基于改进角色的多AGENT工作流访问控制方法.pdf

本发明公开了一种基于改进角色的多Agent工作流访问控制方法，主要解决工作流的访问权限控制问题。其实现步骤是：1)构建以用户-角色-任务-权限的四层结构模式，设计不同类型的Agent，Agent之间交互协作，完成工作流执行角色；2)在工作流系统平台上配置四层结构模式，其配置包括：身份认证、组织树角色管理、任务执行管理和角色-任务-权限管理；3)根据四层结构模式进行工作流的访问控制。本发明由于在角色和权限之间添加了任务，角色只有在执行任务时才能拥有权限，实现了工作流系统中最小权限分配，提高了工作流系统的动态适应性。

1.  一种基于改进角色的多Agent工作流访问控制方法，包括如下步骤：
(1)在基于角色的访问控制模型的用户-角色-权限三层模式的基础上，引入Agent集、任务集，构成以用户-角色-任务-权限的四层结构模式，其中：
用户层，由访问和操作工作流的所有用户构成，每个用户对应一个用户Agent；
角色层，由工作流执行中所需要的角色构成，每个角色被分配给不同的用户；
任务层，由工作流系统过程定义分解的相互依赖的任务集构成，在该层中，任务被分配给角色，任务的执行由任务Agent完成；
权限层，由工作流执行中所需要使用的权限构成，该层中的权限被分配给不同的任务，角色通过任务获得权限，任务执行完成后，角色不再拥有权限；
(2)在工作流管理系统中利用上述四层结构模式对实际工作流进行访问控制：
(2a)将现实业务的运行流程转换成为适合计算机运行的工作流；
(2b)将工作流分解成能够被Agent执行的任务集，确定任务之间执行的序列关系；
(2c)根据任务集，确定工作流中执行任务的角色和对任务分配权限；
(2d)分别确定工作流所用到的用户Agent、任务Agent、资源管理Agent和资源Agent；
(2e)用户启动工作流运行，工作流管理系统对任务进行实例化后，并启动相关的Agent，根据四层结构模式中所确定的角色与任务、任务与权限之间的关系，进行工作流访问权限的控制，按照工作流程依次进行流程发起、流程注册、流程控制和流程执行的时序。

2.  根据权利要求1所述的基于改进角色的多Agent工作流访问控制方法，其特征在于：
所述的用户，是指与工作流进行交互、操作的外部人员；
所述的任务，是指由工作流分解而形成的相互依赖的可被执行的实体；
所述的权限，是指工作流中客体能被执行实体操作的动作集合，不同的任务拥有不同的权限；
所述的角色，是指具有相同身份用户的集合，不同的角色执行不同的任务；角色只 有在执行任务时才能拥有权限，执行完成后权限收回。

3.  根据权利要求1所述的基于改进角色的多Agent工作流访问控制方法，其特征在于：
所述用户Agent集，是指完成用户与系统交互的Agent，即将用户与角色关联，以代替用户进行系统的内部操作；
所述任务Agent集，是指具体执行任务的Agent，即将任务与权限关联，并与任务实例进行交互。

4.  根据权利要求1所述的基于改进角色的多Agent工作流访问控制方法,其特征在于：所述步骤(1)中的用户-角色-任务-权限四层结构模式，是在工作流系统开发平台上实现，其步骤如下：
(1a)建立用户身份信息数据库，通过数据库信息与用户登陆信息匹配的方法，实现用户的身份核实和识别；
(1b)用树状映射关系图表示用户与角色、角色与任务之间的对应关系，建立用户和角色、角色和任务之间关系的组织树，管理员通过身份认证后可对该组织树进行设定，即为用户分配角色，为角色分配任务；
(1c)根据权限信息数据库，对任务进行权限分配；
(1d)建立任务Agent集、资源管理Agent和资源Agent，由任务Agent完成任务的具体执行，并在执行过程中通过资源管理Agent实现对资源Agent的调用。

5.  根据权利要求1所述的基于改进角色的多Agent工作流访问控制方法，其特征在于：所述的对任务进行实例化，是指对执行任务所安排的一次具体操作过程。

6.  根据权利要求1所述的基于改进角色的多Agent工作流访问控制方法，其中所述步骤(2e)中的流程发起，是由工作流管理系统先创建一个工作流，在用户成功登陆后，启动用户Agent；用户通过客户端界面再向用户Agent发送消息，用户Agent接收到该信息后创建和启动控制Agent，并向控制Agent发送此工作流的相关信息，该信息包括启动参数、流程标识即流程ID。

