由于数据量的不断增加,大规模存储系统需要服务百万级的用户,并拥有成百上千的存储设备和具有PB甚至EB级的存储能力,其安全性遇到了前所未有的挑战。现有的存储系统没有将安全相关的元数据与普通的元数据进行区分,存储设备不直接拥有用户访问权限和认证等信息,为了授权一个用户,存储设备必须从元数据服务器或者已从元数据服务器获取了安全信息的客户端来获取这些信息。当系统规模增大,元数据服务器就成为系统的瓶颈。考虑到安全元数据更新频繁的特性,这种情况将更加严重。为了解决大规模高性能存储系统安全面临的挑战,有必要将安全相关的元数据和其它的元数据进行区分。一个有效的办法是将安全相关的元数据的存放和管理功能直接下放到设备端,由存储设备对客户进行身份认证和权限检查,实现分布式的安全管理,以解决上述的问题。分布式安全模型将访问控制列表和对象进行关联,并存储在存储设备上,用户在访问存储设备前,不再需要向元数据服务器请求权限授予,而直接由存储设备进行访问控制,从而提高用户的访问效率,减轻了元数据服务器的负载。结合对象存储设备中文件系统的特点,采用基于角色的访问控制策略,设计了访问控制列表的语法规则、继承规则和优先规则,实现了对象文件系统中访问控制列表的初始化、存储方案和安全检查机制,并进行了相关测试。测试结果表明:访问控制列表对文件系统的读写性能影响较小,采用基于身份的分布式安全模型的存储系统性能比采用基于证书的集中式安全模型的系统性能有较大提高。