Um eine effektive Teilnahme an modernen Kollabrationen zu ermöglichen, müssen beteiligte Organisationen fähig sein, spezifische Daten und Funktionalität mit ihren Partnern auszutauschen und dabei sicherstellen, dass die eigenen Ressourcen sicher vor unerlaubten Zugriff sind. Dies verlangt nach Zugriffskontrolle, Policies und Mechanismen für kollaborative Systeme. Diese Dissertation beschreibt zwei wichtige Belange in kollaborativen Systemen: (1) Zugriffskontrolle und (2) Policies. Es existieren zwei wichtige Belange in Bezug auf Authorisierungseinschränkungen: Ihre Spezifizierung und ihre Durchsetzung. Jedoch können existierende Ansätze nicht beide Belange umfassend unterstützen. Im Rahmen dieser Dissertation werden neuartige Schemata für Authorisierungsaeinschränkungen entworfen, genannt 'prohibition constraint scheme' und 'obligation constraint scheme'. Diese Schemata sind mit entity set functions und entity relation functions im Bereich der Authorisierung verwandt, die direkt auf die für Anwendungsszenarien zu entwickelnden Funktionen abgebilded werden können. Basierend auf diesen Funktionen können verschiedene Schemata für Einschränkungen einfach definiert und durchgesetzt werden. Das Team and Task based RBAC (TT-Role-Based Access Conrol) Modell erweitert das rollenbasierte Zugriffskontrollmodell durch die Hinzunahme von zwei grundlegenden Datenelementen, genannt Team und Aufgabe. Das TT-RBAC Modell ist im Wesentlichen definiert durch die Zuordnung von einzelnen Benutzern zu Rollen und Teams, die Beziehung zwischen Rollen und Aufgaben zu Teams und Berechtigungen, welche wiederum Rollen und Aufgaben zugewiesen sind. Aufgrund der Teamzugehörigkeit erhalten Benutzer Zugriff auf Ressourcen, die durch Aufgaben zugewiesen sind. Das Team definiert eine kleine und spezifische RBAC Anwendungszone, durch welche die Vorteile der skalierbaren Sicherheitsadministration erhalten werden können, die durch RBAC-Modelle geboten werden. Überdies wird eine Flexibilität erreicht durch die genaue Kontrolle von individuellen Benutzern in spezifischen. Das grundlegende Prinzip von LBACP (Label-Based Access Control Policy) stellt die Definition von Auszeichnungen (labels) dar, die den Informationsfluss spezifizieren und deren Zuweisung zu anderen Authorisierungspolicies oder ihren Komponenten. Der Einsatz von solchen Policies oder Policy-Komponenten muss den Einschränkungen hinsichtlich des Informationsflusses folgen, welche durch die Label spezifieziert sind. LBACP kann zu ereiner Veringerung des Administrationsaufwandes führen und potentielle Sicherheitslücken ausschließen. Insgesamt stellt LBACP eine Abstraktionsschicht über herkömmliche Zugriffskontroll-Policies dar. In kollaborativen Umgebungen wird eine flexibele und skalierbare Autorisierung benötigt, um verschiedene Sicherheitsmechanismen und Policies zu unterstützen. Dazu wird im Rahmen dieser Arbeit ein System genant Root-Policy entwickelt, welches verschiedene Sicherheitsmechanismen und Policies spezifizieren und durchstzen kann. In einer Root-Policy kann die Speicherung von Autoriesierungspolicies, das Trust-Management und deren Durchsetzung unabhängig voneinander definiert werden. Darüberhinaus können verschiedene Root-Policies zusammen kooperieren, um verteilte Szenarien zu bedienen.
To effectively participate in modern collaborations, member organizations must be able to share specific data and functionality with the collaborative partners, while ensuring their resources are safe from inappropriate access. This requires access control models, policies, and enforcement mechanisms for collaborative systems. This thesis describes research work that concerns two important issues in collaborative systems: (1) access control model and (2) policies. The Team and Task based RBAC (TT-RBAC) model extends the Role-Based Access Control (RBAC) model through adding sets of two basic data elements called teams and tasks. TT-RBAC model as a whole is defined in terms of individual users being assigned to roles and teams, roles and tasks being assigned to teams, and permissions being assigned to roles and tasks. By virtue of team membership, users get access to team's resources specified by assigned tasks. The team defines a small and specific RBAC application zone, through which the advantages of scalable security administration that RBAC-style models offer can be preserved and yet offers the flexibility to specify fine-grained control on individual users in certain roles and on individual object instances. The integrated context constraints make the TT-RBAC be an active security model. The basic principle of the Label-Based Access Control Policy (LBACP) is defining some labels that specify information flow constraints and then assigning them to other access control policies or their components. The usage of the labeled policy components must conform to the information flow constraints defined by the labels in order to avoid them being misused. The LBACP can reduce the burden of security administration and avoid information leaks in collaborative environments. LBACP is a high level security policy layered on the top of normal access control policies. In collaborative environments, there may involve several independent autonomous domains; each of them may have its own security mechanisms and policies; these mechanisms and policies should be combined together and enforced as one at runtime. Authorization in such a system needs to be flexible and scalable to support multiple security mechanisms and policies. In this thesis the root policy specification language is developed that is used to specify multiple heterogeneous authorization policies' combination and the mechanism that is used to enforce these root policies. In a root policy, each involved authorization policy's storage, trust management and enforcement can be defined independently. Various policy combination algorithms and flexible context constraints enable the root policy to deal with complex authorization scenarios. On the other hand, multiple root policies can cooperate together to complete more complex authorization tasks in distributed fashion.