7.  根据权利要求1所述的基于改进角色的多Agent工作流访问控制方法，其中所述步骤(2e)中的流程注册，是由控制Agent先创建和启动一个工作流引擎Agent,其名称为WfID，再在目录服务DF中进行注册；注册完成后，由目录服务DF发送反馈信息给控制Agent。

8.  根据权利要求1所述的基于改进角色的多Agent工作流访问控制方法，其中所述步骤(2e)中的流程控制，其实现如下：
首先，由控制Agent在接收到DF的反馈信息后，根据工作流引擎名称WfID在目录服务DF中搜索工作流引擎Agent，如果存在该工作流引擎Agent，则将其作为工作流的执行者，并设置初始参数和启动工作流；否则，不执行工作流；
然后，由工作流引擎Agent将工作流中的任务分配给任务Agent，并控制任务Agent的执行和任务Agent之间的协作。

9.  根据权利要求1所述的基于改进角色的多Agent工作流访问控制方法，其中所述步骤(2e)中的流程执行，是由任务Agent向资源管理Agent发出调用资源请求，资源管理Agent查询是否有无该类资源：若有，则向该类资源的资源Agent发出信息，资源Agent根据实际情况选择资源对资源请求进行处理；若没有，则任务Agent对该类资源调用失败。

基于改进角色的多Agent工作流访问控制方法
技术领域
本发明属于计算机应用技术领域，特别涉及一种多Agent工作流访问控制方法,可用于工作流管理系统的集成开发。
背景技术
上世纪70年代，人工智能领域中提出了一种全新的概念—Agent，Agent是指通过感知环境，利用自身知识和能力，制定可执行的有相互依赖关系的活动步骤，以实现最终目标。Agent技术关联着人工智能、分布式处理、专家系统等多种计算机学科，具有自治性、社会性、反应性和自发性等基本特征。
近年来，将Agent应用到工作流管理系统中引起了国内外学者的兴趣和高度重视，这种结合应用已表现出了良好的发展前景。工作流是指将现实业务通过过程定义形成的适合计算机执行的可分解的流程。工作流管理系统的核心为工作流引擎，它控制着工作流的整个运行状态。将Agent应用于工作流管理系统中，利用Agent的特性，使Agent负责系统中的任务分配、资源调度、协同管理、任务执行等工作，能很好地支持相关工作流管理系统实现整个系统的智能化和敏捷化。在多Agent工作流系统中，包含多种类型的Agent：用户Agent，任务Agent，工作流引擎Agent，监控Agent，资源管理Agent，资源Agent，控制Agent等，不同的Agent之间通过协同执行任务来保证系统的正常运行。
对于工作流这种流程化和自动化的计算机系统运行方式，更是注重考虑整个系统的安全问题，工作流管理联盟WfMC对工作流安全服务进行了研究并在其颁布的安全白皮书中，提供了包括认证、授权、访问控制、数据加密、审计、数据完整性、安全管理和不可否认八个方面的内容，以保证工作流运行的安全性。
访问控制是以身份识别为前提，按照身份信息对资源调度请求进行控制，从而做到对工作流系统资源与服务的安全保护。
目前，比较主流的访问控制机制有自主访问控制DAC，强制访问控制MAC，基于角色的访问控制RBAC和基于任务的访问控制TBAC。
1)自主访问控制DAC
将用户作为客体的拥有者，全权管理有关客体的访问授权，这样用户就可以自主地决定其它用户以何种方式访问他所拥有的客体。只要用户通过了身份认证，DAC就可以根据用户的身份和访问权限为其分配访问操作。主体在拥有了一定访问权限后，就可以直接或者间接地将这些权限传递给其它主体。DAC的自主性可以为用户提供很大的灵活性，但这种自主性带来了潜在的不安全，它使得特洛伊木马通过共享客体从一个进程传递到另一个进程。
2)强制访问控制MAC
将每一个主体和客体都划分到某一安全级别中，在安全级别分类的基础上实施访问控制。主体的安全级别反映了主体用户的可靠性，即主体用户不会把敏感信息泄漏给其他用户。客体的安全级别反映了客体信息的敏感性和机密性，即信息泄露将导致的危害大小。MAC通过分配安全属性对所有用户和资源强制执行安全策略，是由管理员统一分配并管理的，用户不能改变自身以及其他主/客体的安全属性。这种控制模式使得系统中的信息流成为单向不可逆的，防止了信息从高安全级的客体流向低安全性的客体。但是MAC不能给用户提供较好的灵活性，实现工作量较大，在工作流管理系统中无法满足企业复杂环境的安全需求。
