ICS35.030 CCSL80 中华人民共和国国家标准 GB/T47697—2026 网络安全技术 鉴别与授权 基于属性的 访问控制模型与管理规范 Cybersecuritytechnology—Authenticationandauthorization— Specificationforattribute-basedaccesscontrolmodelandmanagement 2026-05-25发布 2026-12-01实施 国家市场监督管理总局 国家标准化管理委员会发布目 次 前言 Ⅲ ………………………………………………………………………………………………………… 1 范围 1 ……………………………………………………………………………………………………… 2 规范性引用文件 1 ………………………………………………………………………………………… 3 术语和定义 1 ……………………………………………………………………………………………… 4 缩略语 2 …………………………………………………………………………………………………… 5 模型概述 2 ………………………………………………………………………………………………… 6 属性 3 ……………………………………………………………………………………………………… 6.1 概述 3 ………………………………………………………………………………………………… 6.2 属性分类 3 …………………………………………………………………………………………… 6.3 属性的元数据 3 ……………………………………………………………………………………… 7 策略 4 ……………………………………………………………………………………………………… 7.1 策略制定 4 …………………………………………………………………………………………… 7.2 策略表达 4 …………………………………………………………………………………………… 8 ABAC引擎 5 ……………………………………………………………………………………………… 9 ABAC的管理要求 5 ……………………………………………………………………………………… 9.1 属性管理 5 …………………………………………………………………………………………… 9.2 策略管理 6 …………………………………………………………………………………………… 9.3 ABAC引擎管理 6 …………………………………………………………………………………… 10 测试方法 7 ………………………………………………………………………………………………… 10.1 属性管理测试方法 7 ………………………………………………………………………………… 10.2 策略测试方法 9 ……………………………………………………………………………………… 10.3 ABAC引擎测试方法 9 ……………………………………………………………………………… 附录A(资料性) ABAC系统 11 …………………………………………………………………………… A.1 概述 11 ……………………………………………………………………………………………… A.2 授权组件 11 ………………………………………………………………………………………… A.3 属性提供组件 11 …………………………………………………………………………………… A.4 策略管理组件 12 …………………………………………………………………………………… A.5 安全性设计 12 ……………………………………………………………………………………… 参考文献 13 …………………………………………………………………………………………………… ⅠGB/T47697—2026前 言 本文件按照GB/T1.1—2020《标准化工作导则 第1部分:标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由全国网络安全标准化技术委员会(SAC/TC260)提出并归口。 