访问控制是对信息系统资源进行保护的重要措施,能显式的允许或限制用户访问的能力及范围,其基本目标就是防止非法用户进入系统以及合法用户对系统资源的非法使用。随着信息化建设的发展,访问控制技术的思想和方法迅速应用于各个领域的信息系统中,成为解决系统安全的关键技术之一。本文介绍了已有的访问控制模型,在对信息系统访问控制需求及特点进行分析的基础上,把RBAC模型和TBAC模型结合起来,同时将组织结构从以往的角色属性中独立出来,构建了一种改进的基于角色与任务的访问控制(ETRBAC)模型,并给出了其基本概念、形式化定义及约束描述。在模型的实际应用中,根据信息系统的任务特点,讨论了任务流程的流转控制和动态权限的授予过程。结合Lotus平台自身的安全机制,将访问控制模型应用到信息系统中,实现了访问控制的应用流程。并以系统中的公文管理流程应用为例,分析了公文处理流程的执行过程和权限分配,解决了传统的工作流信息系统中访问控制的不足,提高了系统的安全访问控制能力。