臺灣博碩士論文加值系統

企業電子化的相關應用隨著全球上網人口數已超過全球人數的四分之一強，衍然蔚為時代的趨勢，在跨國企業進行全球化佈局的現今，讓企業所屬員工可隨時隨地藉由網路存取企業內部各項資訊系統，藉以分享相關知識已刻不容緩；然而，在Internet或Intranet等開放式架構下，企業內部資訊遭受非法入侵與不當的擷取的資訊安全事件已屢見不鮮。因此，如何為企業制訂安全有效的資訊存取控制機制(Access Control)是當前相當重要的研究課題。以角色為基礎的存取控制機制(RBAC)模型係以角色作為區分權力的權限控管模組，之後，由於美國國家標準局(NIST)於2001年大力倡導與推行採用，Ravi Sandhu及Edward J. Coyne等學者專家因此提出可實作的RBAC模型，現今運用於各行各業的各類應用系統之中(諸如：電子支票、員工電子識別證及知識管理平台等研究)。

因此，本論文係植基於RBAC資訊安全存取控制機制的概念，本研究係以本校(清雲科技大學)資管系所籌建的資訊安全管理特色實驗室正進行的跨院「資通安全整合與應用學程」(簡稱資安學程)為例，實作系統管理者、學程計畫主持人、授課老師及教授學生等不同的角色執行權限控管，提出一個新的工作與角色指派模型，期使符合國科會資安聯盟的預期規劃，使得學程資料的擷取與運用能更臻安全及完善。因RBAC機制係運用角色來維護使用者與角色、角色與權限之間的關係，讓使用者與存取權限之間以間接互動關係運作，讓資訊系統能提供合理的資訊給使用者，其具有角色指派關聯、角色繼承、職務分工、最低執行權限、責任分擔、資料抽象化與單位間的條件限制等諸多以往其他存取控制機制模型所無法達成之效果。

本研究採行以RBAC存取控管機制模型來規劃並設計可行的資訊系統角色執行權限作業方式，透過授權憑證及權限控管來控管資訊的存取，避免非法者可憑此身分執行與角色相關的職權。現行已將RBAC機制實際導入至資安學程相關資訊系統的建置作業，期使相關之研究成果有助於未來業界實際運用之參據及擴大實務應用之參考。

Related to electronic commerence applications as the global Internet population has more than a quarter of global population and it has been the trend of the times. The enterprise staffs may momentarily because of the network deposit enterprise information, anytime throught network access to various information systems within the enterprise to share KMS. However, in the Internet or Intranet open systems architecture, the enterprise internal systems suffers incidents of the illegal instrusion and improper access often to take place. Therefore, it’s very important research topic that how to design secure and effective information systems access control mechanism for the enterprise in the present age. Role-based access control (RBAC) model is an access control mechanism which is based on roles to distinguish between authority.After that, NIST adopted RBAC model in 2001，Ravi Sandhu and Edward J. Coyne and other scholars proposed to the RBAC model which can be implemented, applied to all walks of life today among the various application systems. More and more researchers studied RBAC in recent years.Various kinds of RBAC-based information systems were developed.

Therefore, this research proposes a novel RBAC model is based on ISMS laboratory platform ststems of Ching Yun University. As a result of, has the role designation connection, the role to inherit, the duty division of labor, least privilege, separation of duties, the data abstraction with between division''s characteristic and so on information classifications. This RBAC model will make sure that the enterprise has an applicable assignment and the operation in future enterprise is mor efficiently.

中文摘要I
英文摘要III
誌謝V
目錄VI
表目錄VIII
圖目錄IX
第一章 緒論1
1.1 研究背景1
1.2 研究動機與目的 2
1.3 研究流程3
1.4 論文架構與章節規劃6
第二章 文獻探討8
2.1 存取控制定義8
2.2 常見的存取控制模型8
2.2.1 MAC(強制的存取控制機制)9
2.2.2 DAC(任意的存取控制機制)9
2.2.3 RBAC(以角色為基礎的存取控制機制)10
2.3 RBAC存取控制相關模型13
2.3.1 核心式的RBAC 14
2.3.2 階層式的RBAC 16
2.3.3 限制式的RBAC 18
2.3.4 情境角色的RBAC 20
2.4 RBAC模型具體優點整理24
第三章 系統設計27
3.1 程式開發環境28
3.2 程式設計使用技術28
3.3 MVC專案的建立結構30
3.3.1 MVC控制器30
3.3.2 MVC檢視31
3.4 系統架構32
3.4.1 角色安全控制 36
3.4.2 使用者登入對應角色控制37
第四章 系統展示38
4.1 系統實作38
4.2 角色及角色階層管理40
4.3 帳戶管理42
4.4 規則管理43
4.5 屬性管理44
4.6 工作及權限管理 46
4.7 限制管理47
4.8 小結 48
第五章 結論與未來研究方向建議49
5.1 研究發現與結論 49
5.2 未來研究方向與建議51
參考文獻52
簡 歷57

