企業網路中整合使用者身分確認與執行權管制的資訊安全管理：一個系統設計的構想

　　　　　網際網路的快速發展之下，企業目前面臨的挑戰，是在龐大而複雜的網路下應用新的科技來建立商業行為模式，在這種環境下如何提高企業整體的競爭力，網路安全是重要的考慮因素。根據這個前提，本文提出一個於企業資訊網路下整合使用者身分識別與執行權管制系統的發展構想，並且對它的優劣提出評估。我們的目標，是希望能夠讓企業經營者所制定的企業內部安全控管政策，落實於系統實際的運作流程之中。在做法上，我們以「RBAC（Role-Based Access Control）模式」作為執行權管制的設計理論，並且設計出員工的職務屬性憑證，作為結合身分確認與執行權管制的證明。企業的經營者可以透過設計的介面，將內部安全政策轉換為可執行的授權管制資訊，並儲存於系統事先所規劃的授權管制資料庫中 作為對企業員工身分確認與執行權管制的依據。我們的設計理念，是在企業資訊網路環境下，提供現代企業的經營者管制資訊資源的一個新典範。
　　　　　Information security is an essential concern in the Intranet environment. In this paper, we propose a system architecture, which integrates two functions of security management : (1) user authentication and (2) access control. The system allows managers to implement various type of security policies, particularly those RBAC (Role-Based Access Control)-based policies. In the system, a centralized database is designed to store policy information, and an interface language, called authorization language, is proposed for describing access control policies. Some access control information about initiators is conveyed with role attribute certificates, which are the key to integrate access control with user authentication. As a result of the design, our system architecture is a realization of the framework proposed by the ISO (International Standardization Organization) (ISO 10181-2, 1996) for access control.