3)基于角色的访问控制RBAC
根据组织关系中的工作职责划分角色，并为角色授予访问和操作资源的权限，用户通过所指派的角色获取相应的权限，从而实现了用户与权限的逻辑分离。在RBAC模型中，在用户和权限之间引入了“角色”的概念，用户只能获得所分配角色拥有的访问权限，但却无法获得此角色所不具备的访问权限。RBAC因为引入了角色这个中介，可以根据实际应用需求定义各种角色和设定角色的访问权限，同时用户也被指派给不同的角色，实现了用户和访问权限的逻辑分离，用户对客体的访问不再是自主的了。但在工作流管理系统中，RBAC不能保证职责分离，假设某一角色可以完成多项操作，那么完成多项操作的主体可以是属于该角色的一个主体，也可以是属于该角色的多个主体，从而不能保证职责分离；最小特权约束假象，在RBAC中，权限直接和角色联系在一起，当一个用户激活某一个角色后，就拥有了该角色的所有权限。但在实际应用中，该用户有可能是不允许同时执行这些任务的，所以用户拥有的权限比实际执行任务时所需要的权限大，因此并没有达到真正的最小特权约束。
4)基于任务的访问控制TBAC
从任务的角度来建立安全模型和实现安全机制，在任务处理的过程中提供动态实时的安全管理。将访问权限与任务相结合，任务的执行是用户使用相关权限访问客体的过程。在任务执行过程中，权限被消耗完或任务结束时，用户就不再拥有访问权限。并且系统根据主体客体的情况、任务状态来决定怎样赋予主体的访问权限，客体的访问权限随着执行任务的上下文环境的变化而变化，所以称其为主动安全模型。但是由于TBAC授权策略的复杂性,此模型的研究仅停留在理论阶段,不适合大型企业的应用，至今还没有形成一个成熟完善的实现架构。此外,由于TBAC中不支持角色的层次关系,所以在实际应用中的效果并不理想。
上述几种访问控制方法都不能很好的应用于工作流管理系统中，因为该系统是以任务为中心的系统，以上介绍的传统的访问控制方法都很难达到系统安全访问控制的要求。
发明内容
本发明的目的在于提出一种基于改进角色的多Agent工作流访问控制方法，通过任务分配权限，解决现有技术的工作流管理系统在运行时不能实现因一人多岗而应有的多个权限问题，即用户在工作流中执行不同的任务则具有不同的权限，使得工作流管理系统能自主、交互性地执行任务，减少用户的工作量。
本发明的技术方案是这样实现的：
一.技术原理
本发明的基本思想是：任务执行的操作权限不再分配给角色，而是将具体的访问权限赋予任务，角色通过执行任务获得权限，用户在分配了具体的角色并执行任务时才能使用权限。这样就可以保证权限只有在任务执行时才被使用，任务执行完成后，用户与角色不再能操作系统中的客体。用户、角色、任务和权限之间均为多对多的关系，并且可根据工作流运行的实时情况进行改变。
通过设计不同类型的Agent，使它们之间交互协作完成整个工作流的执行。其中用户Agent和任务Agent是两个关键的Agent。任务的执行需要任务Agent，用户Agent通过用户身份的识别，代替用户执行某些非必需的操作。
本发明中，主体是用户和用户Agent，客体是任务和任务Agent；角色是充当着主体和客体间关系的桥梁，角色和任务通过权限赋予相联系，通过控制任务 权限的赋予，工作流管理系统将角色和任务Agent相关联。将权限分配给不同的任务，任务把权限分配给角色，拥有此角色的用户Agent得到此任务节点具备的操作权限，这样可将工作流系统中的权限与用户隔离开，达到安全访问控制的需求。
二.技术方案
根据上述原理，本发明的实现步骤包括如下：
(1)在基于角色的访问控制模型的用户-角色-权限三层模式的基础上，引入Agent集、任务集，构成以用户-角色-任务-权限的四层结构模式，其中：
用户层，由访问和操作工作流的所有用户构成，每个用户对应一个用户Agent；
角色层，由工作流执行中所需要的角色构成，每个角色被分配给不同的用户；
任务层，由工作流系统过程定义分解的相互依赖的任务集构成，在该层中，任务被分配给角色，任务的执行由任务Agent完成；
权限层，由工作流执行中所需要使用的权限构成，该层中的权限被分配给不同的任务，角色通过任务获得权限，任务执行完成后，角色不再拥有权限；
(2)在工作流管理系统中利用上述四层结构模式对实际工作流进行访问控制：
(2a)将现实业务的运行流程转换成为适合计算机运行的工作流；