[1] David Ferraiolo, Richard Kuhn. (1992), “Role-Based Access Control”, In Proceedings of 15th NIST-NCSC National Computer Security Conference, October 1992.
[2] R. S. Sandhu, E. J. Coyne, H. L. Feinstein and C. E. Youman (1994), “Role-Based Access Control : A Multi-Dimensional View,” Proc. of 10th Annual Computer Security Applications Conf., Orlando, Florida, December 5-9, 1994.
[3] R. S. Sandhu and P. Samarati (1994), “Access Control: Principles and Practice,” IEEE Communication Magazine, Vol:32, Iss:9, 1994.
[4] Ravi S. Sandhu, Edward J. Coyne, Hal. L. Feinstein, and Charles E. Youman (1996), “Role-Based Access Control Models,” IEEE Computer, Vol.29, No.2, pp. 38-47, February 1996.
[5] R. S. Sandhu and J. S. Park (1998), “Decentralized User-Role Assignment for Web-based Intranets,” Proceedings of 3rd ACM Workshop on Role-Based Access Control, Fairfax, Virginia, October 22-23, 1998.
[6] R. S. Sandhu , David Ferraiolo and Richard Kuhn. (2000), “The NIST Model for Role-Based Access Control: Towards A Unified Standard,” Proceedings of the fifth ACM workshop on Role-Based Access Control ,July 2000.
[7] Sylvia Osborn, R. S. Sandhu and Qamar Munawer (2000), “Configuring Role-Based Access Control to Enforce Mandatory and Discretionary Access Control Policies,” ACM Transactions on Information and System Security, Vol. 3, No. 2, pp. 85-106, May 2000.
[8] David. Ferraiolo, Ravi. Sandhu, Serban. Gavrila, Richard. Kuhn and Ramaswamy. Chandramouli (2001),“Proposed NIST Standard for Role-Based Access Control,” ACM Transactions on Information and System Security, Vol. 4, No. 3, pp. 224-274, 2001.

[9] Edgar Weippl (2001), “An Approach to Role-Based Access Control for Digital Content”Information Technology: Coding and Computing, 2001. Proceedings. International Conference on 2-4 April 2001, pp.209-294.
[10] Jaehong Park and Ravi S. Sandhu, (2002). “TowardsUsage Control Models: Beyond Traditional Access Control,” In Proc. of 7th ACM SACMAT 2002, 57-64, 2002.
[11] Andreas Schaad and Jonathan D. Moffett (2002) “A Lightweight Approach to Specification and Analysis of Role-based Access Control Extensions,” In Proc. of 7th ACM SACMAT 2002, pp13-22, 2002.
[12] 楊政學著 (2007)，”實務專題製作－企業研究方法的實踐”，3th Edition，新文京開發出版。
[13] 李美華譯，Babbie,E. 著 (1998)，”社會科學研究方法”，8th Edition，時英出版。
[14] Von Bertalanffy,L., (1968) General System Theory, New York: George Braziller.
[15] ISO/IEC 10181-3 (1996)，Information technology-Open Systems Interconnection-Security Framework for Open Systems：Access Control Framework.
[16] 劉興華 (1999)，＂執行權管制系統的理論性架構設計＂，國立交通大學資訊管理研究所博士論文，1999。
[17] 方仁威、熊鴻哲 (2009)，＂植基於RBAC安全機制應用於電子公文系統之研究＂，清雲科技大學2009資訊管理實務研討會論文集，2009。
[18] 林祝興、張真誠著 (2006)，＂電子商務安全技術與應用＂，旗標公司95年3月出版。
[19] Simson Garfinkel and Gene Spafford (1997) , ＂Web Security & Commerce＂ , O''Reilly & Associates Press , 1997.
[20] D.E. Denning (1982) , ＂Cryptography and Data Security＂, Addison Wesley, 1982.
[21] Bruce Schneier(1996), ＂Applied Cryptography ＂, John Wiley & Sons, Inc., 1996.
[22] 潘天佑著 (2008)，＂資訊安全概論與實務＂，碁峰資訊股份有限公司，2008年12月初版。
[23] Mark S.Merkow˙Jim Breithaupt 著、柳望君譯 (2006) ，＂資訊安全＂，台灣培生教育出版有限公司，2006年10月初版。
[24] 林千代 (2003)， ＂可攜性RBAC資訊系統架構之研究＂，朝陽科技大學資訊管理學系碩士論文，2003。
[25] 林忠賢 (2003)， ＂以角色基礎之數位權利管理模式之研究＂，世新大學資訊管理學系碩士論文，2003。
[26] 陳星吏 (2003)，＂架構一個以角色為金鑰管理基礎的企業數位版權管理系統雛型＂，國立交通大學資訊管理研究所碩士論文，2003。
[27] 方仁威、熊鴻哲 (2008)，＂以角色識能概念導入知識管理系統之研究＂，清雲科技大學2008企業經營管理實務研討會論文集，2008。
[28] M. Alavi and D. E. Leidner (1999), “Knowledge Management Systems: Emerging Views and Practices from the Field”, Processdings of the of the 32nd Hawaii International Conference on System Sciences-1999 (IEEE).
[29] M. Alavi and D. E. Leidner (2001), “Review：Knowledge Management and Knowledge Management Systems: Conceptual Foundation and Research Issues”, MISQ, Vol. 25, No. 1. pp. 107-135.
[30] C.K. Prahalad and G. Hamel (1990), “The Core Competence of the Corporation”, Harvard Business Review , pp. 79-91.
[31] T. H. Davenport (1994), “Saving IT''s Soul: Human-Centered Information Management”, Harvard Business Review, vol. 72, no. 2, pp. 119-131.
[32] P. S. Myers and R. W. Swanborg (1998), Packaging Knowledge , CIO Communication , 15－April. (Or James W. Cortada & John A.Woods , The Knowledge Management Yearbook 1999-2000, Butterworth-Heinemann, pp. 200-203).
[33] Sejong Oh and Seog Park (2003), “Task-Role-based Access Control Model,” Information Systems ,Vol. 28, No.6, pp. 533-562, 2003.