本文件起草单位:北京中关村实验室、中国科学院大学、奇安信网神信息技术(北京)股份有限公司、 华北电力大学、中国科学院软件研究所、北京邮电大学、中金金融认证中心有限公司、中国长江三峡集团 有限公司、中国电子技术标准化研究院、北京理工大学、联通在线信息科技有限公司、陕西省信息化工程 研究院、湖北省数字证书认证管理中心有限公司、中国电子科技集团公司第十五研究所、中科信息安全 共性技术国家工程研究中心有限公司、北京山石网科信息技术有限公司、北京天融信网络安全技术有限 公司、中电信量子信息科技集团有限公司、启明星辰信息技术集团股份有限公司、杭州安恒信息技术股 份有限公司、数盾信息科技股份有限公司、北京万里红科技有限公司、兴唐通信科技有限公司、天翼安全 科技有限公司、中兴通讯股份有限公司、四川大学、北京数字认证股份有限公司、江苏易安联网络技术有 限公司、国民认证科技(重庆)有限公司、国家信息技术安全研究中心、公安部第三研究所、上海东航数字 科技有限公司、国能数智科技开发(北京)有限公司、中国科学院信息工程研究所、北京芯盾时代科技有 限公司、北京持安科技有限公司、蚂蚁科技集团股份有限公司、中国信息通信研究院、国家计算机网络应 急技术处理协调中心、四川省商投信息技术有限责任公司、格尔软件股份有限公司、长春吉大正元信息 技术股份有限公司。 本文件主要起草人:刘勇、荆继武、李建彬、张立武、张勇、安锦程、孔坚、王跃武、马梦娜、吴思宇、 李小勇、张严、范煊茁、谢亮、李彦峰、王惠莅、张子剑、程福兴、赵晓荣、陈诚、金达、刘栋、刘丽敏、崔宝江、 徐洁、高雅丽、胡建勋、黄亮、刘浩、马思源、付巍、刘治平、刘勇、周瑞群、张凯歌、朱云、江海昇、王辉、 方宇、曹鲲鹏、徐蕾、李贝贝、张爱娈、秦益飞、李俊、李海玲、陈妍、东明、曹慧、李敏、孙悦、何艺、白晓媛、 穆琙博、崔牧凡、孙涌潮、郑强、李武璐。 ⅢGB/T47697—2026网络安全技术 鉴别与授权 基于属性的 访问控制模型与管理规范 1 范围 本文件确立了基于属性的访问控制的模型,规定了基于属性的访问控制的管理要求,描述了对应的 测试方法。 本文件适用于网络应用机构、网络安全产品和服务提供商规划、设计、开发和建设基于属性访问控 制系统,也可为基于属性访问控制系统实施测评、监管提供参考。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文 件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包括所有的修改单)适用于 本文件。 GB/T25069 信息安全技术 术语 3 术语和定义 GB/T25069界定的以及下列术语和定义适用于本文件。 3.1 基于属性的访问控制 attribute-basedaccesscontrol 根据分配给主体、客体的属性,环境属性以及基于这些属性制定的一组策略,来判定主体对客体执 行操作的请求是否允许的访问控制方法。 3.2 属性 attribute 可被策略调用,用于控制客体访问权限的特征信息。 注1:属性包括主体属性、客体属性、环境属性以及策略中用于控制访问的其他属性。 注2:属性信息以名称-值对的形式定义。 3.3 属性授权机构 attributeauthority 负责授权属性信息的创建、发布与管理的机构。 3.4 策略 policy 执行访问控制决策所遵循的规则。 注1:策略由一组规则、一种规则组合算法标识和(可选的)一组义务组成,是策略集的组成部分。 注2:在给定主体属性、客体属性及环境属性的属性值的前提下,策略用于判定所请求的访问是否被允许。 3.5 数字策略 digitalpolicy 直接编码成机器可执行的代码的访问控制规则。 注:主体属性、客体属性、环境属性和操作是数字策略的基本元素,数字策略规则的编译结果由访问控制机制执行。 1GB/T47697—20263.6 元策略 metapolicy 用于定义、管理和约束访问控制策略的策略。 3.7 自然语言策略 naturallanguagepolicy 用自然语言描述的访问控制策略。 4 缩略语 下列缩略语适用于本文件。 ABAC:基于属性的访问控制(attribute-basedaccesscontrol) 5 模型概述 ABAC是一种访问控制方法,其核心思想是将属性与权限相关联,以实现基于属性的动态访问控 制。该方法通过组织间统一的主体属性、客体属性和环境属性来定义访问策略,避免了将访问权限直接 授予某个主体。 ABAC通过ABAC引擎对主体属性、客体属性和环境属性的当前值进行评估,并根据这些属性所 生成的策略执行授权决策。ABAC模型由主体属性、客体属性、环境属性、策略、操作(主体访问请求) 和ABAC引擎等组件构成,见图1。 图1 ABAC模型 ABAC在实施访问控制(见图1)时,包括以下三个阶段。 a) 主体发出访问客体的操作请求。 b) ABAC引擎评估主体属性、客体属性、环境属性和策略,以得出允许或拒绝主体访问操作请求 的授权。 c) 如果被授权,允许主体访问客体;如果未被授权,客体拒绝主体访问。 在任何系统中,ABAC的实施都依赖于主体和客体的属性分配,以及包含访问规则的策略制定。 2GB/T47697—2026