SLA呈现能力欠缺,限制了SaaS策略精化服务的有效精化策略范围,造成这些问题的根本原因在于精化中策略关联属性描述、分析与修正能力不足。本文分析精化技术特点,以及对于SaaS客户应用系统的适用性和可扩展性,分析现有策略冲突分析技术的分析能力、SaaS客户应用系统精化计算适用性和可扩展性;设计符合SaaS客户需求的策略精化服务模块。主要的创新工作如下:1.基于SaaS通用体系结构与IETF策略管理体系结构,设计SaaS平台客户应用系统访问控制策略精化服务模块的结构和工作机制。模块基于平台监控机制实时为客户提供精化服务,以保证客户应用系统在SaaS动态迁移、弹性计算环境访问控制正确实施。2.规约并形式描述访问控制策略和策略关联属性,设计具有策略之间组合、精化推导、路径协同等关系描述的策略精化算法,设计策略精化树描述策略及策略之间关联属性,为进一步策略关联属性分析与修正打下基础。并且策略精化树直接呈现访问控制SLA。3.策略冲突判断是策略精化计算的重要步骤。本文设计了基于集合求交递推计算的策略冲突判断算法,计算精化树上冲突策略。模拟实验结果和分析表明该算法具有较高性能,能提高策略冲突消解和关联属性修正计算性能,是高性能SaaS客户应用系统精化服务的基础。4.基于冲突判断,采用开放逻辑R反驳计算消解冲突策略,并进一步基于精化树记录的策略关联属性,修正策略之间包括组合、互斥、多访问路径协同、精化推导等关联属性失效,R反驳计算还能够根据应用需要定义冲突消解规则,有序消解不同类型策略冲突,防止多余的权限带来安全漏洞。5.分析并设计自上而下各层策略形式转换、冲突判定、冲突消解与策略关联属性修正、精化推导等计算步骤的计算顺序,保证整个应用系统策略的有效精化计算。基于上述研究工作的SaaS客户应用系统访问控制策略精化服务模块,克服现有精化技术的不足,提供客户自由选择应用系统冲突解决规则,客戶能夠有序消解像IPSec策略这类策略冲突,能够推导并协同应用系统各层多条路径访问控制策略,具有组合与互斥策略精化能力,可以呈现访问控制的SLA。实验模拟证明该技术的性能符合SaaS客户应用系统访问控制策略精化性能需求。