[34] Dirk Schwartmann (2004), “An Attributable Role-based Access Control for Healthcare,” Proceedings of International Conference on Computational Science ,LNCS 3039, pp. 1148-1155, 2004.
[35] R. S. Sandhu , Edward J. Coyne, Hal L. Feinstein and Charles E. Youman (1994), “Role-Based Access Control: A Multi-dimensional view,” In Proceedings of 10th Annual Computer Security Application Conference, pp. 54-62, 1994.
[36] Mohammad A. Al-Kahtani and Ravi Sandhu (2003), “Induced Role Hierarchies with Attribute-Based RBAC,” Proceedings of the 8th ACM Symposium on Access Control Models and Technologies Table of Contents, pp. 142-148, 2003.
[37] Axel Kern and Claudia Walhorn (2005), “Rule support for Role-Based Access Control,” Proceedings of the 10th ACM Symposium on Access Control Models and Technologies, pp. 130-138, 2005.
[38] Baoyi Wang and Shaomin Zhang (2004), “The Research on Role-based Access Control Mechanism for Workflow Management System,” Proceedings of Grid and Cooperative Computing ,LNCS 3251, pp. 729-736, 2004.
[39] Feng Xu, Guoyuan Lin and Hao Huang, Li Xie (2004), “Role-based Access Control System for Web Services,” Proceedings of The 4th International Conference on Computer and Information Technology, pp. 357-362, 2004.
[40] 李宗澤 (2006)，”以屬性為基礎的工作-角色指派模型之研究”，中華大學資訊管理學系碩士論文，2006。
[41] 鍾聿光 (2006)，”RBAC權限控管系統中登入管理之研究”，中原大學資訊工程學系碩士論文，2006。
[42] 邱啟弘(2004)，” RBAC權限控管系統中靜態責任分離機制之研究”，中原大學資訊工程學系碩士論文，2004。
[43] 曾瑋展(2005)，”以角色為主之權限控管系統中使用控制模組之研究與實作”，中原大學資訊工程學系碩士論文，2005。
[44] 蔡昌學(2004)，” RBAC權限控管系統中動態責任分離機制之研究”，中原大學資訊工程學系碩士論文，2004。
[45] 劉義漢 (2002)，” 以RBAC架構設計XML-based電子金融服務入口之存取權控管”，交通大學資訊管理學研究所碩士論文，2002。
[46] 郭貞伶 (2006)，”網際網路單一簽入系統結合RBAC授權機制之研究”，世新大學資訊管理學系碩士論文，2006。
[47] 蔡政宇 (2008)，”以角色為基支援跨網域之網頁應用程式授權方法設計”，南華大學資訊管理學系碩士論文，2008。
[48] 邱裕翔 (2009)，”多層次文件加密方法之研究”，淡江大學資訊管理學系碩士論文，2009。