通过对访问控制技术的研究,得出基于角色的访问控制是一个非常有效的访问控制技术,它具有灵活的角色机制,能够配置成自主访问控制和强制访问控制.基于角色的访问控制的基本思想是用户被分配到角色,权限被分配到角色,用户通过角色得到权限.通过对角色的深入研究,提出了使用角色的层次关系来描述一个组织中的权力和责任,从而自然构造角色.提出了使用静态责权分离和动态责权分离来实施利益冲突策略,防止用户超越他们职业的授权层次.用形式化的语言描述了基于角色的访问控制模型.将权限扩展为对任务的操作,提出了基于工作流和角色的访问控制模型,模型的关键在于直接权限分配和隐含权限分配这两个关系.为适应分布式环境下实现访问控制的需要,提出了分散的管理结构.为了满足灵活地开发安全信息系统的需要,将系统设计成一个个可以复用的独立的功能模块,在开发新系统时通过组合或替换某些模块,就可以方便地实现具有基于角色访问控制功能的安全信息系统,提高了软件开发效率,改善了软件质量.