(2b)将工作流分解成能够被Agent执行的任务集，确定任务之间执行的序列关系；
(2c)根据任务集，确定工作流中执行任务的角色和对任务分配权限；
(2d)分别确定工作流所用到的用户Agent、任务Agent、资源管理Agent和资源Agent；
(2e)用户启动工作流运行，工作流管理系统对任务进行实例化后，并启动相关的Agent，根据四层结构模式中所确定的角色与任务、任务与权限之间的关系，进行工作流访问权限的控制，按照工作流程依次进行流程发起、流程注册、流程控制和流程执行的时序。
本发明与现有技术相比具有如下优点：
1)本发明保留了传统RBAC模型的优点。RBAC模型以角色为中心，能方便地进行授权管理，本发明也保留了角色，以方便对用户的管理。
2)本发明中权限不再分配给角色，通过角色对任务的执行获得权限，并通过对 任务和权限关系实现整个工作流管理系统权限的管理。此外，用户在成功登陆后不能拥有权限，只有执行具体任务才能拥有权限，并且任务执行完成后权限收回，提高了工作流管理系统的动态适应性。
3)本发明是对基于角色的访问控制模型进行改进，在角色和权限之间添加了任务的概念，真正实现系统中最小权限的分配，同时解决了角色层次划分带来的私有权限问题，保证了工作流管理系统的安全性和高效性。
4)本发明将Agent的概念引进访问控制方法的设计与实现中，设定不同Agent与用户、任务之间的交互方式，利用Agent的相关特性实现信息的交互，协作完成不同类型的任务集，提高了工作流管理系统的交互性能。
附图说明
图1是本发明的实现流程示意图；
图2是本发明中的四层结构模式示意图；
图3是本发明中在工作流系统中配置的子流程图；
图4是本发明中的Agent交互关系图；
图5是本发明的执行序列图。
具体实施方式
以下结合附图对本发明进行详细描述。
本发明的基于改进角色的多Agent工作流访问控制方法适应于工作业务流程中。将工作流分解成任务单元，结合多Agent理论，在工作流管理系统中进行访问控制。
参照图1，其实现步骤是：
步骤1，构建以用户-角色-任务-权限为主体的四层结构模式。
参照图2，本发明以基于角色的访问控制模型为基础，加入Agent集、任务集、任务实例集和任务上下文，使得角色不再直接拥有权限，构成了以用户-角色-任务-权限四层结构模式。其中：
用户层，由访问和操作工作流的所有用户构成，每个用户对应一个用户Agent；
角色层，由工作流执行中所需要的角色构成，每个角色被分配给不同的用户；
任务层，由工作流系统过程定义分解的相互依赖的任务集构成，在该层中，任务被分配给角色，任务的执行由任务Agent完成；
权限层，由工作流执行中所需要使用的权限构成，该层中的权限被分配给不同的任务。
所述的用户，是指与工作流进行交互、操作的外部人员；
所述的任务，是指由工作流分解而形成的相互依赖的可被执行的实体；
所述的权限，是指工作流中客体能被执行实体操作的动作集合，不同的任务拥有不同的权限；
所述的角色，是指具有相同身份用户的集合，不同的角色执行不同的任务；角色只有在执行任务时才能拥有权限，执行完成后权限收回。
上述四层结构模式中包含以下的关系：
用户角色指派关系URA，即用户与角色的关系，是将某个角色指派给一个用户，为多对多的关系；
用户Agent角色指派关系UAA，即角色与用户Agent间的关系，是将某个角色指派给一个用户Agent；
任务角色指派关系TRA，即角色与任务的关系，是将某个任务分配给某个角色，为多对多的关系；
任务权限指派关系TPA，即任务与权限的关系，是将任务执行过程中需要的权限授予该任务，为多对多的关系。角色通过任务获得权限，任务执行完成后，角色不再拥有权限，实现对角色进行最小权限的约束；
任务Agent-任务实例映射关系TAIP，即任务Agent与任务实例的关系，是将一个任务Agent映射到它所对应的不同实例中，为一对多的映射关系；
任务实例权限赋予关系IPA，即任务实例与其运行中所获得的权限的关系，该关系是依据任务权限指派关系TPA和任务Agent-任务实例映射关系TAIP而确定。
任务实例角色赋予关系IRA，即任务实例与其运行时相关角色的关系，该关系是依据任务角色指派关系TRA和任务Agent-任务实例映射关系TAIP确定。
任务Agent的访问控制权限描述集TaAC，即任务Agent所具有的操作权限。
