5.2 自主訪問控制

5.2.1 訪問控制策略

SSF應按確定的自主訪問控制安全策略進行設計，實現對策略控制下的主體與客體間操作的控制。可以有多個自主訪問控制安全策略，但它們必須獨立命名，且不能相互沖突。常用的自主訪問控制策略包括：訪問控制表訪問控制、目錄表訪問控制、權能表訪問控制等。

5.2.2 訪問控制功能

SSF應明確指出采用一條命名的訪問控制策略所實現的特定功能，說明策略的使用和特征，以及該策略的控制范圍。

無論采用何種自主訪問控制策略，SSF應有能力提供：

——在安全屬性或命名的安全屬性組的客體上，執行訪問控制SFP；

——在基于安全屬性的允許主體對客體訪問的規則的基礎上，允許主體對客體的訪問；

——在基于安全屬性的拒絕主體對客體訪問的規則的基礎上，拒絕主體對客體的訪問。

5.2.3 訪問控制范圍

網絡系統中自主訪問控制的覆蓋范圍分為：

a） 子集訪問控制：要求每個確定的自主訪問控制，SSF應覆蓋網絡系統中所定義的主體、客體及其之間的操作；

b） 完全訪問控制：要求每個確定的自主訪問控制，SSF應覆蓋網絡系統中所有的主體、客體及其之間的操作，即要求SSF應確保SSC內的任意一個主體和任意一個客體之間的所有操作將至少被一個確定的訪問控制SFP覆蓋。

5.2.4 訪問控制粒度

網絡系統中自主訪問控制的粒度分為：

a） 粗粒度：主體為用戶組/用戶級，客體為文件、數據庫表級；

b） 中粒度：主體為用戶級，客體為文件、數據庫表級和/或記錄、字段級；

c） 細粒度：主體為用戶級，客體為文件、數據庫表級和/或記錄、字段級或元素級。