在信息社会中,信息在企事业单位中扮演的角色越来越重要。随着Web服务的广泛应用,如何保护信息资源在Web环境中不被非法访问成为了需要研究的一个重要课题。在当前软硬件环境下,面向应用层的最佳的防范措施就是基于数字证书的公钥基础设施和授权管理基础设施。中小企业在社会经济发展中起着重要作用,由于其规模小、成本低等特点,对信息系统的需求有自已的特点。为此,给出了一个适应中小企业信息资源安全保护需求的解决方案。系统将采用B/S模式,建立起由认证服务器、Web服务器以及客户端(浏览器)组成的中小企业身份认证和授权管理系统,对用户及其行为进行身份认证和权限认证,最后对用户请求返回一个处理结果,合理保障企业信息资源的保密性、完整性和可用性。在中小企业应用软件系统开发的过程中,如何制定一套灵活、适应的访问控制策略是应用软件系统设计的难点所在。将基于规则的角色访问控制框架应用到系统中,并将属性与角色对应规则以及授权冲突解决策略嵌入到系统的访问控制策略中去,实现了对角色的自动分配,并在分配角色发生冲突的时候能够根据访问控制策略进行处理,从而减轻了系统授权管理员的负担。在应用软件系统的应用上,给出了一个适应中小企业身份认证和授权管理需求的原型系统。利用安全套接字层认证技术实现用户与Web服务器的双向认证,并通过解析访问控制策略和存储在目录服务器的用户属性证书,实现对用户的身份认证和访问控制,保证企业的信息资源合法合理利用。最后对原型系统的功能进行了测试,并对不足之处和进一步研究的内容进行了阐述。