利用这四层结构模式实现用户与系统的交互时，需要引入不同类型的Agent，包括用户Agent集和任务Agent集，并在任务Agent集中对任务Agent添加相应的约束。
所述用户Agent集，是指完成用户与系统交互的Agent，即将用户与角色关联，以代替用户进行系统的内部操作；
所述任务Agent集，是指具体执行任务的Agent，即将任务与权限关联，并与任务实例进行交互。
步骤2，在工作流系统开发平台上配置用户-角色-任务-权限四层结构模式，参照图3：本步骤具体如下：
(2a)身份认证：建立用户身份信息数据库，用户登陆后，通过数据库信息与用户登陆信息匹配的方法，实现用户的身份核实和识别；
(2b)组织树角色管理：用树状映射关系图表示用户与角色、角色与任务之间的对应关系，建立用户和角色、角色和任务之间关系的组织树，并将其存储于用户角色数据库中；管理员通过身份认证后可对该组织树进行设定，即为用户分配角色，为角色分配任务；
(2c)任务执行管理：根据权限信息数据库，对任务进行权限分配，建立任务Agent集、资源管理Agent与资源Agent，由任务Agent集中的任务Agent完成任务的具体执行，在执行过程中通过资源管理Agent，实现对资源Agent的调用；
(2d)角色-任务-权限管理：建立约束集数据库，其包括：用户-角色约束、任务-角色约束和任务执行时间约束，任务执行前对这些约束关系进行验证，只有符合约束的任务才能够被执行。
步骤3，利用上述四层结构模式进行实际工作流的访问控制。
3a)利用工作流过程定义工具软件将现实业务的运行流程转换成为适合计算机运行的工作流；
3b)将3a)得到的工作流分解成能够被Agent执行的任务集，并根据工作流过程定义，确定任务之间执行的序列关系；
3c)根据步骤3b)中的任务集，确定工作流中执行任务的角色和对系统中的任务分配权限；
3e)根据步骤3a)的工作流，分别确定所用到的用户Agent、任务Agent、资源管理Agent和资源Agent，各Agent之间的交互关系是：用户通过客户端界面给用户Agent发送一个消息，用户Agent接收到该信息后，创建和启动控制Agent；控制Agent创建工作流引擎Agent，工作流引擎Agent完成工作流的启动和控制， 一个工作流将对应一个工作流引擎Agent；工作流引擎Agent将任务列表中的子任务分配给各个任务Agent，并根据任务间的约束关系进行调度；任务Agent可向资源管理Agent发送资源请求，资源管理Agent依据资源请求调用资源Agent；任务执行完成后，其反馈信息由工作流引擎Agent反馈给用户Agent，如图4所示；
3g)用户启动工作流运行，工作流管理系统对任务进行实例化，即对要执行的任务安排具体的操作过程；之后，启动相关的Agent，根据四层结构模式中所确定的角色与任务、任务与权限之间的关系，进行工作流访问权限的控制；
3h)工作流管理系统根据任务的次序执行流程时序:
参照图5，流程时序依次包括流程发起、流程注册、流程控制和流程执行四个阶段，每个阶段的工作过程如下：
流程发起阶段：由工作流管理系统创建一个工作流，在用户成功登陆系统后，启动用户Agent；用户通过客户端界面触发一个消息，并将该消息发送给该用户Agent；用户Agent接收到该信息后创建和启动控制Agent，并向控制Agent发送此工作流的相关信息，该信息包括启动参数、流程标识即流程ID。
流程注册阶段：控制Agent创建和启动一个工作流引擎Agent,其名称为WfID，同时控制Agent在目录服务DF中进行注册，完成注册之后，DF发送反馈信息给控制Agent。
流程控制阶段：控制Agent在接收到DF的反馈信息后，根据根据工作流引擎名称WfID在DF中搜索工作流引擎Agent，如果存在该工作流引擎Agent，将其作为工作流的执行者，并设置初始参数和启动工作流，然后，由工作流引擎Agent将工作流中的任务分配给任务Agent，并控制任务Agent的执行和任务Agent之间的协作；否则，不执行工作流。
流程执行阶段：任务Agent在执行阶段调用资源，由任务Agent向资源管理Agent发出请求；资源管理Agent查询是否有无该类资源，若有则向该类资源的资源Agent发出信息，资源Agent根据实际情况选择资源对资源请求进行处理；若没有，则任务Agent对该类资源调用失败。