访问控制是通过某种途径显式地准许或限制访问能力及范围的一种方法，在电子商务环境下，它是解决企业信息系统安全的关键方法之一，也是信息安全领域研究的重点和热点。目前已存在多种访问控制模型，但均具有一定的局限性，不能很好地满足现代企业中用户岗位频繁变化、业务流程日益复杂以及分布式管理等要求。本文在对已有访问控制模型进行研究的基础上，分析了各种模型的优势及其不足，并根据企业环境下访问控制的特点和需求，将基于角色的访问控制(Role-Based Access Control，RBAC)与基于任务的访问控制(Task-Based Access Control，TBAC)相结合，提出了一种分布式环境下基于角色与任务的访问控制模型T-ARBAC(Task-Administrative RBAC)，这种模型能较好地满足企业访问控制的要求，具有灵活性和通用性；同时，本文利用统一建模语言(Unified Modeling Language，UML)对T-ARBAC模型进行了建模、分析和设计，在模型的可实现性上，引入单点登录对其进行了验证，并取得了较好的效果。本文所提出的T-ARBAC模型以角色与任务作为访问控制的主元素，使用户与权限实现了逻辑分离，该模型具有如下特点：1．主动访问控制与被动访问控制相结合，既能处理属于业务流程的任务，又能处理不属于业务流程的任务，提高了访问控制的灵活性；2．对管理角色和管理权限进行了划分，较好地满足了企业的分布式管理要求，减少了授权管理的复杂性；3．对任务进行了类别划分，解决了继承中的私有权限问题。